% \part{Política de Segurança}
% \label{partseguranca}


\section{Política de Segurança}
\label{partseguranca}

% \chapter{Introdução}
Esta política de segurança foi elaborada com base nas melhores práticas de segurança descritas na norma ISO/IEC 17799:2000. Qualquer imprecisão ou melhoria nesta política deverá ser comunicada imediatamente a Gerência de Inovações Tecnológicas através do email: \www{guialivre@planejamento.gov.br}.


\paragraph{Introdução}

A informação\footnote{A Informação é um ativo que, como qualquer outro importante para os negócios,  tem um valor para a organização e conseqüentemente necessita ser adequadamente protegida.} tem se tornado cada vez mais importante em todas as instituições, sejam elas públicas ou privadas.

Apesar de inicialmente o LabCluster ser somente um ambiente de testes, análise e prospecção de soluções, tem se tornado realidade a disponibilização de informações críticas de projetos do Governo Federal no ambiente. Este fato pode ser verificado por exemplo através dos projetos de Integração de Cadastros Sociais e de Otimização de Compras Governamentais.

Neste cenário se torna importante a elaboração de uma "Política de Segurança da Informação" concisa e clara que permita avaliar a confidencialidade, garantir a integridade e disponibilidade das informações residentes no ambiente LabCluster.



\paragraph{Objetivos}

Esta parte do documento tem por objetivo específico definir uma Política de Segurança para o LabCluster, especialmente quanto à proteção dos seus ativos de hardware, software e informação, estabelecendo procedimentos e recomendações visando prevenir e responder a incidentes.



\paragraph{Abrangência da Política de Segurança}

Toda e qualquer pessoa ou instituição que utilize os serviços, a infra-estrutura, que troque informações e que participe de projeto conjunto com o LabCluster, deverá conhecer, obedecer e estar ciente das implicações desta política.


% \chapter{Segurança Física}
\subsection{Segurança Física}

O LabCluster se encontra localizado fisicamente na Esplanada dos Ministérios, no prédio do Ministério do Planejamento, Orçamento e Gestão.

A segurança dos equipamentos e dos dados que se encontram no LabCluster dependem da segurança física da sala do laboratório. De nada adiantará possuir uma boa política de segurança, de utilização, estar com os sistemas atualizados e livres de falhas ou bugs, se uma pessoa não identificada obtiver acesso físico a sala e burlar as regras de segurança de software através do acesso físico ou colocar em risco componentes de algum servidor.


\subsubsection{Controle de acesso Físico ao Cluster}

Objetivando um maior controle da segurança física do ambiente foram criadas as seguintes regras:

\begin{itemize}

	\item A sala do LabCluster ficará trancada e a chave estará em poder da Gerência de Inovações Tecnológicas.
	
	\begin{itemize}
		\item Existem duas cópias de segurança desta chave que se encontram em poder da secretária do DSI e do o Chefe de Segurança do Ministério do Planejamento.
	\end{itemize}

	\item Somente os funcionarios da Gerência de Inovações Tecnológicas podem acessar a sala do LabCluster. 
	\item \textbf{O acesso de pessoas externas a sala do Cluster deverá ser registrado pela recepcionista e acompanhado por algum funcionário da Gerência de Inovações Tecnológicas ou da equipe de segurança do ministério.} 
	\begin{itemize}
		\item	Alguns exemplos de pessoas que podem precisar acessar a sala são: Faxineiros, Eletricistas, Técnicos de Infra-estrutura do Ministério, Técnico de Informática que veio realizar a manutenção de algum equipamento, participantes de projetos desenvolvidos pelo LabCluster e visitantes eventuais.
	\end{itemize}	
	\item A sala do LabCluster é vigiada 24h por dia através de câmeras monitoradas pela equipe de segurança do ministério. \\
	Caso seja necessário reaver alguma gravação desta câmera a mesma deverá ser solicitada a segurança do ministério no ramal 1412.
\end{itemize}

O não cumprimento destas regras de segurança de acesso físico acarretará o bloqueio do acesso ao ambiente lógico do LabCluster e a sanções previstas na lei, para o caso de dano ou furto de componentes do laboratório.

