Segurança e Auditoria em Sistemas de Informação
1. Introdução
A crescente dependência das organizações em relação às tecnologias de informação
tornou a segurança dos sistemas um elemento fundamental para a continuidade dos
negócios. Os Sistemas de Informação (SI) armazenam, processam e transmitem dados
essenciais, exigindo mecanismos eficazes de proteção contra acessos não autorizados,
perdas de dados, fraudes e ataques cibernéticos.
A auditoria de Sistemas de Informação surge como uma ferramenta de controlo e
avaliação, permitindo verificar se os recursos tecnológicos estão protegidos, operam de
forma eficiente e cumprem as normas, políticas e regulamentações aplicáveis.
2. Conceito de Segurança em Sistemas de Informação
A Segurança da Informação corresponde ao conjunto de medidas, políticas,
procedimentos e tecnologias adotadas para proteger os sistemas de informação e os dados
organizacionais contra acessos não autorizados, perdas, alterações indevidas e
interrupções de serviço.
De acordo com a norma ISO/IEC 27001, a segurança da informação assenta em três
princípios fundamentais, conhecidos como a tríade CIA (Confidencialidade,
Integridade e Disponibilidade):
a) Confidencialidade
Garante que a informação seja acessível apenas a utilizadores devidamente autorizados,
evitando a divulgação indevida de dados sensíveis.
Exemplo: Apenas colaboradores do departamento financeiro podem aceder a
informações salariais dos funcionários.
b) Integridade
Assegura que a informação permanece exata, completa e não sofre alterações não
autorizadas durante o seu armazenamento, processamento ou transmissão.
Exemplo: Um registo de pagamento não pode ser alterado sem a devida autorização e
validação do sistema.
c) Disponibilidade
Garante que os sistemas e a informação estejam acessíveis e operacionais sempre que
forem necessários pelos utilizadores autorizados.
Exemplo: O sistema bancário deve estar continuamente disponível para permitir
transações dos clientes, sem interrupções significativas.
Principais Ameaças à Segurança da Informação
As ameaças à segurança da informação correspondem a todos os fatores internos ou
externos que podem comprometer a confidencialidade, integridade e disponibilidade dos
sistemas de informação e dos dados organizacionais. Estas ameaças podem ser
classificadas em humanas, tecnológicas e físicas.
1. Ameaças Humanas
Resultam da ação direta ou indireta de pessoas, seja de forma intencional ou acidental,
representando uma das maiores fontes de risco para os sistemas de informação.
Exemplos:
•
Fraudes internas, envolvendo manipulação indevida de sistemas ou dados por
colaboradores;
•
Roubo de informações sensíveis, como bases de dados ou credenciais de acesso;
•
Engenharia social, que explora a confiança humana para obter acesso não
autorizado;
•
Erros operacionais, como configurações incorretas ou eliminação acidental de
dados.
2. Ameaças Tecnológicas
Estão relacionadas com softwares maliciosos e ataques informáticos que exploram
vulnerabilidades dos sistemas.
Exemplos:
•
Vírus, que se propagam e danificam ficheiros e sistemas;
•
Worms, que se replicam automaticamente em redes;
•
Ransomware, que bloqueia sistemas ou dados mediante pedido de resgate;
•
Spyware, que recolhe informações sem autorização do utilizador;
•
Ataques de negação de serviço (DDoS), que sobrecarregam servidores e tornam
serviços indisponíveis.
3. Ameaças Físicas
Envolvem fatores ambientais ou eventos que afetam a infraestrutura física onde os
sistemas estão instalados.
Exemplos:
•
Incêndios, que podem destruir servidores e equipamentos;
•
Inundações, que danificam infraestruturas tecnológicas;
•
Falhas elétricas, que provocam interrupções ou danos em sistemas;
•
Roubo de equipamentos, como servidores, computadores ou dispositivos de
armazenamento.
Em conjunto, estas ameaças evidenciam a necessidade de uma abordagem integrada de
segurança da informação, combinando medidas técnicas, humanas e físicas para garantir
a proteção eficaz dos ativos organizacionais.
Controles de Segurança da Informação
Os controles de segurança da informação correspondem ao conjunto de mecanismos
técnicos, administrativos e organizacionais implementados com o objetivo de reduzir
riscos, proteger ativos informacionais e garantir a continuidade e integridade dos sistemas
de informação.
De forma geral, estes controles são classificados em preventivos, detetivos e corretivos,
conforme a sua função no ciclo de gestão de riscos.
1. Controles Preventivos
São mecanismos destinados a evitar a ocorrência de incidentes de segurança, atuando
antes que uma ameaça se concretize.
Exemplos:
•
Firewalls, que filtram e controlam o tráfego de rede;
•
Antivírus e antimalware, que bloqueiam softwares maliciosos;
•
Criptografia de dados, que protege a confidencialidade da informação;
•
Políticas de controlo de acesso, que definem permissões e restrições de utilização.
2. Controles Detetivos
São mecanismos que permitem identificar e sinalizar incidentes de segurança após ou
durante a sua ocorrência, possibilitando uma resposta rápida.
