A tal Lei Azeredo é, na verdade, um apanhado de projetos de lei (alguns que alteram o código penal, a constituição ou o código militar) que quer criar crimes e penas para coisas que são, afinal, crimes, mas não estão devidamente previstos em lei, como fraudes, phishing, disseminação de vírus e etc. Parece um motivo nobre. Então Azeredo é herói, vilão, ou nenhum dos dois?
A seguir, o projeto de lei, que dispõe sobre os crimes cometidos na área de informática, suas penalidades e dá outras providências.
O Congresso Nacional decreta:
CAPÍTULO I
DOS PRINCÍPIOS QUE REGULAM A PRESTAÇAO DE SERVIÇO POR REDES DE COMPUTADORES
Art. 1º - O acesso, o processamento e a disseminação de informações através das redes de computadores devem estar a serviço do cidadão e da sociedade, respeitados os critérios de garantia dos direitos individuais e coletivos e de privacidade e segurança de pessoas físicas e jurídicas e da garantia de acesso às informações disseminadas pelos serviços da rede.
Art. 2º - É livre a estruturação e o funcionamento das redes de computadores e seus serviços, ressalvadas as disposições específicas reguladas em lei.
CAPÍTULO II
DO USO DE INFORMAÇÕES DISPONÍVEIS EM COMPUTADORES OU REDES DE COMPUTADORES.
Art. 3º - Para fins desta lei, entende-se por informações privadas aquelas relativas a pessoa física ou jurídica identificada ou identificável.
Parágrafo único. É identificável a pessoa cuja individuação não envolva custos ou prazos desproporcionados.
Art. 4º - Ninguém será obrigado a fornecer informações sobre sua pessoa ou de terceiros, salvo nos casos previstos em lei.
Art. 5º - A coleta, o processamento e a distribuição, com finalidades comerciais, de informações privadas ficam sujeitas à prévia aquiescência da pessoa a que se referem, que poderá ser tomada sem efeito a qualquer momento, ressalvando-se o pagamento de indenizações a terceiros, quando couberem.
§ 1º. A toda pessoa cadastrada dar-se-á conhecimento das informações privadas armazenadas e das respectivas fontes.
§ 2º. Fica assegurado o direito à retificação de qualquer informação privada incorreta.
§ 3º. Salvo por disposição legal ou determinação judicial em contrário, nenhuma informação privada será mantida à revelia da pessoa a que se refere ou além do tempo previsto para a sua validade.
§ 4º. Qualquer pessoa, física ou jurídica, tem o direito de interpelar o proprietário de rede de computadores ou provedor de serviço para saber se mantém informações a seu respeito, e o respectivo teor.
Art. 6º - Os serviços de informações ou de acesso a bancos de dados não distribuirão informações privadas referentes, direta ou indiretamente, a origem racial, opinião política, filosófica, religiosa ou de orientação sexual, e de filiação a qualquer entidade, pública ou privada, salvo autorização expressa do interessado.
Art. 7º - O acesso de terceiros, não autorizados pelos respectivos interessados, a informações privadas mantidas em redes de computadores dependerá de prévia autorização judicial.
CAPÍTULO III
DOS CRIMES DE INFORMÁTICA
Seção I
Dano a dado ou programa de computador
Art. 8º - Apagar, destruir, modificar ou de qualquer forma inutilizar, total ou parcialmente, dado ou programa de computador, de forma indevida ou não autorizada.
Pena: detenção, de um a três anos e multa.
Parágrafo único. Se o crime é cometido:
I - contra o interesse da União, Estado, Distrito Federal, Município, órgão ou entidade da administração direta ou indireta ou de empresa concessionária de serviços públicos;
II- com considerável prejuízo para a vítima;
III - com intuito de lucro ou vantagem de qualquer espécie, própria ou de terceiro;
IV - com abuso de confiança;
V - por motivo fútil;
VI - com o uso indevido de senha ou processo de identificação de terceiro , ou
VII - com a utilização de qualquer outro meio fraudulento.
