O controle e as comunicações de dados em tratores agrícolas ou florestais

Atualmente, está disponível um sistema de comunicações para equipamentos agrícolas com base no protocolo da ISO 11898-2.

A NBR ISO 11783-1 de 08/2019 – Tratores e máquinas agrícolas e florestais — Rede serial para comunicação de dados e controle – Parte 1: Padrão geral para comunicação de dados móveis especifica uma rede serial de dados para controle e comunicações em tratores agrícolas ou florestais e implementos montados, semimontados, rebocados ou autopropelidos. Sua finalidade é padronizar o método e o formato de transferência de dados entre sensores, atuadores, elementos de controle, unidades de armazenamento e exibição de informações, montados ou se forem parte do trator ou implemento. Ela é destinada a fornecer interligação de sistema aberto (Open System Interconnect – OSI) para sistemas eletrônicos utilizados por equipamentos agrícolas e florestais. Fornece uma visão geral da NBR ISO 11783.

Para desenvolvedores de aplicações segundo a NBR ISO 11783, o conteúdo desta base de dados eletrônicos fornece a listagem atual das designações de endereços, designações de identidade e definições de parâmetros da NBR ISO 11783-1 que foram designadas e que estão oficialmente registradas pela SAE J1939. Estas informações são encontradas na base de dados on-line no website da ISOBUS (http://www.isobus.net/).

Acesse algumas questões relacionadas a essa norma GRATUITAMENTE no Target Genius Respostas Diretas:

Quais os termos abreviados usados nessa norma?

Qual seria uma estrutura de conexão física típica da rede do trator/implemento?

Qual seria uma topologia típica da rede da NBR ISO 11783?

Como seria a interface do computador de gerenciamento da fazenda?

O que contém a base de dados eletrônicos da NBR ISO 11783-1?

A NBR ISO 11783 especifica um sistema de comunicações para equipamentos agrícolas com base no protocolo da ISO 11898-2. Os documentos SAE J19391, em que as partes da NBR ISO 11783 são baseadas, foram desenvolvidos em conjunto para uso em aplicações de caminhões e ônibus e para aplicações na construção e agricultura. Documentos conjuntos foram concluídos para permitir que as unidades eletrônicas que atendem às especificações SAE J1939 de caminhões e ônibus sejam utilizadas por equipamentos agrícolas e florestais com alterações mínimas.

Informações gerais sobre a NBR ISO 11783 podem ser encontradas nesta parte da NBR ISO 11783. O objetivo da NBR ISO 11783 é fornecer um sistema aberto e interligado para sistemas eletrônicos embarcados. Ela é destinada a permitir que unidades de controle eletrônico (ECU) se comuniquem entre si, fornecendo um sistema padronizado.

A interligação de sistemas abertos (OSI) especificada na ISO/IEC 7498-1 é um modelo de arquitetura de comunicações por computador que possui sete camadas, conforme mostrado na figura abaixo. Pretende-se que as redes de comunicações de dados, como a serie ABNT NBR ISO 11783, sejam desenvolvidas para realizar as funções de cada uma das camadas OSI, conforme requerido.

Camada 1 – Física – Esta camada refere-se à transmissão de um fluxo de bits não estruturado sobre mídia física; ela trata das características mecânicas, elétricas, funcionais e de processo para acessar a mídia física.

Camada 2 – Dados – Esta camada fornece a transferência confiável de informações pela da camada física; ela envia blocos de dados com o sincronismo, controle de erros, controle sequencial e controle de fluxo.

Camada 3 – Rede – Esta camada fornece camadas superiores com independência das tecnologias de transmissão e comutação de dados utilizados para conectar sistemas; ela é responsável por estabelecer, manter e encerrar conexões.

Camada 4 – Transporte – Esta camada fornece transferência confiável e transparente de dados entre pontos finais, recuperação de erros de ponta a ponta e controle de fluxo, e segmentação e remontagem de mensagens muito grandes.

Camada 5 – Sessão – Esta camada fornece a estrutura de controle para comunicação entre aplicações; ela estabelece, gerencia e encerra conexões (sessões) entre aplicações de cooperação.

Camada 6 – Apresentação – Esta camada fornece independência ao processo da aplicação das diferenças na representação de dados (sintaxe).

Camada 7 – Aplicação – Esta camada fornece acesso ao ambiente OSI para usuários e também fornece serviços de informações distribuídas.

Não é requerido que qualquer norma baseada no modelo OSI, incluindo a NBR ISO 11783, seja particionada explicitamente nas sete camadas OSI, desde que a funcionalidade fundamental seja suportada. Nem todas as camadas OSI são requeridas para a rede NBR ISO 11783, porque esta rede é um sistema de comunicações específico, suportando conjuntos específicos de aplicações para uma indústria específica.

Somente as camadas requeridas para o uso previsto são definidas na NBR ISO 11783, com uma parte separada da NBR ISO 11783 especificando cada uma das camadas e com outras partes fornecendo suporte de funcionalidade para as camadas. Em redes concordantes com a série NBR ISO 11783, muitas mensagens são transmitidas. Estas redes incluem a rede do trator (6.6.2) e a rede do implemento (6.6.3). Portanto, os dados são transmitidos na rede sem direcioná-los para um destino específico.

Esta configuração permite que qualquer função de controle utilize os dados sem utilizar mensagens de solicitação adicionais. A NBR ISO 11783 também especifica que um endereço de destino específico seja incluído no identificador rede de área de controle (CAN) da mensagem, quando uma mensagem for direcionada para uma função de controle específica. O formato da mensagem específica de destino é, portanto, diferente do formato da mensagem global de destino.

A comunicação de propriedade também é permitida na NBR ISO 11783, utilizando formatos de mensagens específicas de destino ou mensagem globais de destino. A NBR ISO 11783-2 especifica a subcamada de acesso à mídia para as ECU e a subcamada dependente do meio físico para as redes do trator e do implemento. A interface da ECU deve estar em conformidade com a subcamada de sinalização física, conforme normalizado na ISO 11898-1:2015, e a subcamada de acesso à mídia física, conforme normalizado na ISO 11898-2:2016. A rede é composta de um único cabo linear torcido quadruplamente conectado a cada ECU em um nó. Um cabo curto fornece uma conexão do nó ao cabo torcido quadruplamente para cada ECU.

Circuitos de polarização da terminação ativos são especificados para cada extremidade de um segmento de rede. A NBR ISO 11783-2 também especifica os conectores requeridos para conectar implementos a tratores, ECUs adicionais a uma rede existente instalada no equipamento e uma ferramenta de serviço na rede. A NBR ISO 11783-2 também especifica as fontes de energia requeridas para a operação da rede e suas conexões.

As ECU concordantes com a série NBR ISO 11783 devem utilizar o Formato de Estrutura Estendida CAN Clássica, definido na ISO 11898-1:2015. Os formatos de estruturas CAN FD não podem ser utilizados. A NBR ISO 11783-3 define a estrutura do identificador CAN para especificar os formatos de mensagens. Os formatos de mensagem ou unidades de dados de protocolo são utilizados para identificar o conteúdo de uma mensagem.

A NBR ISO 11783-3 especifica um campo (PF) de formato PDU de 8 bits, um campo (PS) específico PDU de 8 bits e um campo de página de dados de 2 bits que é utilizado para identificar uma PDU. Para reduzir a sobrecarga de mensagens, a NBR ISO 11783-3 especifica que um número de itens ou parâmetros de dados relativos deve ser agrupado dentro de uma PDU. A NBR ISO 11783 especifica mensagens adicionais para mensagens proprietárias do fabricante.

As mensagens que necessitam de mais 8 bytes de dados são enviadas como mensagens multipacote. A NBR ISO 11783-3 especifica um protocolo de transporte para transmitir mensagens multipacote de até 1 785 bytes de comprimento. A NBR ISO 11783-6 especifica um segundo protocolo de transporte para transmitir mensagens de 1 786 bytes até 117 megabytes.

As definições individuais do formato de mensagem da aplicação, incluindo a taxa de transmissão da mensagem, o comprimento da estrutura de dados, a página de dados, PF, PS ou DA e a prioridade padrão, são fornecidas na parte da NBR ISO 11783 que especifica a aplicação específica. Quando duas redes com diferentes arquiteturas de rede forem conectadas, o integrador do sistema conectado deve utilizar uma unidade de interligação de rede para isolar cada segmento de rede do outro.

