CENTRO DE ENSINO SUPERIOR DO CEARA€¦ · Trabalho de conclusão de curso (Monografia) como...

CENTRO DE ENSINO SUPERIOR DO CEARÁ FACULDADE CEARENSE

CURSO DE ADMINISTRAÇÃO DE EMPRESAS

SILLAS DA COSTA ROMÃO

SEGURANÇA DE INFORMAÇÃO

UM ESTUDO DE CASO DESCRITIVO COM AS PRINCIPAIS DEFESAS E

AMEAÇAS EM UMA EMPRESA DE TECNOLOGIA NA CIDADE DE FORTALEZA

CEARÁ - FORTALEZA 2013





Projeto de pesquisa apresentado a Faculdade Cearense FAC, baseado na Tecnologia da Informação (TI) para elaboração da monografia de conclusão do curso de Administração.

CEARÁ - FORTALEZA 2013





Trabalho de conclusão de curso (Monografia) como pré-requisito para obtenção do título de bacharelado em Administração, outorgado pela Faculdade Cearense (FAC), tendo sido aprovado pela Banca Examinadora composta pelos professores. Data de aprovação ____/____/____.

BANCA EXAMINADORA

_________________________________________ Profº. Especialista Rosiberto Bezerra Leandro

_________________________________________ Profª. Especialista Liduina Maria Paula Medeiros

_________________________________________ Profº. Mestre Ricardo Alves Moreira

“Aos meus parentes principalmente minha mãe, e aos amigos que me fortaleceram em momentos difíceis quando me sentia desestimulado em conciliar a vida acadêmica com a profissional.

AGRADECIMENTOS

Aos meus pais principalmente, pois sem eles não estaria presente neste

mundo, a Deus por sempre me colocar no caminho certo.

A minha família que sempre esteve comigo em momentos que não eram

muito felizes, mas que juntos sempre conseguimos vencer e tirar uma lição do que

sofremos.

A minha namorada Áylla Cristina que a todo o momento nunca me deixou

duvidar da minha capacidade de conquista e força para concluir qualquer trabalho

que possa surgir a minha frente.

Ao meu professor Ricardo Moreira, meu orientador, que por sua atenção,

e dedicação não só consegui concluir o TCC, mas consegui enfrentar o mundo dos

negócios criando coragem e garra para empreender em um projeto só meu e a

Faculdade Cearense que me apoiou com todos os seus funcionários, fazendo com

que o curso de Administração tenha cada vez reconhecimento.

A coordenadora do curso Phryné Benayon, que fez com que todos os

alunos do curso de Administração conseguissem alcançar seu sonho de se tornar

um bacharel no curso.

Aos meus colegas de turma que depois de tantos anos juntos ficamos

cada vez mais unidos, sorrindo, brincando e principalmente trocando tantas

experiências; agradeço especialmente aos meus amigos como Milton, Jarbas,

Rógisla, Meyri, Wallace, Guilherme, Kelly, Lorena, Eudênio, Flávio, Brenna, Erivânia,

Lucile, Daniel, Júnior, Gutemberg, Patrícia, Renato, Fagner, Elaine e Cícero, por

permanecerem presentes em todas as etapas de minha vida.

RESUMO

Esta pesquisa de conclusão de curso descreve os cuidados que as empresas precisam ter para com as suas informações, especificando os tipos de invasões, definindo quem e como qualquer computador ou servidor pode ser invadido, tornando um risco para sua empresa e para seus usuários. Logo, estudou-se uma abordagem exploratória e qualitativa por meio de entrevistas não estruturadas, mas com profundidade na intenção de explorar cada resposta dada ao pesquisador, não perdendo a espontaneidade da entrevista. Foram escolhidos como corpus de pesquisa uma empresa de informática na cidade de Fortaleza e 5 (cinco) clientes dessa mesma empresa. A partir da análise dessas entrevistas foi possível perceber a evolução que as empresas de informática em Fortaleza estão sofrendo, tendo consciência do quão grave e perigoso são essas informações caírem nas mãos de outras empresas, concorrentes etc. Por sua vez ao olhar seus clientes, faz-se necessário perceber que os mesmos não sabem como e quando podem acontecer as invasões, além disso não sabem como se precaver dessas ameaças, forçando assim que os profissionais passem a seus clientes de forma clara e concisa as informações para que não haja divergência de opiniões. Concluiu-se principalmente que existe uma forte demanda a ser quantificada pelo setor e que a empresa estudada se encontra completamente competitiva com qualquer empresa dentro e fora do estado do Ceará. Palavras Chaves: Segurança de Informação. Internet. Invasões de computadores.

ABSTRACT

This conclusion research describes the the importance of companies be aware within their information, specifically those related to access to confidential ones, defining whom and how some computers or servitors can be accessed, becoming a risk to the comapy and their users. In this conclusion study has been discovered, through an qualitative no-structured and deep interview, seeking for a deep and complete answer given to the author, so this interview had no direct answers. One IT company situated at Fortaleza and five costumers from this company had been selected. From these interview analysis were possible note concerns from companies, and how aware there companies must be in order to protect their costumers data, mainly from competitors. Once that the companies have noted the importance of IT security, they started to aware their costumer that is an important issue, because no one knows when some invasions can occur. So, IT companies must be ready to clarify costumers' claims about security. In conclusion, because of this quantify demand, companies has perceived the importance of invest in IT security in and outside Ceara state. Key-words: IT security, Internet, Bugs e Malwares.

LISTA DE ILUSTRAÇÕES

FIGURA1 – Prejuízos causados elos principais vírus .................................. 23

FIGURA2 – Ciclo dos Worms ....................................................................... 24

FIGURA3 – Etapas de um Botnet ................................................................ 25

FIGURA4 – Segurança da informação ......................................................... 31

FIGURA5 – Bytes de memória ..................................................................... 32

FIGURA6 – Visão conceitual de política de segurança ................................ 35

FIGURA7 – Política de segurança e seus relacionamentos ........................ 37

FIGURA8 – Organograma da empresa ....................................................... 47

FIGURA9 – Servidores ................................................................................ 50

GRAFICO1 – Funcionários graduados ........................................................ 49

GRAFICO2 – Língua estrangeira ................................................................ 49

LISTA DE TABELAS

TABELA1 – Tabela universo 1 – Empresa de informática ........................... 45

TABELA2 – Tabela universo 2 – Possíveis clientes .................................... 45

TABELA3 – Tabela grau de formação ......................................................... 48

LISTA DE ABREVIATURAS ESIGLAS

FAC – Faculdades Cearenses TCC –Trabalho de Conclusão de Curso TI – Tecnologia da Informação EUA – Estados Unidos da América ALASI – Academia Latino America Segurança de Informação SIG – Sistema de Informação Gerenciável DOS – Disk Operating System DDOS – Distributed Denial of Service UCE – Unsoliated Commercial E-mail SPAM – Stupid pointles Annoying Messages DVD – Digital Versatile Disc CD ROM – Compact Disc Read Only Memory MS – Microsoft ABNT – Associação Brasileira de Normas Tecnicas ISO – International Organization for Standardization IEC – International commission Electronics NBR – Normas Brasileiras FGV – Fundação Getulio Vargas MHZ – MegaHertz SP1 – Service Pack 1 RAM – Random Access Memory DIMM – Dual Inline Memory Module GB – Giga Byte HD – Hard Disk IP –Internet Protocol NBSO –Grupo de Resposta a Incidentes de Segurança para a Internet

Brasileira

SUMÁRIO

1 INTRODUÇÃO .......................................................................................... 13

1.1 Contextualização .................................................................................... 13

1.2 Justificativa ............................................................................................. 14

1.3 Problematização ..................................................................................... 15

1.4 Problema ................................................................................................ 16

1.5 Objetivo Geral ........................................................................................ 16

1.6 Objetivo Específico ................................................................................. 16

1.7 Metodologia ............................................................................................ 16

2 AS FREQUENTES AMEAÇAS DA INTERNET ........................................ 17

2.1 Diferenças entre HACKRES e CRACKRES .......................................... 18

2.1.1 Os principais tipos de HACKRES ........................................................ 20

2.2 Os principais tipos de Invasão ................................................................ 21

2.2.1 Negação de serviço (Denial of service – DOS) ................................... 21

2.2.2 SPAM .................................................................................................. 21

2.2.3 Códigos Maliciosos ............................................................................. 22

2.2.3.1 Vírus ................................................................................................. 22

2.2.3.2 Worms .............................................................................................. 24

2.2.3.3 Bots e Botnets .................................................................................. 25

2.2.3.4 Spyware ........................................................................................... 26

2.2.3.5 Backdoor .......................................................................................... 26

2.2.3.6 Cavalo de Tróia (Trojan) ................................................................... 27

2.2.3.7 Rootkit .............................................................................................. 28

2.2.3.8 Keyloggres ....................................................................................... 29

3 AS TÉCNICAS DISPONIVEIS DE PROTEÇÃO DE SISTEMAS .............. 29

3.1 Segurança física ..................................................................................... 31

3.2 Segurança da informação ...................................................................... 32

3.3 Políticas de segurança da informação ................................................... 33

3.3.1 Conceitos e definições ........................................................................ 34

3.3.2 Importância da Segurança .................................................................. 37

3.3.3 Políticas de senhas ............................................................................ 38

3.3.4 Políticas de Firewall............................................................................. 39

4 METODOLOGIA ....................................................................................... 41

4.1 Tipo de pesquisa .................................................................................... 41

4.2 Instrumento de Investigação .................................................................. 43

4.3 A amostra: Destinos entrevistados ......................................................... 44

4.4 Contato com a amostragem ................................................................... 45

4.5 Os entrevistados .................................................................................... 45

4.6 Pré-Teste e o Teste ................................................................................ 46

5 ANÁLISE DE RESULTADOS ................................................................... 46

5.1Estrutura da empresa .............................................................................. 46

5.2 Conhecimento dos funcionários ............................................................. 48

5.3 Segurança de informação ...................................................................... 50

5.3.1Configuração do Servidor ..................................................................... 51

5.4 Acessibilidade do cliente ........................................................................ 52

6 CONSIDERAÇÕES FINAIS ...................................................................... 52

7 REFERENCIAS BIBLIOGRÁFICAS ......................................................... 55

13

1 INTRODUÇÃO

1.1 Contextualização

A Tecnologia da informação (TI), uma das principais ferramentas no setor

empresarial, vem ultrapassando a barreira operacional e assumindo um papel mais

estratégico dentro das organizações, independente de ser uma empresa pública ou

privada. Nesse novo mundo corporativo, os recursos e os equipamentos auxiliam as

empresas em muitas tomadas de decisões, mas essas decisões assumidas

erroneamente podem prejudicar consideravelmente a „saúde‟ das empresas.

