CIn UFPE – Centro de Informática da UFPE - U N I V E R S I D A D E E D E R A L D E...
68
U NIVERSIDADE F EDERAL DE P ERNAMBUCO GRADUAÇÃO EM SISTEMAS DE INFORMAÇÃO CENTRO DE INFORMÁTICA Rômulo Ferreira da Silva Utilizando Modelo Multicritério na Seleção de Dispositivo UTM (Unified Threat Management): Um Estudo de Caso TRABALHO DE GRADUAÇÃO Recife, 2019
Transcript of CIn UFPE – Centro de Informática da UFPE - U N I V E R S I D A D E E D E R A L D E...
UNIVERSIDADE FEDERAL DE PERNAMBUCO
GRADUAÇÃO EM SISTEMAS DE INFORMAÇÃO
CENTRO DE INFORMÁTICA
Rômulo Ferreira da Silva
Utilizando Modelo Multicritério
na Seleção de Dispositivo UTM
(Unified Threat Management):
Um Estudo de Caso
TRABALHO DE GRADUAÇÃO
Recife, 2019
Rômulo Ferreira da Silva
Utilizando Modelo Multicritério na Seleção de Dispositivo UTM (Unified Threat Management):
Um Estudo de Caso
Trabalho apresentado ao Programa de graduação em
Sistemas de informação do Centro de Informática da Universidade Federal de Pernambuco como requisito
parcial para obtenção do grau de Bacharel em Siste- mas de Informação.
Orientador: Adiel Teixeira de Almeida Filho
Recife, 2019
2
Rômulo Ferreira da Silva
Utilizando Modelo Multicritério na Seleção de
Dispositivo UTM (Unified Threat Management): Um Estudo de Caso
Trabalho apresentado ao Programa de graduação em Sistemas de informação do Centro de Informática da Universidade Federal de Pernambuco como requisito
parcial para obtenção do grau de Bacharel em Siste- mas de Informação.
Trabalho aprovado. Recife, 05 de julho de 2019
_____________________________________
Prof. Adiel Teixeira de Almeida
Orientador
____________________________________
Prof. Jéssyka Vilela
Avaliadora
Recife, 2019 3
“Eu não tenho ídolos. Tenho admiração por trabalho, dedicação e competência.”
Ayrton Senna
4
AGRADECIMENTOS
Primeiramente gostaria de agradecer a Deus, pois se cheguei até o presente grau é porque ele
antes de todos acreditou em mim. Minha família por terem me apoiado bastante nesse período
difícil, porém de grande aprendizado e grande enriquecimento do conhecimento. A minha
mãe Josefa Maria da Silva por todo amor, carinho e educação que me foi fornecido durante
toda minha vida. A minha namorada, esposa, mãe dos meus filhos Luana Rafaela da Silva (B,
Slv, Papadinha) por ter me apoiado e sempre me motivado para o desenvolvimento deste
trabalho. Ao meu orientador Adiel Teixeira de Almeida Filho por ter me disponibilizado
alguns momentos para me orientar da melhor forma no desenvolvimento deste trabalho, me
fornecendo seu conhecimento e pelo aprendizado conquistado durante o período acadêmico.
5
RESUMO
Este trabalho tem como objetivo analisar e descrever o cenário de implementação utilizando
abordagem multicritério para o aprimoramento no processo de classificação de ferramenta
UTM (Unified Threat Management) como solução centralizadora de segurança da informação
na empresa PROPEG e suas filiais, servindo de guia padrão para seleção das soluções
apresentadas pelo mercado, de forma personalizada, no qual se faz necessário entender não só
as alternativas ofertadas, mas as necessidades e objetivos de cada organização, algo
indispensável já que propõe uma unificação de serviços primordiais da SI. Também objetiva
detectar os fatores decisivos para a escolha de ferramentas UTM explorando características e
recursos disponíveis, a fim de desenvolver um modelo de apoio a tomada de decisão, baseado
no método de análise multicritério FTOPSIS-Class.
Palavras chave: Ferramenta UTM, Apoio Multicritério à Decisão, Segurança da Informação.
6
ABSTRACT This course conclusion work aims to analyse and describe the implementation scenario using
a multicriteria approach to improve the UTM (Unified Threat Management) tool
classification process as a centralized information security solution in PROPEG and its
subsidiaries. a standard guide to the selection of solutions presented by the market, in a
personalized way, in which it is necessary to understand not only the alternatives offered, but
the needs and objectives of each organization, something indispensable since it proposes a
unification of the SI's primary services. It also aims to detect the decisive factors for the
choice of UTM tools exploring characteristics and available resources, in order to develop a
decision support model, based on the FTOPSIS-Class multicriteria analysis method.
Keywords: UTM Tool - Multicriteria Analysis - Information Security.
7
LISTA DE FIGURAS
Figura 1 - Firewall de filtragem de pacotes ……………………………………………….... 22
Figura 2 - Firewall proxy ………………………………………………………………….... 23
Figura 3 - Arquitetura Organizacional de um sistema de defesas em camadas …………….. 25
Figura 4 - Arquitetura organizacional de um sistema UTM ………………………………... 26
Figura 5 - Estrutura organizacional de um Sistema de Detecção de Intrusões ……………... 28
Figura 6 - Estrutura organizacional de um Sistema de Prevenção de Intrusões …………..... 29
Figura 7 - Fluxo do processo de tomada de decisão …………....…………....…………....... 34
Figura 8 - Ganhadores do prêmio AFA em 2018 …………....………….......………............ 39
Figura 9 - Magic quadrant for unified threat management …………....…………....……… 40
Figura 10 - Gráficos da Pesquisa A …………....…………....……….…………....…...…… 53
Figura 11 - Gráficos da Pesquisa A …………....…………....…………...………….........… 54
Figura 12 - Gráficos da Pesquisa B …………....…………....…………...………….........… 54
Figura 13 - Gráficos da Pesquisa B …………....…………....…………...………….........… 55
Figura 14 - Gráficos da Pesquisa B …………....…………....…………...………….........… 55
Figura 15 - Aplicado aos Gestores ………....…………...…………......……....………...…. 66
Figura 16 - Aplicado aos Colaboradores …………....…………..…………......……...…… 68
8
LISTA DE TABELAS
Tabela 1 - Comparativo entre as características do IDS e IPS ……………………………... 29
Tabela 2 – Variáveis linguísticas ……………………………………….…………………... 42
Tabela 3 - Ajuste dos perfis ……………………………………………………………….... 43
Tabela 4 - Seleção dos dados da moda ……………………………………………………... 55
Tabela 5 - Seleção dos dados da moda ……………………………………………………... 56
Tabela 6 - Escala de 1 a 10 ……………………………………………………………….… 57
Tabela 7 - Matriz de decisão …………………………………………………………….….. 57
Tabela 8 - Matriz de referência ………………………………………………………...…… 58
Tabela 9 - Entrada FTOPSIS-CLASS ………………………………………...………....…. 58
Tabela 10 - Coeficiente de Proximidade ………………………………………...………..... 59
9
LISTA DE SIGLAS
2FA: Two-factor authentication ABNT: Associação Brasileira de Normas Técnicas AFA: Analyst Firm Awards API: Application Programming Interface ATP: Advanced Threat Protection BPM: Business Process Management CMC: Central Management Console CPU: Central Processing Unit CRM: Customer relationship management DLP: Data Loss Prevention DM: Decision Maker ERP: Enterprise Resource Planning EXE: Executable FTOPSIS-CLASS: Fuzzy Technique for Order of Preference by Similarity to Ideal Solution Classification HA: High availability HIDS: Host Intrusion Detection System HIPS: Host Intrusion Prevention System HTTP: Hypertext Transfer Protocol HTTPS: Hyper Text Transfer Protocol Secure IDS: Intrusion Detection System IDPS: Intrusion Detection Prevention Systems IP: Internet Protocol IPS: Intrusion Prevention System ISO: International Standards Organization LAN: Local Area Network MCDA: Multiple Criteria Decision Analysis MQ: Magic Quadrant NAT: Network Address Translation NBR: Norma Brasileira NIDS: Network Intrusion Detection System NIPS: Network Intrusion Protection System NNIDS: Network Node Intrusion Detection System PAD: Perfil Adicional PAV: Perfil Avançado PF: Perfil Básico
10
PP: Perfil Personalizável PSI: Políticas de Segurança da Informação QOS: Quality of Service SI: Segurança da Informação SMB: Small and Midsize Businesses TI: Tecnologia da Informação URL: Uniform Resource Locator UTM: Unified Threat Management VLAN: Virtual Local Area Network VPN: Virtual Private Network WAF: Web Application Firewall WLAN: Wireless Local Area Network WWW: Word Wide Web
11
SUMÁRIO
1 INTRODUÇÃO 14 1.1 CONTEXTUALIZAÇÃO 14 1.2 OBJETIVOS 17
1.2.1 OBJETIVO GERAL 17 1.2.2 OBJETIVOS ESPECÍFICOS 17
1.3 ESTRUTURAÇÃO DO TRABALHO 18
2 FUNDAMENTAÇÃO TEÓRICA 18 2.1 SEGURANÇA DA INFORMAÇÃO 18 2.2 MECANISMOS DE SEGURANÇA 20
2.2.1 FIREWALLS 21 2.2.1.1 FIREWALL DE FILTRAGEM DE PACOTES 21 2.2.1.2 FIREWALL DE APLICAÇÃO/PROXY 22 2.2.1.3 UNIFIED THREAT MANAGEMENT (UTM) 23
2.2.1.3.1 SEGURANÇA DA REDE SEM ABORDAGEM UTM 24 2.2.1.3.2 SEGURANÇA DA REDE COM ABORDAGEM UTM 25
2.2.2 INTRUSION DETECTION SYSTEM - IDS 26 2.2.3 INTRUSION PREVENTION SYSTEM - IPS 28 2.2.4 COMPARATIVO IDS X IPS 29 2.2.5 ANTIVÍRUS 30
2.3 MÉTODOS DE DECISÃO MULTICRITÉRIO 31 2.4 PROCESSO DECISÓRIO: UM MODELO DE CONSTRUÇÃO 32 2.5 MÉTODO FTOPSIS-CLASS 35
3 METODOLOGIA 36 3.1 DEFINIÇÃO DOS ATORES 37 3.2 DEFINIÇÃO DAS ALTERNATIVAS 38 3.3 DEFINIÇÃO DOS CRITÉRIOS 41
3.3.1 COMPATIBILIDADE - INTEGRAÇÃO E IMPLANTAÇÃO 42 3.3.2 CUSTO - AVALIAÇÃO E CONTRATAÇÃO 42 3.3.3 ROBUSTEZ - CAPACIDADES DO PRODUTO 42 3.3.4 SUPORTE - SERVIÇO DE SUPORTE 42
3.4 DEFINIÇÃO DOS PESOS 43 3.5 DEFINIÇÃO DOS PERFIS 43
3.5.1 RECURSOS UTM 44 3.5.2 PERFIL BÁSICO (PB) 45 3.5.3 PERFIL AVANÇADO (PAV) 46 3.5.4 PERFIL ADICIONAL (PAD) 47 3.5.5 PERFIL PERSONALIZÁVEL (PP) 48
12
3.6 JUSTIFICATIVA DO MÉTODO 48 3.7 AMBIENTE 48
3.7.1 HISTÓRIA 49 3.7.2 TOPOLOGIA 50
4 RESULTADOS 53 4.1 PESQUISAS 53
4.1.1 MODA DAS PESQUISAS 56 4.2 REVIEWS GARTNER 57 4.3 APLICAÇÃO DO MÉTODO MULTICRITÉRIO 58
5 CONSIDERAÇÕES FINAIS 60
REFERÊNCIAS 62
ANEXO A: FORMULÁRIO UTILIZADO PARA COLETA DOS DADOS (GESTORES) 65
ANEXO B: FORMULÁRIO UTILIZADO PARA COLETA DOS DADOS (COLABORADORES) 67
13
1 INTRODUÇÃO
Neste capítulo serão contextualizados aspectos introdutórios, apresentando a informação
como ativo nas organizações, ressaltando a importância de sua segurança como diferencial
competitivo e garantia de continuidade dos negócios. Será levantado também a crescente
aceleração da comunicação e da rede de computadores, tendo como consequência relevante o
aumento de sua complexidade, surgindo assim o conceito do gerenciamento unificado de
ameaças (UTM - Unified Threat Management) como solução centralizadora. Em seguida,
serão pontuados a multiplicidade de opções e riscos de se obter uma ferramenta inadequada às
necessidades reais de uma organização, consequência do aumento do número de alternativas
oferecidas pelo mercado, inserindo o método multicritério como modelo de apoio na tomada
de decisão. Por fim, serão apresentadas as lacunas encontradas nessa problemática, o objetivo
deste estudo e a estruturação do trabalho.
