Princípios de Segurança da Informação (CIAANR)
Confidencialidade
Conceito: garante que a informação seja acessada apenas por pessoas, sistemas e processos autorizados. No Judiciário, envolve desde dados pessoais em processos (LGPD) até peças sigilosas e credenciais de sistemas internos.
Exemplos práticos no Judiciário:
- Processos em segredo de justiça acessíveis somente a perfis específicos (magistrado, servidor autorizado, MP/defesa conforme habilitação).
- Relatórios de auditoria e logs com dados sensíveis acessíveis apenas à equipe de segurança e auditoria.
Controles típicos: controle de acesso (RBAC/ABAC), criptografia em repouso e em trânsito, classificação da informação, segregação de redes, mascaramento/anonimização quando aplicável.
Integridade
Conceito: assegura que a informação não seja alterada indevidamente, mantendo exatidão e completude. Em sistemas judiciais, integridade é crítica para evitar adulteração de peças, movimentações processuais, pautas e decisões.
Exemplos práticos no Judiciário:
Continue em nosso aplicativo
Você poderá ouvir o audiobook com a tela desligada, ganhar gratuitamente o certificado deste curso e ainda ter acesso a outros 5.000 cursos online gratuitos.
ou continue lendo abaixo...
Baixar o aplicativo
- Garantir que uma petição protocolada não seja modificada após o recebimento.
- Evitar alteração indevida de dados de partes, prazos e movimentações.
Controles típicos: hashes e assinaturas digitais, trilhas de auditoria (logging), controle de versão, validações de integridade, controle de mudanças, permissões mínimas.
Disponibilidade
Conceito: garante que sistemas e informações estejam acessíveis quando necessário. No Judiciário, indisponibilidade pode impactar prazos, audiências, plantões e atendimento ao público.
Exemplos práticos no Judiciário:
- Manter sistemas de processo eletrônico disponíveis em dias úteis e plantões.
- Garantir continuidade em caso de falha de hardware, ataque ou desastre.
Controles típicos: redundância, balanceamento, backups testados, planos de continuidade (PCN) e recuperação de desastres (DRP), monitoramento, proteção contra DDoS, gestão de capacidade.
Autenticidade
Conceito: garante que uma entidade (usuário, sistema, documento) é quem diz ser. É essencial para validar identidade de servidores, magistrados, advogados e sistemas integrados.
Exemplos práticos no Judiciário:
- Autenticação forte para acesso administrativo a sistemas críticos.
- Validação de origem de integrações entre sistemas (ex.: envio de dados para órgãos parceiros).
Controles típicos: MFA, certificados digitais, autenticação federada (SSO), chaves de API com rotação, validação de certificados (TLS), gestão de identidades (IAM).
Não repúdio
Conceito: impede que uma parte negue uma ação realizada (ex.: envio, assinatura, protocolo). No Judiciário, é central para comprovar autoria e temporalidade de atos processuais.
Exemplos práticos no Judiciário:
- Comprovar que determinado usuário assinou um documento em data/hora específicas.
- Comprovar que um protocolo foi realizado e recebido pelo sistema.
Controles típicos: assinatura digital com certificado, carimbo do tempo, logs imutáveis, trilhas de auditoria com proteção contra alteração, retenção conforme normativos.
Ameaças comuns: como acontecem e o que afetam
Malware (vírus, worms, trojans, spyware)
Como acontece: execução de anexos maliciosos, downloads, exploração de vulnerabilidades, mídias removíveis, sites comprometidos.
Impactos típicos: roubo de credenciais (confidencialidade), alteração de arquivos (integridade), degradação/queda de serviços (disponibilidade), uso de máquina como pivô para atacar outros sistemas.
Phishing (e variações: spear phishing, smishing, vishing)
Como acontece: mensagens que simulam comunicações internas, intimações, “atualização de senha”, “acesso ao contracheque”, “consulta processual”, direcionando para páginas falsas ou anexos.
Impactos típicos: comprometimento de contas, acesso indevido a sistemas, movimentações fraudulentas, vazamento de dados.
Ransomware
Como acontece: geralmente inicia por phishing, credenciais vazadas, RDP exposto, exploração de falhas; criptografa dados e exige resgate.
Impactos típicos: indisponibilidade de sistemas e arquivos, paralisação de unidades, risco de vazamento (dupla extorsão), impacto em prazos e serviços essenciais.
Engenharia social
Como acontece: manipulação psicológica para obter informação ou ação (ex.: “sou do suporte, preciso que você informe o código do MFA”, “preciso de acesso urgente ao gabinete”).
Impactos típicos: bypass de controles técnicos, concessão indevida de privilégios, instalação de software não autorizado, vazamento de informações.
Controles de segurança: preventivos, detectivos e corretivos
Visão geral
Preventivos: reduzem a probabilidade de incidente (ex.: MFA, hardening, menor privilégio).
Detectivos: identificam eventos anômalos/incidentes (ex.: SIEM, IDS, alertas de integridade).