Com a Internet se ampliando a cada ano, surgem novos usuários e cada

vez mais conectados, empresas cada vez mais forte no mercado tecnológico, tudo

isso gerou uma preocupação às empresas: fazer com que certas informações

fossem protegidas de invasores em seus servidores e/ou fraudes em seus sistemas.

Empresas mal estruturadas se tornam alvo fácil para invasões, mesmo

com tantos recursos disponíveis e com tantas informações sobre o assunto, muitos

empresários não dão o devido valor a esses novos recursos.

A prova dessas invasões está a todo o momento sendo divulgadas nas

mídias e nas redes sociais, vê-se o caso da atriz Carolina Dickman que sofreu com

uma de suas imagens íntimas sendo exposta, resultando em muitas polêmicas e que

de certa forma a vida particular da “vítima” fica devassada. Por conta desse infeliz

episódio foi criada uma lei contra esses abusos. O mais recente dessa invasão foi o

caso da espionagem dos Estados Unidos da America (EUA) no qual tornou o Brasil

um alvo para seus espiões.

Para as empresas que desejam se destacar no mercado, não basta ter

colaboradores competentes, é necessário que a equipe de tecnologia tenha ciência

da grande importância que essa área representa, pois estando alinhada com o

projeto e com o objetivo da empresa com certeza conseguirá alcançar os resultados

esperados.

Para as empresas conseguirem alcançar seus objetivos, existem longos

caminhos a serem percorridos, com os quais na prática não se deve pensar apenas

nos resultados a serem alcançados, mas em como chegar e principalmente como se

proteger de ameaças tecnológicas que surgirão.

14

A área da tecnologia sofre constantes transformações, evoluindo a cada

novo dia, hardwares, computadores, celulares, todos evoluem, cada vez menores e

o principal sem perder ou até aumentando seu desempenho, tornando uma área que

o profissional da informática busque sempre atualizações e estudo.

Não foram apenas os hardwares que sofreram alterações, os softwares

seguiram a mesma velocidade, tornando os usuários mais necessitados dessas

novas tecnologias, coagindo assim consumidores a adquirirem ainda mais esses

novos produtos e assim exporem as suas vidas. Dessa forma os usuários foram se

sujeitando a invasões e esses novos invasores foram roubando suas informações de

forma rápida e ilegal.

As empresas também sofrem essas invasões, tornando-se tão expostas

como as pessoas, no entanto com um nível de dificuldade maior de serem invadidas

ou roubadas. Existem diversas formas de proteção, as empresas estão utilizando e

habilitando diretrizes de segurança: como firewalls, bloqueando o uso de pen drives,

armazenamento de informações em vários servidores, dentre outros.

De acordo com a Academia Latino Americana de Segurança de

Informação (ALASI, 2006) que realizou um estudo pela Universidade do Texas,

somente 6% das empresas que sofrem invasões por falha na segurança de

informação sobrevivem. Os 94% restante das outras empresas simplesmente

desaparecem.

1.1 Justificativa

O estudo a ser desenvolvido propõe estabelecer e identificar as

possíveis ameaças com as quais as organizações se tornam vulneráveis, trazendo

as informações necessárias que cada setor de TI deverá filtrar, construindo ações e

implementando-as para que seus sistemas e as informações não sejam violados e

invadidos por usuários que não possuam a autoridade de visualizá-los.

Contudo o tema a ser exposto será a Segurança de Informação - um

estudo de caso descritivo com as principais defesas e ameaças em uma empresa de

tecnologia da cidade de Fortaleza, trazendo os tipos de invasões, as principais

ameaças, e principalmente as medidas de proteção que cada organização deverá

utilizar.

15

1.2 Problematização

Muito se fala sobre segurança da informação, mas até que ponto há

uma preocupação e um interesse em fazermos bons investimentos?

E qual a diferença de investimento e gasto? Será que é claro a

verdadeira importância da segurança da informação?

Parecem perguntas simples, mas não é. A maioria das empresas

acreditam que investir em TI é apenas mais um gasto necessário e não um grande

recurso que poderá ter um retorno muito lucrativo.

Faltam executivos que realmente conheçam os cenários de riscos

como: infraestrutura, planos de continuidade de negócios, fraudes e legislação. Qual

gestor de empresa gosta de investir? Acontece que esse não investimento pode

custar muito caro, podendo ser surpreendido por um incidente, um sinistro ou

simplesmente porque não foram tomadas as decisões corretas, tornando a empresa

vulnerável a qualquer evento do ambiente externo.

Um dos principais empecilhos que fazem com que o número de

invasões nas empresas cresça, é o baixo investimento no setor, por se tratar de um

investimento de grande valor, as empresas decidem adiar o investimento

acreditando que seu sistema não irá ser invadido, ou confiando que seu servidor

esteja seguro impedindo acesso de indivíduos desconhecidos, porém, todo cuidado

é pouco, pois a internet está cada vez mais integrada na vida de cada usuário e

empresa, pois todas as transações bancárias, vendas, notas fiscais e atendimento,

são feitas na rede e a não proteção dessas informações a tornam completamente

acessíveis a qualquer usuário mal-intencionado.

SÊMOLA (2003, p.17), sinaliza a questão da segurança com uma

pergunta:

“Não estaria à equipe de segurança voltada apenas para os aspectos

tecnológicos da segurança e consequentemente, esquecendo-se dos

aspectos físicos e humanos? De que adianta possuir duas trancas na porta

social, se a outra, que permite acesso ao mesmo ambiente, só possui uma?”.

O investimento tem que ser bem planejado, pois, comprar os melhores

softwares, os melhores hardwares, os melhores servidores, e não investir no capital

16

intelectual, a segurança de informação se tornará falha, pois é através desse capital

que serão criadas as políticas e as diretrizes de segurança, as quais serão avaliadas

e redimensionadas de acordo com a demanda, fortalecendo seus equipamentos e

sistemas.

1.3 Problema

Buscando a excelência nos processos de segurança de informação é

necessário saber: Como identificar quais as principais ameaças e quais são os

principais meios de defesa que uma empresa de tecnologia deve utilizar para que os

riscos diminuam e sua rede se torne mais segura?

1.4 Objetivo Geral

Identificar as novas técnicas que a TI dispõe atualmente para tornar sua

empresa menos vulnerável, integrando a tecnologia e o usuário.

1.5 Objetivos específicos

Para sustentar o objetivo geral citado acima, foram identificados alguns

objetivos específicos, a serem comentados:

a) Analisar possíveis ameaças que uma empresa não preparada pode

sofrer.

b) Identificar os benefícios que a TI pode oferecer avaliando não só a

tecnologia, mas seus resultados.

c) Identificar quais as principais defesas que uma rede de informações

pode possuir.

1.6 Metodologia

Para entender este presente trabalho, essa pesquisa está estruturada em

seis capítulos, iniciando com a introdução no qual apresentou a contextualização do

problema, a justificativa do tema, a pergunta de partida, os objetivos da pesquisa e o

sumário da metodologia.

17

No segundo capítulo, nomeado de FREQUENTES AMEÇAS DA

INTERNET, apresenta os riscos em que as organizações estão sujeitas. São

abordados os possíveis atacantes, os métodos, as técnicas e ferramentas utilizadas

por eles, mostrando que as preocupações com a segurança devem ser tratadas com

o máximo de cuidado e atenção para que as organizações não sejam afetadas.

No terceiro capítulo, denominado de AS TÉCNICAS DISPONÍVEIS DE

PROTEÇÃO DE SISTEMA serão comentadas as novas técnicas utilizadas nas

empresas e as formas de proteção das redes de computadores.

No quarto capítulo será abordada a METODOLOGIA, que seguirá de uma

análise exploratória, qualitativa focada em um estudo de caso, por meio de uma

entrevista não estruturada, favorecendo ao entrevistado a dar respostas mais

espontâneas, concomitantemente, oportunizando a explorar mais as

ideias/respostas desse entrevistado.

No quinto capítulo - ANÁLISE DOS RESULTADOS – debruça-se em

cima de todos os pontos que foram analisados através das entrevistas dos

responsáveis pela empresa e seus clientes.

Posteriormente, são apresentadas as CONSIDERAÇÕES FINAIS, que

mostra a compreensão do assunto estudado diante dos resultados atingidos,

identificando quais as falhas e os pontos fortes da empresa, para que esta possa

assim tornar a organização segura e pronta para guardar qualquer tipo de

informação.

Por fim as REFERÊNCIAS BIBLIOGRÁFICAS com as indicações dos

autores utilizados como fonte de pesquisa para a realização desse trabalho.

2 AS FREQUENTES AMEÇAS DA INTERNET

A vulnerabilidade em relação à tecnologia da informação é definida como

uma falha no projeto ou uma falha na configuração do sistema operacional, que

quando explorada por um atacante, pode resultar em uma violação de segurança

CERT.BR (2012).

Existem também as vulnerabilidades causadas pelo usuário que ao se

conectar a Internet, podem abrir portas para os invasores conectarem no

computador, através de e-mails, instalação de programas não confiáveis, vírus,

spywares, cavalos de troia e outros que serão abordados mais a frente.

18

Nos década de 90, a única utilidade que se tinha da Internet era de

acessar sites e de alguns bate-papos, mas com o aumento da oferta de

computadores e da Internet os usuários foram se tornando mais conectados a essa

nova ferramenta, utilizando e explorando cada vez mais a modernidade.

Foi criado o Sistema de Informação Gerenciável - SIG para facilitar as

organizações nas suas rotinas: redes sociais para entretenimento; ferramentas de

comunicação mais dinâmicas e presentes, reduzindo os custos e assim tornando os

setores mais produtivos.

Com o grande aumento de acesso à Internet e os computadores se

tornando cada vez mais necessários nas grandes corporações - as empresas

começaram a sofrer algumas invasões cibernéticas prejudicando sua segurança e

principalmente suas informações sigilosas.

Esses usuários que invadiram tais computadores usam métodos, técnicas

e ferramentas desenvolvidas com o único objetivo de invadir de suas máquinas e

roubar as informações sigilosas de cada empresa.

Nesse capítulo apresenta os riscos que as organizações estão sujeitas.

2.1 Diferenças entre Hackres e Crackres

O termo utilizado para nomear o responsável pelo ataque de um sistema

computacional é hacker. Esses ataques possuem objetivos diversos e diferentes e o

sucesso ou não depende do grau de segurança dos alvos e da consequente

capacidade dos hackers de atacar. Assim se entende que os sistemas bem

protegidos são mais difíceis de serem atacados.