\subsubsection{Procedimentos em caso de Incêndio}
Caso qualquer usuário ou membro da equipe técnica do ministério perceba sinais de fumaça ou de incêndio nas proximidades do LabCluster deverá evacuar o LabCluster e informar imediatamente ao brigadista ou a equipe de segurança do ministério através do ramal 1111 ou 1412 para que os mesmos tomem as medidas adequadas de verificação e contenção do incidente.

Não deve ser tomada nenhuma medida na tentativa de se controlar o fogo ou recuperar equipamentos de dentro da sala. Tais medidas serão tomadas pelo brigadista e equipe de segurança do Ministério, pois os mesmos estão preparados para agir corretamente nesta situação evitando acidentes.

\subsection{Segurança Lógica}

\subsubsection{Gerenciamento de acesso de usuários}

O gerenciamento de acesso de usuários será realizado através da utilização de servidor de diretórios\footnote{O servidor utilizado será o OpenLDAP} que permitirá o controle centralizado de autenticação e acesso aos servidores do LabCluster.

Nesta seção encontram-se as regras relativas:

\begin{itemize}
	\item Cadastramento de usuários
	\begin{itemize}
		\item Direitos dos usuários
		\item Responsabilidade dos usuários
	\end{itemize}
	\item Gerenciamento de privilégios
	\item Gerenciamento de senhas de usuários
	
\end{itemize}


\paragraph{Cadastramento de usuários}

Existem dois tipos de cadastros de usuários no LabCluster:

\paragraph{Usuários Temporários}

Os usuários temporários, são pessoas que não estão diretamente ligadas ao LabCluster, mas possuem vínculos com o laboratório através da participação em algum projeto específico, com prazo definido para execução das atividades.

A solicitação de cadastramento deverá ser realizada conforme definida na "Política de Utilização do LabCluster" e deverá ser informado explicitamente o projeto com o qual possui vínculo.

Contas de usuários temporários tem um prazo limite de 1 ano, podendo ser renovadas após o vencimento deste prazo caso ainda exista vínculo com algum projeto exercido no LabCluster.

Após o término do projeto responsável pelo vínculo do usuário ao LabCluster, seu usuário será desativado e será realizado backup do diretório home do usuário. 

O ex-usuário do LabCluster terá o prazo de 1 ano a contar da data de desativação de seu usuário para solicitar via formulário \url{http://guialivre.governoeletronico.gov.br/apply/backup.php} uma cópia deste backup. Após este prazo todos seus dados serão excluídos do sistema.


Caso o ex-usuário, volte a ter vínculo com o LabCluster através de outro projeto poderá solicitar a ativação de sua conta de usuário temporário.


\paragraph{Usuários Permanentes} 

Usuários permanentes são pessoas que estão diretamente ligados ao LabCluster ou usuários que possuem vínculos com projetos realizados pelo LabCluster sem prazo para término das atividades.

A solicitação de cadastramento deverá ser realizada conforme definida na "Política de Utilização do LabCluster" e deverá ser informado explicitamente o vínculo que a pessoa possui com o LabCluster.

Esta conta de usuário não possui prazo para expirar e somente será desabilitada caso o vínculo do usuário com o LabCluster acabe (Ex: Usuário era funcionário do LabCluster e por qualquer motivo houve desligamento). Neste Caso, o usuário será desativado e será realizado backup do seu diretório home.

O ex-usuário do LabCluster terá o prazo de 1 ano a contar da data de desativação de seu usuário para solicitar via formulário \url{http://guialivre.governoeletronico.gov.br/apply/backup.php} uma cópia deste backup. Após este prazo todos seus dados serão excluídos do sistema.

\paragraph{Direitos dos usuários}

Os usuários possuem os seguintes direitos: 

\begin{itemize}
	\item Direito de Acesso:\\

	Os usuários do LabCluster possuem o direito de acessar as máquinas que estão relacionadas aos seus projetos, respeitando as questões relativas a permissões de usuários e as Políticas de Segurança da Informação e Utilização do LabCluster.

