Manual de Segurança de Redes de Computadores e Acesso a Internet para Casas Legislativas Brasileiras

Objetivo Geral

Este documento tem o objetivo de construir um manual de políticas de segurança para redes de computadores e acesso a internet, direcionado às Casas Legislativas Brasileiras. Existe também um documento sobre políticas de segurança no portal Interlegis.

Premissas iniciais sobre segurança

  • 'Educação'
  • Sobre segurança: se o usuário conhece os problemas ele irá se afastar deles ou pelo menos teme-los.
  • Sobre deveres e direitos: se o usuário tiver conhecimentos de quais são os seus deveres como servidor público ele em tese procurará cumpri-los, quanto aos direitos pode ficar despreocupados todos procuram saber.
  • Motivação: Motivar o servidor a utilizar o seu tempo de navegação com boas praticas, onde ele possa ganhar uma melhor perfomance, ter uma melhora no nível de satisfação dos seus clientes e melhorar o seu curriculo
  • 'Regras' - Se existirem regras sobre o que pode, o que não pode e o que as vezes pode ser trafegado na rede, simplesmente algum problemas podem ser resolvidos
  • 'Base sólida' - Se sua base de trabalho é sólida vc estará menos propenso a problemas na rede, ou seja seu SO tem que ser seguro, seu Browser também e os serviços que vc utiliza também.

Tipo de confiança

'No acesso a Internet': Limita acesso a sites não relacionados ao trabalho.

Exemplo:

  • Sites de Relacionamento
  • Pornográficos e afins
  • Downloads e afins

Ambiente

Em locais de trabalho público, precisamos inicialmente conscientizar o publico interno.

  1. O que pensaria um munícipe que ao chegar a uma repartição.... tenho que esperar o Funcionário Público terminar uma mensagem no site de relacionamento ou terminar um assunto pessoal pendente.
  1. Qual o tipo de imagem que passaremos para a sociedade??

Políticas simples

  • No ato da contratação, fazer o funcionário ler e entender uma declaração que ele esta dentro de um ambiente que usa a rede de dados para trabalho e não para satisfação pessoal. – 'Limitar acesso a sites relacionados ao trabalho'
  • listas de liberação – tudo bloqueado e a pedido de algum cargo de decisão, é liberado e guardado o histórico documental para amparar o setor de tecnologia. Se pedir para liberar o www.nomequelembraalgo.com.pt, terá o nome de quem autorizou.
  • Nova censura?? Digital?? – Se o publico interno estiver muito bem instruído, não teremos problema.

Copiar iniciativa privada

  1. E-mail particular bloqueado.
  1. Todos tem direito a usar o e-mail corporativo. Este e-mail passa por um filtro e registra Anexos mp3, wma, wmv, já são barrados na entrada.
  1. Assinar termo de compromisso e de confiabilidade dos dados.

Baixar músicas, programas

  • Recomendo o bloqueio das portas de download de musicas!! (consomem banda sem fundo produtivo!!!)
  • Podemos bloquear os sites do tipo do youtube ou vídeo stremmers.
  • Liberado uso de dispositivos de massa externos (pen-drives, mp3-player e etc).

Reciclagem e Memorando Internos

Precisamos informar, de tempos em tempos que e-mails não abrir, que nova onda de e-mails falsos da receita, telegramas, foto mensagens, etc...

Não baixar programas de sites que não são de confiança??? devemos permitir downloads na rede??

Promover palestras e cursos, sobre o assunto. Segundo Kevin Mitnick (http://pt.wikipedia.org/wiki/Kevin_Mitnick|) A falha de segurança é na maior parte das vezes relacionado ao material humano. Os próprios funcionários, voluntaria ou involuntariamente são o elo fraco na segurança de uma rede!!!

Ferrramentas para o gestor da gede

  • Ubuntu (ou outra distribuição GNU/Linux)
  • Iptables
  • Squid
  • Sarg
  • Ntop
  • nmap
  • arp

Observações

Ângelo, por oportuno - se ainda nao o fizeram, sugiro que o tema: "Políticas de Segurança em TI para as Casas Legislativas" seja colocado em debate no próximo encontro do GITEC. Até lá possam ser postados aqui os itens para compor a pauta... É possível através da definição / aceitação q " Boas práticas... Políticas Globais" formuladas pela Comunidade possam nortear procedimentos nas Casas? Tb como forma de divisão de responsabilidades? acho q sim...

[]'s Morale SPDT/Interlegis

Algumas Opiniões

José Dantas Filho (Interlegis Sede)

A questão principal aqui não é existência ou não de lei. É uma questão de bom senso.

