Cornell University - Confidencialidade é a propriedade da informação que não está disponível ou revelada para entidades ou processos não autorizados. É a definição que está na ISO 27001, uma norma muito usada. Ou seja, confidencialidade significa que determinada informação, ou seja, documento, tabela do banco de dados, arquivo no computador, tem associada a ela, uma lista de pessoas autorizadas a ver aquela informação. Isso significa que existe uma pessoa, ou grupo de pessoas, que pode definir essa lista. Também significa que os sistemas que tratam tal informação precisam verificar identidade das pessoas, garantir que tais pessoas são quem dizem ser, e, lógico, só permitir as pessoas autorizadas a ver tais informações. Mas mais que isso. A confidencialidade de uma informação é muito mais que meramente o que o sistema faz. A confidencialidade é um atributo da informação que não depende da forma dela. Se você imprime aquele arquivo confidencial, ele continua sendo confidencial e a pessoa que imprimiu precisa garantir que apenas quem está na lista pode ver as infos. Porque diabos alguém teria todo esse trabalho com uma informação? Antes de entendermos como funciona a confidencialidade, é importante entendermos primeiro porque uma informação precisa de confidencialidade. Você é dono das suas informações? Sim, porque confidencialidade é sobre propriedade sobre a informação. Quem define a lista de acesso a uma informação é o proprietário dessa informação. E porque uma informação requer confidencialidade? Porque, em última análise, o proprietário entende que isso é algo que irá gerar lucro para ele. Se tal informação for revelada para pessoas fora da lista de autorização, isso irá gerar um prejuízo que é maior que o custo de todo o processo de definir a lista de autorização, construir sistemas que garantem tal confidencialidade, treinar pessoas e criar processos para garantir isso. E quem é o dono da informação? Na ausência de um contrato ou uma lei que diga em contrário, o dono de uma informação é quem criou aquela informação. Se você trabalha para uma empresa, por força de lei, e, algumas vezes também do contrato de trabalho, então a informação que você cria durante o seu trabalho pertence à empresa. Então empresas tem um documento chamado política de segurança da informação que define como tal informação deve ser classificada, ou seja, se é confidencial ou não e, se for confidencial, que pessoas podem acessá-la. Se você trabalha no governo federal, existem leis, mais precisamente a Lei nº 12.527/2011, lei de acesso a informação, e outras, que definem a forma como qualquer informação tratada pelo governo deve ser classificada. Nesse caso, o governo é o proprietário dessa informação. Note que existe uma distinção que precisa ser ressaltada aqui que a propriedade sobre a informação e a propriedade intelectual. Propriedade intelectual é um privilégio dado pelo governo a alguém que tenha inventado algo ou criado um livro, você precisa registar tal invenção no INPI ou na Biblioteca Nacional se você escreveu um livro, para fazer jus a tal benefício. Coisas distintas portanto. Mas uma coisa muito importante que deve ser notada é que o custo de manter uma informação com algum grau de confidencialidade é alto. Lógico quando você está desenvolvendo um sistema que requeira confidencialidade, você tem que seguir a regra, a lei, a política de segurança da empresa. Mas, se você estiver na posição de definir você mesmo se determinada informação é confidencial ou não, pense bem. O custo de manter uma informação confidencial é muito alto, isso deve ser mantido no mínimo necessário. A forma como as empresas e o governo decidem quais informações serão públicas e quais terão atributo de confidencialidade, e, dessas últimas, o nível de confidencialidade é chamado de “classificação de informações”. Classificar informações é um processo pelo qual a empresa, geralmente um departamento de segurança da informação ou, às vezes, uma empresa de consultoria contratada, define quais informações serão classificadas, ou seja, terão algum atributo de confidencialidade. A forma como tal classificação é feita, vai variar de lugar para lugar. Existem diversas formas de definir e até teorias por trás disso. A forma mais antiga de classificação de informações surgiu na área militar, mais particularmente no Departamento de defesa americano que contratou alguns pesquisadores para estruturar isso. Eles definiram um método de classificação chamado Bell-LaPadula **** Basicamente esse método define que cada informação receberá um nível de sigilo, sendo que informações podem ser não classificadas, ou seja, públicas, informações que não possuem nenhum requisito de confidencialidade, ou poderiam ser confidenciais e, neste caso estariam em um dos níveis entre 1 e 4. O maior nível era o chamado top secret. As pessoas também recebiam níveis de autorização. Ou seja, da mesma forma que as informações, qualquer pessoa que não tivesse nenhum nível de autorização (clearence), era considerado não autorizado e, portanto, só podia ver informações públicas. Algumas