O valor do equipamento físico geralmente é muito menor do que o valor dos dados que ele contém. A perda de dados confidenciais de uma empresa para competidores ou criminosos pode ter um custo muito alto. Tais perdas podem resultar em uma falta de confiança da empresa para com os funcionários de TI e também na demissão dos técnicos responsáveis pela segurança dos dados. Para proteger os dados, vários métodos de segurança podem ser implementados.
Uma organização deve se esforçar para alcançar o melhor e mais acessível nível de proteção contra perda de dados ou danos a software e equipamentos. Os técnicos de rede e os gestores da organização devem trabalhar em conjunto para desenvolver uma política de segurança que garante que os dados e equipamentos sejam protegidos contra todas as ameaças de segurança. No desenvolvimento da política, os gestores devem calcular o custo da perda dos dados em relação ao custo da proteção de segurança e determinar quais relações de compromisso são aceitáveis. Uma política de segurança inclui uma declaração completa sobre o nível de segurança necessário e como ele será alcançado.
Você pode estar envolvido no desenvolvimento de uma política de segurança para um cliente ou organização. Ao criar uma política de segurança, faça as seguintes perguntas para determinar os fatores de segurança:
- O computador está localizado em uma rede doméstica ou comercial? - Computadores domésticos são vulneráveis a invasões via rede sem fio. Computadores empresariais possuem um alto risco de intrusão de rede, devido ao fato de que as empresas são alvos mais atraentes para os hackers e também porque os usuários legítimos possam abusar dos privilégios de acesso.
- Os usuários possuem acesso à Internet em tempo integral? - Quanto maior o tempo em que um computador estiver conectado à Internet, maior a chance de sofrer ataques. Um computador com acesso à Internet deve utilizar softwares de proteção, como antivírus e firewall.
- O dispositivo do usuário é um laptop? - A segurança física é um grande problema para computadores portáteis. Existem medidas para proteger os laptops, tais como travas de cabo, biometria e técnicas de rastreamento.
Ao criar uma política de segurança, estas são algumas áreas-chave para atuar:
- Processo de tratamento de incidentes de segurança de rede
- Processo de auditoria da segurança de rede existente
- Estrutura de segurança geral e implementação de segurança de rede
- Comportamentos permitidos
- Comportamentos proibidos
- O que fazer e como armazenar os logs: Visualizador de Eventos, arquivos de log do sistema e arquivos de log de segurança
- Acesso a recursos de rede por meio de permissões de conta
- Tecnologias de autenticação para acesso a dados: nomes de usuário, senhas, biometria e smart cards
A política de segurança também deve fornecer informações detalhadas sobre as seguintes questões em caso de emergência:
- Medidas a serem tomadas após uma violação de segurança
- Quem contactar em caso de emergência
- Informações a serem compartilhadas com clientes, fornecedores e meios de comunicação
- Locais secundários para usar em uma evacuação
- Medidas a tomar após um estado de emergência, incluindo a prioridade dos serviços a serem restaurados
O escopo da política e as consequências do não cumprimento devem ser claramente descritos. As políticas de segurança devem ser revisadas periodicamente e atualizadas conforme necessário. Mantenha um histórico de revisão para acompanhar todas as mudanças da política. A segurança é responsabilidade de cada pessoa dentro da empresa. Todos os funcionários, incluindo os prestadores de serviço que não usam computadores, devem ser treinados para entender a política de segurança e notificados de todas as atualizações feitas na política de segurança.
Você também deve definir o acesso dos funcionários aos dados. A política deve proteger os dados altamente confidenciais do acesso público, ao mesmo tempo que assegura que os funcionários podem realizar suas tarefas de trabalho. Os dados podem ser classificados como dados públicos a confidenciais, tendo ainda vários níveis diferentes entre eles. Uma informação pública pode ser vista por qualquer pessoa e não possui requisitos de segurança. A informação pública não pode ser usada de forma maliciosa para ferir uma empresa ou um indivíduo. Uma informação confidencial necessita de segurança, pois a exposição destes dados pode ser extremamente prejudicial para um governo, empresa ou indivíduo.