Anais - Engenharia de Redes de Comunicação - UnB

Entretanto, inúmeros desafios ainda estão presentes. Uma evidência das
dificuldades, mesmo que não diretamente relacionado com a APF, é que de acordo com
a pesquisa feita pelo Ponemon Institute (Ponemon, 2010), 87% dos usuários das
organizações possuem acesso a mais informações do que precisariam para execução de
suas atividades.
Neste sentido, considerando os desafios envolvidos na atividade de gestão da
segurança da informação e comunicações e tendo em vista reduzir as ameaças
envolvidas, este artigo apresenta uma avaliação da gestão de identidade e de acesso
desempenhados por uma organização da APF. Para isso, foram selecionados e avaliados
63 controles de segurança nos principais frameworks, normativos e guias como o
COBIT (ITGI, 2007), OISM3 (O-ISM3, 2011), ABNT NBR ISO 27002:2005 (ABNT,
2005), Norma Complementar 07 (DISC/GSIPR, 2010) e o guia de Boas Práticas em
Segurança da Informação do Tribunal de Contas da União (BRASIL, 2008).
Trabalhos similares foram realizados por (Barbosa, 2009) e (Paranhos, 2010). O
primeiro trabalho avalia de forma geral as Organizações Militares do Exército Brasileiro
quanto à maturidade e aplicação dos controles ISO/IEC 27002:2005. O segundo
trabalho propõe um framework para avaliação da maturidade da segurança da
informação em organizações, através do uso de diversas normas. Este artigo difere um
pouco dos demais, pois engloba os normativos e guias adotados pela APF como
referência.
Este artigo está organizado da seguinte forma: a seção 2 apresenta os conceitos e
a classificação adotada para os controles da gestão de identidade e de acesso. A seção 3
apresenta as principais referências selecionadas para a identificação dos controles. A
seção 4 apresenta os controles selecionados e o estado atual da aplicação deles na
organização avaliada. Por fim, a seção 5 apresenta as conclusões finais e os trabalhos
futuros.
2. Gestão de Identidade e Acesso
O conceito de identidade está relacionado com a associação entre um indivíduo e
suas características únicas. A gestão de identidade é o controle de todo o ciclo de vida
envolvido na execução deste processo. De acordo com NSTC (2008), a gestão de
identidade pode ser definida como a combinação de sistemas técnicos, regras e
procedimentos que definem a posse, utilização, e segurança de uma identidade. Seu
objetivo primário é estabelecer a confiança na associação de atributos a uma identidade
digital e conectar esta identidade com uma entidade individual.
Para complementar a gestão de identidade, existe a gestão de acesso que, de
acordo com FICAM (2009), tem como propósito garantir que a verificação da
identidade seja realizada quando um indivíduo tenta acessar os dados, sistemas de
informação ou instalações físicas. Para simplificar a compreensão e melhorar a
identificação das responsabilidades, o FICAM (2009) dividiu a gestão de acesso em três
áreas principais:
Gestão de Recursos: Responsável por estabelecer e manter os dados (regras de
acesso, requisitos de credenciais) para uma determinada informação ou recurso
que possa ser acessado.
Gestão de Privilégios: Responsável pela gestão de políticas e processos que
definem como são fornecidos os direitos de acesso das entidades aos sistemas de
379