Governança de segurança da informação
# Governança de segurança da informação

A Governança de Segurança da Informação organiza a forma como uma empresa lida com os desafios de cibersegurança. A governança de segurança da informação não deve ser confundida com governança de TI. A governança de TI se preocupa em como alinhar a TI com dos objetivos da empresa, já a governança em SI tem como foco a segurança e proteção de dados e dos ativos da empresa, se baseando em normas e padrões internacionais como ISO 27001 e GDPR, abrangendo os diversos aspectos da segurança da informação. O modelo de maturidade do CMMC (Cybersecurity Maturity Model Certification) por exemplo, é dividido nos seguintes domínios:
* Controle de acesso.
* Conscientização e treinamento.
* Auditoria e responsabilidade.
* Gerenciamento de configuração.
* Identificação e autenticação.
* Resposta a incidentes.
* Manutenção.
* Proteção de mídia.
* Proteção de pessoal.
* Segurança física.
* Avaliação de riscos.
* Avaliação de segurança.
* Proteção de sistemas e da comunicação.
* Integridade dos sistemas de das informações.

## Fundamentos de Cibersegurança e Governança de TI
### Conceito de Cibersegurança e sua relevância no contexto atual

O termo "cibersegurança" é comumente usado para se referir a um conjunto de circunstâncias ou eventos relacionados à melhoria da integridade de um sistema ou infraestrutura de gerenciamento de informações, bem como ao enfrentamento de desafios atuais e emergentes associados a essa prática.
A cibersegurança visa proteger sistemas e infraestruturas de TI contra ameaças, assegurando a integridade, confidencialidade e disponibilidade das informações. Com a crescente conectividade impulsionada pela IoT e pela computação em nuvem, houve ganhos significativos em eficiência, mas também uma maior exposição a riscos. Nesse contexto, a cibersegurança tornou-se essencial para prevenir, detectar e mitigar vulnerabilidades em um ambiente cada vez mais dependente de tecnologias conectadas.
As práticas de cibersegurança abrangem a proteção de redes, aplicativos e infraestruturas críticas, além de abordar o comportamento dos usuários, que frequentemente representam um ponto de vulnerabilidade. Adotar uma abordagem holística e multidisciplinar é fundamental para lidar com os desafios emergentes e garantir a sustentabilidade e segurança de sistemas em um cenário de riscos cada vez mais complexos.
No contexto brasileiro, é essencial adotar uma visão sistêmica que reconheça a segurança digital como um alicerce fundamental para os processos econômicos, políticos e sociais, além de ser crucial para a oferta de serviços públicos e privados. A cibersegurança, por sua natureza multidimensional, exige a colaboração de diversos setores e uma abordagem que contemple a proteção de dados, infraestruturas críticas, processos democráticos e os direitos dos indivíduos. Para tanto, é imprescindível o desenvolvimento de políticas públicas que incentivem a cooperação entre diferentes agentes sociais e promovam um diálogo eficaz no cenário internacional.
Dessa forma, as consequências das ameaças e riscos cibernéticos fluem pelas diferentes dimensões da sociedade, podendo ocasionar efeitos sociais devastadores e comprometer o acesso às infraestruturas críticas do país.

### Principais ameaças

Os ataques cibernéticos são conduzidos por indivíduos ou grupos com intenções criminosas, políticas ou pessoais, visando destruir ou acessar informações confidenciais. O principal objetivo desses ataques é causar danos, obter controle ou acessar documentos e sistemas críticos em redes de computadores, sejam elas pessoais ou comerciais.
A cibersegurança aborda diversos tipos de ameaças virtuais, incluindo:
* Crimes digitais: Envolvem indivíduos ou grupos que atacam sistemas com o objetivo de obter lucro financeiro ou causar interrupções nos serviços.
* Ataques cibernéticos: São ameaças direcionadas à coleta de informações, frequentemente com motivações políticas ou ideológicas.
* Terrorismo cibernético: Visa comprometer sistemas eletrônicos com o intuito de gerar pânico, medo ou danos significativos à segurança pública e infraestrutura crítica.
Dentro de cada uma dessas categorias, existem uma variedade de métodos e estratégias empregados para invadir, controlar ou prejudicar sistemas e dados.