1.1 CONTEXTUALIZAÇÃO
O dinamismo de informações que circulam o mundo dos negócios vem exigindo das
empresas diferenciais competitivos que as posicionem estrategicamente no mercado e na
percepção de seus stakeholders. Quando abordamos o tema, estamos nos referindo a um ativo
fundamental na tomada de decisão e posicionamento estratégico das organizações. A
informação é considerada um ativo crítico nas organizações, capaz de agregar valor a
processos, produtos e serviços, na medida em que permite o cumprimento da missão e o
atingimento dos objetivos organizacionais (Beal 2008). É neste contexto que surge a
segurança da informação corporativa.
A segurança da informação visa proteger o comportamento de seus usuários e
preservar suas informações pelo ambiente ou estrutura que a cerca ou por indivíduos
mal-intencionados. Seu conceito está especificamente embasado em garantir o cumprimento
desta tríade: confidencialidade, integridade e disponibilidade, sendo estes os atributos que
constituem os seus pilares.
14
A tríade Confidentiality-Availability-Integrity (CIA) é um cavalo de guerra de análise
de segurança honrado pelo tempo. A avaliação qualitativa dos requisitos de segurança
com base na tríade da CIA é uma etapa importante em muitos procedimentos padrões
para selecionar e implantar controles de segurança. (Safa, Maple, Watson, Solms.
2018).
Dentro das organizações seu papel é fundamental, segundo a norma NBR ISO/IEC
27002 (2005) da Associação Brasileira de Normas Técnicas (ABNT), a segurança da
informação “consiste na proteção da informação de vários tipos de ameaças para garantir
continuidade ao negócio, minimizar riscos e maximizar o retorno sobre investimentos e
oportunidades”. Para Sêmola (2014, p.45), ameaças "São agentes ou condições que causam
incidentes que comprometem as informações e seus ativos por meio da exploração de
vulnerabilidades". Essas vulnerabilidades podem ser físicas, naturais, de hardwares,
softwares, de comunicação e, principalmente, humanas.
Os usuários, com intenção ou negligência, são uma grande fonte de risco para os
ativos de informação. A falta de consciência, negligência, resistência, desobediência,
apatia e malícia são as causas principais dos incidentes de segurança da informação
nas organizações. (Shoufan, Damiani. 2017).
A quantidade de ameaças cibernéticas e sofisticação de ferramentas para ataques
específicos em explorar brechas de segurança que ocasionam incidentes é uma fonte de risco
diária e real às organizações, hoje não vista apenas nos empreendimentos com um grande
volume de dados. A segregação de tecnologias como solução para os problemas (firewall,
sistemas de detecção e prevenção de intrusões, antivírus, filtros de conteúdo, entre outros)
existentes da década de 90 trouxeram uma resposta rápida para a necessidade do mercado na
época. Porém, com o aumento exponencial da rede de computadores esse modelo segmentado
tende a elevar os custos e a complexidade na implantação, já que cada nova tecnologia exigia
um novo dispositivo, a configuração de novas políticas e uma nova interface de
gerenciamento para monitorar.
O conceito do UTM surgiu como solução para tal problemática, uma vez que nele há a
centralização de diversos métodos de defesa em uma única ferramenta. Segundo o grupo
Gartner (2018) - Referência em pesquisa e fomento à tecnologia, UTM é: uma plataforma
15
convergente de produtos de segurança pontuais. Seus conjuntos de recursos típicos se
dividem em três subconjuntos principais, todos dentro do UTM: firewall/sistema de
prevenção de intrusões (IPS)/rede virtual privada (VPN), segurança de gateway da Web
segura (filtragem de URL, antivírus da Web) e segurança de mensagens (anti-spam, correio).
Tendo como foco a simplicidade na gestão da segurança, a ferramenta UTM apresenta a
combinação de hardware, software e variadas tecnologias de segurança de rede capazes de
operar de forma integralizada, apresentando, na grande maioria dos casos, seus recursos na
forma de appliance.
A gama de funcionalidades existentes nestas ferramentas são complexas e em sua
maioria integráveis, a seleção destas soluções apresentadas pelo mercado precisa ser
unilateral e personalizada, no qual se faz necessário entender não só as alternativas ofertadas,
mas as necessidades e objetivos de cada organização, algo crucial já que propõe uma
unificação de serviços primordiais da segurança da informação. Uma decisão precipitada
pode inferir negativamente na integridade dos dados, afetando a
disponibilidade/confiabilidade de seus serviços.
Dentre as pesquisas para a elaboração deste trabalho, não foram encontradas na
literatura aplicações do método de análise multicritério FTOPSIS-CLASS, voltadas para
auxiliar gestores de tecnologia que desejam adquirir ferramentas de segurança. Porém, o
método multicritério VIKOR é abordado como seletor de ferramentas UTM, tendo como base
o autor do trabalho (que aplica este método) como avaliador das ferramentas existentes.
Optou-se pela utilização do método FTOPSIS-CLASS frente ao método VIKOR por este
utilizar como base de dados e pesos as pesquisas aplicadas a empresa estudada, entregando
uma maior fidelidade nas experiências com UTM e servir como guia padrão indicando
ferramentas relevantes para abrangentes perfis de uso.
Neste cenário de incerteza por parte das organizações e a falta de uma padronização
no processo de adoção de novas ferramentas de segurança, este trabalho propõe o
desenvolvimento de um modelo de apoio a tomada de decisão, baseado em um método de
análise multicritério, que possibilite auxiliar as instituições a aprimorarem seu processo de
seleção ao adquirir uma ferramenta de segurança baseada em UTM. A partir das
considerações feitas, define-se a seguinte problemática a ser elucidada neste questionamento:
Como apoiar a tomada de decisão em um processo de seleção de uma ferramenta de
16
segurança da informação baseada em UTM?
A expectativa ao abordar o tema é ofertar às empresas e inserir em sua prática de
gestão de segurança uma função que facilite a escolha e ofereça dados estatísticos confiáveis
de modo a minimizar os riscos em adquirir uma ferramenta UTM incompatível com a real
necessidade organizacional, desse modo, garantindo a preservação das informações. Como
mencionado anteriormente, a informação deve ser considerada um fator competitivo de
imprescindível conservação. O que pode ser reiterado através da seguinte premissa: “Definir,
alcançar, manter e melhorar a segurança da informação podem ser atividades essenciais para
assegurar a competitividade, o fluxo de caixa, a lucratividade, o atendimento aos requisitos
legais e a imagem da organização junto ao mercado.” ABNT NBR ISO/IEC 17799 (2005).
1.2 OBJETIVOS
1.2.1 OBJETIVO GERAL
Desenvolver um modelo de apoio a tomada de decisão, baseado em um método de análise
multicritério para seleção de dispositivo UTM. Após aplicação do método, a definição de qual
perfil utilizar se dará por parte do tomador de decisão, levando em consideração suas
funcionalidades para substituir a solução vigente passando a integrar a lista de ativos de rede
da empresa de publicidade e propaganda PROPEG, assim como suas filiais.
1.2.2 OBJETIVOS ESPECÍFICOS
1. Discutir a importância da segurança da informação no contexto organizacional,
considerando-a como ativo de valor competitivo;
2. Avaliar o impacto do modelo proposto na empresa de publicidade e propaganda
PROPEG e suas filiais na escolha estratégica de proteção a ameaças virtuais.
17
1.3 ESTRUTURAÇÃO DO TRABALHO
A presente pesquisa será composta por uma breve dissertação de temas que serão abordados
durante todo trabalho e servirão de fundamentação teórica - capítulo 2, contendo assuntos
como segurança da informação, mecanismos de segurança, métodos de decisão e o processo
decisório, encerrando com o contexto e estruturação do método FTOPSIS-CLASS, utilizado
para realização do estudo de caso. Logo após, no capítulo 3 - Metodologia, encontra-se o
objetivo central, bem como uma explicação da técnica selecionada, das métricas, pesos,
perfis, critérios e atores utilizados no ensaio, juntamente com justificativa e definição do
ambiente em que ocorreu. No capítulo 4 - Resultados - serão expostas as apurações colhidas
ao fim do estudo de caso e da análise deste trabalho. Por fim, no capítulo 5 - Considerações
finais, serão ostentadas as conclusões encontradas, baseadas na análise dos resultados obtidos
e nas interpretações feitas no decorrer do estudo apresentado.
2 FUNDAMENTAÇÃO TEÓRICA
Esta seção tem a finalidade de contextualizar os principais conceitos teóricos relacionados aos
objetivos definidos neste trabalho. Serão abordados os princípios centrais que envolvem a
Segurança da Informação, bem como a definição de uma solução UTM. Adiante, serão
elencados os conceitos ligados ao processo de tomada de decisão e as definições dos modelos
e métodos de decisão multicritério.
2.1 SEGURANÇA DA INFORMAÇÃO
Conhecida como meio técnico-científico-informacional, a era digital representa a atual etapa
na qual se encontra o sistema capitalista de produção e transformação do espaço geográfico,
em que vivenciamos não mais um meio puramente mecanizado ou tecnicista, mas um espaço
também marcado pela maior presença das tecnologias da informação e das descobertas
científicas. Estamos lidando com a Terceira Revolução Industrial: a Era da Informação.
A informação é considerada nesse novo milênio como um recurso indispensável para
as organizações que buscam se manter competitivas e almejam a própria sustentabilidade.
Assim como as matérias-primas, os insumos produtivos, as pessoas e a tecnologia, a
18
informação tornaram-se um recurso essencial em todas as empresas. De acordo com a norma
ABNT NBR ISO/IEC 17799 (2005) a informação é um ativo que, como qualquer outro ativo
importante, é essencial para os negócios de uma organização e consequentemente necessita
ser adequadamente protegida.
Um sistema de informação integrado e eficiente nessa era da informação não é luxo
nas organizações, mas uma questão de sobrevivência. De acordo com a autora Vizim (2003),
as empresas que limitam o investimento na informação podem perder vantagem competitiva e
provavelmente ser excluída do mercado, pois é preciso que ela acompanhe as tendências
tecnológicas. Ainda nesse contexto, Laurindo et al. (2001) observam que a utilização eficaz
dessa informação, integrada a uma estratégia do negócio, poderá resultar em algo além da
simples ideia de ferramenta de produtividade, podendo se tornar fator crítico de sucesso. Mas
afinal, o que é informação?
Nesse ambiente permeiam alguns conceitos, nos quais encontramos definições
específicas para dados, informação, conhecimento e inteligência. Os dados abrangem a classe
mais baixa da informação. A informação compreende os dados que sofrem algum tipo de
processamento para serem utilizados de uma forma compreensível. O conhecimento é a
informação relevante que foi avaliada, e é alcançado pela interpretação de vários dados e
informações, estes, integrados para iniciar a construção de uma situação. A inteligência
implica na capacidade de resolver problemas ou elaborar produtos que são importantes num
determinado ambiente ou comunidade cultural. A capacidade de resolver problemas permite à
pessoa abordar uma situação em que um objetivo deve ser atingido e localizar a solução
adequada para esse objetivo, Gardner (1995).
