• Interessa que sejam definidos todos os procedimentos e responsabilidades do processamento das informações.

• Devem ser incluídos nos procedimentos operacionais as respostas aos incidentes.

• Utilizar os procedimentos de segregação de funções para reduzir risco do uso dos recursos de forma negligente ou dolosa.

• Os procedimentos com a descrição detalhada de cada tarefa a ser executada na operação de cada sistema.

• A seqüência de processamento e tratamento da informação.

• Os requisitos de sincronismo, incluindo interdependência com outros sistemas.

• O cronograma de operação com todos seus passos.

• Instruções para tratamento de erros e outras condições de exceção com as restrições de uso dos recursos.

• Formas de contato com os técnicos de suporte, para resolução de eventos inesperados.

• Instruções para movimentação de saídas especiais e relatórios confidenciais.

• Instruções para reinício e recuperação em casos de falha do sistema.

• Documentação dos procedimentos especiais, tais como, backup e recuperação de dados.

• Identificar e registrar as mudanças significativas.

• Avaliar o impacto de tais mudanças.

• Ter um procedimento formal de aprovações de mudanças.

• Ter ampla comunicação para todas as pessoas envolvidas na mudança.

• Ter procedimentos que identifiquem os responsáveis pelo retorno a versões anteriores no caso do insucesso da mudança implementada.

O que interessa, neste caso, é resposta rápida, eficaz e ordenada aos incidentes de segurança. Assim, recomenda-se que existam procedimentos que possam abranger todo tipo de incidente de segurança, incluindo:

1. Falhas dos sistemas e inoperância dos serviços.

2. Não obtenção dos serviços.

3. Erros resultantes de dados incompletos ou inconsistentes.

4. Violação da Confidencialidade.

5. Planos de contingências para recuperar os serviços.

6. Análise e identificação das causas dos incidentes.

7. Planejamento e implementação para impedir recorrência dos incidentes.

8. Coleta de trilhas de auditorias e evidências similares.

9. Comunicação com os envolvidos com a recuperação dos incidentes.

10. Relato da ação à autoridade apropriada.

11. Uso das trilhas de auditoria para: Análise de problemas internos, uso como evidência para reivindicar violação de contrato e renegociação com os fornecedores.

Os ambientes devem ser segregados porque quando o pessoal de desenvolvimento possui acesso ao ambiente de produção sem controle, podem ser introduzidos códigos-fonte não testados ou não autorizados. Dessa forma, os ambientes de desenvolvimento, testes e produção deverão estar segregados com senhas distintas, seguindo as recomendações:

• Os softwares de desenvolvimento e testes, sempre executados em processadores distintos ou diferentes domínios ou diretórios.

• As atividades de desenvolvimento e testes deverão ocorrer em ambientes separados.

• Programas compiladores, editores e outros programas utilitários não devem ser acessíveis do ambiente de produção.

• Os acessos aos ambientes de desenvolvimento e produção deverão ser separados para evitar erros de atualização.

• As senhas de acesso ao ambiente de produção para os analistas de desenvolvimento deverão ser distintas e controladas seus acessos.

• Implementar uma política formal, exigindo a conformidade com as licenças de uso de software e proibição de uso de software não autorizado.

• Medidas preventivas relativas à importação de arquivos e software através de redes externas ou qualquer meio, principalmente não confiável.

• Instalação e atualização periódica de softwares par a detecção e remoção de vírus.

• Verificação periódica de softwares e dados dos sistemas que são vitais para o negócio.

• Verificação antes do uso de softwares maliciosos e transmissão de dados da internet, principalmente aqueles transferidos via correio eletrônico. Essa verificação deverá ser efetuada na entrada da rede da Organização ou no computador de uso pessoal.

• Procedimentos de gerenciamento e respectivas responsabilidades para o tratamento da prevenção de vírus, que envolvam ações de contingência no caso de ataques; O treinamento a comunidade de usuários deverá ser implementado.

Essas recomendações são muito importantes para uso de servidores de arquivos-rede que suportem grande número de transações e pontos instalados.

• Deverá existir um número mínimo de cópias de segurança em locais físicos distintos e distantes da instalação origem, com a documentação de versões e de recuperação de dados.

• Três gerações ou ciclos de operação são o mínimo a serem armazenados em cópias distintas.

• Um nível adequado de proteção física e ambiental das cópias semelhante aos do ambiente principal.

• Testes periódicos deverão ser efetuados com as cópias de segurança para garantir sua confiabilidade.

• Os procedimentos de recuperação deverão periodicamente ser testados para assegurar que sejam efetivos e aplicados integralmente.

