Sebenta · Implementar e gerir a segurança da informação (UC03816)

Introdução

Esta sebenta ensina a proteger a informação de uma organização — dos princípios até às medidas concretas. Vais perceber contra o quê nos defendemos (ameaças, vulnerabilidades, malware, engenharia social), com que ferramentas (criptografia, autenticação, gestão de acessos, segurança de rede) e como se gere a segurança de forma organizada (políticas, avaliação de risco, auditorias, backups e resposta a incidentes).

Uma ideia atravessa tudo: segurança não é só tecnologia, é a combinação de pessoas, processos e tecnologia. A maioria dos incidentes reais não explora falhas sofisticadas — explora passwords fracas, software desatualizado e pessoas enganadas. Por isso, mais do que decorar ferramentas, vais aprender a pensar em risco.

Objetivos (referencial): implementar uma infraestrutura de gestão de identidade e acesso; implementar políticas de segurança da informação; realizar avaliações de risco e auditorias de segurança; e criar um plano de resposta a incidentes.

1. Fundamentos: a tríade CIA

O objetivo de toda a segurança da informação resume-se a três propriedades, a tríade CIA:

• Confidencialidade — só quem está autorizado acede à informação. Viola-se com uma fuga de dados.
• Integridade — a informação não é alterada indevidamente. Viola-se com adulteração.
• Disponibilidade — a informação está acessível quando é precisa. Viola-se com um ataque de negação de serviço (DDoS) ou uma avaria sem backup.

Sempre que decides uma medida de segurança, ela serve pelo menos uma destas três propriedades. Guardar isto ajuda a justificar cada escolha.

2. Ameaças, vulnerabilidades e risco

Três conceitos que se confundem, mas são distintos:

• Ameaça — algo que pode causar dano (um atacante, um vírus, uma inundação).
• Vulnerabilidade — uma fraqueza que a ameaça explora (password fraca, software por atualizar).
• Risco — a combinação: probabilidade × impacto de a ameaça explorar a vulnerabilidade.

Não se eliminam as ameaças (existem sempre); reduzem-se as vulnerabilidades e mitiga-se o risco. As vulnerabilidades mais comuns — e mais exploradas — são: palavras-passe fracas ou reutilizadas, software desatualizado, configurações por omissão (admin/admin), falta de backups e utilizadores sem formação.

3. Malware e engenharia social

Malware

Malware é software malicioso. Os principais tipos:

Defesas: antivírus atualizado, atualizações do sistema, mínimo privilégio (para o malware fazer menos estrago) e backups (a única defesa fiável contra ransomware — se tens cópia, não pagas resgate).

Engenharia social

É o ataque à pessoa, não à máquina — e é o vetor de ataque número um. Formas:

• Phishing — email ou SMS falso que engana a vítima para clicar num link ou revelar dados.
• Pretexting — inventar um pretexto credível ("sou do departamento de informática, preciso da tua password").
• Baiting — deixar um isco (uma pen USB "esquecida") para a vítima ligar ao computador.

A defesa é humana: desconfiar, verificar o remetente, nunca dar credenciais por email/telefone, e formar as pessoas. Nenhuma tecnologia protege contra um utilizador que entrega a password.

4. Criptografia

Cifrar é transformar dados legíveis (texto simples) em ilegíveis (texto cifrado) usando uma chave e um algoritmo. Só quem tem a chave decifra. A criptografia garante sobretudo a confidencialidade e, com hashing e assinaturas, também a integridade e a autenticidade.

Simétrica vs assimétrica

Na prática combinam-se: a criptografia assimétrica troca em segurança uma chave simétrica, que depois cifra rapidamente o resto da comunicação. É exatamente isto que acontece quando abres um site em HTTPS.

Hash, assinaturas e certificados

• Hash — uma "impressão digital" de um dado (ex.: SHA-256). Se o dado mudar, o hash muda — por isso deteta alterações (integridade). As palavras-passe guardam-se como hash (com salt), nunca em texto.
• Assinatura digital — cifra o hash com a chave privada; prova quem assinou e que nada foi alterado.
• Certificado digital — associa uma chave pública a uma identidade, validado por uma Autoridade de Certificação (CA). É a base do HTTPS: o cadeado do browser diz que o certificado do site é válido.