Apesar de reconhecer essas diferenças, para a segurança da informação, essas
segregações são incluídas em único contexto: o da informação. A segurança da informação é
um dos elementos chave dentro da organização: envolve aspectos técnicos, humanos e
organizacionais, sendo fundamental a definição e existência de uma política efetiva para a
proteção das informações. De acordo com a norma NBR ISO/IEC 27002 (2005), a segurança
da informação é a preservação da confidencialidade, integridade e disponibilidade da
informação. Podem estar envolvidas também outras propriedades, como autenticidade, não
repúdio, legalidade, privacidade e auditoria.
19
Ainda neste enredo, Segundo Coelho et.al (2014), a segurança da informação é um processo
de proteção da informação das ameaças garantindo três aspectos fundamentais:
● Confidencialidade: Garantir que o acesso será exclusivo por usuários permitidos;
● Integridade: Garantir que a criação é legítima e que não haverá alteração ou
destruição não autorizada dos dados e informações;
● Disponibilidade: Garantir que a informação esteja disponível aos usuários quando
necessário.
Já Lyra (2008), acrescenta mais alguns princípios para garantia da segurança da informação:
● Autenticação: Garantir que um usuário é de fato quem alega ser;
● Não repúdio: Capacidade do sistema de provar que um usuário executa uma
determinada ação;
● Legalidade: Garantir que o sistema esteja aderente à legislação;
● Privacidade: Capacidade de um sistema de manter anônimo um usuário,
impossibilitando o relacionamento entre o usuário e suas ações;
● Auditoria: Capacidade do sistema de auditar tudo o que foi realizado pelos usuários,
detectando fraudes ou tentativas de ataque.
Em suma, a segurança da informação é alcançada através de um conjunto de práticas e
atividades existentes numa organização, como a definição/elaboração de processos, políticas
de segurança da informação (PSI), procedimentos, treinamento de profissionais, uso de
ferramentas e funções de software e hardware, Lyra (2015). “Estes controles precisam ser
estabelecidos, implementados, monitorados, analisados criticamente e melhorados, onde
necessário, para garantir que os objetivos do negócio e de segurança da organização sejam
atendidos.” ABNT NBR ISO/IEC 17799 (2005).
20
2.2 MECANISMOS DE SEGURANÇA
Toda tentativa de subtração da informação de forma não autorizada é considerado um ataque,
podemos citar como exemplo os vírus que são pequenos softwares desenvolvidos com o
propósito de causar danos no sistema e o backdoor (porta dos fundos) que é um tipo de trojan
(cavalo de troia) que permite o acesso e o controle do sistema infectado. Para garantir a
segurança de uma rede contra essas e outras diversas formas de ameaças, faz-se necessário a
utilização de mecanismos de detecção e retenção desses ataques. Os principais métodos
utilizados são: implementação de firewall, sistemas de detecção e prevenção de intrusões e
softwares antivírus (ENDORF, SCHULTZ & MELLANDER, 2004).
2.2.1 FIREWALLS
Um firewall é um software usado para manter a segurança de uma rede privada, bloqueando o
acesso não autorizado de ou para redes particulares. São frequentemente empregados para
impedir que usuários não autorizados da Web ou softwares ilícitos tenham acesso a esses
tipos de redes conectadas à Internet. Sua implementação se dá através de hardware, software
ou uma combinação de ambos, e atuam como a primeira linha de defesa na proteção de
informações confidenciais. Seus grupos principais são: Firewall de filtragem de pacotes,
Firewall de aplicação/Firewall Proxy e Firewall UTM.
2.2.1.1 FIREWALL DE FILTRAGEM DE PACOTES
Filtragem de pacotes ou firewalls de camada de rede tomam decisões com base nos endereços
e portas de origem e destino dos pacotes IP. Essa forma básica de proteção por firewall não é
mais que um simples algoritmo de classificação. Geralmente eles permitem que você tenha
algum controle através do uso de listas de acesso. A filtragem de pacotes também pode ser
executada por outros dispositivos de rede, como roteadores, e geralmente é o que você obtém
ao baixar softwares de firewall gratuitos. Ela funciona bem para redes pequenas, mas quando
aplicada a redes maiores pode rapidamente se tornar muito complexa e difícil configurá-la.
21
A filtragem de pacotes também não pode ser usada para filtragem baseada em
conteúdo e não pode, por exemplo, remover anexos de e-mail. Esse tipo de firewall tem pouca
ou nenhuma capacidade de registro, o que dificulta determinar se ele foi atacado.
A Figura 1 ilustra o funcionamento de um firewall de filtragem de pacotes.
Figura 1 – Firewall de filtragem de pacotes
Fonte: Elaborado pelo autor
2.2.1.2 FIREWALL DE APLICAÇÃO/PROXY
Os firewalls de camada de aplicação ou de proxy mais sofisticados lidam com o tráfego de
rede passando todos os pacotes por meio de um aplicativo proxy separado, que examina os
dados no nível do aplicativo. Esse tipo de firewall não permite uma conexão direta entre sua
rede e a Internet, em vez disso, aceita solicitações e as executa em nome do usuário. Por
exemplo, se você está atrás de um firewall de proxy e insere na url de pesquisa
http://www.cin.ufpe.br, a solicitação vai para o firewall, que obtém a página em seu nome e a
passa para você. Esse processo é transparente para os usuários.
O sistema de proxy também permite que você defina um firewall para aceitar ou
rejeitar pacotes com base em endereços, informações de porta e informações do aplicativo.
Por exemplo, você pode configurar o firewall para filtrar todos os pacotes de entrada
pertencentes a arquivos EXE, que geralmente estão infectados com vírus e worms. Os
firewalls de proxy geralmente mantém logs muito detalhados, incluindo informações sobre as
partes de dados dos pacotes. Eles são mais lentos e exigem um hardware mais potente do que
encontrado no firewall de filtragem de pacotes; no entanto, sua maior versatilidade é permitir
impor políticas de segurança mais rígidas.
A Figura 2 ilustra o funcionamento de um firewall de aplicação/proxy.
22
Figura 2 – Firewall proxy
Fonte: Elaborado pelo autor
2.2.1.3 UNIFIED THREAT MANAGEMENT (UTM)
O Unified Threat Management, frequentemente abreviado como UTM, é um único appliance
especializado em funções de segurança juntas, como firewall de rede, sistema de
detecção/prevenção de intrusões (IDS/IPS), gateway antivírus, gateway antispam, VPN
(Virtual Private Network), filtragem de conteúdo, balanceamento de carga, prevenção de
perda de dados e monitoramento de dispositivos. Os sistemas UTM oferecem uma plataforma
de segurança única e abrangente que torna a implementação e o gerenciamento de segurança
de rede voltados para um processo mais fácil e efetivo.
Considerado uma evolução para o sistema tradicional de firewall, um sistema de
segurança de rede integrado, como um UTM, torna a administração e o gerenciamento de
segurança de informações um método mais eficiente e simplificado. Podemos mencionar
como exemplo o treinamento das equipes, no qual, com os modelos tradicionais, o grupo de
segurança de TI precisava ser preparado individualmente para cada sistema, diferentemente
da nova modelagem UTM, em que se faz necessário o treinamento exclusivo para um único
conjunto. Devido a essa eficiência, menos equipe de TI pode ser necessária para gerenciar a
segurança da rede, propiciando facilidades na integração dos membros responsáveis e
economia à organização.
Nesse contexto, os fabricantes de soluções de segurança adotaram essa mudança e
agora criam sistemas de firewall com mais capacidade de processamento, exigindo assim,
hardware mais poderosos para suportarem diversas funcionalidades UTM adicionadas. Os
fabricantes corporativos mais comuns desses sistemas, como FortiNet, Cisco, Dell SonicWall,
23
Sophos e Barracuda, vendem exclusivamente appliance do tipo UTM. No mercado atual de
segurança de rede corporativa, é difícil encontrar o firewall tradicional que faz estritamente o
controle de acesso baseado em regras.
Embora, em um primeiro momento, a adoção de sistemas de segurança baseados num
gerenciamento unificado de ameaças possa gerar um ponto central de falha, o que
comprometeria toda a rede da empresa, muitos fabricantes contornam implementando o
conceito de HA (High Availability). Tal conceito consiste em dois equipamentos idênticos
onde o segundo dispositivo só entra em atividade caso haja alguma falha no principal,
operando na modalidade ativo-passivo. Solucionando essa dificuldade, podemos elencar
abaixo as principais vantagens da utilização da ferramenta de segurança UTM:
● Garantir compatibilidade entre os distintos recursos de segurança;
● Diminuir gastos aplicados para a gestão da segurança corporativa;
● Maximizar as políticas de segurança com os recursos disponíveis;
● Registrar logs, eventos, alertas de quaisquer operações na rede;
● Tomada de decisão ágil em resposta a alguma incidência de ataque.
O Gerenciamento Unificado de Ameaças é uma etapa evolutiva da tecnologia de
segurança de firewall e rede. Isso ajuda a aumentar a segurança das máquinas interligadas por
um subsistema de comunicação, tornando-a mais fácil e menos dispendiosa. É necessário o
planejamento prévio para adoção desse tipo de solução, pois é preciso compreender
plenamente a topologia da rede, as aplicações consumidas, às regras de negócio, os níveis de
acesso e toda a macroestrutura organizacional.
2.2.1.3.1 SEGURANÇA DA REDE SEM ABORDAGEM UTM
Os sistemas tradicionais de segurança de rede são desenvolvidos especificamente para esse
fim imposto em sua nomenclatura. Como existem dezenas de tipos de ameaças na rede das
organizações, as empresas precisavam comprar um ou mais de cada tipo de sistema para
garantir a proteção adequada da sua rede e dados. Cada vez que um sistema específico era
comprado, a equipe de TI precisaria testar e instalar o equipamento no data center.
24
À medida que tipos mais sofisticados de ameaças de hackers e criminosos surgiram,
novos tipos de plataformas de segurança entraram no mercado. Na verdade, não era incomum
que uma empresa de médio porte tivesse uma ou duas dúzias de tipos de sistemas de
segurança instalados. Isso exigia espaço, resfriamento, eletricidade, equipamentos de rede
adicionais e, especialmente, treinamento da equipe de TI criando uma carga financeira e
administrativa muito alta para as organizações.
A Figura 3 exprime, a arquitetura organizacional de solução de segurança baseada na defesa
em camadas.
Figura 3 - Arquitetura Organizacional de um sistema de defesas em camadas
Fonte: Adaptado de Tittel (2014).
2.2.1.3.2 SEGURANÇA DA REDE COM ABORDAGEM UTM
Para resolver o problema do tópico anterior, os sistemas UTM entraram em cena integrando
vários tipos de sistemas de segurança em uma única plataforma. Os tipos de sistema de
segurança de rede integrados incluíam firewalls, detecção e prevenção de intrusões,
25
antimalware, filtragem de conteúdo para WWW (World Wide Web), VPN, prevenção de
perda de dados, segurança de e-mail e outros tipos de sistemas de segurança. Isso simplificou
muito o gerenciamento e a administração desses sistemas de segurança porque eles foram
integrados em uma interface de gerenciamento completa. O sistema UTM era uma única peça
de hardware, o que significa que havia o valor adicional agregado e menos gastos com os
requisitos necessários para seu funcionamento.
A Figura 4 exprime, a arquitetura organizacional de solução de segurança baseada no
gerenciamento unificado de ameaças.
Figura 4 - Arquitetura organizacional de um sistema UTM
Fonte: Adaptado de Tittel (2014).
2.2.2 INTRUSION DETECTION SYSTEM - IDS
Um IDS (Intrusion Detection System) é um tipo de software de SI (Segurança da Informação)
projetado para alertar automaticamente os administradores quando alguém ou alguma coisa
está tentando comprometer o sistema de informações por meio de atividades maliciosas ou
por meio de violações da política de segurança. Um IDS funciona monitorando a atividade do
sistema examinando as vulnerabilidades do mesmo, a integridade dos arquivos e realizando
uma análise de padrões com base em ataques já conhecidos. Ele também monitora
26
automaticamente a Internet para procurar por qualquer uma das ameaças mais recentes que
possam resultar em um ataque futuro.