	\item Direito de Privacidade:\\

	Os usuários do LabCluster possuem direito de privacidade, de acordo com a política de privacidade definida na seção \ref{politicaprivacidade} deste documento.
	
	\item Direito a espaço de armazenamento para usuários: \\

	Os usuários do LabCluster possuem 300MB de espaço para armazenamento no seu diretório Home, que será centralizado e exportado para as máquinas que o usuário tem acesso. Este espaço será controlado através da utilização de sistemas de quota de disco e poderá ser solicitado o aumento deste espaço desde que justificada a real necessidade.

	\item Direito a espaço de armazenamento para projetos: \\

	Os Projetos que estiverem em execução no ambiente do LabCluster terão de negociar espaço em disco para sua execução, sendo que por padrão cada projeto terá 1GB (um gigabyte) de espaço centralizado nos servidores de arquivos do LabCluster. Um exemplo de local padrão de armazenamento para projetos é : ``/armazenamento/Nome\_do\_Projeto/".

	\item Outros espaços de Armazenamento temporários: \\

	Cada servidor do LabCluster possui um espaço \textbf{volátil} de armazenamento, que poderá ser usado, mas a manutenção e a segurança desses locais e dados não serão assegurados. Um exemplo deste tipo de espaço são as áreas ``/tmp" dos servidores.

	\item Direito de Uso dos recursos Computacionais: \\

	Os usuários tem direito de utilizar os recursos computacionais disponíveis nos servidores que possuem acesso, desde que não ocorra a monopolização dos recursos, a ponto de interferir na performance de outras aplicações ou atrapalhe outros usuários. Os administradores do ambiente podem a qualquer momento sem aviso prévio aos usuários matar processos ou programas que estejam demasiadamente consumindo recursos ou processos que estejam ``fora do controle" e estejam atrapalhando o desempenho do sistema.

	Também pode ser implementado no Cluster um sistema de controle de execução de ``jobs" para gerenciar a capacidade de processamento dos servidores.


	\item Direito Autoral: 

	Os usuários do LabCluster possuem o direito de ter seus nomes relacionados em todos os documentos produzidos no LabCluster, nos quais o usuário teve participação direta. É importante salientar que todo e qualquer documento produzido no ambiente do LabCluster deverá obedecer os pré-requisitos da seção \ref{producaodedocumentos}
	
\end{itemize}

\paragraph{Responsabilidades dos usuários}

Os usuários possuem as seguintes responsabilidades: 

\begin{itemize}
	
	\item Os usuários deverão aceitar e seguir  a Política de Segurança e de Utilização do LabCluster. \textbf{A utilização e acesso  ao ambiente está condicionada a concordância e aceitação destas políticas.}
	
	\item Os usuários são responsáveis pelos acessos aos sistemas e aplicações disponíveis no LabCluster realizados com seus usuários e senhas. Os usuários poderão ser penalizados por acessos indevidos realizados no sistema. \\

	Após a detecção da primeira tentativa ou acesso indevido seu usuário será bloqueado e o mesmo deverá solicitar o desbloqueio do seu usuário com os administradores do LabCluster. Caso haja reincidência seu usuário será desativado e o usuário não poderá mais utilizar o LabCluster.
	
	\item Os usuários devem cuidar para que suas senhas obedeçam o padrão descrito na seção \ref{seguranca_senhas} e que não sejam compartilhadas com outras pessoas. Sobre a pena de terem seu acesso bloqueado caso a senha seja descoberta pelo sistema de detecção de senhas frágeis\footnote{sistema descrito na seção \ref{senha_fragil}} e sofrer as sanções descritas no item acima caso seja realizado acesso indevido por outras pessoas de posse da senha do usuário.
	
	\item Os usuários deverão usar racionalmente os recursos computacionais disponíveis, caso seja detectado algum abuso os administradores do LabCluster poderão:
	
		\begin{itemize}

			\item Matar os processos que estejam abusando de recursos nos servidores.
			
			\item Apagar arquivos nos diretórios /tmp ~usuário/tmp /var/tmp

			\item Bloquear o acesso do usuário ao sistema ou servidor.

