Fecha de Emisión. Informática Corporativa - Seguridad /08/ /02/ /02/2014

Transcripción

1 Definicines Relacinadas a la Plítica de Seguridad de la Infrmación Área Respnsable Versión Fecha de Emisión Fecha de Revisión Fecha de Vigencia Infrmática Crprativa - Seguridad /08/ /02/ /02/2014 Objetiv Describir tdas las definicines necesarias relacinadas a la Plítica de Seguridad de la Infrmación de Ultra. Definicines Generales Plítica de Seguridad de la Infrmación Cnfidencialidad: prpiedad de que la infrmación n esté dispnible sea revelada a individus, entidades prcess n autrizads. [NBR ISO/IEC 27001:2005] Dispnibilidad: prpiedad de estar accesible y usable pr demanda pr una entidad autrizada. [NBR ISO/IEC 27001:2005] Incidente de Seguridad: un event de Seguridad de la Infrmación simple una serie de ésts indeseads inesperads, que tengan una gran prbabilidad de cmprmeter las peracines del negci y amenazar la Seguridad de la Infrmación. [NBR ISO/IEC 27001:2005] Integridad: prpiedad de salvaguarda de la exactitud y entereza de activs. [NBR ISO/IEC 27001:2005] NBR ISO/IEC: Nrma Brasileña para la Organización Internacinal de Nrmas / Cmisión Electrtécnica Internacinal [ABNT - Asciación Brasileña de Nrmas Técnicas] Recurss de Infrmática: tds ls activs, servicis y sistemas de Tecnlgía de la Infrmación puests a dispsición pr Ultra. Seguridad de la Infrmación: preservación de la cnfidencialidad, integridad y dispnibilidad de la infrmación; adicinalmente, tras prpiedades, tales cm autenticidad, respnsabilidad, n repudi y cnfiabilidad, también pueden estar invlucradas. [NBR ISO/IEC :2004] Usuari: es cualquier clabradr, ya sea emplead, pasante prveedr de servicis que utilice algún servici de infrmación puest a dispsición en la Red de Dats. Nrma de Utilización de ls Activs de Infrmática Activs de Infrmática: Estacines de Trabaj, servidres, sftwares, archivs, crre electrónic, Dispsitivs de Autenticación y cualesquier equips electrónics sistemas relacinads a la tecnlgía de la infrmación. Dispsitivs de Almacenamient Móvil: incluyen, entre trs, pen drive, disc extraíble, CD, DVD y medis impress. 1 Av. Brigadeir Luis Antôni, 1343 CEP Sã Paul SP

2 Dispsitivs de Autenticación: cualquier dispsitiv cuya finalidad es validar la identidad de su prtadr (Ej: tken, tarjeta de identificación, smart card, etc.). Estación de Trabaj: tds ls equips utilizads pr ls Usuaris para acces a la infrmación. Shareware: prgrama dispnible públicamente para evaluación y us experimental, per cuy us en frma definitiva presupne que el Usuari pagará una licencia al autr titular de ls derechs. Shareware es distint de Sftware Libre (Freeware), ya que el shareware es cmercial, n bstante tenga cndicines y precis diferenciads en relación a un prduct cmercial n destinad a evaluación y us experimental. Sftware de Códig Abiert: denminación dada a determinad sftware cuy acces al códig fuente es franquead públicamente y, en general, gratuit. Sftware Libre: prgrama dispnible públicamente, cn acces libre y us de acuerd cn cndicines establecidas pr ls autres y sin cst de licenciamient. Nrma de Utilización de la Red de Dats Acces Discad: frma de cmunicación pr medi de una línea telefónica cnvencinal. Autenticación: prces de verificación, necesari para el acces a ls Recurss de Infrmática, que cnfirma si una entidad un bjet es quien afirma que es. Cuenta de Usuari: Credencial de Acces a la Red de Dats que identifica el Usuari que la utiliza. Su us es persnal, intransferible y de respnsabilidad del prpi Usuari. Cuenta Genérica: Credencial de Acces a la utilización de la Red de Dats que n identifica el Usuari que la utiliza. Credencial de Acces: cnjunt de infrmacines (Cuenta de Usuari y cntraseña) utilizadas en el prces de Autenticación. Dispsitiv de Autenticación: equip prtátil, utilizad en el prces de Autenticación, respnsable pr maximizar la Seguridad de la Infrmación. Lgff: Prces de finalización del us de un sistema cmputacinal recurss de la Red de Dats. Red de Dats: sn cmputadras y trs dispsitivs intercnectads que cmparten infrmacines Recurss de Infrmática. Red inalámbrica: Tecnlgía de cmunicación inalámbrica, que utiliza ndas electrmagnéticas (radi, infra-rj láser). VPN (Virtual Private Netwrk Red Virtual Privada): es una frma de cmunicación segura, realizada punt a punt, vía internet. Nrma de Utilización de Internet Internet: Red de Dats de amplia área gegráfica, que prprcina transferencia de infrmacines entre sus Usuaris. Nrma de Utilización del Crre Electrónic Antispam: Herramienta utilizada para filtrar mensajes indeseads de crre electrónic (spams). Archivs en Cuarentena: Archivs sspechss que pueden representar una amenaza al ambiente de Tecnlgía de la Infrmación. Ls archivs en cuarentena 2 Av. Brigadeir Luis Antôni, 1343 CEP Sã Paul SP

