Mestrado em Segurança da Informação e Direito no Ciberespaço. Segurança da informação nas organizações Gestão de Configuração

Transcrição

1 Escola Naval Mestrado em Segurança da Informação e Direito no Ciberespaço Segurança da informação nas organizações Gestão de Configuração Fernando Correia Capitão-de-fragata EN-AEL 14 de Dezembro de 2013 Fernando Correia (Ph.D Eng. Informática) 1/24

2 Índice 1 Gestão das alterações 2 Plano de Contingência Fernando Correia (Ph.D Eng. Informática) 2/24

3 Objectivos Compreender a necessidade de estabelecer uma estrutura formal e um processo de gestão das alterações da configuração do Sistema de Informação da Organização. Fornecer uma aproximação formal para gerir as alterações à configuração do Sistema de Informação. Fernando Correia (Ph.D Eng. Informática) 3/24

4 Segurança em Redes Gestão das alterações Fernando Correia (Ph.D Eng. Informática) 4/24

5 Programa de Gestão das Alterações Factores que podem resultar na alteração da configuração da Segurança da Informação da Organização: 1 Alterações frequentes no equipamento TIC da organização. Actualizações de software e de hardware. 2 Alterações no modelo de negócio da Organização pode carecer de alterações na infraestrutura das TIC. 3 A descoberta de vulnerabilidades ao nível da segurança requer alteração de software e de hardware da Organização. 4 O conhecimento tecnológico dos colaboradores cresce com o tempo. O desenvolvimento de soluções locais dentro da organização pode colocar em causa a segurança das TIC. 5 Aumento substancial de produtos comercial off-the-shelf (COTS). Estes produtos podem conter software malicioso se não existir controlo de qualidade. 6 Outsourcing: dependência de terceiros para manter os Sistemas de Informação da Organização. Fernando Correia (Ph.D Eng. Informática) 5/24

6 Aproximação à Gestão de Configuração Fernando Correia (Ph.D Eng. Informática) 6/24

7 Aproximação à Gestão de Configuração A Gestão de Configuração fornece mecanismos para gerir as alterações nos SI da Organização Processos técnicos e administrativos 1 Identificação e documentação das características físicas e funcionais do SI. 2 Controlo das alterações dessas características. 3 Manter registo dos processos de alteração. Fernando Correia (Ph.D Eng. Informática) 7/24

8 Aproximação à Gestão de Configuração A intenção da Gestão de Configuração é: 1 Fornecer um mecanismo que documente todas as alterações 2 Antecipar os custos/tempo necessárias às alterações. 3 Manter a integridade do planeamento. 4 Manter actualizado a documentação relativas às alterações propostas. Fernando Correia (Ph.D Eng. Informática) 8/24

9 Grupo de Controlo de Configuração (GCC) A gestão de configuração pode ser definida através de perspectivas Estruturais ou Funcionais. Estruturais Um grupo de peritos é reunido para criar o Grupo de Gestão de Configuração da Organização, onde são decididos os processos de alteração da configuração. Funcionais A gestão de configuração consiste na identificação da configuração, controlo da configuração, relato da situação da configuração e auditoria da configuração. Fernando Correia (Ph.D Eng. Informática) 9/24

10 Grupo de Controlo de Configuração (GCC) O GCC tem a responsabilidade de gerir globalmente as alterações do SI. Os elementos do GCC podem ser técnicos ou utilizadores do sistema. Temas do GCC: requisitos funcionais; custos de activação e manutenção do sistema de informação; custos administrativos e de pessoal; formação. Fernando Correia (Ph.D Eng. Informática) 10/24

11 Identificação da Configuração Relatar as funcionalidades e equipamento das TIC (software e hardware). As funcionalidade e os equipamentos dos SI devem ter identificadores únicos, que facilitem a identificação das versões. A identificação da configuração deve estar de acordo com a linha base do SI. Uma alteração de versão, seja de hardware ou de software, deve ter uma identificação da configuração diferente. O tratamento de duas versões de configuração diferentes, permite comparações item-a-item. Fernando Correia (Ph.D Eng. Informática) 11/24

12 Pedido de alterações Classificação das alterações: Os pedidos de alterações devem ser classificados em termos de impacto técnico, de custo e de tempo. Classe I - a alteração tem impacto directo nos recursos, nas funcionalidades, ou operações da organização. Classe II - uma alteração nos SI - hardware ou software - ou na configuração dos mesmos. Classse III - assuntos que não se inserem nas Classe I, Fernando Correia (Ph.D Eng. Informática) 12/24

13 Pedido de alterações Alterar categorias: A categorização das alterações deve ter um acompanhamento do GCC. As categorias podem ser: Design - design do sistema ou de software. Necessidade - funcionalidade ou desempenho do sistema ou do software. Software - sistema operativo ou aplicações. Base de dados - ficheiros de dados ou base de dados. Interface - interfaces inter-sistemas e inter-aplicações. Documentação - design, desenvolvimento, utilizadores, ou qualquer manual de suporte. Comunicações - configuração de equipamentos da rede - routers, switch, proxy, gateways, etc. Fernando Correia (Ph.D Eng. Informática) 13/24

