Rhand Leal Pense sobre uma casa, ou escritório, com apenas um grande espaço onde você pode organizar todas as suas preciosas e amadas coisas da forma que você acha mais apropriada. Tentador, não é? A flexibilidade para usar o espaço e a facilidade de ver tudo de imediato parece ser um grande negócio. Agora, imagine esta casa, ou escritório, sendo arrombado. E agora, como ficam suas preciosas e amadas coisas?
Esta situação é muito similar a muitas implementações de rede feitas em todo o mundo. Ao buscar por um gerenciamento fácil e descomplicado, ou por falta de conhecimento, muitas organizações acabam com centenas, ou milhares, de equipamentos conectados em uma única rede gigante. Além de problemas de desempenho, este tipo de situação pode trazer devastação em caso de um ataque ou erro não intencional.
A gestão da segurança de rede, uma das principais categorias da ISO 27001, declara como seu objetivo “assegurar a proteção da informação em redes e dos recursos de processamento da informação que as apoiam”. Para atingir o objetivo declarado, um dos controles propostos é o A.13.1.3 – Segregação de redes, e neste artigo revisaremos suas recomendações detalhadas na ISO 27002.
O que é segregação de rede?
Segregação de rede é o ato de dividir uma rede em partes menores chamadas sub redes ou segmentos de rede. É um outro bom exemplo da aplicação da estratégia “Dividir e Conquistar” vista no artigo Gestão de projetos ISO 27001: Implementando controles de segurança complexos usando Estrutura Analítica de Projeto (EAP).
Revendo o exemplo da casa / escritório, você pode pensar na segregação como cômodos tais como sala de estar, sala de jantar, sala de reunião, arquivo, etc. A coisa mais importante aqui e pensar sobre espaços reservados para propósitos específicos.
Benefícios e necessidades na segregação de redes
Quando você segrega uma rede, você pode atingir os seguintes benefícios:
Melhoria de desempenho: com menos equipamentos por sub rede, há menos tráfego de sinalização, e mais largura de banda pode ser usada para comunicação de dados.
Melhoria da segurança: com menos tráfego de sinalização passando por todos os segmentos de rede, é mais difícil para um atacante mapear a estrutura da rede, falhas em um segmento são menos prováveis de se propagar, e um melhor controle de acesso pode ser estabelecido considerando o acesso de visitantes ou acesso a informações / ativos sensíveis.
Por outro lado, o esforço de segregação requer:
Conhecimento especializado: redes podem abrigar centenas de dispositivos, com organizações definindo políticas complexas com dúzias de regras, assim a equipe de rede deve ser adequadamente educada e treinada para assegurar que a segmentação de rede mantenha o negócio funcionando de forma segura e em conformidade.
Esforço administrativo: mudanças na infraestrutura, como novas aplicações de negócio e novas tecnologias, podem multiplicar o tempo requerido para fazer mudanças adequadas e assegurar a integridade dos segmentos de rede.
Investimentos em equipamento / software: a segregação talvez requeira mais equipamentos, novos equipamentos com funcionalidades avançadas, ou software específico para lidar com múltiplos segmentos, e estes requisitos deveriam ser considerados durante o planejamento do orçamento.
O controle A.13.1.3 da ISO 27001 e recomendações da ISO 27002 para implementação de segregação de rede
O controle A.13.1.3 – Segregação de networks, declara que grupos de serviços de informação, usuários e sistemas de informação deveriam ser segregados em redes. A ISO 27002, que prove orientações para a implementação dos controles da ISO 27001, faz as seguintes recomendações:
- Divida grandes redes em domínios de rede separados (segmentos).
- Considere segregação física e lógica.
- Defina perímetros de domínio.
- Defina regras de tráfego entre domínios.
- Use tecnologias de autenticação, encriptação e controle de acesso em nível de usuário.
- Considere a integração da rede e de segmentos da organização com aquelas de parceiros de negócio.
Para atender a estas recomendações, você pode considere o seguinte:
Segmentação baseada em critérios: Regras pré-definidas para estabelecer perímetros e criar novos segmentos pode reduzir futuros esforços administrativos. Exemplos de critérios são nível de confiança (ex.: segmento para o público externo, segmento para a equipe, segmento para bases de dados, segmento para fornecedores, etc.), unidade organizacional (ex.: RH, Vendas, Serviço ao Cliente, etc.), e combinações (ex.: acesso ao público externo para Vendas e Serviços ao Cliente).
Uso de segmentação física e lógica: Dependendo do nível de risco indicado na avaliação de riscos, pode ser necessário usar infraestruturas fisicamente separadas para proteger informações e ativos da organização (ex.: dados ultra secretos fluindo através de fibras óticas dedicadas a equipe de gestão), ou você pode usar soluções baseadas em segmentação lógica como Redes Provadas Virtuais (Virtual Private Network – VPN).
Regras de acesso para o fluxo de tráfego: O tráfego entre segmentos, incluindo aqueles de partes externas autorizadas, deveria ser controlado de acordo com as necessidades de transmissão/recepção de informações. Pontos de acesso, como firewalls e roteadores, deveriam ser configurados com base na classificação da informação e avaliação de riscos. Um caso específico de controle de acesso se aplica a redes sem fio, uma vez que elas possuem uma fraca definição de perímetro. A recomendação é tratar a comunicação sem fio como uma conexão externa até que o tráfego possa alcançar um ponto de acesso cabeado adequado antes de garantir acesso a segmentos da rede interna.
Uma rede para governar todas? Pense de novo.
Redes únicas para negócios iniciando ou pequenos pode parecer um bom negócio, e em muitos casos, elas são. Elas são fáceis de gerenciar e economizam dinheiro necessário para manter o negócio funcionando. Contudo, você deve pensar como um gestor estratégico, e se diferenciar de gestores medianos, pensando a frente, e estar preparado para evoluir sua rede quando ela começar a representar um obstáculo ao negócio.
Você não precisa implementar segregação de redes no início do seu novo negócio, mas se você acredita que seu negócio será um sucesso, você deve estar preparado.
Para saber mais sobre as recomendações sobre o que você precisa considerar ao implementar ou revisar os controles de segurança, consulte este ISO 27001 Lead Implementer Online Course.
Nós agradecemos a Rhand Leal pela tradução para o português.
