Introdução

Continuaremos a falar de política de segurança, é praticamente a última aula sobre o assunto. Com certeza o assunto é meio chato e massante, só que sempre há um propósito atrás dele.

A base sempre é mais importante do que tudo, eu poderia chegar aqui e ensinar todas os procedimentos práticos em relação a segurança, e 1 semana depois vocês serem invadidos, o que adiantou? Nada. Porque não ensinar a um robô? Técnicas são variáveis e dependem do momento, o conteúdo sólido já se adequa a qualquer mudança de conjuntura. Em nossa inteligência reside o diferencial em relação a máquina.

Com certeza falaremos de situações práticas, porém isso será dosado de forma adequada e em seu tempo ideal.

Revisando

Basicamente, sabemos que uma boa Política de Segurança (chamarei de PS daqui para frente) ajuda a definir o que é relevante, o grau de importância e os passos que devem ser tomados para garantir a segurança do que se deseja proteger na organização. Também deve deixar claro quem é responsável pelo que. Ela deve prover informações para que não haja problemas futuros em termos de quem é responsável pelo que e por que área.

A PS dever ser formulada de diversas formas. Pode ser genérica, bem específica, ou algum grau intermediário a estes. Por exemplo, pode-se escrever situações genéricas básicas e como deve ser a ação das pessoas envolvidas. Já outra, pode descrever claramente por pessoa, por recursos ou situações o que deve ser feito.

Como caracterizamos uma boa política de segurança?

1) As regras devem ser implementadas pelo administrador do sistema, publicando-as de forma geral, que seja de aceitação de todos (já falamos dessa parte).

2) Deve ser desenvolvida com ferramentas de segurança e restrições, quando necessário. Por exemplo, quando não se pode restringir isso logicamente, ou através da PS, restringe-se o acesso ao recurso (lembre-se daquela questão de disponibilidade de recursos do sistema versus segurança)

3) As áreas com que cada um é responsável devem ser clara, cristalina. Os usuários, administradores, gerentes e todos que utilizam os recursos devem ter plena consciência de suas áreas de responsabilidade e das que utilizam. Exemplificando, mesmo se alguém não for responsável por determinada área, mas utilizá-la, deve saber quem é responsável para poder reportar problemas intempestivos.