#### Métodos e Estratégias de Ameaças Virtuais

A cibersegurança abrange diversos métodos de ataque, como:
* Malware: Software malicioso projetado para danificar sistemas e comprometer a segurança dos usuários.
* Injeção de SQL: Vulnerabilidade que permite a um invasor manipular consultas SQL e acessar dados sensíveis de um banco de dados, podendo até modificá-los ou excluí-los.
* Phishing: Técnica em que criminosos se passam por entidades confiáveis para enganar vítimas e obter informações confidenciais, como senhas e dados bancários.
* Ataques Man-in-the-Middle (MitM): Interceptação da comunicação entre dois sistemas, permitindo que o invasor roube informações sem o conhecimento das vítimas.
* Ataques de Negação de Serviço (DoS): Envio de múltiplas solicitações a um sistema, sobrecarregando-o e impedindo seu funcionamento adequado.

#### Medidas de Proteção

Para mitigar os riscos associados às ameaças virtuais e garantir a segurança das informações, é essencial implementar medidas de proteção robustas. Essas estratégias não apenas bloqueiam ataques, mas também minimizam os impactos caso eles ocorram, protegendo dados sensíveis e a integridade dos sistemas. Entre as principais abordagens para aumentar a segurança cibernética estão soluções como firewalls, que atuam como barreiras de proteção; criptografia, que assegura a confidencialidade das informações; e autenticação multifator, que fortalece o processo de verificação de identidade. Essas ferramentas, quando bem aplicadas, formam uma defesa sólida contra diversas ameaças, tornando os sistemas mais resilientes a invasões e violações de dados.

##### Criptografia

A criptografia é apresentada como uma base indispensável para a privacidade e confidencialidade das informações. É o princípio mais importante para manter a privacidade e a confidencialidade da informação, tanto em formatos analógicos quanto digitais. Ela se divide em sistemas simétricos, que utilizam uma única chave para cifrar e decifrar dados (como AES e 3DES), e assimétricos, que empregam pares de chaves públicas e privadas para garantir segurança e autenticidade, como nos sistemas RSA e ECC. Além disso, funções hash desempenham um papel crucial na integridade dos dados, permitindo identificar alterações não autorizadas em mensagens.

##### Autenticação Multifator

A autenticação de usuários evolui através de quatro características principais: algo que o usuário sabe (senha), algo que possui (hardware), algo que é (biometria estática) e algo que faz (biometria dinâmica). As pesquisas em autenticação focam em esquemas baseados em senhas dinâmicas, como teclados virtuais e One-Time Pad, e biometria dinâmica, que usa características únicas do corpo humano, como ondas cerebrais, velocidade de digitação e hábitos de uso. A combinação de senhas e biometria dinâmica, além do uso de big data para identificação, visa melhorar a segurança e prevenir fraudes.

##### Firewalls

Um firewall representa a primeira linha de defesa em uma rede, bloqueando ataques, otimizando a disponibilidade da rede e prevenindo o reprocessamento de solicitações ilegítimas. A implementação de um firewall pode impactar o desempenho da rede interna ao aplicar diferentes políticas de segurança em uma organização. Pesquisas recentes destacam avanços como a integração com tecnologias de redes definidas por software (SDN), que oferecem maior controle e adaptabilidade em ambientes modernos, como a nuvem.

##### Proteção contra Ataques de Negação de Serviço (DoS e DDoS)

Os ataques de negação de serviço (DoS e DDoS) também são abordados, com destaque para o uso de botnets em ataques amplificados, tornando-os mais sofisticados e difíceis de detectar. Soluções avançadas, como aprendizado de máquina e redes neurais, têm sido empregadas para identificar e mitigar essas ameaças. Além disso, sistemas de detecção de intrusos (IDS) complementam a defesa, utilizando tecnologias como cadeias de Markov, honeypots e algoritmos avançados de assinatura para monitorar e responder a invasões.

