Segurança Informática - Políticas
Neste capítulo, explicaremos as políticas de segurança que são a base da segurança da infraestrutura de tecnologia da sua empresa.
De certa forma, são reguladores do comportamento dos seus colaboradores em relação ao uso da tecnologia no ambiente de trabalho, podendo minimizar o risco de hackeamento, vazamento de informações, má utilização da internet e também garante a salvaguarda dos recursos da empresa.
Na vida real, você notará que os funcionários da sua organização sempre tendem a clicar em URLs infectados ou infectados por vírus ou em anexos de e-mail com vírus.
Papel da política de segurança na configuração de protocolos
A seguir estão algumas dicas que ajudam na configuração de protocolos u para a política de segurança de uma organização.
- Quem deve ter acesso ao sistema?
- Como deve ser configurado?
- Como se comunicar com terceiros ou sistemas?
As políticas são divididas em duas categorias -
- Políticas do usuário
- Políticas de TI.
As políticas de usuário geralmente definem o limite dos usuários em relação aos recursos de computador em um local de trabalho. Por exemplo, o que eles têm permissão para instalar em seus computadores, se eles podem usar armazenamentos removíveis.
Visto que as políticas de TI são projetadas para o departamento de TI, para proteger os procedimentos e funções das áreas de TI.
General Policies- Esta é a política que define os direitos dos funcionários e o nível de acesso aos sistemas. Geralmente, está incluso até mesmo no protocolo de comunicação como medida preventiva em caso de desastres.
Server Policies- Isso define quem deve ter acesso ao servidor específico e com quais direitos. Quais softwares devem ser instalados, nível de acesso à internet, como devem ser atualizados.
Firewall Access and Configuration Policies- Define quem deve ter acesso ao firewall e que tipo de acesso, como monitoramento, alteração de regras. Quais portas e serviços devem ser permitidos e se devem ser de entrada ou saída.
Backup Policies - Define quem é o responsável pelo backup, qual deve ser o backup, onde deve ser feito, por quanto tempo deve ser mantido e a freqüência do backup.
VPN Policies- Essas políticas geralmente acompanham a política de firewall, ela define os usuários que devem ter um acesso VPN e com quais direitos. Para conexões site a site com parceiros, define o nível de acesso do parceiro à sua rede, tipo de criptografia a ser definido.
Estrutura de uma política de segurança
Ao compilar uma política de segurança, você deve ter em mente uma estrutura básica para tornar algo prático. Alguns dos pontos principais que devem ser levados em consideração são -
- Descrição da política e para que serve?
- Onde esta política deve ser aplicada?
- Funções e responsabilidades dos funcionários afetados por esta política.
- Procedimentos que estão envolvidos nesta política.
- Consequências se a política não for compatível com os padrões da empresa.
Tipos de políticas
Nesta seção, veremos os tipos mais importantes de políticas.
Permissive Policy - É uma política de restrição média em que, como administrador, bloqueamos apenas algumas portas de malware conhecidas em relação ao acesso à Internet e apenas algumas explorações são levadas em consideração.
Prudent Policy - Esta é uma política de alta restrição onde tudo é bloqueado no que diz respeito ao acesso à internet, apenas uma pequena lista de sites é permitida, e agora são permitidos serviços extras em computadores para serem instalados e logs são mantidos para cada usuário.
Acceptance User Policy- Esta política regula o comportamento dos usuários em relação a um sistema ou rede ou mesmo a uma página da Web, de forma que seja explicitamente dito o que um usuário pode e não pode fazer em um sistema. Por exemplo, eles têm permissão para compartilhar códigos de acesso, podem compartilhar recursos, etc.
User Account Policy- Esta política define o que um usuário deve fazer para ter ou manter outro usuário em um sistema específico. Por exemplo, acessar uma página da web de comércio eletrônico. Para criar esta política, você deve responder a algumas perguntas como -
A senha deve ser complexa ou não?
Que idade os usuários devem ter?
Máximo de tentativas ou falhas permitidas para fazer login?
Quando o usuário deve ser excluído, ativado, bloqueado?
Information Protection Policy - Esta política tem como objetivo regular o acesso à informação, quente para processar a informação, como armazenar e como deve ser transferida.
Remote Access Policy- Esta política é principalmente para grandes empresas onde o usuário e suas filiais estão fora de sua sede. Informa o que os usuários devem acessar, quando podem trabalhar e em quais softwares, como SSH, VPN, RDP.
Firewall Management Policy - Esta política tem a ver explicitamente com seu gerenciamento, quais portas devem ser bloqueadas, quais atualizações devem ser feitas, como fazer alterações no firewall, por quanto tempo os logs devem ser mantidos.
Special Access Policy- Esta política tem como objetivo manter as pessoas sob controle e monitorar os privilégios especiais em seus sistemas e a finalidade de por que eles os possuem. Esses funcionários podem ser líderes de equipe, gerentes, gerentes seniores, administradores de sistema e pessoas de alta designação.
Network Policy- Esta política visa restringir o acesso de qualquer pessoa ao recurso da rede e deixar claro quem terá acesso à rede. Também irá garantir se essa pessoa deve ser autenticada ou não. Esta política também inclui outros aspectos como, quem vai autorizar os novos dispositivos que serão conectados à rede? A documentação das mudanças na rede. Filtros da Web e níveis de acesso. Quem deve ter conexão wireless e o tipo de autenticação, validade da sessão de conexão?
Email Usage Policy- Esta é uma das políticas mais importantes que devem ser feitas porque muitos usuários usam o e-mail comercial para fins pessoais também. Como resultado, as informações podem vazar para fora. Alguns dos pontos principais desta política são os funcionários devem saber a importância deste sistema que eles têm o privilégio de usar. Eles não devem abrir nenhum anexo que pareça suspeito. Dados privados e confidenciais não devem ser enviados por e-mail criptografado.
Software Security Policy- Esta política tem a ver com o software instalado no computador do usuário e com o que ele deve ter. Alguns dos pontos-chave desta política são: O software da empresa não deve ser fornecido a terceiros. Apenas a lista branca de softwares deve ser permitida, nenhum outro software deve ser instalado no computador. Warez e software pirateado não devem ser permitidos.