Existem razões que vão desde a questão do uso de banda até a questão da segurança interna das redes para limitar ou proibir acessos a recursos externos. Portanto, cabe, primeiramente, a definição de política de uso, a ser definida com os responsáveis pela gestão tecnológica e autoridades da casa.

O que existe "oficial", fora as políticas de cada órgão, são decisões judiciais brasileiras sobre questões pertinentes ao uso de redes, inclusive algumas que estabelecem que não há sigilo de comunicação em ambientes corporativos, que já foi citada indiretamente no e-mail do Gabriel. Ou seja: se o órgão resolver rastrear e-mail ou qualquer coisa assim, está sob a proteção da lei. Já tivemos, inclusive, alguns casos no próprio Senado, como funcionários de gabinetes que utilizaram os sistemas da casa para enviar spam, caluniar colegas etc. Para identificálos, basta a ação do órgão responsável, sem precisar de autorização de quebra de sigilo das comunicações. Também existe decisão no sentido que burlar essas regras podem ser motivo de recisão de contratos de trabalho ou punições administrativas. Resumindo, as redes pertencem aos órgãos ou empresas, que decidem o que pode e o que não pode e quais as eventuais punições.

Cuidado, apenas, porque alguns casos fartamente noticiados dizem respeitos a decisões de cortes estrangeiras que, por motivo óbvio, não valem por aqui. Quantas vezes por dia recebemos spam de empresas brasileiras, rotulados com base na legislação norte-americana?...

Algumas políticas são meio extremadas. O PRODASEN, por exemplo, bloqueava sites e palavras chaves como sexo, o que impedia os consultores que trabalham com legislação relacionada a anti-pedofilia, AIDS e DSTs, educação sexual etc., por exemplo, de fazerem pesquisas na internet... Outro problema frequente é o uso de sites classificadores estrangeiros, que também não são perfeitos e às vezes bloqueiam páginas por engano.

Melhor política: controle + regras claras + bom senso + flexibilidade para ajustes.

No tempo em que atuava como professor em escolas secundárias, nos primórdios da Internet, destacávamos alguns funcionários da área técnica para fazerem uma conferência rápida nos links visitados por alunos. Todas as páginas impróprias identificadas eram redirecionada para o site da Disney ;-) Era mais eficaz do que bloquear.

PS.: Só um detalhe pequeno: pornografia (para maiores de 18 e com modelos maiores de 18) e diversão nao são ilegais. Só são absolutamente inconvenientes para determinados ambientes, especialmente serviço público. São passíveis de punição se houver regra interna, seja ela referente ao uso de rede ou ao comportamento do funcionário em geral (estatuto do funcionalismo, regimento administrativo etc.). Me lembro de um caso a uns 10 anos, de um funcionário barrado por estar portando uma revista playboy, mas não me lembro dos detalhes da decisão, se é que houve.

Eduardo Ishida (Câmara Municipal de Ribeirão Preto)

Este tema é constante no Gitec, temos a ala dos que apóiam a liberdade e os que apóiam os bloqueios.

Sou questionado diversas vezes por dia sobre os bloqueios. (Na CM de Ribeirão Preto apoiamos os bloqueios)

No passado, não tínhamos um bloqueios muito eficiente, passavam os proxys, mensageiros online, redes sociais, etc...

Houve uma solicitação à presidência para que melhorássemos os bloqueios, pois alguns funcionários tinham o tempo efetivo de trabalho reduzido quando ficavam navegando na internet sem o foco de ser profissionalmente.

Veio a ordem para apertarmos o bloqueio, fizemos.

A produção melhorou, não havia mais a necessidade dos chefes se indisporem com os funcionários, o clima dentro dos setores melhorou.

Problema: Viramos o foco das reclamações. Mas amparados pelas presidências seguintes estamos seguindo com os bloqueios.

Quando surge alguma reclamação direta do setor, vamos in-loco e explicamos o que ocorre.

Temos uma banda speedy de 2Mb para muitos micros, o que antes não era suficiente para todos, continuamos precisando de upgrade de link, porém, agora é possível navegar durante o dia todo, sem muita dificuldade.

Costumo usar um exemplo que vi nos corredores, um munícipe sem saber que trabalho na casa, reclamou de um atendimento que recebeu em um gabinete que a funcionária não saia do mensageiro instantâneo para atendê-la.

Pedem para liberar Rádios da capital On-line por diversos motivos, falo que se uma pessoa usa o link para baixar música, ouvir rádio ou assistir vídeos, ele consumirá uma banda equivalente a muitos usuários realizando pesquisas. A CM já tem assinaturas de jornais para suprirem estas necessidades.