• Deverão ser definidos os períodos de retenção dos dados de acordo com os interesses do negócio e também a definição daqueles dados de retenção permanente.

1. – Hora de início e término dos processamentos.

2. – Erros e ações corretivas adotadas.

3. – Confirmação do correto tratamento dos arquivos de dados e dos resultados gerados pelos processamentos.

4. – Identificador do operador.

Quanto às falhas na operação:

1. – Relato dos erros e ações corretivas adotadas.

2. – Análise crítica das falhas para assegurar que foram totalmente resolvidas.

3. – Verificação que a resolução das falhas não afetou os controles existentes na operação do aplicativo e que as ações corretivas foram devidamente autorizadas.

Já quanto ao tratamento das informações, adotam-se as seguintes recomendações:

• Identificar todos os meios magnéticos de armazenamento das informações.

• Definir restrições de acesso para o pessoal não autoriza\do.

• Manter um registro autorizado dos destinatários autorizados para o acesso das informações.

• Garantir que a entrada de dados esteja completa, o processamento devidamente completado e a validação das saídas seja executada.

• Preparação dos dados para expedição ou impressão consistente com a sua importância.

• O armazenamento das mídias de acordo com as recomendações dos fabricantes.

• Manutenção da distribuição de dados no menor nível possível.

• Identificação clara das cópias de segurança para chamar a atenção dos destinatários autorizados.

• Análise crítica das listas de destinatários autorizados em intervalos regulares.

• Autenticação: Para garantir a identidade de clientes e comerciantes.

• Autorização: Quem está autorizado para autorizar preços e emitir, ou assinar, documentos comerciais chave? Como os parceiros do negócio tomam conhecimento disso?

• Contratação e processos de apresentação de propostas: Definir os requisitos básicos de confidencialidade, integridade e prova de envio e de recebimento de documentos-chave?

• Informação de preços: Qual o nível de confiança que se pode ter da integridade da lista de preços?

• Transações: Qual o nível de confiança sobre a integridade dos dados do endereço fornecido para o pedido de compra, pagamento e entrega?

• Investigação: Qual é a forma mais apropriada de checagem das informações de pagamento fornecida pelo cliente?

• Liquidação: Qual a forma mais apropriada para pagamentos e evitar fraudes?

• Pedido de compra: Definir tipos de proteção para manter confidencialidade e integridade da informação do pedido de compras e evitar perda ou duplicidade de transações.

• Responsabilidade: Quem responde pelos riscos de qualquer operação fraudulenta?

• Para evitar as ocorrências acima assinaladas, a criptografia dos arquivos da documentação é o mais recomendável.

• Vulnerabilidade das mensagens ao acesso não autorizado, modificação ou negação do serviço.

• Vulnerabilidade a erros de endereçamento ou direcionamento e também disponibilidade dos serviços (servidor fora do ar).

• Impacto da mudança no meio de comunicação nos processos de negócio.

• Considerações legais com relação à necessidade de prova de origem, envio e recepção.

• Reflexos da divulgação externa da lista de funcionários.

• Controle sobre o acesso aos usuários remotos às contas do correio eletrônico.

Assim, é fundamental a existência de uma política de uso do correio, que deve levar em consideração:

• Ataques ao correio eletrônico, como vírus e interceptações.

• Proteção de anexos do correio eletrônico.

• Responsabilidades dos funcionários de forma a não comprometer a Organização.

• Uso de criptografia, para proteger a integridade e confidencialidade das mensagens enviadas.

• Retenção de mensagens que se guardadas poderão servir de provas em ações litigiosas.

• Controles adicionais para mensagens que não podem ser autenticadas.

1 – Política de utilização dos serviços de rede.

Conexões não seguras a serviços de rede podem afetar a Organização toda. Por isso, os usuários deverão ter acesso apenas aos serviços especificamente autorizados para seu uso. Dessa forma, a política de redes deve prever:

• As redes e serviços de rede aos quais o acesso é permitido.

• Os procedimentos de autorização para a determinação de quem tem acesso a que rede e a que serviços de rede.

• Os procedimentos e controles de gerenciamento para proteger as conexões e os serviços de rede.

Essa política deverá ser consistente com a política de controle de acesso do negócio.

2 – Rota de rede obrigatória.

O caminho entre o microcomputador do usuário e o serviço de computador poderá necessitar ser controlado. O objetivo é limitar as opções de roteamento para cada ponto de rede através de alternativas predeterminadas.

3 – Autenticação para conexão externa de usuário.

As conexões externas fornecem um potencial de acesso não autorizado às informações do negócio, por isso, devem ser autenticadas.