As unidades de interligação de rede estão detalhadas na NBR ISO 11783-4. Também é possível que sistemas complexos possam requerer mais do que o limite elétrico de 30 nós, conforme especificado na NBR ISO 11783-2, em uma série NBR ISO 11783. Nestes casos, o fabricante do sistema do implemento deve utilizar unidades de interligação de rede para manter os limites de carga elétrica requeridos da rede.

Cada função de controle que se comunica na rede de dados da ABNT NBR ISO 11783 requer um endereço da fonte (SA). Se uma ECU realizar as mais de uma função de controle, um endereço é requerido para cada função de controle. Para identificar exclusivamente cada função de controle, a NBR ISO 11783-5 especifica um NAME de 64 bits. A NBR ISO 11783-5 define o processo específico para determinar os endereços de fonte e resolver quaisquer conflitos de endereço que possam ocorrer.

O SA é pré-ajustado ou dinamicamente reivindicado por cada controlador, à medida que são ativados. Um NAME deve ser designado para cada função de controle que se comunica em uma rede NBR ISO 11783. Existem exemplos, como um terminal virtual e porta de gerenciamento em uma ECU comum, onde vários NAME e endereços coexistem dentro de uma única ECU.

A base de dados da NBR ISO 11783 em http://www.isobus.net/ lista os seguintes códigos para campos de um NAME: as indústrias que utilizam especificações de gerenciamento de rede ABNT NBR ISO 11783; endereços pré-ajustados ou preferidos para funções de controle não específicas; endereços iniciais designados para equipamentos agrícolas e florestais; os NAME a serem utilizados pelas funções de controle em uma rede de dados da NBR ISO 11783; os fabricantes que fornecem ECU para operar em uma rede de dados ABNT NBR ISO 11783. Os endereços utilizados pelas funções de controle também são ilustrados.

A NBR ISO 11783 suporta dois ou mais segmentos de rede. Um segmento é identificado como a rede do trator. Este segmento é destinado a fornecer as comunicações de controle e dados para o trem de acionamentos e chassi do trator ou a unidade de energia principal em um sistema. O segundo segmento é identificado como a rede do implemento que fornece as comunicações de controle e dados entre implementos e entre implementos e o trator ou a unidade de energia principal no sistema. Uma ECU do trator é requerida para conectar à rede do trator e a rede do implemento.

Anúncios

ISO/IEC 27701: o gerenciamento de informações sobre privacidade em segurança da informação

A ISO/IEC 27701:2019 – Security techniques – Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management – Requirements and Guidelines especifica os requisitos e fornece a orientação para estabelecer, implementar, manter e melhorar continuamente um Sistema de Gerenciamento de Informações sobre Privacidade (Privacy Information Management System – PIMS) na forma de uma extensão da ISO/IEC 27001 e ISO/IEC 27002 para gerenciamento de privacidade dentro do contexto da organização. Este documento especifica os requisitos relacionados ao PIMS e fornece orientação para os controladores de Personally Identifiable Information (PII) e processadores de PII que detêm responsabilidade e responsabilidade pelo processamento de PII.

Este documento é aplicável a todos os tipos e tamanhos de organizações, incluindo empresas públicas e privadas, entidades governamentais e organizações sem fins lucrativos, que são controladores de PII e/ou processadores de PII dentro de um SGSI.

