Segurança da Informação (23 horas) Tipo
Duração
Web
15 dia(s)
Categoria
Sub-Categoria
Segurança
Conceitos
Conteúdo Programático
Categoria do Curso Segurança
Carga Horária 23 horas
Descrição do Curso Armazenamento de informações estratégicas e confidenciais, senhas, dados pessoais, cadastros e tudo o que pode ser alvo de ataques precisa estar devidamente seguro para garantir a integridade de corporações e pessoas. Quais as Políticas de Segurança que um Chief Security Officer (CSO) desenvolve e adota para se prevenir contra o bombardeio desses e outros fatores? As respostas estão no curso de Segurança da Informação!
Estrutura do Curso
Conceito
Tecnologias
Gestor da Segurança da Informação
Vulnerabilidades
Mobilidade
Terceirização
Presente e futuro
Limites do monitoramento
Pré-requisitos Não há pré-requisitos para a realização deste curso.
Descrição da Turma Segurança da Informação [T001SEGI2012_OL]
Preço
Vagas
Período de
Período de
Selecione uma
Inscrição
Realização
opção
Grátis (ilimitado) (sempre)
15 dia(s)
Matricular
Segurança da Informação Módulo 1 - SEGURANÇA A segurança da informação refere-se à proteção requerida para proteger as informações de empresas ou de pessoas. Entende-se por informação todo e qualquer conteúdo ou dado que tenha valor para alguma organização ou pessoa. Pode ser de uso restrito ou ser exposta ao público para consulta ou aquisição. Podem ser estabelecidas métricas para definição do nível de segurança existente e requerido. Dessa forma, são estabelecidas as bases para análise da melhoria da situação de segurança existente. A segurança de uma determinada informação pode ser afetada por fatores comportamentais e de uso de quem se utiliza dela, pelo ambiente ou infraestrutura que a cerca ou por pessoas mal intencionadas.
PROPRIEDADES As principais propriedades que orientam a análise, o planejamento e a implementação de uma política de segurança são: confidencialidade, integridade e disponibilidade. Na medida o uso de transações comerciais em que se desenvolve em todo o mundo, por intermédio de redes eletrônicas públicas ou privadas, outras propriedades são acrescentadas às primeiras, como legitimidade e autenticidade.
SEGURANÇA ESTRATÉGICA O fato é que hoje a segurança é considerada estratégica, protege a informação estratégica da empresa. Proteção dos ativos e a compreensão da amplitude desse conceito dentro da empresa. A ideia de ativo corporativo envolve também uma questão de difícil medição: a marca da companhia e a percepção que ela desperta no mercado. A Segurança da Informação trata de um investimento sem fim, pois à medida que ela vai se fortalecendo os ataques também se sofisticam cada vez mais. Pela própria natureza, embora muitas empresas de TI estejam se esforçando para mudar essa realidade, atualmente a segurança da informação é reativa.
TRÊS TIPOS DE RISCO Experiências corporativas demonstraram que apenas softwares não constroem uma muralha resistente à crescente variedade de ameaças, falhas e riscos. É preciso que as ações corporativas sejam direcionadas por um Plano Diretor de Segurança, de forma que todos possam estar à frente de determinadas situações de emergência e riscos com uma postura mais proativa que reativa. Esse plano será responsável por verificar se a corporação está destinando verba suficiente para manter o nível de segurança alinhado às expectativas de negócios. Também apontará se as vulnerabilidades são de fato corrigidas ou se há uma falsa sensação de segurança. De forma mais ampla, esse plano deve considerar questões estratégicas, táticas e operacionais de negócios, atrelando-as a três tipos básicos de risco: humano, tecnológico e físico.
Módulo 2 - TECNOLOGIAS O maior desafio da indústria mundial de software de segurança é prover soluções no espaço de tempo mais curto possível, a partir da descoberta de determinada ameaça ou problema. Proteger a estação de trabalho, a comunicação, e-mails, entre outros.