Pena: detenção, de dois a quatro anos e multa.
Seção II
Acesso indevido ou não autorizado
Art. 9º Obter acesso, indevido ou não autorizado, a computador ou rede de computadores.
Pena: detenção, de seis meses a um ano e multa.
Parágrafo primeiro. Na mesma pena incorre quem. sem autorização ou indevidamente, obtém, mantém ou fornece a terceiro qualquer meio de identificação ou acesso a computador ou rede de computadores.
Parágrafo segundo. Se o crime é cometido:
I - com acesso a computador ou rede de computadores da União, Estado, Distrito Federal, Município, órgão ou entidade da administração direta ou indireta ou de empresa concessionária de serviços públicos;
II - com considerável prejuízo para a vítima;
III - com intuito de lucro ou vantagem de qualquer espécie, própria ou de terceiro;
IV - com abuso de confiança;
V - por motivo fútil;
VI - com o uso indevido de senha ou processo de identificação de terceiro; ou
VII - com a utilização de qualquer outro meio fraudulento.
Pena: detenção, de um a dois anos e multa.
Seção III
Alteração de senha ou mecanismo de acesso a programa de computador ou dados
Art. 10. Apagar, destruir, alterar, ou de qualquer fama inutilizar, senha ou qualquer outro mecanismo de acesso a computador, programa de computador ou dados, de forma indevida ou não autorizada.
Pena: detenção, de um a dois anos e multa.
Seção IV
Obtenção indevida ou não autorizada de dado ou instrução de computador
Art. 11. Obter, manter ou fornecer, sem autorização ou indevidamente, dado ou instrução de computador.
Pena: detenção, de três meses a um ano e multa.
Parágrafo Único. Se o crime é cometido:
I - com acesso a computador ou rede de computadores da União, Estado, Distrito Federal, Município, órgão ou entidade da administração direta ou indireta ou de empresa concessionária de serviços públicos;
II - com considerável prejuízo para a vítima;
Parágrafo Único. Se o crime é cometido:
I - com acesso a computador ou rede de computadores da União, Estado, Distrito Federal, Município, órgão ou entidade da administração direta ou indireta ou de empresa concessionária de serviços públicos;
II - com considerável prejuízo para a vítima;
III - com intuito de lucro ou vantagem de qualquer espécie, própria ou de terceiro;
IV - com abuso de confiança;
V - por motivo fútil;
VI - com o uso indevido de senha ou processo de identificação de terceiro; ou
VII - com a utilização de qualquer outro meio fraudulento.
Pena: detenção, de um a dois anos e multa.
Seção V
Violação de segredo armazenado em computador, meio magnético, de natureza magnética, óptica ou similar
Art. 12. Obter segredos, de indústria ou comércio, ou informações pessoais armazenadas em computador, rede de computadores, meio eletrônico de natureza magnética, óptica ou similar, de forma indevida ou não autorizada.
Pena: detenção, de um a três anos e multa.
Seção VI
Criação, desenvolvimento ou inserção em computador de dados ou programa de computador c nocivos
Art. 13. Criar, desenvolver ou inserir, dado ou programa em computador ou rede de computadores, de forma indevida ou não autorizada com a finalidade de apagar, destruir, inutilizar ou modificar dado ou programa de computador ou de qualquer forma dificultar ou impossibilitar, total ou parcialmente, a utilização de computador ou rede de computadores.
Pena: reclusão, de um a quatro anos e multa.
Parágrafo único. Se o crime é cometido:
I - contra a interesse da União, Estado, Distrito Federal. Município, órgão ou entidade da administração direta ou indireta ou de empresa concessionária de serviços públicos;
II - com considerável prejuízo para a vítima;
III - com intuito de lucro ou vantagem de qualquer espécie, própria ou de terceiro;
IV - com abuso de confiança;
V - por motivo fútil;
VI - com o uso indevid6 de senha ou processo de Identificação de terceiro; ou
VII - com a utilização de qualquer outro meto fraudulento.