Corretivos: restauram/mitigam após incidente (ex.: restore de backup, reimage de estação, rotação de chaves).
Mapa rápido: ameaça → controles
- Phishing → preventivo: MFA, filtro de e-mail, treinamento; detectivo: alertas de login anômalo; corretivo: reset de senha, revogação de sessões/tokens.
- Malware → preventivo: EDR/antivírus, hardening, bloqueio de macros; detectivo: telemetria/EDR, varredura; corretivo: isolamento de host, limpeza/reinstalação.
- Ransomware → preventivo: segmentação, backups offline/imutáveis, patching; detectivo: detecção de criptografia em massa; corretivo: restauração, contenção, rotação de credenciais.
- Engenharia social → preventivo: procedimentos de validação, segregação de funções; detectivo: auditoria de mudanças e acessos; corretivo: revogação de acessos, apuração e ajuste de processo.
Políticas e procedimentos essenciais (com passo a passo)
Gestão de senhas e autenticação (incluindo MFA)
Objetivo: reduzir comprometimento de contas e escalonamento de privilégios.
Boas práticas aplicáveis: senhas fortes (preferencialmente frases-senha), proibição de reutilização, bloqueio por tentativas, MFA para acessos sensíveis, cofre de senhas para contas privilegiadas.
Passo a passo prático (implantação mínima):
- 1) Classificar perfis críticos: administração de sistemas, banco de dados, rede, contas de serviço, gabinetes com acesso a processos sigilosos.
- 2) Definir política: tamanho mínimo, bloqueio por tentativas, tempo de sessão, requisitos para contas privilegiadas (MFA obrigatório).
- 3) Implementar MFA: priorizar VPN, e-mail corporativo, SSO e consoles administrativos.
- 4) Cofre de credenciais (PAM/Password Vault): armazenar senhas de admin, registrar check-in/check-out, rotação automática quando possível.
- 5) Revisar contas e privilégios: remover contas órfãs, desabilitar contas inativas, aplicar menor privilégio.
- 6) Monitorar: alertas de login fora do padrão, múltiplas falhas, acesso geograficamente improvável.
Exemplo no Judiciário: contas de administração do sistema de processo eletrônico exigem MFA e uso de cofre; acessos são permitidos apenas a partir de rede administrativa e com registro de justificativa (ticket).
Hardening (endpoints e servidores)
Objetivo: reduzir superfície de ataque removendo serviços desnecessários e aplicando configurações seguras.
Passo a passo prático (baseline):
- 1) Inventariar ativos: identificar servidores críticos (processo eletrônico, autenticação, arquivos, bancos, integrações) e estações administrativas.
- 2) Definir baseline: desabilitar serviços não usados, restringir portas, configurar políticas de firewall local, desativar execução automática, restringir PowerShell/macros conforme necessidade.
- 3) Patching: estabelecer janela de atualização e priorização por criticidade; aplicar correções emergenciais para vulnerabilidades exploradas.
- 4) Privilégios: remover admin local de usuários comuns; usar contas separadas para tarefas administrativas.
- 5) Proteções adicionais: EDR, controle de aplicações (allowlist), criptografia de disco em notebooks.
- 6) Validar conformidade: auditoria periódica do baseline e varredura de vulnerabilidades.
Exemplo no Judiciário: servidores de autenticação e banco de dados ficam em rede segregada, com portas estritamente necessárias; acesso administrativo somente via jump server com MFA e registro.
Segregação de funções (SoD) e menor privilégio
Objetivo: impedir que uma única pessoa consiga executar um fluxo completo de fraude/abuso sem detecção, e limitar impacto de contas comprometidas.
Aplicações típicas:
- Quem desenvolve não publica em produção sem aprovação.
- Quem administra não audita os próprios atos.
- Operações críticas exigem dupla validação (four-eyes).
Passo a passo prático (implantação):
- 1) Mapear processos críticos: criação de usuários, concessão de perfil, alteração de parâmetros, publicação de versões, restauração de backup.
- 2) Definir papéis: solicitante, aprovador, executor, auditor.
- 3) Implementar workflow: toda elevação de privilégio via chamado com justificativa e aprovação.
- 4) Revisões periódicas: recertificação de acessos (mensal/trimestral) para perfis sensíveis.
Exemplo no Judiciário: concessão de acesso a processos sigilosos exige solicitação formal da unidade, aprovação do gestor e execução pela TI; auditoria verifica amostras e logs.
Logging, trilhas de auditoria e monitoramento
Objetivo: suportar detecção, investigação e não repúdio, com registros confiáveis e íntegros.
O que logar (mínimo recomendado):
- Autenticação: logins bem-sucedidos e falhos, MFA, resets de senha.
- Autorização: acessos a processos sigilosos, mudanças de perfil, elevação de privilégio.
- Administração: alterações de configuração, criação/remoção de contas, mudanças em regras de firewall.