PROGRAMA DE SEGURANÇA DA INFORMAÇÃO A Segurança da Informação deve estar atrelada a um amplo Programa de Segurança da Informação, que se constitui de pelo menos três fases principais: 1. Realizar o levantamento e a classificação dos ativos da empresa. 2. Avaliar o grau de risco e de vulnerabilidade desses ativos, testar suas falhas e definir o que pode ser feito para aperfeiçoar a segurança. 3. A infraestrutura de tecnologias, envolvendo tanto aquisição de ferramentas quanto configuração e instalação de soluções, criação de projetos específicos e recomendações de uso. Apresentar um organograma consolidado das ferramentas e soluções que compreendem a segurança de uma rede corporativa é algo até arriscado, considerando a velocidade com que se criam novos produtos e com que se descobrem novos tipos de ameaças.
APLICAÇÕES Algumas dessas aplicações são:
Antivírus: Faz a varredura de arquivos maliciosos disseminados pela Internet ou correio eletrônico.
Balanceamento de carga: Ferramentas relacionadas à capacidade de operar de cada servidor da empresa. Vale lembrar que um dos papeis da segurança corporativa é garantir a disponibilidade da informação, algo que pode ser comprometido se não houver acompanhamento preciso da capacidade de processamento da empresa.
Sistema Detector de Intrusão (IDS, da sigla em inglês): Como complemento do firewall, o IDS se baseia em dados dinâmicos para realizar sua varredura, como por exemplo, pacotes de dados com comportamento suspeito, códigos de ataque, etc.
Varredura de vulnerabilidades: Produtos que permitem à corporação realizar verificações regulares em determinados componentes de sua rede, como servidores e roteadores.
Rede Virtual Privada (VPN, da sigla em inglês): Uma das alternativas mais adotadas pelas empresas na atualidade, as VPNs são canais em forma de túnel, fechados, utilizados para o tráfego de dados criptografados entre divisões de uma mesma companhia, parceiros de negócios.
Criptografia: Utilizada para garantir a confidencialidade das informações.
Firewall: Atua como uma barreira e cumpre a função de controlar os acessos. O firewall é um software, mas também pode incorporar um hardware especializado.
Autenticação: Processo de identificação de pessoas, para disponibilizar acesso. Baseia-se em algo que o indivíduo saiba (uma senha, por exemplo), com algo que ele tenha (dispositivos como tokens, cartões inteligentes, certificados digitais) e, em algo que ele seja (leitura de íris, linhas das mãos).
Integradores: Permitem centralizar o gerenciamento de diferentes tecnologias que protegem as operações da companhia. Mais que uma solução, trata-se de um conceito.
Sistemas antispam: eliminam a maioria dos e-mails não solicitados.
Software de backup: São programas para realizar cópias dos dados para que, em alguma situação de perda, quebra de equipamentos ou incidentes inusitados, a empresa possa recuperá-los. Pela complexidade de cada uma das etapas compreendidas em um projeto de segurança, especialistas recomendam que a empresa desenvolva a implementação baseando-se em projetos independentes.
SEGURANÇA A segurança da informação depende, em igual maneira das tecnologias, dos processos e das pessoas.
Tecnologias. Não há como criar uma estrutura de Segurança da Informação com política e normas definidas sem soluções tecnológicas que cuidem das pragas que infestam os computadores e a Internet. Os appliances de rede, com soluções de segurança integradas, também precisam ser adotados. Dispositivos para o controle de spam. Programas para controlar o acesso de funcionários, que bloqueiem as visitas às páginas suspeitas e evitem sites com conteúdo malicioso. Mas, antes da implementação da tecnologia, é necessária a realização de uma consultoria que diagnostique as soluções importantes. Gerenciamento unificado dos recursos para controle. A adoção de novas ferramentas, como sistema operacional, ERP ou CRM, precisa de análise dos pré-requisitos em segurança.
Processos O grande combate realizado no dia-a-dia do gestor de segurança, em parceria com o CIO, é equilibrar a flexibilidade dos processos de forma que eles não tornem a companhia frágil, mas que, por outro lado, não endureça demais a produtividade, em busca do maior nível possível de segurança. Como no novo modelo, todos os processos estão integrados, um impacto causado pela segurança pode não apenas causar prejuízos para a rotina da empresa, mas também criar certo mal-estar entre as áreas. Tomar atitudes cautelosas e estudadas, mas sem receio de atritos, precisa ser a prática do gestor.
Pessoas As pessoas estão em toda a parte da empresa e enxergam como ponto fundamental apenas a proteção da máquina. Os cuidados básicos com as atitudes das pessoas, muitas vezes são esquecidos ou ignorados. Problemas como compartilhamento de senhas e outros.