Conteúdo da norma

Prefácio……………………………… vi

Introdução…. …………………… vii

1 Escopo…. ………………………. 1

2 Referências normativas……… 1

3 Termos, definições e abreviaturas………………… 1

4 Geral………………………………. ………………….. 2

4.1 Estrutura deste documento…………. ……….. 2

4.2 Aplicação dos requisitos da ISO/IEC 27001: 2013… …….. 2

4.3 Aplicação das diretrizes ISO/IEC 27002: 2013 ……………. 3

4.4 Cliente………………………………………… .4

5 Requisitos específicos do PIMS relacionados à ISO/IEC 27001…….. 4

5.1 Geral…………………………………… …… 4

5.2 Contexto da organização………… ………. 4

5.2.1 Entendendo a organização e seu contexto…………. 4

5.2.2 Entendendo as necessidades e expectativas das partes interessadas……………5

5.2.3 Determinar o escopo do sistema de gerenciamento de segurança da informação…………………. 5

5.2.4 Sistema de gerenciamento de segurança da informação…………………………. … 5

5.3 Liderança…………………………… 5

5.3.1 Liderança e compromisso……………………….. 5

5.3.2 Política……. ………………………………….. 5

5.3.3 Funções organizacionais, responsabilidades e autoridades………………………. 5

5.4 Planejamento………………. 6

5.4.1 Ações para endereçar riscos e oportunidades…….. …. 6

5.4.2 Objetivos de segurança da informação e planejamento para alcançá-los………. …….. 7

5.5 Suporte………………………………… ….. 7

5.5.1 Recursos…… ………………………… 7

5.5.2 Competência……….. ……………………. 7

5.5.3 Conscientização………. ………………….7

5.5.4 Comunicação………………. ……………. 7

5.5.5 Informação documentada………………… 7

5.6 Operação………………………………………….. 7

5.6.1 Planejamento e controle operacional……………… 7

5.6.2 Avaliação de risco de segurança da informação…………… 7

5.6.3 Tratamento do risco de segurança da informação…………………………………………… 7

5.7 Avaliação de desempenho.. ……………. 8

5.7.1 Monitoramento, medição, análise e avaliação………………….. 8

5.7.2 Auditoria interna………. …………………. 8

5.7.3 Revisão da gestão……………………………. 8

5.8 Melhoria…………………………………………. 8

5.8.1 Não conformidade e ação corretiva…………… 8

5.8.2 Melhoria contínua…………………………………. 8

6 Orientações específicas do PIMS relacionadas à ISO/IEC 27002……………………… 8

6.1 Geral……………………………….. …… 8

6.2 Políticas de segurança da informação……………. …. 8

6.2.1 Direção da gerência para a segurança da informação…………………………… 8

6.3 Organização da segurança da informação…………….. 9

6.3.1 Organização interna…………………………………… 9

6.3.2 Dispositivos móveis e teletrabalho………………….. 10

6.4 Segurança dos recursos humanos…………………….. 10

6.4.1 Antes do emprego……………………………………………10

6.4.2 Durante o emprego……………………………………. 10

6.4.3 Rescisão e mudança de emprego…………… 11

6.5 Gestão de ativos…….. ……………………. 11

6.5.1 Responsabilidade pelos ativos……………….. 11

6.5.2 Classificação da informação………………….. 11

6.5.3 Manuseio de mídia…….. …………… 12

6.6 Controle de acesso…………………………. 13

6.6.1 Requisitos de negócios do controle de acesso….. 13

6.6.2 Gerenciamento de acesso do usuário………………. 13

6.6.3 Responsabilidades do usuário…………………………………………. ..14

6.6.4 Controle de acesso a sistemas e aplicativos……….. 14

6.7 Criptografia………. ……………………………….. 15

6.7.1 Controles criptográficos………………………….. 15

6.8 Segurança física e ambiental………………….. 15

6.8.1 Áreas seguras……………. …………………. 15

6.8.2 Equipamento………. ……………………. 16

6.9 Segurança operacional. …………………… 17

6.9.1 Procedimentos operacionais e responsabilidades……………. 17

6.9.2 Proteção contra malware…………………………… 18

6.9.3 Backup……………….. ……………………………. 18

6.9.4 Registro e monitoramento……………………….. 18

6.9.5 Controle do software operacional……………………. 19

6.9.6 Gerenciamento técnico de vulnerabilidades……………. 20

6.9.7 Considerações sobre auditoria de sistemas de informação………………………………. 20

6.10 Segurança de comunicações……………. ……… 20

6.10.1 Gerenciamento de segurança de rede……………………… 20

6.10.2 Transferência de informação……………………………. ..20

6.11 Aquisição, desenvolvimento e manutenção de sistemas…………………….. 21

6.11.1 Requisitos de segurança dos sistemas de informação…………………………………. 21

6.11.2 Segurança em processos de desenvolvimento e suporte……………………………….. 21

6.11.3 Dados de ensaio…………………….. 23

6.12 Relações com fornecedores …………….. 23

6.12.1 Segurança da informação nas relações com fornecedores…………………… 23

6.12.2 Gerenciamento de entrega de serviços de fornecedores…………………………. 24

6.13 Gerenciamento de incidentes de segurança da informação………………. …………….. 24

6.13.1 Gerenciamento de incidentes e melhorias de segurança da informação………………………. 24

6.14 Aspectos de segurança da informação na gestão de continuidade de negócios……………. ………….. 27

6.14.1 Continuidade da segurança da informação……………………. 27

6.14.2 Redundâncias………………… …………….. 27

6.15 Conformidade…………………………………. 27

6.15.1 Cumprimento dos requisitos legais e contratuais………… 27

6.15.2 Revisões de segurança da informação…………………………. 28

7 Orientação adicional ISO/IEC 27002 para controladores PII………………………… ..29

7.1 Geral…………………….. … 29

7.2 Condições para coleta e processamento…………………… 29

7.2.1 Identifique e documente a finalidade………………… 29

7.2.2 Identifique a base legal………………………………. 29

7.2.3 Determinar quando e como o consentimento deve ser obtido…………………………. 30

7.2.4 Obter e registrar o consentimento…………………. 30

7.2.5 Avaliação do impacto de privacidade…………… 31

7.2.6 Contratos com processadores PII………………….. 31

7.2.7 Controlador PII comum…………………….. …….. 32

7.2.8 Registros relacionados ao processamento de PII…………… 32

7.3 Obrigações com os princípios de PII………………….. ….. 33

7.3.1 Determinação e cumprimento de obrigações para com os princípios de PII…………………. 33

7.3.2 Determinando as informações para os principais objetos de informação pessoal…………………………….. 33

7.3.3 Fornecendo informações aos principais PII………. ……… 34

7.3.4 Fornecendo o mecanismo para modificar ou retirar o consentimento…………………… 34

7.3.5 Fornecendo o mecanismo para contestar o processamento de PII…………………………….. 35

7.3.6 Acesso, correção e/ou eliminação……………….. 35

7.3.7 Obrigações dos controladores de PII de informar terceiros…………………………….. 36

7.3.8 Fornecendo cópia das PII processadas……………………… 36

7.3.9 Processando solicitações……………………. …….. 37

7.3.10 Tomada de decisão automatizada………………………. 37

7.4 Privacidade por projeto e privacidade por norma………………………………………………………. 38

7.4.1 Cobrança limite………………………… 38

7.4.2 Processamento de limite…….. ………… 38

7.4.3 Precisão e qualidade…………………… ..38

7.4.4 Objetivos de minimização de PII……………….. 39

7.4.5 Desidentificação e eliminação de PII no final do processamento…………………………. 39

7.4.6 Arquivos temporários… ………….. 39

7.4.7 Retenção….. ………………………. 40

7.4.8 Descarte…. …………………………. 40

7.4.9 Controles de transmissão PII…………………. 40

7.5 Compartilhamento, transferência e divulgação de PII…………. 41

7.5.1 Identificar base para transferência de PII entre jurisdições………………………… 41

7.5.2 Países e organizações internacionais para os quais PII podem ser transferidos ………… 41

7.5.3 Registros de transferência de PII…………………… 41

7.5.4 Registros de divulgação de PII para terceiros……. 42

8 Orientação adicional ISO/IEC 27002 para processadores PII……………………………. … 42

8.1 Geral……………………………….. … 42

8.2 Condições para coleta e processamento……………………. 42

8.2.1 Contrato com o cliente……………………………….. .42

8.2.2 Finalidades da organização………………………………. 43

8.2.3 Marketing e publicidade…. ……………………….. 43

8.2.4 Instrução infratora……………………………. 43

8.2.5 Obrigações do cliente…………………………….. 43

8.2.6 Registros relacionados ao processamento de PII………………. 44

8.3 Obrigações aos principais PII…………………………. ….. 44

8.3.1 Obrigações para com os princípios de PII…………… 44

8.4 Privacidade por projeto e privacidade por norma…… 44

8.4.1 Arquivos temporários………… ……………. 44

8.4.2 Devolução, transferência ou descarte de PII………… 45

8.4.3 Controles de transmissão PII…………………. 45

8.5 Compartilhamento, transferência e divulgação de PII……… 46

8.5.1 Base para transferência de PII entre jurisdições….. 46

8.5.2 Países e organizações internacionais para as quais os PII podem ser transferidos…………. 46

8.5.3 Registros de divulgação de PII para terceiros… ……. 47

8.5.4 Notificação de solicitações de divulgação de PII………… 47

8.5.5 Divulgações de PII legalmente vinculativas………………………. 47

8.5.6 Divulgação de subcontratantes utilizados para processar PII……….. 47

8.5.7 Contratação de um subcontratado para processar PII…………………………………… 48

8.5.8 Mudança de subcontratado para processar PII………. 48

Anexo A (normativo) Objetivos e controles de referência específicos do PIMS (Controladores PII) …… 49

Anexo B (normativo) Objetivos e controles de referência específicos do PIMS (Processadores PII) ……. 53

Anexo C (informativo) Mapeamento para a ISO/IEC 29100……… 56

Anexo D (informativo) Mapeamento ao Regulamento Geral de Proteção de Dados………………… 58

Anexo E (informativo) Mapeamento para a ISO/IEC 27018 e ISO/IEC 29151……………. 61

Anexo F (informativo) Como aplicar a ISO/IEC 27701 à ISO/IEC 27001 e ISO/IEC 27002……………… 64

Bibliografia………………………66

Quase toda organização processa Informações Pessoais Identificáveis (Personally Identifiable Information – PII). Além disso, a quantidade e os tipos de PII processados estão aumentando, assim como o número de situações em que uma organização precisa cooperar com outras em relação ao processamento de PII. A proteção da privacidade no contexto do processamento de PII é uma necessidade social, bem como o tópico de legislação e/ou regulamentação dedicadas em todo o mundo.

O Sistema de Gerenciamento de Segurança da Informação (SGSI) definido na ISO/IEC 27001 foi projetado para permitir a adição de requisitos setoriais específicos, sem a necessidade de desenvolver um novo sistema de gestão. As normas do sistema de gestão ISO, incluindo as específicas do setor, são projetadas para serem implementadas separadamente ou como um sistema de Gestão combinado.

Os requisitos e as orientações para a proteção das PII variam de acordo com o contexto da organização, em particular quando existe legislação e/ou regulamentação nacional. A ISO/IEC 27001 exige que esse contexto seja compreendido e levado em consideração.

Este documento inclui mapeamento para: o quadro e os princípios de privacidade definidos na norma ISO/IEC 29100; ISO/IEC 27018; ISO/IEC 29151; e o Regulamento Geral de Proteção de Dados da UE. No entanto, estas proteções podem precisar ser interpretadas para levar em conta a legislação e/ou regulamentação local. Este documento pode ser usado por controladores PII (incluindo aqueles que são controladores PII de junção) e processadores PII (incluindo aqueles que usam processadores PII subcontratados e aqueles que processam PII como subcontratantes para processadores PII).

Uma organização que atenda aos requisitos deste documento gerará evidências documentadas de como ele lida com o processamento de PII. Tal evidência pode ser usada para facilitar acordos com parceiros de negócios onde o processamento de PII é mutuamente relevante. Isso também pode ajudar nas relações com outras partes interessadas.

O uso deste documento em conjunto com a ISO/IEC 27001 pode, se desejado, fornecer uma verificação independente dessa evidência. Este documento foi inicialmente desenvolvido como ISO/IEC 27552 e ele se aplica a estrutura desenvolvida pela ISO para melhorar o alinhamento entre os normas do sistema de gestão e permite que uma organização alinhe ou integre seu PIMS com os requisitos de outras normas de gestão.

Dá para medir a eficácia da segurança da informação em sua empresa?

Os criminosos digitais estão cada vez mais querendo acessar as empresas e a segurança da informação, nesse contexto, passa a ser um ponto de extrema importância ligada à estratégia corporativa. Para se ter uma ideia, estima-se que o número de ataques cibernéticos aumentou entre 30 e 40% na América Latina nos últimos anos.

Assim, para garantir um bom nível de segurança, é fundamental ter uma infraestrutura robusta. Portanto, deve-se investir em vários aspectos: arquitetura, design de um esquema de proteção, operações e práticas seguras, além de uma boa gestão de riscos.

Quanto à arquitetura, pode-se pensar na análise do projeto de uma prisão ou de uma base militar. Sempre se deve levar em consideração qual é a finalidade de um edifício. Ele abrigará réus de alta periculosidade? Que informações e objetos ficarão dentro de uma área militar?

