Seguran\u00e7a \u00e9 algo que todos querem ter, mas ningu\u00e9m quer usar. E este pensamento pode trazer muitos problemas.<\/p>\n
A menos que o prop\u00f3sito de um Sistema seja relacionado a seguran\u00e7a (ex.: firewall, sistema de controle de acesso, etc.), os usu\u00e1rios d\u00e3o pouca aten\u00e7\u00e3o a como a seguran\u00e7a \u00e9 embutida no produto, e como ela \u00e9 testada para assegurar que ela funcionar\u00e1 adequadamente quando necess\u00e1rio. Sistemas cr\u00edticos de um\u00a0avi\u00e3o<\/a>\u00a0e um\u00a0carro<\/a> acessadosatrav\u00e9s de sistemas de entretenimento, devido a implementa\u00e7\u00e3o e verifica\u00e7\u00e3o inadequada da seguran\u00e7a, s\u00e3o dois exemplos divulgados pela m\u00eddia ano passado.<\/p>\n Hoje eu apresentarei a voc\u00ea como a ISO 27001<\/a>\u00a0e\u00a0ISO 27002<\/a>\u00a0podem ajudar a esclarecer que a seguran\u00e7a de um sistema, usado pela pr\u00f3pria organiza\u00e7\u00e3o ou fornecido a clientes como servi\u00e7o, deveria ser levada em conta durante a especifica\u00e7\u00e3o de requisitos e prepara\u00e7\u00e3o de procedimentos de teste.<\/p>\n Um requisito \u00e9 qualquer declara\u00e7\u00e3o elaborada de uma forma que torna poss\u00edvel us\u00e1-lo para avaliar um resultado. Por exemplo, quando voc\u00ea pede por \u201c\u00e1gua gelada\u201d,voc\u00ea declara a subst\u00e2ncia (\u00e1gua) e a temperaturaque voc\u00ea quer (gelada). Quanto mais detalhado o requisito, mais f\u00e1cil \u00e9 verificar os resultados.<\/p>\n Contudo, quanto mais detalhado o requisito, maior o esfor\u00e7o necess\u00e1rio para define-lo e test\u00e1-lo, e algumas vezes este esfor\u00e7o \u00e9 negligenciado para evitar aumentar os custos \u2013 resultando em falta de informa\u00e7\u00f5es necess\u00e1rias para atender ou verificar a solicita\u00e7\u00e3o. No exemplo anterior, qual \u00e9 a quantidade necess\u00e1ria? Como o pagamento ser\u00e1 feito? Como ser\u00e1 demonstrado que a \u201c\u00e1gua gelada\u201d \u00e9 aceit\u00e1vel?<\/p>\n E, se este exemplo simples pode se tornar t\u00e3o complexo, o que falar sobre requisitos de sistemas? A falta de declara\u00e7\u00f5es claras \u00e9 o que leva um produto com desempenho ou seguran\u00e7a deficiente.<\/p>\n O controle<\/a>\u00a0A.14.1.1 (An\u00e1lise e especifica\u00e7\u00e3o de requisitos de seguran\u00e7a) da ISO 27001 declara que requisitos para proteger informa\u00e7\u00f5es deveriam ser inclu\u00eddos nos requisitos para sistemas de informa\u00e7\u00e3o. Um exemplo de um requisito de prote\u00e7\u00e3o \u00e9 o acesso controlado a informa\u00e7\u00e3o, de acordo com o n\u00edvel de libera\u00e7\u00e3o.<\/p>\n Para se obter boas declara\u00e7\u00f5es de requisito a ISO 27002 recomenda:<\/p>\n Ado\u00e7\u00e3o de m\u00e9todos para identificar requisitos:\u00a0<\/em><\/strong>formas sistem\u00e1ticas de identifica\u00e7\u00e3o podem prevenir alguns aspectos de serem esquecidos ou ignorados. Exemplos de m\u00e9todos s\u00e3o avalia\u00e7\u00f5es de pol\u00edticas e regulamenta\u00e7\u00f5es, modelagem e amea\u00e7as ou revis\u00e3o de incidentes.<\/p>\n Revis\u00e3o dos resultados por partes interessadas:\u00a0<\/em><\/strong>quem melhor para avaliar requisitos documentados<\/a>\u00a0do que as pessoas que usar\u00e3o o produto? Escolha pessoas em v\u00e1rios pap\u00e9is envolvidos (ex.: usu\u00e1rios finais, clientes, administradores de sistema, etc.).<\/p>\n Avalia\u00e7\u00e3o de requisitos de acordo com o valor da informa\u00e7\u00e3o para o neg\u00f3cio:\u00a0<\/em><\/strong>seguran\u00e7a adequada reflete o valor que a informa\u00e7\u00e3o \/ sistematem para o neg\u00f3cio. Assim, requisitos deveriam ser priorizados de acordo com os prop\u00f3sitos de neg\u00f3cio que eles est\u00e3o destinados a proteger.<\/p>\n Integra\u00e7\u00e3o da gest\u00e3o de <\/em><\/strong>requisitos<\/a>\u00a0<\/em><\/strong>nos est\u00e1gios iniciais de um projeto:\u00a0<\/em><\/strong>quanto mais cedo a seguran\u00e7a \u00e9 considerada, mais op\u00e7\u00f5es estar\u00e3o dispon\u00edveis para tratar situa\u00e7\u00f5es de riscos. Pense sobre pol\u00edticas<\/a>\u00a0e o pr\u00f3prio processo de desenvolvimento de projetos.