Os hackers utilizam seus conhecimentos para invadir sistemas, não para

causar problemas, mas para desafiar suas habilidades. Invadem os sistemas,

modificam ou capturam arquivos para provar sua capacidade e depois dividem e

compartilham suas conquistas com seus colegas. Sem a intenção de prejudicar,

apenas de demonstrar poder, diferente dos crackers.

Segundo NAKAMURA E GEUS (2007), hacker são indivíduos que se

utilizam de seus conhecimentos para invadir sistemas, não com o objetivo de causar

prejuízos, mas sim para testar o seu conhecimento; entram em sistemas, alteram

arquivos e em seguida compartilham suas façanhas com seus colegas.

19

Os hackers são programadores e buscam apenas seu autoconhecimento,

sem prejudicar usuário algum, promovem-se entre amigos e grupos de informática,

muitos desses programadores são contratados por grandes empresas de software

para testar as suas vulnerabilidades, diferente dos crackers.

Os crackers invadem os sistemas com a intenção de causar danos às

vitimas, roubando informações. O termo é usado para aqueles que decifram códigos

e destroem proteções de software.

Segundo NAKAMURA E GEUS (2007), crackers são elementos que

invadem sistemas principalmente para roubar informações e causar danos as suas

vítimas, esse termo cracker também é utilizado para aqueles que decifram códigos e

destroem proteções dos softwares.

A principal diferença entre os dois é justamente a intenção de invasão,

ambos são grandes programadores, mas seus objetivos são bem diferentes.

Porém, com o grande avanço e a facilidade que as informações estão

disponíveis nas redes, as definições acima não são mais usadas, a imprensa

mundial começou a determinar que qualquer ataque, a qualquer sistema de

informação seja atribuído aos hackers, mudando totalmente o conceito e os crackers

foi atribuída a um software que rouba senhas, ou decifra mensagens cifradas, sendo

assim houve então uma nova definição para os hackers.

Segundo NAKAMURA E GEUS (2007, p. 67) afirma “Individuo obsessivo, de

classe média, de cor branca, do sexo masculino, entre 12 a 28 anos, com pouca

habilidade social e possível história de abuso físico e ou social”.

Os vários tipos de invasores podem causar desde simples transtornos até

grandes prejuízos, pois até mesmo a segurança do país pode ser colocada em risco,

dependendo da situação.

As invasões aos sistemas podem ser executadas por meio de exploração

de técnicas que podem ter como base a engenharia social ou invasões técnicas.

Esses ataques encontram deficiências na concepção, implementação do programa,

configuração ou no gerenciamento dos serviços e sistemas, e não mudará enquanto

a preocupação for os produtos e não a segurança.

Os ataques exploram pequenas falhas existentes em qualquer dos níveis

conectados à proteção da informação. Para tanto foram criadas nomenclaturas para

20

identificar quem são e habituar-se aos seus métodos e ou ferramentas mais

utilizados para promover esses ataques.

2.1.1 Os principais tipos de Hackers

Com o grande aumento do número de invasões houve uma necessidade

de classificar esses invasores, para tanto a mídia e os próprios hackers criaram a

classificação no intuito de identificar e medir seus conhecimentos no qual

definiremos abaixo:

Script kiddies: É a primeira fase de um hacker, são os iniciantes nas

redes, são novos, não sabem bem o que fazem, porém são responsáveis por grande

parte das invasões que acontecem, estão preocupados apenas com a fama que

podem conseguir.

Cyberpunks: São indivíduos mais velhos, que usam a internet como

uma forma de protestar contras algumas empresas, alteram informações, divulgam

algo contra a política da empresa, alguns sites os intitulam como “pichadores

virtuais”.

Insiders: São funcionários que estão insatisfeitos com o atual cargo,

que usa desse privilégio para conseguir benefícios próprios.

Coders: São programadores que têm como maior preocupação sua

publicação de seus trabalhos através de livros, palestras.

White Hat: São profissionais que buscam principalmente proteger as

empresas no qual são contratados, intitulado como “chapéu branco” em conotação

aos filmes do velho oeste, sinalizando que são os “profissionais bonzinhos”.

Black Hat: Em oposto ao White Hat, os “chapéus pretos” são

programadores que usam seus conhecimentos para quebrar a segurança dos

sistemas, usando de forma ilegal e ferindo a ética, promovendo programas

maliciosos e criminosos.

Gray Hat: São os programadores que não sabem em qual classificação

se enquadram, pois trabalham protegendo e ao mesmo tempo prejudicando os

sistemas das empresas.

Cyberterroristas: Mais novo na classificação; programadores que

desenvolvem software malicioso com alvos determinados, podendo atingir empresas

21

financeiras, religiosas e ou governamentais. Esses indivíduos estão sendo

acompanhados de perto pela polícia dos Estados Unidos, procurando garantir assim

a segurança dos americanos.

2.2 Os Principais tipos de Invasões

O programador para ter acesso às máquinas e/ou às redes disponíveis na

Internet, precisam criar algumas técnicas e ou programas para atingir essas

informações.

Esses invasores podem causar pequenos ou grandes prejuízos à rede

que foi invadida, qualquer informação que esteja conectada a Internet pode ser

roubada através dos principais mecanismos abaixo:

2.2.1 Negação de Serviço (Denial of Service - DoS)

Segundo CERT.BR (2012) o sistema Distributed Denial of Service - DDoS

consiste em um ataque de negação de serviço distribuído, ele tenta tirar de

operação um computador uma rede ou um serviço, cortando qualquer comunicação

ou usando toda a banda disponível no computador, tornando o acesso à máquina

cada vez mais lento.

CERT.BR (2012) ainda afirma que esse serviço não busca invadir o

sistema, mas sim criar uma sobrecarga no computador, rede ou serviço,

prejudicando todos os usuários que se utilizam dos equipamentos, tornando cada

equipamento que foi contaminado em um computador escravo.

2.2.2 SPAM

Segundo a CERT.BR (2012), o termo Spam é usado para toda

mensagem não solicitada, enviada em massa. Quando essas mensagens são de

conteúdo comercial recebe então uma denominação UCE (do inglês,

Unsolicited Commercial E-mail). O Spam pode ser entendido não apenas com as

mensagens eletrônicas, mas como os panfletos que são entregues no trânsito, as

cartas que chegam pelo correio e até as ligações de venda de algum produto. A

22

diferença dos meios de comunicação acima e o Spam vem do custo de divulgação,

pois os panfletos, telefones e cartas precisam de um valor a ser investido para

promoção, já no Spam, basta ter um e-mail e a Internet a sua disposição, podendo

alcançar uma quantidade ainda maior de usuários.

Principais problemas causados pelo uso de Spam pelos usuários:

Consumo alto de banda: o grande volume de envio e recebimento de

Spam faz com que seja aumentado a capacidade dos links dos servidores das

empresas.

Classificação errada das mensagens: com a utilização de alguns

programas de filtragem existe a possibilidade de o mesmo enviar mensagens

importantes para a lixeira, perdendo essas informações.

Não recebimento de e-mails: caso o volume de Spam recebido for alto

e a quantidade de mensagens na caixa postal for limitada, pode ocorrer de

superlotar e consequentemente ficar sem receber novos e-mails.

2.2.3 Códigos Maliciosos (MALWARE)

A palavra Malware é a combinação de maliciosos e software, segundo a

CERT.BR (2012) códigos maliciosos são programas desenvolvidos para causar

algum dano ou atividades que possam prejudicar um serviço e ou computador.

Os programas maliciosos podem invadir sua rede através de:

Mídias removíveis como (CD-ROM, DVD, disquete, pen drivers).

Compartilhamento de arquivos em rede.

Páginas de Web infectadas.

Execução de programas de empresas desconhecidos.

Os principais tipos de códigos maliciosos que afetam as redes

prejudicando o desempenho das máquinas e ou servidores são:

2.2.3.1 Vírus

Segundo a CERT.BR (2012), os vírus são códigos ou programas criados

para danificar qualquer informação tanto do software como do hardware, essa

23

infecção só ocorre quando o usuário do computador executa o arquivo infectado,

através de cd‟s, disquetes e atualmente os pen drives.

No decorrer dos anos, as perdas financeiras sofridas por causa desses

programas maliciosos são enormes, independentes de ser um órgão público ou

privado, se existir uma falha de segurança esses vírus invadem e roubam o que for

de interesse.

Abaixo uma tabela com nomes e os valores dos principais vírus que

afetaram financeiramente os Estados Unidos.

Figura 1 – Prejuízos causados por vírus

Ano Vírus Prejuízos (em milhões de dólares)

1999 Melissa $ 1200

2000 I Love You $ 8.750

2001 Nimda $ 635

2001 CodeRed (Variações) $ 2620

2001 Sircam $ 1150

2002 Klez $ 9000

Fonte: Computer Economics e mi2g

De acordo com NAKAMURA E GEUS (2007) existem quatro tipos de

vírus:

Vírus de setor de boot: são vírus que modificam os setores de boot dos

discos flexíveis, quando o computador é iniciado, logo ele se espalha através desses

discos. Como não se espalham nas redes pode ser combatido com um antivírus.

Vírus de arquivos executáveis: precisa do usuário para espalhar o

vírus. Após o executável rodar, contamina todos os arquivos contidos no disco.

Vírus de Macro: esses macros são conjunto de comandos que são

armazenados em alguns programas ou aplicativos utilizados para automatizar

algumas tarefas repetitivas. Os vírus de macro são programas que infectam e se

espalham por meio de linguagem de macroexistentes, principalmente em

documentos do MS Office, facilitando a sua propagação, pois qualquer usuário

compartilha documentos principalmente por e-mails.

24

Vírus de Scripts: escrito na linguagem script, os vírus podem ser

executados automaticamente pelos softwares de leitura de e-mails e navegadores

dependendo de sua configuração.

2.2.3.2 WORMS

Segundo NAKAMURA E GEUS (2007) Worms, são bem parecidos com

os vírus à única diferença é que não precisa de uma intervenção do usuário, assim o

mesmo é executado automaticamente.

CERT.BR (2012) complementa afirmando que Worm é um programa de

propagação automática através de redes, enviando várias cópias de si mesmo de

computador para computador. Ao contrário do vírus, o worm não armazena cópias

de si mesmo em outros programas ou arquivos e não necessita ser explicitamente

executado para se propagar. Sua infecção se dá pela da identificação de

vulnerabilidades existentes ou falhas na configuração de softwares instalados em

computadores.