O sistema precisa ser projetado como um todo, já que ele é formado por um conjunto de componentes que devem ser protegidos individualmente. Uma infraestrutura segura leva em conta um design geral da solução sem deixar de prestar atenção à proteção dos dados. Dessa forma, há uma segurança específica para cada um dos elementos: servidores, computadores, a rede, os componentes de comunicação, etc.

Ao configurar um serviço ou registrar um usuário, essas ações estão relacionadas a uma interação com um sistema e também devem ser feitas com segurança. Uma pessoa pode até ter um automóvel extremamente seguro e equipado com os melhores acessórios de segurança, mas acabará sofrendo um acidente se dirigir bêbado ou ultrapassar o limite de velocidade da via.

É preciso considerar as boas práticas que estabelecem qual é a melhor forma de atuar na maioria dos casos e das vezes. Precisa-se saber como são essas boas práticas e adotá-las para ter uma referência de aprimoramento.

Todas as empresas são diferentes. Cada setor tem suas próprias ameaças e exposições a riscos específicos. Por isso, é importante contar com uma referência. Quais seriam as circunstâncias de uma pequena e média empresa? Depende da área de atuação e da importância das informações com as quais essa empresa trabalha. Traçar um panorama de riscos gera certeza na hora de avaliar até que ponto deve-se otimizar o sistema e o que é preciso priorizar.

Quanto à computação na nuvem, possibilita a realização de operações seguras por causa de sua arquitetura e de seu design de soluções. A arquitetura da nuvem assemelha-se a uma fortaleza. Ela já fica armada e as operações e configurações são feitas pelo provedor, motivo pelo qual há menos exposição aos riscos.

E pode-se medir a eficácia de todo esse sistema?A NBR ISO/IEC 27004 de 04/2010 – Tecnologia da informação – Técnicas de segurança – Gestão da segurança da informação – Medição fornece as diretrizes para o desenvolvimento e uso de métricas e medições a fim de avaliar a eficácia de um Sistema de Gestão de Segurança da Informação (SGSI) implementado e dos controles ou grupos de controles, conforme especificado na NBR ISO/IEC 27001. Esta norma é aplicável a todos os tipos e tamanhos de organizações.

O usuário deste documento precisa interpretar corretamente cada uma das formas verbais das expressões fornecidas (por exemplo: “deve”, “não deve”, “convém que”, “não convém que”, “pode”, “não precisa” e “não pode”) como sendo um requisito a ser atendido e/ou recomendações em que existe certa liberdade de escolha. Convém que seja consultado o Anexo A da ISO/IEC 27000:2009 para esclarecimentos adicionais.

Esta norma fornece diretrizes para elaboração e uso de medidas e medições a fim de avaliar a eficácia de um Sistema de Gestão de Segurança da Informação (SGSI) implementado e de controles ou grupos de controles, conforme especificado na NBR ISO/IEC 27001. Isto inclui a política, gestão de riscos de segurança da informação, objetivos de controles, controles, processos e procedimentos, e apoio ao processo de sua revisão, ajudando a determinar se algum processo ou controle do SGSI precisa ser modificado ou melhorado.

É necessário lembrar que nenhuma medição de controles pode garantir segurança completa. A implementação desta metodologia constitui um Programa de Medição de Segurança da Informação. O Programa de Medição de Segurança da Informação vai apoiar a gestão na identificação e avaliação de processos e controles do SGSI ineficazes e não conformes e na priorização de ações associadas com a melhoria ou modificação desses processos e/ou controles.

Também pode auxiliar a organização na demonstração da conformidade com a NBR ISO/IEC 27001 e prover evidências adicionais para os processos de análise crítica pela direção e de gestão de riscos em segurança da informação. Esta norma assume que o ponto de partida para o desenvolvimento das medidas e medições é o entendimento claro dos riscos de segurança da informação que a organização enfrenta e que as atividades de análise de riscos da organização têm sido executadas corretamente (por exemplo, baseada na NBR ISO/IEC 27005), conforme requerido pela NBR ISO/IEC 27001.

O Programa de Medição de Segurança da Informação encorajará que uma organização forneça informações confiáveis às partes interessadas pertinentes relacionadas com os riscos de segurança da informação e com a situação do SGSI implementado para gerenciar esses riscos. Se for eficazmente implementado, o Programa de Medição de Segurança da Informação aumentará a confiança das partes interessadas nos resultados das medições e possibilitará às partes interessadas a usarem essas medidas para realizar a melhoria contínua da segurança da informação e do SGSI.

Os resultados acumulados de medição permitirão a comparação do progresso em atingir os objetivos de segurança da informação sobre um período de tempo como parte de um processo de melhoria contínua do SGSI da organização. A NBR ISO/IEC 27001 exige que a organização “realize análises críticas regulares da eficácia do SGSI levando em consideração os resultados da eficácia das medições” e que “meça a eficácia dos controles para verificar se os requisitos de segurança da informação foram alcançados”.

A NBR ISO/IEC 27001 também exige que a organização “defina como medir a eficácia dos controles ou grupo de controles selecionados e especifique como essas medidas devem ser usadas para avaliar a eficácia dos controles para produzir resultados comparáveis e reproduzíveis”. A abordagem adotada por uma organização para atender os requisitos de medição especificados na NBR ISO/IEC 27001 vai variar de acordo com o número de fatores significantes, incluindo os riscos de segurança da informação que a organização enfrenta, o tamanho da organização, recursos disponíveis, e requisitos legais, regulatórios e contratuais aplicáveis.

A seleção e a justificativa criteriosa do método usado para atender aos requisitos de medição são importantes para assegurar que recursos em excesso não sejam direcionados a estas atividades do SGSI em detrimento de outras. Em condições ideais, as atividades de medição em curso devem ser integradas nas operações normais da organização com um acréscimo mínimo de recursos.

Os objetivos da medição de Segurança da informação no contexto de um SGSI incluem: avaliar a eficácia dos controles ou grupos de controles implementados (ver “4.2.2 d)” na Figura 1); avaliar a eficácia do SGSI implementado (ver 4.2.3 b)” na Figura 1); verificar a extensão na qual os requisitos de segurança da informação identificados foram atendidos (ver “4.2.3 c)” na Figura 1); facilitar a melhoria do desempenho da segurança da informação em termos dos riscos de negócio globais da organização; fornecer entradas para a análise crítica pela direção para facilitar as tomadas de decisões relacionadas ao SGSI e justificar as melhorias necessárias do SGSI implementado.

A Figura 1 ilustra o relacionamento cíclico de entrada e saída das atividades de medição em relação ao ciclo Planejar-Fazer-Checar-Agir (PDCA), especificado na NBR ISO/IEC 27001. Os números em cada figura representam as subseções relevantes da NBR ISO/IEC 27001:2006.

Clique nas figuras para uma melhor visualização

figura-1_medicao

Convém que a organização estabeleça objetivos de medição baseados em certas considerações, incluindo: o papel da segurança da informação em apoiar as atividades globais da organização e os riscos que ela encara; requisitos legais, regulatórios e contratuais pertinentes; estrutura organizacional; custos e benefícios de implementar as medidas de segurança da informação; critério de aceitação de riscos para a organização; e a necessidade de comparar diversos SGSI dentro da própria organização. Convém que uma organização estabeleça e gerencie um Programa de Medição de Segurança da Informação, a fim de alcançar os objetivos de medição estabelecidos e adotar um modelo PDCA nas atividades de medição globais da organização.

Também convém que uma organização desenvolva e implemente modelos de medições, a fim de obter resultados repetitivos, objetivos e úteis da medição baseado no Modelo de Medição da Segurança da Informação (ver 5.4). Convém que o Programa de Medição de Segurança da Informação e o modelo de medição desenvolvidos assegurem que uma organização alcance efetivamente os objetivos e as medições de forma repetitiva e forneça os resultados das medições para as partes interessadas pertinentes de modo a identificar as necessidades de melhorias do SGSI implementado, incluindo seu escopo, políticas, objetivos, controles, processos e procedimentos.

Convém que um Programa de Medição de Segurança da Informação inclua os seguintes processos: desenvolvimento de medidas e medição (ver Seção 7); operação da medição (ver Seção 8); relato dos resultados da análise de dados e da medição (ver Seção 9); e avaliação e melhoria do Programa de Medição de Segurança da Informação (ver Seção 10). Convém que a estrutura organizacional e operacional de um Programa de Medição de Segurança da Informação seja determinada levando em consideração a escala e a complexidade do SGSI do qual ele é parte.