3 serán retirads autmáticamente cuand se vence el plaz establecid en el dcument anex a esta Nrma, denminad Definicines de Cntrl de Cntenid. Catálg de Direccines: agenda de direccines electrónicas existente en la aplicación de crre electrónic. Disclaimer: un avis legal declaración de respnsabilidad. Disclaimer es una referencia encntrada en mensajes electrónics y páginas de internet, que infrma ls derechs del lectr de un determinad dcument, las respnsabilidades asumidas, nrmalmente, n asumidas pr su autr. frma abreviada de E(lectrnic) Mail - Crre Electrónic. [DicWeb- Diccinari de Infrmática On-line]. Slución de Archiv de Mensajes de Crre Electrónic: sistema de clasificación de mensajes basad en reglas de retención, inicialmente establecidas pr fechas y tamañ, que tiene cm bjetiv ptimizar el prces de archiv y recuperación de mensajes de crre electrónic. Spam: mensaje n slicitad, nrmalmente indesead, y enviad a un gran númer de persnas. Nrma de Utilización de ls Sistemas Capa de Autenticación: tecnlgía que permite el acces a un más sistemas pr medi de un Prces de Autenticación. Nrma de Acces Físic al Data Center Data Center: se trata de un ambiente pryectad para hspedar Activs de Infrmática. El bjetiv principal de un Data Center es garantizar la Dispnibilidad de ls sistemas hspedads. Definicines de ls Sistemas Relacinads Nrma de Utilización de ls Activs de Infrmática Sistemas para gestión de Activs de Infrmática: AUTOMATOS GERI - Sistema de Gestión de ls Activs de Infrmática CMD-PRO Nrma de Utilización de la Red de Dats SAA - Sistema de Autenticación y Autrización SDR - Service Desk Request SCA - Sistema de Cntrl de Acces I-550 Nrma de Utilización de Internet Sistema de Seguridad: Symantec Prtectin Suite Sistema de Cntrl de Cntenid: Webwasher 3 Av. Brigadeir Luis Antôni, 1343 CEP Sã Paul SP

