Post on 24-Jan-2019
ETEC DE COTIA
ESCOLA TÉCNICA ESTADUAL DE COTIA
TÉCNICO EM REDES DE COMPUTADORES
Marcos Vinicius Silva Machado de Souza
Matheus Vicente Ribeiro
Nathan Eloy de Miranda
Rodrigo Silva Zeferino
Vinícius Viana dos Santos
Wesley FrançaVieira
PLANO DE NEGÓCIOS – TREINAMENTO DE USUÁRIOS
Prevenção de vulnerabilidades ocasionadas por fator humano
Cotia/SP
2015
Marcos Vinicius Silva Machado de Souza
Matheus Vicente Ribeiro
Nathan Eloy de Miranda
Rodrigo Silva Zeferino
Vinícius Viana dos Santos
Wesley França Vieira
PLANO DE NEGÓCIOS – TREINAMENTO DE USUÁRIOS
Prevenção de vulnerabilidades ocasionadas por fator humano
Trabalho de Empreendedorismo apresentado para obtenção de nota no Curso de
Redes de Computadores da Etec de Cotia.
Orientador: Prof. Elcidia Mendes Neta
Cotia/SP
2015
SUMÁRIO
1. INTRODUÇÃO ................................................................................ 3
2. ANÁLISE DE MERCADO ............................................................. 4
2.1. CARACTERÍSTICAS GERAIS DOS CLIENTES ..................... 4
2.2. INTERESSE E COMPORTAMENTO DOS CLIENTES .......... 4
2.3. MOTIVOS PARA CONTRATAR O SERVIÇO ........................ 4
2.4. ONDE ESTÃO OS CLIENTES................................................... 5
3. PLANO FINANCEIRO ................................................................... 6
3.1. ROI (RETORNO SOBRE INVESTIMENTO) ........................... 6
3.1.1. Exemplo de cálculo de ROI ................................................... 6
4. PLANO DE MARKETING ............................................................. 8
5. PLANO OPERACIONAL ............................................................... 9
6. CONSTRUÇÃO DE CENÁRIOS ................................................. 10
REFERÊNCIAS ...................................................................................... 11
3
1. INTRODUÇÃO
Problemas na segurança da rede corporativa podem gerar grandes dificuldades para o
funcionamento de uma empresa que depende dessa rede. Perda de arquivos, informações
errôneas, sistemas cruciais temporariamente indisponíveis e outros problemas são comumente
encontrados em empresas que possuem uma grande quantidade de informação em constante
trafego. Seja pela falta de preparo, ou por falhas ocorridas em certas áreas, as“dores de
cabeça” por quais passam os técnicos e líderes de uma empresa são sempre grandes. Segundo
esses problemas, com base em pesquisas, aulas e até mesmo em experiências próprias, grande
parte dos erros e problemas em uma rede ocorre devido falhas na atuação do fator humano da
corporação. Sendo assim, a solução é tratar o fator humano das empresas.
Nós baseamos a nossa problemática na seguinte frase: “O fator humano é o elo mais
fraco da segurança”. Kevin Mitnick cita esta frase em seu livro A Arte de Enganar, e reporta
um dos principais problemas na área de segurança da informação. Pode-se perceber que a
falha ocorre independente de softwares frágeis ou mesmo da ausência deles, esta por sua vez,
é marcada por alguma deficiência pessoal dentro de cada empresa. Portanto, podemos dizer
que um sistema de informação não está totalmente seguro apenas com tecnologia ou
processos que são definidos para a segurança do mesmo.
O fator humano é considerado por Mitnick e por tantos outros especialistas como o elo
mais fraco de um sistema de informação, assim uma falha, um descuido ou até mesmo a falta
de conhecimento podem gerar prejuízos enormes para organizações, ou seja, o erro por parte
do fator humano é sem dúvida, o foco a ser trabalhado e melhorado. A partir disto, temos por
definido que a principal falha das corporações é a falta de investimento humano-tecnológico,
ou seja, a falta de treinamento ao recurso humano.
A falta de informação geralmente é o que leva as pessoas a cometerem condutas
inadequadas. Se a empresa orientasse seus funcionários devidamente, os incidentes
como [...] utilizar a internet para fins pessoais [...] seriam prevenidos por uma boa
ação e a criaçãodeumcódigo de ética.(SCARDUELLI,Guilherme M., 2009, p. 12).
Assim, chegamos à conclusão de que a melhor forma de solucionar esseserros no fator
humano é por via da preparação prévia (treinamento) para que os funcionários se acostumem
com o uso da rede corporativa. O projeto em si, evitará a perda de dinheiro com aplicação de
solução opensource (software gratuito e de código aberto). Sendo assim, nós temos como
objetivo orientar o funcionário, utilizando de ambiente virtual de aprendizagem, a forma
correta de gerenciar todos os recursos à sua volta preservando os conceitos de segurança da
informação dentro do local de trabalho.
