A dimensão política da segurança para o ciberespaço na União Europeia : a agenda digital, a estratégia de cibersegurança e a cooperação UE-OTAN

Mestrado em Relações Internacionais.

Práticas de segurança da informação: um estudo de caso num centro hospitalar

Dissertação de Mestrado apresentada ao Instituto de Contabilidade e Administração do Porto para a obtenção de grau de Mestre em Auditoria, sob a orientação de Luís Silva Rodrigues

Os referenciais de segurança da informação e a melhoria contínua: um caso exploratório

Mestrado em Engenharia Informática - Área de Especialização em Arquitecturas, Sistemas e Redes

Segurança da Informação na Escola Pública

A função da escola é promover a aprendizagem nos jovens e estimular o acesso ao conhecimento. A utilização das TI proporciona um acesso mais rápido ao conhecimento mas, sem os mecanismos necessários, pode originar perdas e comprometer a segurança da informação. A ausência de legislação e de regulamentação que ajude na manutenção da rede informática da escola, coloca-as numa posição muito vulnerável, obrigando-as a agir individualmente de modo a suprimir esta carência. A solução passa não só pela consciencialização dos utilizadores para a necessidade de segurança, mas também pela criação de mecanismos que permitam acrescentar segurança à rede e à própria informação. Os projetos desenvolvidos pelo programa Safer Internet e pela ISECOM atuam junto da comunidade escolar, sensibilizando os utilizadores para a necessidade de segurança na Internet e nas comunicações. Por sua vez, a adoção de práticas seguras é um processo mais demorado mas exequível através da implementação de uma política de segurança da informação adaptada à realidade da escola, de acordo com a norma ISO 27001. Da recolha de opinião aos intervenientes do sistema resultaram dois documentos com a política de segurança da informação, um direcionado às escolas e outro aos utilizadores. Crê-se que a adoção destas recomendações pelas escolas pode trazer benefícios ao nível da segurança da informação.

Um modelo de confiança para o ambiente de computação em nuvem

Este artigo apresenta uma proposta de um modelo de gestão contendo requisitos relacionados com a confiabilidade dos sistemas no ambiente de Computação em Nuvem (CN). A proposta teve como base uma revisão da literatura sobre os problemas, desafios e estudos que estão em curso relacionados com a segurança e confiabilidade de aplicações e Sistemas de Informações (SI) neste ambiente tecnológico. Nesta revisão bibliográfica são abordados os entraves e desafios atualmente existentes na visão de conceituados autores sobre o tema. Estas questões foram abordadas e estruturadas na forma de um modelo, denominado de “Modelo de Confiança para o ambiente de Computação em Nuvem”. Trata-se de uma proposta proativa que tem por objetivo organizar e discutir soluções de gestão para o ambiente de CN com uma maior confiabilidade para a operacionalização das aplicações de SI, tanto por parte dos provedores como também dos seus clientes.

A trust model for cloud computing environment

This paper presents a proposal for a management model based on reliability requirements concerning Cloud Computing (CC). The proposal was based on a literature review focused on the problems, challenges and underway studies related to the safety and reliability of Information Systems (IS) in this technological environment. This literature review examined the existing obstacles and challenges from the point of view of respected authors on the subject. The main issues are addressed and structured as a model, called "Trust Model for Cloud Computing environment". This is a proactive proposal that purposes to organize and discuss management solutions for the CC environment, aiming improved reliability of the IS applications operation, for both providers and their customers. On the other hand and central to trust, one of the CC challenges is the development of models for mutual audit management agreements, so that a formal relationship can be established involving the relevant legal responsibilities. To establish and control the appropriate contractual requirements, it is necessary to adopt technologies that can collect the data needed to inform risk decisions, such as access usage, security controls, location and other references related to the use of the service. In this process, the cloud service providers and consumers themselves must have metrics and controls to support cloud-use management in compliance with the SLAs agreed between the parties. The organization of these studies and its dissemination in the market as a conceptual model that is able to establish parameters to regulate a reliable relation between provider and user of IT services in CC environment is an interesting instrument to guide providers, developers and users in order to provide services and secure and reliable applications.

JXTAnonym: An anonymity layer for JXTA services messaging

With the evolution of the P2P research eld, new problems, such as those related with information security, have arisen. It is important to provide security mechanisms to P2P systems, since it has already become one of the key issues when evaluating them. However, even though many P2P systems have been adapted to provide a security baseline to their underlying applications, more advanced capabilities are becoming necessary. Speci cally, privacy preservation and anonymity are deemed essential to make the information society sustainable. Unfortunately, sometimes, it may be di cult to attain anonymity unless it is included into the system's initial design. The JXTA open protocols speci cation is a good example of this kind of scenario. This work studies how to provide anonymity to JXTA's architecture in a feasible manner and proposes an extension which allows deployed services to process two-way messaging without disclosing the endpoints'identities to third parties.