Módulo 3 – GESTOR DE SEGURANÇA O maior desafio da indústria mundial de software de segurança é prover soluções no espaço de tempo mais curto possível, a partir da descoberta de determinada ameaça ou problema. Proteger a estação de trabalho, a comunicação, e-mails, entre outros.
NOVA FUNÇÃO: CSO Estabelecer procedimentos em transações corporativas, operar por meio de regras de acesso e restrições, criar hierarquias de responsabilidades, métodos de reação a eventuais falhas ou vulnerabilidades e, acima de tudo, manter um padrão no que se refere à segurança da companhia, dentre outras, são atribuições que culminaram na criação da função de Gestor da Segurança da Informação, CSO –Chief Security Officer. Apenas alguém com grande conhecimento tanto em negócios quanto em segurança pode desenhar a estratégia de segurança da informação de maneira competente, implementando políticas e escolhendo as medidas apropriadas para as necessidades de negócios, sem impactar na produtividade. Faz-se necessário juntar a segurança lógica com a física, sob um mesmo comando.
CARACTERÍSTICAS E QUALIFICAÇÕES Para atender aos requisitos de segurança lógica e física de redes globais cada vez mais complexas e vulneráveis, o perfil do CSO evoluiu muito. Por um lado, o cenário apresenta ameaças crescentes e cada vez mais fatais. Por outro, a vulnerabilidade e a complexidade tecnológica crescem também e aumentam as atribuições e as habilidades necessárias para exercer a função de CSO. Hoje um CSO tem de entender de segurança, conhecer bem os negócios e participar de todas as ações estratégicas da empresa. Mais do que um técnico, ele deve ser definitivamente um gestor de negócios.
GISWS O estudo Global Information Security Workforce Study (GISWS) destaca que a responsabilidade pela segurança da informação cresceu na hierarquia da gestão e acabou chegando ao conselho diretor e ao CEO, CISO ou CSO. Cada vez mais é essencial que as organizações sejam pró-ativas na defesa de seus ativos digitais. Assim, o CSO deve proceder a gestão de riscos e estar mais integrado às funções de negócio. Profissionais de segurança precisam aprimorar suas habilidades técnicas e de negócio para que possam exercer a função.
CERTICAÇÕES PROFISSIONAIS A certificação de Segurança da Informação pode ser dependente e/ou independente de fabricantes e é bem útil para o desenvolvimento da carreira. As credenciais atreladas a fabricantes, como as da Cisco e da Microsoft, por exemplo, são meios importantes para conseguir as habilidades necessárias ao cargo. No entanto, elas precisam vir acompanhadas de certificações que demonstrem uma ampla base de conhecimento e experiência. As certificações Certified Information Systems Security Professional (CISSP) e Certified Information Systems Auditor (CISA) são ótimas opções. O CSO deve ser capaz de explicar os benefícios da segurança, acerca de retorno do investimento (ROI), e seu valor para melhorar a capacidade da empresa em fechar negócios, além de deixar claro quais são as soluções práticas que ela pode trazer para a resolução dos problemas.
Módulo 4 – VULNERABILIDADES A principal ameaça à segurança das transações corporativas são as pessoas. Esta é a primeira resposta que muitos institutos de pesquisas e especialistas de segurança têm utilizado quando questionados sobre a principal ameaça às transações corporativas. Soluções tecnológicas sofisticadas, integradas a parceiros, clientes e fornecedores, a última palavra em ferramentas de gestão empresarial e relatórios detalhados não têm valor se não há restrições, políticas e processos que estabeleçam e organizem a conduta do profissional dentro da corporação.
Na maior parte das vezes já se verifica que os problemas relacionados à interferência humana não estão diretamente ligados às ações fraudulentas ou às demais situações em que o funcionário tem o objetivo de prejudicar sua empresa. Pelo contrário: a grande maioria dos incidentes de segurança ocorre por falta de informação e de processos e orientação ao recurso humano.
VULNERABILIDADES
Falhas Comuns: Senhas Fracas As senhas de um funcionário podem ser facilmente descobertas. A administração desses acessos também se dá de forma desordenada, o usuário geralmente não tem educação para lidar com seu código de acesso. Atualmente, as empresas contam com o benefício de estabelecer uma autenticação forte, isto é, mesclar algo que o usuário sabe (memória), com algo que ele tem (token) e algo que ele é (biometria). Algumas ferramentas possibilitam verificar o grau de segurança das senhas de seus funcionários. Utilizar esses recursos para quebra de senhas pode identificar contas com senhas fracas ou sem senha.
