Rhand Leal O controle de acesso é um dos pilares da segurança. Se você não controla quem acessa o quê, você não pode garantir a segurança de nada. Por conta disso, o controle de acesso permanece no foco principal de equipes de segurança e de malfeitores.
Hoje, o simples uso de senhas, tokens, ou biometria não é suficiente para prevenir o acesso não autorizado. A complexidade dos ataques e o valor dos ativos requerem mais, assim, as organizações estão se voltando para autenticação por múltiplos fatores, especialmente a autenticação por dois fatores.
Mas, enquanto isto representa uma clara melhoria de segurança, como ela se encaixa nas estruturas de segurança já existentes? Este artigo apresentará quais controles da ISO 27001 podem se beneficiar da adoção de controles de acesso com autenticação por dois fatores.
O papel da autenticação no controle de acesso, e a definição de autenticação por dois fatores
Primeiro de tudo, deve ser entendido que um processo de controle de acesso robusto é composto destes três conceitos (realizados exatamente nesta sequência):
Identificação: métodos para prover um sujeito (entidade que solicita acessos) com uma identidade reconhecível (e.g., conta de usuário, VAT, número de seguro social, passaporte, etc.).
Autenticação: métodos para assegurar que um sujeito é quem ele diz ser (e.g., senha, token, impressão digital, etc.).
Autorização: métodos para controlar quais ações um sujeito pode realizar em um objeto (entidade que está sendo acessada) (e.g., lista de permissões do sujeito e lista de permissões do objeto).
Com relação aos métodos de autenticação, os seguintes conceitos (ou fatores) podem ser usados, separadamente ou em combinação:
- Algo que o sujeito sabe: e.g., senhas e PINs. Este é o menos oneroso para se implementar, e o menos seguro.
- Algo que o sujeito possui: e.g., smart cards, tokens, chaves, etc. Caro, mas seguro.
- Algo que um sujeito é: e.g., padrões de voz, retina, impressão digital, etc. Este é o método mais oneroso de se implementar, e o mais seguro.
Assim, ao se falar de autenticação por dois fatores, queremos dizer usar quaisquer dois destes três conceitos em conjunto para assegurar que um sujeito é quem ele diz ser.
É importante notar que quando um dispositivo prove informação que o usuário deve inserir por ele mesmo como parte do processo de autenticação (e.g., um token que dá ao usuário um número aleatório para ser usado como uma senha de uso único), isto não é considerado algo que você possui. Esta situação é considerada uma autenticação por conhecimento em duas etapas em nosso exemplo, a senha conhecida pelo usuário é uma etapa e o número aleatório provido pelo token ao usuário é a outra). Para ser considerado algo que o usuário possui, o próprio dispositivo deve prover a informação de autenticação durante a etapa de autenticação (e.g., o smart card deve estar inserido no leitor de cartão do vendedor para fornecer seu código de autenticação para validar uma transação física).
Por que usar autenticação por dois fatores?
Contar somente com um fator de autenticação deixa sua solução com um ponto único de falha, no sentido de que se o conhecimento, dispositivo, ou padrão biométrico é comprometido, qualquer um que o tenha pode se passar pelo usuário. Pense sobre estas situações:
- Usuários descuidados compartilham senhas, as escrevem em locais fáceis de se encontrar, ou as revelam por meios de engenharia social;
- Smart cards, tokens, chaves e similares podem ser roubados ou perdidos;
- Padrões biométricos podem ser reproduzidos por diferentes tipos de tecnologias (desde gravadores de áudio e vídeo de alta-definição, até dedos de silicone).
Ao fazer uso de autenticação pode dois fatores, você cria uma camada adicional de proteção contra qualquer um buscando obter acesso não autorizado, porque mesmo que um criminoso comprometa a informação de um fator, ela será inútil sem a informação do segundo fator de autenticação.
A seleção de um par apropriado de fatores de autenticação a serem usados dependerá dos resultados de avaliações de risco, o nível de segurança desejado, custos de implementação, e recursos disponíveis. Os mais comumente usados são uma combinação do que você sabe e de alguma coisa que você possui (e.g., senhas e smart cards).
Autenticação por dois fatores aplicada aos controles ISO 27001
Embora os controles da ISO 27001 descritos no Anexo A basicamente se refiram a informação secreta (i.e., senhas, ou códigos de autenticação produzidos por smart cards) como um meio de autenticação, a ISO 27002, que detalha as recomendações para controles da ISO 27001, recomenda o uso de práticas de autenticação em muitos outros controles, com objetivo de torna-los mais robustos e aumentar a eficácia deles em proteger a informação. Estes são aqueles que você pode fazer uso da autenticação por dois fatores:
| Controles de segurança | Justificativa |
| A.9.1.1 – Política de controle de acesso A.10.1.1 – Política para o uso de controles criptográficos A.11.2.9 – Política de mesa limpa e tela limpa A.14.1.1 – Análise e especificação de requisitos de segurança da informação A.14.1.2 – Serviços de aplicação seguros em redes públicas A.14.1.3 – Protegendo transações nos aplicativos de serviço A.14.2.5 – Princípios para projetar sistemas seguros |
Políticas e processos que direcionam a necessidade da aplicação de dois fatores de acordo com os requisitos de negócio. Aqui você pode definir a combinação de fatores mais adequados para sua organização. |
| A.9.1.2 – Acesso às redes e serviços de redes A.13.1.2 – Segurança dos serviços de rede A.13.1.3 – Segregação de redes A.13.2.3 – Mensagens eletrônicas |
A autenticação por dois fatores pode ser aplicada para assegurar acesso seguro aos serviços de rede mais sensíveis (e.g., pagamento de cartão de crédito online). Adicionalmente a autenticação de usuário, você pode considerar a autenticação de dispositivos de rede. |
| A.9.4.2 – Procedimentos seguros de entrada no sistema (log-on) A.9.4.4 – Uso de programas utilitários privilegiados |
A autenticação por dois fatores pode ser aplicada para assegurar acesso seguro aos sistemas de informação, aplicações e programas mais sensíveis, (e.g., sistemas de pesquisa e desenvolvimento e aplicações de segurança). |
| A.11.1.2 – Controles de entrada física | A autenticação por dois fatores pode ser aplicada para assegurar acesso seguro às áreas e instalações mais sensíveis (e.g., datacenters). |
Não evoluir é a primeira etapa em direção a problemas de segurança
À medida que as soluções de segurança se tornam mais fortes em todas as áreas (e.g., códigos, protocolos e infraestrutura mais segura, etc.), criminosos trabalham com mais afinco para comprometer acessos válidos para explorar os ativos de uma organização, e práticas de controle de acesso tradicionais não são capazes de manter níveis de segurança apropriados.
Autenticação por múltiplos fatores – e por dois fatores neste momento – é o próximo passo lógico para manter os níveis de segurança, e ao associar esta prática com controles e recomendações da série ISO 27001, uma organização pode manter suas informações e sistemas longe de pessoas não autorizadas enquanto mantem a conformidade com os requisitos da norma.
Para aprender mais sobre controles de acesso de acordo com a ISO 27001, tente nosso treinamento online gratuito: ISO 27001:2013 Foundations Course.
