Boas práticas de Segurança

Para a utilização da plataforma de Email de uma forma segura, produtiva, profissional e educada, existem um conjunto de boas normas que devem de ser seguidas, como por exemplo:

Quando recebe um email, verifique sempre a origem do endereço que o enviou. Dessa forma, estará activamente a prevenir uma possível situação de Phishing, sobre a qual pode ler Aqui

Caso receba um email que contenha ficheiros provenientes de uma origem desconhecida, elemine-os imediatamente.

Nunca distribua informação pessoal via email, como por exemplo, número de cartão bancário, usernames, passowords, etc. Este tipo de informações nunca será pedido via email. Caso tenha a necessidadede enviar este tipo de informação critica, deverá enviar utilização comunicação encriptada.

Não siga as ligações que estão contidas em emails suspeitos. Digite o endereço directamente no browser, evitando mais uma vez uma possível tentativa de Phishing.

Mantenha os sistemas e aplicações atualizados

1. manter um inventário atualizado dos sistemas, equipamentos e aplicações;
2. identificar regularmente novas vulnerabilidades e atualizações de segurança;
3. avaliar a criticidade e o risco associado a cada vulnerabilidade;
4. definir prioridades e prazos para a instalação das atualizações;
5. testar as atualizações sempre que necessário antes da sua implementação;
6. instalar as atualizações de forma controlada e documentada;
7. verificar posteriormente se foram corretamente aplicadas;
8. acompanhar os sistemas que permanecem desatualizados e definir medidas alternativas quando uma atualização não possa ser instalada.

A salvaguarda de uma password começa logo na sua criação. Ao gerar a sua senha, o utilizador deve ler atentamente as regras de formulação da mesma. Esta deve ser tão complexa quanto a criticidade do serviço a que se destina. Pode usar uma palavra-chave fraca para aceder ao site de um jornal, mas é evidente que a palavra-chave que usa para o seu mail deve garantir maior segurança e que a que usa para consultar ou movimentar a sua conta bancária deve ter uma complexidade ainda mais elevada.

Um cuidado a ter na criação de uma boa palavra-chave é o de não usar elementos pessoais associados a si ou conhecidos por mais pessoas que não o próprio, tais como: datas de nascimento, partes do nome e apelidos, morada, números de identidade, contribuinte, etc. É relativamente fácil obter esta informação a respeito de qualquer pessoa e testar em seguida como senha de acesso em qualquer serviço possivelmente subscrito pelo utilizador.

De evitar são, também, senhas criadas com a proximidade entre caracteres no teclado, como "QwerTAsdfG". Para além de serem já conhecidas estas senhas são facilmente observáveis no momento da digitação. Para reforçar a proteção contra ataques conhecidos, aconselha-se a utilização do comprimento máximo admissível para senhas, definido pelo sistema de autenticação em causa e desaconselha-se a utilização de palavras encontradas em listas ou dicionários de língua portuguesa ou estrangeira. 

Formular uma palavra-chave segura requer imaginação. Por um lado esta deve ser facilmente memorizável, por outro, deve ser difícil de adivinhar por terceiros. Uma forma de aumentar a robustez da senha é a combinação não sequencial de letras, números e símbolos Existem algumas dicas que podem ajudar a criar uma senha forte. Uma metodologia possível será identificar uma frase que lhe seja fácil de lembrar; Exemplo: “criar password forte em três passos para melhorar a segurança”. De seguida utilizar na sua password a primeira letra de cada palavra: “CPFETPPMAS”.

Finalmente poderá ainda substituir letras maiúsculas por minúsculas e letras por números e símbolos: “cPFe3ppm@s”.

Em termos gerais, uma firewall é sistema um controlo de acesso de tráfego que se interpõem entre diferentes redes.

No contexto das redes ou computadores de acesso em casa, as firewalls costumam tomar as seguintes formas:

• Software especializado a correr no computador de acesso à Internet; ou
• Firewall de rede, que é um dispositivo dedicado à função de protecção de um ou mais computadores.

Ambos os tipos de firewall possibilitam ao utilizador a definição de políticas para ligações externas (Internet) para dentro do computador que estão a proteger.