4
2. ANÁLISE DE MERCADO
2.1. CARACTERÍSTICAS GERAIS DOS CLIENTES
Os clientes normalmente possuem a idade adulta, sendo donos ou administradores da
rede da empresa onde trabalham, podendo ser homens ou mulheres. Tendem a ter
conhecimento específico na área administrativa e possuem empresas em regiões próximas.
As empresas podem atuar em diversos setores, não tendo apenas um como específico,
oferecendo diversos produtos e serviços. O nosso foco é direcionado a EPPs (Empresas de
Pequeno Porte) e MEs (Microempresas) que estão iniciando os serviços, pois necessitam do
treinamento ou já possuem até dois anos de experiência no mercado pela questão de
estabilidade financeira para cumprir com determinadas propostas de investimento sugeridas
por nós. A empresa que receberá os serviços, não necessariamente precisa ter uma boa
aparência no mercado, porém com uma boa aparência teremos mais divulgação de nossos
serviços.
2.2. INTERESSE E COMPORTAMENTO DOS CLIENTES
Os nossos serviços são oferecidos e adaptados de acordo com a necessidade da
empresa, sendo necessária a instalação (aplicação) apenas uma única vez, porém com diversas
adaptações e mudanças no projeto acompanhando o progresso dos funcionários e da empresa.
Novos serviços são solicitados pelo contato por e-mail, site ou telefone. A faixa média de
preços para esse tipo de serviço varia de R$ 25,00 a R$ 50,00 por funcionário e R$ 20,00 a R$
50,00 por hora, além de diversos outros fatores. No caso do projeto apresentado, como o
ensino é a distância, são cobradas apenas as horas de instalação do software e o número de
alunos que seriam cadastrados no software uma única vez.
2.3. MOTIVOS PARA CONTRATAR O SERVIÇO
Os preços dos serviços prestados estão na faixa do mercado atual, sendo utilizadas
plataformas open source (de código aberto) para a aplicação do mesmo, fazendo com que o
projeto fique ainda mais em conta para os clientes. O software é instalado em no máximo 30
dias, sendo esse o prazo de entrega, com um pagamento efetuado logo a seguir. O
atendimento à empresa contratante é constante até o término do serviço, uma vez que é feito o
acompanhamento para a atualização e configuração do software utilizado.
5
2.4. ONDE ESTÃO OS CLIENTES
Atuamos no mercado de EPPs e MEs, localizados em nossa região e arredores, uma
vez que não possuímos capital e recursos suficientes para atender grandes distâncias,
resultando em prejuízo para com o preço requisitado.
6
3. PLANO FINANCEIRO
A aplicação do projeto em si não possui custos além dos de alocação do servidor em
domínio que, por motivos de teste, está em funcionamento atualmente durante o período de 3
meses (90 dias). Para método de comparação, o custo foi de R$ 47,00, levando em
consideração que o registro em domínio foi gratuito devido a promoção que estava em vigor
na época de contratação dos serviços LocaWeb. Como custo existe apenas a contratação dos
serviços e o apoio técnico prestado por parte dos integrantes do projeto para com a empresa
contratante. Não está sendo oferecido um serviço comunitário e, portanto, o projeto tem um
custo. O acompanhamento dos integrantes com a plataforma e o programa de ensino, para
adaptá-lo constantemente às necessidades do cliente, possui certo custo, que seria calculado
junto à alocação do servidor citada anteriormente, para que não ocorra um prejuízo.
3.1. ROI (RETORNO SOBRE INVESTIMENTO)
O ROI do projeto se baseia basicamente na perda de dinheiro que será evitada com a
aplicação do projeto. Caso algum problema venha a ocorrer na rede da empresa e uma
máquina fique desabilitada por causa de erro humano, por exemplo, o funcionário contratado
não pode exercer sua profissão naquele computador. No entanto, ele não deixa de receber, o
que faz com que ele ganhe seu salário normalmente por horas de trabalho, mas sem trabalhar
para a empresa que o paga. Basicamente, se torna um peso. Esse fator, junto ao custo de
manutenção do dispositivo em mau funcionamento, que seriam as horas de trabalho do
técnico de TI, é o prejuízo que vem a ocorrer com uma empresa que não aplica treinamento
aos seus funcionários. Portanto, após a aplicação do projeto, o ROI se torna o valor que viria a
ser perdido, uma vez que, como não ocorreu erro, o funcionário está trabalhando normalmente
de acordo com seu salário e não foram necessários os serviços de um técnico de TI.