O difícil é ver que tem gente que usa de maneira acertada e correta que vai ser bloqueada, uma penalização dos bons pelo maus hábitos dos outros.

Uma boa dica é instalar tudo, fazer log dos sites visitados, e mostrar o consumo de banda ao presidente.

Alguém reclama de lentidão? Ponto positivo! Esta pessoa com certeza apoiará o bloqueio de conteúdo indevido.

Um bom começo é passar uma circular interna, dizendo que a CM fará restrições ao uso da internet, será gerado log do que foi acessado.

A coisa mais bonita que eu ouvi foi numa palestra do ENIAL, que nosso amigo Felpudinho falou: - "...Na CM temos bloqueio de conteúdo, restringimos acesso a assuntos ligados a racismo, discriminação, pornografia e pedofilia...". Isso é o mínimo do que podemos esperar de uma administração correta e transparente.

Boa Sorte!! Acho que legislação deve partir da própria casa! Acho que os Gitec'ers poderão complementar as informações e lançar críticas ao que falei!! Se vc tiver estações windows, a rede com restrições diminuirão as incidências de vírus e necessidades de formatação de micros. :) (mas não acaba!!! rs.. use linux!!!)

Angelo Marcondes de Oliveira Neto (Câmara Municipal de Carneirinho)

Desconheço legislação neste sentido, mas é sempre bom lembrar que as casas legislativas seguem a suprema lei do país a nossa querida e conhecidíssima "constituição federal", sendo assim temos alguns princípios:

  • "Economicidade" já que o contribuinte não é obrigado a pagar para o

servidor publico se divertir, jogar ou ver pornografia.

  • "Legalidade" a infraestrutura da câmara não deve ser utilizada para

diversão, pornografia, pedofilia ou para praticar crimes como pirataria e jogatina.

  • "Igualdade" Se o servidor da câmara tem acesso ao esses tipos de

serviço, toda a sua comunidade também deverá ter também.

Além disso temos a questão de "segurança", já que como administradores da rede temos que prezar pela segurança das informações de nossos usuários, sendo assim temos que ter regras e estas devem ser claras e objetivas. Ou seja, na rede interna sempre haverá o que pode ser trafegado e o que não pode, e também o que as vezes pode.

É claro que as coisas que "as vezes podem" jamais poderão interferir na segurança e no andamento dos trabalhos e informações.

É ainda, mas já finalizando, temos como administradores de rede ter a frase do poeta romano Juvenal "Quis custodiet ipsos custodes", ou seja "Quem guardará o guardião?". Falo isso pq já como administradores de redes temos muito que prezar pela nossa consciência justa e nunca cometer a soberba de que tudo que fazemos é lei, e é para nossa segurança.

Agora, finalizando realmente, coloco algumas técnicas de como vender seu peixe, sem te-lo que fazer descer por goela abaixo, quanto ao assunto em questão:

  • Sempre tenha as estatísticas da utilização para diversão e para o trabalho

de sua rede (Utilize o SARG) e saiba que seus chefes e amigos vão se surpreender

  • Tenha sempre argumentos técnicos de que o que foi bloqueado realmente teve

que ser bloqueado;

  • Coloque no aviso do bloqueio, que esta é uma norma da instituição e que o

tráfego da rede também e de propriedade da mesma;

  • Trate sempre os dados e logs sobre o trafego e bloqueios com total sigilo,

já que estes dados só devem ir ao publico se houver necessidade e também embasamento jurídico. Resumindo "nada de ficar olhando o tráfego daquele cara que vc suspeita que é meio esquisito, para ficar contando para todo mundo"

  • Deixe sempre no aviso de bloqueio o seu ramal, im e e-mail para

solicitações de desbloqueio, afinal há sempre sites que podem ser desbloqueados;

  • Tenha sempre certeza que uma hora irá existir uma excesso a regra, sendo

assim tenha os meios técnicos para fazer isso. Exemplificando, em minha rede é proibido o download de mp3, mas arquivos em mp3 da constituição federal e da ALMG podem, é claro que aqui aplicamos uma regra de banda onde apenas uma mínima parte da banda geral será direcionada pra ele, ou seja "Trafic Shapping interno"

Nussa falei heim, espero ter ajudado.

Referências

Última modificação 10 anos atrás Última modificação em 13/10/2009 16:27:39
 

The contents and data of this website are published under license:
Creative Commons 4.0 Brasil - Atribuir Fonte - Compartilhar Igual.