Towards secure mobile P2P applications using JXME

Mobile devices have become ubiquitous, allowing the integration of new information from a large range of devices. However, the development of new applications requires a powerful framework which simplifies their construction. JXME is the JXTA implementation for mobile devices using J2ME, its main value being its simplicity when creating peer-to-peer (P2P) applications on limited devices. On that regard, an issue that is becoming veryimportant in the recent times is being able to provide a security baseline to such applications. This paper analyzes the currentstate of security in JXME and proposes a simple security mechanism in order to protect JXME applications against a broad range of vulnerabilities.

Tietoturvainformaation ja -tapahtumien hallinta PCI DSS -standardissa

Työn keskeisimpänä tavoitteena on tutkia SIEM-järjestelmien (Security Information and Event Management) käyttömahdollisuuksia PCI DSS -standardissa (Payment Card IndustryData Security Standard) lähtökohtaisesti ratkaisutoimittajan näkökulmasta. Työ on tehty Cygate Oy:ssä. SIEM on uusi tietoturvan ratkaisualue, jonka käyttöönottoa vauhdittavat erilaiset viralliset sääntelyt kuten luottokorttiyhtiöiden asettama PCI DSS -standardi. SIEM-järjestelmien avulla organisaatiot pystyvät keräämään valmistajariippumattomasti verkon systeemikomponenteista tapahtumatietoja, joiden avulla pystytään näkemään keskitetysti, mitä verkossa on tapahtunut. SIEM:ssa käsitellään sekä historiapohjaisia että reaaliaikaisia tapahtumia ja se toimii organisaatioiden keskitettynä tietoturvaprosessia tukevana hallintatyökaluna. PCI DSS -standardi on hyvin yksityiskohtainen ja sen vaatimusten täyttäminen ei ole yksinkertaista. Vaatimuksenmukaisuutta ei saavuteta hetkessä, vaan siihen liittyvä projekti voi kestää viikoista kuukausiin. Standardin yksi haasteellisimmista asioista on keskitetty lokien hallinta. Maksukorttitietoja käsittelevien ja välittävien organisaatioiden on kerättävä kaikki audit-lokit eri järjestelmistä, jotta maksukorttitietojen käyttöä pystytään luottamuksellisesti seuraamaan. Standardin mukaan organisaatioiden tulee käyttää myös tunkeutumisen ja haavoittuvuuksien havainnointijärjestelmiä mahdollisten tietomurtojen havaitsemiseksi ja estämiseksi. SIEM-järjestelmän avulla saadaan täytettyä PCI DSS -standardin vaativimpia lokien hallintaan liittyviä vaatimuksia ja se tuo samallamonia yksityiskohtaisia parannuksia tukemaan muita standardin vaatimuskohtia. Siitä voi olla hyötyä mm. tunkeutumisen ja haavoittuvuuksien havainnoinnissa. SIEM-järjestelmän hyödyntäminen standardin apuna on kuitenkin erittäin haasteellista. Käyttöönotto vaatii tarkkaa etukäteissuunnittelua ja kokonaisuuksien ymmärtämistä niin ratkaisutoimittajan kuin ratkaisun käyttöönottajan puolelta.

Web-palveluiden turvallisuus tietojärjestelmien välisessä integraatiossa

Tämän diplomityön tavoitteena oli tutkia liiketoiminnallisessaympäristössä olevia Web-palvelu -teknologialla toteutettujen integraatioprojektien tietoturvaa. Web-palvelut ovat SOAP-muotoisia HTTP-protokollalla välitettäviä viestejä, joilla voidaan välittää tietoa tietojärjestelmästä toiseen tai suorittaa liiketoiminnan tapahtumia. Työssä käsiteltiin erilaisia tietoturvallisuuteen vaikuttavia osa-alueita ja niiden sopivuutta Web-palveluihin. Tietoturvaa on käsitelty enimmäkseen liiketoiminnallisesta näkökulmasta. Työssä havaittiin tietoturvan koostuvan monesta osa-alueesta. Osa-alueista muodostuutietoturvallinen kokonaisuus, jossa on mukana valitut teknologiat, haluttu tietoturvallisuuden taso, integroitavat tietojärjestelmät sekä näiden yhteenliittäminen ja prosessit. Jokaisen integraatioprojektin ollessa oma kokonaisuutensa, on yleispätevän tietoturvan rakentaminen vaikeaa. Tämän seurauksena tietoturvaa tulee käsitellä jatkuvasti integraatioprojektin eri vaiheissa tietoturvan vaatimusten mukaan.