Em todos os casos, convém que os papéis e responsabilidades para o Programa de Medição de Segurança da Informação sejam explicitamente atribuídos ao pessoal competente ( ver 7.5.8). Convém que as medidas selecionadas e implementadas pelo Programa de Medição de Segurança da Informação, estejam diretamente relacionadas à operação de um SGSI, a outras medidas, assim como aos processos de negócio da organização.

As medições podem ser integradas às atividades operacionais normais ou executadas a intervalos regulares determinados pela direção do SGSI. Assim, o Modelo de Medição de Segurança da Informação é uma estrutura que relaciona uma necessidade de informação com os objetos relevantes da medição e seus atributos. Objetos de medição podem incluir processos planejados ou implementados, procedimentos, projetos e recursos.

O Modelo de Medição de Segurança da Informação descreve como os atributos relevantes são quantificados e convertidos em indicadores que fornecem uma base para a tomada de decisão. A Figura 2 mostra o modelo de medição de Segurança da Informação.

figura-2_medicao

Uma medida básica é a medida mais simples que pode ser obtida. A medida básica resulta da aplicação do método de medição aos atributos selecionados de um objeto de medição. Um objeto de medição pode ter muitos atributos, dos quais somente alguns podem fornecer valores úteis a serem atribuídos a uma medida básica. Um dado atributo pode ser usado para diversas medidas básicas.

Um método de medição é uma sequência lógica de operações usadas para quantificar um atributo de acordo com uma escala especificada. A operação pode envolver atividades, tais como a contagem de ocorrências ou observação da passagem do tempo. Um método de medição pode aplicar atributos a um objeto de medição.

Exemplos de um objeto de medição incluem mas não estão limitados a: desempenho dos controles implementados no SGSI; situação dos ativos de informação protegidos pelos controles; desempenho dos processos implementados no SGSI; comportamento do pessoal que é responsável pelo SGSI implementado; atividades de unidades organizacionais responsáveis pela segurança da informação; e grau da satisfação das partes interessadas.

Um método de medição pode usar objetos de medição e atributos de variadas fontes, tais como: análise de riscos e resultados de avaliações de riscos; questionários e entrevistas pessoais; relatórios de auditorias internas e/ou externas; registros de eventos, tais como logs, relatórios estatísticos, e trilhas de auditoria; relatórios de incidentes, particularmente aqueles que resultaram na ocorrência de um impacto; resultados de testes, por exemplo, testes de invasão, engenharia social, ferramentas de conformidade, e ferramentas de auditoria de segurança; ou registros de segurança da informação da organização relacionados a programa e procedimentos, por exemplo, resultados de treinamentos de conscientização em segurança da informação.

tabela-1_medicao

Uma medida derivada é um agregado de duas ou mais medidas básicas. Uma dada medida básica pode servir como entrada para diversas medidas derivadas. Uma função de medição é um cálculo usado para combinar medidas básicas para criar uma medida derivada. A escala e a unidade da medida derivada dependem das escalas e unidades das medidas básicas das quais ela é composta, assim como da forma como elas são combinadas pela função de medição.

A função de medição pode envolver uma variedade de técnicas, como média de medidas básicas, aplicação de pesos a medidas básicas, ou atribuição de valores qualitativos a medidas básicas. A função de medição pode combinar medidas básicas usando escalas diferentes, como porcentagens e resultados de avaliações qualitativas. Um exemplo do relacionamento de elementos adicionais na aplicação do modelo de medição de Segurança da informação, por exemplo, medidas básicas, função de medição e medidas derivadas são apresentadas na Tabela 2.

tabela-2_medicao

Um indicador é uma medida que fornece uma estimativa ou avaliação de atributos especificados derivados de um modelo analítico de acordo com a necessidade de informação definida. Indicadores são obtidos pela aplicação de um modelo analítico a uma medida básica e/ou derivada, combinando-as com critérios de decisão. A escala e o método de medição afetam a escolha das técnicas analíticas utilizadas para produzir os indicadores. Um exemplo de relacionamentos entre medidas derivadas, modelo analítico e indicadores para o modelo de medição de Segurança da informação é apresentado na Tabela 3.

tabela-3_medicao

Se um indicador for representado em forma gráfica, convém que possa ser usado por usuários visualmente debilitados e que cópias monocromáticas possam ser feitas. Para tornar a representação possível, convém que ela inclua cores, sombreamento, fontes ou outros métodos visuais.

Os resultados de medição são desenvolvidos pela interpretação de indicadores aplicáveis baseados em critérios de decisão definidos e convém que sejam considerados no contexto global dos objetivos de medição para avaliação da eficácia do SGSI. O critério de decisão é usado para determinar a necessidade de ação ou investigação futura, bem como para descrever o nível de confiança nos resultados de medição.

Os critérios de decisão podem ser aplicados a uma série de indicadores, por exemplo, para conduzir análise de tendências baseadas em indicadores recebidos a intervalos de tempo diferente. Alvos fornecem especificações detalhadas para desempenho, aplicáveis à organização ou partes dela, derivados dos objetivos de segurança da informação tais como os objetivos do SGSI e objetivos de controle, e que precisam ser definidos e atendidos para se alcançar esses objetivos.

Atual diretoria da Associação Brasileira de Normas Técnicas (ABNT) expõe seus clientes a riscos jurídicos por uso de software pirata

Ao copiar sem autorização a base de dados de uma empresa que lhe prestava serviço, a diretoria atual da ABNT, formada por Pedro Buzatto Costa (muito conhecido pelo poder judiciário), presidente do Conselho Deliberativo, seu genro, Ricardo Fragoso, e Carlos Santos Amorim, manteve até os erros gramaticais no seu produto pirata. O fato foi apontado pelo desembargador José Aparício Coelho Prado Neto, na decisão de segunda instância na qual condenou a ABNT a pagar indenização por danos materiais à Target por violação de direito autoral do programa.

pirated

Hayrton Rodrigues do Prado Filho, jornalista profissional registrado no Ministério do Trabalho e Previdência Social sob o nº 12.113 e no Sindicato dos Jornalistas Profissionais do Estado de São Paulo sob o nº 6.008

O mercado da pirataria de software oferece uma diversidade de produtos com preços mais baixos, o que aumenta o interesse das pessoas por este tipo de mercadoria. Apesar de tentador, o que poucos sabem é que ao adquirir ou vender um produto falsificado, se torna um ato criminoso provocando grandes prejuízos à economia do país.

Os produtos pirateados são considerados todos aqueles que possuem a reprodução, venda ou distribuição sem a devida autorização e o pagamento dos direitos autorais. Qualquer espécie de falsificação se enquadra em crime, seja de forma direta ou indireta.

Dessa forma, muitas empresas brasileiras estão comprando ou já compraram os produtos ABNT CATALOGO e ABNT COLEÇÃO, comercializados pela ABNT, e todos precisam saber que esse é um produto pirata. Deve ficar claro que todas as mercadorias produzidas ou comercializadas com violação de direitos serão necessariamente produtos de crime.

Em resumo, se o delito de receptação é caracterizado por crime contra o patrimônio, o ato de comprar uma mercadoria pirateada consiste em uma conduta criminosa, pois o produto adquirido infringe o patrimônio intelectual do seu titular, e assim, torna-se resultado de outro delito anterior. Sendo assim, é importante alertar que independente de quem compra ou vende produtos desta origem, esta pessoa irá responder pelo ato de receptação, conforme art. 180 do Código Penal, que prevê pena de reclusão de até quatro anos.

A ABNT perdeu o processo em segunda instância, já que no dia 15 de março de 2016, em acórdão de pirataria de software, a justiça negou provimento aos agravos retidos da ABNT e deu parcial provimento ao apelo apenas para reduzir a condenação referente quanto à indenização por danos materiais à multa imposta, de R$ 2.000.000,00 para R$ 1.000.000,00 (mais de R$ 5.000.000,00 atualizados na data de hoje).

Em sua defesa, a diretoria da ABNT alega que possui um laudo feito pelo Instituto de Criminalística da Polícia Civil e que foi ignorado na decisão tomada pelo TJ-SP. Isso é balela, pois esse documento não faz parte dos autos do processo. O laudo que faz parte do processo é extenso, possui quase 300 páginas e aponta, detalhadamente, diversas similitudes nas bases de dados que não poderiam existir ao não ser em caso de violação de direito autoral. Mostra, inclusive, que a autora propositalmente adicionou ao seu banco de dados pequenos erros gramaticais e de digitação para verificação de eventual cópia, e que tais erros foram encontrados no banco de dados utilizado pela ré.