			\item Desativar a Conta do usuário.
			
		\end{itemize}
\end{itemize}

Os usuários deverão assinar o termo de responsabilidade de sua senha.% disponível no anexo \ref{termosenha} deste documento.
\subsubsection{Gerenciamento de privilégios}

As permissões e privilégios no LabCluster são controladas centralizadamente através do uso de servidor LDAP e podem ser definidas das seguintes maneiras:

\begin{itemize}
	
	\item	Permissões por servidor: \\
	Para cada servidor poderão ser definidas diferentes permissões de usuários para acesso, escrita e/ou leitura.

	\item 	Permissões por Domínio\footnote{conjunto de servidores e usuários}: \\
	Para cada Domínio poderão ser definidas diferentes permissões de usuários para acesso, escrita e/ou leitura.

	\item	Permissões por usuários: \\
	Cada usuário possui permissões e privilégios específicos para sua conta.

	\item 	Permissões por grupos de usuários: \\
	Poderão ser criados grupos de usuários para facilitar o gerenciamento de permissões e privilégios de um conjunto de usuários com mesmo perfil. As permissões criadas para um grupo de usuários serão validas para todos os usuários deste grupo.

	\item 	Permissões Globais: \\
	Poderão ser definidas permissões e privilégios globais para determinados usuários. Estas permissões funcionarão em todos os servidores do LabCluster. Apenas os funcionários da Gerência de Inovações Tecnológicas, poderão possuir tais tipos de permissões de usuários.
	
\end{itemize}

\subsubsection{Gerenciamento de senhas de usuários}

As senhas são o método utilizado para autenticação e acesso dos usuários aos servidores e sistemas do LabCluster. Funcionando como uma confirmação digital de que quem está acessando o servidor ou serviço é realmente quem diz ser. Por este motivo os usuários do LabCluster \textbf{devem ter muito cuidado na escolha e utilização de suas senhas}.

\paragraph{Padrão de Senha} 
\label{seguranca_senhas}

As senhas dos usuários do LabCluster devem ser senhas fortes e seguir os seguintes padrões:

\begin{itemize}
	\item Tamanho mínimo de 8 caracteres,
	\item Misturar maiúsculas e minúsculas
	\item Misturar letras, números
	\item Incluir caracteres não alfa-numéricos.
\end{itemize}

As seguintes características nas senhas não são recomendados por tornarem as senhas mais fracas:

\begin{itemize}
	\item simples seqüências alfabéticas e numéricas;
	\item palavras constantes em dicionários;
 	\item nomes próprios de pessoas;
	\item datas em geral, de nascimento, contratação, casamento, etc.;
	\item números de documentos ou de matrículas;
	\item marcas conhecidas; 
	\item senhas propostas automaticamente por sistemas (a não ser acompanhadas de mini-assinaturas)
\end{itemize}

Os sistemas do LabCluster estão configurados para não permitir o uso de senhas fracas, forçando o uso de senhas fortes.

\paragraph{Criando senhas fortes} 

Segue abaixo dois textos sobre como criar senhas fortes, o primeiro é de autoria da RedHat Inc e o segundo é de autoria de Igor Osch Simões e foi divulgada na lista Dicas-L\footnote{http://www.dicas-l.com.br/dicas-l/20060412.php}: 

\begin{quote}
\textbf{Autor: RedHat Inc.}

Há muitos métodos usados para criar senhas seguras. Um dos mais conhecidos envolve acrônimos. Por exemplo:
	

         Pense em uma frase memorável, como:\\

         "o sol da liberdade em raios fúlgidos brilhou no céu da pátria neste instante."\\
           Em seguida, transforme-a num acrônimo (incluindo a pontuação).\\

         \textbf{osdlerfbncdpni.}\\

          Adicione complexidade substituindo letras por números e símbolos no acrônimo.\\
	  Por exemplo: substitua n por 9 e a letra d pelo símbolo arroba (@):\\

         \textbf{os@lerfb9c@p9i.}\\

     Adicione mais complexidade colocando pelo menos uma das letras em caixa alta, como R.\\

        \textbf{os@leRfb9c@p9i.}\\

          Finalmente, nunca use o exemplo acima em nenhum de seus sistemas.\\

\end{quote}

\begin{quote}
\textbf{Senhas seguras}

\textbf{Autor: Igor Osch Simões}

Sempre somos aconselhados a utilizar senhas seguras. Senhas seguras são aquelas que tem pelo menos 6 caracteres e são compostas por letras, números e caracteres especiais.

