São os três métodos que podem ser usados para garantir a confidencialidade da informação?

Como você provavelmente já sabe, um dos bens mais importantes para as empresas é a informação. Ela é o motor que faz com que a companhia cresça e pode ser também o principal meio pelo qual uma empresa ganha dinheiro. Sendo assim, os cibercriminosos buscam comprometer a informação das empresas por meio de ataques, invasões em massa, até campanhas de ransomware que se renovam a cada semana. Com o objetivo de proteger os dados corporativos de clientes, fornecedores de softwares de segurança e até cidadãos, implementam cada vez mais medidas de segurança para assegurar a informação. Obviamente, não é algo fácil de se realizar, e muitas vezes o principal problema é que é difícil de saber por onde começar: relevar as políticas de segurança, classificar a informação, educar os usuários, adquirir tecnologias, e essas são apenas algumas das ações. Um bom ponto de partida seria se basear em alguma norma ou ainda alguma lei de proteção de dados pessoais. Hoje em dia, quase todos os países da América Latina possuem alguma lei de proteção de dados, ou ainda, está trabalhando para implementar uma. De modo geral, todas essas leis possuem os mesmos princípios e se baseiam em três aspectos fundamentais: garantir a confidencialidade, integridade e a disponibilidade dos dados armazenados. Dependendo do país, o que pode mudar é a penalidade que será aplicada caso algum incidente ou descumprimento em relação aos requisitos da lei. Elas podem ser desde multas financeiras, até condenações de prisão por parte do responsável da segurança dos dados, passando pela revogação de permissões para exercer alguma atividade específica. Ainda com base nesses três pilares, muitas dessas leis não indicam especificamente como se deve garantir a confidencialidade, integridade ou a disponibilidade dos dados. Por isso, para ajudar a compreender melhor como cumprir com esses aspectos, nós da ESET temos algumas recomendações.

Como manter a confidencialidade dos dados?

Hoje em dia existem vários fatores que podem comprometer a confidencialidade. Mesmo existindo diversos tipos de ataques, todos possuem algo em comum: começa com um algum tipo de código malicioso, por isso é essencial contar com uma solução de segurança antimalware, que não detecte apenas códigos maliciosos de maneira tradicional, mas sim que também utilize tecnologias específicas para cada tipo de ameaça, seja ela conhecida ou desconhecida. As soluções da ESET contam com múltiplas tecnologias de detecção que nos permitem oferecer a máxima proteção para nossos clientes. Outro método é através da ferramenta de DLP ou Data Loss Prevention, a qual permite não só monitorar o que se faz com a informação e detectar um possível vazamento de dados, mas também aplicar políticas de segurança para definir como a informação pode e deve ser tratada.

Como garantir a integridade dos dados?

Integridade é ter certeza de que a informação não foi e nem será modificada por terceiros sem autorização, por exemplo, alguém mudar os resultados de um exame médico. Para garantir a integridade dos dados, é possível implementar soluções de controle de acesso, não só para saber quem modificou determinada informação, mas também para garantir que a pessoa que acessou é realmente quem ela disse ser. Muitas vezes os administradores de sistemas somente conseguem ver um nome de usuário em um log, mas não têm certeza de quem está por trás de tal login.  

Como garantir a disponibilidade dos dados?

Para assegurar a disponibilidade dos dados é possível implementar soluções de backup e recuperação, que permitem não só realizar cópias de segurança, mas também recuperar a informação de maneira rápida e efetiva. É ideal contar com ferramentas que permitem definir quando, como e onde se devem armazenar essas cópias e também por quanto tempo devem ser armazenadas. Essas são só algumas formas em que podemos implementar medidas de segurança e na ESET contamos com ferramentas para cada um desses pilares, vistos como essenciais para proteger a informação. Se desejam obter mais informação sobre proteção de dados pessoais e como a ESET pode ajudá-los, podem visitar a página em que vocês poderão acessar os descontos em nossas soluções. Créditos da Imagem: PhotoMIX-Company/Pixabay.com

Violações de dados ressurgentes que podem estar associadas a uma falha em aderir aos princípios básicos da segurança da informação têm sido uma constante no mercado. Em um mundo em que as ameaças à segurança estão evoluindo continuamente, isso serve como um lembrete útil de que é preciso dominar o básico antes de investir em medidas mais ambiciosas.

Senhas fracas e recicladas, atrasos na correção, ativos configurados incorretamente ou um inventário de ativos incompleto são todos exemplos de lapsos simples que podem levar à infiltração por hackers. Todas essas medidas fazem parte dos pilares básicos da segurança da informação: confidencialidade, integridade e disponibilidade.

Esses três pilares são princípios básicos, mas fundamentais, para manter uma segurança robusta em um determinado ambiente. Entender cada um deles e saber como funcionam em conjunto é útil para criar resultados positivos para a segurança. Neste artigo, vamos te explicar o porquê! Continue lendo:

Confidencialidade: Os meus sistemas estão protegidos do acesso não autorizado?

A confidencialidade envolve os esforços de uma organização para garantir que os dados sejam mantidos em segredo ou privados. Para conseguir isso, o acesso às informações deve ser controlado para evitar o compartilhamento não autorizado de dados — seja intencional ou acidental.