O laudo do Instituto de Criminalística de São Paulo, que a diretorias da ABNT apresenta para tentar ludibriar os incautos, não foi aceito pelo Tribunal de Justiça do Estado de São Paulo, pois nunca fez parte do processo 0142175-04.2006.8.26.0100, não podendo ser considerado como prova de absolutamente nada. Trata-se de um papel sem valor, como qualquer outro que não esteja no processo judicial em questão.

Além disso, a sentença fixou a indenização, a ser liquidada, nos mesmos termos que as partes firmaram em contrato (Target e ABNT), só que para o programa da parceria, ou seja, as partes dividiam igualmente os lucros gerados com a comercialização do programa CIN (original da Target), e o farão também com os lucros gerados com a comercialização do programa ABNT NET (Pirata), da notificação da violação até a data em que a ré deixou de disponibilizar a terceiros o programa ABNT NET.

Esse total deverá ser ainda calculado na execução da sentença, mas como a ABNT comercializou esse programa de 2003 até 2011 e, supostamente, comercializa até hoje com outras denominações ABNT CATALOGO e ABNT COLEÇÃO, os valores tendem a ser multimilionários.

A pirataria de software é a cópia ou distribuição não autorizada de software protegido por direitos autorais. Isso pode ocorrer pela cópia, download, compartilhamento, venda ou instalação de várias cópias em computadores pessoais ou de trabalho.

De acordo com estatísticas oficiais reveladas, a Microsoft teve 3.265 casos de pirataria de software, comprometendo milhões de usuários, em 43 países no ano fiscal que terminou em 30 de junho. Apenas 35 deles foram nos EUA, os outros 3.230 casos foram internacionais, espalhados em 42 países.

Atualmente, a jurisprudência no julgamento de crimes relacionados tem se consolidado no sentido de condenar as empresas ao pagamento de indenizações que equivalem a dez vezes o valor do software pirateado por máquina na qual ele for instalado ou utilizado. Isso pode significar quantias vultosas, uma vez que grandes empresas, por exemplo, possuem um número expressivo de computadores e/ou usuários e caso instalem o software de maneira inadequada em suas máquinas, perceberão uma condenação se multiplicar pelo número de máquinas e usuários.

O uso não autorizado ou não licenciado de software pode representar uma violação do contrato ou dos termos de licenciamento impostos pelo titular dos direitos autorais e de propriedade intelectual nos termos da legislação vigente. Certos tipos de uso não autorizado podem também constituir uma ofensa criminal.

Muitas vezes, o descumprimento dos termos de licenciamento pode acontecer acidentalmente. As fusões e aquisições, mudança das práticas de implantação, a falta de gerenciamento de licenças e simples mal-entendidos sobre os requisitos de licença normalmente causam dúvidas ou preocupações sobre o correto licenciamento. É importante que o usuário tenha conhecimento da condição atual de licenciamento de software na sua empresa e siga as regras de governança corporativa que assegurem o licenciamento correto.

Deve ser ressaltado que a condenação da ABNT foi classificada no mérito como pirataria de software, conforme Acórdão na 9ª Câmara de Direito Privado do Tribunal de Justiça de São Paulo, em 15 de março de 2016, que confirmou, por unanimidade, decisão da 26ª vara cível da capital – SP. Essa decisão foi proferida pelo juiz Cesar Santos Peixoto em 31 de maio de 2010 e publicada no Diário Oficial de 02 de junho de 2010. Conforme ele, houve a utilização indevida, por parte da ABNT, do programa alvo de registro (software da Target para pesquisa, controle e atualização de normas técnicas), conferindo a exclusividade e prioridade.

Igualmente, ocorreu descumprimento, por parte da ABNT, da obrigação contratual convencionada (contrato Target/ABNT para uso do referido software pela ABNT). Aconteceu, também, a violação de senha de segurança de software da Target pela ABNT, apropriação indevida de dados pela ABNT e a utilização pela ABNT de programa de titularidade exclusiva da Target, mediante atualização e armazenamento dos dados.

Dessa forma, houve a condenação da ABNT no pagamento à Target da multa, com juros de mora de 12% ao ano e atualizados pelos índices da tabela judicial a partir de 14/11/2003, mais o preço da participação nos resultados decorrentes da comercialização da licença e do direito de uso (do software da Target ou de qualquer outro software que contenha qualquer parte do referido software), na base de 50% da receita mensal líquida, deduzidos os custos, nos termos da cláusula 8 do contrato (entre Target e ABNT), apuradas em liquidação por perícia contábil, entre 14/11/2003 até a restituição/desinstalação do equipamento, extinguindo o processo com resolução do mérito, art. 269, I, do Código de Processo Civil.

Com relação à possibilidade de a Target comercializar as normas técnicas, a atual diretoria da ABNT volta a trazer informações inverídicas à população, uma vez que a referida ABNT não detém nenhum direito autoral sobre as referidas normas técnicas, que foram declaradas de domínio público pela Justiça.

O acórdão proferido pelo Tribunal Regional Federal da 3ª Região, ao julgar a apelação da ABNT, na ação nº 2006.61.00.010071-0, oriunda da 21ª Vara Federal (1ª Instância), negou provimento e não só manteve intacta a sentença, como determinou, expressamente, que as normas brasileiras não são protegidas por direito autoral e que a ABNT não tem o direito de se apropriar das referidas normas brasileiras.

Inclusive, em relação ao acórdão, a ABNT apresentou dois embargos de declaração que foram rejeitados por unanimidade pela turma julgadora, fato que a ABNT omite do mercado e, ao contrário, induz o recebedor de suas justificações a interpretar que os referidos embargos lhes foram favoráveis. Mais uma mentira desse trio que comanda a ABNT há mais de 14 anos e que não faz outra coisa se não espalhar inverdades e nada faz pela normalização brasileira. Basta o leitor acompanhar isso nos artigos sobre os mandos e desmandos da atual diretoria da ABNT que eu escrevi.

Hayrton Rodrigues do Prado Filho é jornalista profissional, editor da revista digital Banas Qualidade, editor do blog https://qualidadeonline.wordpress.com/ e membro da Academia Brasileira da Qualidade (ABQ)hayrton@hayrtonprado.jor.br

Criptografia das informações: segurança x privacidade

LIVRO

Clique para mais informações

Resultado de imagem para criptografyOnda de ataques cibernéticos reacende discussão sobre a necessidade de acesso a informações criptografadas com o objetivo de investigar e coibir crimes.

A criptografia ou “escrita escondida” permitiu aos usuários de internet maior segurança e privacidade ao navegar pela internet ou trocar mensagens em aplicativos pelo celular. Trata-se de um conjunto de regras que visa codificar a informação de forma que só o emissor e o receptor consiga decifrá-la.

Mas, até que ponto a privacidade dessas mensagens podem afetar nossa segurança? Um exemplo clássico foi o caso Snowden, acusado de espionagem por vazar informações sigilosas de segurança dos Estados Unidos e revelar em detalhes alguns dos programas de vigilância que o país utiliza para analisar usuários da Internet e países da Europa e da América Latina, incluindo o Brasil.

Mais recentemente, após os ataques terroristas em Paris, aparentemente membros do Estado Islâmico utilizaram a internet para arquitetar parte dos atentados. Por outro lado, hackers invadiram milhares de contas de membros do EI no Twitter.

A utilização de ferramentas criptografadas facilitam esse tipo de atitude na internet e também dificultam as investigações para rastreamento da origem dessas mensagens. O especialista em direito digital e sócio do Opice Blum, Bruno, Abrusio e Vainzof, Rony Vainzof, explica que infelizmente criminosos também utilizam ferramentas criptografadas para se comunicar, podendo inviabilizar as investigações.

Por outro lado”, acrescenta ele, “a criptografia é importante para a privacidade daqueles que não querem ser espionados e não são criminosos. É preciso existir um equilíbrio entre a privacidade do usuário e também na segurança, viabilizando as investigações”.

Vainzof conclui dizendo que existem propostas para que tenha um bom senso entre a privacidade e a segurança das informações na internet. Uma delas, discutida nos EUA e em outros países, é a possibilidade de utilizar backdoor, sistema que permite recuperar informações codificadas, mas ainda gera dúvidas sobre a aplicabilidade e o alto custo de implementação. Por isso, é preciso avaliar a inconveniência da criptografia com os benefícios de segurança que ela traz para as comunicações e documentos confidenciais.

