Nos últimos anos, tornou-se muito mais fácil para os usuários criarem e disseminarem seus dados na Web. Neste contexto, uma grande quantidade de dados dos usuários é criada e utilizada de forma distribuída entre várias aplicações web. Essa distribuição de dados criou novas necessidades para o usuário, que agora precisa gerenciar dados que estão hospedados em diferentes sites e compartilhar dados entre sites de forma protegida. Entretanto, os mecanismos existentes na Web hoje não conseguem atender a essas necessidades e o usuário se vê obrigado a utilizar mecanismos que consomem muito tempo, causam replicação de dados, não são suficientemente seguros ou fornecem apenas um controle limitado sobre os seus dados. Assim, o objetivo deste trabalho é propor uma arquitetura centrada no usuário para gerenciamento de dados na Web e compartilhamento desses dados com aplicações web. A proposta dessa arquitetura é baseada em uma especificação detalhada dos requisitos do sistema usando um método específico para o ambiente Web. Para assegurar que o sistema proposto é seguro, é realizada uma análise para identificação das vulnerabilidades e das ameaças do sistema e geração um plano de mitigação. A viabilidade técnica de implementação da arquitetura proposta é mostrada por meio da implementação de um protótipo como prova de conceito. Ao final, mostra-se por meio desse protótipo que o sistema cumpre os objetivos e requisitos propostos. / In recent years, it became much easier for users to create and disseminate their data on the Web. In this context, a large amount of user data is created and used in a distributed way across multiple web applications. This data distribution has created new needs for the user, who now needs to manage data that is hosted on different sites and to securely share data between sites. However, existing mechanisms on the Web cannot meet these needs and the user is forced to use mechanisms that are time consuming, cause data replication, are not sufficiently secure or provide limited control over their data. The objective of this thesis is to propose a user-centric architecture for data management in the Web and data sharing across web applications. The proposed architecture is based on a detailed system requirements specification, which uses an appropriate method for the Web environment. To ensure system security, a threat and vulnerability analysis is performed and a mitigation plan is generated. The technical feasibility of implementing the proposed architecture is shown through the implementation of a proof of concept prototype. Finally, this prototype helps to show that the system meets the proposed objectives and requirements.

Diante dos recursos e avanços tecnológicos na área da saúde, a certificação digital vem ganhando espaço na área médica e odontológica, sendo utilizados e aplicados por clínicas de grande porte, hospitais, centros de saúde. Devido ao conhecimento público sobre as questões ética e legais que envolvem os cuidados com a saúde, os processos judiciais contra os cirurgiões-dentistas, aumentaram consideravelmente, e o seu único meio de prova é a correta e adequada confecção do prontuário odontológico e no caso do prontuário digital os cuidados e atenção devem ser redobrados. Para tanto, o presente estudo examinou os aspectos éticos e legais do prontuário odontológico digital perante a Justiça, relacionando a segurança, a privacidade e a validade jurídica enquanto meio de prova, nos termos do novo Código de Processo Civil, e a importância e aplicabilidade da certificação digital na Odontologia. A análise da literatura permitiu verificar que a certificação digital é realidade em outras áreas profissionais e está sendo cada vez mais aceita e aplicada como identidade pessoal dentro do ambiente virtual, garantindo integridade e inviolabilidade aos que se beneficiam desse tipo de segurança. Para que o prontuário digital possa ser considerado seguro, ele deve apresentar mecanismos capazes de assegurar autenticidade, confidencialidade e integridade dos documentos. Adicionalmente, deve ser digitalizado com emprego de certificado digital emitido no âmbito da Infraestrutura de Chaves Públicas Brasileiras. As tecnologias empregadas devem proteger os princípios e fundamentos do nosso ordenamento jurídico pátrio, bem como a dignidade humana dos indivíduos e sua intimidade, garantindo as ferramentas necessárias para a sua fiscalização. / Having in mind the massive information in advanced technology envolving health matters, the digital prontuaries happen to be more oftenlly used in Hospitals, Dental clinics and other health institutions. Due to the globalization, the cityzens themselves, developed more a know ledgement about their legal rigths, concerning dental and medical procedures. In the other hand, the health professionals have in their majority, only paper prontuaries, whitch can be easilly adulterated. The aim of this work is to analise the digital dental and medical prontuaries avaiable and determinate their security for both, patients and professionals, by the scope of the Justice and ethical matters. All the study was based on the \"New Brazilian Civil Law Code. The recall of the studyied literature, allowed us to verify that the digital certification, has been used to pervente any kind of frauds. In deed, this softwares have to be developed by informatic personel, but always following the Structured Brazilian Public Keys, in order to the rigths of the envolved parts can be assured.