Mas isso é um problema temos sempre muitas senhas para guardar senhas com as características citadas acima não são nada mnemônicas. Como proceder então? Como criar senhas difíceis de serem quebradas e ao mesmo tempo fáceis de serem lembradas?

Uma solução muito boa é o uso de uma frase, por exemplo:

    Eu nasci as 14:00 da tarde de 1980. 

    Se pegarmos as primeiras letras de cada palavra (respeitando maiúsculas e minúsculas) e os números temos a seguinte senha:

      \textbf{Ena14:00dtd1980.}

      Prestem atenção ao ponto ao final da senha!

      Um problema grande é quando estamos em um cliente e precisamos definir uma senha para um novo serviço. Que senha definir? Utilize o endereço do cliente! Por exemplo vamos supor a empresa Rapidinho Encomendas:

      O endereço da Rapidinho Encomendas é rua da Glória, número 325, sala 45!

      Isso geraria a seguinte senha:

        \textbf{OedREerdG,n325,s45!}

	Mais uma vez atenção à exclamação ao final da senha!

	Poderíamos deixar esta senha mais segura trocando a palavra número pelo símbolo \#, e teríamos:

	  \textbf{OedREerdG,\#325,s45!}

	  Tudo certo? Quase... Cuidado existem senhas com muitos caracteres estranhos e coisa do tipo mas que são muito manjadas como:

	  A arroba é 15 Kilos:

	   \textbf{A@eh15Kg}

	    Senhas desse tipo são muito usadas e fáceis de serem quebradas apesar da sua aparência de inquebrável.

	    Então é isso! Soltem a imaginação e criem senhas inquebráveis e de fácil memorização!!!!! 
\end{quote}


\paragraph{Sistema de verificação de senhas fracas}
\label{senha_fragil}

Periodicamente os administradores do LabCluster irão executar ferramentas de quebra de senha com o objetivo de detectar senhas fracas de usuários. Após a detecção de uma senha fraca, será enviado um e-mail para o usuário alertando sobre o problema e solicitando que a senha seja alterada. caso não ocorra alteração da senha no prazo de 3 dias, seu usuário será bloqueado e o mesmo deverá solicitar aos administradores o desbloqueio de sua conta.

O LabCluster assume o compromisso de não divulgar e nem utilizar as senhas descobertas para nenhum propósito, a intenção deste teste e garantir a segurança de todo os sistemas do LabCluster.

\subsubsection{Recomendações de segurança para o desenvolvimento de Aplicações}

Aplicações bem desenvolvidas, que procuram evitar as principais falhas e problemas de segurança e adotando as melhores práticas de desenvolvimento é essencial para se manter um ambiente computacional seguro. 
Ao se desenvolver aplicações para hospedagem no LabCluster deverão ser levadas em consideração os seguintes aspectos de segurança:

\begin{itemize}
        \item Sempre realizar o devido tratamento do input de usuário ou variáveis dinâmicas no servidor, jamais no Browser do usuário. Este tratamento é necessário para se garantir que não haverão falhas na aplicação de SQL INJECTION, bem como a execução de códigos maliciosos no servidor.
        \item Quando for utilizar dados como login e senha utilizar preferencialmente canais de comunicação seguros e/ou criptografados.
        \item Evitar códigos ou erros que permitam a execução de ataques do tipo Cross Site Scripting.
        \item Evitar códigos ou erros que permitam a execução de ataques do tipo COMMAND INJECTION.
        \item Evitar códigos ou erros que permitam a execução de ataques do tipo Session Hijack.
        \item Evitar códigos ou erros que permitam a execução de ataques do tipo  DOS - Denial of Service.
        \item Evitar códigos ou erros que permitam a execução de ataques do tipo Buffer Overflows.
\end{itemize}

\subsection{Classificação das Informações}

A classificação das informações e dados armazenados no LabCluster é de responsabilidade de seus usuários. O LabCluster não pode analisar todos os conteúdos produzidos e armazenados no laboratório para verificar quais são Confidenciais e quais não são.