Reduzindo a vulnerabilidade das suas senhas conforme a norma técnica

senha

Quer fazer um teste em sua empresa? Determine que os funcionários devem alterar suas senhas a cada 45 dias. Elas vão abrir uma guerra contra os os gestores de segurança da informação, quer apostar? A resistência a mudanças é tão grande que os funcionários sempre vão travar um verdadeiro duelo contra a política de segurança da informação.

É lógico que as empresas não falam sobre isso na campanha de conscientização ou na divulgação da política de segurança da informação, mas a empresa cria a regra sobre alteração de senha para atender aos requisitos de uma auditoria externa. São raríssimos os casos em que a organização define este tipo regra para melhorar a segurança.

Atualmente, há senhas do internet banking, do e-mail pessoal, do corporativo, da rede, da intranet, da rede social, do programa de mensagens instantâneas, cartão do banco, do blog, etc. Para ajudar ainda mais, a organização solicita que você crie uma nova senha complexa. Ou seja, deve contar letras maiúsculas e minúsculas, números e caracteres especiais.

No mundo moderno um problema sério se chama senhas. O maior pesadelo dos usuários – e dos profissionais – de TI. Sua função é que quem está acessando aquele recurso seja, de fato, quem solicitou acesso, mas, na prática, elas se tornam uma tremenda dor de cabeça. Por quê? Porque as pessoas tem aversão a tudo que envolva lembrar, decorar ou, em geral, aprender.

As pessoas não gostam de senhas, e isso se mostra de várias formas. Nos bancos, a maior parte dos atendimentos ocorrem porque um cliente, geralmente idoso, teve seu cartão bloqueado por ter digitado a senha incorreta três vezes. Uma pessoa que usa uma rede social, ao perder sua senha, em geral, ao invés de seguir os procedimentos padrões de recuperação, preferirá criar outro perfil.

Enfim, os problemas de segurança relacionados à senhas (ou à falta delas) são incontáveis e, certamente, não se resolverão da noite para o dia. São o reflexo de uma sociedade alienada vítima de um governo que, ao invés de investir na melhoria da qualidade da educação, prefere abrir cotas para os menos possibilitados de entrar no ensino superior.

A NBR 12896 de 11/1993 – Tecnologia de informação – Gerência de senhas fixa procedimentos a serem adotados para reduzir a vulnerabilidade das senhas nestas circunstâncias. A segurança oferecida por um sistema de senhas depende de estas senhas serem mantidas secretas durante todo o tempo em que estiverem em uso.

Assim, a vulnerabilidade de uma senha ocorre quando ela for utilizada, armazenada ou distribuída. Em um mecanismo de autenticação baseado em senhas, implementado em um Sistema de Processamento Automático de Dados (SPAD), as senhas são vulneráveis devido a cinco características básicas de um sistema de senhas, a saber: uma senha inicial deve ser atribuída a um usuário quando este for cadastrado no SPAD; os usuários devem alterar suas senhas periodicamente; o SPAD deve manter um banco de dados para armazenar as senhas; os usuários devem se lembrar de suas respectivas senhas; e os usuários devem fornecer suas respectivas senhas em tempo de conexão ao SPAD.

Os assuntos tratados nesta norma incluem as responsabilidades do Administrador de Segurança do Sistema (ASS) e dos usuários, a funcionalidade do mecanismo de autenticação, e a geração de senhas. Os aspectos relevantes são: os usuários devem estar aptos a alterar suas respectivas senhas; as senhas devem ser preferencialmente geradas pelo SPAD, em vez de o serem pelo usuário; o SPAD deve fornecer aos usuários informações sobre suas conexões ao ambiente. Por exemplo: data e hora da última conexão.

O ASS é responsável por gerar e atribuir a senha inicial para cada identidade de usuário. A identidade e a senha que lhe foram atribuídas devem, então, ser informadas ao usuário. Para evitar a exposição da senha ao ASS, ou anular uma exposição ocorrida, podem ser utilizados os métodos a seguir.

Evitando a exposição; há métodos que podem ser implementados para evitar a exposição da senha ao ASS, após esta ter sido gerada. Uma técnica é imprimi-la num formulário múltiplo selado, de maneira que não seja visível na página facial do formulário. O ASS deve manter, em local seguro, a guarda do formulário, até que este seja entregue ao usuário.

Neste caso, a senha é gerada aleatoriamente pelo SPAD, não sendo determinada diretamente pelo ASS. O formulário contendo a senha deve estar selado para que esta não seja visível e não possa tornar-se visível, sem a quebra do selo.

Um outro método, para evitar a exposição da senha, é o usuário estar presente no processo de geração desta. Neste caso, o ASS deve iniciar o processo de geração da senha, deixar que somente o usuário tenha acesso a esta e destrua a informação apresentada. Este método não se aplica a usuários em terminais remotos. Qualquer que seja o método utilizado para a distribuição de senhas, o ASS deve ser notificado do recebimento destas, dentro de um período de tempo predeterminado.

Anulando a exposição: quando a senha inicial for exposta ao ASS, esta exposição deve ser anulada por um procedimento normal de troca imediata desta senha pelo usuário, considerando que este procedimento não torne também a nova senha exposta ao ASS. Quando a senha inicial não for protegida de exposição ao ASS, a identidade do usuário deve ser considerada pelo sistema como tendo uma “senha expirada”, a qual requer que o usuário efetue procedimento de troca de senha (ver 4.2.2.3) antes de receber autorização para acessar o sistema.

Atribuição do nível de segurança: quando houver necessidade de compartimentar os direitos de acesso dos usuários, devem ser atribuídos níveis de segurança (por exemplo: “confidencial”, “reservado”, “secreto”) às senhas. A atribuição dos níveis de segurança é feita pelo ASS.

A norma inclui alguns Anexos: Anexo A – Determinação do comprimento da senha; Anexo B – Algoritmo de geração de senhas; Anexo C – Proteção básica para senhas; Anexo D – Algoritmo de cifração de senhas Anexo E – Procedimento para o uso em aplicações muito sensíveis; e Anexo F – Probabilidade de adivinhação de uma senha.

Material escolar: até 47,49% de impostos

A chegada do ano novo traz também a preocupação com a lista do material escolar. Como a educação é um dos itens que mais causam impacto no orçamento familiar, antes de sair às compras, os pais devem pesquisar os melhores preços, visto que  em alguns itens a  carga tributária equivale a quase metade do preço do produto, como a caneta, que tem  47,49% de impostos e a régua com 44,65%.

Em outros itens da lista os impostos também são salgados: o consumidor terá de desembolsado aos cofres públicos, pagando os tributos federais, estaduais e municipais,  em uma cola (42,71%), em um estojo (40,33%), em uma lancheira, (39,74%), no fichário (39,38%) e no papel sulfite (37,77%).

Quanto aos livros didáticos, apesar de  possuírem imunidade de impostos, a incidência de encargos sobre a folha de pagamento e o sobre o lucro da sua venda, faz também com que tragam uma carga tributária de 15,52%.

De acordo com o presidente do IBPT, João Eloi Olenike, “o Brasil é um dos poucos países do mundo que tributam a educação, e esse fator certamente dificulta o acesso dos brasileiros ao conhecimento e à boa formação. Se a tributação incidente sobre os materiais escolares não fosse tão elevada  a educação seria muito mais acessível aos consumidores”.

Publicado o ISO Survey 2014

survey

A ISO publicou o The ISO Survey of Management System Standard Certifications – 2014 que apresenta os resultados da sua pesquisa sobre as diversas certificações em 2014. Este é um estudo anual que mostra o número de certificados emitidos com as normas de sistemas de gestão no ano anterior. Um resumo das estatísticas são mostradas na tabela abaixo.

survey1

Apesar dos esforços para mostrar resultados consistentes, há flutuações no número de certificados de ano para ano, devido a: variabilidade do número de certificados notificados anualmente por organismos de certificação individuais; participação inconsistente de alguns organismos de certificação que contribuem para a pesquisa de um ano para outro; participação de novos organismos de certificação.

Principais tendências

Com 1.609.294 certificados emitidos em todo o mundo em 2014, ligeiramente acima do ano anterior, a última edição demonstrou um crescimento moderado para quase todas as normas de sistemas de gestão ISO abrangidas pela pesquisa, confirmando as tendências observadas ao longo dos últimos dois anos. Esta estabilização do mercado é, no entanto, compensada por três bons desempenhos que exibem um crescimento mais sustentado. Embora menos impressionante do que em anos anteriores, a ISO 50001 para a gestão de energia demonstrou uma taxa de crescimento de 40%, liderada mais uma vez pela Alemanha, responsável por 50% dos 6.778 certificados emitidos.