O aumento crescente da interconectividade no ambiente de negócio, aliado à dependência cada vez maior dos sistemas de informação nas organizações, faz da gestão da segurança da informação uma importante ferramenta de governança corporativa. A segurança da informação tem o objetivo de salvaguardar a efetividade das transações e, por conseguinte, a própria continuidade do negócio. As ameaças à informação vão desde ataques hackers, fraudes eletrônicas, espionagem e vandalismo; a incêndio, interrupção de energia elétrica e falhas humanas. Segurança da informação é obtida a partir da implementação de um conjunto de controles, incluindo-se dentre outros, políticas, processos, procedimentos, estruturas organizacionais, software e hardware, o que exige uma gestão contínua e uma estrutura administrativa bem estabelecida para fazer frente aos seus desafios. O presente trabalho procurou investigar as razões relacionadas às dificuldades que muitas organizações enfrentam para a estruturação da segurança da informação. Muitas delas se limitam a adotarem medidas pontuais e inconsistentes com a realidade em que vivem. O mercado conta com um arcabouço legal e normativo para a implementação da segurança da informação NBR ISO/IEC 27002, Lei Americana Sarbanes-Oxley, acordo de capital da Basiléia, regulamentações das agências regulatórias (ANATEL, ANVISA e CVM). As pesquisas de mercado mostram que a implementação da segurança da informação está concentrada em instituições de grande porte e de segmentos específicos da economia como, por exemplo, bancário-financeiro e telecomunicação. Entretanto, a segurança da informação faz-se necessária em qualquer organização que utilize sistema de informação nos seus processos de trabalho, independentemente do porte ou do setor econômico de atuação. A situação da segurança da informação no setor governamental do Brasil, e dentro deste, nas instituições de pesquisas científicas é considerada preocupante, de acordo com o Tribunal de Contas da União. Este trabalho apresenta um método de diagnóstico e avaliação da segurança da informação, aplicado na forma de levantamento de dados, que tem a intenção de servir de ponto de partida para fomentar uma discussão interna visando à estruturação da segurança da informação na organização. O referido método é destinado em especial àquelas organizações que não se enquadram no perfil das empresas atingidas pelas leis e regulamentos existentes, mas que necessitam igualmente protegerem seus ativos de informação para o bom e fiel cumprimento de seus objetivos e metas de negócio. / The increase of the connectivity in the business environment, combined with the growing dependency of information systems, has become the information security management an important governance tool. Information security has as main goal to protect the business transactions in order to work normally. In this way, It will be safeguarding the business continuity. The threats of information come from hackers attacks, electronic frauds and spying, as well as fire, electrical energy interruption and humans fault. Information security is made by implementation of a set of controls, including of the others politics, processes, procedures, organizational structures, software and hardware, which require a continuous management and a well established structure to be able to face such challenges. This work tried to search the reasons why the organizations have difficulties to make a practice of information security management. Many of them just limit to adopt points measures, sometimes they are not consistent with their realities. The market counts on enough quantity of standards and regulations related to information security issues, for example, ISO/IEC 27002, American Sarbanes-Oxley act, Basel capital accord, regulations from regulatory agency (such as the Brazilians ones ANATEL, ANVISA and CVM). The market researches have showed that the information security implementation is concentrated on a well-defined group of organization mainly formed by large companies and from specifics sectors of economy, for example, financial and telecommunication. However, information security must be done by all organizations that use information systems to carry out their activities, independently of its size or economic area that it belongs. The situation of information security in the governmental sector of Brazil, and inside its research institutions, is considered worrying by the Brazilian Court of Accounts (TCU). This research work presents an assessment and diagnostic proposal of information security, applied in the form of a data survey, which intend to be a tool that can be used as a starting point to foment debates about information security concerns into organization. This can lead them to a well-structured information security implementation. The referred proposal is specially addressed to those organizations that do not have the profile that put them among those companies which are forced to follow some law or regulation. But in the same way they need to protect their information assets to reach their goals and their business objectives.