Há várias formas de detecção realizada por um IDS. Na detecção baseada em
assinatura, um padrão ou assinatura é comparado a eventos anteriores para descobrir as
ameaças atuais. Isso é útil para encontrar ameaças já conhecidas, mas não ajuda a encontrar
ameaças desconhecidas, variantes de ameaças ou ameaças ocultas. Outro tipo de detecção é a
detecção baseada em anomalia, que compara a definição ou os traços de uma ação normal
com as características que marcam o evento como anormal. Existem três componentes
principais de um IDS:
● NIDS (Sistema de Detecção de Intrusões de Rede): Isso faz a análise do tráfego em
uma sub-rede inteira e fará uma correspondência com o tráfego que passa pelos
ataques já conhecidos em uma biblioteca de ataques conhecidos.
● NNIDS (Sistema de Detecção de Intrusões do Nó da Rede): É semelhante ao NIDS,
mas o tráfego é monitorado apenas em um único host, não em uma sub-rede inteira.
● HIDS (Sistema de Detecção de Intrusão do Host): Ele tira uma “foto” do conjunto
de arquivos de todo o sistema e compara com uma imagem anterior. Se houver
diferenças significativas, como arquivos ausentes, ele alertará o administrador.
O funcionamento básico de um IDS consiste em coletar os dados de diferentes fontes
e classificá-los. Assim, é possível realizar uma análise estatística para determinar se a
informação não está operando fora da sua atividade normal, caso positivo, é então comparada
com uma base de conhecimento. Se for encontrada uma correspondência, um alerta é enviado
baseado em alguma experiência anterior.
A Figura 5 ilustra os principais componentes de um Sistema de Detecção de Intrusões.
27
Figura 5 – Estrutura organizacional de um Sistema de Detecção de Intrusões
Fonte: Elaborado pelo autor com base em Sammany (2007).
2.2.3 INTRUSION PREVENTION SYSTEM - IPS
Um IPS (Intrusion Prevention System) é um sistema que monitora uma rede em busca de
atividades maliciosas, como ameaças de segurança ou violações de políticas. A principal
função de um IPS é identificar atividades suspeitas e, em seguida, registrar informações,
tentar bloquear a atividade e, finalmente, relatá-las. Os sistemas de prevenção de intrusão
também são conhecidos como sistemas de prevenção de detecção de intrusão (IDPS).
Um IPS pode ser implementado como um dispositivo de hardware ou software.
Teoricamente, o IPS é baseado em um princípio simples: de que o tráfego sujo entra e que o
tráfego limpo sai. Os sistemas de prevenção de intrusão são basicamente extensões de
sistemas de detecção de intrusão. A principal diferença está no fato de que, ao contrário dos
sistemas de detecção de intrusão, os sistemas de prevenção de intrusão instalados são capazes
de bloquear ou impedir ativamente as intrusões detectadas.
Um IPS pode eliminar pacotes maliciosos, bloqueando o tráfego de um endereço IP
ofensivo, etc. Para Endorf, Schultz e Mellander (2004), quatro funções centralizam as
atividades de um IPS:
28
● Normalizador de tráfego: Interpretador do tráfego da rede, executa análise e
realocação dos pacotes, além de criar regras básicas de bloqueio. Serve como fonte de
alimentação para o Scanner de serviço e o Motor de detecção;
● Scanner de serviço: Responsável por criar tabelas de referência, esta, classifica a
informação e atua no apoio da gestão do fluxo das informações para o modelador de
tráfego;
● Motor de detecção: Correlaciona padrões com as tabelas de referência indicando a
resposta apropriada;
● Modelador de tráfego: Gerencia o fluxo de informações.
A Figura 6 ilustra os principais componentes de um Sistema de Prevenção de Intrusões.
Figura 6 – Estrutura organizacional de um Sistema de Prevenção de Intrusões
Fonte: Elaborado pelo autor com base em Endorf, Schultz e Mellander (2004).
2.2.4 COMPARATIVO IDS X IPS
Embora cada uma das tecnologias tenha sua própria particularidade em uma solução de SI
(Segurança da Informação) e executam funções distintas, a junção dessas duas ferramentas
garante uma maior prevenção devido à sua complementaridade.
29
A Tabela 1 apresenta de forma resumida um comparativo entre as duas ferramentas.
Tabela 1 – Comparativo entre as características do IDS e IPS
IDS IPS
Instalado em segmentos de rede (NIDS) e/ou em hosts (HIDS)
Instalado em segmentos de rede (NIPS) e/ou em hosts (HIPS)
Implementado na rede de forma passiva Implementado em linha (não passiva)
Não inspeciona o tráfego criptografado Melhor utilizado em aplicações de proteção
Controle de gerenciamento central Controle de gerenciamento central
Melhor na detecção de ataques de hackers Ideal para bloquear anomalias da WWW
Produto de alerta (reativo) Produto de bloqueio (proativo)
Fonte: Elaborado pelo autor com base em Endorf (2004), Schultz (2004) e Mellander (2004).
2.2.5 ANTIVÍRUS
O software antivírus é um utilitário que detecta, previne e remove vírus, worms e outros
malwares de um computador. A maioria dos programas antivírus inclui um recurso de
atualização automática que permite ao programa baixar perfis de novos vírus, possibilitando
que o sistema verifique novas ameaças. Os programas antivírus são utilitários essenciais para
qualquer computador, mas a escolha de qual deles é muito importante. Um programa
antivírus pode encontrar um determinado vírus ou worm enquanto outro não pode, ou
vice-versa.
O software antivírus pesquisa o disco rígido e a mídia externa conectada a um
computador em busca de vírus em potencial. De um modo geral, as duas principais
abordagens para detecção de vírus são:
● Abordagem de Dicionário: O software antivírus verifica um arquivo e
automaticamente se refere a um dicionário de vírus conhecidos. Se houver uma
correspondência, o arquivo será excluído, colocado em quarentena ou reparado.
● Abordagem de Comportamento Suspeito: O software antivírus monitora o
comportamento de todos os programas e sinaliza qualquer comportamento suspeito.
30
Por exemplo, um programa pode ser sinalizado se tentar alterar as configurações no
sistema operacional ou gravar em um determinado diretório.
2.3 MÉTODOS DE DECISÃO MULTICRITÉRIO
A complexidade verificada nas últimas décadas decorrente do aumento do número de
informações advindas da era da informação, cuja impactação manifestou-se de forma mais
intensa a partir do ano de 1970, bem como a da necessidade de utilizá-las no processo
resolutivo por parte das organizações, fez com que surgissem novos instrumentos de apoio na
tentativa de alcançar maior assertividade nas tomadas de decisão, dentre eles podemos citar os
métodos multicritérios.
Métodos multicritérios de tomada de decisão ou métodos das análises de decisão
multicritérios (ADMC, ou MCDA na sigla em inglês - Multi-Criteria Decision Analysis) são
vistos como ferramentas matemáticas, algoritmos, eficazes para resolução de problemas em
que existam critérios conflitantes, ou seja, pelo menos duas alternativas a serem escolhidas de
forma a atender múltiplos objetivos, muitas vezes concorrentes entre si. Segundo Corrêa
(1996), tais métodos auxiliam a visualização de problemas e fazem com que o responsável
pela decisão possa se basear em informações quantitativas e qualitativas que sirvam como
guia para a geração de ações.
Muitos problemas de decisão têm mais de um objetivo que precisa ser tratado
simultaneamente. Risco, Confiabilidade e Manutenção (RRM) são contextos nos
quais problemas de decisão com múltiplos objetivos têm aumentado nos últimos
anos. A importância de ter um processo de decisão melhor estruturado é essencial
para o sucesso de qualquer organização. (ALMEIDA et al., 2015, Prefácio).
Conforme Ensslin (2001), a diferença entre os métodos multicritérios de tomada de
decisão e outros métodos ocorre pelo fato de considerarem diversos aspectos e avaliarem as
ações por meio de um conjunto de critérios (multicritérios), derivando de cada conjunto uma
função matemática que serve para mensurar o desempenho de cada ação. Essa modelagem
matemática padroniza o processo de tomada de decisão gerando um modelo, auxiliando o
31
decisor a resolver problemas nos quais existam diversos objetivos a serem alcançados
simultaneamente. Pode-se citar como suas características principais:
● Possuir a influência de dois ou mais critérios simultaneamente para uma decisão
(multicritério);
● Considerar a perspectiva de mais de uma área do conhecimento ou especialidade
(multidisciplinares);
● Apresentar de forma explícita os critérios, considerando fatores éticos, ambientais,
sociais e econômicos;
● Possuir transparência e padronização nos critérios e métodos utilizados;
● Possuir reprodutibilidade.
Os métodos multicritério servem como base para elaboração dos modelos de decisão,
que podem ser definidos como uma representação formal e com simplificação do problema
enfrentado pelo tomador de decisão, reunindo um conjunto de suas preferências.
Um modelo MCDM/A é uma representação formal de um problema real do
MCDM/A enfrentado por um DM. O modelo MCDM/A incorpora a estrutura de
preferências do DM e problemas específicos para um problema de decisão específico.
Em geral, um modelo MCDM/A é construído com base em um método MCDM/A.
(ALMEIDA et al., 2015, p. 4).
Em suma, Segundo Vincke (1992), a vantagem da utilização de métodos multicritérios
ocorre pelo fato de que não há, no contexto geral, decisões que sejam simultaneamente ótimas
sob todos os pontos de análise numa conjuntura, fazendo com que ocorra, desta forma,
através da ferramenta, a seleção da melhor opção possível.
2.4 PROCESSO DECISÓRIO: UM MODELO DE CONSTRUÇÃO
Toda organização é um sistema de decisões, onde todos os membros estão continuamente
tomando alguma decisão, “... é impossível pensar a organização sem considerar a ocorrência
constante do processo decisório”. (FREITAS; KLADIS, 1995, p.6).
32
Um processo de tomada de decisão pode ser visto como algo simples ou complexo —
isso vai depender da escala de importância, do objetivo a ser alcançado e dos reflexos da
escolha por parte de quem a toma. Independente do seu grau de dificuldade, esse processo
requer atenção e dedicação de qualquer indivíduo e, quando inserido no campo empresarial,
há um agravante, uma vez que as decisões tomadas em uma organização geralmente
envolvem custos e também pessoas. Mas afinal o que são decisões?
A tomada de decisão nas organizações é um tema bastante abrangente e são
numerosas as publicações na literatura, entretanto será acolhido como base as definições
subsequentes. “Tomar decisões é o processo de escolher uma dentre um conjunto de
alternativas.” Cabendo ao tomador de decisão “... reconhecer e diagnosticar a situação, gerar
alternativas, avaliar as alternativas, selecionar a melhor alternativa, implementar a alternativa
escolhida e avaliar os resultados.” (CARAVANTES; PANNO; KLOECKNER, 2005, p.446).
Ainda na mesma perspectiva, “decisão é o processo de análise e escolhas entre as alternativas
de curso de ação que a pessoa deverá seguir” (CHIAVENATO, 2003, p.348). Para ele, “toda
decisão envolve seis elementos”, os quais são listados adiante:
1) Tomador de decisão: é a pessoa que faz uma escolha ou opção entre várias
alternativas futuras de ação.
2) Objetivos: são o que o tomador de decisão pretende alcançar com suas ações.
3) Preferências: são os critérios que o tomador de decisão usa para fazer sua
escolha.
4) Estratégia: é o curso de ação que o tomador de decisão escolhe para atingir
seus objetivos dependendo dos recursos que pode dispor.
5) Situação: são os aspectos do ambiente que envolve o tomador de decisão,
alguns deles fora do seu controle, conhecimento ou compreensão e que afetam
sua escolha.
6) Resultado: é a consequência ou resultado de uma estratégia.
A partir das premissas observa-se que diante de uma conjuntura a tomada de decisão
nada mais é que uma ação, realizada a partir do processo de escolha e análise de alternativas
com base nos elementos/contexto, tem-se os custos de oportunidade.