Caso não seja realizada a prévia classificação da informação pelo usuário, a mesma será considerada por padrão informação pública e não será aplicado nenhum nível extra de proteção para esta informação.

\subsubsection{Informações Confidenciais}

Informações confidenciais são informações consideradas sigilosas tais como bases de dados do governo brasileiro, segredos tecnológicos, industriais, entre outros.

Tais informações não são públicas e seu acesso é restrito as pessoas que assinarem um termo Termo de Compromisso de Manutenção de SIGILO.% tais como os termos exemplificados  no anexo \ref{termosconfidencial}

Este tipo de informação será considerado crítico e sigiloso e serão aplicadas todas as restrições possíveis de controle de acesso, e caso seja necessário, poderão ser solicitados servidores fisicamente ou virtualmente\footnote{Através da utilização de máquinas virtuais} isolados para o armazenamento destes dados.

\subsubsection{Informações Organizacionais}

Informações Organizacionais são informações que se restringem ao ambiente interno da organização. Exemplos de informações organizacionais são projetos, estratégias, acordos, relatórios, entre outros.

A partir do momento que for informado a classificação da informação deverá ser informado quem poderá ter acesso a informação. Serão implementadas todas as restrições e controle de acesso possíveis para garantir que a informação não extrapole seu limite de divulgação.

\subsubsection{Informações Públicas}

Todas as informações armazenadas, desenvolvidas, elaboradas e disponíveis no LabCluster que não forem classificadas explicitamente pelos usuários será considerada informação pública. Não serão aplicadas restrições ao acesso desta informação e a mesma poderá ser disponibilizada na Internet pelos usuários ou administradores do LabCluster. 

Exemplos de informações públicas são: Documentações Técnicas, Relatórios de testes, Guia Livre, Guia de Cluster, Relatórios de prospecções Tecnológicas, entre outros.

Toda e qualquer informação produzida no LabCluster deverá obedecer as condições de Licenciamento descritas na seção \ref{producaodedocumentos}.

\subsection{Licenciamento e Produção de Documentos}
\label{producaodedocumentos}

As documentações, documentos e textos produzidos no LabCluster e não classificados ou classificados como Públicos deverão ser licenciados sob a licença CC-GPL.

Uma cópia desta licença pode ser obtida no site:
\url{http://creativecommons.org/licenses/GPL/2.0/legalcode.pt}

Todos os textos disponibilizados no Wiki do LabCluster também obedecem essas condições de Licenciamento (CC-GPL).

Em resumo esta licença permite a utilização da documentação, distribuição, alteração e distribuição da versão alterada, é claro respeitando os respectivos direitos autorais. 

\subsubsection{Exceções}

As informações classificadas como \textbf{Informações Organizacionais} ou \textbf{Informações Confidenciais}, não serão licenciadas como CC-GPL e deverão obedecer suas respectivas condições de compartilhamento e acesso.

\subsection{Política de Privacidade}
\label{politicaprivacidade}

Para a realização de solicitações ao LabCluster é necessário que seja realizado previamente o cadastramento do usuário. Neste cadastramento o usuário fornece diversas informações de identificação pessoal e profissional. Tais informações são utilizadas para  que possamos realizar um melhor atendimento e monitorar a resolução das solicitações dos usuários. Estas informações presentes nos cadastros e sistemas do LabCluster não serão usadas com outros fins e não serão cedidas a outrem, salvo mediante ordem judicial.

Os arquivos, bases de dados e documentos armazenados são de inteira responsabilidade de seus proprietários e o LabCluster se reserva o direito de realizar auditoria, monitoramento no sistema para comprovar o cumprimento das normas contidas na política de Segurança e de Utilização do Laboratório.

