Roubo de Informações – Medidas de proteção

 As medidas de proteção têm por objetivo evitar que a ameaça de roubo de informações se concretize. Caso a ameaça se materialize, temos por objetivo que essa ocorrência seja rapidamente identificada e que as medidas de minimização do impacto para a organização sejam realizadas. Para a ameaça de roubo de informações podemos destacar algumas contra medidas. A primeira delas é o conjunto de barreiras de proteção. A barreira de proteção é um conjunto de ações implantadas que tentam impedir que pessoas não autorizadas acessem a informação ou a mídia/meio onde a informação está armazenada ou por onde a informação está sendo transmitida. A primeira barreira é a barreira física. Devem existir proteções como porta com fechadura ou similar para garantir que somente pessoas autorizadas podem acessar aquele ambiente físico. Complementar a esse tipo de proteção podemos ter uma melhor segurança com a presença física e constante de um guarda patrimonial ou equivalente. A segunda barreira é o controle de acesso lógico que acontece através de sistemas que exigem do usuário uma autenticação forte, sendo também necessário que o usuário tenha sido previamente cadastrado. A terceira barreira, caso uma pessoa indevida consiga acesso de forma direta à mídia onde se encontram os dados, é a criptografia das informações. Dessa maneira, caso uma pessoa que não possua a devida autorização tome posse da mídia onde estão as informações, ela não conseguirá entender a informação inicial, em função de que a informação gravada na mídia foi submetida a um processo de criptografia. Uma quarta barreira de proteção possível para aquelas informações de alto sigilo é a separação da informação de maneira que nenhum recurso possua toda a informação daquela situação. Para cada uma dessas barreiras existem ações que podem quebrar a proteção implantada: uma porta pode ser arrombada, um cadeado pode ser aberto de maneira anormal, uma autenticação via senha pode ser descoberta e uma criptografia pode ser quebrada. Tudo depende do grau de solidez e custo da solução implantada. Arrombar uma porta de madeira é bem mais fácil do que arrombar a porta de um cofre. Lembre-se que o ladrão possui limitadores: o tempo e o custo para acessar a informação. Para o caso da criptografia existem algoritmos que utilizam chaves de vários tamanhos. Quando maior o tamanho da chave mais difícil (e demorada) será a quebra da criptografia. Porém, podemos afirmar que existem soluções técnicas (e processos) de boa proteção, compatíveis com o grau de proteção desejado A segunda medida preventiva que se deve implantar é o registro de quem está acessando a informação. A colocação de um circuito inteligente de gravação de imagem registra quem está acessando uma midia que contem a informação. Esta pode ser uma medida de inibição em função de que a pessoa sabe que sua imagem ficará gravada e seu reconhecimento acontecerá logo após a detecção da fraude. Para esse tipo de medida na maioria das vezes é adequado informar a existência dessa proteção. Em situações mais específicas esse sistema deve ficar em segredo. Em relação ao mundo virtual esta proteção significa ter o registro das tentativas de acesso (com sucesso e sem sucesso) à informação. A terceira medida para prevenção é a existência prévia de um processo que permita a manutenção das evidências de roubo. Normalmente essa é uma atividade que recebe pouca importância, mas é crucial. E temos que admitir que precisamos contar com a ajuda de um  especialista no assunto forense para que nos auxilie a preparar esse processo previamente. Essa questão das evidências do roubo vale tanto para o mundo real como para o mundo virtual. O quarto grupo de ações é a continua avaliação de risco em relação ao acesso (físico e lógico) da informação e do bem de informação que se quer proteger. Esse contínuo planejar, analisar, melhorar e implantar, permitirá a antecipação de situações que poderiam utilizar de vulnerabilidades existentes. O quinto grupo de ações de proteção é a existência de ações detectivas que permitam a identificação o mais rápido possível de uma situação de roubo de informação. Muitas vezes isso não é fácil porque apenas acontece o roubo da informação e a mídia que contêm a informação continua intacta e não apresenta evidência física de roubo. As medidas corretivas formam o último bloco das medidas de proteção. Após a ocorrência do roubo de informação (apenas informação ou das mídias que contêm informação) deve-se ter definido o que será necessário fazer para que a organização tenha o menor impacto. O conhecimento dessas medidas de proteção é relativamente fácil. O difícil é a implantação e a dosagem de implantação dos controles de proteção. A área de negócio deve informar a área de segurança qual o valor da informação a ser protegida e a partir daí a segurança da informação deve definir os controles adequados de proteção que serão implantados. Afinal a proteção da informação é para a organização: seu negócio, sua imagem, seu futuro! Edison Fontes, CISM, CISA. Gerente Sênior CPM Braxis. Participa ABSEG, ISACA e InfoSecCouncil. [email protected]