Submitted by Maria Cristina (library@lncc.br) on 2017-08-10T18:19:02Z No. of bitstreams: 1 dissertacao Natasha.pdf: 915040 bytes, checksum: 8e2b079465523b98d5e66edeb28a679c (MD5) / Approved for entry into archive by Maria Cristina (library@lncc.br) on 2017-08-10T18:19:15Z (GMT) No. of bitstreams: 1 dissertacao Natasha.pdf: 915040 bytes, checksum: 8e2b079465523b98d5e66edeb28a679c (MD5) / Made available in DSpace on 2017-08-10T18:19:25Z (GMT). No. of bitstreams: 1 dissertacao Natasha.pdf: 915040 bytes, checksum: 8e2b079465523b98d5e66edeb28a679c (MD5) Previous issue date: 2017-02-17 / Conselho Nacional de Desenvolvimento Científico e Tecnológico (CNPq) / Nowadays, besides the growing popularity of cryptography, there is a big interest from researchers in the development of strategies that study and analyze the current crypto- graphic methods. This is due to the fact that current methods are based on mathematical problems considered safe, however, researchs points to security flaws in the presence of a quantum computer. In this work we created and developed a method capable of translating symmetric cryp- tographic algorithms into Conjunctive Normal Form and then we analyze the obtained output. Initially, we studied the cryptographic algorithm model of interest and used the software CBMC, a bounded model checker software. This software returns a SAT system to be solved, i.e, we rewrite the problem as SAT. In addition, the system can be interpreted as a graph, so we reduce it by implementing a depth-first-search before solving it, to make the problem feasible for resolution. The method proposed is then submitted to a round of tests, aiming to validate the developed tool. / Atualmente, além da popularidade da criptografia estar crescendo consideravelmente, existe grande interesse em realizar pesquisas para o desenvolvimento de estratégias que estudem e analisem os métodos criptográficos utilizados atualmente. Isto se dá pelo fato dos métodos atuais serem baseados em problemas matemáticos considerados seguros, entretanto, pesquisas atuais apontam para falhas de segurança na presença de um computador quântico. Este trabalho consiste em traduzir os algoritmos criptográficos simétricos para o sistema SAT e analisar a saída obtida. Para isto, inicialmente estudamos o modelo do algoritmo criptográfico de interesse e inserimos ele em um software verificador de modelos (CBMC). Este software nos retorna um sistema SAT a ser resolvido, ou seja, reescrevemos o problema como SAT. Além disto, o sistema pode ser interpretado como um grafo, então reduzimos o mesmo através de uma busca em profundidade antes de resolvê-lo, para tornar o problema factível de resolução. A técnica proposta é submetida a um conjunto de testes, utilizando meios propostos pela literatura e alguns meios originais do trabalho, para validar a ferramenta desenvolvida.

Redes ad hoc são um tipo de rede sem fio onde as estações fazem, também, o papel de roteadores de pacotes. Como o meio de transmissão é o ar, ficam susceptíveis a diversos tipos de ataques, em suas diversas camadas de protocolos. Uma das camadas mais inseguras é a de roteamento, camada 3 do modelo OSI da ISO. Alguns protocolos de roteamento ad hoc já propõe a integração de primitivas de criptografia para prevenção contra alguns ataques e garantir a autenticação das estações na rede. Para emprego militar, onde há uma divisão hierárquica entre as diversas mensagens que trafegam na rede, faz-se, ainda, necessário formar uma hierarquia entre as estações roteadoras, de forma que somente nós confiáveis possam executar esta tarefa entre os níveis de comando e tropas. Assim, a proposta deste trabalho é utilizar propriedades que aumentem a segurança das redes de comunicação ad hoc, aplicadas aos pacotes de roteamento com a finalidade de criar rotas com diferentes hierarquias e níveis de segurança. O desempenho da solução apresentada é caracterizado pelo tempo necessário para estabelecer uma rota segura pertencente a um dado nível hierárquico em função do número de saltos da rota e do número de usuários pertencentes ao nível hierárquico considerado.