pessoas recebiam níveis de autorização também entre 1 e 4. Então qualquer relatório, qualquer arquivo no computador, tabela no banco de dados, se não tivesse nenhuma informação sobre o nível de sigilo, era considerada não classificada e, portanto, pública. Se tivesse tal informação, só poderia ser acessada por pessoas com o nível de autorização igual ou superior ao indicado. Um sistema simples e que funciona muito bem. Se você tem nível de clearence 3, significa que você pode ver informações públicas, lógico, e informações classificadas no nível 1, 2 e 3. Mas não pode ver informações classificadas no nível 4. Ainda é, de forma geral, o modelo usado hoje na maior parte das empresas e organizações. Por exemplo, a lei de acesso a informação define como níveis em seu Artigo 24, três níveis de confidencialidade. Portanto, a informação pode ser pública ou não classificada, pode ser reservada, secreta ou ultrassecreta. Da mesma forma, empresas tendem a usar sistema similar, embora o mais comum seja a divisão entre informações públicas, internas e confidenciais. Nessa classificação, informações internas são podem ser divulgadas entre funcionários da empresa, mas não para o público externo e confidenciais apenas para determinadas pessoas. Note que, embora o mecanismo de classificação usado seja similar ao descrito por Bell-LaPadulla, a sofisticação dos sistemas de informação hoje em dia permite um controle muito mais granular da informação. O mais comum é termos em uma empresa a definição, para cada informação classificada como sigilosa, uma lista de controle de acesso. Isso é chamado de confidencialidade discricionária. Ou seja, não basta apenas a pessoa ter um nível de autorização x, ela precisa estar na lista de pessoas autorizadas a ver tal informação. Isso é feito porque permite a inclusão de diversos outros modelos de confidencialidade mais elaborados, particularmente o estabelecimento de dois princípios fundamentais de segurança que são: a segregação de funções e o modelo Brewer-Nash, também conhecido como muralha chinesa. Veja mais detalhes no vídeo sobre modelos de acesso a dados. Hoje, a maior parte dos sistemas usa um mecanismo misto de definição de confidencialidade. Geralmente existem ainda os níveis de confidencialidade mas, adicionalmente a estes, existem mecanismos chamados de discricionários. Esses mecanismos permitem definir exatamente que pessoas tem ou não acesso a cada informação. Por exemplo, o total de vendas ainda não concretizadas da filial é uma informação sigilosa, acessível para a gerência daquela filial e para toda a alta direção e mais a pessoa x, y e z, que precisam dessa informação para seu trabalho. Quais informações serão sigilosas no seu sistema? Bom, cada empresa ou organização vai tratar de uma forma. Mas existem algumas informações que são sempre sigilosas. O hash de senhas de usuário, como veremos na parte de autenticação. Na verdade, qualquer informação relacionada a pessoas, qualquer informação pessoal é sigilosa por força da lei, inciso X e XII do artigo 5º da CRFB. Falamos mais sobre isso no vídeo sobre privacidade. Salários dos funcionários são sigilosos em empresas privadas, visto que existem estudos que mostram que a divulgação desses dados tende a gerar conflitos e diminuir a moral dos times, devido a comparações. Informações de pesquisa e desenvolvimento, antes da petição da patente. Informações de fusões e aquisições, planejamento de investimento e alguns tipos de obras. Em instituições financeiras, saldos, extratos e informações bancárias são protegidas pelo sigilo bancário. Em empresas de telecomunicação, registros de ligações, contas também são protegidas pelo sigilo telefônico. Eu trabalhei em um caso, em uma grande empresa de telefonia, em meados dos anos 2000, cujo objetivo do projeto era fortalecer o mecanismo de autenticação do site da empresa. Isso porque, naquela época a empresa estava sofrendo uma grande ação indenizatória por um cliente. Um jornalista conhecido de uma grande rede de comunicação estava tendo um caso com uma estagiária do jornal. A mulher do jornalista estava desconfiada. Mas o cara era esperto. Ele colocou o endereço de correspondência o endereço do trabalho. Assim, a conta do telefone celular dele chegava no trabalho, não na casa dele. Mas daí a mulher desse jornalista resolver fuçar no site da empresa de telefonia. Pedir uma 2ª via da conta. Pois bem, na época o site tinha só uma senha de 4 dígitos numéricos. E que não bloqueava por tentativas erradas. Ora, tentar 10.000 combinações possíveis é bem trabalhoso, mas a mulher, como todo bom hacker, sabe que se são 4 dígitos, tem grande chance de ter escolhido uma data. E datas, são só 365 alternativas. Provavelmente vai ser uma data com alguma significância. Então ela adotou a técnica de hacking mais antiga da história: tentativa e erro. E, de fato, conseguiu o acesso. Viu a segunda via da conta do cara. Viu inúmeras chamadas para um número que ela não conhecia... ligou para o número, armou um barraco, divórcio, etc. O jornalista processou a empresa de telefonia. Quebra