Pena: reclusão, de dois a seis anos e multa.
Seção VII
Veiculação de pornografia através de rede de computadores
Art. 14. Oferecer serviço ou informação de caráter pornográfico, em rede de computadores, sem exibir, previamente, de forma facilmente visível e destacada, aviso sobre sua natureza, indicando o seu conteúdo e a inadequação para criança ou adolescentes.
Pena: detenção, de um a três anos e multa.
CAPITULO IV
DAS DISPOSIÇÕES FINAIS
Art. 15. Se qualquer dos crimes previstos nesta lei é praticado no exercício de atividade profissional ou funcional, a pena é aumentada de um sexto até a metade.
Art. 16. Nos crimes definidos nesta lei somente se procede mediante representação do ofendido, salvo se cometidos contra o interesse da União, Estado, Distrito Federal Município, órgão ou entidade da administração direta ou indireta, empresa concessionária de serviços públicos, fundações instituídas ou mantidas pelo poder público, serviços sociais autônomos, instituições financeiras ou empresas que explorem ramo de atividade controlada pelo poder público, casos em que a ação é pública incondicionada.
Art. 17. Esta lei regula os crimes relativos à informática sem prejuízo das demais comunicações previstas em outros diplomas legais.
Art 18. Esta lei entra em vigor 30 (trinta) dias a contar da data de sua publicação.
Fonte: http://www.brdatanet.com.br/infocenter/biblioteca/pl8499.htm
sexta-feira, 19 de novembro de 2010
As melhores práticas em Forense Computacional
Na área de Forense Digital, a excelência não é uma opção, é uma necessidade operacional.
Segue a lista de sugestões de medidas para um boa investigação computacional.
1. Registre as informações do seu caso dentro do seu gerenciador de banco de dados de casos em seu laboratório ou em seu casebook;
2. Analise e Documente os sistemas do computador em análise, tendo o cuidado de realizar rigorosamente um controle de registros tanto internos quanto externos:
- Arquivos digitais;
- Notas das Ações;
- Notas dos Horários;
3. Determine o Método de Aquisição, Visualização (se aplicável), e Adquira a imagem da mídia;
4. Certifique-se de que todos os setores da unidade foram Identificados e efetivamente adquiridos (HPA determinar se está presente ou DCO);
5. Faça uma Cópia de Backup* de todas as imagens, guarde os originais em um local seguro, e conduza o seu exame em cópias;
6. Obtenha todos os sistemas, de uma vez, a partir de todas as máquinas em análise e, simultaneamente, anote o tempo de espera de cada uma, antes alinhe seu Time Zone;
7. Quanto às imagens a serem adquiridas e levadas para o caso, certifique-se de que o arquivo está verificado quanto à integridade;
8. Sobre o Preview das imagens adquiridas, determinar o total de setores sobre os vários dispositivos;
9. Reconcilie os setores, com setores dentro das partições, e verifique se todas as partições estão certas, montadas e contabilizadas.
10. Recupere e Monte qualquer partição deletada;
*Algumas Ferramentas já têm ações para Backups automatizadas.