A seguir um ciclo de como acontece à propagação dos Worms:

Figura 2– Ciclo dos Worms.

Fonte: do autor

25

2.2.3.3 Bot e Botnets

A CERT.BR (2012) é um programa que dispõe de ferramentas que se

comunica com o invasor, tolerando que o mesmo possa ser controlado

remotamente. Existe um processo de infecção e propagação idêntica ao do worm,

ou seja, é capaz de se infiltrar automaticamente, explorando essas vulnerabilidades

existentes nos programas instalados em computadores.

Um computador infectado com o bot transforma-se no que a mídia chama

de computador zumbi (zombie computer), sendo manipulado pelo invasor e sem o

conhecimento do usuário. Tendo acesso a todos os seus arquivos e transformando o

seu computador em um servidor de e-mails (spam zombie) enviando inúmeros

spams.

Essa rede de computadores chamada de Botnets possuem milhares de

máquinas zumbis, essas máquinas fortalecerão ainda mais os danos a esses

equipamentos, pois quanto maior a rede se torna mais forte ela fica.

Seus principais tipos de ataques são: ataques de negação de serviço,

propagação de códigos maliciosos (inclusive do próprio bot), coleta de informações

de um grande número de computadores, envio de spam e camuflagem da identidade

do atacante (com o uso de proxies instalados nos zumbis).

Figura 3 – Etapas de uma Botnets.

Fonte: Adaptado do autor

26

2,2.3.4 Spyware

Spyware é um programa que foi projetado para monitorar e enviar as

atividades de um dado sistema para terceiros, segundo a CERT.BR (2012).

O Spyware pode ser tratado de uma forma autêntica desde que o

proprietário utilize a ferramenta para analisar e monitorar o usuário e, que observe

se o mesmo está usando de forma abusiva ou não autorizado o equipamento,

executando ações maliciosas e principalmente ferindo a integridade e a segurança

da rede.

Segundo CERT.BR (2012) Os três Spywares mais conhecidos:

Keylogger: é responsável por gravar todas as teclas digitadas pelo

usuário fornecendo total acesso a seus dados.

Screenlogger: Parecido com o Keylogger, captura as teclas e a tela de

em que o mouse clica, tirando uma foto da página na qual o usuário navega.

Adware: Projetado especificamente para apresentar propaganda, pode

ser usado de forma maliciosa, apresenta uma página de prêmios ou de sorteios na

qual exibe um formulário que ao preencher as informações serão enviadas para o

invasor, e pode ser usada de forma legítima em empresas quando incorporada em

forma de patrocínio na criação de programas livres ou serviços.

2.2.3.5 Backdoor

CERT.BR (2012) afirma que Backdoor é um programa que permite o

retorno de um invasor a um computador infectado, este poderá ser incluído em

ações de outros códigos maliciosos que identificam as vulnerabilidades existentes se

instalando e invadindo os sistemas.

Backdoor também é chamada de “porta dos fundos” pois através de uma

falha de segurança de um sistema operacional ou um programa executável pode

invadir o computador dando controle total para o invasor.

Algumas empresas de software e hardware utilizam o Backdoor

declarando que seja para necessidades administrativas, essa atitude se torna uma

ameaça à segurança de um computador e de sua rede em que está conectado,

27

comprometendo a integridade do usuário e facilitando o acesso de invasores

remotamente.

2.2.3.6 Cavalo de Troia (TROJAN)

Segundo NAKAMURA E GEUS (2007) Cavalo de troia foi desenvolvido

para aparentar que está fazendo alguma tarefa útil, no entanto realiza atividades

prejudiciais ao computador e ao usuário.

A CERT.BR (2012) complementa afirmando que o Cavalo de troia é um

programa que, além de executar as atividades para as quais fora aparentemente

projetado, executa em paralelo outras funções, neste caso mal intencionadas, e sem

o conhecimento do proprietário. Pode ser instalado por invasores que, após

ultrapassarem as ferramentas de defesas do computador, modificam os programas

já existentes para que, além de continuarem a desempenhar as funções originais,

executem, em paralelo, ações mal intencionadas, ou seja, invasão a outras

máquinas, dando acesso para outras possíveis invasões.

O Cavalo de troia é um software malicioso que se utiliza da lenda do

cavalo de madeira usado pelos gregos contra os troianos, estratégia totalmente

ofensiva dos gregos que atravessaram as muralhas da cidade, sendo empurrados

pelos próprios troianos sem imaginar que dentro daquela estátua, em forma de

cavalo, existiam muitos soldados gregos, no calar da noite esses soldados saíram

de seu esconderijo e atacaram de surpresa os soldados troianos, ocasionando uma

guerra com muitos mortos, em paralelo criando a lenda de seu cavalo e

imortalizando seus guerreiros.

Há diferentes tipos de Cavalos de troia e dividem-se de acordo com o que

são projetados. Alguns destes tipos são:

Trojan Downloader: instala outros códigos maliciosos, obtidos

de sites na Internet.

Trojan Dropper: instala outros códigos maliciosos, embutidos no próprio

código do trojan.

Trojan Backdoor: inclui Backdoors, possibilitando o acesso remoto do

atacante ao computador.

28

Trojan DoS: instala ferramentas de negação de serviço e a utiliza para

desferir ataques.

Trojan Destrutivo: altera/apaga arquivos e diretórios, formata o disco

rígido e pode deixar o computador fora de operação.

Trojan Clicker: redireciona a navegação do usuário

para sites específicos, com o objetivo de aumentar a quantidade de acessos a

estes sites ou apresentar propagandas.

Trojan Proxy: instala um servidor de proxy, possibilitando que o

computador seja utilizado para navegação anônima e para envio de spam.

Trojan Spy: instala programas spyware e a utiliza para coletar

informações sensíveis, como senhas e números de cartão de crédito, e enviá-las ao

atacante.

Trojan Banker ou Bancos: coleta dados bancários do usuário, através

da instalação de programas spyware que são ativados quando sites de Internet

Banking são acessados. É similar ao Trojan Spy, porém com objetivos mais

específicos.

2.2.3.7 Rootkit

Um conjunto de programas que o invasor utiliza para invadir a rede ou

computadores, por isso o nome Rootkit.

Segundo CERT.BR (2012) Rootkit é um software com vários programas e

técnicas que autoriza esconder a presença de invasores ou de vários outros códigos

maliciosos de um computador já infectado.

O nome rootkit apesar de seu nome, não fornece as ferramentas de

acessos de administrador, mas somente para mantê-lo. Assim o invasor terá

controle ao computador infectado, não sendo necessário fazer todos os

procedimentos anteriores de invasão. Os rootkits são programas para

permanecerem ocultos, por isso os antivírus terão bastantes dificuldades em

encontrá-los, assim o mais sensato será evitá-los.

29

2.2.3.8. Keyloggers

É um software que captura e armazena todas as teclas que são digitadas,

apropria-se das principais informações como: senhas bancárias, números de cartões

de crédito e outros.

Instalado em computador sem o conhecimento do usuário, o software

captura essas informações e as envia a um cracker (atualmente chamado Hacker)

que depois as utiliza para fraudes. Existem softwares apropriados para se defender

deste tipo de ameaça.

Os programas do tipo Keylogger podem ser usados de maneira não

fraudulenta, por exemplo, alguns fabricantes que queiram monitorar o que seus

funcionários fazem ou quando o proprio usuário instala esse programa em busca de

gravar todas as informações e caso tenha uma queda de energia e o editor de texto

usado não salvá-lo o mesmo pode ser usado para recuperar esses dados, porém em

vários casos as pessoas utilizam o programa de forma mal intencionado.

Segundo CERT.BR (2012), as instituiçoes financeiras (bancos) criaram os

teclados virtuais para caixas eletrônicos e ou Internet Banking1 para evitar os

keyloggers de capturar informações de conta e senhas de usuários, forçando os

clientes a não usarem os teclados das máquinas.

3 AS TÉCNICAS DISPONÍVEIS DE PROTEÇÃO DE SISTEMAS

A segurança da informação surge da valorização da informação e da

necessidade de permitir que apenas pessoas autorizadas tenham acesso a ela,

garantindo a proteção das informações da empresa, em todos os setores da

organização.Para entender o tema segurança de informação primeiramente é

necessário conceituá-la e para isso vários pesquisadores foram explorados para

trazer ao leitor o maior entendimento sobre cada informação, buscando a sua melhor

interpretação.

Segundo BEAL (2005, p.1), “segurança da informação pode ser entendida

como processo de proteger informações das ameaças da integridade,

disponibilidade e confidencialidade”.

1 Internet Banking: banco que disponibiliza acesso a movimentação ao cliente (banco on line).

30

A esse respeito, FONTES (2006) afirma que a segurança de informação é

um conjunto de regras, normas, procedimentos, políticas e demais ações que têm

como seu objetivo se proteger, possibilitando que o objetivo da organização seja

concretizado e a sua missão seja alcançada.

Seguindo essa linha de raciocínio, entende-se que todo dado é a pequena

parte da informação, que ainda será analisada de uma forma global.

A ABNT (2003) afirma que qualquer informação torna-se patrimônio da

empresa e que como qualquer ativo tem seu valor e deverá ser tratada com a sua

devida seriedade e responsabilidade, tendo a mesma importância de segurança que

outros equipamentos devendo ser devidamente protegida.

A ABNT (2003) complementa afirmando que um computador se torna

seguro quando os três requisitos básicos abaixo se relacionam:

a) Confidencialidade: Garantia de que a informação é acessível somente

por acesso autorizado.

Desta forma a confidencialidade é a segurança do asilo das informações

entregues pessoalmente em confiança e proteção contra a sua manifestação não

autorizada. Exemplo: Alguém entra sem autorização em um computador e rouba as

informações do seu email, conta bancaria e ou sistema.

b) Integridade: Salvaguarda da exatidão e completeza da informação e

dos métodos de processamento.

Significa ter a disposição informações confiáveis, dispostas em formato

acertado com o de sua utilização, garantindo que toda a informação não seja

modificada de forma não autorizada. Se a informação é alterada de forma errada ou

falsificada perde sua eficácia e confiabilidade, tornando as deciões vulneráveis que a

partir dela são tomadas, e tirando toda a credibilidade de quem as forneceu.

Exemplo: Alguém sem autorização consegue os dados da empresa e fornece para

alguém já modificadas.

c) Disponibilidade: Garantia de que os usuários autorizados obtenham

acesso à informação a aos ativos correspondentes sempre que necessário.