14 Pedido de alterações Prioritização das alterações: A categorização das alterações permite definir as prioridades de implementação das respectivas alterações. Podem ser definidas as seguintes prioridades: Urgentes Necessária Desejável Fernando Correia (Ph.D Eng. Informática) 14/24

15 Pedido de alterações Urgente se não for implementada, as operações da organização podem ser comprometidas; prevenção de operações; situação de risco que pode por em causa pessoas e sistemas; Necessário se não for implementada a alteração, o modelo de negócios da organização pode eventualmente ficar comprometido; a alteração vai corrigir potenciais situações de risco para o sistema; a alteração é necessária para que sejam cumpridos requisitos contratuais do sistema; Desejável Alterações de prioridade baixa que não se enquadram nas duas categorias anteriores. Fernando Correia (Ph.D Eng. Informática) 15/24

16 Acções correctivas/discrepâncias Os requisitos funcionais do SI podem ser alterados devido a discrepâncias no funcionamento do sistema. Numa situação desta natureza, são necessárias acções correctivas. As acções correctivas podem ser enquadradas nas seguintes áreas: falha de hardware ou de comunicações; falha CPU, impressoras, monitores, etc; falha nas funcionalidades do Sistema Operativo; correcção de anomalias observa em documentação, tais como, informação incorrecta ou erros de sintaxe ou ortográficos. Fernando Correia (Ph.D Eng. Informática) 16/24

17 Controle das Alterações Todas as alterações ao sistemas têm que ser controladas. O software operacional do sistema, embora tenha características genéricas, pode ser customizado para ir ao encontro de requisitos do modelo de negócio. O controle administrativo e operacional deve ser executado durante o processo de modificação por forma a garantir que as alteração feitas são as requeridas, aprovadas, codificadas, testadas, documentadas e autorizadas. Fernando Correia (Ph.D Eng. Informática) 17/24

18 Relato do estado da Configuração O relato do estado da Configuração envolve a preparação e manutenção de listas de trabalho, onde estão incluídos os procedimentos a realizar. A configuração de um sistema de acompanhamento irá fornecer a capacidade de seguir todas as alterações relacionadas com o SI. Configuração de Auditoria A configuração de um sistema de Auditoria implica verificar toda a configuração do SI da organização, para determinar quais as alterações que foram autorizadas e quais as configurações que devem ser mantidas. Deve ser verificado periodicamente auditorias ao sistema a fim de se verificar o Estado da Configuração. Fernando Correia (Ph.D Eng. Informática) 18/24

19 Segurança em Redes Plano de Contingência Fernando Correia (Ph.D Eng. Informática) 19/24

20 Planear para o pior (1) Existe uma dicotomia entre utilizadores e entidades certificadoras. As entidades certificadoras têm como objectivo proteger a informação, enquanto que os utilizadores pretendem ter a informação disponível em qualquer lugar. A dependência da organização de SI para o seu modelo de negócio, significa que quando os sistemas, ou as redes não estão disponíveis, a operação não funciona. A disponibilidade da informação é o principal interesse dos utilizadores, incluindo, dos administradores de sistema. Fernando Correia (Ph.D Eng. Informática) 20/24

21 Planear para o pior (2) Quando os serviços são interrompidos, é necessário existirem backups que garantam que as funções de segurança e os dados dos utilizadores são mantidos. Disponibilidade: objectivo do plano de contingência Garantir que os sistemas críticos e activos de rede estão disponíveis. Plano de contingência: Resposta a situações de emergência, e recuperação de pós-desastre, através de procedimentos compreensivos, consistentes, documentados e testados. Fernando Correia (Ph.D Eng. Informática) 21/24

22 Backups: o que fazer e como backups frequentes de dados e sistemas críticos devem ser guardados em local seguro. Porque se deve fazer backups: 1 recuperar dados quando o sistema de armazenamento não funciona. 2 executar os procedimentos preventivos de manutenção. Os planos de contingência devem considerar o seguinte: perda imediata de dados. perda de sistemas de armazenamento de dados (media). manter dados antigos - gestão de espaço de armazenamento. Fernando Correia (Ph.D Eng. Informática) 22/24

23 Planos de Emergência / Recuperação de Desastre Os desastres podem acontecer em qualquer altura, sem aviso, e podem paralisar toda a actividade de uma organização, localmente. Os planos de emergência / recuperação devem ter em consideração os seguintes procedimentos: Procedimentos de destruição Procedimentos de evacuação Procedimentos para situações de coação Protecção contra incêndios Desastres naturais Sabotagem etc. Fernando Correia (Ph.D Eng. Informática) 23/24

24 Dúvidas? Fernando Correia (Ph.D Eng. Informática) 24/24