Da mesma forma, a norma de gestão de alimentos, a ISO 22000, continua a oferecer um desempenho confiável, com uma taxa de crescimento de 14%, enquanto a ISO 16949 para o setor automotivo mostrou uma acelerada progressão com 8%, sinalizando que a recuperação econômica da indústria automobilística está se mantendo.

Com 1% e 7%, respectivamente, as normas ISO 9001 (gestão da qualidade) e ISO 14001 (gestão ambiental) atingiram gradualmente a estabilidade, embora, deve-se frisar que as suas novas edições revisadas em 2015 serão lançadas, que deverá alterar o quadro para o próximo ano.

Finalmente, a grande novidade deste ano é a inclusão de uma norma recém-chegada: a ISO 22301 para a gestão da continuidade dos negócios, sendo que isso é motivado por uma consciência global de que as organizações precisam se proteger contra perturbações em tempos de crise. A certificação nessa norma teve um avanço, ainda pequeno, de 1.700 certificados, mas parece manter com um bom potencial para o futuro. Abaixo um resultado detalhado de cada norma.

ISO 9001 – Sistemas de gestão da qualidade

Como ocorreu no ano passado, essa norma de gestão da qualidade continuou a experimentar um período de calmaria, atingindo um quota de 1% de crescimento em comparação com 2% e 3% nos dois anos anteriores. O crescimento certamente estabilizou desde os tempos de boom, há duas décadas, refletindo a incerteza econômica atual do mundo. Além disso, em países com uma tradição já estabelecida de certificação, muitas das maiores empresas estão certificados e está se certificando com as normas mais específicas. A situação deverá melhorar, no entanto, com a introdução da nova versão da ISO 9001 em 2015.

A certificação ISO 9001 seguiu com as seguintes tendências regionais:

  • A grande surpresa deste ano foi a América do Norte, com um crescimento de 4%, suportado em grande parte pelo México, onde participaram vários novos organismos de certificação na edição de 2014. Por outro lado, o crescimento dos EUA devido a menos certificações este ano.
  • Em 1,9%, a região do Leste da Ásia-Pacífico registrou progressos encorajadores. Notavelmente, a norma teve um desempenho bom na Austrália, com mais certificados do que em 2013. Estas estatísticas positivas foram ligeiramente prejudicadas por uma grande queda no Vietnã devido ao relato de um grande organismo de certificação com menor número de certificados e uma queda nas Filipinas, onde um organismo de certificação foi excluído desta edição da pesquisa porque a sua aprovação foi cancelada.
  • Na América do Sul houve um crescimento negativo (-4,2%), que pode ser em grande parte atribuída a uma queda significativa no Brasil, onde a participação na pesquisa foi menor e um número de organismos de certificação relataram menos certificados.
  • Na Europa, igualmente, houve um diminuição no crescimento das certificações ISO 9001, havendo aumento de apenas 0,2%. Isso pode ser rastreado até um declínio em países como a Grécia, a Alemanha e os Países Baixos, devido a não participação de grandes organismos de certificação na edição deste ano, enquanto a desaceleração no Reino Unido é imputável a um grande organismo de certificação relatando menos certificados. Ainda sofrendo os desdobramentos da crise econômica, o mercado espanhol também se apresentou com voz trêmula este ano, com muitos organismos de certificação relatando menor número de certificados. Na outra extremidade, a Bielorrússia teve um aumento substancial devido a um dos seus principais organismos de certificação acreditados enviando seu relatório pela primeira vez este ano.

ISO 14001 (Sistemas de gestão ambiental)

A ISO 14001 teve, depois do ano passado, um ligeiro revés com uma taxa de crescimento de 7%. O crescimento foi impulsionado pelo Leste da Ásia e América do Norte, apresentando 10% e 14%, respectivamente. O crescimento foi apoiado no Canadá, no México e nos EUA por novos organismos de certificação que entraram na pesquisa, enquanto os organismos existentes nos EUA também relataram significativamente mais certificados. A Austrália experimentou um crescimento exponencial com um importante organismo de certificação relatando mais certificados do que o normal, enquanto o aumento registrado na República Checa e Turquia refletiu, principalmente, a inclusão de certificados anteriormente não declarados. No geral, porém, a China contou com o maior crescimento em números absolutos, com um aumento de 13.023 certificados emitidos.

ISO 50001 (Sistemas de gestão de energia)

Até agora a ISO 50001 ainda teve um bom desempenho em seu terceiro ano na pesquisa, com uma progressão anual de 40% (6.778 certificados emitidos). A Europa concentrou a maior parte do negócio, com uma quota substancial de 80% do mercado. Fiel à forma, a Alemanha detém 50% do total do mundo devido à legislação do país em matéria de energia. Um campeão de crescimento este ano, o Reino Unido ocupou o segundo lugar, muito à frente de outros países, embora com dez vezes menos certificados quando comparado com os certificados na Alemanha.

ISO/IEC 27001 (Sistemas de gestão de segurança da informação)

A norma de segurança da informação experimentou uma ligeira desaceleração, com um modesto crescimento de 7%, desmentindo os resultados promissores de anos anteriores. Como uma empresa inovadora em tecnologia digital, o Japão lidera historicamente a certificação no setor de segurança da informação, embora o Reino Unido também apareça como destaque com o crescimento mais importante em termos absolutos (340 certificados emitidos), resultante de um relatório de um organismo de certificação com mais certificados do que em 2013.

ISO 22000 (Sistemas de gestão de segurança alimentar)

Houve uma diminuição na emissão de certificados quando comparado com o ano passado: um aumento de 14% (ou 30.500 certificados emitidos) em comparação com 20% e 15% de aumento em anos anteriores. Contudo, esse desempenho mostrou-se razoável, já que houve a quebra do número de certificados de 30.000 pela primeira vez. Em particular, a América do Norte experimentou uma taxa de crescimento espetacular de 70%, principalmente nos EUA, onde um novo organismo de certificação se juntou à pesquisa e um dos principais contribuintes existente relataram mais certificados do que o habitual. Na Europa, a Grécia – um dos países que ostentava o maior número de certificados – despencou este ano devido a um organismo de certificação importante não participar do estudo. Por outro lado, uma notável progressão da Austrália pode estar ligada a um contribuinte significativo relatando mais certificados do que o habitual.

ISO/TS 16949 (Sistemas de gestão de qualidade para o setor automobilístico

Com uma saudável progressão de 8% (contra 5% em 2012 e 7% em 2013), a certificação para a indústria automotiva, a norma ISO/TS 16949, revelou uma aceleração do crescimento, confirmando uma tendência que se fez visível nos últimos dois anos. Estes resultados encorajadores são a prova de que a indústria do automóvel está rapidamente recuperando de seus pontos baixos de recessão. O lar de muitos fabricantes de peças de automóveis, a China, liderou o caminho nessa área, seguida, à distância, por parte dos EUA, um sinal de que o mercado de automóveis dos EUA está tendo uma recuperação após a crise de 2008.

ISO 13485 (Sistemas de gestão de qualidade para os dispositivos médicos)

Revelando uma taxa de crescimento de 8% em comparação com os 12% e 15% das pesquisas anteriores, o setor dos dispositivos médicos confirmou a crise que emergiu nos últimos anos. Enquanto a China teve um crescimento notável nesta área, quase dobrando o número de certificação, em termos absolutos, não competiu com os cinco principais países que dominam o mercado. Sobre a tendência do ano passado, a Europa sustentou quase 60% do número total de certificados emitidos devido aos regulamentos restritos que tonrou mandatório a esse tipo de certificação em alguns países.

ISO 22301 (Sistemas de gestão de continuidade de negócios)

Fazendo uma incursão tímida na pesquisa deste ano, a ISO 22301 para a gestão de continuidade de negócios já está mostrando alguma promessa: 1.700 certificados apresentados. No topo ficou a Índia, com quase 30% do número total de certificados, seguida pelo Reino Unido e Japão. No mundo incerto de hoje, as organizações têm uma tendência em se preparar contra os riscos de desastre e assim a ISO 22301 vem ganhando adeptos que querem olhar em frente, havendo um grande potencial no futuro para essa norma.