Existe uma grande necessidade de disponibilizar serviços confiáveis se

tornanado prioridade, pois a falha de qualquer serviço gera custos, e com isso falha

em todo o processo Exemplo: Um site de vendas que lança uma promoção e que

31

pelo grande número de acesso, sobrecarrega o servidor tornando-se indisponível,

para os usuários.

Figura 4 – Segurança da Informação

Fonte: Segurança de redes - Nakamura e Geus

3.1 Segurança Física

Quando se comenta de segurança, automaticamente a palavra “proteção”

é lembrada, mas como sentir-se protegido com tantas novas ameaças que surgem?

Segundo FONTES (2006) a segurança física das empresas, possui como

principal objetivo garantir o seguimento da rotina, assegurando a integridade dos

ativos da empresa, manter a integridade e a confidencialidade de todas as

informações presentes.

O controle da segurança física precisa estar diretamente ligado ao

controle de acessos das pessoas e principalmente de suas invasões que a empresa

possa sofrer, pois é através dela que as organizações controlam quem realmente

está autorizado a acessar certas informações, minimizando causas como roubos,

acidentes e o mau uso da tecnologia, concedendo acesso apenas aos responsáveis

da área.

32

De acordo com LEMOS (2001) um dos pontos principais da segurança

física que deve ser levado com maior importância é o controle de acesso, pois o

autor afirma que nem todas as pessoas devem ou precisam ter acesso a todas as

áreas e ou setores da organização.

Um dos principais assuntos abordado por LEMOS (2001) é o acesso

físico de usuários aos terminais e outros dispositivos que estejam ligados à rede e

que não são de sua autoridade, pois esses acessos não fiscalizados tornam todas

as informações vulneráveis. Outro ponto bastante questionado são os notebooks,

armários e servidores que estejam de fácil acesso, pois mesmo o setor de TI,

realizando todas as diretrizes de segurança, backups atualizados e firewall ativo o

acesso de usuários sem permissão a essas informações corre grande risco de

roubo.

3.2 Segurança da Informação

A segurança da informação compreende toda proteção existente, que

envolva qualquer pessoa física ou jurídica, podendo estabelecer assim uma

sensação de segurança ao usuário, ao reunir controles e processos que têm como

finalidade a preservação de todos os dados e informações, sejam armazenados em

trânsito, ou em qualquer meio existente.

Após a criação da informática, foi identificado que era necessário um

equipamento que armazenasse as informações e que principalmente fosse de fácil

locomoção, pois, até então, os computadores que existiam eram muito grandes e

pesados, desde então inúmeros tipos de dispositivos foram criados.

Figura 5 – Bytes de memória

Fonte: gumorais.com

33

Com a evolução da tecnologia o transporte e o armazenamento de

informações trouxeram agilidade e grande produtividade para as empresas, porém

com essa facilidade o roubo e o mau uso desses dados se tornaram cada vez mais

frequentes, com esses resultados a segurança das informações se tornou

imprescindível para as empresas.

Com tantas ameaças que envolvem as empresas, os usuários

responsáveis pela segurança dessas informações estão procurando unificar seus

equipamentos, ao buscar maiores e melhores ferramentas de proteção, que se

tomam ações preventivas para que possíveis invasões deixem de ocorrer, afinal a

sorte não deve ser levada tão a sério.

Segundo MOREIRA (2001) mesmo aplicando todas as diretrizes, a

segurança não pode assegurar completamente sua proteção, pois a empresa antes

de tudo deve analisar o custo/beneficio de todos os setores. Cada empresa deve

avaliar seu nível de risco e acesso, considerando suas principais áreas de

importância seguidas de suas prioridades.

Mesmo com todos os cuidados que possam existir, não há 100% de garantias

de que as empresas não corram riscos. As organizações precisam compreender que

a segurança da informação vai além dos aspectos físicos e técnicos, cada

organização precisa estabelecer um grau de atenção e cuidado para que sua

integridade e proteção dos seus dados não sejam violadas.

Sendo assim, é necessário que toda informação seja analisada e

examinada de uma forma bastante criteriosa, não bastando fazer de uma forma

simples, mas com uma visão holística, envolvendo todos os setores e usuários,

tornando capazes de identificar o que é de grande importância e principalmente de

grande valor para a organização.

3.3 Políticas de Segurança da Informação

Como foi visto nos capítulos anteriores a informação é muito importante,

principalmente para o funcionamento das organizações, consequentemente

necessita ser protegida e pode ser exposta em diversas formas: impressa, escrita

em papel, falada, armazenada em arquivos de som, imagem, vídeo, texto, entre

outros.

34

“Uma política de segurança é um conjunto de diretivas, normas,

procedimentos e instruções que comanda as atuações de trabalho e define os

critérios de segurança para que sejam adotados em nível local ou institucional

com o objetivo de estabelecer, padronizar e normalizar a segurança tanto no

escopo humano como no tecnológico. A partir desses princípios, é possível

fazer da segurança das informações um esforço comum, desde que possam

contar com um arsenal informativo documentado e normalizado dedicado a

padronização do método de operação de cada um dos indivíduos envolvidos

na gestão da segurança da informação.” (ALASI, 2006, modulo 3, p.3).

Desse modo a política de segurança é um conjunto de regras e normas

que precisam ser seguidas pelos usuários com seu principal objetivo de padronizar

toda a segurança das organizações.

Os aspectos técnicos de implementação dos mecanismos de segurança

devem ficar de fora do documento que define a política de segurança, uma vez que

deve ser resumido de fácil leitura e compreensão, pois essa implementação deve

variar ao longo do tempo.

O objetivo da política de segurança é apontar, orientar e apoiar a

segurança da informação. De acordo com a NBR ISO/IEC 17799 (2001, p.4)

“Convém que a direção estabeleça uma política clara e demonstre apoio e

comprometimento com a segurança da informação através da emissão e

manutenção de uma política de segurança da informação para toda a organização”.

Portanto, toda nova política de segurança só deve ser implantada se a

direção da empresa aprovar todo o conteúdo nela explicada, para que os demais

usuários não possam usar o equipamento de modo malicioso.

Cada empresa tem sua cultura, com diferentes estilos, tamanho e

estrutura de organização, por isso segundo ALASI (2006), cada empresa possui um

projeto adaptável de planejamento, que deverá ser bem trabalhado antes da

execução, devendo, portanto, desenvolver uma política de segurança que se molde

a essas peculiaridades.

3.3.1 Conceitos e definições

35

Conforme CAMPOS (2007), não existe uma regra certa para criar o

documento físico da política de segurança. É possível ter um único documento com

todas as diretrizes, normas e procedimentos, ou um documento com as diretrizes,

diversos outros com as normas e vários outros com os demais procedimentos. O

fato principal é que não pode deixar de existir um documento que controle a versão

e com revisão para garantir o que realmente seja confiável e relevante.

Toda regra tem por necessidade ser redigida e interpretada de forma que

todas as suas determinações sejam obrigatórias, assim não dará margem ao acaso.

A visão conceitual de uma política de segurança baseada no padrão estabelecido

por CAMPOS (2007) é apresentada na figura a seguir

.Figura 6: Visão conceitual de política de segurança.

Fonte: adaptado de Campos (2007)

Alguns conceitos e definições são importantes e devem ser aplicados no

que se refere à Política de Segurança:

Ativo de informação: é muito utilizado no texto da norma ISO 27001.

Por Ativo entende-se qualquer componente que sustenta um ou mais processos de

negócio de uma unidade ou área de negócio. Composto por todos os dados e

informações geradas e manipuladas durante a execução dos sistemas e processos;

Ativo de processamento: compreende todos os elementos de hardware

e software necessários para a execução dos sistemas e processos, os adquiridos e

produzidos internamente;

36

Controle de acesso: composto dos processos de autenticação,

autorização e auditoria. Restrições ao acesso às informações de um sistema

exercido pela gerência da segurança da informação. A autenticação identifica quem

acessa ao sistema, a autorização determina o que um usuário autenticado pode

fazer, e a auditoria diz o que o usuário fez;

Custodia: consiste na responsabilidade de guardar um ativo para

terceiros. A custódia não permite automaticamente o acesso ao ativo, nem o direito

de conceder acesso aos outros;

Direito de acesso: dependente do cargo e do privilégio de ter acesso a

um ativo;

Ferramentas: equipamentos, programas, procedimentos, normas e

demais recursos através dos quais se aplica a política de Segurança da Informação;

Incidente de segurança: qualquer evento ou ocorrência que promova

uma ou mais ações que comprometa ou que seja uma ameaça á integridade,

autenticidade, ou disponibilidade de qualquer ativo;

Política de segurança: conjunto de diretrizes destinadas a definir a

proteção adequada dos ativos produzidos pelos Sistemas de Informação;

Proteção de ativos: processo pelo qual os ativos devem receber

classificação quanto ao grau de sensibilidade. O meio de registro de um ativo de

fraude ou uso não apropriado de ativo.

De acordo com DIAS (2000) cada política de segurança deve buscar

ultrapassar a linha de proteção do sistema de informação. As regras de cada

instituição somando com a segurança da empresa, o objetivo da organização e a

estratégia do setor da informática devem seguir um fluxo, no final desse fluxo deve

estar não só o plano estratégico, mas todos os projetos da empresa interligados.

37

Figura 7: Política de segurança e seus relacionamentos

Fonte: adaptado de Dias (2000)

3.3.2 A importância da segurança

Para NAKAMURA E GEUS (2007, p. 171) a política de segurança tem

sua grande importância devendo ser analisada com grande critério:

(...) é a base para todas as questões relacionadas à proteção da informação,

desempenhando um papel importante em todas as organizações. A

necessidade de estabelecer uma politica de segurança é um fato realçado

unanimemente em recomendações proveniente tanto no meio militar (...),

como no meio técnico (...), e mais recentemente no meio empresarial (...);

Sendo assim a política de segurança tem um grande papel a desenvolver

nas empresas, tentando trazer junto à organização uma maior facilidade,

simplificando os processos e assim gerenciando todos os envolvidos principalmente

todos os recursos que estão disponíveis.

De acordo com CAMPOS (2007), a política de segurança de informação

irá beneficiar consideravelmente no aumento de produtividade, pois como a

implantação das políticas irá trazer organização para a empresa, os funcionários não

irão buscar orientações de como se comportar, executando maiores atividades e

entendendo como funciona o fluxo e a rotina de cada empresa.

38

3.3.3 Política de Senhas

Procurando atender as regras da política de segurança, foi desenvolvida

uma ferramenta que pudesse identificar e ao mesmo tempo bloquear alguns

acessos para as pessoas que não tenham autorizações, assim esses usuários não

poderiam editar, consultar ou até mesmo roubar certas informações que a empresa

disponibiliza.

