Questões de Governança de TI (TI)

O servidor de aplicações disponibiliza uma plataforma que abstrai do desenvolvedor de software algumas das complexidades de um sistema computacional, atendendo, assim, algumas questões comuns a todas as aplicações, como, por exemplo, segurança, garantia de disponibilidade, balanceamento de carga e tratamento de exceções.

O sistema RAID consiste em um conjunto de dois ou mais discos rígidos com dois objetivos básicos. O primeiro, por meio de uma técnica chamada divisão de dados (data stripping ou RAID 1), consiste em tornar o sistema de disco mais rápido, enquanto o segundo, mediante uma técnica chamada espelhamento (mirroring ou RAID 0), consiste em tornar o sistema de disco mais seguro. Essas duas técnicas podem ser usadas isoladamente ou em conjunto.

O servidor de arquivo pode ser dividido em três subsistemas funcionais: o subsistema de gerência de arquivos, o subsistema de cache de disco e o subsistema de controle de acesso compartilhado e segurança.

O protocolo de roteamento de borda border gateway protocol (BGP) é um sistema de roteamento entre sistemas autônomos autonomous systems (AS) que pode ser usado de duas maneiras, IBGP usado na troca de rotas entre sistemas autônomos e EBGP usado dentro de um sistema autônomo.

RADIUS (remote authentication dial in user service) é um protocolo AAA (autentication, autorization e accounting) que permite aplicações para acesso à rede de computadores e mobilidade por meio de rede IP.

A organização deve fazer análises críticas com o objetivo de identificar tentativas e violações de segurança bem- sucedidas, sendo esta uma atividade verificada na fase check (checar).

Registros ou logs de auditoria podem conter dados pessoais confidenciais e de intrusos; por isso, é importante que medidas de proteção adequadas sejam tomadas, como, por exemplo, não permitir, quando possível, que administradores de sistemas não tenham permissão de exclusão ou desativação de registros de suas próprias atividades.

Os planos de continuidade de negócio devem ser testados e atualizados regularmente, de forma a assegurar que os membros da equipe de recuperação, bem como outros envolvidos, tenham ciência desses planos e de suas responsabilidades para a continuidade do negócio quando um plano for realmente acionado.

Como forma de estabelecer um controle mais adequado da segurança da informação, segundo a norma NBR/ISO/IEC 27002/2005, convém considerar os controles de acesso lógico e físico de forma conjunta. As regras e os direitos para cada usuário ou grupo de usuários devem estar claramente expressos na política de controle de acesso.

Uma política de segurança eficaz parte da premissa do uso efetivo de um conjunto de ferramentas de segurança, como firewalls, sistemas de detecção de intrusos, validadores de senha e criptografia forte.

Uma ameaça pode causar impacto em vários ativos ou apenas em parte de um deles, podendo ter efeitos imediatos (operacionais) ou futuros (negócios).

Alcançar e manter a proteção adequada dos ativos da organização é um objetivo de controle estabelecido na norma NBR/ISO/IEC 27001/2006. Associado a esse objetivo, há o controle relativo à remoção de propriedade, o qual determina que um ativo não mais utilizado por um proprietário deverá ser dele desvinculado.

De acordo com a norma NBR/ISO/IEC 27005, a comunicação de riscos visa assegurar que as informações sobre os riscos sejam compartilhadas entre os tomadores de decisão e outros stakeholders, buscando-se, assim, alcançar um entendimento de todos sobre como os riscos serão gerenciados.

Riscos residuais referem-se aos riscos para os quais ainda não foram estabelecidos controles dentro do tratamento de riscos.

Um arquivo de texto, uma IDE para desenvolvimento em linguagem C e um pendrive são classificados como ativos de software, de serviço e físico, respectivamente.

A transferência de riscos envolve a decisão de transferir o ônus de determinados riscos para terceiros, deixando a cargo destes a atividade de monitoração dos riscos transferidos.

Na prática, os padrões 27001 e 27002 normalmente são usados em conjunto, embora seja possível o uso de outros controles de segurança da informação juntamente com o padrão 27001, até mesmo em substituição ao padrão 27002.

Muitos serviços disponíveis na Internet enviam senhas temporárias aos seus usuários. De acordo com a norma NBR/ISO/IEC 27002/2005, essa prática é conveniente, desde que realizada de forma segura, procurando-se evitar o uso de correio eletrônico de terceiros ou sem criptografia.

As análises/avaliações de risco do plano de continuidade do negócio devem envolver os responsáveis pelos processos e recursos do negócio. É importante que essas análises/avaliações não se limitem aos recursos de processamento da informação, mas incluam os resultados específicos da segurança da informação.