33
“A decisão envolve uma opção. Para a pessoa seguir um curso de ação, ela deve
abandonar outros cursos que surjam como alternativas”. Compete ao observador saber que
“Há sempre um processo de seleção, isto é, de escolha de alternativas”. (CHIAVENATO,
2003, p.348). De acordo com a mesma literatura, o processo decisório exige sete etapas, a
saber:
1) Percepção da situação que envolve algum problema.
2) Análise e definição do problema.
3) Definição dos objetivos.
4) Procura de alternativas de solução ou de cursos de ação.
5) Escolha da alternativa mais adequada ao alcance dos objetivos.
6) Avaliação e comparação das alternativas.
7) Implementação da alternativa escolhida.
Já para Almeida (2013), às etapas e o fluxo do processo de construção de um modelo
para tomada de decisão estão representadas na Figura 7.
Figura 7 - Fluxo do processo de tomada de decisão
Fonte: Adaptado de Almeida (2013).
34
Em conclusão, pode-se afirmar que o processo estruturado não é garantia de sucesso,
mas permite uma decisão lógica, coerente e menos vulnerável a erros. Certo (2005),
Chiavenato (2010), Maximiano (2009) e Robbins (2010) ressaltam que o processo de tomada
de decisão ou modelo de decisão, por ser afetado pelas características pessoais e percepção de
quem as toma, torna-se uma atividade suscetível de erros. Na tentativa de minimizar esses
erros e chegar a um melhor resultado, deve-se efetuar um processo organizado e sistemático.
2.5 MÉTODO FTOPSIS-CLASS
O processo de tomada de decisão exige que os gestores reflitam explicitamente sobre suas
preferências e valores. Portanto, ter critérios adequados e consistentes de ponderação é uma
condição essencial para garantir um processo eficaz. O método FTOPSIS-Class (Fuzzy
Technique for Order of Preference by Similarity to Ideal Solution Classification), é uma
variante de classificação especializada do método Fuzzy-TOPSIS – Utilizado para tratar
problemas de tomada de decisão em ambientes sub fusos, em que variáveis linguísticas são
usadas para avaliar a classificação de alternativas e critérios. Esse tipo de método entrega uma
solução ideal mais próxima da realidade, promovendo dessa forma um distanciamento de uma
solução ideal negativa.
Segundo Ferreira et al (2018), Borenstein (2017), Brutti (2017), Almeida (2017), o algoritmo
FTOPSIS-Class possui as seguintes etapas:
Etapa 1: Estruture o problema de decisão, identificando DMs, o conjunto de critérios
e alternativas;
Etapa 2: Escolha os termos linguísticos para avaliar a importância relativa dos
critérios e avaliar a classificação das alternativas;
Etapa 3: Construir a matriz de decisão normalizada = do seguinte modo: R [r ]˜ij mxn
{ , , , se j ∈ B, onde o conjunto B está associado a critérios de benef ício, e d d rij = ( dj*
aij
dj*
bij
dj*
cij
dj*
dij ) j*
ij
se j ∈ C, onde o conjunto C está associado a critérios de benef ício, e a d , , ,( aij
aj−
bij
aj−
cij
aj−
dij
aj−
) j−
ij
35
Etapa 4: Construir a matriz de decisão fuzzy normalizada ponderada = de V [v ]˜ ij mxn
= e = como = V v ][˜ ij W w ][ ˜ ij vij w ;rij ⊗ ˜ j
Etapa 5: Para cada perl p = 1, 2,. . . | P |, fazer:
● Etapa 5.1: Defina a solução ideal positiva em relação ao perfil p como = { A*p
,..., }, onde = , uma vez que o objetivo do modelo é,v*p1 v*
p2 v ˜*pn v*
pj qpj
maximizar a adequação da alternativa i em relação à categoria p, minimizando
assim a distância entre e os valores de referência de cada categoria;A*q
● Etapa 5.2: Defina a solução ideal negativa em relação à categoria p com = Ap−
{ ,..., }, onde são os valores do perfil mais distante de p e,v−p1 v−
p2 v ˜−pn v− p´j p´
a distância a ser maximizada.
● Etapa 5.3: Calcule as distâncias de cada alternativa i em relação à categoria p
da seguinte forma:
= ( ), i = 1, 2, ..., mdip*
∑n
j=1δ ,vij v*
pj
= ( ), i = 1, 2, ..., mdip−
∑n
j=1δ ,vij v−
pj
● Etapa 5.4: Calcular o coeficiente de proximidade de cada alternativa i em
relação ao perfil = , i = 1, 2, ..., m.CC ip di
p−
d + d˜ i* ˜ i
p−
Etapa 6: Para cada alternativa i, encontramos a classe = isso é, pi* argmaxp∈P CC{ i
p} ; pi*
é a categoria com o maior valor de para alternativa i.CC ip
3 METODOLOGIA
O UTM oferece aos usuários a capacidade de possuir soluções flexíveis para ajudar a lidar
com os complexos ambientes das redes atuais. Essa flexibilidade é alcançada oferecendo uma
ampla gama de tecnologias de segurança das quais as organizações podem escolher o que é
mais relevante para elas, de acordo com suas insuficiências. Há também a opção de adquirir
um modelo único de licenciamento com todas as tecnologias incluídas, o que ajuda a evitar a
compra de vários módulos que podem ser difíceis de gerenciar sob uma única solução.
36
Embora todos os fornecedores de rede em soluções baseadas em UTM forneçam números
de desempenho da folha de dados que mostrem o rendimento máximo possível, o mais
importante é como os appliances funcionam em cenários da vida real. A fim de categorizar as
ferramentas para diferentes perfis de uso, este trabalho objetiva a construção de um modelo
de decisão para a empresa objeto de estudo, capaz de apoiar o processo de avaliação e seleção
das opções disponíveis, garantindo maior assertividade na escolha final.
3.1 DEFINIÇÃO DOS ATORES
Como já observado no transcor deste trabalho, o processo decisório é parte integrante da
gestão moderna. Essencialmente, a tomada de decisão racional ou sólida é tida como função
principal do gerenciamento, sua característica se dar principalmente pela consulta prévia de
uma base de dados.
[...] A diferença entre racionalidade e intuição está na proporção de informação, de
um lado, e opinião e sentimentos, de outro. Quanto maior a base de informação, mais
racional é o processo. Quanto maior a proporção de opiniões e sentimentos, mais
intuitivo se torna. A racionalidade e a intuição são atributos humanos
complementares e não concorrentes. (MAXIMIANO, 2009, p.71).
Todo gerente toma centenas de decisões subconsciente ou conscientemente, mas sempre
baseado em alguma experiência anterior ou informações colhidas (laudos, avaliações,
relatórios, etc.) por terceiros (especialistas), que estão envolvidos diretamente ou
indiretamente nas organizações. Assim, tornando-o o componente-chave na gestão
empresarial. As decisões desempenham papéis importantes na medida em que determinam
atividades organizacionais e gerenciais.
Para esta pesquisa, o autor assumirá o papel de decisor sintetizando e explorando
alternativas selecionadas através da comparação dos critérios e perfis pré-estabelecidos
retirados de um formulário aplicado aos gestores de tecnologia da empresa, que pode ser
encontrado no final deste trabalho.
37
3.2 DEFINIÇÃO DAS ALTERNATIVAS
A cada ano, a Influencer Relations co-patrocina duas séries de prêmios para o setor de
analistas: o Analyst Firm Awards e o Circle Award. Ambos os prêmios são baseados em
pesquisas conduzidas pelo Analyst Observatory da University of Edinburgh Business School.
O Analyst Firm Awards (AFA) reconhece as empresas de análise mais valiosas e que
conquistaram um papel de liderança em segmentos de mercado específicos. O AFA é
publicado em seis categorias descritas abaixo:
● Américas: América do Norte, Central e do Sul;
● Global: o resto do mundo;
● Empresa: abrangendo Integração; Gerenciamento de Banco de Dados; Segurança e
privacidade; Risco, Governança e Compliance; Detecção de fraude; Código aberto;
Gerenciamento de capital humano; Fusões e Aquisições; CRM e Atendimento ao
Cliente; Social; Custo Total de Propriedade; Aplicações Enterprise; Programas;
Desenvolvimento de aplicações; Infraestrutura de Aplicação; Aplicações da Internet;
Administração de TI; Comércio Digital; Comércio eletrônico; Processo de negócio; e
BPM;
● Telecomunicações e Redes: cobrindo Wireless; Serviços de Telecomunicações;
Equipamento de Telecomunicações; Arquitetura de Redes de Telecomunicações;
Móvel; Virtualização; Comunicações em nuvem; Redes; e Comunicações Unificadas;
● Serviços e nuvem: abrangendo estratégia; Plataforma como serviço; Serviços de TI;
Terceirização; Aplicativos Cloud; Infraestrutura de nuvem; Plataformas de nuvem;
Inteligência Empresarial; Internet das Coisas; Analytics; e Big Data;
● Marketing & Política: abrangendo a Tecnologia do Consumidor; Pequenas e Médias
Empresas; Canais; Lei e Política; Relações com Analistas; Marketing de conteúdo; e
Marketing.
Nesta premiação, as dez empresas mais bem classificadas em cada categoria são
consideradas vencedoras do prêmio, a figura 8 ilustra os ganhadores do AFA 2018.
38
Figura 8 – Ganhadores do prêmio AFA em 2018
Fonte: Influencer Relations (2018)
Com base nessas posições diante do mercado, a empresa de pesquisa e consultoria
Gartner foi escolhida pelo autor e será utilizada na seleção das alternativas encontradas no
mercado, que são referências em tecnologia UTM a serem abordadas neste trabalho. O
Gartner Magic Quadrant (MQ) é uma série de publicações de pesquisa de mercado
produzidas pela Gartner Inc. Esses relatórios usam uma matriz de avaliação para analisar o
posicionamento de empresas de base tecnológica, avaliar fornecedores de tecnologia com
base em critérios definidos e exibir os pontos fortes e fracos do fornecedor. O Gartner MQ é
usado para avaliar um fornecedor antes que um produto, serviço ou solução de tecnologia
específica seja adquirido.
A Figura 9 descreve o quadrante mágico do Gartner retirado do relatório anual referente a
2018.
39
Figura 9 - Magic quadrant for unified threat management (SMB Multifunction Firewalls)
Fonte: Quadrante Mágico do Gartner para UTM
O Quadrante Mágico Gartner avalia cada fornecedor com base na capacidade de completar e
executar a visão, classificando-os em quatro quadrantes diferentes:
● Líderes: Classificados no topo da matriz e pontuação mais alta em ambos os critérios.
Geralmente, esses fornecedores são empresas estabelecidas com grandes bases de
clientes e fortes posições no mercado;
● Desafiadores: Esses fornecedores tendem a não ter visão, mas têm o potencial de se
transformar em líderes se os planos futuros forem aprimorados;
● Visionários: Geralmente empresas menores com visões razoáveis. No entanto, esses
fornecedores não têm a capacidade de executar tais visões;
● Jogadores de nicho: Tipicamente startups ou empresas mais novas sem visão e
execução.
40
Baseado nas experiências dos gestores de Tecnologia da empresa PROPEG, encontradas na
pesquisa A, anexada ao final deste trabalho, as empresas selecionadas para análise foram:
● Fortinet - FortiGate - UTM é a linha de produtos de segurança baseados em UTM.
● Check Point Software - Check Point Security Gateway Virtual Edition, Next
Generation Threat prevention Firewall, SandBlast Zero-Day Protection, R80 Security
Management, Check Point Capsule, são a linha de produtos de segurança baseados em
UTM.
● Cisco - Cisco Meraki MX appliances, ASA 5500-X Series são a linha de produtos de
segurança baseados em UTM.
● Sophos - Sophos SG UTM, Cyberoam NG/ia Series são a linha de produtos de
segurança baseados em UTM.
● SonicWall - SonicWall TZ Series, SonicWall NSA Series são a linha de produtos de
segurança baseados em UTM.
● Huawei - Huawei Firewall, Huawei Applied Gateway são a linha de produtos de
segurança baseados em UTM.
● Juniper Networks - SRX Series é a linha de produtos de segurança baseados em
UTM.