##### Governança de TI

No contexto da governança de TI, é importante que essas medidas de proteção estejam alinhadas com políticas robustas de gestão de identidade, monitoramento contínuo e respostas rápidas a incidentes, garantindo uma abordagem integrada para mitigar riscos e proteger sistemas em um ambiente de ameaças em constante evolução.
Ao aplicar essas medidas de forma coordenada, as organizações conseguem fortalecer sua segurança cibernética, reduzir vulnerabilidades e responder de forma eficaz a novos tipos de ameaças.

### Impactos de ataques cibernéticos em organizações

Os ataques cibernéticos têm impactos significativos nas organizações, afetando aspectos financeiros, operacionais e reputacionais. Estudos indicam que as perdas financeiras devido a ataques cibernéticos podem ser substanciais, com estimativas apontando para centenas de bilhões de dólares por ano, comprometendo a estabilidade financeira das instituições afetadas. Além disso, esses ataques podem resultar em danos à reputação da empresa, minando a confiança dos clientes e afetando a credibilidade da marca. No setor financeiro, por exemplo, os ataques cibernéticos podem gerar perdas significativas, com estimativas apontando para US$ 12 bilhões em perdas ao longo de duas décadas

#### Impacto Financeiro

Os ataques cibernéticos frequentemente resultam em perdas financeiras diretas e indiretas. Entre as perdas diretas estão os custos com a recuperação de dados, reparação de sistemas danificados e o pagamento de multas e compensações a clientes e parceiros. Além disso, as organizações podem perder receitas devido à interrupção de serviços ou à incapacidade de operar durante o ataque. Um estudo do Fórum Econômico Mundial estima que o custo global de ataques cibernéticos pode chegar a trilhões de dólares nos próximos anos. Os ataques também podem levar ao roubo de dados financeiros sensíveis, o que pode resultar em fraudes e mais perdas econômicas. No setor financeiro, por exemplo, o FMI apontou que os ataques cibernéticos causaram perdas de cerca de US$ 12 bilhões ao longo de duas décadas.

#### Impacto Operacional

Do ponto de vista operacional, os ataques cibernéticos podem interromper os processos de negócios de uma organização. Ataques de negação de serviço (DoS e DDoS) podem sobrecarregar os servidores e paralisar sistemas essenciais, prejudicando a continuidade dos negócios. A perda de dados críticos ou a corrupção de sistemas pode levar a longos períodos de inatividade, afetando a produção, a entrega de serviços e a eficiência geral da organização. Além disso, a implementação de soluções de recuperação de desastres e a reconstrução de sistemas podem demandar tempo e recursos significativos. O impacto operacional também se estende à capacidade de inovação da empresa, pois os recursos ficam frequentemente alocados para mitigar os efeitos dos ataques, em vez de se concentrarem no crescimento e desenvolvimento de novos produtos ou serviços.

#### Impacto Reputacional

O impacto reputacional de um ataque cibernético pode ser o mais difícil de quantificar, mas é frequentemente o mais prejudicial a longo prazo. Quando uma organização é atacada, especialmente quando dados de clientes são comprometidos, a confiança dos consumidores e parceiros comerciais pode ser significativamente abalada. Empresas que lidam com informações sensíveis, como dados pessoais e financeiros, podem sofrer uma queda acentuada na percepção pública, resultando em perda de clientes e dificuldade em conquistar novos. Além disso, a cobertura da mídia sobre o incidente pode ampliar a visibilidade negativa do ataque, afetando ainda mais a imagem da marca. Empresas que enfrentam ataques cibernéticos podem ser vistas como vulneráveis e menos confiáveis, o que pode levar a uma diminuição no valor de mercado e a um impacto negativo nas negociações com investidores e outras partes interessadas.