<\/p>\n Defini\u00e7\u00e3o de crit\u00e9rios para aceita\u00e7\u00e3o de produto:\u00a0<\/em><\/strong>em algum momento voc\u00ea deve mostrar que o que foi proposto para o Sistema pode ser realmente feito, e que os procedimentos estabelecidos foram corretamente seguidos. E como voc\u00ea pode fazer isso? A principal recomenda\u00e7\u00e3o do controle 14.2.9 \u2013 Teste de aceita\u00e7\u00e3o de sistemas da ISO 27002,\u00e9 definir par\u00e2metros e resultados claros a serem atingidos. Estas s\u00e3o as bases para o desenvolvimento de procedimentos e rotinas de teste, detalhados na pr\u00f3xima se\u00e7\u00e3o.<\/p>\n Uma defini\u00e7\u00e3o clara sobre o que<\/em>voc\u00ea deveria esperar como resultado, voc\u00ea deveria considerar como<\/em>assegurar que seu sistema est\u00e1 em conformidade com os requisitos. De acordo com a ISO 27001, voc\u00ea pode usar o controle A.14.2.8 (Teste de seguran\u00e7a de sistemas) para elaborar atividades sistem\u00e1ticas para assegurar o atingimento de crit\u00e9rios de aceita\u00e7\u00e3o previamente definidos. Mais detalhes podem ser encontrados na ISO 27002, que recomenda:<\/p>\n Estabelecimento de condi\u00e7\u00f5es que requerem um teste:<\/em><\/strong> novos sistemas s\u00e3o uma condi\u00e7\u00e3o \u00f3bvia, mas voc\u00ea deveria considerar tamb\u00e9m sistemas atualizados, novas vers\u00f5es e componentes, uma vez que funcionalidades novas ou alteradas podem trazer riscos ao Sistema e ao ambiente.<\/p>\n Estabelecimento de rotinas sistem\u00e1ticas de teste:<\/em><\/strong> considereuma rotina de atividades a serem realizadas, com suas respectivas entradas e sa\u00eddas. Desta forma voc\u00ea pode assegurar que um teste pode ser repetido e erros facilmente encontrados.<\/p>\n Use m\u00faltiplos n\u00edveis de teste:\u00a0<\/em><\/strong>os primeiros testes deveriam ser realizados pela equipe de desenvolvimento, para verificar os requisitos mais b\u00e1sicos de opera\u00e7\u00e3o, e rapidamente corrigir erros de c\u00f3digo simples. Para definir a garantia da seguran\u00e7a (que o sistema trabalha como esperado e apenas como esperado), testes independentes deveriam ser realizados.<\/p>\n Testes em ambiente real\u00edstico:\u00a0<\/em><\/strong>quanto mais similar ao ambiente de produ\u00e7\u00e3o, melhor para a identifica\u00e7\u00e3o de vulnerabilidades e confiabilidade do teste. Este item pode ser cr\u00edtico quando os testes envolvem o uso de bases de dados, uma vez que dados reais em teste podem adicionar riscos por si s\u00f3 n\u00e3o relacionados ao produto. Para minimizar isso, considereas recomenda\u00e7\u00f5es do controle 14.3.1 (Prote\u00e7\u00e3o de dados de teste), evitando o uso de Informa\u00e7\u00f5es de Identifica\u00e7\u00e3o Pessoal (Personally Identifiable Information – PII), ou usando controles espec\u00edficos no processo de desenvolvimento para controlar de forma r\u00edgida o acesso a tais bases de dados.<\/p>\n Note que os controles A.14.2.8 e A.14.2.9 diferem entre si pelo fato de que o controle A.14.2.8 cobre a necessidade de testes de seguran\u00e7a, enquanto que o controle A.14.2.9 cobre quais resultados os testes deveriam atingir para um sistema ser aceito.<\/p>\n Riscos v\u00eam de incertezas. Todas as vezes que voc\u00ea elabora um requisito sem considerar todos os elementos relevantes e partes interessadas, voc\u00ea adiciona, at\u00e9 de forma desnecess\u00e1ria, mais incertezas e riscos<\/a>\u00a0ao seu neg\u00f3cio. Evite isso pelo uso de pr\u00e1ticas sistem\u00e1ticas e realiza\u00e7\u00e3o de testes para assegurar que os resultados s\u00e3o o que voc\u00ea planejou. Os benef\u00edcios vir\u00e3o na forma de menos incidentes e melhor desempenho.<\/p>\n Para saber mais sobre a ISO 27001, incluindo todos os requisiots e melhores pr\u00e1ticas para conformidade, assista gratuitamente o<\/em>\u00a0\u00a0ISO 27001 Foundations Online Course<\/a>.<\/em><\/p>\nO que \u00e9 um requisito? E por que eu deveria me importar?<\/h2>\n
Como especificar requisitos de seguran\u00e7a<\/h2>\n
Teste de requisitos<\/h2>\n
Boa seguran\u00e7a = requisitos claros + testes apropriados<\/h2>\n