Questões sobre Segurança da Informação

Para que uma empresa tenha infraestrutura de tecnologia da informação (TI), é necessário que ela esteja cadastrada no Ministério das Comunicações para poder adquirir e oferecer acesso à Internet, e obter um conjunto de software livres.

A infraestrutura de TI, por ser uma tecnologia de alto custo, embora seja importante para uma empresa, deve ser adquirida apenas quando se esgotarem outras formas de armazenamento de informações com mais baixo custo.

Segurança da informação é um conceito utilizado em TI, visto que todas as tecnologias empregadas tanto nas redes de computadores quanto nas máquinas pessoais possuem segurança contra hackers, crackers e vírus.

Uma das formas de se evitar a infecção por vírus de computador pela Internet é sempre renovar a senha de acesso à caixa postal de e-mail do usuário, já que a senha deve ser secreta, pessoal e intransferível.

De modo a verificar se a máquina está infectada, é recomendável utilizar, frequentemente, os serviços de scan de vírus.

controle de acesso.

plano de desenvolvimento.

plano de segurança.

política de informação.

rotina de backup.

Disponibilidade é a garantia de que o acesso à informação seja obtido apenas por pessoas autorizadas.

Confidencialidade é a garantia de que os usuários autorizados obtenham acesso à informação e aos ativos correspondentes sempre que necessário.

No processo de autorização para a instalação de processamento da informação, importante para a segurança da informação, hardware e software são verificados de maneira independente; não há necessidade de se garantir compatibilidade com outros componentes do sistema.

Os controles de criptografia visam proteger a confidencialidade, a autenticidade e a integridade das informações consideradas de risco e para as quais outros controles não fornecem proteção adequada.

Assinaturas digitais, para serem implementadas por meio de técnicas criptográficas, necessitam de, pelo menos, dois pares de chaves relacionadas. Um par é utilizado para criar uma assinatura (privada), e o outro, para verificar a assinatura (pública).

Gerenciamento de risco é o processo de identificação, controle e minimização ou eliminação dos riscos de segurança que podem afetar os sistemas de informação, a custo aceitável. No COBIT, esse gerenciamento está mais relacionado ao domínio planejamento e organização do que ao domínio de monitoração e avaliação.

A compra de equipamento de firewall para instalação na rede de computadores de uma organização está diretamente relacionada ao processo do COBIT adquirir recursos de TI do domínio entrega e suporte.

O COBIT, em seu domínio aquisição e implementação, descreve o processo garantir a segurança do sistema.

Garantir continuidade dos serviços é um processo do COBIT relacionado ao domínio aquisição e implementação.

A verificação da existência de controles para confidencialidade, integridade e disponibilidade adequados para garantir a segurança da informação não é objetivo do domínio monitoração e avaliação do COBIT.

As cópias de segurança, juntamente com o controle consistente e atualizado dessas cópias e a documentação dos procedimentos de recuperação, devem ser mantidas no mesmo local da instalação principal, em local suficientemente próximo para sua imediata recuperação em caso de falha.

Três gerações, ou ciclos, de cópias de segurança das aplicações críticas é a quantidade mínima recomendada que deve ser mantida em local seguro (ambiente de backup) com os mesmos controles adotados para as mídias no ambiente principal.

As mídias utilizadas para cópias não precisam ser periodicamente testadas, pois são usadas somente em caso de falha.

Uma vez aprovados, os procedimentos de recuperação não devem ser modificados nem verificados periodicamente; a segurança do procedimento inicialmente acordada não será violada.

Segurança da informação é obtida a partir da implementação de uma série de controles que podem ser políticos, práticos, procedimentos, estruturas organizacionais e funções de software, sendo caracterizada pela preservação da continuidade, confiabilidade e criptografia dos dados.