### Governança de TI: Conceito e Objetivos

A Governança de TI refere-se ao conjunto de práticas, processos e estruturas que asseguram que as tecnologias da informação (TI) apoiem de forma eficiente e eficaz os objetivos e estratégias da organização. O foco da governança de TI é garantir que os recursos de TI sejam gerenciados e usados adequadamente para alcançar os resultados desejados, ao mesmo tempo em que se minimizam os riscos.
Objetivos principais da Governança de TI:
* Alinhamento Estratégico: Garantir que os investimentos e iniciativas de TI estejam alinhados com os objetivos e a estratégia corporativa, permitindo que a TI contribua de maneira significativa para o sucesso organizacional.
* Mitigação de Riscos: Identificar, avaliar e gerenciar os riscos associados ao uso de TI, como riscos cibernéticos, de conformidade e operacionais, para proteger a organização contra ameaças e garantir a continuidade dos negócios.
* Conformidade: Assegurar que a organização esteja em conformidade com regulamentações, leis e políticas internas, especialmente em relação à segurança de dados e privacidade, evitando sanções legais e danos à reputação.
A Governança de TI é uma parte essencial da Governança Corporativa, que se refere ao conjunto de práticas e políticas que orientam a gestão e a tomada de decisões em uma organização, assegurando a transparência, a responsabilidade e a conformidade com as leis. A Governança de TI complementa a governança corporativa ao garantir que os recursos tecnológicos da organização sejam geridos de forma que contribuam para a criação de valor e minimizem os riscos associados.

## Integração entre Cibersegurança e Governança de TI

Com a transformação digital, as empresas têm aumentado seus diferenciais competitivos e 75% das empresas líderes de mercado farão altos investimentos em inovação digital até 2026. Por outro lado, essa mesma transformação tem elevado sua exposição a riscos cibernéticos que podem gerar impactos como mencionado na seção sobre Impactos de ataques cibernéticos em organizações. Por esse motivo, torna-se estratégico integrar a cibersegurança na governança de TI que tem como um dos seus pilares a Gestão de Risco.

## Gestão

A gestão e operação da governança de segurança da informação é feita pelo diretor de segurança da informação. O diretor de segurança da informação é responsável pela governança, por garantir a conformidade dos procedimentos com as políticas internas da organização e com a legislação, como por exemplo a LGPD no Brasil, e pelo gerenciamento de riscos.

## Gerenciamento de Riscos

A avaliação de riscos cibernéticos é um processo crítico para identificar, analisar e priorizar ameaças que possam comprometer a segurança da informação e dos sistemas de uma organização. Este processo envolve:
* Identificação de ativos críticos: Reconhecer quais dados, sistemas e processos são mais valiosos para o negócio.
* Identificação de ameaças: Avaliar possíveis agentes maliciosos, como hackers, malware ou ameaças internas.
* Análise de vulnerabilidades: Identificar falhas nos sistemas que possam ser exploradas por essas ameaças.
* Avaliação de impacto: Estimar as consequências financeiras, reputacionais e operacionais de um ataque.
* Planejamento de mitigação: Desenvolver e implementar controles para reduzir ou eliminar riscos.
Ferramentas como frameworks de gerenciamento de riscos (NIST Cybersecurity Framework, ISO/IEC 31000) ajudam a estruturar esse processo, promovendo uma abordagem sistemática e repetível.
Além disso, as organizações devem cumprir diversas regulamentações e padrões para garantir a proteção de dados sensíveis, de acordo com o território em que atuam. Como por exemplo:
* LGPD (Lei Geral de Proteção de Dados – Brasil): Foca na proteção de dados pessoais, exigindo que as organizações obtenham consentimento para coleta de dados e adotem medidas de segurança para prevenção de vazamentos.
* GDPR (General Data Protection Regulation – Europa): Similar à LGPD, mas com foco em empresas que tratam dados de cidadãos europeus, independentemente de onde estejam localizadas.
* SOX (Sarbanes-Oxley Act – EUA): Requer controle interno robusto sobre informações financeiras, incluindo medidas de segurança cibernética para prevenir fraudes.
* ISO/IEC 27001: Fornece um padrão internacional para implementação de Sistemas de Gestão de Segurança da Informação (SGSI).
* PCI DSS (Payment Card Industry Data Security Standard): Garante a proteção de dados de cartões de crédito.
* CMMC (Cybersecurity Maturity Model Certification): Usado nos EUA, especialmente em contratos com o Departamento de Defesa, para verificar os níveis de maturidade em segurança cibernética.