3.1.1. Exemplo de cálculo de ROI
Exemplo aonde um problema com vírus veio a ocorrer no setor contábil e um técnico
teve que ser chamado para resolver o problema durante uma hora (executando manutenção
preventiva). O funcionário de ADM deixa de trabalhar (ocioso), mas não de receber seu
salário.
7
Tabela 1 (Salários médios de funcionários)
Funcionário Salário Valor da hora
(Salário / 30 Dias / 8 horas)
Financeiro/Fiscal R$ 1.936,00 R$ 8,06
Administrativo R$ 2.193,00 R$ 9,13
Contábil R$ 2.572,00 R$ 10,71
Secretariado R$ 2.814,00 R$ 11,72
Recursos Humanos R$ 1.462,00 R$ 6,09
Técnico de Informática R$ 75,00
Prejuízo = (Hora funcionário + Hora técnico) × Tempo de serviço do técnico
Prejuízo = (10,71 + 75,00) × 1 = R$ 85,71
Consequentemente, o ROI caso o problema fosse evitado seria o trabalho e a prestação
de serviço garantidos do funcionário que ficou ocioso e o não-gasto de R$ 75,00 dos serviços
prestados pelo Técnico de Informática.
8
4. PLANO DE MARKETING
O foco do nosso projeto é a prestação de serviços para EPPs e MEs, pelo fato de que
estas possuem mais erros frequentes por partes dos usuários, diferentemente das grandes
empresas que já possuem uma infraestrutura de TI bem arquitetada. Como vender é gerar uma
necessidade, demonstrar e apresentar uma vulnerabilidade causada pelos funcionários e
oferecer sua solução gera automaticamente o interesse do cliente para com sua empresa e
nossos serviços.
Para uma fase inicial após o contato com o cliente por meio de um mediador, site,
telefone ou e-mail, será entregue a documentação do projeto e logo após o cliente irá verificar
e decidir se aprova o mesmo. Após aprovação ocorrerá a fase de análise do ambiente para
identificação de problemas ocorridos, por exemplo, em um escritório de contabilidade podem
acontecer erros relacionados a atualização de softwares que ocorrem por parte direta do
usuário ao clicar e mexer onde não deve ou um ataque de hackers por phishing que é por
parte indireta do funcionário, onde o mesmo abre um e-mail contaminado entre muitas outras
coisas que interferem no bom funcionamento do ambiente tecnológico da empresa tanto por
parte de segurança da informação quanto por desempenho da mesma na questão de ter que
parar algum processo para resolver um problema específico.
9
5. PLANO OPERACIONAL
Para fazer a análise do ambiente é necessário um conjunto de softwares como, por
exemplo: Rogue Killer, JRT, RKill, Combofix, AdwCleaner, que além de fazer remoção de
vírus, geram um relatório dos problemas encontrados e das soluções aplicadas. Também
podem ser realizados pentests (testes de penetração) com o sistema operacional Linux
Backtrack, que irá identificar as vulnerabilidades dos computadores da rede. A análise ocorre
antes da aplicação para que com os relatórios sejam elaboradas aulas específicas para serem
aplicadas junto ao Moodle, e também após a aplicação, para detectar as mudanças que
ocorreram e se e se houveram melhorias.
Com esses testes é possível a observação do que precisa ser implantado. Logo em
seguida, com os testes realizados, é apresentada uma demonstração do nosso serviço ao
cliente e também das soluções necessárias para a implantação correta do serviço, como
também os requisitos. Em seguida são feitas as documentações necessárias para a adesão do
serviço a empresa, como o SLA. Com a aprovação é implantado o serviço e em seguida
mantidas observações diretas na empresa. Após finalização para mostrar ao usuário que ele é
a ponta do iceberg, que através dele que esses problemas podem ser sanados.
10
6. CONSTRUÇÃO DE CENÁRIOS
O cenário de aplicação não varia de acordo com a ramificação da empresa tanto
comércio, indústria ou serviços, pois todas possuem redes de computadores e funcionários,
portanto, as etapas citadas abaixo são utilizadas para qualquer tipo de empresa, independente
do tipo de problema encontrado ou do ramo da empresa.
Em um setor de administração, os funcionários vêm tendo problemas com o acesso à
conta de e-mail empresarial, pois ao inserirem o login e senha, a autenticação falha e, aparece
a seguinte mensagem: “Senha incorreta”. É possível constatar que a senha foi mudada sem a
autorização destes funcionários, ou seja, os mesmos sofreram um ataque de phishing (vírus
que coleta de informações sendo feita de forma não autorizada), onde as informações que
foram roubadas eram as senhas dos funcionários.
