Segurança Física e do Ambiente. Pilar da segurança da Informação

A Segurança Física e do Ambiente é uma disciplina que se concentra na proteção física de pessoas, ativos e informações por meio da mitigação de riscos de segurança física. Seu objetivo principal é assegurar que o ambiente físico de uma organização seja resguardado contra uma variedade de ameaças que possam resultar em danos ou prejuízos para organização.

Em um mundo cada vez mais digital, a atenção à segurança da informação se tornou uma prioridade crítica para organizações em todo o mundo. No entanto, muitas vezes, o aspecto físico dessa segurança é subestimado. É aqui que entra em cena a Segurança Física e do Ambiente, uma disciplina que desempenha um papel fundamental na proteção de ativos, dados e operações de uma organização.

Neste artigo, exploraremos em detalhes como a Segurança Física e do Ambiente protege a organização contra os riscos de segurança, desde desastres naturais até ameaças humanas, e como ela se integra de maneira crucial à segurança da informação.

Prepare-se para uma jornada pelo mundo da segurança da informação que vai além das boas práticas de Segurança da Tecnologia da Informação, e descubra como a Segurança Física é essencial para garantir a integridade, confidencialidade e disponibilidade das informações empresariais.

Por José Sergio Marcondes – Postado 15/09/2020 atualizado 04/10/2023

Segurança da Informação

A Segurança da Informação refere-se as medidas administrativas, tecnológicas e físicas adotadas por uma organização com o intuito de preservar a confidencialidade, a integridade e a disponibilidade da informação considerada importante para a organização, durante todo seu ciclo de vida.

Por informação, entendem-se, neste contexto, todos os dados armazenados e manipulados em meios eletrônicos, em papel, microfilmes, mídias de dados ou qualquer outro meio, que quando contextualizados geram informações e conhecimentos de valor para a organização.

A informação é um ativo que, como qualquer outro ativo importante, é essencial para os negócios de uma organização e consequentemente necessita ser adequadamente protegida. Dentre as várias medidas de segurança adotadas pelas organizações para proteger suas informações está a Segurança Física e do Ambiente.

O que é Segurança Física e do Ambiente?

Essa área de segurança visa à salvaguarda dos ativos de informações, como dados, informações e sistemas de informação, contra acesso não autorizado, alterações indevidas ou destruição. Além disso, busca proteger o próprio sistema de tecnologia da informação contra acessos não autorizados e danos físicos que possam ser provocados por ações criminosas ou eventos naturais.

Vale ressaltar que a segurança da informação vai muito além do âmbito computacional, e, portanto, os controles lógicos, quando aplicados isoladamente, tornam-se insuficientes. A proteção efetiva depende do equilíbrio entre o controle de acesso lógico e o controle de acesso físico.

A implementação de medidas de segurança física e ambiental tem como propósito a defesa dos equipamentos, instalações, áreas e ativos de informações sensíveis. Essa abordagem holística visa garantir a integridade e a confidencialidade dos recursos críticos da organização.

Qual o Objetivo da Segurança Física e do Ambiente?

O objetivo da segurança física e do ambiente é múltiplo, abrangendo a prevenção, dissuasão, detecção, defesa, atraso e bloqueio de ações ou eventos que possam resultar em danos ou prejuízos aos ativos de informação da organização.

Fazem parte de seus objetivos:

Proteger a vida humana.
Resguardar os ativos de informações contra riscos naturais, como incêndios, inundações, abalos sísmicos, desmoronamentos e outros eventos adversos.
Garantir que os ativos de informações não sejam roubados, danificados, espionados ou destruídos.
Resposta rápida para conter qualquer ameaça e minimizar danos.
Garantira confidencialidade, integridade e disponibilidade da informação.
Minimizar perdas financeiras e proteger a reputação da organização.

Como é feito a Segurança Física e do Ambiente?

A execução da segurança física e do ambiente na segurança da informação se dá pelo planejamento e implementação de medidas de segurança envolvendo:

Implementação de Perímetros de Segurança Física;
Estabelecimento e monitoramento de Áreas Seguranças (Áreas Restritas);
Adoção de Controles de Acesso Físico;
Definição de Políticas, Normas e Procedimentos para trabalho em áreas seguras;
Proteção contra Desastres;
Proteção em Áreas de Entrega e Carregamento;
Proteção de Equipamentos;
Proteção dos Equipamentos Fora da Organização;
Manutenção dos Equipamentos;
Descarte dos Equipamentos;
Segurança do Cabeamento;
Interrupção de Serviços Básicos.