5. Autenticação e palavras-passe

Autenticar é provar quem se é. Há três fatores:

1. Algo que sabes — password, PIN.
2. Algo que tens — telemóvel, token físico, cartão.
3. Algo que és — biometria (impressão digital, rosto).

A autenticação multifator (MFA/2FA) combina dois ou mais fatores. É a medida com melhor retorno: mesmo que roubem a password, o atacante não tem o segundo fator.

Boas práticas de palavras-passe:

• Longas (12+ caracteres) — uma frase-passe é melhor e mais fácil de lembrar que uma palavra complexa.
• Únicas por serviço — nunca reutilizar (uma fuga num site compromete todos).
• Usar um gestor de palavras-passe (Bitwarden, KeePass).
• Ativar MFA sempre que possível.

Do lado do sistema: guardar sempre com hash + salt, nunca em texto simples.

6. Gestão de identidade e acessos (IAM)

Segurança de acessos = controlar quem acede a quê. Combina:

• Autenticação (quem és) + autorização (o que podes fazer).
• Princípio do mínimo privilégio — cada pessoa/serviço recebe só o acesso necessário.
• RBAC (Role-Based Access Control) — dar permissões por perfil/função (ex.: "contabilidade"), não pessoa a pessoa.
• Rever os acessos periodicamente e remover contas quando alguém sai da organização.

Uma infraestrutura de IAM mal gerida (contas antigas ativas, admins a mais, sem MFA) é uma das maiores portas de entrada.

7. Segurança de rede

A rede é o caminho por onde os ataques chegam. Tecnologias:

• Firewall — filtra o tráfego entre redes, permitindo só o autorizado.
• IDS / IPS — sistemas de deteção (IDS: alerta) e de prevenção (IPS: bloqueia) de intrusões.
• VPN — cria um túnel cifrado para aceder à rede da empresa em segurança, típico no teletrabalho.
• Segmentação — separar redes (a rede de visitantes não deve tocar nos servidores).

Boas práticas: Wi-Fi com WPA2/WPA3 e password forte; rede de visitantes isolada; trocar as credenciais por omissão dos equipamentos; HTTPS em tudo; atualizar o firmware. O modelo moderno é o de confiança zero — não confiar em nada só por estar "dentro da rede"; verificar sempre.

8. Gerir a segurança — políticas e norma

A segurança tem de ser gerida, não improvisada:

• Política de Segurança da Informação (PSI) — o documento que define as regras, responsabilidades e comportamentos esperados de todos.
• Políticas específicas: de palavras-passe, de uso aceitável, de backups, de teletrabalho.
• ISO/IEC 27001 — a norma internacional para um Sistema de Gestão de Segurança da Informação (SGSI): trata a segurança como um processo contínuo de melhoria (planear → fazer → verificar → agir), não como uma reação a incidentes.

Sem políticas escritas, cada um decide à sua maneira — e a segurança é tão forte como o elo mais fraco.

9. Avaliação de risco e auditorias

A avaliação de risco é o coração da gestão de segurança:

1. Identificar os ativos (o que se protege) e o seu valor.
2. Identificar ameaças e vulnerabilidades.
3. Classificar cada risco por probabilidade × impacto.
4. Decidir o tratamento: mitigar (controlos), transferir (seguro), aceitar (se baixo) ou evitar (deixar de fazer a atividade).

A auditoria de segurança verifica se as políticas e os controlos estão de facto a ser cumpridos — revisão de acessos, testes, análise de vulnerabilidades. Ambas se fazem com regularidade, porque as ameaças e os sistemas mudam.

10. Backups e disponibilidade

Garantir a disponibilidade (o D da tríade):

• Regra 3-2-1: 3 cópias, em 2 suportes diferentes, com 1 fora do local.
• Backups automáticos, cifrados e, sobretudo, testados (um backup que não se restaura não existe).
• Contra ransomware: cópias offline ou imutáveis, que o malware não consegue cifrar.
• Um plano de continuidade de negócio (BCP) e de recuperação de desastres (DRP) define como continuar a operar após um incidente grave.