O phishing é adquirido por um computador geralmente por engenharia social, ou seja,
o próprio funcionário, influenciado por terceiros, clica em um link de propaganda, por
exemplo, e este contém o phishing, que é instalado automaticamente na estação de trabalho.
Assim as informações digitadas são coletadas e enviadas à pessoa que realizou o ataque e
assim, essas informações podem ser utilizadas com diversos fins; no caso citado, as senhas
foram roubadas para se ter acesso aos e-mails dos funcionários.
Com o treinamento, os funcionários aprendem como evitar que estas situações
ocorram, a partir de certas prevenções que serão ensinadas, como por exemplo, identificar
links suspeitos que possam conter um malware.
11
REFERÊNCIAS
SCARDUELLI, Guilherme M..Segurança da Informação nas Empresas,
problemas frequentes. Disponível em: <http://fateczl.edu.br/TCC/2009-2/tcc-32.pdf>
Acesso em: 4 de Ago. de 2014.
MACHADO, Felipe R.. Segurança da Informação numa perspectiva mais
humana: Falhas internas e procedimentos de prevenção e defesa da rede. Disponível em:
<http://www.cin.ufpe.br/~tg/2009-1/frm.pdf> Acesso em: 5 de Ago. de 2014.
Autor desconhecido. Segurança da informação. Disponível em:
<http://pt.wikipedia.org/wiki/Seguran%C3%A7a_da_informa%C3%A7%C3%A3o> Acesso
em: 20 de Ago. de 2014.
SOUZA, Rodrigo. Conheça os maiores erros de segurança nas corporações.
Disponível em: <http://olhardigital.uol.com.br/noticia/conheca-os-maiores-erros-de-
seguranca-nas-corporacoes/9469> Acesso em: 23 de Ago. de 2014.
Autor desconhecido. Olhar Digital - Saiba como evitar a ameaça 'indestrutível' do
USB. Disponível em: <http://olhardigital.uol.com.br/noticia/44480/44480> Acesso em: 3 de
Out. de 2014.
Autor desconhecido. Como calcular o ROI em Projetos de TI. Disponível em:
<http://www.opservices.com.br/como-calcular-o-roi-em-projetos-de-ti/> Acesso em: 17 de
Out. de 2014.
Autor desconhecido. 31% dos profissionais trocariam sistema de segurança nas
empresas. Disponível em:
<http://www.ipnews.com.br/telefoniaip/index.php?option=com_content&view=article&id=31
163%3Aprofissionais-trocariam-sistema-de-seguranca-nas-
empresas&catid=67%3Aseguranca&Itemid=566> Acesso em: 22 de Set. de 2014.
Autor desconhecido. 49% das empresas se consideram pioneiras no uso de novas
tecnologias. Disponível em:
<http://www.ipnews.com.br/telefoniaip/index.php?option=com_content&view=article&id=31
651%3A49-das-empresas-se-consideram-pioneiras-no-uso-de-novas-tecnologias-revela-
estudo&catid=323%3Anacional&Itemid=652> Acesso em: 22 de Set. de 2014.
Autor desconhecido. 80% dos usuários corporativos não conseguem identificar
golpes de phishing. Disponível em:
<http://www.ipnews.com.br/telefoniaip/index.php?option=com_content&view=article&id=31
12
495%3Aestudo-detecta-que-80-dos-usuarios-corporativos-nao-conseguem-identificar-golpes-
de-phishing&catid=67%3Aseguranca&Itemid=566> Acesso em: 22 de Set. de 2014.
PASSERI, Paolo. July 2014 Cyber AttacksStatistics.Disponível em:
<http://hackmageddon.com/2014/08/11/july-2014-cyber-attacks-statistics/> Acesso em: 22 de
Set. de 2014.
MITNICK, Kevin D; SIMON, William L. A Arte de Enganar – Ataques de hackers:
controlando o fator humano na segurança da informação. São Paulo: Pearson Education,
2003.
PINHEIRO, Patrícia Peck. Tudo o que você precisa ouvir sobre direito digital no
dia-a-dia (Audiolivro). São Paulo: Saraiva, 2009.
_________; ROSA, Fabrizio. Crimes da Informática. Campinas: Bookseller, 2006.
Autor desconhecido. Ameaças e vulnerabilidades da informação: Como precaver!
Disponível em: <http://www.portaleducacao.com.br/educacao/artigos/48819/ameacas-e-
vulnerabilidades-da-informacao-como-precaver> Acesso em 11 de Mar. de 2015.
Autor desconhecido. Norma ABNT NBR ISO/IEC 17799:2005. Disponível em:
<http://www.ciencianasnuvens.com.br/site/wpcontent/uploads/2014/09/215545813-ABNT-
NBR-177991.pdf> Acesso em: 14 Mar. de 2015.