Existem vários métodos de autenticação que podem ser alcançados pelo uso de: Criptografia, ou dispositivos de protocolo de desfio/resposta.

4 – Segregação de redes.

Como as redes se estendem para fora das fronteiras da Organização e podem requerer o compartilhamento de recursos de rede e de processamento das informações, essas extensões poderão aumentar o risco de acesso a sistemas de informações que já existem e que utilizam a rede. Será necessário incluir proteção de acesso com controles específicos e, assim, segregar os acessos por grupo de serviços.

Um dos métodos de conseguir essa proteção será dividindo a rede em dominós diferenciados com grupos de usuários internos ou externos.

5 – Controle de conexões de redes

Em redes compartilhadas, algumas aplicações deverão ter restrições de acesso, tais como:

• Correio eletrônico.

• Transferência unidirecional e bidirecional de arquivos.

• Acesso interativo.

• Acesso à rede restrito a hora e dia ou data.

6 – Controle de acesso ao sistema operacional.

Com o intuito de impedir o acesso não autorizado ao computador central, é fundamental controlar o acesso ao sistema operacional fundamentado nos seguintes requisitos de segurança:

• Identificação e verificação da identidade do terminal e da localização de cada usuário autorizado.

• O registro de falhas e sucesso dos acessos ao sistema operacional.

• Fornecimento de um meio apropriado para autenticação, se um sistema de gerenciamento de senhas está sendo usado.

• Restrição de tempo de conexão, quando necessário.

7 – Procedimentos de entrada ao sistema (Logon).

Um sistema de logon deve ter os seguintes requisitos:

• Não mostrar identificadores da aplicação ou do sistema até que o procedimento de logon esteja completado.

• Mostre apenas um aviso geral, informando que somente as pessoas autorizadas poderão obter acesso ao computador.

• Não forneça mensagens de ajuda durante o procedimento de entrada do sistema, que poderiam auxiliar aos usuários não autorizados.

• Valide a informação de entrada apenas quando o procedimento de logon esteja terminado.

• Limite o número de tentativas de acesso no máximo a três e considere o registro de tentativas inválidas, imposição de um tempo de espera antes de iniciar novas tentativas de acesso.

• Mostre ao término do procedimento de logon do sistema, data e hora da última tentativa de acesso com sucesso e detalhes das tentativas de acesso sem sucesso.

8 – Sistema de gerenciamento de senhas.

É fundamental ter um bom sistema de gerenciamento de senhas. Para isso, esse sistema deve:

• Obrigar o uso de senhas individuais para atribuir as responsabilidades.

• Permitir um procedimento de alteração de senhas pelo próprio usuário com rotina de confirmação.

• Senhas de qualidade, difíceis de serem descobertas.

• Obrigar a alteração de senha no primeiro acesso efetuado pelo usuário.

• Bloquear a reutilização de senhas, com o registro de 12 períodos anteriores.

• Não mostrar as senhas na tela.

• Armazenar as senhas em arquivos separados ao do sistema.

• Alterar as senhas-padrão fornecidas pelos fabricantes logo no primeiro acesso ao sistema.

9 – Desconexão de terminais por inatividade.

Terminais inativos em locais públicos ou de alto risco devem ser desativados automaticamente após de um tempo de inatividade. Poderão ser utilizados programas que “limpem” a tela; porém, sem desativar o sistema ou tempo máximo de inatividade para desligar o microcomputador do usuário.

10 – Monitoração do uso ou acesso ao sistema.

Através da monitoração do uso ou acesso ao sistema é possível descobrir atividades não autorizadas. A monitoração deve levar em conta:

O registro de eventos (log): É necessário para manter trilhas de auditorias futuras usadas nas pesquisas ou apurações e para o registro de exceções na operação dos sistemas, contendo informações sobre: Identificação dos usuários; atas e horários de entrada (logon) e de saída (logoff) no sistema; localização do computador e sua identificação; registro de tentativas de acesso ao sistema, aceitas e rejeitadas; e registro de tentativas de acesso a dados e outros recursos do sistema aceitas e rejeitadas.

• Sincronização dos relógios: O estabelecimento correto dos relógios dos computadores é importante, pois permite garantir com exatidão os registros para eventuais auditorias e apuração de fatos, que podem ser solicitados em investigações legais ou apurações disciplinares. Deverá existir um procedimento rotineiro de ajuste dos horários conforme a legislação local.

• Uso do computador móvel: Deverá existir uma política e controles formais para o uso de computadores do tipo laptop, notebooks, palmtops e celulares.

Forma de garantir a operação segura e correta dos recursos de processamento das informações, desta forma: