Agora, mais do que nunca, as equipas de tecnologia e de conformidade têm de trabalhar em conjunto para proteger a integridade das suas organizações. As informações sensíveis são armazenadas e transferidas em formato digital e os regulamentos associados estão a tornar-se cada vez mais rigorosos e complexos. Enquanto a conformidade é responsável pela identificação dos regulamentos relativos à segurança da informação, as equipas de tecnologia devem identificar e implementar as soluções mais fortes para cumprir esses regulamentos.
O Active Directory é uma aplicação fundamental para garantir a conformidade, uma vez que funciona como uma janela para as atividades e políticas de TI de uma organização — deve ser protegido para manter a integridade corporativa e a conformidade. Qualquer empresa que lide com dados confidenciais de clientes, tais como registos financeiros ou de saúde, deve garantir a segurança do seu ambiente do Active Directory e realizar auditorias regulares para detetar riscos de segurança da informação. Quando não são monitorizadas ativamente, as contas de utilizador inativas e os controlos frouxos em torno do acesso administrativo representam ameaças à segurança do Active Directory e colocam as organizações em risco de incumprimento.
Conformidade com a segurança da informação
As regulamentações, como a SOX e a HIPAA, foram criadas para proteger os consumidores e os accionistas, exigindo que as organizações auditem o Active Directory quanto a comportamentos suspeitos, protejam os registos digitais contra utilização indevida e protejam as informações privadas dos clientes. Embora a regulamentação específica possa variar consoante o sector, a regra geral é a mesma: estabelecer procedimentos e controlos que protejam as informações sensíveis da sua empresa. Com tantas leis para cumprir, é difícil saber quais os regulamentos que se aplicam à sua empresa, pelo que descodificámos os acrónimos dos regulamentos para tornar a conformidade um pouco mais fácil de seguir.
SOX: S significa «Acionista» — A Lei Sarbanes-Oxley (SOX) exige que qualquer empresa cotada em bolsa estabeleça procedimentos para proteger os registos financeiros contra a destruição, a perda e a utilização indevida, com o objetivo de proteger os acionistas da empresa e reduzir a possibilidade de fraude empresarial. A SOX exige também que a empresa audite e apresente relatórios sobre esses controlos.
PCI: P significa Pagamentos - A norma Payment Card Industry Data Security Standard (PCI DSS) estabelece que qualquer empresa que aceite pagamentos com cartão, através do armazenamento, processamento e transmissão de dados dos titulares de cartões, deve alojar esses dados de forma segura, recorrendo a um fornecedor de serviços de alojamento em conformidade com a norma PCI. Para estar em conformidade com a norma PCI, é necessário monitorizar todos os acessos aos recursos de rede, testar regularmente os sistemas de segurança e manter uma política de segurança da informação.
GLBA: GL significa «Gives Loans» (Conceder Empréstimos ) — A Lei Gramm-Leach-Bliley (GLBA), também conhecida como Lei de Modernização Financeira de 1999, regula a forma como as instituições financeiras tratam as informações privadas dos clientes. A Regra de Medidas de Proteção da GLBA exige que todas as instituições financeiras criem, implementem e mantenham medidas de proteção para salvaguardar as informações dos clientes. Nos termos da Regra de Medidas de Proteção, as instituições financeiras devem identificar os riscos operacionais para os dados dos clientes, implementar um programa de segurança da informação e auditar regularmente o programa de medidas de proteção.
HIPAA: H significa Saúde — A HIPAA, ou Lei de Portabilidade e Responsabilidade dos Seguros de Saúde, foi inicialmente criada para proteger a cobertura de cuidados de saúde das pessoas que perdem ou mudam de emprego e evoluiu agora para um conjunto de normas destinadas a garantir a segurança dos dados dos doentes. A HIPAA exige que qualquer empresa que lide com informações de saúde protegidas (PHI) implemente e cumpra medidas de segurança físicas, de rede e de processos. As PHI transmitidas eletronicamente, ou e-PHI, estão protegidas ao abrigo da Regra de Segurança da HIPAA e as organizações devem proteger estas informações, identificando e defendendo-as contra ameaças.
FISMA: O «F» significa Governo Federal — A Lei Federal de Gestão da Segurança da Informação (FISMA) foi promulgada pelo Departamento de Segurança Interna com o objetivo de proteger a informação, as operações e os ativos do governo contra todas as ameaças, sejam elas naturais ou provocadas pelo homem. Estabelece ainda que as agências governamentais devem implementar ferramentas para auditar os seus programas de segurança da informação, testar os procedimentos de segurança e realizar avaliações periódicas de risco.
Auditoria e conformidade do Active Directory
Independentemente do setor, regulamentações como essas exigem que as organizações monitorem seu ambiente de TI para detectar e corrigir possíveis ameaças. O Semperis Active Directory State Manager (ADSM) ajuda as organizações a manter a conformidade por meio de auditoria em tempo real e relatórios sobre possíveis lacunas, incluindo:
- Auditoria das alterações ao Active Directory - As auditorias governamentais exigem que as organizações saibam que alterações estão a ser feitas e quem as está a fazer.
- Identificar contas activadas inactivas - As contas obsoletas e não utilizadas representam um risco para a segurança do Active Directory porque podem ser exploradas e utilizadas como vectores de violação.
- Acompanhamento de contas de utilizadores sensíveis e privileg iados - O acompanhamento de modificações em contas de utilizadores sensíveis e privilegiados permite-lhe garantir que a sua empresa está a cumprir as políticas de segurança da informação implementadas como parte dos regulamentos de segurança da informação.
A maioria destes regulamentos de segurança da informação foi criada na sequência da crise financeira e dos escândalos empresariais que ocorreram no início do século. À medida que os ciberataques aumentam em frequência e escala, e à luz das grandes violações ocorridas no último ano, as organizações tornaram-se mais sensíveis às questões de cibersegurança. Estão a ser estabelecidas novas regulamentações para garantir que as empresas estão a implementar medidas de cibersegurança para proteger dados sensíveis contra violações de dados. Para se antecipar, é essencial começar a auditar activamente o Active Directory e proteger contra ameaças e corrigi-las.