Sistemas de Backup Falhos
Portas Abertas e Falhas em Sistemas de Logs Portas abertas são convites para invasões. Boas ferramentas de auditoria de servidores ou de scan podem auxiliar a empresa a identificar quais são suas brechas nos sistemas. Independentemente da ferramenta utilizada para realizar essa operação, é preciso que ela varra todas as portas UDP e TCP do sistema, nas quais se encontram os alvos atacados por invasores. Essas ferramentas verificam outras falhas nos SOs tais como serviços desnecessários e aplicações de patches de segurança requeridos. Logs são responsáveis por prover detalhes sobre o que está acontecendo na rede, quais sistemas estão sendo atacados e os que foram de fato invadidos.
Brechas de Instalações
Muitos fornecedores de SOs padrão (default) e aplicativos oferecem uma versão padrão e de fácil instalação para seus clientes. Habilitam, por comodidade, funções adicionais desnecessárias. Isso, embora conveniente para o usuário, acaba abrindo espaço para vulnerabilidades, já que não mantém nem corrige componentes de software não usados. Sobre os aplicativos, é comum que instalações default incluam scripts ou programas que muitas vezes são dispensáveis. As recomendações básicas são remover softwares desnecessários, desabilitar serviços fora de uso e bloqueio de portas não usadas.
Transações sem fio desprotegidas Os equipamentos móveis são tecnologias emergentes. No entanto, os padrões de comunicação utilizados atualmente requerem configuração minuciosa para apresentar um mínimo de segurança. É recomendável ter cautela na adoção desses recursos, conforme o grau de confidencialidade do que está sendo transmitido pelo canal sem fio.
Falha na Atualização de Camadas de Segurança e Sistemas Operacionais A falta de gerenciamento de cada ferramenta de segurança e a correção de software disponibilizado pelos fornecedores estão entre os fatores mais críticos na gestão corporativa. Para muitos, esse é um desafio constante, visto o volume de "patches" anunciado por diversos fornecedores, bem como a velocidade com que se atualizam os softwares de segurança. Já existem, inclusive, empresas especializadas em fornecer ferramentas que cumprem a função específica de automatizar a atualização de patches de segurança. Um Plano Diretor de Segurança deve contemplar e explicar, em detalhes, como esses processos devem ser realizados.
Módulo 5 – MOBILIDADES Fragilidade dos Dispositivos Móveis Os dispositivos móveis possuem fragilidades diferentes das encontradas em computadores fixos. Isso exige uma política segurança diferenciada para controlar possíveis ameaças. As tecnologias de acesso sem fio, outra base da mobilidade, também representam um grande problema. Independente do padrão escolhido, elas significam, no limite, uma falta de controle da organização sobre a rede em que se acessa. Com discos de maior capacidade de armazenamento, o usuário salva seus dados localmente, o que representa problemas de segurança. USB drives e CDs e DVDs dificultam o controle de cópias e dos dados.
Oportunidade de Negócios Aproveitando a estrutura consolidada dentro da empresa, o gestor replica as soluções de segurança instaladas e confere se o aparelho está dentro das políticas especificadas internamente. Com isso, o usuário de um aparelho móvel permanece em uma VPN, que funciona como quarentena, tendo seu acesso à rede corporativa liberado apenas quando atender a todos os pré-requisitos. Garantindo que todos os níveis de proteção estabelecidos pela companhia sejam passados para as plataformas móveis.
Investimento e Segurança A conformidade entra mais como fator de controle dentro da companhia. A abordagem de maior proteção precisa estender a preocupação para os próprios dispositivos móveis em uso, com cada um tendo uma solução de segurança conforme suas necessidades e analisando com qual tipo de dado costuma trabalhar. A mobilidade exige novos investimentos para se adequar às novas realidades, políticas e soluções. Toda a implementação de segurança deve ser precedida por uma fase de rigorosa análise.