O processo de seleção de um novo padrão para criptografia de dados promovido pelo governo norte-americano, denominado Advanced Encryption Standard - AES, resultou na escolha do algoritmo Rijndael. Este cifrador trabalha com blocos de 128 bits e chave criptográfica de 128, 192 ou 256 bits. Espera-se que este novo padrão seja amplamente adotado pela iniciativa privada, substituindo o Data Encryption Standard - DES - a médio prazo. Neste trabalho é proposta uma arquitetura de um coprocessador dedicado para executar as funções de cifragem e decifragem de acordo com a norma AES, com chave criptográfica de 128 bits. O circuito foi implementado em um dispositivo lógico reconfigurável do tipo Field Programmable Gate Array - FPGA. A arquitetura proposta foi projetada com a finalidade de reduzir a quantidade de recursos utilizados, de forma a ser implementada em um dispositivo de média densidade e baixo custo. Para a etapa de síntese foi utilizado um dispositivo Altera ACEX 1K50. O circuito sintetizado utiliza 1984 elementos lógicos e 6 blocos de memória embarcada, atingindo uma taxa de cifragem estimada de 91,8 megabits por segundo. O funcionamento do coprocessador foi comprovado através de teste funcional, utilizando os vetores de teste fornecidos pela norma.

Agentes móveis são programas que podem ser disparados de um computador (cliente) e transmitidos através de uma rede de comunicação para uma outra maquina (servidor) com o objetivo de executar tarefas a eles designadas. Esta dissertação apresenta uma avaliação de plataformas de desenvolvimento e servidores para agentes móveis. A tecnologia de agentes móveis tem sido alvo de grandes pesquisas, inclusive nos setores de Segurança da Informação e Comércio Eletrônico. Foram executados testes e com as informações foi feita uma análise comparativa, levando-se em consideração questões como características de desempenho dos agentes, desempenho e segurança. Para efetuar os testes foram necessários o entendimento do funcionamento do servidor e o desenvolvimento de seus agentes. Os testes de desempenho serviram para definir quais agentes são mais ágeis e quais são os gastos de processamento dos servidores. Já o teste de segurança teve a finalidade de classificar os servidores quanto à segurança. Os resultados obtidos serviram para indicar qual a melhor plataforma a ser utilizada no desenvolvimento do Sistema de Detecção de Intrusão (SDI) do ICMC. As plataformas que obtiveram destaques nos testes foram o ASDK 1.1 e Grasshopper. A plataforma escolhida para o SDI foi o ASDK 1.1. / Mobile agents are programs able to migrate from a client computer to a server computer through communication networks. There are several mobile agent technologis application, includind Information Security and Eletronic Commerce. This work describes the valuation of mobile agent plataforms. A test environment was desired and 5 plataforms were compared in terms of the security and performance provided. To make the assessment it was necessary to understand the server functionality an the methodologies to develop the agents. The test of performace helped to define which agents are more agile and what are their processing needs while in the server. The security test aimed to classify the servers in them security. The results were used to determine which is better mobile agente plataform to be used in the on going ICMC’s Intrusion Detection System (IDS). The best performance plataforms were the ASDK 1.1 and the Grasshopper. The chosen plataform for the IDS was the ASDK 1.1.