Fonte: http://imasters.uol.com.br/artigo/12121/forense/10_melhores_praticas_para_uma_investigacao_forense_digital/
Sites de ferramentas de Segurança
Análise de IPs/URLs em blacklists
Análise de IPs em múltiplas DNSBL (Spam):
http://multirbl.valli.org/
Análise de Malware em múltiplos Anti-Vírus
http://www.virustotal.com
http://virusscan.jotti.org
http://virscan.org
http://scanner.novirusthanks.org
Sandboxes (reporte de execução):
http://anubis.iseclab.org
http://www.norman.com
http://www.joedoc.org
https://www.vicheck.ca
http://wepawet.iseclab.org
Análise de Capturas de Rede
http://cloudshark.org
http://pcapr.net
https://www.vicheck.ca
http://wepawet.iseclab.org
http://jsunpack.jeek.org
Verificação de Hashes MD5 em White/BlackLists:
http://fileadvisor.bit9.com
https://hash.cymru.com
http://isc.sans.edu/tools/hashsearch.html
http://bin-test.shadowserver.org/
Verificação de Hashes MD5 em White/BlackLists:
http://fileadvisor.bit9.com
https://hash.cymru.com
http://isc.sans.edu/tools/hashsearch.html
http://bin-test.shadowserver.org/
LM Hash Cracker (XP / rainbowtable)
Análise de Capturas de Rede
http://cloudshark.org
http://pcapr.net
Blogs de Segurança da Informação Brasileiros
O perito Computacional e sua conduta profissional
Reconstruir o passado, vasculhar indícios, apurar autoria de incidentes cometidos com a ajuda da tecnologia, a carreira na perícia digital amadurece a cada ano e com os crimes cometidos cada vez mais utilizando meios eletrônicos, é preciso se aprofundar nas técnicas obscuras utilizadas pelos criminosos digitais e entender como eles agem, mesmo que se seja necessário o contato de informações confidenciais.
O profissional na área forense, apesar de todo o seu conteúdo técnico, experiência, networking qualificado, precisa se preocupar com a sua conduta profissional nos meios da sociedade, pois esta, será determinante para a sua credibilidade. Um investigador forense não pode durante a perícia, ficar contando piada, chacotas, divulgando trabalhos forenses passados, informações estas, protegidas pelo sigilo profissional para as pessoas ao seu redor.
Os investigadores devem mostrar um nível ético incontestável, garantindo a sua integridade e demonstrando a sua capacidade para os trabalhos forenses. Deve-se atentar para sua integridade moral, promovendo a imagem de um profissional forense responsável, dedicado e que espera fazer o melhor possível em cada trabalho a ser desenvolvido.
Em cada caso, é salutar comentar as o caso em concreto com as pessoas ou partes envolvidas no caso, as quais devem ser informadas ou consultadas, para dirimir qualquer dúvida a respeito das informações acolhidas. Não se pode trocar informações por pura curiosidade de pessoas próximas ao investigado, nem divulgar os dados colhidos nos meios de comunicação sem a devida autorização das autoridades competentes, titulares dos casos de perícia.
Assim como um dos pilares da segurança da informação, a confidencialidade do perito forense é uma característica essencial que todo o trabalhador forense deve mostrar. Toda a informação obtida no caso, não pode ser divulgada e nem ter proveito próprio, mantendo o sigilo necessário e dessa forma, solidificando ainda mais a figura do investigador forense, um trabalho que merece respeito e dedicação.
Infelizmente, muitos técnicos de informática fazem cursos rápidos de perícia em computação forense ou somente leem um livro especializado no assunto e acreditam que já são peritos. A consequência dessa mentalidade é visivelmente notada no meio jurídico, onde os magistrados confiam na palavra do especialista , gerando laudos periciais superficiais, sem técnica e que são facilmente contestados por um bom advogado que possua sólidos conhecimentos de computação forense.
Atualmente, muitos incidentes de segurança estão relacionados à web, ou seja, das vulnerabilidades na web. Para tanto, profissionais de computação forense com bagagem em programação, penetration test e banco de dados possuem uma demanda muito grande para serviços de auditoria de log, análise de código fonte, etc. O perito ao fazer o seu trabalho, pode ter acesso à informações do cliente que são dados estratégicos da companhia, que uma vez divulgados na internet, acarretariam enormes consequências, como uma falência, por exemplo.
Contudo, o papel do especialista em computação forense tem se revestido de grande importância a cada dia, tornando-se um grande desafio para órgãos públicos e grandes corporações se cercarem de profissionais experientes e com conhecimento técnico adequado. Porém, devemos nos preocupar em fazer o trabalho de perícia forense respeitando as normas, procedimentos e acima de tudo: a ética profissional.