● Barracuda Networks - Barracuda NextGen Firewalls é a linha de produtos de
segurança baseados em UTM.
3.3 DEFINIÇÃO DOS CRITÉRIOS
“[...] não é possível uma decisão sem um diagnóstico, assim como não é possível um
diagnóstico, sem uma consequente decisão” (LUCKESI, 2003, p. 34).
O estabelecimento de critérios válidos e abrangentes é uma etapa fundamental do
processo de construção do modelo de decisão. Eles norteiam para a qualificação dos objetivos
propostos, dos conteúdos e da metodologia adotada, influenciando diretamente na qualidade
da decisão a ser tomada.
41
Tendo como base os critérios do Gartner para classificar a avaliação geral do usuário,
foram utilizados dentro da pesquisa A os seguintes componentes: Compatibilidade, Custo,
Robustez e Suporte.
3.3.1 COMPATIBILIDADE - INTEGRAÇÃO E IMPLANTAÇÃO
● Tempo médio e complexibilidade de implantação;
● Disponibilidade de recursos de terceiros de qualidade (provedores de serviços);
● Facilidade de integração usando APIs e ferramentas padrão;
● Qualidade e disponibilidade de treinamento para usuários finais.
3.3.2 CUSTO - AVALIAÇÃO E CONTRATAÇÃO
● Capacidade de entender as necessidades da sua organização;
● Resposta oportuna e completa às perguntas do produto;
● Preços e flexibilidade de contrato (preços e condições).
3.3.3 ROBUSTEZ - CAPACIDADES DO PRODUTO
● Classificação geral das capacidades do produto;
● Escalabilidade;
● Customização;
● Facilidade de uso.
3.3.4 SUPORTE - SERVIÇO DE SUPORTE
● Fornece algum pacote de suporte do fornecedor;
● Oportunidade da resposta do fornecedor;
● Qualidade do suporte técnico;
● Qualidade da comunidade de usuários pares.
42
3.4 DEFINIÇÃO DOS PESOS
A atribuição dos pesos foi construída através da moda da pesquisa A, utilizando uma escala
verbal aplicada aos gestores de TI da PROPEG, no qual a avaliação era composta com as
seguintes alternativas: Nada útil, Não tão útil, Relativamente útil, Muito útil, Extremamente
útil e Inexplorado. Este último para ocasiões onde não existiam familiaridade com a
ferramenta, logo não será utilizado no estudo. Os pesos são baseados na tabela Fuzzy
numbers do algoritmo FTOPSIS-CLASS, explicado na seção 2.5.
Tabela 2 – Variáveis linguísticas
RATINGS FUZZY NUMBERS
ESCALA VERBAL PESOS
Very Low (0.0,0.0,0.1,0.2) Nada Útil (NU) (0.0,0.0,0.1,0.2)
Low (0.1.0.2,0.3,0.4) Não Tão Útil (NTU) (0.1.0.2,0.3,0.4)
Medium (0.3,0.4,0.5,0.6) Relativamente Útil (RU) (0.3,0.4,0.5,0.6)
High (0.5,0.6,0.7,0.8) Muito Útil (MU) (0.5,0.6,0.7,0.8)
Very High (0.7,0.8,0.9,1.0) Extremamente Útil (EU) (0.7,0.8,0.9,1.0)
Fonte: Elaborado pelo autor com base em Ferreira, Borenstein, Brutti, Teixeira (2017)
A associação dos pesos será abordada no desenvolvimento do capítulo 4 - RESULTADOS.
3.5 DEFINIÇÃO DOS PERFIS
Nesta seção, mostra como foi feita a identificação dos perfis baseada através da pesquisa B,
aplicada aos colaboradores de TI que atuam dentro da empresa, levando em consideração os
recursos básicos, avançados, adicionais e personalizáveis das ferramentas estudadas.
Tabela 3 - Ajuste dos perfis
ESCALA VERBAL PERFIS
43
Nada Importante (NI) PP
Pouco Importante (PI)
Relativamente Importante (RI) PAD
Muito Importante (MI) PAV
Extremamente Importante (EI) PB
Fonte: Elaborado pelo autor
3.5.1 RECURSOS UTM
Um dos principais diferenciais entre os UTMs são seus recursos de firewall de hardware e
capacidade de throughput, assim, é de extrema importância a caracterização de perfis de
recursos de cada dispositivos para facilitar a tomada de decisão em um determinado cenário.
Algumas das funcionalidades e recursos presentes nestes dispositivos:
● Facilidade de implantação, configuração e gerenciamento: um UTM foi criado para
simplificar a segurança, mas será possível usá-lo de maneira eficaz com o conjunto de
qualificações da equipe disponível para você? Uma interface web integrada e simples
pode tornar recursos avançados de segurança acessíveis a funcionários relativamente
pouco qualificados. Para empresas maiores, procure um sistema de gerenciamento que
permita enviar alterações de configuração para separar dispositivos em filiais.
● Facilidade e velocidade de incorporar serviços adicionais: você pode desbloquear
quaisquer recursos de segurança adicionais que possa vir a precisar pagando uma taxa
de licença adicional ou precisará atualizar o software e/ou firmware do UTM?
● Recursos do fornecedor: Quão bons são os laboratórios de pesquisa de segurança do
fornecedor em questão, e será capaz de adicionar novos recursos de segurança a seus
produtos à medida que se tornarem disponíveis em outros locais no mercado como
produtos pontuais? Se não, o UTM pode não atender às suas necessidades de
segurança muito mais cedo do que você gostaria.
44
● Capacidade de lidar com escritórios remotos e trabalhadores móveis: a menos que
você planeje implantar UTMs em vários locais, será necessário vincular suas filiais ao
UTM. Os trabalhadores móveis também terão que se conectar através de uma VPN.
Portanto, é importante escolher um appliance que possa gerenciar conexões de entrada
suficientes e ofereça várias conexões VPN - possivelmente incluindo suporte para
tablets iOS e Android, se os funcionários os usarem.
● Requisitos regulamentares: Um determinado UTM fornecerá funcionalidade e
relatórios suficientes para permitir que sua organização passe por uma auditoria de
conformidade?
● Capacidade sem fio segura: você tem uma WLAN em seu ambiente de trabalho?
Alguns UTMs fornecem conectividade sem fio segura, permitindo que você ofereça
aos usuários desta modalidade, incluindo convidados, os mesmos controles de
segurança que os usuários de LAN com fio.
De acordo com a pesquisa aplicada a usuários finais conduzida pela Gartner para o Quadrante
Mágico (2018), os recursos e perfis mais comuns implementados em uma plataforma UTM
encontram-se listados abaixo.
3.5.2 PERFIL BÁSICO (PB)
Compreende os recursos de segurança básicos, aqueles que fazem parte da maioria das
soluções de UTM presentes no mercado (Pesquisa B). São eles: Antivírus, Application
Control, CMC, Firewall, Identity Control, VPN, Web Filtering, IPS.
● Antivírus - Permite que empresas e empresas verifiquem vírus na camada de
aplicativos usando um serviço de varredura baseado na Web.
● Application Control - Determina quais aplicações podem ou não trafegar pelo seu link
de internet. É possível bloquear aplicações que compartilham arquivos, chat,
navegadores e milhares de aplicações conhecidas. Deve fornecer políticas granulares
de permissões de acesso, liberando ou negando aplicativos com base no tipo de
fornecedor, comportamento e tecnologia utilizada.
45
● CMC - Sistema de gerenciamento centralizado que permite administrar vários
appliances AirDefense a partir de um único local. O CMC pode ser usado para
garantir que as configurações sejam as mesmas em vários appliances. Você não
precisa mais configurar cada dispositivo separadamente.
● Firewall - Abordado no tópico 2.2.1.
● Identity Control - Permite que os administradores identifiquem usuários de maneira
exclusiva, controlem a atividade da Internet desses usuários na rede e permitam a
definição de políticas e relatórios por nome de usuário, adicionando velocidade à
segurança.
● VPN - Estabelece conexão sobre uma infraestrutura pública ou compartilhada, usando
tecnologias de tunelamento e criptografia para manter seguros os dados trafegados.
● Web Filtering - Permite que você controle quais os tipos de conteúdo web um usuário
pode ter acesso. Utilizando basicamente filtros e verificações como atividades
principais.
● IPS - Abordado no tópico 2.2.3.
3.5.3 PERFIL AVANÇADO (PAV)
Os recursos de segurança avançado são ofertados por alguns fornecedores de soluções
baseado em UTM (Pesquisa B). São eles: Antispam, ATP, DLP, Load Balance, Log e
Sandbox.
● Antispam - Detectam ameaças através de uma variedade de técnicas, incluindo:
Bloquear o IP de spammers conhecidos, criação de hashes nas mensagens encontradas
em url comparando com hashes de spam conhecidos. Utilização de listas brancas,
listas negras de servidores de emails, remetentes, domínios de e-mails, IP de
servidores, entre outros.
● ATP - Refere-se a uma categoria de soluções de segurança que se defendem contra
malware sofisticado ou ataques com base em hackers direcionados a dados
confidenciais.
46
● DLP - Conjunto de ferramentas e processos usados para garantir que os dados
confidenciais não sejam perdidos, mal utilizados ou acessados por usuários não
autorizados.
● Load Balance - É uma divisão uniforme do trabalho de processamento entre dois ou
mais computadores e/ou CPUs, links de rede, dispositivos de armazenamento ou
outros dispositivos, fornecendo serviços mais rápidos e com maior eficiência.
● LOG - Registra as informações sobre acesso dos usuários, consumo de links, regras
de entrada e saída que foram ou não permitidas, logins, dentre outros.
● Sandbox - Ambiente isolado de testes que permite aos usuários executar programas ou
arquivos sem afetar as aplicações, sistemas ou plataformas onde eles estão em
produção.
3.5.4 PERFIL ADICIONAL (PAD)
Entende-se por esse tipo de perfil, que são recursos que agregam monitoramento e agilidade
no tráfego da rede em um nível superior ao que foi explanado nos perfis acima (Pesquisa B).
São eles: IDS, QOS, WAF e Web Cache.
● IDS - Abordado no tópico 2.2.2.
● QOS - Engloba a capacidade de uma rede de atingir o máximo de largura de banda e
lidar com outros elementos de desempenho da rede, como latência, taxa de erro e
tempo de atividade.
● WAF - Utilizado para aceitar e rejeitar solicitações e sessões HTTP usando regras
predefinidas. Filtra cada mensagem recebida e enviada e interrompe essas mensagens
e solicitações caso haja algum conteúdo malicioso.
● Web Cache - Armazena e entrega sites, imagens e/ou objetos acessados com
frequência na Internet. Ele foi projetado para ajudar na entrega de dados e objetos
baseados na Internet mais rapidamente aos usuários finais e também para liberar
largura de banda.
47
3.5.5 PERFIL PERSONALIZÁVEL (PP)
Perfil com componentes voltados para uma maior personalização do consumidor final
(Pesquisa B). São eles: 2FA, VLAN, Relatórios.
● 2FA - A autenticação de dois fatores é um mecanismo de segurança que requer dois
tipos de credenciais para autenticação e foi projetado para fornecer uma camada
adicional de validação, minimizando as violações de segurança.
● VLAN - Uma rede local virtual (VLAN) é um grupo lógico de estações de trabalho,
servidores e dispositivos de rede que parecem estar na mesma LAN (Local Area
Network), apesar de sua distribuição geográfica.
● Relatórios - Gera relatórios por categorias, perfis, períodos, etc, com base nos logs de
registro do sistema adotado.
3.6 JUSTIFICATIVA DO MÉTODO
O método de análise multicritério escolhido como base para este problema de decisão foi o
método FTOPSIS-Class, que é uma variação do método Fuzzy-TOPSIS cuja ideia central
dar-se pela classificação utilizando escada Fuzzy, como pôde ser visto na seção 2.5 -
MÉTODO FTOPSIS-CLASS, com maiores detalhes. A escolha por este método justifica-se
por ser capaz de classificar as soluções, indicando alternativas mínima e máximo que se
adequam a uma faixa de perfis pré-definida.