Made available in DSpace on 2015-03-05T18:41:00Z (GMT). No. of bitstreams: 0 Previous issue date: 26 / Nenhuma / A teoria traz como um problema e uma limitação dos modelos de gestão de TI presentes em grande parte das empresas a abordagem excessivamente operacional envolvendo o tema segurança da informação. Esta visão operacional não leva em consideração elementos estratégicos essenciais em busca das práticas mais adequadas no contexto do negócio. O objetivo desta dissertação é desenvolver e aplicar um framework para promover o alinhamento estratégico entre os objetivos de negócio, objetivos de TI e as práticas de segurança da informação. Estas práticas são avaliadas e analisadas no contexto da governança de TI e governança da segurança da informação. Para este fim, foi realizada a integração dos modelos do BSC x COBIT x ISO27002 com a aplicação prática em uma empresa de automação significativamente dependente de sistemas de informação. A integração destes modelos foi com base nos requisitos de segurança confidencialidade, integridade e disponibilidade resultando em um framework que possibilita abordar a segurança da i

Submitted by JOSIANE SANTOS DE OLIVEIRA (josianeso) on 2018-05-25T11:39:02Z No. of bitstreams: 1 Karen Hackbart Souza Fontana_.pdf: 1062166 bytes, checksum: eaae888783aaa0e0d29e7883989cd90b (MD5) / Made available in DSpace on 2018-05-25T11:39:03Z (GMT). No. of bitstreams: 1 Karen Hackbart Souza Fontana_.pdf: 1062166 bytes, checksum: eaae888783aaa0e0d29e7883989cd90b (MD5) Previous issue date: 2017-03-15 / Nenhuma / Esta pesquisa teve como objetivo analisar como as práticas de segurança da informação contábil podem contribuir para a governança corporativa no requisito de conformidade. Trata-se de uma pesquisa descritiva, qualitativa cuja estratégia de pesquisa deu-se mediante um estudo de caso único, realizado em uma empresa localizada no Rio Grande do Sul que está listada no Nível 2 de Governança Corporativa. Como técnicas de coleta de dados, utilizou-se entrevistas em profundidade, documentos e questionário. Aplicou-se o questionário aos usuários de nível operacional e gerencial para os setores de contabilidade, custos, fiscal, financeiro e tecnologia da informação. Por meio desse instrumento identificou-se que as práticas de segurança da informação contábil apresentam um nível razoável de proteção; apenas domínios D3 com D4; D4 com D2; D7 com D8 possuem correlação forte e são estatisticamente significantes ao nível de 1%. Para aprofundar a pesquisa, verificou-se por meio de entrevistas com os gestores que a empresa utiliza 27 das 41 práticas apresentadas nesse estudo. Conclui-se que as práticas utilizadas contribuem para a conformidade da governança corporativa proporcionando uma informação acessível, conforme, confiável, disponível, íntegra, responsável, válida, segura, bem como na mitigação de riscos. Em complemento, verificou-se na análise documental que a empresa possui políticas de segurança da informação, bem como não teve ressalvas da auditoria independente no período analisado. / This research had as objective to analyze security practices of accounting information can contribute to the corporate governance compliance requirement. It is a descriptive, qualitative research whose research strategy was by a single case study, carried out in a company located in Rio Grande do Sul that is listed at level 2 of corporate governance. As data collection techniques, using in-depth interviews, documents and questionnaire. The questionnaire was applied to managerial and operational level users for accounting, tax, financial costs, and information technology. Through this instrument identified that the accounting information security practices have a reasonable level of protection; only domains with D3 D4; D4 with D2; D7 with D8 have strong correlation and are statistically significant at the 1% level. For further research, it was found through interviews with managers the company uses 27 of 41 practices presented in this study. It is concluded that the practices contribute to compliance of corporate governance by providing accessible information, as available, reliable, responsible, valid, safe, as well as on risk mitigation. In addition, it was found in the documentary analysis that the company has information security policies, as well as the independent audit had caveats analysis period.