Fonte: http://www.tiespecialistas.com.br/2010/08/perito-em-computacao-forense-mantendo-uma-conduta-profissional/
Fonte: http://www.tiespecialistas.com.br/2010/08/perito-em-computacao-forense-mantendo-uma-conduta-profissional/
Políticas de Segurança
Política de segurança, de acordo com Beal (2005, p. 43), é o documento que registra os princípios e as diretrizes de segurança adotados pela organização, os quais devem ser observados por todos os seus integrantes e colaboradores e aplicados a todos os sistemas de informação organizacionais.
Uma política de segurança deve alcançar vários setores da organização. Para entendermos alguns outros benefícios alcançados, podemos desmembrar a segurança em quatro grandes aspectos:
01. Segurança computacional
Conceitos e técnicas utilizados para proteger o ambiente informatizado contra eventos inesperados que possam causar qualquer prejuízo.
02. Segurança Lógica
Procedimentos e recursos para prevenir acesso não autorizado, dano e interferência nas informações e instalações físicas da organização.
03. Continuidade de negócios
Estrutura de procedimentos para reduzir, em um nível aceitável, o risco de interrupção ocasionada por desastres ou por falhas por meio da combinação de ações de prevenção e de recuperação.
04. Tempo
É importante observar que os valores agregados à organização com a implementação de política e seus benefícios precisam de um tempo para maturação, mas, como dito anteriormente, alguns já são atingidos assim que a política é colocada em prática, outros podem ser divididos conforme Ferreira e Araújo (2006) em:
Curto Prazo:
· Formalização e documentação dos procedimentos de segurança adotados pela empresa.
· Implementação de novos procedimentos e de controles.
· Prevenção de acessos não autorizados, danos ou interferência no andamento dos negócios, mesmo nos casos de falhas ou de desastres.
· Maior segurança nos processos do negócio.
Médio Prazo
· Padronização dos procedimentos de segurança incorporados na rotina da empresa.
· Adaptação segura de novos processos do negócio.
· Qualificação e quantificação dos sistemas de resposta a incidentes.
· Conformidade com os padrões de segurança, como a NBR ISO/IEC 17799.
Longo Prazo
· Retorno sobre o investimento realizado por meio da redução da incidência de problemas relacionados à segurança.
· Consolidação da imagem associada à Segurança da Informação.
Exemplos de Políticas de Segurança
· A qualidade de nossos serviços é um bem de valor inestimável e de fundamental importância para nossa empresa. A continuidade de nossos negócios, operando com qualidade e competitividade depende da confidencialidade, da integridade e da disponibilidade de nossos ativos.
· Os gestores de TI são responsáveis pela proteção dos ativos de TI, bem como pela autorização de seu uso, recebimento, processamento, armazenamento e transmissão das informações derivadas desses ativos.
· Todos os colaboradores, bem como todos os prestadores de serviço e consultores, devem entender suas obrigações e principalmente implementar procedimentos de segurança da informação.
· A área de segurança deve ser imediatamente comunicada sobre qualquer incidente de segurança, a fim de que possa tomar as devidas providências.
· Essa política é valida a partir de 09/09/1999.
Independentemente do tamanho da organização, e como forma de contribuir com esse planejamento, a NBR/ISO 17799 relaciona como principais fontes para a identificação dos requisitos de segurança os seguintes tópicos:
· Avaliação de risco dos ativos da organização - para identificação das ameaças, probabilidade de ocorrência e vulnerabilidades e estimativa do impacto potencial associado.
· Legislação vigente - estatutos e cláusulas contratuais a que a organização tem de atender.
· Conjunto de princípios - visão, missão, objetivos e requisitos de processamento da informação organizacional.
Assinar:
Postagens (Atom)