- Aplicação: operações críticas (protocolo, assinatura, juntada, alteração de cadastro).
Passo a passo prático (estruturação):
- 1) Padronizar formato e horário: sincronização de tempo (NTP) e campos mínimos (usuário, IP, ação, resultado, timestamp, objeto afetado).
- 2) Centralizar logs: enviar para repositório central (ex.: SIEM/servidor de logs) com controle de acesso.
- 3) Proteger integridade: retenção com WORM/imutabilidade quando aplicável; restrição de edição/remoção.
- 4) Criar alertas: múltiplas falhas de login, acesso fora do horário, acesso massivo a processos, criação de contas privilegiadas.
- 5) Definir retenção: conforme necessidade operacional, auditoria e normativos internos; documentar.
Exemplo no Judiciário: acesso a processos em segredo de justiça gera log com usuário, unidade, IP, identificador do processo e ação; alertas disparam para acessos em massa por um mesmo usuário.
Questões de associação conceito → controle (estilo concurso)
1) Confidencialidade
- Conceito: impedir acesso não autorizado.
- Associe aos controles: criptografia, controle de acesso por perfil (RBAC), classificação da informação, DLP (prevenção de perda de dados).
- Exemplo de enunciado: “Medida que evita que terceiros leiam dados de processos sigilosos durante transmissão.” → Criptografia em trânsito (TLS).
2) Integridade
- Conceito: impedir alteração indevida.
- Associe aos controles: hash, assinatura digital, controle de mudanças, trilha de auditoria, verificação de integridade de arquivos.
- Exemplo de enunciado: “Mecanismo que permite verificar se um documento foi alterado após assinado.” → Assinatura digital + verificação.
3) Disponibilidade
- Conceito: acesso quando necessário.
- Associe aos controles: redundância, failover, backup e restore testado, monitoramento, proteção DDoS, plano de continuidade.
- Exemplo de enunciado: “Medida para manter o serviço ativo mesmo com falha de um servidor.” → Alta disponibilidade/failover.
4) Autenticidade
- Conceito: comprovar identidade/origem.
- Associe aos controles: MFA, certificados digitais, autenticação federada, validação de certificados.
- Exemplo de enunciado: “Controle que reduz risco de acesso com senha vazada.” → MFA.
5) Não repúdio
- Conceito: impedir negação de autoria/ação.
- Associe aos controles: assinatura digital, carimbo do tempo, logs imutáveis, trilhas de auditoria protegidas.
- Exemplo de enunciado: “Evidência técnica de que um usuário assinou um ato em data/hora.” → Assinatura digital + timestamp + logs.
Mini-casos práticos (ambiente do Judiciário) e resposta por controles
Caso 1: e-mail falso de “atualização de senha do sistema”
Cenário: servidor recebe e-mail com link para “revalidar credenciais” e informa usuário/senha.
Controles preventivos: filtro antiphishing, banners de e-mail externo, MFA, treinamento com simulações, bloqueio de domínios semelhantes.
Controles detectivos: alerta de login anômalo, detecção de regra de encaminhamento suspeita no e-mail, SIEM correlacionando falhas/sucessos.
Controles corretivos (passo a passo):
- 1) bloquear sessão e revogar tokens.
- 2) reset de senha e forçar novo registro de MFA se necessário.
- 3) revisar acessos recentes e alterações (perfis, encaminhamentos, regras).
- 4) comunicar equipe de segurança e registrar incidente.
Caso 2: ransomware em unidade administrativa
Cenário: arquivos compartilhados ficam inacessíveis e com extensão alterada; nota de resgate aparece.
Controles preventivos: segmentação de rede, menor privilégio em compartilhamentos, backups offline/imutáveis, EDR, patching.
Controles detectivos: alerta de criptografia em massa, pico de renomeações, detecção EDR, monitoramento de integridade.
Controles corretivos (passo a passo):
- 1) isolar máquinas afetadas (rede) e bloquear credenciais suspeitas.
- 2) identificar vetor inicial (e-mail, credencial, vulnerabilidade) e conter.
- 3) restaurar dados a partir de backup testado e limpo.
- 4) rotacionar senhas/chaves e revisar permissões em compartilhamentos.
- 5) registrar evidências (logs) para apuração e melhoria de controles.
Caso 3: acesso indevido a processo sigiloso
Cenário: suspeita de que usuário consultou processos sigilosos sem necessidade funcional.
Controles preventivos: RBAC com perfis restritos, necessidade de saber, segregação de funções, aprovação para concessão de acesso.
Controles detectivos: logs detalhados de consulta, alertas para acessos fora do padrão, auditoria periódica.
Controles corretivos (passo a passo):
- 1) suspender/ajustar perfil do usuário conforme procedimento.
- 2) coletar logs e evidências (cadeia de custódia interna).
- 3) revisar processo de concessão de acesso e reforçar SoD.
- 4) aplicar medidas administrativas conforme normativos.