Submitted by Aline Batista (alinehb.ufpel@gmail.com) on 2018-04-18T15:04:36Z No. of bitstreams: 2 license_rdf: 0 bytes, checksum: d41d8cd98f00b204e9800998ecf8427e (MD5) Dissertacao_Diorgenes_Yuri_Leal_da_Rosa.pdf: 3317198 bytes, checksum: ffad37e3b8f5606e8102f983c5628ac8 (MD5) / Approved for entry into archive by Aline Batista (alinehb.ufpel@gmail.com) on 2018-04-19T14:43:29Z (GMT) No. of bitstreams: 2 Dissertacao_Diorgenes_Yuri_Leal_da_Rosa.pdf: 3317198 bytes, checksum: ffad37e3b8f5606e8102f983c5628ac8 (MD5) license_rdf: 0 bytes, checksum: d41d8cd98f00b204e9800998ecf8427e (MD5) / Made available in DSpace on 2018-04-19T14:43:40Z (GMT). No. of bitstreams: 2 Dissertacao_Diorgenes_Yuri_Leal_da_Rosa.pdf: 3317198 bytes, checksum: ffad37e3b8f5606e8102f983c5628ac8 (MD5) license_rdf: 0 bytes, checksum: d41d8cd98f00b204e9800998ecf8427e (MD5) Previous issue date: 2017-12-22 / Sem bolsa / As infraestruturas computacionais modernas, típicas da Computação Ubíqua, pressupõem características de flexibilidade e de permissividade quanto a conectividade do ambiente. Estas características contribuíram ao longo dos últimos anos com a concretização da emergente Internet das Coisas, a qual estende a demanda de conectividade e, por conseguinte, eleva o tráfego em redes de computadores. Entretanto, os mesmos fatores que permitem estas evoluções também potencializam problemas no que diz respeito a Segurança da Informação. Recorrentemente são implantadas, em redes de computadores, soluções de Segurança da Informação para fins específicos, desenvolvidas em linguagens de sintaxe própria, provendo eventos em formatos também distintos. Estes fatores individualizam a análise destas soluções, o que acaba dificultando a identificação de incidentes. Neste sentido, a Ciência de Situação, enquanto estratégia capaz de integrar eventos de diferentes fontes, torna-se requisito fundamental para a implementação de controles de segurança, permitindo a flexibilidade típica da UbiComp. Considerando isto, a presente dissertação propõe uma abordagem ontológica para Ciência de Situação aplicada ao domínio de Segurança da Informação, denominada EXEHDA-SO (Execution Environment for Highly Distributed Applications - Security Ontology). Por meio de processamento de eventos heterogêneos, provenientes de diferentes fontes contextuais, busca-se uma contribuição a fase de compreensão de Ciência de Situação. O modelo EXEHDA-SO é apresentado em três fragmentos denominados Core, Scope e InterCell Analyzer. De forma a validar o modelo proposto foi desenvolvido um estudo de caso alusivo `a infraestrutura computacional da Universidade Federal de Pelotas. Nesta avaliação, considerando as características de heterogeneidade e distribuição do ambiente, foi possível observar as principais contribuições propostas nesta dissertação. / Modern computing infrastructures, typical of Ubiquitous Computing, assume characteristics of flexibility and permissiveness regarding the connectivity of the environment. These characteristics have contributed over the last few years to the emerging Internet of Things, which extends the demand for connectivity and therefore raises computer networks traffic. However, the same factors that allow these evolutions also potentiate problems with regard to Information Security. Information security solutions for specific purposes are developed in computer networks, developed in their own syntax languages, providing events in different formats. These factors individualize the analysis of these solutions, which brings difficulties to incidents identification. In this sense, Situational Science, as a strategy capable of integrating events from different sources, becomes a fundamental requirement for the security controls implementation, allowing the typical flexibility of UbiComp. Considering this, the present dissertation proposes an ontological approach to Situation Science applied to the Information Security domain, called EXEHDA-SO (Execution Environment for Highly Distributed Applications - Security Ontology). Through the processing of heterogeneous events, coming from different contextual sources, a contribution is made to the understanding phase of Situational Science. The EXEHDA-SO model is presented in three fragments called Core, Scope and InterCell Analyzer. In order to validate the proposed model a case study was developed allusive to Universidade Federal de Pelotas computational infrastructure. In this evaluation, considering the characteristics of heterogeneity and distribution of the environment, it was possible to observe the main contributions proposed in this dissertation.