Exemplos:
•
Registos de auditoria (logs), que documentam atividades nos sistemas;
•
Sistemas de monitorização contínua de redes e servidores;
•
Sistemas de deteção de intrusão (IDS), que identificam atividades suspeitas ou
não autorizadas.
3. Controles Corretivos
São mecanismos utilizados para restabelecer o funcionamento normal dos sistemas
após a ocorrência de um incidente, minimizando impactos operacionais.
Exemplos:
•
Backups regulares de dados;
•
Planos de recuperação de desastres (Disaster Recovery Plan);
•
Procedimentos de restauração de sistemas e bases de dados.
A Auditoria de Sistemas de Informação consiste num processo de avaliação independente
e sistemática dos recursos tecnológicos de uma organização, com o objetivo de analisar a
eficácia dos controlos internos, a segurança dos dados e o desempenho global dos
sistemas de informação.
Esta auditoria verifica se os sistemas de informação estão adequadamente estruturados e
alinhados com as necessidades organizacionais, assegurando que:
•
Protegem adequadamente os ativos de informação, garantindo mecanismos
eficazes contra acessos indevidos, perdas de dados e ataques cibernéticos;
•
Mantêm a integridade dos dados, assegurando que a informação permanece
precisa, completa e não sofre alterações não autorizadas;
•
Operam de forma eficiente, promovendo a otimização dos recursos tecnológicos
e o bom desempenho dos processos informáticos;
•
Cumprem as exigências legais e normativas, garantindo conformidade com
políticas internas, normas técnicas e legislação aplicável;
•
Suportam os objetivos organizacionais, contribuindo para a tomada de decisão,
melhoria dos processos e alcance das metas estratégicas da instituição.
Em termos gerais, a auditoria em sistemas de informação funciona como um instrumento
essencial de controlo, governança e melhoria contínua, permitindo identificar riscos,
reforçar a segurança e aumentar a confiabilidade dos sistemas tecnológicos.
Objetivos da Auditoria de Sistemas de Informação
A Auditoria de Sistemas de Informação tem como principal finalidade avaliar a eficácia
dos controlos implementados, garantindo que os recursos tecnológicos apoiem os
objetivos organizacionais de forma segura, eficiente e em conformidade com as normas
aplicáveis. Entre os seus principais objetivos destacam-se:
1. Avaliar a Segurança dos Sistemas
Verificar a eficácia dos mecanismos de proteção implementados para salvaguardar os
ativos de informação contra acessos não autorizados, ataques cibernéticos, perdas de
dados e outras ameaças que possam comprometer a confidencialidade, integridade e
disponibilidade da informação.
2. Garantir a Confiabilidade da Informação
Assegurar que os dados processados, armazenados e transmitidos pelos sistemas são
exatos, completos, consistentes e fiáveis, proporcionando suporte adequado à tomada de
decisões organizacionais.
3. Verificar a Conformidade Normativa e Legal
Avaliar o grau de aderência dos sistemas e processos às políticas internas, normas
técnicas, regulamentos setoriais e legislações aplicáveis, reduzindo riscos de
incumprimento e possíveis sanções.
4. Identificar Vulnerabilidades e Fragilidades
Detetar falhas de segurança, deficiências nos controlos internos e vulnerabilidades
técnicas ou operacionais que possam ser exploradas por ameaças internas ou externas.
5. Reduzir e Gerir os Riscos Tecnológicos
Analisar os riscos associados aos sistemas de informação e propor medidas corretivas e
preventivas que contribuam para a sua mitigação, fortalecendo a postura de segurança da
organização.
6. Avaliar a Eficiência dos Controlos Internos
Examinar se os controlos existentes são adequados, eficazes e economicamente viáveis
para garantir a proteção dos recursos tecnológicos e a continuidade das operações.
7. Apoiar a Continuidade do Negócio
Verificar a existência e a eficácia dos planos de contingência, recuperação de desastres e
cópias de segurança (backups), assegurando a rápida recuperação dos serviços em caso
de incidentes.
8. Promover a Melhoria Contínua
Fornecer recomendações fundamentadas para o aperfeiçoamento dos processos,
tecnologias e práticas de gestão da segurança da informação, contribuindo para o
fortalecimento da governança de TI e para o aumento do desempenho organizacional.
Tipos de Auditoria em Sistemas de Informação
Auditoria Preventiva
Realizada para identificar riscos antes que ocorram problemas.
Auditoria Corretiva
Executada após a ocorrência de incidentes.
Auditoria Interna
Realizada por profissionais da própria organização.
Auditoria Externa
Executada por entidades independentes.
Normas ISO/IEC 27002, 27003, 27004, 27005, 27035 e 31000
A norma ISO/IEC 27002:2013 foi projetada para ser “uma referência na seleção de
controlos dentro do processo de implementação de um sistema de gestão da segurança da
informação (SGSI), baseado na ISO/IEC 27001” [19], pois define as orientações e os
princípios para a análise dos requisitos de cada um dos controlos estabelecidos na
ISO/IEC 27001:2013. Tratase, no fundo, de um código de práticas que inclui um extenso
conjunto de controlos que indicam a forma de atuação para que os objetivos definidos nas
políticas possam ser atingidos.