de sigilo telefônico. Como se trata de família de muito dinheiro, a indenização foi polpuda e, embora eu não saiba o resultado final, tudo leva a crer que o jornalista ia ganhar a indenização. Mas, do lado da empresa, eles não podem simplesmente colocar 12 caracteres na senha e bloqueia na 3ª tentativa. Pense na quantidade de chamados para o suporte de gente que esqueceu a senha. Então elaboramos várias alternativas para o mecanismo e submetemos para o cliente que, na época, optou por aumentar para 6 dígitos a senha e incluir um segundo fator de autenticação via SMS. Você tinha que digitar o número mandado para o seu celular também. Repare que a dificuldade não é apenas definir o que deve ser sigiloso, mas, como vamos ver no vídeo sobre controle de acesso, como implementar a confidencialidade de forma segura mas também sem comprometer o suporte e o custo de operação. Enfim, dependendo, da organização, informações confidenciais são aquelas informações que, se divulgadas, geram prejuízo para a empresa. Normalmente, portanto, os requisitos de confidencialidade de informações já estão presentes na empresa, porém nem sempre de forma clara e disponível. É muito comum ser necessário levantar tais requisitos e definir as informações tratadas pelo sistema que precisam de atributos de confidencialidade. Lembre-se: confidencialidade é algo caro. Nós não queremos garantir confidencialidade de nada além do estritamente necessário. Então a tarefa, na especificação do sistema, é levantar a política de segurança da empresa, leis aplicáveis ao sistema, para identificar quais informações precisam de classificação. Principalmente queremos evitar o custo de dizer que tal informação é confidencial, gastar um monte de dinheiro tentando garantir a confidencialidade, só para depois isso vazar e ficar parecendo que o sistema foi quebrado. Sim, no momento que você diz que tal informação é confidencial e coloca proteções nela, se alguém conseguir acesso a tais informações vai cantar vitória e dizer que quebrou seu sistema. Mesmo que tais informações não tenham valor nenhum. Um bom programador, um bom analista, só vai tratar como confidenciais informações que efetivamente requeiram isso. As demais informações públicas, ele vai fazer questão de deixar em plain text fácil e acessível para deixar claro: isso não tem valor, isso é público. Lógico, isso precisa estar documentado na especificação e projeto do sistema. Lembre-se: no momento que seu sistema estiver no ar, vão haver hackers de fundo de quintal tentando ganhar fama dizendo que quebraram o seu sistema. E eu já vi casos de sistemas que saiu até em jornal que “o sistema X da empresa Y foi quebrado por hackers” e, quando você vai ver exatamente o que extraíram... foi um monte de informações públicas. Mas foi um ataque de fato. Aquelas informações, talvez por receio do programador, excesso de segurança, estavam protegidas via uma criptografia fraca ou um controle de acesso simples. Mas, justamente porque o programador sabia que não era nada demais, não cuidou de fazer o controle adequado. Basta isso para arruinar a reputação de uma aplicação. Melhor deixar em texto claro. Se é público, deve ser tratado como público. Recapitulando: confidencialidade é uma propriedade da informação. Aquela informação, qualquer que seja o meio dela, pode estar em papel, pode ser um documento no seu sistema, ela pode ter uma classificação. Identifique quem é o dono das suas informações, ele vai te dizer quais são confidenciais ou não. Se a informação não for classificada, ou seja, for pública, você não precisa e não deve se preocupar em protege-la. Se a informação for classificada, você deve definir claramente na especificação qual é o nível de acesso, ou se o acesso será discricionário, sempre embasando isso em políticas de segurança da empresa ou em legislação aplicável. Mais adiante vamos ver o nível de complexidade para implementar isso num sistema, mas a base para um bom projeto de segurança é uma boa especificação. Tendo claramente identificadas as informações confidenciais que o sistema irá tratar, tudo se torna mais simples..
Cronograma de projeto de design de interiores temas de artigos cientificos de lingua portuguesa Barretos curso de gestao empresarial sebrae sp. Ituiutaba upf cursos valores Declaração Pessoal, online course e commerce Trabalhos não Escritos, apresentadores do hoje em dia foram demitidos Resenha, curso de teatro de ferias em bh TCC. Diploma ensino superior reconhecido pelo mec cursos em salvador na area de saude cronograma de projeto de design de interiores Jaraguá do Sul cursos na area fiscal e tributaria sp. Exemplos de relatorios de estagio supervisionado Redação Macaé curso de corte e costura gratuito em sp zona norte, material de ginastica ritmica para comprar.
Vitória da Conquista:
Evangeline Proctor, Chenango County: Law Center, Central Islip. Varginha: Alfred; 2012.
Nikki Turner, Schuyler. Cabo de Santo Agostinho: Vassar College, Poughkeepsie; 2011.
Francis Mendoza, Dr Martin Luther King Jr Boulevard zip 10027. Maranhão: College of Performing Arts; 2016.