1. Perímetro de Segurança Física

Uma das formas de proteção das instalações e das áreas seguras é realizada por meio do estabelecimento de perímetros de segurança física. Que pode ser feito utilizando-se de barreiras físicas como portões e paredes (resistentes e sem brechas), portas e janelas (com sistemas de detecção de intrusos e trancas), portas corta-fogo e ponto de controle de acesso físico onde seja permitida a entrada apenas de pessoal autorizado.

Dentro do conceito de defesa em profundidade, recomenda-se que sejam utilizadas várias barreiras de proteção, de modo que, se uma falhar, hajam outras capazes de oferecer a proteção necessária.

2. Áreas Seguranças (Áreas Restritas)

Conforme o nível de segurança exigido para a proteção de determinados ativos de informação, pode ser necessário o isolamento físico desses ativos por meio de implementação de áreas seguras. As áreas seguras, também conhecidas como áreas restritas, tem como objetivo estabelecer controle de acessos físico nas áreas internas da organização.

O controle do acesso físico visa impedir que aconteçam danos ou intervenções nas informações contidas numa determinada área, sistema, processo ou produto. É necessário proteger a informação também em sua forma física, mantendo-a em uma área segura.

3. Controles de Acesso Físico

Para que de fato somente as pessoas autorizadas tenham acesso físico às áreas seguras/restritas, devem ser implementados sistemas de controles de acesso físico ao local, visando a autenticação que validem esses acessos, sendo que essa autorização só deve ser concedida a quem realmente necessitar dela para o desempenho de suas funções profissionais.

Para fins de auditoria e de rastreabilidade, todo acesso a uma área segura/restrita deve ser sempre registrado, com data e hora de entrada e saída, assim como responsável pela autorização e motivo. É importante que todos que circulem por áreas seguras possuam alguma forma visível de identificação (crachá), incluindo os visitantes, que precisam ser monitorados, inclusive por circuito fechado de TV.

O acesso a áreas restritas deve ser limitado, cada pessoa deve ter acesso somente a um número limitado de áreas seguras e os direitos de acesso precisam ser revisados regularmente. Pessoas que não pertence a área restrita, sempre que tiverem autorização para acessar, devem ser acompanhadas, a todo instante, por uma pessoa da área.

4. Trabalho em Áreas Seguras

Com objetivo de facilitar o cumprimento das medidas de segurança física e do ambiente, a organização deve definir regras e procedimentos a serem seguidas pelos que trabalham em áreas seguras. Em áreas seguras não deve ser permitido, por exemplo, o uso de equipamentos de gravação de áudio e captura de imagem, como câmeras fotográficas e de filmagem.

As áreas seguras não devem ser de fácil localização ou identificação, sua existência não deve ser de conhecimento público, assim como as atividades lá desenvolvidas, que devem ser mantidas em sigilo. As áreas seguras não devem ser identificadas de forma que agucem a curiosidade das pessoas ou que revelem seu conteúdo, como por exemplo: área secreta, área de tratamento de assuntos sigilosos).

Havendo necessidade de algum aviso deve se limitar a: Aviso, Acesso Restrito, somente pessoal autorizado. Quando não houver ninguém em uma área segura, ela deve ser trancada.

5. Proteção contra Desastres

Existem diversos tipos de sinistros (desastres): incêndios, enchentes, explosões, desabamentos, tempestades, tornados, raios, tremores de terra, radiação etc. As áreas seguras que armazenam ativos de informações sensíveis devem estar preparadas para o caso de desastres, sejam eles naturais ou causados pelo homem, que ocorram nas próprias instalações ou em áreas vizinhas.

Por exemplo, equipamentos de emergência, como os de detecção e combate a incêndios, devem estar presentes e posicionados em locais de fácil acesso.

Convém ainda que equipamentos de contingência estejam armazenados em ocais distantes da área onde estão os equipamentos principais. E que materiais facilmente inflamáveis devem ser armazenados em locais distantes de áreas seguras

6. Proteção em Áreas de Entrega e Carregamento

Quanto às áreas de entrega e carregamento, também só devem ter acesso a elas pessoas identificadas e autorizadas, que devem ser capazes de fazer seu trabalho sem que tenham que passar por áreas seguras. Cada material que entra/saída deve ser inspecionado e registrado. E área de entrada não deve ser a mesma que a de saída.

As áreas destinadas a carga e descarga devem ser constantemente monitoradas por CFTV, as imagens devem ser armazenadas para consulta posterior, para casos de necessidades.