Os controlos devem estar enquadrados com as decisões da empresa, e estas
fundamentadas no nível de risco que a empresa defina como aceitável, nas opções para o
seu tratamento e na gestão de risco realizada. Para estar em conformidade legal é
fundamental a definição de controlos para a proteção de dados pessoais, a salvaguarda
dos registos da empresa e o zelo pelos direitos de propriedade intelectual.
Das práticas de segurança da informação fazem parte a documentação que contém a
política de segurança, a esfera de responsabilidades, e três tipos de gestão: a gestão de
vulnerabilidades técnicas, a gestão de incidentes de segurança e a gestão da continuidade
do negócio, que contempla as melhorias a realizar.
A estrutura da norma ISO/IEC 27002:2013 coincide com a estrutura do Anexo A da NP
ISO/IEC 27001:2013 apresentada anteriormente na Tabela 1. No Anexo II é apresentado
um quadroresumo que inclui os objetivos de controlo.
A ISO/IEC 27003:2010 é a norma que disponibiliza diretrizes para a implementação de
um SGSI. O âmbito desta norma é claro ao indicar que esta “descreve o processo de
especificação e design do SGSI desde o início até a produção de planos de
implementação” [20, p. 7]. A mais recente revisão desta norma veio alinhá-la com a
estrutura da ISO/IEC 27001:2013 no que respeita às cláusulas 4 a 10, indicando para cada
cláusula a atividade requerida em conjunto com a explicação e orientação para a
implementação. Um anexo com a definição da estrutura da política complementa as
orientações definidas.
As métricas de segurança a aplicar a um SGSI constam da norma ISO/IEC 27004:2016.
Esta norma tem como propósito “ajudar as organizações na avaliação da eficácia e da
eficiência de um SGSI de modo a que este cumpra os requisitos da cláusula 9.1 da
ISO/IEC 27001:2013” . Para tal, esta norma “estabelece:
•
a monitorização e medição do desempenho da segurança da informação;
•
a monitorização e medição da eficácia de um SGSI, incluindo os seus processos e
controlos;
•
a análise e avaliação dos resultados da monitorização e da medição.
A aplicação deste padrão permite obter informações necessárias para a gestão e melhoria
do SGSI.
A norma ISO/IEC 27005:2011 “fornece diretrizes para o processo de Gestão de Riscos
de Segurança da Informação de uma organização, atendendo particularmente aos
requisitos de um Sistema de Gestão de Segurança da Informação (SGSI) de acordo com
a ISO/IEC 27001”. Este tipo de gestão consiste num processo contínuo de observação do
contexto, de identificação e avaliação dos riscos e do seu tratamento. Esta norma não
providencia um método específico e indica que “cabe à organização definir a sua
abordagem ao processo de riscos”, que poderá ser feita de acordo com o âmbito do SGSI,
o contexto da gestão do risco ou o setor de atividade económica.
Para lidar com a gestão de incidentes, a ISO/IEC criou a norma 27035:2016, que se
encontra dividida em duas partes: a primeira parte introduz os princípios de gestão de
incidentes, enquanto a segunda parte apresenta diretrizes para planear e preparar a
resposta a incidentes . A necessidade desta norma decorre de os controlos de segurança
da informação poderem falhar de alguma forma. Entre possíveis problemas, os controlos
podem ser comprometidos através de malware ou por hackers, o seu funcionamento pode
não ser o adequado verificando-se lentidão na deteção de anomalias ou a implementação
do controlo pode não estar concluída por falta de dados resultante da análise de riscos.
Por estes e outros motivos, os incidentes de segurança da informação podem ocorrer
mesmo em empresas que impõem políticas restritas de segurança de informação.
De realçar que “a gestão eficaz de incidentes envolve controlos de deteção e correção
definidos para reconhecer e responder a eventos e incidentes, minimizar os impactos
adversos, recolher provas e, em devido tempo, ‘aprender as lições’ para melhoria dos
controlos preventivos ou outros tratamentos de risco”.
Segurança no ciclo de vida de desenvolvimento da aplicação
A garantia da segurança de um sistema está associada a aplicação de cuidados especiais
durante seu desenvolvimento, resultando em um código fonte confiável mais seguro e
robusto.
Logo, a produção de códigos seguros torna a aplicação mais lenta, reduzindo sua
performance, mas isso não deve ser encarado como problema, pois pode ser solucionado
com um investimento em equipamentos mais rápidos não implicando na redução de
desempenho. Melo, na palestra já citada, disponível no site do SERPRO, define quatro
normas e práticas da boa programação:
•
Funções intrinsecamente seguras;
•
Verificar códigos de erro retornado por função ou método;
•
Atentar para tamanho de buffers e arrays do sistema;
•
Documentar o código;