Possibilidades Complicadas Antes do surgimento da mobilidade, todos os investimentos estavam focados no perímetro de rede das empresas. Hoje, a situação se modificou sensivelmente. A estrutura de combate construída para proteger a companhia do ambiente externo, empilhando soluções de antivírus, firewall, IDS e IPS, além dos appliances de rede que trazem funcionalidades de segurança não é suficiente. A mobilidade trouxe um novo conceito de perímetro de rede e, com ele, gerou paralelamente inúmeras brechas de segurança. Reestruturar todo o ambiente corporativo, ganhar muito em produtividade e disponibilidade, fechando negócios em tempo real de qualquer lugar do mundo gerou consequências. E elas envolvem inúmeras possibilidades muito mais complicadas do que vírus ou worms, envolvem roubo de informações confidenciais de importância ímpar para a corporação, que podem prejudicar seriamente a empresa ou até comprometer sua marca, exigindo sua saída do mundo de negócios.
Redes Sem Fio A comunicação de dados por redes sem fio ainda não está totalmente protegida de invasões e fraudes, realidade diretamente relacionada ao desenvolvimento dos padrões de comunicação das redes sem fio.
Hot Spots Entre outros fatores, especialistas afirmam que uma rede WLAN pode ser até mais barata do que uma estrutura com cabeamento, uma vez que dispensa a aquisição de diversos equipamentos e serviços. Mas, existe também a mobilidade que oferece uma conectividade praticamente ininterrupta para o usuário. Várias empresas instalaram hot spots (conexões sem fio em lugares públicos) nos principais pontos de acesso no Brasil, tais como aeroportos, bares e livrarias, o que abre muitas possibilidades de comunicação de funcionários com suas empresas e acesso à Internet. Tecnologias com o WiMax aumentam a área de cobertura das redes sem fio e prometem ser o próximo grande boom nas corporações e na vida das pessoas.
Módulo 6 – TERCEIRIZAÇÃO A terceirização é uma forte tendência em todos os setores de TI, inclusive em segurança da informação. No entanto, para que possam manter o core business de suas operações, essas corporações devem garantir a manutenção das condições ideais de segurança, que cada vez mais se torna fator crítico em todas as suas transações. Grandes empresas têm pouca probabilidade de passar a segurança para o esquema outsourcing. Já as pequenas e médias mostram-se mais abertas a essa opção. Entre outros benefícios, a terceirização dos processos de proteção à rede proporciona a redução no custo de manutenção dos dispositivos e com mão de obra especializada. Todos os negócios possuem gaps em sua estrutura interna quando se trata de segurança. Ao tentar garantir que todas as áreas estejam seguras, algum segmento sempre fica descoberto e mais vulnerável à ameaças e intrusos. A solução para preencher esse gap seria enxergar a segurança como um serviço, transferindo sua gestão para um especialista. Dessa forma, as organizações podem melhor direcionar seus profissionais e recursos. Além disso, todas as atenções ficam mais voltadas ao foco do negócio e dos resultados que devem ser obtidos.
Valor Estratégico Conforme a segurança ganha espaço entre outras prioridades das organizações, ela passa a ter valor estratégico. Assim, é natural que a segurança da informação demande diversas aplicações e camadas tanto no que se refere à infraestrutura tecnológica (hardware e software), quanto na prestação de serviços e recursos humanos. Sendo a terceirização uma solução. Independentemente dos caminhos escolhidos para trilhar, o que a maior parte dos especialistas orienta, ao decidir partir para um processo de outsourcing, é terceirizar apenas o que é operacional, pois isso gera investimentos pesados em infraestrutura, hardware, licenças de software etc. Em suma, cada corporação deve avaliar em detalhes os benefícios e riscos de decidir pela terceirização gerando, assim, um planejamento de outsourcing de segurança. Logo, esse relatório deverá contemplar desde os recursos de TI necessários à mão-de-obra envolvida, aos processos de migração, atendimento a clientes e parceiros, suporte, resposta a incidentes etc. Será esse material, baseado em preço, prazos e processos de implementação, que definirá se a terceirização da segurança da informação terá ou não sucesso.
O que é Terceirizar? SOCs (Security Operation Center): centros de segurança e gerenciamento de dados. Mas, mesmo com vantagens competitivas tangíveis e de retorno rápido, a terceirização de segurança tem como barreira central a questão cultural das corporações. Na prática, o outsourcing deve retirar da empresa tarefas repetitivas e burocráticas que não demandam ou envolvam decisões complexas ou estratégicas. Também é preciso avaliar a utilização e a disponibilidade de bens que não se limitam à infraestrutura tecnológica.