3.7 AMBIENTE
Neste tópico, será apresentado um breve histórico da empresa de publicidade e propaganda
PROPEG, utilizada no estudo de caso deste trabalho, cujo conteúdo foi retirado integralmente
de artigos da própria empresa. Em seguida, uma descrição dos ativos de rede da matriz e as
filiais.
48
3.7.1 HISTÓRIA
A Propeg é uma agência de publicidade brasileira, fundada em Salvador (Bahia, Brasil), em
1965, pelo publicitário Rodrigo Albuquerque Sá Menezes e seu pai, Oswaldo Sá Menezes.
Nas quatro décadas que se seguiram, a Propeg tornou-se o núcleo de uma das maiores
organizações nacionais do setor publicitário. Sua denominação original, Propeg Propaganda e
Negócios Ltda., foi posteriormente alterada para Propeg Comunicação Social e
Mercadológica Ltda. Em 2001, converteu-se em sociedade anônima, com a denominação de
Rede Interamericana de Comunicação S.A., empresa-líder do Grupo Interamericano de
Comunicação.
Sua expansão decorreu, inicialmente, da necessidade de atender, em vários mercados
brasileiros, um dos seus primeiros e maiores Clientes, o Banco Econômico da Bahia
(posteriormente, Banco Econômico S.A., quarta maior instituição financeira do País). Em
cada lugar, teve de adaptar-se a diferentes características sociais, culturais e econômicas e
maneiras de pensar e agir surpreendentemente novas. Mercadologicamente, não havia um
"Brasil", mas vários "Brasis", ou seja, mercados com distintas características, expectativas e
atitudes de consumo.
Percebendo a oportunidade de guiar seus Clientes por tantos e tão diferentes mercados
brasileiros, em 1986 a Propeg iniciou a implantação de escritórios regionais, começando pelos
de São Paulo e Rio de Janeiro e seguindo-se os de Recife, Brasília, Curitiba, Fortaleza e Belo
Horizonte. Cada escritório - chamado "Divisão Operacional" - possuía sua própria estrutura
de Atendimento, Planejamento, Criação, Mídia e Produção e se servia, na retaguarda, de uma
infraestrutura comum de tecnologia, pesquisa, administração e finanças. Cada Divisão
Operacional era "uma importante agência regional, com atuação nacional". Juntas, formavam
"uma grande agência nacional, com forte atuação regional". A agência chegou a manter
escritórios em Buenos Aires, Luanda e Santa Cruz de la Sierra.Ao longo desse tempo, a
Propeg foi uma incubadora de outras agências e de talentos profissionais, citando-se, entre as
primeiras, a Lew/Lara, a NBS, a Quê e a PPR.
Entre as agências de publicidade brasileiras, a Propeg também se destacou pelo
pioneirismo no desenvolvimento e na utilização de ferramentas tecnológicas. Foi uma das
primeiras a operar (1980) uma rede de microcomputadores e a única a desenvolver um
49
sistema integrado de gestão e operação (ERP), que veio a ser comercializado através da sua
subsidiária Midialog e utilizado pela maioria das grandes agências nacionais e das
multinacionais estabelecidas no Brasil. Foi, também, a primeira a abrigar um departamento
especializado em mídias digitais, notadamente a internet.
3.7.2 TOPOLOGIA
● BAHIA
○ 16 microcomputadores Dell, Dual Core, Core i5, Core i3;
○ 30 computadores Apple Mac Pro, Mac Mini e iMacs;
○ 4 MacBook Pro, Core i3;
○ 1 notebooks Core 2 Duo, Core i3, Core i5;
○ 5 switches HP V1910,48G, Camada 3;
○ 2 servidores de arquivos Dell Power Edge T41A;
○ 2 servidores de bancos de dados Dell Power Edge T310;
○ 3 storages lomega NAS BTB cada;
○ 1 servidor de firewall, HP Proliant ML 110 G2;
○ 2 servidores HP Proliant ML 110 G2;
○ 1 servidor antivírus, HP Proliant ML 110 G2;
○ 16 impressoras a laser, P&8, 2 multifuncionais HP;
○ 1 impressora Epson Pro 7880, 1 impressora Konica Minolta c454;
○ 18 tablets Wacoom;
○ 9 nobreaks de 2.2 kVA;
○ 1 projetor Optoma 3D Full HD; 9 roteadores wireless;
○ 2 roteadores Cisco MPLS, 1 modem óptico;
○ 1 link dedicado de 50 MB e 1 link redundante de 20 MB;
○ 1 central telefônica Siemens hipath 3800.
● SÃO PAULO
○ 18 microcomputadores Dell, Dual Core, Core i3, Core i5;
○ 4 Mac Pro Quad Core;
50
○ 4 Apple Cinema Display 27";
○ 2 MacBook Pro 15" Retina lntel i7, Quad Core;
○ 1 iMac 20" lntel, Core 2 Duo;
○ 3 notebooks Dual Core, Core i3, Core i5;
○ 1 servidor de rede HP Proliant ML 110;
○ 1 roteador wireless;
○ 1 impressora multifuncional a laser, P&8, Samsung;
○ 1 impressora multifuncional a laser, colorida, Xerox 7535;
○ 1 fax Panasonic KX-FP207, 2 nobreaks de 1.2 kVAAPC;
○ 1 roteador Cisco, 2800;
○ 1 central telefônica Leucotron;
○ 1 unidade de backup HP StorageWorks Ultrium 460;
○ 1 link de 10 MB dedicado e 1 link redundante de 20 MB.
● DISTRITO FEDERAL
○ 90 microcomputadores Dell, Core i5;
○ 25 Macs Pro Quad Core e Octa Core;
○ 4 iMacs, Core i5, com 8 GB de RAM;
○ 12 notebooks Core i5;
○ 2 servidores de rede HP Proliant ML 110 G7;
○ 4 servidores de rede HP Proliant ML 110 G8;
○ 1 impressora a laser, colorida, Konica Minolta C452;
○ 1 impressora a laser, colorida, Kyocera TaskAlfa 300;
○ 1 multifuncional a laser, colorida, Xerox Phaser 7760;
○ 5 impressoras a laser, P&8, Kyocera FS-4020-DN;
○ 2 multifuncionais a laser, P&8, Kyocera KM-2810;
○ 2 impressoras matriciais Epson;
○ 6 nobreaks SMS de 2.2 kVA, 25 nobreaks SMS de 1.5 kVA;
○ 12 tablets Wacoom;
○ 9 switches de 24 portas, 10/100/1 .000;
○ 4 switches de 48 HP 10/100/1 .000;
51
○ 1 unidade de backup Tandberg Data Ultrium LTO 3;
○ 1 central telefônica Siemens hiPatch 4200;
○ 2 projetores Dell modelo 4610x;
○ 2 storages de backup NAS de 8 TB cada da lomega;
○ 4 Access Point Apple Air Port Extreme;
○ 1 link de 50 MB dedicado e 1 link redundante de 20 MB;
● RIO DE JANEIRO
○ 10 notebooks Dell, Core i5, com 4GB de RAM e HD de 1TB;
○ 6 íMacs, Core i5, com 8GB de RAM e HD de 1TB;
○ 1 servidor de rede HP ML 110 G7;
○ 1 servidor de arquivos HP ML 110 G8;
○ 2 switches de 24 portas gigabit Ethernet;
○ 2 impressoras a laser multifuncionais Kyocera;
○ 1 nobreaks de 1,4KVA;
○ 2 roteadores wi-fi Linksys;
○ 1 storage Lacie 10TB;
○ 1 firewall Fortigate 60D;
○ 1 link de 20MB dedicado e 1 link adsl redundante de 1OMB;
○ 1 central telefônica lntelbras.
● PERNAMBUCO
○ 10 microcomputadores Dell, Core i5;
○ 3 Mac Pro Quad Core;
○ 1 notebook Core i5;
○ 1 servidor de rede HP Proliant ML 350 G2;
○ 2 roteadores wireless;
○ 1 impressora a laser, P&B;
○ 1 scanner colorido, 1 fax/modem, 3 nobreaks de 1.5 kVA;
○ 1 roteador Cisco;
○ 1 central telefônica DigiStar/Oi Digital;
52
○ 1 link de 10 MB dedicado e 1 link redundante de 20 MB.
4 RESULTADOS
Este capítulo destina-se à apresentação dos resultados obtidos através da execução do modelo
decisão descrito anteriormente. De primeiro modo, serão expostos os resultados coletados
durante a aplicação do questionário aos colaboradores de TI na empresa PROPEG. Após
calcular a moda das pesquisas e os pesos da seção 3.5, os resultados obtidos darão apoio na
elaboração da matriz de decisão e aplicação do método FTOPSIS-CLASS para classificar as
soluções e desatar o problema central de seleção da análise comparativa das ferramentas.
4.1 PESQUISAS
As pesquisas foram criadas a partir de um questionário utilizando o Google Forms. A
primeira pesquisa (Questionário A) voltada para os gestores de tecnologia da empresa que
tinham qualquer experiência com soluções UTM, ao todo, 5 profissionais responderam. A
segunda pesquisa (Questionário B) aplicada a todos os colaboradores de TI que atuam na
empresa, ao todo, 16 profissionais responderam.
A Figura 10 e 11 apresentam o número de votos obtidos na Pesquisa A por cada critério a ser
utilizado no desenvolvimento dos pesos explanados no tópico 3.5.
Figura 10 - Gráficos da Pesquisa A
Fonte: Google Forms
53
Figura 11 - Gráficos da Pesquisa A
Fonte: Google Forms
A Figura 12, 13 e 14 apresentam o número de votos obtidos na Pesquisa B por cada critério a
ser utilizado no desenvolvimento dos perfis explanados no tópico 3.6.
Figura 12 - Gráficos da Pesquisa B
Fonte: Google Forms
54
Figura 13 - Gráficos da Pesquisa B
Fonte: Google Forms
Figura 14 - Gráficos da Pesquisa B
Fonte: Google Forms
55
4.1.1 MODA DAS PESQUISAS
QUESTIONÁRIO A
Tabela 4 - Seleção dos dados da moda
ALTERNATIVAS X CRITÉRIO
COMPATIBILIDADE CUSTO ROBUSTEZ SUPORTE
Fortinet EU MU MU EU Check Point
Software RU RU MU MU
Cisco EU MU MU MU Sophos MU EU MU MU
SonicWall EU RU EU EU Huawei RU RU RU MU
Juniper Networks RU MU RU MU Barracuda Networks MU MU RU MU
Venustech Inexplorado Inexplorado Inexplorado Inexplorado Stormshield Inexplorado Inexplorado Inexplorado Inexplorado
Hillstone Networks Inexplorado Inexplorado Inexplorado Inexplorado Untangle Inexplorado Inexplorado Inexplorado Inexplorado
Rohde & Schwarz Cybersecurity Inexplorado Inexplorado Inexplorado Inexplorado
Watch Guard Inexplorado Inexplorado Inexplorado Inexplorado Fonte: Elaborado pelo autor
A classificação do critério “CUSTO” foi coletada com as seguintes referências: incompatível,
razoável, acessível, baixo, muito baixo; a fim de fazerem mais sentido. Logo após a coleta,
todos os dados apurados foram normalizado com as seguintes categorias, nas siglas: (NU)
Nada Útil, (NTU) Não Tão Útil, (RU) Relativamente Útil, Muito Útil (MU), (EU)
Extremamente Útil. As alternativas que obtiveram o resultado inexplorado foram descartadas
da análise, já que este trabalho analisa e classifica as ferramentas baseado nas experiências
anteriores dos tomadores de decisão de TI da PROPEG (tópico 3.3).