A ferramenta que fora desenvolvida se chama a autenticação, cada

usuário só poderá ter disponibilidade à devida informação se o mesmo possuir esse

acesso.

Segundo a CERT.BR (2012,) as contas chamadas de “usuário, “login”,

“username”, corresponde à identificação de cada usuário ao computador, sistema ou

rede; com essas contas é possível separar suas configurações e controlar todos os

acessos e suas permissões.

A CERT.BR (2012), complementa que a política de senhas se divide em 3

grupos:

a. Aquilo que o usuário é: ou seja, algo que seja do usuário como

identificações biométricas, impressões digitais, reconhecimento de

voz ou reconhecimento de retina.

b. Aquilo que apenas o usuário possui: neste caso algo em que o

usuário tenha consigo como cartão de senhas, token.

c. Aquilo que apenas o usuário sabe: Neste caso as senhas e ou

perguntas de segurança que são cadastradas.

Quando essa senha é de conhecimento de outro usuário o mesmo poderá

se passar pelo responsável da senha e com isso poderá usa-la como:

a. Acessar e-mails, enviar spam contendo códigos maliciosos, furtar

seus contatos e principalmente renomear a senha e assim não

poder mais acessa-la;

b. Acesso ao computador e assim obter outras informações como

senha cartões de crédito e débito;

39

c. Acessar redes sociais e se aproveitar da confiança que sua rede

amigos possui para realizar boatos e ou enviar códigos maliciosos e

etc.

Alguns cuidados ao usar suas contas e senhas:

Certifique-se de não estar sendo observado ao digitar as suas

senhas;

Não forneça as suas senhas para outra pessoa, em hipótese

alguma;

Certifique-se de fechar a sua sessão ao acessar sites que

requeiram o uso de senhas. Use a opção de sair, pois isto evita

que suas informações sejam mantidas no navegador;

Elabore boas senhas;

Altere as suas senhas sempre que julgar necessário;

Mantenha a segurança do seu computador etc.

3.3.4 Política de Firewall

“A definição de firewall nada mais é do que um roteador no qual são

aplicadas regras aos pacotes que trafegam na rede. O firewall tem como objetivo

filtrar pacotes, bloquear portas específicas, sites da Internet e endereço IP2.”

(FIREWALL).

Conforme FREIRE (2004) existe uma grande necessidade de tornar o

ambiente de rede seguro, a importância é vital para todas as áreas interligadas da

empresa que utilizam a rede, por sua segurança influenciar diretamente na

produtividade, credibilidade e faturamento dessas empresas. Essa incessante

necessidade pode ser resolvida com a utilização devida de equipamentos e regras

definidas, assim administrar bem o uso desses equipamentos.

Com a utilização da Internet, as empresas se estruturaram de forma a abrir

suas portas para o mundo. E é justamente essa abertura e superexposição

2 IP - Internet Protocol ou Protocolo de internet é o meio em que as máquinas usam para se

comunicarem na Internet.

http://pt.wikipedia.org/wiki/Protocolo_de_internet

40

ao mundo exterior que faz com que a Internet, veículo de difusão de

informações utilizado também para promover negócios, seja usada para

finalidades obscuras como espionagem industrial, roubo de informações,

chantagens e outros tipos de crimes cometidos contra o patrimônio dessas

corporações. (FREIRE,2004).

De acordo com a NBSO (2003), firewall é uma peça importante na

implementação de uma política de segurança de rede, podendo travar os ataques

a vulnerabilidades não conhecidas publicamente, uma vez que ainda não existem

processos para correções. Essa proteção acontece apenas quando os ataques

são externos ao firewall, limita-se aos ataques que partem dentro da rede por ele

protegida. O uso exclusivo do firewall não deve ser a única defesa, e sim um

dentre os diversos mecanismos e procedimentos que aumentam a segurança de

uma rede.

De acordo com FREIRE (2004), uma política de segurança boa, é

perfeitamente aplicada aos procedimentos de configuração de um sistema de

firewall. Gerencia de riscos, procedimentos e ações de política necessitam ser

tomadas com prioridade para proteção do patrimônio da corporação.

Firewalls agem como um portal de segurança, provendo segurança para os

componentes dentro do perímetro protegido por este portal, controlando

quem, ou o que é permitido entrar neste ambiente restrito, ao mesmo tempo

em que exerce o controle do que é permitido sair deste mesmo perímetro.

Trata-se de um trabalho semelhante ao de um guarda que protege a porta

principal de um castelo, controlando e autenticando quem pode ou não ter

acesso às dependências da fortaleza. (FREIRE, 2004).

É função de um firewall bem configurado o controle baseado em filtros de

tráfego, evitando acesso não autorizado de visitantes indesejáveis, permitindo

acesso restrito. Para compor uma resposta eficaz de defesa, as implementações de

segurança de firewall devem trabalhar juntamente ao roteador.

Assim FREIRE (2004), avalia que a base para uma política de segurança

correta deve conter alguns filtros contra os serviços mais perigosos e explorados por

invasores na tentativa de execução de um ataque para o comprometimento de

ambientes. A política de segurança precisa estar sincronizada com os serviços que

41

são mais explorados para tentativas de invasão. O bloqueio de portas e protocolos

de entrada é a melhor regra aplicável a sistemas de firewall, bloqueadas é altamente

aconselhável à monitoração para detecção de tentativas de invasão.

4 METODOLOGIA

O presente trabalho adotou o método qualitativo, pois desta forma poderia

analisar todas as variáveis precedentes ao estudo do caso, tornando essa pesquisa

a mais real possível.

Segundo GODOY (1995, p. 58):

A pesquisa qualitativa não procura enumerar e ou medir os eventos

estudados, nem emprega instrumental estatístico na analise dos dados. Parte

das questões ou focos de interesses amplos, vão se definindo à medida que

o estudo se desenvolve. Envolve a obtenção de dados descritivos sobre

pessoas, lugares e processos interativos pelo contato direto com o

pesquisador com a situação estudada, procurando compreender os

fenômenos segundo a perspectiva dos sujeitos, ou seja, dos participantes da

situação em estudo.

Segunda MALHOTA (2001), mesmo quando as naturezas qualitativas e

quantitativas não são mutuamente excludentes, o método qualitativo permite o

entendimento não só dos dados óticos dos números brutos, mas sob uma

perspectiva além do que eles representam.

Segundo VIEIRA e ZOUAIN (2006), a versão qualitativa garante a riqueza

de dados, permitindo ser mais explorada, vendo esse dado na sua totalidade, bem

como facilita a exploração de contradições e paradoxos.

4.1 Tipo de Pesquisa

Para PRODANOV e FREITAS (2013 apud DEMO, 2000, p. 20) a

“Pesquisa é entendida tanto como procedimento de fabricação do conhecimento,

quanto como procedimento de aprendizagem (princípio científico e educativo), sendo

parte integrante de todo processo reconstrutivo de conhecimento.”.

42

Já PRODANOV e FREITAS (2013 apud MINAYO, 2011, p. 17), vendo por

um ângulo mais filosófico, consideram a pesquisa como:

[...] atividade básica da Ciência na sua indagação e construção da realidade.

É a pesquisa que alimenta a atividade de ensino e a atualiza frente à

realidade do mundo. Portanto, embora seja uma prática teórica, a pesquisa

vincula pensamento e ação.

Segundo LAKATOS E MARCONI (2007, p.157), a pesquisa pode ser

definida como “um procedimento formal com método de pensamento reflexivo que

requer um tratamento científico e se constitui no caminho para se conhecer a

realidade ou para descobrir verdades parciais.”.

Pesquisa, no entanto é um conjunto de ações que tem como proposta

inicial encontrar suas devidas soluções para o determinado assunto a ser estudado.

A pesquisa exploratória tem como característica principal a flexibilidade e

a engenhosidade, assim com essa flexibilidade o pesquisador tem uma maior

liberdade de estudo, podendo focar não apenas o tema, mas como todo o conteúdo

que lhe achar interessante na pesquisa, do contrário outra metodologia poderia

tornar a pesquisa engessada.

Segundo HAIR JR (2005), nessa metodologia o pesquisador deve estar

atento, pois na medida em que avança com o trabalho podem surgir novas ideias,

devendo então mudar a direção do trabalho, até que se esgotem todas as

possibilidades ou encontre uma ideia mais adequada ao tema.

Nesse caso a metodologia da pesquisa exploratória tornou-se a mais

adequada, para ser seguida junto a este trabalho.

Segundo PRODANOV e FREITAS (2013), afirma que a pesquisa

exploratória tem como finalidade proporcionar maiores informações sobre o assunto

a ser investigado, possibilitando sua definição e seu delineamento.

Quanto aos procedimentos técnicos, ou seja, os meios, pelo qual foi feito

a coleta das informações, trata-se de uma pesquisa bibliográfica e de campo.

Bibliográfica, pois para que seja feito o embasamento teórico e a metodologia foram

realizadas pesquisas sobre o tema que, segundo VERGARA (2009), a pesquisa

bibliográfica é um estudo sistematizado desenvolvido com base em material

43

publicado em revistas, livros, jornais, rede eletrônica, ou seja, material acessível

para todos os públicos.

Este trabalho foi realizado em 2 (duas) etapas: A primeira etapa foi

realizado uma pesquisa bibliográfica, analisando todo o conteúdo de autores e

meios eletrônicos, baseando no tema e seus objetivos principal e secundário. A

segunda etapa em um estudo de caso. A pesquisa de campo foi realizada em uma

empresa de serviços de informática na cidade de Fortaleza, no qual foram utilizados

todos os procedimentos e as regras estabelecidas pelo pesquisador ao utilizar o

instrumento de pesquisa, analisando e procurando possíveis problemas que possam

acontecer, prevenindo dos riscos e advertindo das novas soluções que o mercado

de informática oferece.

As técnicas de coletas de dados que foram utilizados foram entrevistas

não estruturadas, realizadas com o proprietário da empresa, o responsável pelo

datacenter, o programador e alguns possíveis clientes da empresa, além disso,

houve uma pesquisa de documentação com registros em arquivos e com

observação.

PRODANOV e FREITAS (2013) apud GIL (2010, p. 37) definem que o

estudo de caso “consiste no estudo profundo e exaustivo de um ou mais objetos, de

maneira que permita seu amplo e detalhado conhecimento.”.

De acordo com YIN (2001, p. 32) explica que:

O estudo de caso é uma forma de fazer pesquisa social e empírica que

investiga um fenômeno dentro do seu contexto de vida real, especialmente

quando os limites entre fenômeno e o contexto não estão claramente

definidos e na situação em que múltiplas fontes de evidencias são usadas.

