Questões de Concurso sobre Conceitos Básicos de Segurança da Informação (Princípios/Requisitos/Pilares)

O sistema Kerberos, um sistema de autenticação e distribuição de chaves simétricas em ambiente de rede, é embasado no compartilhamento de uma chave secreta distinta entre um servidor Kerberos e cada usuário. Nesse sistema, o conhecimento da chave secreta é equivalente a uma prova de identidade.

A autenticação de mensagens:

A análise de risco tem por objetivo definir o que se deseja proteger, contra o que, e o quanto se deve investir na proteção; para isso, é necessário identificar os alvos a serem protegidos, as ameaças, e calcular os riscos, prejuízos e investimentos em proteção associados a cada item identificado, fazendo-se uma análise de custo versus benefício.

O custo de se implementar medidas de segurança de rede é normalmente reconhecido pelas altas camadas gerenciais como um investimento, sendo indispensável para o bom andamento das atividades da organização.

Na definição dos requisitos de um sistema de segurança, deve-se levar em consideração a atividade-núcleo da organização a que esse sistema se destina. Por exemplo, em um estabelecimento bancário, a confidencialidade deve ser priorizada quando confrontada com a integridade dos dados. Em outras situações, de acordo com o princípio da confidencialidade, é preferível a destruição de instalações, dados e backups a permitir o acesso não-autorizado ao sistema. Já em alguns casos, a indisponibilidade da informação pode ser tão danosa quanto a sua deleção.

Diretrizes podem ser descumpridas, enquanto que o mesmo não vale para políticas e normas.

No seu aspecto formal, a política de segurança é um documento que cumpre três funções: definir o que deve ser protegido e a razão disso; estabelecer quem é responsável pela proteção; estabelecer uma base para a resolução de conflitos que possam surgir em decorrência da aplicação dessa política. Nesse contexto, para o estabelecimento de uma política de segurança, deve-se listar as ameaças específicas juntamente com alvos e indivíduos específicos, e, em seguida, definir as normas que codifiquem as boas práticas de segurança a serem empregadas na organização. As diretrizes, por sua vez, traduzem a política e as normas para o ambiente tecnológico particular da organização e tendem a mudar com mais freqüência que as normas, refletindo a constante renovação tecnológica.