Os 3 Pilares da Segurança da Informação

O que é Informação?

Fala-se tanto de vazamento de dados hoje em dia, que achamos que dados são informações - e não são.

Um dado é o menor elemento quantificável de um objeto ou evento. É algo que foi armazenado.

Quantificável é algo que pode ser contado ou medido. Um nome, ou um número é um dado.

Mas isso não nos ajuda em nada. Aliás, coisas abstratas não fazem parte do mundo dos dados.

Quando um dado é acrescido de um significado, ele então se torna informação. O número 1967, acrescido do nome X já começa a fazer algum sentido, ter alguma referência.

Geralmente, para gerar uma informação, vários dados são necessários.

Diferença entre Dado e Informação: Informação é um conjunto de dados que fazem sentido.

Quem trabalha com planilhas ou com bancos de dados consegue entender como dados, organizados em colunas e linhas, transformam-se em informação relevante.

Para que Servem Informações?

Informações são usadas para uma infinidade de propósitos:

Resolver problemas e Ajudar na tomada de decisões
Registrar históricos e Armazenar materiais de referência
Monitorar, coordenar e controlar processos
Auxiliar em campanhas de marketing/publicidade
Aprimorar a experiência do usuário (“user experience”)

O Ativo mais Importante da Atualidade

Você já parou para pensar na quantidade de dados que estão sendo gerados hoje? Dados coletados em websites, e-mails, mídias sociais, através de dispositivos IoT...

Tudo isso é devido à conectividade que a internet proporciona. Para onde estão indo esses dados?

Imagine agora que cada campo que você preencheu num site, cada cadastro que você fez num novo APP, virou um dado!

Seus dados estão espalhados por aí, em incontáveis bancos de dados - são os seus dados pessoais que vão se tornando informações - são referentes à você.

Sua localização, idade, profissão, áreas de interesse e atuação, preferências de compra, formas de pagamento - TUDO está armazenado em algum lugar.

Por isso a internet é o chamado “local inseguro”. Perdemos o controle sobre as informações que geramos. E elas são o material usado nos crimes cibernéticos.

Como Garantir a Segurança da Informação?

A internet é um meio público de comunicação. Mas não é a única forma de geração de informações: elas podem estar nas formas escrita, impressa, gravada ou eletrônica. A Segurança da Informação - segundo a ISO/IEC 27002:2005, contempla a proteção contra diferentes tipos de ameaça, com o propósito de garantir:

a continuidade do negócio
minimizar riscos
aumentar o retorno sobre investimentos

Ainda segundo a ISO/IEC 27001:2005, a proteção de informações implica a preservação de 3 de suas propriedades: Confidencialidade, Integridade e Disponibilidade. Vamos entender?

Os 3 Pilares da Segurança da Informação

1 - CONFIDENCIALIDADE: A informação deve ser revelada/estar visível apenas às pessoas que estiverem autorizadas a acessá-las.

É preciso assegurar que os dados são confidenciais quando são armazenados, transmitidos e quando estiverem sendo processados.

Ameaças e Formas de Promover Confidencialidade:

Algumas violações de confidencialidade incluem: “Packet Sniffing” (alguém captura o tráfego enquanto você está transmitindo dados na rede) e “Breaking Encryption” (exposição não proposital de dados por um usuário).

A maneira mais eficaz de reforçar a confidencialidade de dados é através do uso de Criptografia. O TheWebGuardian acabou de publicar um post sobre esse assunto - Leia aqui!

2 - INTEGRIDADE: A integridade refere-se à exatidão e plenitude das informações. Aqui entende-se que, quando a integridade dos dados foi comprometida, os dados enviados não vão ser os mesmos recebidos pelo destinatário.

As informações podem até sofrer alterações ao longo do tempo, mas estas devem ser legítimas.

Ameaças e Formas de Promover Integridade:

Vulnerabilidades de integridade podem acontecer com o chamado ataque “Man in The Middle”, em português seria “Homem no Meio do Caminho” (malfeitor que intercepta o tráfego).

O melhor modo de reforçar integridade é usando Hashes (tipo de sumário ou resumo da mensagem – se algo for modificado na mensagem original, o hash também mudará).

3 - DISPONIBILIDADE: Os dados precisam estar acessíveis somente quando necessário, e somente àqueles que tiverem autorização para isso.

Ameaças e Formas de Promover Disponibilidade:

Violações de disponibilidade acontecem quando alguém danifica a infra-estrutura de comunicação ou o servidor web. Isto pode acontecer com os ataques DoS e DDoS.

Pode-se melhor contornar problemas deste tipo através de Redundância. Isto significa evitar ter o Único Ponto de Falha (“Single Point of Failure”).

Isso pode ser feito instalando-se múltiplos links de comunicação, ou vários web servers. Assim ganha-se mais tempo para detectar/resolver o problema.

NOS VEMOS NOS PRÓXIMOS POSTS!