Módulo 7 – PRESENTE E FUTURO Fraudes Implementadas por meio de recursos de Tecnologia da Informação, crescem gradativamente e exigem a melhoria de controles internos e de processos de monitoramento. Mesmo com a rápida e constante evolução da tecnologia, é difícil afirmar que vulnerabilidades e falhas deixarão de existir nos sistemas e nas redes de computadores. Isso não quer dizer que as fraudes em TI não possam ser evitadas ou, pelo menos, que seus riscos não possam ser minimizados em níveis aceitáveis pelas organizações. Para atingir esse objetivo, é necessário um esforço integrado de investimento, em mecanismos de segurança tecnológica e em processos operacionais. Exigências legais, como a lei Sarbanes-Oxley, obrigam as empresas a estabelecer controles antifraude em seus processos de gestão de riscos corporativos.
Phishing Trata-se de uma forma de fraude eletrônica, caracterizada por tentativas de adquirir informações confidenciais, tais como senhas e números de cartão de crédito, ao se fazer passar por uma pessoa confiável ou empresa enviando uma comunicação eletrônica oficial, como um e-mail ou alguma mensagem instantânea.
Vírus e variações É um programa malicioso desenvolvido por programadores que infecta o sistema, faz cópias de si mesmo e tenta se espalhar para outros computadores, utilizando-se de diversos meios. A maioria das contaminações ocorre pela ação do usuário executando o anexo de um e-mail. A segunda causa de contaminação é por sistema operacional desatualizado, sem a aplicação de corretivos que bloqueiam chamadas maliciosas nas portas do micro. Ainda existem alguns tipos de vírus que permanecem ocultos, mas entram em execução em horas especificas.
Spyware Programa automático de computador que recolhe informações sobre o usuário e as transmite a uma entidade externa na Internet sem seu conhecimento ou consentimento. Diferem dos cavalos de Tróia por não terem como objetivo que o sistema do usuário seja dominado e manipulado por uma entidade externa, por um cracker. Muitos vírus transportam spywares que visam roubar certos dados confidenciais dos usuários. Os spywares costumavam vir legalmente embutidos em algum programa que fosse shareware ou freeware. Muitas vezes, sua remoção era feita na compra do software ou de uma versão mais completa e paga.
Trojan Trojan, Horse ou Cavalo de Tróia é um programa que entra no computador e libera uma porta para um possível invasor. Os trojans atuais são disfarçados de programas legítimos, embora, diferentemente de vírus ou de worms, não criam réplicas de si. São instalados diretamente no computador. Alguns trojans são programados para se autodestruir com um comando do cliente ou depois de um determinado tempo. Os trojans possibilita a qualquer pessoa possuir o controle de um outro computador apenas com o envio de um arquivo. Os trojans atuais são divididos em duas partes: o servidor e o cliente. Normalmente, o servidor está oculto em algum outro arquivo e, no momento que esse arquivo é executado, se instala e se oculta no computador da vítima. A partir desse momento, o computador pode ser acessado pelo cliente, que enviará informações para o servidor executar certas operações no computador da vítima.
Worms Programa autorreplicante, semelhante a um vírus. Entretanto, o vírus infecta um programa e precisa dele para se propagar. Já o worm é um programa completo e não precisa de outro programa para se propagar. Além da replicação, um worm pode ser projetado para fazer muitas coisas, como deletar arquivos em um sistema ou enviar documentos por e-mail. O worm pode trazer embutidos programas que geram algum tipo de problema ou que tornam o computador infectado vulnerável a outros ataques. Um worm pode provocar danos apenas com o tráfego de rede gerado pela sua reprodução
Segurança 3.0 Proposto pelo Gartner. Visa diminuir os gastos das companhias com segurança e melhorar o desempenho das áreas de negócio. A implementação dessa nova estrutura requer investimentos Depois que o modelo estiver consolidado, a inversão pode ser reduzida para, aproximadamente, 3%. O Gartner indica que as empresas devem seguir cinco passos importantes na implementação de uma plataforma de segurança 3.0.
