ESCE: A Segurança da Informação Também se Aplica ao Ensino

A Escola Superior de Ciências Empresariais (ESCE) é uma unidade orgânica do Instituto Politécnico de Setúbal (IPS), possuindo o seu edifício no campus do IPS, conjuntamente com três das cinco Escolas que constituem o IPS. Como acontece com uma grande parte das instituições de ensino nacionais, a segurança da informação não tem feito parte das suas principais preocupações. Recentemente, alguns dos seus dirigentes resolveram colocar a questão crucial: como é que uma instituição de ensino, cujo core business assenta na formação e na informação, pode lidar empiricamente com a segurança da sua informação, sobretudo a mais crítica? Começaram assim a tomar medidas no sentido de inverter a situação e já pensam na certificação ISO/IEC 27001:2005, se não na totalidade da instituição, pelo menos no que estiver sobre a acção directa do Centro de Informática, Audiovisuais e Multimédia (CIAM).

O Contexto

A ESCE foi criada em Dezembro de 1994 e iniciou as suas actividades lectivas em Outubro de 1995 com os cursos em Contabilidade e Finanças, e Gestão de Recursos Humanos. Desde então, a ESCE tem vindo a alargar a sua oferta em áreas inovadoras ou pouco exploradas no ensino superior, como é o caso do curso em Gestão da Distribuição e da Logística, e do curso de Gestão de Sistemas de Informação.

Actualmente, os cursos ministrados incluem as licenciaturas bietápicas em Contabilidade e Finanças (regime diurno e nocturno), Gestão de Recursos Humanos, Marketing, Gestão da Distribuição e da Logística e Gestão de Sistemas de Informação. Em termos de formação pós-graduada, os alunos podem optar pela pós-graduação em Fiscalidade e pela pós-graduação em Segurança e Higiene do Trabalho.

A Necessidade

Atendendo ao facto de se ter assumido a informação como um recurso a salvaguardar, a ESCE pretende constituir um grupo de interesse na área da segurança, cujo objectivo principal será tratar dos temas relativos à questão da segurança de informação. Todavia, existe a ideia de que isso não deve limitar-se apenas à ESCE, abrangendo a totalidade das suas estruturas, mas também que essas competências se possam futuramente estender às restantes unidades orgânicas do IPS, em especial nos aspectos de interacção entre as diversas Escolas e entre elas e o próprio Instituto.

Paralelamente a este objectivo, porque se tem vindo a tomar consciência das carências a nível da segurança da sua informação interna, a ESCE, além de proporcionar meios para aumentar as competências de alguns dos seus recursos humanos, pretende aumentar a segurança da informação interna da Escola. Esta necessidade de segurança envolve não só a informação propriamente dita, mas também a segurança dos acessos físicos às salas mais críticas da instituição e aos equipamentos informáticos, cujo acesso se considera restrito. Além disso, se considerarmos apenas a segurança da informação, temos que pensar basicamente em políticas de backup da informação, de segurança dos emails, de paswords de acesso ao sistema, etc., que se enquadrem na política de segurança da instituição.

Este tipo de iniciativas são importantes em qualquer instituição que tenha informação crítica (e todas a têm), nomeadamente informação dos clientes. No caso das instituições de ensino - como é o caso da ESCE - a segurança da informação é ainda mais crítica. Por um lado, porque se trata de ambientes bastante abertos e onde o acesso físico às instalações é difícil de controlar. Dado o fluxo constante de pessoas (alunos, professores, e funcionários, entre outros), não é muito viável, nem desejável, instalar sistemas de segurança de acesso físico muito rígidos que se tornem obstáculos à funcionalidade que se pretende neste tipo de instituição.

Por outro lado, existe informação crítica que necessita de garantias vitalícias (por exemplo, informação sobre diplomas e certificados de curso), enquanto que outra é mais temporal, mas igualmente crítica (notas dos alunos, dados dos alunos, exames, etc.). Paralelamente a estes dois aspectos, existe toda a informação normal de gestão que caracteriza qualquer instituição (contabilística, financeira, pagamentos, recursos humanos, compras, etc.).

