Gestão de riscos em computação em nuvem para a Gestão de Identidade e Acessos aplicada ao Sistema Decom Digital do Ministério da Economia

Dissertação (mestrado)—Universidade de Brasília, Instituto de Ciências Exatas, Departamento de Ciência da Computação, 2019.As informações e os dados inseridos nos sistemas e serviços digitais do Governo devem ser protegidos contra fraudes e ataques de identidade e acesso que afetam a confidencialidade, integridade e disponibilidade dessas informações, principalmente dados sigilosos quando os ativos da informação são migrados para o ambiente de computação em nuvem. Diante desta necessidade, este trabalho realiza uma pesquisa exploratória e qualitativa a fim de realizar uma gestão de riscos em computação em nuvem considerando o Gerenciamento de Identidades e Acessos (GIA) aplicado ao Sistema Decom Digital (SDD) do Ministério da Economia. O Governo Federal adotou uma política de Governo Digital que tem como uma meta ousada a digitalização de boa parte dos serviços públicos. Por outro lado, cresce exponencialmente os casos de fraudes digitais e vazamento de informações que afetam qualquer tipo de organização inserida no mundo digital. Para oferta desses serviços o governo também passa a utilizar a computação em nuvem, o que aumenta o desafio de proteger dados sensíveis ou sigilosos. Legislações recentes têm surgido como forma de estabelecer diretrizes e metas para o tratamento dos riscos e efetivação de controles de segurança, como a Lei Geral de Proteção aos Dados (LGPD) e as políticas de gestão de riscos dos órgãos. Diante deste cenário, o governo precisa mitigar os riscos de concretização dessas ameaças adotando robustos controles de segurança a fim de proteger as informações inseridas em seus sistemas e serviços digitais. O Ministério da Economia possui uma ampla plataforma de sistemas e serviços, dentre estes o Sistema Decom Digital, que processa informações sigilosas e é um dos candidatos a migrar para a nuvem. A solução de GIA reúne políticas e tecnologias para tratar riscos como o de acessos indevidos, identidades ilegítimas e privilégios excessivos. A partir do resultado da avaliação de riscos serão identificadas e caracterizadas tecnologias de GIA e será aplicada computacionalmente uma dessas tecnologias, no caso a Autenticação por Contexto ou Autenticação por Comportamento, que é uma tecnologia que autentica o usuário de forma transparente a partir de seu contexto de acesso ou perfil comportamental, ela tem um funcionamento dinâmico para se adequar as mudanças de perfil de acesso no processo de autenticação dos usuários e estabelece uma camada adicional de segurança, podendo ser usada com outros mecanismos de autenticação. O uso de soluções de segurança mais eficazes no Sistema Decom Digital tem a finalidade de preservar as informações que muitas vezes são de terceiros e garantir maior confiabilidade no uso dos serviços e sistemas do Governo Federal.Coordenação de Aperfeiçoamento de Pessoal de Nível Superior (CAPES).Information and data entered into Government digital systems and services must be protected against fraud and identity and access attacks that affect the confidentiality, integrity, and availability of such information, particularly sensitive data when information assets are migrated to the computing environment. in the cloud. Given this need, this work conducts an exploratory and qualitative research in order to perform a risk management in cloud computing considering the Identity and Access Management (IAM) applied to the Decom Digital System (SDD) of the Ministry of Economy. The Federal Government has adopted a Digital Government policy that has as its bold goal the digitization of most public services. On the other hand, cases of digital fraud and information leaks that affect any type of organization in the digital world grow exponentially. To provide these services, the government also uses cloud computing, which increases the challenge of protecting sensitive data. Recent legislation has emerged as a way to set guidelines and targets for risk management and enforcement of security controls, such as the General Data Protection Act and agency risk management policies. Given this scenario, the government needs to mitigate the risks of realizing these threats by adopting robust security controls to protect the information entered into its digital systems and services. The Ministry of Economy has a broad platform of systems and services, including the Decom Digital System, which processes sensitive information and is a candidate to migrate to the cloud. The IAM solution brings together policies and technologies to address risks such as improper access, illegitimate identities and excessive privileges. From the result of the risk assessment, IAM technologies will be identified and characterized and one of these technologies will be computationally applied, in this case Context Authentication or Behavior Authentication, which is a technology that transparently authenticates the user from their context access or behavioral profile, it has a dynamic functioning to suit the changes of access profile in the user authentication process and establishes an additional layer of security and can be used with other authentication mechanisms. The use of more effective security solutions in the Decom Digital System is intended to preserve information that is often from third parties and ensure greater reliability in the use of Federal Government services and systems