A segurança das Tecnologias de Informação não envolve apenas a tecnologia, o hardware e o software, envolve a protecção dos dados, a informação, os processos, a cultura organizacional, envolve toda propriedade intelectual da Empresa. O crescente número de ataques às TI destaca a necessidade de considerar a segurança dos sistemas de informação como um factor crítico de negócio.
Para reduzir o risco de interrupções de negócio, de mitigar falhas complexas nos sistemas, de cumprir com os requisitos legais envolventes e garantir a sustentabilidade futura da Empresa, estas devem ter implementado controlos que permitam obter uma visão global efectiva do nível de segurança presente nas suas infraestruturas.
Principais ameaças
Actualmente as principais ameaças à segurança são:
- DOS/ DDOS (Denial Of Service/ Distributed Denial Of Service): Direcionado a criar indisponibilidade de serviço e impossibilitar a empresa de operar os seus sistemas, levando a uma potencial perda financeira;
- MITM (Man-in-the-middle): Ataques que visam obter acesso privilegiado a informação. Se for efectuado na rede interna poderá ter impacto elevado;
- Password cracking/Bruteforce: Processo de descoberta de passwords, através de tentativa e erro. Só é passível de ser efectuado se os serviços não estiverem protegidos com os devidos controlos de segurança;
- Ramsomware: O ataque que tem sido mais noticiado. A informação é encriptada e apenas fica disponível após pagamento de uma quantia. Pagar este valor não garante a recuperação dos dados. Este tipo de ataque normalmente é despoletado através da rede interna, contudo a ameaça pode ser proveniente do exterior (abertura de um e-mail infectado);
- Ataques de engenharia social: Uma das grandes vulnerabilidades dos sistemas, encontra-se nas pessoas que os operam. Apenas estas são capazes de contornar controlos, por mais rígidos que sejam. E é por este motivo que é importante não descurar possíveis ataques de engenharia social. É fundamental a consciencialização para o tema, normalmente denominada por “security awareness”.
Que sistemas devem ser salvaguardados?
Antes de avançar para as melhorias no ambiente de segurança de tecnologias de informação, é fundamental efectuar a devida análise de risco.
Primeiramente é necessário um forte investimento financeiro para tornar as aplicações robustas do ponto de vista de segurança e acima de tudo é necessário assegurar que este investimento é feito periodicamente, pois estão constantemente a surgir novas ameaças.
É neste sentido que a análise de risco se torna fundamental, para determinar quais são as aplicações mais críticas para a continuidade do negócio e quais são as aplicações que contêm dados mais relevantes. O foco de segurança deve ser essencialmente sobre estas aplicações, para assegurar que caso haja uma falha de segurança, os dados não serão divulgados a terceiros.
Quanto maior a exposição à Internet (e-mails, websites, outros serviços), maior é a probabilidade do ser alvo de ataque. Também deve ser ponderada a real necessidade de exposição de determinados serviços. Apenas após a determinação do âmbito é que devem direccionar os esforços à melhoria do ambiente de Tecnologias de Iinformação.