Prevenção e gerenciamento de políticas de segurança Flashcards
Qual é a responsabilidade da prevenção e gerenciamento de políticas de segurança?
É responsável pelas ações de prevenção, onde também se faz a arquitetura de cyber security e onde se institui práticas de segurança, conformidade com regulamentações, normativas e leis. Ficam aqui os head teams que simulam ataques e avaliam as políticas de segurança.
O que são as políticas de segurança da informação(PSI) e conformidade?
São os documentos que definem regras e padrões para proteger a informação e os negócios da empresa. A conformidade são práticas que devem ser seguidas e são exigidas pelo mercado de atuação da empresa.
Cite alguns exemplos de PSI.
Empresa pode ter uma PSI visando um desenvolvimento seguro de sistemas;
PSI para proteção de senhas, revogando compartilhamento de senhas na empresa;
PSI que endereça as diretrizes de rotina de backups.
Em que cenários os PSIs podem ser usados?
PSIs são voltadas para atender as certificações que uma empresa possui como ISO27001 e também as regulamentações do mercado.
Uma PSI pode ser endereçada a evitar negligencias no comportamento do sistemas operacionais.
A PSI pode ser usada para direcionar auditorias internar em cada área de uma empresa.
Cite algumas dicas de segurança pessoal.
1 - Não usar a mesma senha para vários sites;
2 - Verificar o indicativo de cadeado do navegador;
3 - Usar cartão virtual em compras online;
4 - Usar gerenciadores de senhas e cofres criptografados, como o LastPass.
5 - Criptografar arquivos sensíveis em caso de roubo de disco, como o Veracript.
6 - Usar o HTTPS Everywhere, para forçar o uso do protocolo HTTPs.
7 - Usar o 4Devs para gerar N° de documentos para usar em sites não confiáveis;
8 - Uso de VPN que permite criptografar dados em trânsido, ideal para usar em redes públicas;
9 - Usar o Ghostery para bloquear reastreadores de navegação e anuncios.
10 - Usar o FoxyProxy para mascarar o IP de navegadoção.
11 - Utilizar o site haveibeenpwned.com para verificar se seu e-mail foi vitimado por vazamentos.
Quais as melhores soluções para fazer inspeção de segurança em cloud?
AWS well-archtected program: Analisa aspectos de arquitetura, como confiabilidade, integridade, proteção de sistema, etc;
AWS Audit Manager: Verifica a conformidade com as regulamentações que você segue.
AWS Inspector: Faz um scan de vulnerabilidade.
CleanCloud: Verifica se você está em conformidade com a LGPD.
Cloud Security Alliance: Framework para computação em nuvem com 17 domínios e 197 controle onde mostra de quem é a responsabilidade por cada controle do CSP ou do consumidor.
O que são Penetration tests/Pentests?
É uma forma de de simular um ataque na tentativa de ultrapassar a barreira de proteção da empresa.
Quais são os tipos de pentests:
Blackbox: O atacante não recebe nenhuma informação.
Whitebox: O atacante recebe todas as informações da empresa, como credenciais e endereços IPs.
Greybox: O atacante tem um pouco de informação, como alguns endereços de sistemas.
O que é a avaliação de vulnerabilidade ?
É uma prática cíclica de descobrir, classificar, priorizar e mitigar vulnerabilidades de softwares.
Como a avaliação de vulnerabilidade funciona?
O processo é feito com a ajuda de um software que escaneia a rede ou boletins ou bases públicas informando sobre vulnerabilidades encontradas. Um relatório é gerado informando o que foi encontrado e como resolver.
Como a resolução pode ser feita?
A resolução pode ser feita com aplicação de patches de correção, ajuste na configuração, atualização da versão, ajuste na PSI ou reeducação.
O processo de pentests explora as vulnerabilidades encontradas em um ambiente.
O processo de gerenciamento de patches ajuda a identificar e tratar as vulnerabilidades encontradas.
O que é governança em segurança da informação
É a área que controla, organiza e direciona como será feita a abordagem de segurança da informação. Demonstra quais os riscos atuais que a empresa possui proteção e quais ainda não possui.
Quais são suas responsabilidades?
Essa área toma as decisões de alto nível, por exemplo o uso do framework a ser usado. O C level define o que será feito e a equipe técnica executa.
A área mantem um comité periódico para apresentar os KPIs, acontecimentos relevantes e gaps identificados. Esse comité é composto pela liderança sênior da área de cyber security.
Garante a conformidade com as regras e regulamentos regulatórios.