7. Proteção de Equipamentos

A criação de áreas seguras com certeza aumenta a segurança dos equipamentos, mas apenas isso não basta para evitar acessos não autorizados, sabotagens, roubos, vandalismo, interrupções de serviço, destruição de ativos e outros incidentes de segurança, até por que, muitas vezes os equipamentos são móveis e podem ser deslocados para outras áreas não seguras.

A colocação de lacres em gabinetes, evitando assim que discos rígidos sejam removidos, é um exemplo de proteção de equipamentos dentro da organização e fora da área segura. Outro exemplo seria a desabilitação de portas USB e leitores de CD e DVD quando não necessários à realização das atividades do negócio.

8. Proteção dos Equipamentos Fora da Organização

Se dentro da organização os equipamentos já correm riscos, imagine fora dela, com certeza o problema torna-se ainda maior. Para proteger a informação fora dos limites da organização faz se necessária uma análise de riscos e, consequentemente, a adoção de medidas e controles de segurança adicionais.

O uso de equipamentos ou informações da empresa fora do ambiente da organização, deve ser objeto de aprovação da gerência, uma vez que a possibilidade de roubo, furto, perda e danos físicos aumenta muito.

Toda remoção de equipamentos de propriedade da organização, que contenham informação sensível, para áreas fora da organização deve ser objeto de autorização formal, de registro de conteúdo e movimentação (saída/retorno), assim como o prazo para a devolução.

9. Manutenção dos Equipamentos

Para que os equipamentos de informações continuem funcionando adequadamente ao longo do tempo, é preciso que, periodicamente e seguindo as instruções do fabricante, sejam realizadas manutenção. É conveniente que todas as ações que envolvam a manutenção dos equipamentos sejam realizadas somente por pessoas autorizadas e tais ações sejam registradas para fins de auditoria e rastreabilidade.

Havendo informações críticas presentes nesses equipamentos, é preciso que o trabalho de manutenção seja executado por pessoal da mais alta confiança, caso contrário, essa informação deverá ser removida do equipamento.

10. Descarte dos Equipamentos

Os mecanismos de armazenamento de dados e informações que apresentarem defeitos irrecuperáveis ou que tenham chegado ao fim da sua vida útil, devem ser inutilizados antes de serem jogados fora, de modo que seus dados se tornem irrecuperáveis. A inutilização da informação antes do descarte também vale para documentos impressos.

11. Segurança do Cabeamento

Para evitar possíveis interferências no funcionamento normal dos equipamentos que fazem o processamento das informações, recomenda-se que cabos de transmissão de energia e dados estejam suficientemente isolados e protegidos.

Visando prevenir danos ou interceptações ilegais, é recomendado que esses cabos sejam subterrâneos e protegidos por meio de conduítes e blindagem eletromagnética (caso o cabeamento não seja de fibra óptica). Os cabos também devem passar por inspeções periódicas de forma a garantir a não existência de dispositivos não autorizados conectados ao cabeamento.

12. Interrupção de Serviços Básicos

Eventualmente, por razões que fogem ao controle da organização, os serviços mais básicos, como energia, água, Internet e telefone podem ser interrompidos, o que pode comprometer fisicamente alguns equipamentos, caso medidas de contingencia não tenham sido implementadas. Para evitar danos aos equipamentos devido à queda abrupta de energia elétrica, recomenda-se o uso de nobreaks.

No caso de equipamentos mais críticos, como servidores ou qualquer outro cuja interrupção das atividades poderia provocar prejuízos ao negócio, o funcionamento deve ser continuado por meio de geradores de energia.

Com relação a interrupção no abastecimento de água, devem ser adotadas medidas para que sistemas de extinção de incêndios, aparelhos de ar condicionado e umidificadores do ambiente, por exemplo, não fiquem inoperantes durante esse período, o que poderia causar danos a determinados tipos de equipamentos e ineficiência caso haja de necessidade de uso.

No que refere aos sistemas de comunicação, é essencial que existam meios alternativos que possam entrar em uso nos momentos em que as comunicações principais falharem. Isso se torna ainda mais importante em situações de emergência.

Qual a importância da Segurança Física e do Ambiente para Segurança da Informação?

