Segurança em bancos de dados - Aplicando normas e procedimentos - Revista SQL Magazine 103

Nos dias atuais, os negócios estão cada vez mais dependentes das tecnologias e estas precisam garantir que a informação utilizada esteja segura, respeitando os níveis de prioridade e necessidade de cada empresa. A segurança da informação está associada à proteção existente sobre os dados de uma determinada empresa ou pessoa, e por este motivo é um dos assuntos que possui mais relevância em praticamente todas as organizações que oferecem produtos e serviços em tecnologia da informação.

Para entender melhor a segurança da informação, é importante ter em mente seus atributos básicos, que segundo os padrões internacionais (ISO/IEC 17799:2005) são:

· Confidencialidade: É a capacidade de um sistema de permitir que algum usuário acesse determinadas informações ao mesmo tempo em que impede que outros, não autorizados, as vejam;

· Integridade: Propriedade que garante que a informação manipulada mantenha todas as características originais estabelecidas pelo proprietário da informação, incluindo controle de mudanças e garantia do seu ciclo de vida (nascimento, manutenção e destruição);

· Disponibilidade: Propriedade que garante que a informação esteja sempre disponível para o uso legítimo, ou seja, para aqueles usuários autorizados pelo proprietário da informação;

· Irretratabilidade: Propriedade que garante a impossibilidade de negar a autoria em relação a uma informação.

Neste artigo abordaremos em detalhes a aplicação destes atributos básicos sob a ótica de banco de dados na plataforma SQL Server. No entanto, salientamos que a aplicação destes atributos não se limita apenas a bancos de dados e que a abrangência deste assunto contém diversos pontos que ultrapassam o escopo deste artigo. Assim, caso tenha interesse em obter mais informações, consulte as normas utilizadas como referência.

Política de Segurança da Informação

A implementação de uma política de segurança da informação segue o modelo do ciclo PDCA (ou ciclo de Deming), onde temos quatro passos:

· Planejar (Plan): Neste passo devemos identificar os ativos a serem protegidos através da análise de riscos (ver Nota DevMan 1);

· Realizar (Do): Uma vez definido os ativos a serem protegidos, bem como as ameaças, devemos colocar em ação o planejamento realizado e aplicar os mecanismos necessários para atender os requisitos de proteção identificados;

· Verificar (Check): Após a implementação do plano através do passo anterior, devemos monitorar se o plano está sendo seguido e se necessita ser revisado;

· Agir (Act): Após a monitoração e revisão, é necessário ter um plano de ação para reiniciar o ciclo e planejar mudanças na política estabelecida no plano anterior.

Nota DevMan 1. Análise de riscos

Consiste em verificar e minimizar a possibilidade de acontecimentos não esperados que possam afetar o negócio.

A Figura 1 apresenta o ciclo de Deming aplicado à segurança da informação.

Figura 1. Ciclo PDCA aplicado a segurança da informação.

A política de segurança da informação deve estar descrita em um documento formal e devem ser informados claramente os procedimentos e responsabilidades para manter a informação segura.

Os itens a seguir apresentam uma sugestão de tópicos para a confecção de um documento que descreve a política de segurança da informação:

· Definição: Este tópico deve conter o resumo das metas e escopo, bem como a importância da segurança da informação como um mecanismo que viabiliza o compartilhamento das informações;

· Declaração: Apresentação do comprometimento da alta direção apoiando as metas estabelecidas no âmbito da segurança da informação;

· Estrutura dos Controles: Apresenta as etapas para o estabelecimento de controles (Físico: portas, catracas, blindagem, etc.; Lógico: sistemas biométricos, firewalls, cartões inteligentes) e o objetivo de cada um destes, bem como a maneira como é realizada a análise e o gerenciamento de riscos;

· Conformidade com a Legislação: Descreve quais leis ou princípios regulatórios vigentes regem alguns controles;

· Treinamento: Deve conter o plano de treinamento em Segurança da Informação;

· Gestão de Continuidade de Negócio: Apresenta o conjunto de estratégias e procedimentos que visam garantir que não haverá interrupção das atividades do negócio;

· Consequências das Violações: Informa as consequências da violação da política;

· Definição das responsabilidades: Visa designar responsabilidades sobre cada ativo e pelo cumprimento de processos de segurança da informação;

· Referências: Apresentam os documentos que apoiam a política estabelecida, objetivando alcançar a conscientização dos colaboradores de uma determinada organização.

É necessário divulgar constantemente a política visando ter uma implementação realista e respeitada, bem como divulgar as revisões periódicas, uma vez que ao longo do tempo algumas normas ou procedimentos podem perder o sentido e novas ameaças podem surgir.

Análise de Riscos

O objetivo da análise de riscos é identificar e avaliar os riscos e ameaças direcionados ao departamento de TI. Este artigo expõe de forma resumida os passos mínimos para uma avaliação de riscos seguindo a norma ISO/IEC17799:2005. Isto inclui:"