Bicatu

Uma das 10 áreas importantes que são cobertas no CISSP é o controle de acesso (access control).

Este é a capacidade de permitir ou negar o uso de um objeto (uma entidade passiva tal como um sistema ou arquivo) a um solicitante (uma entidade ativa como uma pessoa ou um processo). O uso é normalmente definido através de regras : escrita, leitura, execução, listagem, modificação e deleção.

Tipos de controle

Os controles podem ser preventivos (redução de riscos), detectivos (identificam violações e incidentes), corretivos (que amenizam as violações e incidentes e melhoram os controles preventivos e detectivos), de dissuação (que desencorajam violações), de recuperação (que restauram sistemas e informações e de compensação (controles alternativos)

Os controles de acesso podem ser :

1. administrativos
2. técnicos
3. físicos

* Controles administrativos

Incluem as políticas e procedimentos que uma organização implementa como parte de sua estratégia de segurança. Os controles administrativos asseguram que os controles técnicos e físicos são entendidos e corretamente implementados de acordo com a política de segurança da organização

Eles incluem:

• Políticas e procedimentos
• Treinamento de sensibilização de segurança
• Classificação e controle de bens
• Políticas e práticas de contratação
• Administração de contas
• Monitoramento de contas, logs e eventos (journal)
• Revisão de registros de auditoria

* Controles técnicos

Utilizam hardware e software para implementar o controle de acesso

Preventivos

• Criptografia
• Mecanismos de controle de acesso (biometrica, smartcard etc)
• Listas de controle de acesso
• Protocolos de autenticação remota (PAP, CHAP, RADIUS, LDAP)

Detectivos

• Reports de violação
• Logs de auditoria
• Monitoramento de rede e detecção de intrusão (IDS)

* Controles Físicos

Garantem a proteção e segurança do ambiente físico.

Preventivo

• Controles de aquecimento, ventilação e ar condicionado (HVAC)
• Perímetros de segurança (muros, grades, portas trancadas)
• Guardas e cachorros

Detectivos

• Sensores de movimentos
• Câmeras
• Sensores ambientais (detectar fumaça, calor, fogo)

Uma característica relevante quando se trata de controle de acesso é como ele se comporta quando falha. Quando um controle de acesso falha e restringe o acesso ele é chamado de fail closed. Quando um controle de acesso falha e permite o acesso ele é considerado fail open.

Serviços

Os sistemas de controle de acesso proveêm três serviços essenciais :

1. Autenticação
2. Autorização
3. Responsabilização

Autenticação

Composto de duas etapas : identificação e autenticação determina quem pode efetuar o login.

Autorização

Define os direitos e permissões do usuário ou processo. Se dá após a autenticação e define o que o usuário pode fazer com um sistema ou recurso.

Resposibilização (Accountability)

É a capacidade de associar as ações com o usuário que as executou. Define o que o usuário fez.

Associado a responsibilização um sistema deve ser capaz de impedir a repudiação, ou seja um usuário não pode negar uma ação realizada pelo mesmo.

No próximo blog abordaremos as categorias de controle de acesso.

O mercado de tecnologia de informação possui dezenas de subdivisões e dentre elas a que trata de segurança tem felizmente avançado. Uso o ‘felizmente’ para indicar que a preocupação com segurança, algo que sempre foi necessário mas igualmente ignorado, passa a ter cada vez mais relevância dentro das corporações.

O primeiro sinal de que uma determinada área ou subdivisão ganha importância é o aparecimento e solicitação por parte das empresas de certificações. Dentre as certificações que tratam do assunto uma tem apelo especial : CISSP.

Esta é conhecida por requerer que o pretendente tenha um conhecimento muito vasto em várias áreas da segurança, muitas delas fora do ambiente tecnológico ao qual todos estamos mais acostumados a atuar.

O CISSP define 10 domínios de conhecimento denominados de CBK (Common Body Knowledge) :

1. Access Control

   Engloba um conjunto de mecanismos utilizados para direcionar ou restringir o comportamento, uso e conteúdo de um sistema de informação. Ele define os direitos do usuário no sistema, incluindo o que o usuário pode fazer e que recursos estarão disponíveis.

2. Telecomunications and Network Security

   Engloba as estruturas, métodos de transmissão, formatos de transporte e medidas de segurança utilizadas para prover confidencialidade, integridade, disponibilidade e autenticação para transmissões em redes privadas e públicas.

3. Information Security and Risk Management

   Engloba o gerenciamento da segurança : identificação dos bens (informação) de uma empresa, documentação e implementação de políticas, padrões, procedimentos e guias que garantam confidencialidade, integridade e disponibilidade.

   Engloba também o gerenciamento de riscos : identificação, medição, controle e minimização de perdas associadas com eventos incertos e riscos, incluindo revisão de segurança, análise de riscos, gerenciamento decisorial, revisão de eficácia.

4. Application Security

   Engloba os controles incluídos dentro de sistemas e os passos usados em seu desenvolvimento.

5. Criptografia

   Envolve os princípios, meios e métodos de disfarçar para garantir a integridade, confidencialidade e autenticidade.

6. Security Architecture and Design

   Conceitos, princípios, estruturas e padrões usados para desenvolver, implementar, monitorar e prover segurança a sistemas, equipamentos, redes e aplicações.

7. Operations Security

   Controle de hardware, mídias e operações com acesso privilegiado a recursos, incluindo monitoramento e auditoria.

8. Business Continuity and Disaster Recovery Planning

   Preparação, teste e atualização de ações específicas para proteger processos críticos do negócio do efeito de falhas de sistema e de rede.

9. Legal, Regulations, Compliance and Investigations

   Envolve as leis para crimes digitais, regulações, lidando com incidentes, medidas investigativas, código de conduta.

10. Physical Security

    Ameaças e contra-medidas relacionadas a proteção física de pessoas, locais, dados, equipamentos, sistemas de suporte, mídia e suprimentos.

Recomendo a todos os que estejam interessados seriamente em segurança que pelo menos estudem para o CISSP. Mesmo que não consigam a certificação o escopo e abrangência dos assuntos irão abrir horizontes e lhe permitirão analisar de maneira mais crítica a segurança e como a mesma é tratada dentro de sua organização.