A Segurança Física e do Ambiente desempenha um papel crítico na proteção da Segurança da Informação. Embora a Segurança da Informação se concentre principalmente na proteção de dados e sistemas em um ambiente digital, a Segurança Física é essencial para garantir a integridade, confidencialidade e disponibilidade das informações. A seguir a importância dessa interseção:

Proteção de Ativos Físicos: A maioria dos sistemas de informação é executada em servidores, data centers e equipamentos que residem em instalações físicas. A segurança física ajuda a proteger esses ativos contra ameaças como roubo, vandalismo e acesso não autorizado.
Proteção de Acessos Físicos não Autorizados: Controlar o acesso a instalações e áreas restritas é fundamental para evitar que invasores obtenham acesso físico a servidores e sistemas.
Proteção contra Ameaças Internas: As ameaças internas, como funcionários desonestos, também são uma preocupação. A segurança física ajuda a detectar e prevenir atividades não autorizadas ou suspeitas de pessoas que têm acesso legítimo a instalações.
Proteção contra Desastres: Desastres naturais, como incêndios, inundações e terremotos, podem danificar fisicamente os servidores e sistemas de informação. A segurança física inclui medidas de prevenção e recuperação para garantir a continuidade das operações, mesmo após um desastre.
Integração de Sistemas: A segurança física pode ser integrada aos sistemas de Segurança da Informação. Isso inclui sistemas de vigilância por vídeo que monitoram as instalações, sensores de intrusão que alertam sobre acessos não autorizados e sistemas de controle de acesso que limitam quem pode entrar em áreas críticas.
Resposta a Incidentes: Em caso de violação de dados ou comprometimento da segurança da informação, a segurança física desempenha um papel importante na contenção da ameaça e na preservação das evidências físicas para investigações.

A Segurança Física e do Ambiente é um componente vital da Segurança da Informação. Ela fornece a base necessária para proteger os ativos físicos e o ambiente em que a tecnologia da informação opera. A integração eficaz dessas duas áreas ajuda a garantir que a Segurança da Informação seja abrangente e eficaz, proporcionando uma camada adicional de proteção contra ameaças físicas e digitais.

Conclusão

Em nosso artigo sobre a Segurança Física e do Ambiente, destacamos a importância de ir além da proteção digital. A integração eficaz da segurança física com a segurança da tecnologia da informação é essencial para resguardar sua organização contra uma variedade de ameaças, desde desastres naturais até ameaças humanas.

Lembre-se de que a segurança da informação é um quebra-cabeça complexo, e a segurança física é uma peça fundamental desse quebra-cabeça. Ao adotar uma abordagem holística, você garante a proteção completa de ativos e dados críticos.

Quer continuar aprimorando sua compreensão da segurança da informação? Convidamos você a explorar nosso próximo artigo sobre Gestão de Segurança da Informação. Lá, você descobrirá como criar uma estratégia sólida para proteger sua organização em um mundo digital em constante evolução. Continue sua jornada de aprendizado e aprimoramento da segurança da informação.

Se você gostou do artigo e achou útil, por favor, deixe um comentário logo abaixo para compartilhar sua opinião conosco. Ela é extremamente valiosa para mim!

Um forte abraço e votos de sucesso!

José Sergio Marcondes – CES – CPSI – Gestor, Consultor e Diretor do IBRASEP. Especialista em segurança com competências sólidas nas áreas de segurança privada e gestão empresarial. Conecte comigo nas redes sociais.

Ajudar a divulgar nosso trabalho é fundamental! Curta e compartilhe nossas publicações com seus amigos nas redes sociais. Essa atitude não apenas incentiva o autor a publicar mais artigos relevantes, mas também possibilita que mais pessoas tenham acesso a esse conteúdo valioso.

Faça parte da nossa comunidade!

Você busca conhecimentos atualizados e oportunidades para aprimorar suas competências nas áreas de segurança privada e gestão empresarial? Não perca a chance de se manter informado e conectado com as últimas tendências e insights do setor!

Junte-se ao nosso Grupo no WhatsApp ou no Grupo do Telegram para receber notificações sobre novos artigos, dicas valiosas e recursos adicionais que impulsionarão sua carreira profissional.

Dados para Citação Artigo

MARCONDES, José Sergio (15 de setembro de 2020). Segurança Física e do Ambiente. Pilar da segurança da Informação. Disponível em Blog Gestão de Segurança Privada: https://gestaodesegurancaprivada.com.br/seguranca-fisica-e-do-ambiente-definicao//– Acessado em (inserir data do acesso).

Referencias Bibliográficas

ISO/IEC 27002:2013 – Tecnologia da informação — Técnicas de segurança — Código de prática para controles de segurança da informação – ABNT – Associação Brasileira de Normas Técnicas – 08/11/2013.

Junte-se ao Nosso Grupo de WhatsApp!

Quer ser o primeiro a receber as novidades do nosso blog? Não perca tempo! Junte-se ao nosso grupo no WhatsApp e fique sempre atualizado(a) com as últimas postagens e atualizações!

Entrar no Grupo!