\textbf{Todos os acessos e conexões são logados e monitorados.} Isto é realizado com o objetivo de proteger o LabCluster e nossos usuários de acessos não autorizados. 

Todo e qualquer acesso não autorizado será punido de acordo com a Política de Utilização e Segurança do LabCluster e as Leis Vigentes.

Caso as informações ou base de dados sejam consideradas confidenciais, deverão ser obedecidas as diretrizes do termo de confidencialidade assinado entre as partes.


\subsection{Monitoramento dos servidores}

O LabCluster irá realizar o monitoramento dos serviços com o objetivo de prover uma maior qualidade de serviço aos seus usuários, detectar acessos não autorizados e problemas. 

Tal monitoramento se dará de duas maneiras:

\begin{itemize}
	\item Disponibilidade dos serviços e servidores
	\item Check-up de vulnerabilidades
	\item Análise de vulnerabilidades
\end{itemize}


\subsubsection{Disponibilidade dos serviços}

Será realizado o monitoramento do funcionamento e estabilidade dos serviços e servidores disponibilizados no LabCluster através da utilização da ferramenta Nagios. 

Serão publicados mensalmente relatórios divulgando as informações obtidas no sistema Nagios. 


\subsubsection{Check-up periódico de Integridade}

Será realizado periodicamente um check-up de integridade nos servidores do LabCluster.

Tal checkup irá verificar permissões de arquivos, configurações do sistema, entre outras coisas para checar se houveram mudanças no sistema não realizadas pela equipe do LabCluster.

Também serão realizadas verificações da existência de rootkits ou worms nos servidores.

Caso seja detectada alguma inconsistência ou problema de integridade, serão tomadas as medidas necessárias para corrigir o problema.

\subsubsection{Análise de vulnerabilidades}

Trimestralmente será realizado um teste de vulnerabilidade nos servidores do LabCluster, neste teste será utilizada a aplicação automatizada Nessus para verificar os problemas de vulnerabilidade nas aplicações servidoras.

Caso seja encontrado algum bug ou problema com determinada versão de aplicação será verificada a disponibilidade de uma versão atualizada que corrija o problema e a mesma será instalada.

\textbf{As informações e relatórios das análises de vulnerabilidade realizadas no LabCluster são confidenciais e restritas aos técnicos do LabCluster}
\subsection{Auditoria dos Sistemas}

O LabCluster se reserva o direito de realizar auditoria dos sistemas permanentemente e sem aviso prévio aos usuários para verificar o cumprimento das normas contidas na Política de Utilização e de Segurança do Laboratório.

Caso seja detectado algum descumprimento desta política por parte dos usuários, o mesmo será avisado e serão tomadas as medidas cabíveis.

\subsection{Documentação dos incidentes}

Os técnicos do LabCluster deverão documentar todos os incidentes verificados, problemas detectados abordando como foram resolvidos,
sugestões de melhorias e medidas adotadas para resolução dos incidentes/problemas enfrentados. 

Esta medida tem o objetivo de criar uma base de conhecimento que auxiliará a resolução de problemas num futuro próximo.

\subsection{Resposta a incidentes de segurança}

Caso ocorram incidentes de segurança que comprometam os sistemas do LabCluster ou que violem esta política, deverão ser tomadas as medidas necessárias para a solução do incidente caso o mesmo seja técnico e a aplicação das penalidades previstas na legislação caso seja necessário.

\subsection{  Reportando pontos fracos na segurança}

Os usuários do LabCluster são obrigados a anotar e reportar quaisquer pontos fracos observados ou suspeitados, ou ameaças, aos sistemas e serviços. É dever do usuário reportar este assunto diretamente a Gerência de Inovações Tecnológicas, responsável pelo LabCluster. Os usuários não devem, em nenhuma circunstância, tentar provar (testar) um ponto fraco suspeitado. Pois um teste deste tipo poderá ser confundido com um ataque real, e caso descoberto será considerada uma violação desta política e o acesso do usuário será bloqueado.
