Page 43

Segurança física e segurança lógica. TEXTO Miguel Brown Associação Portuguesa para a Promoção da Segurança da Informação — APPSI

A palavra segurança é provavelmente das palavras mais abrangentes, podendo ser-lhe atribuída uma multiplicidade de significados como segurança nacional, segurança comunitária, segurança pública, segurança doméstica, segurança no trabalho, segurança privada, segurança informática e segurança de informação, para citar alguns exemplos. Todos os exemplos acima retratam casos particulares da segurança que são endereçados de forma específica mas, no essencial e de uma forma global, a segurança pode ser dividida em duas grandes áreas, a segurança física e a segurança lógica. A segurança física abrange a proteção de pessoas e bens através de controles físicos que limitem o contacto ou o acesso, enquanto a segurança lógica foca-se na proteção da informação digital e dos sistemas de informação. Apesar de hoje ainda muitas organizações trabalharem com a segurança física e a segurança lógica completamente separadas, inclusivamente geridas por diferentes direções, tudo indica que com o uso generalizado das novas tecnologias será cada vez menor e menos perceptível, esta separação entre a segurança física e a segurança lógica. Em termos funcionais muitos sistemas associados à segurança física, como a videovigilância e o controlo de acessos, já assentam sobre uma infraestrutura IP, o que na maior parte dos casos significa apenas que está a ser usada uma cablagem estruturada de cat.5 ou superior para transporte dos dados. E é aqui que a interação entre as duas seguranças começa a fazer sentido. A segurança lógica pode analisar e controlar o tráfego que passa nesse troço

de rede, inclusivamente isolá-lo do restante tráfego garantindo que os pacotes IP que vêm, por exemplo de um sistema de controlo de acessos, não podem ser lidos por terceiros e colocar em causa o sistema em si. Para os profissionais da segurança lógica a componente física também é essencial e, por norma, deve ser implementada primeiro. Vejamos como exemplo um datacenter onde estão diversos equipamentos essenciais ao funcionamento da empresa como servidores, firewalls, switchs, routers entre outros. Nestes casos deverá haver obrigatoriamente condições de restringir, controlar e monitorizar o acesso físico ao datacenter, mas, complementarmente, devemos ter também todo um sistema de segurança ambiental que inclua um sistema de alarme contra incêndios e respetivos meios de combate, sensores para deteção de água, controle das condições de temperatura e humidade da sala, entre outros. Alguns analistas de segurança têm a dúvida se devem proteger a componente física ou lógica, mas na maioria dos casos a resposta está em ambos, porque uma convergência entre os métodos físicos e lógicos vai sem dúvida proporcionar uma maior segurança dentro das organizações. No entanto, a convergência é mais do que a simples integração entre a segurança física e a segurança lógica. Todos sabemos que um dos métodos para ajudar uma organização a subir o seu nível de segurança pode passar por os colaboradores terem de providenciar dois dos 3 fatores de autenticação abaixo descritos: — Algo que possui – um token ou um cartão do tipo smart card; — Algo que sabe – uma palavra passe ou um PIN; proteger  ABRIL | JUNHO 2016

— Algo que é – os seus dados biométricos. Usando como exemplo uma organização que implementa um sistema integrado de controlo de acesso usando cartões do tipo contactless smart cards, esta organização não está apenas a simplificar o processo de segurança ao fornecer somente um objeto como método de autenticação aos seus colaboradores mas, está também a melhorar o seu controle sobre a segurança em si. Pode usar essa tecnologia para permitir o acesso dos colaboradores apenas a determinadas zonas da empresa conforme o perfil de cada um e obrigar simultaneamente a outro fator de autenticação como um PIN ou dados biométricos em zonas de maior restrição. Também pode, e deve, servir como um dos métodos de autenticação no sistema informático da empresa, obrigando o colaborador a usar simultaneamente o cartão e outro fator de autenticação como por exemplo uma palavra-passe, quando se autentica no seu computador. Se o mesmo cartão permitir o uso de certificados digitais, então também pode ser usado para permitir aos colaboradores um acesso remoto seguro por VPN aos sistemas da empresa ou assinar digitalmente o e-mail. Mas uma correta integração também deve garantir que os dados do sistema de controlo de acessos estejam separados do restante tráfego na rede e que não possam ser facilmente acedidos por quem não tenha necessidade de negócio para o fazer. Este tipo de sistemas proporcionam uma maior e mais efetiva rastreabilidade dos colaboradores e seus acessos, ao permitir que saibamos quais as portas onde o 41.

PROTEGER #26  

Abril / Junho

Read more
Read more
Similar to
Popular now
Just for you