4 Sistema de Cmunicación Instantánea: Micrsft Office Cmmunicatr Nrma de Utilización del Crre Electrónic Sistema de Seguridad: Symantec Mail Security Aplicativ de Crre Electrónic: Micrsft Outlk Slución de Archivamient de Mensajes de Crre Electrónic: Symantec Enterprise Vault Slucines de Transferencia de Archivs: Micrsft SharePint / Servidr de Archivs Micrsft Nrma de Utilización de ls Sistemas SCA - Sistema de Cntrl de Acces SDR - Service Desk Request SAA Sistema de Autenticación y Autrización I-550 Nrma de Acces Físic al Data Center SCA - Sistema de Cntrl de Acces SDR - Service Desk Request. Definicines de ls Sistemas de Cntrl de Acces Slicitud y/ Alteración de Acces a la Red y a ls Sistemas La slicitud y/ alteración de acces a la red y a ls sistemas sn puestas a dispsición de acuerd cn ls prcess vigentes, a saber: Para el negci Ultragaz y la Crpración, es necesari utilizar el SCA - Sistema de Cntrl de Acces; Para ls negcis Oxiten y Ultracarg, es necesari utilizar el SDR - Service Desk Request; Para el negci Ipiranga, es necesari el enví del frmulari I-550 al Área de Infrmática (Cncesión de Acces a Sistemas Cmputarizads). Desblque de Acces a la Red y a ls Sistemas El desblque de acces a la red y a ls sistemas es puest a dispsición de acuerd cn ls prcess vigentes, a saber: Para el negci Ultragaz y la Crpración, es necesari utilizar el SCA - Sistema de Cntrl de Acces; Para ls negcis Oxiten y Ultracarg, es necesari utilizar el SDR - Service Desk Request; Para el negci Ipiranga, es necesari hacer el pedid en el Help Desk On-line. 4 Av. Brigadeir Luis Antôni, 1343 CEP Sã Paul SP

5 Desactivación de Acces a la Red y a ls Sistemas La desactivación de acces a la red y a ls sistemas es puesta a dispsición de acuerd cn ls prcess vigentes, a saber: Para el negci Ultragaz y la Crpración, es necesari utilizar el SCA - Sistema de Cntrl de Acces; Para ls negcis Oxiten y Ultracarg, es necesari utilizar el SDR - Service Desk Request; Para el negci Ipiranga, es necesari el enví de a la lista de distribución "Retirar Access. Definicines para Us y Elabración de Cntraseñas La cntraseña del Usuari debe tener cm mínim 6 (seis) caracteres, debiend cntener tres de las cuatr pcines psibles: letras mayúsculas, letras minúsculas, númers caracteres especiales. Ls usuaris que n utilizan sus credenciales de acces en un períd igual superir a 90 días su cuenta permanecerá blqueada. El usuari debe cambiar su cntraseña cada 90 días en cas de que cnsidere que alguien más tiene cncimient de su cntraseña. N se permite la reutilización de cualquiera de las 4 (cuatr) últimas cntraseñas registradas. Después de cinc (5) intents de acces invalid, el acces del usuari será blquead. Para realizar el desblque tendrá que pnerse en cntact cn el área de TI. La desactivación de cuentas de usuari se llevaran a cab pr el área de TI después de la ntificación pr parte del Administradr de Usuaris y se resguardan pr un períd de 5 añs. Después de este períd, la cuenta se eliminará de frma permanente. Sugerencias para elabración de una cntraseña fuerte: 1. Definir una frase cualquiera: Cpa d Mund n Brasil em 2014; 2. Utilizar la primera, segunda la última letra de cada palabra de la frase: CdMnB Intercalar substituir letras cn caracteres especiales: CMB&2@!4 Abaj se muestran alguns ejempls más de cntraseña fuerte: Frase Cntraseña Fuerte Sugerida CdMnB&2@ Cpa d Mund n Brasil em 2014 u@b&14 a@l Av. Brigadeir Luis Antôni, 1343 CEP Sã Paul SP