Adaptar-se à Realidade No atual cenário de ameaças sofisticadas e altamente perigosas é necessário que as empresas mudem seus perfis e, em vez de gastarem dois terços de suas verbas para remediar incidentes, passem a investir na prevenção de ameaças e na antecipação de tendências. Assim como houve a evolução da chamada Segurança 1.0, que restringia ações de usuários, para o padrão 2.0, que mostrava ameaças não apenas no mainframe e passava a contar com a Internet e seus perigos, agora monitorar o perfil dos profissionais e as aplicações de TI também se tornou imprescindível.
Alinhamento entre Sistemas, Processos e Pessoas Além do aumento no número e no nível de importância das ferramentas de controle de acessos dentro da corporação, a participação dos usuários nas políticas de segurança e o grau de adaptação e integração de arquiteturas e sistemas passam a assumir posição estratégica na busca por resultados específicos para o foco do negócio. O alinhamento entre sistemas, processos e pessoas é o caminho para a Segurança 3.0, que prevê uma estrutura mais sólida de proteção às corporações. Evitar armadilhas de compliance, aderir somente às tecnologias que sigam as melhores práticas de mercado e ter a capacidade de mover o programa de segurança corporativa dentro de um ciclo de maturidade pré-estabelecido podem ser as chaves para garantir um ambiente protegido, mesmo com o surgimento rápido de novas ameaças e ataques.
Módulo 8 – LIMITES Muitas companhias estão aderindo às empresas de monitoramento para identificar por onde navegam seus funcionários quando estão no escritório. Basicamente, as corporações se veem frente a duas ameaças centrais. Primeiro, a queda drástica de produtividade de seus funcionários, além do uso indiscriminado dos recursos da companhia e de sua infraestrutura. Controles de segurança sugeridos por normas de segurança podem ser um caminho mais viável para suportar parâmetros de auditoria e conformidade para toda a companhia.
A empresa deve declarar claramente que monitora,
Listar o que é rastreado,
Descrever o que procura, e
Detalhar as consequências de violações.
Práticas Quanto mais uma empresa depende de redes de computadores, maiores devem ser as preocupações com segurança. E isso significa preocupar-se com a integridade dos dados, com o tempo de manutenção devido a problemas de segurança e com muitos outros aspectos. O número de incidentes de segurança está em pleno crescimento, não apenas porque as redes de computadores são vulneráveis, mas também porque quanto mais poderosos tornam-se os aparatos de segurança, como firewalls e softwares, maior se torna o interesse dos hackers em invadir. Falhas em políticas de segurança expõem não apenas informações e dados de uma empresa, mas causam danos sérios à imagem da companhia. E é o zelo pela imagem que, muitas vezes, impulsiona a implantação de uma política de segurança com a utilização de firewalls, mecanismos de autenticação, algoritmos de encriptação e outras medidas de prevenção.
Segurança e Sucesso Um dos maiores riscos é a empresa acreditar que basta comprar equipamentos e softwares para estar segura para sempre. Produtos de segurança direcionados à prevenção são bons, mas são apenas uma parte do conceito geral. Não é o bastante ter os melhores produtos de segurança, é preciso instalá-los, usá-los e mantê-los atualizados, instalando novas versões, aplicando patches de correção, para, então, interpretar suas informações e responder efetivamente aos alertas registrados por eles.
1. Questão: Uma exigência cada vez mais importante para o gestor da segurança da informação é ser também gestor de: Tecnologias Negócios Pessoas Processos 2. Questão: A principal função do Plano Diretor de Segurança é: Identificar problemas de segurança. Identificar a falsa sensação de segurança. Verificar se a corporação está destinando verba suficiente para manter o nível de segurança alinhado com as expectativas de negócios. Corrigir vulnerabilidades. 3. Questão: A Segurança da Informação precisa envolver tecnologias, processos e pessoas em um trabalho que deve ser: Cíclico, contínuo e persistente, com a consciência de que os resultados estarão consolidados em médio prazo. Unificado e de equipe, mas em uma só etapa, para conseguir resultados em curto prazo. Interrompido a cada ciclo, para não encontrar resultados viciados, consciente de que os resultados serão alcançados apenas em longo prazo. Unificado, de equipe, cíclico, mas em uma só etapa, para conseguir resultados em curto prazo.