11. Resposta a incidentes

Um incidente vai acontecer — o que distingue as organizações é terem um plano antes. Fases da resposta:

1. Preparação — equipa, contactos, ferramentas, formação.
2. Deteção e análise — perceber o que se passa e o âmbito.
3. Contenção — isolar o afetado (desligar da rede) para travar a propagação.
4. Erradicação — remover a causa (malware, conta comprometida).
5. Recuperação — repor a partir dos backups e verificar.
6. Lições aprendidas — documentar e corrigir para não repetir.

No caso de dados pessoais, o RGPD obriga a notificar a CNPD (em regra em 72 horas) e, conforme o risco, os próprios titulares dos dados.

Erros comuns

• Achar que "isto não me acontece a mim" — todos são alvo.
• Reutilizar a mesma password em vários serviços.
• Não ativar MFA onde é possível.
• Adiar atualizações de software.
• Ter backups mas nunca testar o restauro.
• Descobrir que não há plano de resposta só quando o incidente acontece.
• Focar tudo na tecnologia e esquecer a formação das pessoas.

Glossário

• CIA — Confidencialidade, Integridade, Disponibilidade.
• Ameaça / vulnerabilidade / risco — perigo / fraqueza / probabilidade × impacto.
• Malware — software malicioso (vírus, trojan, ransomware, spyware).
• Phishing — fraude que engana para obter dados/acesso.
• Engenharia social — manipular pessoas para quebrar a segurança.
• Criptografia simétrica / assimétrica — uma chave / par de chaves.
• Hash — impressão digital de um dado (integridade).
• Certificado digital / CA — liga chave pública a identidade / quem o valida.
• MFA / 2FA — autenticação com dois ou mais fatores.
• IAM / RBAC — gestão de identidade e acessos / permissões por função.
• Mínimo privilégio — dar só o acesso necessário.
• Firewall / IDS / IPS / VPN — filtro / deteção / prevenção / túnel cifrado.
• PSI / ISO 27001 / SGSI — política / norma / sistema de gestão de segurança.
• 3-2-1 — regra de backups.
• RGPD / CNPD — regulamento de proteção de dados / autoridade portuguesa.

Síntese

Segurança da informação é garantir Confidencialidade, Integridade e Disponibilidade, reduzindo vulnerabilidades e gerindo o risco. As ferramentas — criptografia, MFA, IAM/mínimo privilégio, firewall/IPS/VPN — protegem os dados; a gestão — políticas, avaliação de risco, auditorias, backups 3-2-1 e plano de resposta a incidentes — mantém a segurança no tempo. E a peça central é sempre a mesma: pessoas + processos + tecnologia, com a conformidade legal (RGPD) por cima.

Exercícios resolvidos

1. Classifica cada situação na tríade CIA: (a) alguém lê emails que não devia; (b) um site fica em baixo por ataque; (c) um valor de fatura é alterado sem autorização.

Resolução: (a) Confidencialidade; (b) Disponibilidade; (c) Integridade.

2. Recebes um email do "banco" a pedir para confirmares a password num link. Que ataque é, e o que fazes?

Resolução: phishing. Não clicar, não introduzir dados, verificar o remetente e, se necessário, contactar o banco pelos canais oficiais. Os bancos nunca pedem a password por email.

3. Explica porque o MFA protege mesmo que a password seja roubada.

Resolução: o MFA exige um segundo fator (ex.: código no telemóvel). Quem roubou só a password não tem o telemóvel, logo não completa a autenticação.

4. Uma empresa faz backups todos os dias para o mesmo servidor. Que problema há? Aplica a regra 3-2-1.

Resolução: se o servidor for comprometido (ex.: ransomware) ou avariar, perde-se o original e o backup. A regra 3-2-1 manda ter 3 cópias, em 2 suportes diferentes e 1 fora do local — pelo menos uma cópia offline/externa.

5. Ordena as fases da resposta a um incidente de ransomware: recuperar, conter, detetar, lições aprendidas, erradicar, preparar.

Resolução: preparar → detetar → conter → erradicar → recuperar → lições aprendidas.