POLÍTICA DE CONTROLE DE ACESSOS

A restrição de acesso, embora não elimine por completo os riscos à  segurança da informação, diminui em muito a ocorrência de incidentes que comprometam a continuidade das atividades do negócio. O controle de acessos é um controle de segurança tão essencial que é até mesmo difícil de imaginar como uma organização teria condições de continuar funcionando sem ele. Daí a importância de se estabelecer na organização uma política de controle de acessos, que deve estar de acordo com os requisitos de negócio e de segurança anteriormente definidos.

Nessa política, devem estar descritos os controles de segurança a serem utilizados, de acordo com o nível de segurança que a informação exigir. Deve também determinar as regras de acesso a diferentes sistemas, ambientes e serviços, bem como as responsabilidades dos usuários. É importante ainda a criação de diferentes perfis de acesso e procedimentos formais para solicitação, autorização, remoção e administração de acessos, que precisam ser revisados periodicamente. Acessos a configurações de controles de sistemas, principalmente sistemas de segurança, precisam ter atenção redobrada.

Em uma boa política de segurança, todo acesso precisa ser considerado proibido, a menos que seja expressamente permitido.

GERENCIAMENTO DE ACESSO DO USUÁRIO

Antes de ser registrado para acesso a um serviço, rede ou sistema, todo usuário precisa de uma autorização formal concedida pelo gestor daquele recurso, que deverá analisar cuidadosamente o nível de acesso necessário à realização do trabalho em questão. Em seguida, ele atribui ao usuário um perfil de acesso que seja mais adequado às suas atividades, sendo que cada perfil possui diferentes direitos de acesso.

Uma vez que o usuário tenha assinado uma declaração admitindo ter conhecimento dos seus direitos de acesso e dos seus deveres como usuário, incluindo possíveis sanções, esse usuário é registrado com um identificador, que deve ser único (assim não se terá dúvidas sobre a autoria das ações praticadas). Só então o usuário passará a usufruir de seus direitos de acesso, que deverão ser removidos quando esse usuário mudar de cargo ou se afastar da organização.

Sob o risco de comprometimento da segurança da informação ou paralisação das atividades de negócio, jamais deve ser dado a alguém mais ou menos direitos de acesso do que o necessário.

RESPONSABILIDADES DOS USUÁRIOS

Todos os usuários têm a obrigação de utilizar senhas seguras e protegê-las de forma apropriada. Contudo, suas responsabilidades não se limitam a isso. Devem ter consciência de que um controle de acesso efetivo depende também da proteção dos equipamentos, mídias de armazenamento e documentos utilizados por eles no ambiente de trabalho.

Os usuários não devem, por exemplo, deixar informações sensíveis sobre suas mesas, pois cada informação deve ser protegida de acordo com o nível de segurança exigido por ela. A forma adequada de proteção para dados críticos deve estar claramente estabelecido na política de segurança da informação. E essa política deve ser conhecida e respeitada por todos os usuários.

Da mesma forma, é de responsabilidade dos usuários da organização o bloqueio (ou desligamento) de equipamentos que não estiverem em uso, evitando assim acessos não autorizados. Obviamente esses sistemas devem estar configurados para que o desbloqueio ocorra somente após autenticação de um usuário com direitos de acesso.

Outra questão que merece ser mencionada é a da impressão de informações sensíveis em uma impressora compartilhada, pois alguns usuários, após a realização da cópia, não vão imediatamente até impressora recolher o documento, que fica ali exposto a quem estiver de passagem enquanto o proprietário não aparece. Claro que existem impressoras mais modernas que só realizam a impressão caso o usuário vá até ela digitar o código de segurança, o que garante que no momento da impressão a pessoa que solicitou a cópia esteja presente, mas nem todas as impressoras contam com esse recurso, logo é preciso conscientização.

CONTROLE DE ACESSO À REDE

Acessos não autorizados à rede ou a serviços de rede podem trazer graves consequências ao negócio. Sendo assim, convém que a organização, além de administrar adequadamente o acesso à rede pelos usuários, que devem estar cientes de suas responsabilidades, deve administrar bem a própria rede, definindo quais serviços e sub-redes devem poder ser acessados interna ou externamente e quais devem ser os meios para que esses acessos se realizem.

Dentre as possíveis medidas a serem tomadas, pode-se, por exemplo, estabelecer controles que identifiquem os equipamentos conectados à rede com o objetivo de barrar conexões efetuadas por equipamentos não autorizados. Além disso, pode-se implantar um controle de roteamento que impeça fluxos de informações e conexões não autorizadas, por meio de gateways, fazendo a validação de endereços de origem e destino. Ou ainda, utilizar-se de linhas privadas dedicadas ou de uma VPN (rede privada virtual), que faz uso de protocolos de criptografia para estabelecer uma rede segura (desde que corretamente configurada) sobre uma rede pública, não segura, a Internet. E em caso de conexões dial up, existem mecanismos de discagem reversa que impedem conexões não autorizadas.

Outra forma de se prevenir é desativando todas as portas e serviços de rede não necessários à realização do negócio. Portas para configuração remota do sistema podem ser abertas temporariamente para alguma atividade específica, mas devem ser desativadas logo depois. Aliás, convém que conexões possam apenas ser estabelecidas durante o expediente normal de trabalho. Claro que para a necessidade de horas extras, pode-se flexibilizar um pouco o horário para conexões, mas isso deve ser tratado como uma exceção. Para evitar acessos não autorizados e também ataques de negação de serviço, conexões inativas por um dado intervalo de tempo precisam ser automaticamente encerradas.

Para redes muito extensas, o controle de acesso pode ser simplificado por meio da segregação lógica da rede em diferentes domínios, cada um com uma configuração de segurança mais adequada. No caso de redes sem fio, isso pode ser feito com criptografia, autenticação, seleção de frequências etc.

CONTROLE DE ACESSO A INFORMAÇÕES E SISTEMAS

Da mesma forma, informações sensíveis (como por exemplo a documentação de sistemas), programas utilitários (principalmente os com capacidade de sobrepôr controles dos sistemas) e sistemas operacionais devem possuir alguma ferramenta de autenticação que promova o acesso somente a usuários autorizados.

Os níveis de proteção adotados em cada uma dessas categorias devem estar de acordo com o definido na política de segurança da informação adotada pela organização. Sistemas sensíveis devem preferencialmente ser isolados física ou logicamente dos demais, isto é, devem funcionar em um ambiente computacional dedicado e compartilhar recursos exclusivamente com aplicações confiáveis.

Todas as informações relevantes a respeito dos acessos, como por exemplo, identificadores de usuário, tentativas de acesso frustradas e horários de acesso e saída, precisam ser padronizadas e gravadas nos registros de log, que após uma análise futura poderão ajudar a solucionar incidentes de segurança da informação e mesmo falhas nos sistemas de autenticação.

MACHADO, Marcel Jacques. Segurança da Informação: uma Visão Geral sobre as Soluções Adotadas em Ambientes Organizacionais. Curitiba: UFPR, 2012. Trabalho de Graduação – Bacharelado em Ciência da Computação, Universidade Federal do Paraná, Curitiba, 2012.