TOPICO: Serpro SISTEMA DE GESTÃO DE SEGURANÇA DA INFORMAÇÃO(SGSI)

[jmtannus]

SERVIÇO FEDERAL DE PROCESSAMENTO DE DADOS

---

SEGURANÇA DA INFORMAÇÃO:

---

• [ ] 1 ISO 27000 – Confiabilidade, integridade e disponibilidade.

• [ ] 2 Mecanismos de segurança.

  • [x] 2.1 Criptografia.
  • [x] 2.2 Assinatura digital.
  • [x] 2.3 Garantia de integridade.
  • [ ] 2.4 Controle de acesso.
  • [x] 2.5 Certificação digital, ICP-Brasil.

• [ ] 3 Gerência de riscos.

  • [ ] 3.1 Ameaça, vulnerabilidade e impacto.

• [ ] 4 Políticas de segurança.

  • [ ] 4.1 NBR ISO/IEC 27002:2005.
  • [x] 4.2 NBR ISO/IEC 27001:2013.
  • [ ] 4.3 NBR ISO/IEC 15408.
  • [ ] 4.4 Políticas de senhas.

• [ ] 5 Autenticação de dois fatores (MFA).

• [ ] 6 OAuth 2, JWT, SSO, Open ID Connect e SAML.

• [ ] 7 OWASP Top 10 https://owasp.org/www-project-topten/.

[jmtannus]

Autoridade de Registro: (não está no edital) Na estrutura hierárquica da ICP-Brasil, a AR é a entidade que tem competência de encaminhar solicitações de emissão ou revogação de certificados digitais e identificação de seus solicitantes, de forma presencial.

[jmtannus]

A cadeia de confiança de certificação digital é a hierarquia existente entre os componentes da ICP-Brasil. Estes componentes são:

• Comitê Gestor (aprova normas e resoluções e fiscaliza a AC-Raiz

• a AC Raiz (Autoridade Certificadora Raiz). É o ITI - Instituto Nacional de Tecnologia da Informação(Autoridade máxima)

• as ACs (Autoridades Certificadoras) de primeiro nível. Responsável pela autenticação, emissão, revogação e gerenciamento de Autoridades Certificadoras. Utilizando função de hash.

• as ACs (Autoridades Certificadoras) de segundo nível. Responsável pela autenticação, emissão, revogação e gerenciamento dos certificados virtuais. Utilizando função de hash (cartório virtual).

  LCR: é a lista de certificados revogados pela AC Certificados autoassinados não podem existir em uma cadeia certificadora Certificado não é confiável: pode ser pq a cadeia de certificados desatualizados , instalada no computador utilizado.

• as ARs (Autoridades de Registros). "Cara-crachá". Responsável pela identificação propriamente dita do usuário e por solicitar e emitir certificados.

e, finalmente,

• o usuário final.

[jmtannus]

ver mais sobre o tema Certificado Digital em: http://beneficioscd.com.br/cartilha_online/?pagina=oq06

questão do vídeo da GC (https://www.youtube.com/watch?v=Rjn4QDA8_T0&list=PLZIcuMePV18wTmmpTySiupiA3XRUR_KkJ&index=5):

[jmtannus]

Super revisões SERPRO SOBRE CERTIFICADO DIGITAL:

• O que a assinatura digital prove: INA (integridade, não repudio e integridade). Não garante o sigilo das informações

• Certificado digital permite a identificação segura e inequivoca do autor de uma mensagem ou transação feita em meios eletronicos.

• A AC-Raiz pode ter um certificado auto-assinado em uma cadeia de certificados. Só ela.

[jmtannus]

Super revisões SERPRO SOBRE POLITICAS DE SEGURANÇA:

NBR ISO/IEC 27001

• NBR ISO/IEC 27001 - LEI DE OBRIGAÇÕES Tem que se assegurar que as partes externas e funcionários entendam suas responsabilidades e sejam conscientizados durante a fase de contratação.

ACRESCENTANDO: E UMA ANÁLISE QUALITATIVA E QUANTITATIVA

• QUESTÃO PROPRIETÁRIO DO ATIVO E NÃO DEFINE DIREITO DE PROPRIEDADE DO ATIVO:

VEJA A EXPLICAÇÃO ABAIXO:

[jmtannus]

QUESTÕES PRA REVISÃO:

2º BLOCO:

• ATIVO É TUDO O QUE TEM VALOR PRA ORGANIZ. TANGIVEL E INTANGIVEL (IMAGEM E INFORMAÇÃO). Existem outros ativos e conforme a criticidade dele, demanda que seja colocada uma classificação pra ele.

obs: segurança em serviço de redes publicas quer dizer, utilizando internet. Segue abaixo a parte na norma:

• Segue abaixo a parte na norma:

• Segue abaixo a parte extraída na norma:

gabarito:

[jmtannus]

MECANISMOS DE SEGURANÇA

Criptografia Simétrica

• Usa cifras de fluxo ou cifras de bloco
• A encriptação é feita em cada Blocos de bits fixos. AES: usa 128 bits cada bloco. Junta o bloco de 128 depois encripta.

o que cai na prova:

[jmtannus]

MECANISMOS DE SEGURANÇA

Criptografia Assimétrica

[jmtannus]

MECANISMOS DE SEGURANÇA

Criptografia Assimétrica Protocolo

Algoritmos de Criptografia Assimétrica:

• Diffie Helman:

  • Protocolo pra troca de chaves em meio inseguro (internet). Conceito de chave de sessão. Permite que duas partes que, a priori, desconhecem uma à outra e compartilhem entre si uma chave secreta (simetrica) em meio inseguro (internet)

  • Seu uso em conjunto com algoritmos de curva elípticas, cria um processo chamado Perfect Forward Secrecy (PFS).

  • Perfect Forward Secrecy (PFS) --> Finalidade : Proporcionar resistência aos ataques de sequestro de sessão no HTTPS. Uma chave é criada por sessão.

• El Gamal:

  • Processo similar ao Diffie Hellman
  • Aplicação: Transferência de assinaturas digitais e trocas de chaves no estabelecimento de comunicações.
  • Baseia-se no problema do logaritmo discreto

• RSA (usa envelopamento digital)

• • = chave pública
  • Usam atualmente chaves de 1024 bits
  • Tamanhos de chaves sugeridos: 2048 a 4096 bits

• ECC (curvas elípticas) Usado em dispositivos móveis
• • Oferece igual segurança de um RSA para e-commerce, com tamanho de chave muito menor.
  • Equivalência --> Chave de 160 bits ECC = chave de 1024 bits RSA