4.2 Instrumento de investigação

Para conclusão deste trabalho, o levantamento das informações

necessárias ocorreu através de uma entrevista não estruturada realizada com o

proprietário da empresa, o responsável pelo datacenter e seu programador e 5

(cinco) possíveis clientes, cedidos pelo próprio empresário deste que nenhum dado

da empresa ou cliente fossem divulgados.

44

Como estratégia inicial, consistia primeiramente em ir a campo e aplicar a

entrevista, foi feita um seleção de perguntas aleatórias e subjetivas, com o intuito de

deixar o entrevistado mais confortável possível em responder às perguntas, assim a

conversa iria se tornar bem agradável e o entrevistado menos resistentes às

respostas.

4.3 A amostra: Entrevistados

Parte-se do ponto de vista que as entrevistas seriam realizadas não

apenas com a empresa de informática, mas com os seus clientes; verificou-se que a

pesquisa teria 2 (dois) focos, mostrar ao prestador de serviço o porquê de sua

empresa estar sempre segura e mostrar ao cliente que os dados que forem

colocados nessa empresa, estariam seguros. Deste modo como se trata de dois

componentes diferentes, a amostra terá 2 (dois) universos diferentes.

No universo da empresa de informática, foram feitas várias visitas e

reuniões com seus representantes, buscando entender seus programas mais

utilizados, seus produtos, preços e suas tarefas, enfim suas rotinas.

No segundo universo, o do cliente foi perguntado ao proprietário da

empresa se poderiam fornecer alguns contatos de possíveis clientes que estavam

resistentes a contratar esses serviços, assim foi fornecido 5 (cinco) contatos

aleatórios, com os quais foram trabalhados mostrando a importância de ter os dados

guardados em uma empresa especialista em datacenter.

Como já comentad,o a entrevista a ser utilizada fora a entrevista não

estruturada e em profundidade que de acordo com o autor sua finalidade é:

(...) obter de uma pessoa dados relevantes para a pesquisa. A sua principal

vantagem, como o nome indica, reside na possibilidade de se obterem

informações pormenorizadas e aprofundadas sobre valores, experiências,

sentimentos, motivações, idéias, posições, comportamentos, etc. dos

entrevistados (SOUSA, 2003, p.236.).

Essa entrevista é uma técnica flexível à liberdade de adaptação do roteiro

e as perguntas de acordo com a entrevista. Segundo HAIR JR (2005), as entrevistas

não estruturadas são desenvolvidas de uma forma aleatória sem uma sequência

45

certa de perguntas, desse modo o pesquisador e o entrevistado se envolvem em um

diálogo livre, aberto esclarecendo questões fora de qualquer roteiro, desde modo o

pesquisador tem a oportunidade de explorar questões que são levantadas no

decorrer da conversa.

4.4 Contato com a amostragem

Para estabelecer um contato com a empresa escolhida a ser pesquisada,

foram feitas abordagens diferentes, a primeira por troca de email em que já havia um

contato pessoal na empresa, facilitando assim as futuras conversas com os

colaboradores, e a segunda abordagem - o funcionário foi em cada colaborador

explicar a situação da pesquisa no qual o diretor da empresa entendeu que era uma

boa iniciativa comprando a ideia de sua empresa ser analisada, desde que nenhum

dado de identificação da mesma e de seus clientes fossem divulgados.

4.5 Os entrevistados

Abaixo seguem as tabelas 1 e 2 com os clientes e funcionários

entrevistados para a pesquisa

Tabela 1 – Tabela universo 1 – Empresa de informática

Tabela 2 – Tabela universo 2 – Possíveis Clientes

Nomenclatura Nome

Entrevistado4 Cliente 1





Fonte: Do autor

Nomenclatura Cargo

Entrevistado1 Proprietário da empresa

Entrevistado2 Programador

Entrevistado3 Responsável pelo Datacenter

Fonte: Do autor

46

4.6 Pré-teste e o Teste

Antes de haver o deslocamento até a empresa e os clientes, foram

realizadas duas entrevistas pré-teste uma em 22 de Outubro de 2013, com a gerente

financeira e a outra em 25 de Outubro de 2013 com um estudante de uma faculdade

de Fortaleza, o principal objetivo desses pré-testes era verificar a aplicabilidade do

mesmo.

Contudo o pré-teste foi um grande sucesso, já que o tempo decorrido foi o

previsto, as perguntas e as respostas foram claras, sendo o objetivo alcançado.

Nos dias 1 e 5 de novembro de 2013; como marcado, foi realizado os

testes - o primeiro com a empresa no horário pela manhã e o segundo com os

clientes no horário da tarde, ambos os testes foram realizados com gravações no

aparelho de mp3.

Como esperado as respostas não se limitaram apenas ao roteiro

estabelecido, foram exploradas perguntas e respostas bem como a entrevista não

estruturada definiu.

Para aplicar tanto o pré-teste como o teste foram seguidas as

recomendações de SOUSA (2003), o entrevistador deve ser paciente, afável quanto

bastante e acima de tudo deve praticar a escuta ativa, isto é, tem de seguir com

muita atenção o entrevistado, inclusive para poder intervir caso seja oportuno.

5 ANALISE DE RESULTADOS

Os resultados aqui relatados foram baseados nos registros anotados das

visitas realizadas a empresa, as respostas das entrevistas e as referências

bibliográficas estudadas.

Parao bom entendimento da análise de resultado, esta fora dividida em 4

(quatro) tópicos, que são: Estrutura da empresa, Conhecimento dos Funcionários, a

Segurança das Informações e a Acessibilidade do Cliente.

5.1 Estrutura da Empresa

47

Sobre a estrutura foi analisado todo o organograma oferecido pela

empresa, além de estrutura física e seus equipamentos.

O organograma da empresa está bem definido e organizado, cada

funcionário obedece a seu cargo hierárquico, por se tratar de uma empresa pequena

e familiar com menos de 10 (dez) funcionários, a comunicação é rápida e seus

funcionários são bem integrados. Atualmente trabalha com um diretor, um gerente

comercial e um financeiro, uma recepcionista, além de dois programadores e um

técnico responsável pelo datacenter e dois estagiários.

Figura 8 - Organograma da empresa

Fonte: Do autor

48

Cada setor está sinalizado, tornando fácil a locomoção de funcionários,

clientes ou visitantes na empresa. Possui equipamentos novos e modernos, uma

rede de dados estruturada, Internet com link dedicado e servidores funcionando com

capacidade em 55%, ou seja, os equipamentos que estão funcionando atualmente

têm total autonomia para atender os seus clientes e até prospectar novos.

5.2 Conhecimento dos Funcionários

Nesse tópico será abordada a questão do grau de escolaridade de todos

os funcionários da empresa.

Tabela 3 – Grau de formação

Funcionários Formação Setor

Diretor Superior Completo Tecnologia da Informação

Gerente comercial Superior Completo Tecnologia da Informação

Gerente Financeiro Superior Completo Administração

Programador 1 Superior Completo Tecnologia da Informação

Programador 2 Superior Completo Tecnologia da Informação

Recepcionista Superior Incompleto Administração

Estagiário 1 Superior Incompleto Administração

Estagiário 2 Superior Incompleto Tecnologia da Informação

Fonte: do autor

A empresa possui cerca de 62,% dos funcionários com grau de

escolaridade superior completo, 38,% estão cursando uma faculdade e trabalhando

na área em que atua, facilitando seu crescimento profissional e ampliando sua rede

de contatos.

49

Gráfico 1 - Funcionários Graduados

Fonte: do autor

No registro das entrevistas foi apontado que a empresa oferece uma

política de cursos a seus funcionários, no qual desembolsa 50% de seu investimento

e o funcionário com o restante, levando cada colaborador permanecer sempre

atualizado com as mudanças e as inovações que o mercado da tecnologia possa

desenvolver.

No quesito língua estrangeira foi detectado nas entrevistas que apenas

25% dos funcionários possuem conhecimento de outra língua estrangeira, ponto

importante a ser melhorado já que grande parte dos estudos em outras plataformas

de programações, livros e estudos na área de informática são em inglês.

Gráfico 2 – Língua Estrangeira

Fonte: do autor

50

5.3 Segurança da Informação

Em atendimento a pesquisa esse tópico será abordado o quanto a

empresa pesquisada está apta para realmente oferecer os serviços para seus

clientes, analisando todo o seu equipamento e suas diretivas de seguranças quanto

aos invasores.

Figuro 9 – Servidores

Fonte: adaptada pelo autor

Um dos grandes pontos a ser analisado nesse tópico primeiramente é o

que seria um servidor?

Um servidor é um computador mais potente que um desktop comum, ele

é desenvolvido especificamente para transmitir informações e fornecer produtos de

software a outros computadores os quais estejam conectados por uma rede. Os

servidores foram criados para serem capazes de trabalhar com um número bem

maior de aplicativos, aumentando assim a produtividade e reduzir a compra de

vários desktops potentes.

Em visita a empresa, foi liberado o acesso ao datacenter e ao servidor da

empresa com a presença do encarregado é neste equipamento que é armazenado

todas as informações de todos os clientes ativos que a empresa possui, trata-se de

um servidor compartilhado, ou seja, todas as informações de todos os clientes ficam

armazenadas em um equipamento e cada cliente possui uma quantidade X de

51

espaço contrato, e são nesses espaços que os clientes guardam suas informações,

como backup de e-mails, fotos, vídeos, banco de dados, sites, comercio eletrônico e

etc.

5.3.1 Configuração do Servidor

De acordo com o que foi fornecido pelo responsável da área, o servidor

trata-se de um Servidor Dell em Rack Power Edge R720, com a seguinte

configuração:

Processador: Processador Intel® Xeon ® da família de produtos E5

Sistema operacional: Microsoft Windows Server 2008 R2 SP1, x64

Memória RAM: Até 768 GB (24 slots DIMM): DDR3 de 2 GB/4 GB/8

GB/16 GB/32 GB até 1600 MHz

A rede de computadores da empresa encontra-se toda em domínio, ou

seja, foi feito um grupo de computadores que só quem pode ter acesso às

informações são os computadores que estejam cadastrados, dificultando assim a

entrada de computadores que não estejam autenticados junto ao datacenter da

empresa.

As diretivas de segurança estão ativas, cada usuário tem acesso apenas

às informações que são de sua responsabilidade, protegendo as informações da

empresa, seu servidor usa um sistema separado de seus clientes, justamente para

proteção dos dados dos mesmos, para que se algum dia o servidor da empresa for

invadido, as configurações dos clientes não sejam roubadas.