## Frameworks

Os frameworks de governança de segurança da informação fornecem mecanismos para mensurar a maturidade dos processos nos diferentes aspectos de segurança da informação. Alguns exemplos de framework são:
CSF
O CSF (Cybersecurity Framework), framework de segurança do NIST, se divide em seis funções: Governança, Identificação, Proteção, Detecção, Resposta e Recuperação.
O CSF também define como categorizar o grau de rigor das práticas de segurança da empresa, sendo a categorias: Parcial, Informado, Repetível e Adaptativa.
CAF
O CAF (Cyber Assessment Framework), framework elaborado pelo Centro Nacional de Segurança Cibernética (NCSC) do GCHQ define quatro objetivos, sendo eles:
* Gerenciamento dos riscos de segurança
* Proteção contra ataques cibernéticos
* Detecção de eventos de segurança
* Minimizar o impacto de incidentes cibernéticos
Cada um desses objetivos são compostos por um conjunto de princípios, e cada princípio possui indicadores de boas práticas (chamados de IGP - Indicators of Good Practice), que auxiliam com exemplos e ajudam ao avaliador entender se aquele princípio é praticado.
PPSI
Um exemplo de framework de segurança de informação utilizado no Brasil é o do Programa de Privacidade e Segurança da Informação. Esse framework é voltado para o serviço público, e tem como referência outros frameworks e diretrizes, como o NIS, o CIS Controls v8 e a ISO/IEC.
A medidas no PPSI, assim como o CIS Controls v8, chamadas de controles. Os controles estão dentro de três categorias distintas: Estruturação básica, Segurança e Privacidade.
Além disso, há a definição do que seriam os Grupos de implementação, indicando quais medidas devem ser implementadas por cada órgão a depender do grau de criticidade de seus sistemas, e são fornecidas ferramentas para que essas entidades possam tanto mensurar a criticidade dos sistemas, assim como a maturidade dos processos internos de privacidade e segurança.
A criticidade de um sistema, de acordo com o framework deve ser definida como Baixa, Média ou Alta, e deve ser calculada a partir de uma correlação entre vulnerabilidade e impacto do sistema, utilizando fórmulas fornecidas pela documentação, e o resultado de um questionário também fornecido.
Com relação à maturidade, o Indicador de maturidade em segurança da informação (iSeg) e o Indicador de maturidade em privacidade (iPriv) são obtidos de forma similar, com avaliações que devem ser realizadas pelo Gestor de Segurança da informação e pelo Encarregado pelo Tratamento de Dados Pessoais respectivamente.

## Governança de Dados, Privacidade e Tendências Futuras

A governança da privacidade e a proteção de dados são pilares fundamentais para o sucesso das organizações. Com a evolução e modernização tecnológica faz-se necessário criar estratégias de gerenciamento e proteção de informações.

### Proteção de dados sensíveis e regulamentações de privacidade

Dados sensíveis exigem medidas rigorosas de proteção impedindo violações de privacidade.
Para isso, surgiram regulamentações como a General Data Protection Regulation (União Europeia) e a Lei Geral de Proteção de Dados (Brasil).

