Segurança em Tecnologia da Informação

Na segurança da informação, vários componentes estão envolvidos na gestão de riscos, tais como os agentes, as ameaças e os ataques. A fragilidade de um ativo, como os servidores que hospedam o sistema da Secretaria da Saúde, que pode ser explorada por uma ou mais ameaças, é chamada de:

• Risco.

• Incidente.

• Ameaça.

• Vulnerabilidade.

Qual é o elo mais fraco em relação a segurança da informação? Marque a alternativa correta.

• Segurança física.

• Segurança lógica.

• Segurança ambiental.

• Pessoas envolvidas no processo.

Os sistemas criptográficos contemporâneos se valem do poder de processamento dos computadores para criar algoritmos difíceis de quebrar, como os selecionados para a solução adotada pela Secretaria da Saúde. Essa mesma capacidade de processamento é uma das forças da criptoanálise. Nesse contexto, um dos conceitos (princípio de Kerckhoffs) que prevalecem para certificar ou homologar algoritmos criptográficos é que eles devem ser tão bem construídos que sua resistência a ataques de criptoanálise não deve residir no sigilo do algoritmo, mas, unicamente, no segredo da(o):

Marque a alternativa correta.

• Chave.

• Assinatura do remetente.

• Identidade do destinatário.

• Canal de transmissão.

Um tema muito recorrente, quando se pensa em segurança da informação, é a análise de riscos, que tem a função de indicar se um risco pode ou não ser aceito pela organização. Os riscos podem ser classificados como físicos, ambientais e riscos lógicos. Assinale a alternativa que contém o que pode ser considerado um risco lógico para este sistema da Secretaria da Saúde.

• Cabo desconectado durante limpeza.

• Vandalismo que gerou equipamentos destruídos.

• Parada dos servidores por causa de um vazamento de água dentro do datacenter.

• Ataque hacker.

Vários conceitos permeiam na análise e gestão de riscos em segurança da informação, tais como ameaças, vulnerabilidades, ataques, medidas protetivas, entre outros. No antigo sistema da Secretaria da Saúde, existia a fragilidade do armazenamento dos registros em papel que poderiam, por exemplo, serem queimados por um incêndio iniciado por um curto-circuito. A fragilidade deste ativo, que pode ser explorada por uma ou mais ameaças, é chamada de:

• Desastre.

• Vulnerabilidade.

• Risco.

• Incidente de segurança da informação.

Em um determinado momento, o servidor que hospeda o sistema da Secretaria de Saúde recebe uma quantidade de requisições de operações, vindas de números IPs distintos, muito acima das condições operacionais previstas para os seus recursos e “trava”, isto é, os seus serviços são interrompidos. Muitas empresas e entidades governamentais sofrem esse tipo de ataque hacker. Para realizá-lo, um atacante precisa distribuir um código, em vários computadores, normalmente sem o consentimento dos destinatários, que se tornam seus “zumbis”. Em um momento, o atacante ativa os “zumbis” que fazem muitos acessos a um determinado alvo, acabando por esgotar seus recursos e derrubando o sistema de informações. A respeito do ataque que o sistema da Secretaria de Saúde foi alvo, analise as afirmações a seguir:

I- É um ataque de negação de serviço (Denial Of Service).

II- É um ataque que ameaça o atributo da disponibilidade do sistema. III-É um ataque em que os hackers roubam as senhas dos usuários, para poder enviar requisições.

IV-É um ataque não detectável por sistemas de antivírus.

• As afirmativas I e II estão corretas.

• As afirmativas I e IV estão corretas.

• As afirmativas II e III estão corretas.

• As afirmativas III e IV estão corretas.

Segundo a Norma ISO/IEC 27002:2005, utilizada na preparação do prédio que hospeda o servidor, a segurança física e do ambiente tem como objetivo prevenir o acesso físico não autorizado, danos e interferências com as instalações e informações. Considerando o que foi estudado até aqui, assinale a alternativa CORRETA acerca do perímetro de segurança física a ser seguido.

• Devem-se construir barreiras lógicas e ambientais, onde aplicável, para impedir o acesso físico não autorizado e a contaminação do meio ambiente.

• As instalações de processamento da informação gerenciadas pela organização podem ficar fisicamente juntas daquelas que são gerenciadas por terceiros.

• A localização e a capacidade de resistência de cada perímetro dependem dos requisitos de segurança dos ativos existentes no interior do perímetro, e dos resultados da análise/avaliação de riscos.

• Os visitantes não precisam ser supervisionados, pois o registro da data e a hora da entrada e saída podem ser utilizados como o registro de acesso.

Uma das normas considerada na preparação do prédio do servidor é a ABNT NBR ISO/IEC 27.001. Dentre outras coisas, recomenta que a organização mantenha computadores desligados ou com a tela travada quando estes não estiverem em uso, além de não manter papéis com senhas ou descrição de acesso a informações críticas em locais desprotegidos, denominada “política de mesa limpa e tela protegida”. Com base no que você estudou, a adoção desse tipo de política objetiva o controle de:

• Gestão da continuidade do negócio.

• Gestão de incidentes de segurança da informação.

• Segurança de recursos humanos.

• Acessos.

Durante a preparação do prédio que hospeda o servidor do sistema da Secretaria da Saúde, foram levadas em consideração as principais normas de segurança lógica, física e ambiental. Para isto, várias medidas protetivas foram utilizadas. Correspondem a itens capazes de oferecer controle ou proteção no âmbito da segurança física preventiva. Marque a alternativa correta.

• As chaves públicas criptográficas.

• Os dispositivos de autenticação biométrica.

• Os sistemas de autenticação por senhas single sign-on.

• Os certificados digitais.

No que diz respeito à segurança do ambiente do prédio que fornece a infraestrutura para o servidor da Secretaria da Saúde, vários são os pontos que foram considerados, como a climatização do local, às instalações elétricas e fonte de energia alternativa. A respeito da umidade, o verdadeiro efeito que a alta umidade do ar pode causar em equipamentos elétricos é:

• O superaquecimento dos equipamentos.

• A corrosão dos equipamentos.

• O excesso de eletricidade dinâmica e a eventual queima de equipamento.

• O aumento no consumo de energia para reduzir a temperatura.