Além disso, existe uma política de backup que é feita a cada 2 (duas)

horas, é utilizada uma ferramenta chamado “espelhamento do HD” em que todos os

dados que estão no HD principal são transferidos para outros HDs; essas

informações são armazenadas por um período de 7 (sete) dias, após ultrapassado

os 7 (sete) dias então é reescrito uma nova informação em cima do backup

desatualizado.

Na questão do antivírus, o software utilizado é o Macfee fornecido pelo

próprio revendedor do servidor, protegendo o computador 24 (vinte e quatro) horas,

atualizado e online sempre.

52

Além de contar com uma rede elétrica ligada 24 (vinte e quatro) horas,

com um auxilio de um gerador à gasolina, pois caso tenha uma queda de energia os

geradores e os nobreaks entram em funcionamento automaticamente, sustentando

os equipamentos por até 48 (quarenta e oito) horas sem reabastecimento.

5.4 Acessibilidade do Cliente

Foram feitas cinco entrevistas com os possíveis clientes escolhidos

aleatoriamente pelo diretor da empresa, onde em contato com esses clientes todos

aceitaram a pesquisa de forma amigável, onde para não termos resistências perante

a aplicação da entrevista o proprietário da empresa, avisou sobre o que estava

sendo feito tranqüilizando cada cliente.

Dentre os clientes entrevistados foram apresentados, principalmente,

certa insegurança e desconhecimento, perante alguns serviços fornecidos pela

empresa, onde o principal produto a ser comercializado não estava sendo bem

trabalhada pela equipe do comercial, essa resposta foi repetida por todos os

clientes, onde já ouviram falar sobre o produto, mas não tinham expertise sobre

como funcionava.

Com relação à empresa ser bem vista pelos seus clientes, no ano de

2013, foi verificado que o único modo de divulgação da empresa estava sendo boca

a boca e ou contato telefônico além de seu próprio site, porém o diretor comentou

que em 2014, devido à copa do mundo de futebol estará investimento muito em

propaganda, para que seus clientes possam contratar seus serviços, já que vai ser

um ano de grandes investimentos.

6 CONSIDERAÇÕES FINAIS

De acordo com LAUDON e LAUDON (2007) para toda identificação de

um problema, primeiramente deve-se descobrir qual é o problema, para que assim

seja solucionado, deve haver um consenso sobre sua existência.

Identificar problemas em uma empresa não é tão simples quanto parece,

é necessário um estudo minucioso e detalhado de todos os setores, de todas as

pessoas envolvidas no intuito de encontrar o problema e ou o gargalo, não é a toa

53

que mais empresas de consultorias são abertas a cada dia, solucionar problemas é

apenas uma etapa de uma longa jornada de estudo e trabalho.

Baseando-se no tema da pesquisa foram identificados os seguintes

pontos na empresa estudada:

Estrutural

Há uma grande preocupação com a segurança das informações, foram

analisadas as principais defesas que estão sendo praticada, uma empresa bem

organizada, integra, com poucos setores, mas não deixando a desejar na parte

criativa e documental.

Segurança

No quesito segurança, um ponto que pode ser melhorado e que é de

grande importância para as empresas é o espelhamento do HD em outro local fora

da sede da empresa, onde caso aconteça algum sinistro na sede atual, haverá uma

cópia de segurança em outra sede. Afinal seguindo a regra de backup quem tem um

backup não tem nenhum.

Um ponto o qual pode ser melhorado e que a empresa não trabalha é o

sistema em nuvem, tecnologia nova que pode ser acessada em qualquer lugar do

mundo, tendo apenas um browser (navegador de páginas de Internet) e uma

Internet de alta velocidade (banda larga), claro que essas informações só poderiam

ser acessadas por pessoas autorizadas. Dessa forma a empresa sempre teria uma

cópia de seus arquivos, não armazenado em um disco físico que poderia ser

extraviado ou danificado, mas em um sistema de armazenamento que não seria fácil

de acontecer um sinistro. Outra questão que pode ser analisada de forma bem mais

criteriosa seria uma política de segurança e de senhas mais reforçadas, fazendo

com que alguns arquivos sejam acessados realmente por pessoas autorizadas e

aumentando a segurança de suas senhas, pois a senha evidentemente é de uso

pessoal e intransferível.

Integração de Clientes

Como foi verificado que os clientes não têm conhecimento dos produtos

que a empresa trabalha é sugerido que a mesma implante um programa de

54

workshop, no qual seus clientes iriam até a empresa e assim poderiam ter um maior

conhecimento de seus produtos, mostrando para eles, quais as suas reais

necessidades, além de fazer com que seus clientes possam trocar experiências,

enriquecendo os dois lados.

Publicidade

Outro ponto a ser melhorado, mas que já foi comentado pelo diretor da

empresa é um investimento em publicidade mais agressivo, tornando a empresa

mais conhecida, visível aos olhos de seus clientes foco, classes A, B e uma parcela

da C.

Diante do estudado, ressalta-se que o objetivo geral da pesquisa desse

trabalho foi alcançado, foi mostrado á empresa que não é apenas necessário a sua

preocupação com a segurança, mas principalmente com as informações que nela

resguarda informações essas que como estudados precisam ter total privacidade e

confiabilidade junto aos clientes.

55

REFERÊNCIAS BIBLIOGRÁFICAS

ABNT. NBR ISSO/IEC 17799: Tecnologia da Informação – Código de prática a

gestão da segurança da informação. Rio de janeiro: ABNT, 2003

ABNT NBR11515: Critérios de Segurança Física Relativos ao Armazenamento de

Dados – Procedimentos. Rio de Janeiro: Abnt, 2001.

ALASI, Academia Latino Americana de Segurança de Informação. Introdução a

Segurança de Informação, Curso básico de Segurança de Informação módulo

1-8 - São Paulo –– Edição Microsoft TechNet, Revisão 1.1. 2006. (Apostila)

BEAL, Adriana. Segurança da Informação, Princípios e melhores Práticas para

Proteção dos Ativos de Informação nas Organizações. São Paulo: Editora Atlas S.A.,

2005

CAMPOS, André. Sistemas de Segurança da Informação. 2.ed.Florianópolis :

Visual Books, 2007.

CERT.br - Centro de Estudos, Resposta e Tratamento de Incidentes de

Segurança no Brasil - Comitê Gestor da Internet no Brasil – 4 edição, São Paulo,

2012.

DIAS, Claudia. Segurança e auditoria da tecnologia da informação. Rio de

Janeiro: Axcel Books do Brasil, 2000.

FIREWALL – Conceito e principais tipos. Disponível em:

<http://www.jcvirtual.com.br/index.php/2011-12-29-12-54-04/130-firewall-conceito-e-

principais-tipos>. Acesso: 01 de Dezembro de 2013.

FONTES, Edison. Segurança da Informação: o usuário faz a diferença - São

Paulo: Saraiva, 2006

FREIRE, Alexandre. Sistema de Firewall e defesa de perímetros. Disponível

em: http://www.magicweb.com.br/afreire/publicacoes.htm>. Acesso em: 01 Dez

2013.

GODOY, Arilda Schmidt. Artigo de Pesquisa qualitativa: tipos fundamentais.

Revista de Administração de Empresas. São Paulo. V.35, p. 20-29.

HAIR JR, Joseph. [ET.al]. Fundamentos de métodos de pesquisa em

administração. Porto Alegre: Bookmam, 2005.

LAKATOS, E.M.;MARCONI, M. DE A. Fundamentos da Tecnologia

Cientifica.6.ed.5.reimp. São Paulo: Atlas; 2007

http://www.jcvirtual.com.br/index.php/2011-12-29-12-54-04/130-firewall-conceito-e-principais-tipos

http://www.jcvirtual.com.br/index.php/2011-12-29-12-54-04/130-firewall-conceito-e-principais-tipos

http://www.magicweb.com.br/afreire/publicacoes.htm

56

LAUDON, Kenneth C & LAUDON, Jane Price. Sistema de Informações

Gerenciais. 7. Ed. São Paulo. Pearson Prentice Hall. 2007

LEMOS, Aline Morais. Política de Segurança da Informação, Universidade Estácio

de Sá, Rio de Janeiro, 2001.

MALHOTRA, N.K. Pesquisa de marketing: uma orientação aplicada. 3ª Ed. Porto

Alegre: Bookman, 2001.

MOREIRA, Stringasci Nilton. Segurança Mínima: uma visão corporativa da

segurança de informações. Rio de Janeiro: Axcel Books, 2001.

NAKAMURA, Emilio Tissato, GEUS, Paulo Lício de. Segurança de redes em

ambientes cooperativos. São Paulo: Novatec, 2007.

NBR/ISO/IEC 17799. Tecnologia da Informação – Código de prática para a gestão

da segurança da informação. Rio de Janeiro: Associação Brasileira de Normas

Técnicas, 2001. 56p

NBSO. Práticas de segurança para administradores de redes Internet. São

Paulo, 2003. Disponível em: <http://www.cert.br/docs/seg-adm-redes/seg-adm-

redes.html>. Acesso em: 12 Jun. 2013.

PRODANOV, C.C; ERNANI, C.F. Metodologia do trabalho cientifico: Métodos e

Técnicas da pesquisa e do trabalho acadêmico. 2ª Ed. Novo Hamburgo, RS:

Feevale, 2013.

SÊMOLA, M. Gestão da Segurança da Informação – Uma visão executiva. 3. Ed.

Rio de Janeiro: Elsevier, 2003. 160p.

SOUSA, Jorge Pedro. Elementos de Teoria e Pesquisa da Comunicação e dos

Medias. 1 ed. Portugal: Edições Universidade Fernando Pessoa, 2003.

VERGARA, Sylvia Constant: Gestão de Pessoas; São Paulo: Atlas, 2009.

VIEIRA, M.M; ZOUAIN, D.M. Pesquisa Qualitativa em administração. 2ª Ed. Rio

de Janeiro, RJ. Editora FGV, 2006.

YIN, R.K. Estudo de caso: planejamento e métodos. Tradução: Daniel Grassi. 2.

Ed. Posto Alegre: Bookman, 2001

http://www.cert.br/docs/seg-adm-redes/seg-adm-redes.html

http://www.cert.br/docs/seg-adm-redes/seg-adm-redes.html

CENTRO DE ENSINO SUPERIOR DO CEARA€¦ · Trabalho de conclusão de curso (Monografia) como...

Documents

Transcript of CENTRO DE ENSINO SUPERIOR DO CEARA€¦ · Trabalho de conclusão de curso (Monografia) como...