Neste contexto, onde se questiona a possibilidade de investir em segurança de informação nos meios académicos (ou em alguns deles), deve destacar-se o facto das instituições de ensino superior serem frequentemente alvos preferenciais de potenciais atacantes dos sistemas informáticos e da informação neles contida, existindo ainda elevadas probabilidades dessa segurança poder vir a ser quebrada por utilizadores internos.

No caso da ESCE existe uma orientação para as ciências empresariais e gestão, não existindo assim cursos com uma vertente muito técnica em termos de sistemas de informação que potencie a possibilidade de ocorrência de ataques, o que não implica que esses ataques não possam existir. No entanto, apesar de existirem possibilidades de ocorrência de incidentes de segurança, Ana Catarina Caçador, técnica do CIAM, não considera que a Escola apresente um risco tão elevado como em outras instituições de ensino com ofertas formativas mais orientadas para a vertente tecnológica dos sistemas de informação, e como tal com maiores probabilidades de serem alvo de ataques informáticos.

A Solução

A ESCE começou por efectuar um levantamento das suas vulnerabilidades em termos de segurança de informação. A segurança dos equipamentos é um aspecto importante, dada a dispersão dos meios informáticos pelas instalações (salas de docentes, salas de aulas, laboratórios de informática, salas de alunos, etc.), sendo estes normalmente controlados por um sistema de vídeo-vigilância. Também existe uma equipa de seguranças na Escola para proporciona apoio à gestão das salas, nomeadamente abertura e fecho das mesmas ou à movimentação de equipamentos audiovisuais entre salas. Esta equipa procede ainda ao controlo de acessos às instalações em todos os períodos do dia.

Ainda a nível dos equipamentos, está a ser analisada a hipótese de se proceder à instalação de sistemas de acesso electrónico com cartão às salas mais críticas, nomeadamente ao CIAM e à sala de servidores.

No que se refere à informação propriamente dita, um dos primeiros passos consistiu na frequência do curso de Introdução à BS ISO/IEC 27001:2005 e BS ISO/IEC 17799:2005 e ainda do curso de implantação de um Sistema de Gestão de Segurança da Informação (ou ISMS - Information Security Management System), ministrados pela Sinfic. Por outro lado, a ESCE é uma das organizações incluídas no barómetro de segurança Sinfic, pelo que tem acesso à inventariação das vulnerabilidades da sua rede.

A Sinfic, através da sua unidade de negócio Segurança da Informação, propõe várias soluções ao mercado na área da segurança da informação. A formação é apenas uma delas. Concretamente, no caso do curso de implementação de um Sistema de Gestão de Segurança da Informação, o objectivo é disponibilizar aos participantes as necessárias competências para a implantação de um ISMS que esteja em conformidade com os requisitos da norma ISO/IEC 17799 e que cumpra os requisitos para a certificação ISO/IEC 27001:2005. Este curso utiliza uma abordagem dinâmica desenvolvida pela BSI, disponibilizando aos participantes uma metodologia comprovada para a implantação.A carga horária é de cinco dias em regime residencial, incluindo a realização de exercícios específicos.

A ESCE está ainda no início das suas actividades na área da segurança da informação, mas já está a trabalhar nos procedimentos/normas de boas práticas para a utilização do correio electrónico na escola. De igual modo, estão a ser elaborados procedimentos para a vertente dos backups de informação e tem-se estado a trabalhar nas questões da segurança de acesso físico ao edifício.

Em termos futuros, irá trabalhar-se em questões como a análise de risco e será necessário escrever os procedimentos de segurança da informação nas suas várias vertentes. A certificação ISO/IEC 27001:2005 também é uma meta dos responsáveis da ESCE. Apesar destes objectivos concretos, será necessário criar uma cultura interna de reconhecimento do valor da informação, uma vez que, tal como acontece na maior parte das instituições, e mesmos das empresas, as pessoas só se apercebem do valor da informação necessitam dessa informação e descobrem que não lhe conseguem aceder de acordo com as suas necessidades ou que a perderam.