Existem firewalls para utilização pessoal, por vezes de distribuição gratuita, designadas por “personal firewalls”. Alguns sistemas operativos já vem com este tipo de funcionalidades.

A maioria das firewalls disponíveis para utilização doméstica vem pré-configuradas, podendo o utilizador parametrizar a partir das configurações iniciais.

Utilize um sistema de firewall – recomenda-se a utilização de um sistema de firewall nos computadores ligados à Internet. Por toda a Internet existem processos controlados por intrusos estão constantemente a percorrer os endereços da Internet à procura de computadores vulneráveis. Os sistemas de firewall proporcionam boa protecção contra este tipo de ataques de reconhecimento. Deve evitar a postura de considerar que após a instalação de uma firewall, os problemas de segurança ficam resolvidos.

Quando são usadas comunicações não cifradas, existe sempre o risco destas serem interceptadas por terceiros, em qualquer um dos nós por onde a comunicação passa. Desta forma é possível interceptar dados sensíveis, tais como nomes de utilizadores e passwords. O HTTPS foi criado para colmatar este tipo de situações.
O HTTPS é um conjunto de protocolos de comunicação para fazer comunicaçõesseguras através de uma rede de computadores. O HTTPS permite cifrar ascomunicações entre dois pontos, de forma a garantir a Confidencialidade e aIntegridade dos dados em trânsito e Não Repúdio da origem ou do destino dascomunicações.
Os navegadores web (web browsers) sabem como confiar e cifrara tráfego web, através de um repositório de certificados emitidos porAutoridades de Certificação (e.g. VeriSign/Microsoft/etc.) que estãopre-instalados nos nagegadores. Desta forma um utilizador deve confiar numacomunicação HTTPS se e só se o seguinte é verdade:

• O utilizador confia na implementação HTTPS do navegador, bem como nos certificados nele pré-instalados;
• O utilizador confia na Autoridade de Certificação;
• O web site apresenta um certificado válido, que foi assinado por uma Autoridade de certificação de confiança;>
• O certificado identifica correctamente o website (e.g. quando se visita "https://examplo.com", o certificado apresentado está correctamente preenchido para "Examplo, SA";

De uma forma geral, toda a comunicação onde são transmitidos dados sensíveis (nomes de utilizadores, passwords, números de cartões de crédito, contas bancárias, etc) deve ser feita através de HTTPS. Quando lhe são solicitados dados pessoais (isto inclui o seu nome, morada, contactos, palavras-passe, número de cartão de crédito ou outros), verifique se o endereço da página começa por “https://”, caso contrário essa mesma informação pode ser facilmente interceptada por estranhos.

Também deve evitar  fazer login em contas importantes a partir de redes Wi-Fi públicas ou abertas. Um atacante pode facilmenteter acesso a todas as comunicações que faça nas mesmas e pode, inclusivamente, fazê-lo pensar que está a fazer login na sua conta de email quando na verdade está a fazer login numa página criada pelo atacante para roubar a sua password. Verifique sempre se está a ligar-se via HTTPS e não HTTP, pode vê-lo através do site. Se for http:// não está em modo seguro, se for https:// está.

Sempre que estiver a navegar numa sessão autenticada, deve garantir que existe um recurso no website que implemente um evento de terminar a sessão.
O fim de uma sessão autenticada num website é normalmente despoletada por um dosseguintes eventos:

•  O utilizador termina a sessão;
• A sessão é autoaticamente terminada pela aplicação devido a um periodo de inactividade.

É muito importante garantir que uma sessão autenticada é terminada, para evitar que um atacante tenha acesso ao identificador de sessão e consiga usar esse identificador para se fazer passar pelo utilizador legitimo da sessão.

Assim, deve garantir que:

•  Antes de iniciar uma sessão autenticada, deve garantir que todas as janelas do browser estão fechadas;
• Durante a sessão autenticada deve evitar navegar noutros sites com o mesmo browser;
• No fim da navegação autenticada, deve usar o recurso de logout ou fim de sessão para forçar o fim da sessão.
• Depois de terminar a sessão deve garantir que fecha a janela do browser