6 Ejempls de cmpsición de cntraseñas débiles, que n deben ser utilizadas: Nmbre y apellid, especialmente ls cntenids en el lgin del Usuari; Númers de dcuments, matrículas funcinales, cntraseñas bancarias de tarjeta de crédit, teléfns, placas de carr fechas que puedan ser relacinadas al Usuari familiares; Palabras encntradas en diccinaris; Palabras sugeridas de bjets lcales que puedan ser vists desde la mesa del Usuari; Palabras invertidas. Recmendacines en relación al us de cntraseñas Certifíquese de n estar siend bservad al digitar su cntraseña; N utilice recurss de grabación autmática de cntraseñas cuand estén dispnibles; N utilice las cntraseñas de acces a la red de Ultra para fines persnales. Dispsicines generales Al mment de deshabilitar las cuentas de usuari ls Gerentes tienen 3 pcines para ingresar al buzón de crre: Será cncedid el acces al buzón del usuari al Gerente que crrespnda, el cual tendrá acces a la infrmación pr un perid de 30 días; Tds ls nuevs mensajes serán reenviads al Gerente que crrespnda pr un perid de 30 días; Sera cncedid el acces al buzón del usuari que ha salid de la cmpañía al respectiv Gerente y tds ls nuevs mensajes que envíen para el usuari en cuestión serán redireccinads al Gerente pr un perid de 30 días. Tds ls buznes de crre de ls usuaris que saliern de la cmpañía serán eliminads definitivamente después de 90 días a partir de la desactivación de la cuenta de usuari en 120 días en cas de que el Gerente slicite acces a la infrmación. En cas de que n haya sid slicitad el acces al buzón de crre del usuari en el mment de la desactivación de la cuenta, pdrá psterirmente slicitar acces respetand el máxim de tiemp de 90 días. Definicines de la Slución de Archiv La Slución de Archiv implantada para Ultra, denminada Sant Arquiv, es un servici respnsable pr cntrlar diariamente el archiv de mensajes del crre electrónic de manera autmática y segura, cn el bjetiv de frecer mayr capacidad de almacenamient a ls buznes de ls Usuaris. Cn esta tecnlgía, deja de ser necesari el archiv lcal de mensajes del crre electrónic (archivs PSTs). Ls mensajes del crre electrónic sn archivads de acuerd cn la peridicidad de enví y recibimient, a saber: Cn hasta ds meses: n cambia nada en el prces de archivamient de mensajes; De ds meses a ds añs: ls mensajes están dispnibles en el Sant Arquiv y sn visibles para el Usuari; 6 Av. Brigadeir Luis Antôni, 1343 CEP Sã Paul SP

7 De ds a cinc añs: ls mensajes están dispnibles en el Sant Arquiv y NO sn visibles para el Usuari. Para acceder a ellsbasta utilizar el menú de búsqueda de mensajes; Superir a cinc añs: ls mensajes sn transferids a cinta y para accederls es necesari hacer un pedid en el Service Desk. El tiemp máxim de almacenamient es de 10 añs; Tds ls mensajes de más de 05 (cinc) MB, independiente de la fecha, sn transferids autmáticamente al Sant Arquiv. Ejempls de dminis Ultra ultra.cm.br ultragaz.cm.br xiten.cm.br transultra.cm.br ultracarg.cm.br tequimar.cm.br gultra.cm.br utingas.cm.br brasilgas.cm.br grupultra.cm.br spgas.cm.br xiten.cm xiten.cm.ar xiten.eu emca.cm.br uniaterminais.cm.br uniavpak.cm.br glpbrasil.cm.br ipiranga.cm.br redeipiranga.cm.br Definicines de Dispsitivs de Autenticación El acces físic al Data Center (Sã Paul) se cntrla pr medi de las siguientes tecnlgías, a saber: Data Center principal Sistema de autenticación bimétrica; Data Center de cntingencia Tarjeta de identificación magnética. 7 Av. Brigadeir Luis Antôni, 1343 CEP Sã Paul SP

8 Dcuments Relacinads Plítica de Seguridad de la Infrmación; Nrma de Utilización de ls Activs de Infrmática; Nrma de Utilización de la Red de Dats; Nrma de Utilización de Internet; Nrma de Utilización del Crre Electrónic; Nrma de Utilización de ls Sistemas; Nrma de Acces Físic al Data Center. Direccines de Acces SCA Sistema de Cntrl de Acces: SDR Service Desk Request: Av. Brigadeir Luis Antôni, 1343 CEP Sã Paul SP