4. Questão: Nem tudo é passível de terceirização, quando se fala em Segurança. Quais são as tarefas mais passíveis de serem terceirizadas? Tarefas repetitivas e burocráticas, que não demandam ou envolvam decisões complexas ou estratégicas. Tarefas de cálculo matemático e estatístico. Tarefas que exijam decisões estratégicas. Tarefas que envolvam pessoas. 5. Questão: Os discos rígidos com maior capacidade de armazenamento podem significar um problema de segurança porque: os usuários ficam vulneráveis ao usar as redes sem fio. os usuários ficam vulneráveis quando usam o notebook fora da empresa. o usuário acaba salvando seus dados localmente, o que representa problemas de segurança. embora as redes sem fio sejam totalmente seguras, o usuário não tem confiança nelas.
6. Questão: A Segurança da Informação deve estar atrelada a um amplo programa de segurança que se constitui de pelo menos três fases principais. A primeira delas é: Aquisição de ferramentas, configuração e instalação de soluções, criação de projetos específicos e recomendações de uso. Apresentar um organograma consolidado das ferramentas e soluções. Realizar o levantamento e a classificação dos ativos da empresa. Avaliar o grau de risco e de vulnerabilidade dos ativos da empresa. 7. Questão: Os fatores mais críticos na gestão corporativa são: Os vírus cada vez mais poderosos que se criam pelo crime organizado. Os roubos de senhas de bancos. A falta de gerenciamento de cada ferramenta de segurança e a correção de software disponibilizado pelos fornecedores. Os softwares desatualizados 8. Questão: Uma das responsabilidades do gestor da segurança da informação é: Obrigar todos os funcionários a práticas que tenham como objetivo proteger os dados da companhia. Avaliar possíveis brechas de segurança e recomendar as correções necessárias. Supervisionar políticas, padrões para a área de recursos humanos. Fazer longas explanações sobre os detalhes técnicos de cada solução proposta. 9. Questão: Geralmente, o gestor da segurança da informação deve ter formação nas áreas de: Tecnologia da Informação Direito Ciências da Computação, Engenharia ou Auditoria de Sistema Recursos humano 10. Questão: Um dos maiores riscos que ameaçam as empresas é: Não atualizar seus equipamentos. Deixar de monitorar os funcionários. Acreditar que basta comprar equipamentos e softwares e que dessa forma estará segura para sempre. Usar um software de proteção ultrapassado.
Após responder esta prova, não é permitido respondê-la novamente. Você chegou ao final da Avaliação do curso de Segurança da Informação.
Foi muito bom tê-lo (a) conosco até agora!
Aproveitamos para informar que você pode participar de outros cursos que oferecemos.
nota é
100,00
Esperamos que você tenha gostado do curso e até breve!
Aviso Importante! Ao sair do curso, não se esqueça de confirmar qual foi o seu aproveitamento (nota).
Se você obteve aproveitamento igual ou superior a 70%: Parabéns! Você poderá imprimir o seu Certificado de Conclusão.
Agora, se você não atingiu este porcentual, não desista, você terá a chance de fazer o curso novamente.
;Telerik.Web.UI, V
H4sIAAAAAAAE
Thiago de Freitas Faria
[email protected] [1527463] Segurança da Informação (23 horas) Situação Atual % Mínimo para Aprovação no Curso Aproveitamento Exercícios necessários para nota final e ainda não realizados:
70,00 100,00% 0
Notas nos testes Avaliação Avaliação do curso: Segurança da Informação
Tipo
Nota
Correção
Pós-teste 100,00 (100,0%)
Notas em avaliações do curso web Questionário
Nota
Data da Correção
Correção
Módulo 01 - Segurança 100,00 (100%) Módulo 02 - Tecnologias 100,00 (100%) Módulo 03 - Gestor de Segurança da Informação 100,00 (100%) Módulo 04 - Vulnerabilidades 100,00 (100%) Módulo 05 - Mobilidades 100,00 (100%) Módulo 06 - Terceirização 100,00 (100%) Módulo 07 - Presente e Futuro 100,00 (100%) Módulo 08 - Limites 100,00 (100%) - Tópicos mostrados em vermelho fazem parte do cálculo da nota final do curso. - Notas assinaladas com um * não são definitivas. Este sinal indica que existem questões dissertativas dentro da avaliação que ainda não foram corrigidas pelo instrutor.