Um componente-chave para manter a confidencialidade é garantir que pessoas sem a devida autorização sejam impedidas de acessar ativos importantes para o seu negócio. Por outro lado, um sistema eficaz também garante que aqueles que precisam ter acesso tenham os privilégios necessários.

Existem várias maneiras pelas quais a confidencialidade pode ser comprometida. Isso pode envolver ataques diretos com o objetivo de obter acesso a sistemas que o invasor não tem direito de ver. Também pode envolver um invasor que faça uma tentativa direta de se infiltrar em um aplicativo ou banco de dados para obter dados ou alterá-los.

Esses ataques diretos podem usar técnicas como ataques man-in-the-middle (MITM), em que um invasor se posiciona no fluxo de informações para interceptar dados e, em seguida, roubá-los ou alterá-los. Alguns invasores se envolvem em outros tipos de espionagem de rede para obter acesso às credenciais. Em alguns casos, o invasor tentará obter mais privilégios de sistema para obter o próximo nível de liberação.

No entanto, nem todas as violações de confidencialidade são intencionais. Erro humano ou controles de segurança insuficientes também podem ser os culpados. Por exemplo, alguém pode deixar de proteger sua senha — seja para uma estação de trabalho ou para fazer login em uma área restrita. Os usuários podem compartilhar suas credenciais com outra pessoa ou permitir que alguém veja seu login ao inseri-lo. 

Para lutar contra violações de confidencialidade, você pode classificar e rotular dados restritos, habilitar políticas de controle de acesso, criptografar dados e usar sistemas de autenticação multifator (MFA). Também é aconselhável garantir que todos na organização tenham o treinamento e o conhecimento de que precisam para reconhecer os perigos e evitá-los.

Integridade: meus dados são corrompidos, adulterados ou afetados por agentes externos de ameaças?

A integridade garante que os dados sejam corretos, autênticos e confiáveis. Em outras palavras, ela garante que os dados não foram adulterados e, portanto, podem ser confiáveis. Os dados devem ser protegidos enquanto estão em uso, em trânsito e quando são armazenados, independentemente de residirem em um laptop, dispositivo de armazenamento, data center ou na nuvem.

Você deve garantir que seus dados estejam protegidos contra exclusão e modificação por parte não autorizada, de tal forma que, mesmo quando um indivíduo autorizado fizer alterações por engano, essas alterações possam ser revertidas.

A falta de integridade em um ambiente pode levar ao uso indevido de credenciais, o que significa que os invasores podem manipular dados para atingir vários objetivos sem fazer algo tão barulhento e perceptível como criptografar ou exfiltrar os dados. 

Os exemplos comuns incluem a manipulação de registros financeiros para remover rastros de transações e a manipulação de saldos de contas ou a alteração de projetos para sabotar intencionalmente um produto que a organização produz.

A integridade dos dados pode ser preservada por meio de criptografia, hashing, assinatura digital, certificado digital, sistemas de detecção de intrusão, auditoria, controle de versão, autenticação e controles de acesso.

Disponibilidade: meus sistemas e dados estão prontamente acessíveis para uso diário e operações aprovadas?

Mesmo que os dados sejam mantidos em sigilo e sua integridade seja mantida, eles geralmente são inúteis, a menos que estejam disponíveis para os membros da organização e os clientes que atendem. Isso significa que sistemas, redes e aplicativos devem estar funcionando como deveriam e quando deveriam. 

A disponibilidade garante que sistemas, aplicativos e dados estejam disponíveis e acessíveis para usuários autorizados quando eles precisarem. Redes, sistemas e aplicativos devem estar constantemente ativos e funcionando para garantir que processos críticos de negócios não sejam interrompidos.

A disponibilidade de seus sistemas de dados pode ser afetada por erro humano, falha de hardware, falha de software, falha de rede, falta de energia, desastres naturais e ataques cibernéticos.

Alguns dos métodos usados para garantir a disponibilidade de dados e aplicativos incluem redundância (servidores, redes, aplicativos e serviços), tolerância a falhas (hardware), patching de software regular e atualizações de sistema, manutenção de backups e cópias de backup e recuperação de desastres.

Compreendendo os pilares da segurança

É importante entender o que são cada um dos pilares e como eles são usados para planejar e também implementar uma política de segurança de qualidade, ao mesmo tempo em que compreende os vários princípios por trás deles. Também é importante entender as limitações que eles apresentam.

Uma estratégia abrangente incorpora a consciência de segurança em toda a estrutura de sua organização, minimiza a superfície de ataque de sua rede e prepara seu pessoal e infraestrutura para requisitos regulamentares futuros. 

Além disso, o parceiro de segurança certo pode ajudá-lo a garantir que todas as pessoas, processos e tecnologia que afetam suas operações sejam totalmente confiáveis e orientados para a segurança.

A Service IT pode ser esse parceiro! Entre em contato conosco e converse com um dos nossos especialistas!

Quais são os três métodos que podem ser usados para garantir a confidencialidade da informação?

Quais são os 3 princípios da segurança da informação?

Quais são os três tipos de informações confidenciais?

Quais são os dois métodos que garantem a confidencialidade?