### Estratégias para evitar vazamentos de informações

Medidas preventivas essenciais:
Criptografia de dados: A implementação de criptografia é crucial para proteger informações confidenciais contra acessos não autorizados. Criptografando os dados é possível garantir que apenas pessoas autorizadas tenham acesso às informações, mesmo em caso de vazamento.
Autenticação multifatorial (MFA): Método que adiciona uma camada extra de segurança, pois ativando a MFA, os usuários obrigatoriamente precisam fornecer múltiplos métodos de autenticação para acessar sistemas. Este método dificulta significativamente o acesso não autorizado.
Atualizações e patches de segurança: Manter sistemas atualizados com os patches de segurança mais recentes protege contra vulnerabilidades.
Conscientização e treinamento de funcionários: O treinamento ajuda a manter a conscientização e a vigilância dos funcionários em relação às práticas recomendadas de segurança, como criar senhas fortes, reconhecer e-mails de phishing etc.
* ↑ Cybersecurity Maturity Model Certification (CMMC) Model Overview. Version 2.0 | December 2021 https://dodcio.defense.gov/Portals/0/Documents/CMMC/ModelOverview_V2.0_FINAL2_20211202_508.pdf
* ↑ Schiliro, Francesco (5 de fevereiro de 2023). «Towards a Contemporary Definition of Cybersecurity». arxiv. Consultado em 25 de janeiro de 2002
* ↑ Belli, Luca (14 de junho de 2023). «Cibersegurança: uma visão sistêmica rumo a uma Proposta de Marco Regulatório para um Brasil digitalmente soberano». FGV Direito SB. FGV Direito Rio: p. 10. Consultado em 2 de janeiro de 2025 !CS1 manut: Texto extra (link)
* 1 2 3 4 Lara, Pablo (19 de março de 2019). «Trends on Computer Security: Cryptography, User Authentication, Denial of Service and Intrusion Detection». Arxiv. Cryptography and Security. Consultado em 25 de janeiro de 2004
* ↑ Lagarde, Christine (25 de junho de 2018). «Estimação do risco cibernético no setor financeiro». IMF BLOG. Consultado em 4 Jan 2025
* ↑ Junior, Erlon (25 de março de 2024). «O impacto dos ataques hackers na marca e reputação empresarial». tiinside. Consultado em 4 de janeiro de 2025
* ↑ «Ataques cibernéticos geram perdas de US$ 12 bi ao setor financeiro em duas décadas, diz FMI». exame. 09 de abril de 2024. Consultado em 04 de janeiro de 2025 Verifique data em: |acessodata=, |data= (ajuda)
* ↑ «O crime cibernético custará ao mundo US$ 9,5 trilhões anualmente em 2024». esentire. Consultado em 04 de janeiro de 2025 line feed character character in |titulo= at position 37 (ajuda); Verifique data em: |acessodata= (ajuda)
* ↑ «Ataques cibernéticos geram perdas de US$ 12 bi ao setor financeiro em duas décadas, diz FMI». uol. 09 de abril de 2024. Consultado em 04 de janeiro de 2025 Verifique data em: |acessodata=, |data= (ajuda)
* ↑ Armond, Pedro (7 de julho de 2023). «Inovação digital: 75% das empresas vão investir». credsystem (em inglês). Consultado em 7 de janeiro de 2025
* ↑ EC-Council (19 de junho de 2024). «What Is The Role of CISO in Governance Risk & Compliance in Cybersecurity». Cybersecurity Exchange (em inglês). Consultado em 28 de dezembro de 2024
* ↑ National Institute of Standards and Technology (26 de fevereiro de 2024). «The NIST Cybersecurity Framework (CSF) 2.0» (PDF). Gaithersburg, MD. doi:10.6028/nist.cswp.29. Consultado em 27 de dezembro de 2024
* ↑ Cyber Assessment Framework V3.2, 15th April 2024. https://www.ncsc.gov.uk/static-assets/documents/cyber-assessment-framework-v3.2.pdf
* ↑ «Privacidade e Segurança da Informação». Governo Digital. Consultado em 30 de janeiro de 2025
* ↑ «CIS Controls Version 8». CIS (em inglês). Consultado em 30 de janeiro de 2025
* ↑ «Guia do Framework de Privacidade e Segurança da Informação» (PDF). Dezembro de 2024. Consultado em 30 de Janeiro de 2025 (https://www.gov.br/governodigital/pt-br/privacidade-e-seguranca/ppsi/guia_framework_psi.pdf)<|formato= requer |url= (ajuda)
* ↑ Bertolazi, Alexandre (29 de janeiro de 2024). «Desafios da Governança de Privacidade e Proteção de Dados». Rastek Soluções em TI. Consultado em 6 de janeiro de 2025