56
QUESTIONÁRIO B
Tabela 5 - Seleção dos dados da moda
ALTERNATIVAS PESOS/PERFIS
2FA PI → PP
Antivírus EI → PB
Antispam EI → PB
Application Control EI → PB
ATP MI → PAV
DLP MI → PAV
Firewall EI → PB
IDS RI → PAD
IPS EI → PB
Load Balance MI → PAV
Log MI → PAV
QOS RI → PAD
Relatórios PI → PP
Sandbox MI → PAV
VLAN PI → PP
VPN EI → PB
WAF EI → PB
Web Cache RI → PAD
Web Filtering EI → PB Fonte: Elaborado pelo autor
4.2 REVIEWS GARTNER
O Gartner Peer Insights é uma plataforma gratuita de revisão e classificação por pares
projetada para tomadores de decisão de software e serviços empresariais. As avaliações
passam por um processo rigoroso de validação e moderação, em um esforço para garantir que
sejam autênticas. Este review sintetiza o conteúdo do Gartner Peer Insights no mercado
57
unificado de gerenciamento de ameaças do ano anterior. Essa perspectiva de pares,
juntamente com as análises detalhadas individuais (Questionário B), é complementar à
pesquisa especializada (Questionário A) apresentadas no tópico 3.4, e deve desempenhar um
papel adicional no processo de tomada de decisão.
Tabela 6 - Escala de 1 a 10
SOLUÇÃO Fortinet Check Cisco Sophos SonicWall
Huawei Juniper Barracuda
NOTA 9,0 8,8 9,0 8,4 8,8 8,8 8,4 9,2
REVISÕES 292 143 360 123 155 23 16 28
Fonte: Elaborado pelo autor
4.3 APLICAÇÃO DO MÉTODO MULTICRITÉRIO
Um conjunto de variáveis linguísticas foi utilizado para avaliar o nível de importância de cada
critério, bem como as classificações das alternativas (Tabela 2). As tabelas 7 e 8 resumem os
dados necessários para o procedimento de classificação (tópico 2.5). A tabela 7 compreende a
matriz de decisão e as classificações de cada solução em relação a cada critério, enquanto a
tabela 8 fornece a matriz de referência principal para cada perfil. Após todos os parâmetros
necessários terem sido definidos, o algoritmo de ordenação FTOPSIS-CLASS é usado para
obter a adequação de cada solução UTM para o perfil de cada investidor, calculando com o
coeficiente de proximidade, classificando-o na classe que tem o coeficiente maior (tópico 2.5,
etapas 5.4 e 6).
Tabela 7 - Matriz de decisão
SOLUÇÃO X CRITÉRIO
COMPATIBILIDADE CUSTO ROBUSTEZ SUPORTE
Fortinet EU MU MU EU Check Point
Software RU RU MU MU
Cisco EU MU MU MU Sophos MU EU MU MU
58
SonicWall EU RU EU EU Huawei RU RU RU MU
Juniper Networks RU MU RU MU Barracuda Networks MU MU RU MU
Fonte: Elaborado pelo autor
Tabela 8 - Matriz de referência
PERFIL x CRITÉRIOS
C1 C2 C3 C4
PB MU EU EU EU
PAV EU NTU EU EU
PAD MU RU MU EU
PP EU NTU RU EU
Fonte: Elaborado pelo autor
A seguir são apresentados os dados de entrada do estudo de caso, executados no algoritmo
FTOPSIS-CLASS, onde C1, C2, C3 e C4 representam os critérios Compatibilidade, Custo,
Robustez e Suporte; P1, P2, P3 e P4 os perfis PB, PAV, PAD, PP; o W representa os pesos de
cada critério, assim como F representa os números fuzzy trapezoidais em que temos 4 pontos
para cada G. O Q indica a quantidade de classe existentes.
Tabela 9 - Entrada FTOPSIS-CLASS
C1 C2 C3 C4
Fortinet EU MU MU EU
Check Point Software
RU RU MU MU
Cisco EU MU MU MU
Sophos MU MU MU MU
SonicWall EU RU EU EU
Huawei RU RU RU MU
59
Juniper Networks
RU MU RU MU
Barracuda Networks
MU MU RU MU
P1 MU EU EU EU
P2 EU NTU EU EU
P3 MU RU MU EU
P4 EU NTU RU EU
W MU MU MU MU
F 4
Q 4
Fonte: Elaborado pelo autor
Tabela 10 - Coeficiente de Proximidade
PB PAV PAD PP
Fortinet 0.45 0.36 0.56 0.54
Check 0.40 0.45 0.58 0.59
Cisco 0.45 0.37 0.55 0.54
Sophos 0.46 0.38 0.55 0.53
SonicWall 0.42 0.49 0.67 0.57
Huawei 0.41 0.45 0.57 0.58
Juniper 0.46 0.40 0.53 0.53
Barracuda 0.46 0.39 0.54 0.53
Fonte: Elaborado pelo autor
5 CONSIDERAÇÕES FINAIS
A adoção de ferramentas UTM nos traz uma melhor gestão no que diz respeito a recursos,
custo e pessoas. Não se trata apenas de investir em tecnologias inovadoras apenas para suprir
60
as necessidades do momento, mas aderir aquelas que venham agregar valor para o ambiente
atual e futuro nas organizações. As empresas devem pré-selecionar os fornecedores que
demonstram um comprometimento com o desenvolvimento contínuo de seus produtos, a fim
de assegurar que seus investimentos nas tecnologias emergentes não sejam um fracasso. Os
métodos multicritério são mecanismos matemáticos que atuam no apoio à decisão, resultando
na maximização do investimento pela eliminação de práticas ineficientes e redução dos riscos
de negócios.
Os resultados demonstraram a análise e categorização das soluções definidas em perfis
pré-determinados calculados através dos pesos e critérios capturados nas pesquisas aplicadas
aos profissionais de TI da PROPEG. Foi observado que dentre as alternativas existentes no
mercado, ao qual os gestores possuíam alguma experiência, uma maior proximidade das
alternativas Fortinet, Cisco, Sophos, SonicWall, Juniper e Barracuda ao perfil adicional
(PAD), por isso ele permanece nesta classe. Porém, a mesma engloba as funcionalidades das
outras duas anteriores: perfil avançado (PAV) e perfil básico (PB). Por outro lado, as
alternativas Check Point Software e Huawei se aproximam do perfil personalizável (PP)
onde os valores dos coeficientes são apresentados na tabela 9.
As ferramentas escolhidas para implementação foram Fortinet e Cisco, ambas se
encontram mais próximas do perfil adicional, propiciando um aumento de funcionalidades ao
adquirir uma licença de um nível superior a contratada na hora da compra. A solução da
Cisco se mostrou ideal para escritórios menores, já a Fortinet mostrou-se mais propícia para
escritórios de maior porte.
Este estudo levou em consideração à análise de critérios técnicos, custo, suporte e
fornecedores baseado nas pesquisas coletadas encontradas no anexo A e B, em que se aplicou
o método de análise multicritério FTOPSIS-CLASS para classificar as alternativas baseadas
nos perfis criados através da pesquisa B, servindo como modelo de decisão para os
envolvidos no processo decisório. Para trabalhos futuros abre-se a possibilidade de
desenvolver um artigo científico para avaliar outros tipos de cenário, como por exemplo:
plataformas de nuvens, sistemas ERP, etc.
61
REFERÊNCIAS ALMEIDA, A.T. et al. Multicriteria and Multiobjective Models for Risk, Reliability and Maintenance Decision Analysis. 1.ed. Springer; Edição: Softcover reprint of the original 1st ed. 2015 (21 de outubro de 2016). ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS. NBR ISO/IEC 27002:2005. Tecnologia da informação: técnicas de segurança. 2006. BEAL, A. Segurança da Informação: princípios e melhores práticas para a proteção dos ativos de informação nas organizações. São Paulo: Atlas, 2008. FERREIRA, L. et al. A fuzzy hybrid integrated framework for portfolio optimization in private banking. Expert Systems With Applications, 2017. ROY, B. Decision science or decision-aid science? European Journal of Operational Research: v.8, n.1, p.184-203, 1993. GARDNER, H. Inteligências Múltiplas: a Teoria na Prática. Porto Alegre: Artes Médicas, 1995. LYRA, M. R. Segurança e Auditoria em Sistemas de Informação. Rio de Janeiro: Ciência Moderna, 2008. DANTAS, M. L. Segurança da informação: uma abordagem focada em gestão de riscos. Olinda: Livro Rápido, 2011. LYRA, M. R. Governança da Segurança da Informação. Brasília: 160p, 2015. TITTEL, E. Unified Threat Management for Dummies. 2 ed. Hoboken: Ed. Wiley Publishing, 68p, 2014. BANA e COSTA, C. A. Introdução Geral às Abordagens Multicritério de Apoio à Tomada de Decisão. Investigação Operacional, v.66, p. 117-139, Jun, 1988. ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS. NBRISO/IEC17799. Tecnologia da informação — Técnicas de segurança — Código de prática para a gestão da segurança da informação. 2005. VIZIM, M. SHIRLEY, S. Políticas Públicas: educação, tecnologias e pessoas com deficiências. São Paulo: Mercado das Letras, 2003. LAURINDO, F. J. B. et al. O papel da tecnologia da informação (TI) na estratégia das organizações. Gestão & Produção, v.8, n.2, p.160-179, ago. 2001.
62
CORRÊA, E. C. Construção de Um Modelo Multicritérios de Apoio ao Processo Decisório. Santa Catarina: EPS/UFSC, 1996. Ensslin, L. Apoio à decisão: Metodologia para a estruturação de problemas e avaliação multicritério de alternativas. Florianópolis: Insular, 2001. Vincke, P. Multicriteria decision-aid. Chichester: John Wiley & Sons, 1992. CARAVANTES, Geraldo; PANNO, Cláudia; KLOECKNER, Mônica. Administração: teorias e processo. São Paulo: Pearson, 572 p 2005. CERTO. S. C. Tomada de decisões. In:__. Administração moderna. 9. ed. São Paulo: Pearson, cap. 7, p. 123-145, 2005. CHIAVENATO, I. Comportamento organizacional: a dinâmica do sucesso das organizações. 2. ed. Rio de Janeiro: Elsevier, 539 p, 2010. MAXIMIANO, A. C. A. Introdução à Administração. Ed. Compacta. São Paulo: Atlas, 294p 2009. ROBBINS, Stephen; JUDGE, Timothy; SOBRAL, Filipe. Comportamento organizacional: teoria e prática no contexto brasileiro. 14. ed. São Paulo: Pearson, 633 p, 2010 . LUCKESI, C. C. Avaliação da aprendizagem escolar: estudos e proposições. 14.ed. São Paulo: Cortez, 2003. COELHO, F. E. S; ARAUJO, L. G. S; BEZERRA, E.K. Gestão da segurança da informação. 2. ed. Rede nacional de ensino e pesquisa, 198 p, 2014. SÊMOLA, M. Gestão da Segurança da Informação - Uma Visão Executiva - 2 ed. São Paulo: Elsevier, 2014. FREITAS, H; CLADIS, M. O processo decisório: modelos e dificuldades. RJ, 8 mar. 1995. Disponível em: <https://docplayer.com.br/21117515-O-processo-decisorio-modelos-e-dificuldades.html>. Acesso em: 13 mai. 2019. PENA, R F. A. Meio técnico-científico-informacional; Brasil Escola. Disponível em: <https://brasilescola.uol.com.br/geografia/meio-tecnico-cientifico-informacional.htm>. Acesso em: 13 mai. 2019. WIKIPÉDIA. Multiple-criteria decision analysis. 2019. Disponível em: <https://en.wikipedia.org/wiki/Multiple-criteria_decision_analysis>. Acesso em: 15 mai. 2019. GARTNER GROUP. Reviews for Unified Threat Management (UTM), Worldwide. 2019. Disponível em: <https://www.gartner.com/reviews/market/unified-threat-management>.
63
Acesso em: 15 mai. 2019. GARTNER GROUP. Magic Quadrant for Unified Threat Management (SMB Multifunction Firewalls). 2018. Disponível em: <https://www.gartner.com/en/documents/3890087>. Acesso em: 15 mai. 2019. CITESEERX. Artificial Neural Networks Architecture For Intrusion Detection Systems and Classification of Attacks. 2019. Disponível em: <http://citeseerx.ist.psu.edu/viewdoc/download?doi=10.1.1.497.5207&rep=rep1&type=pdf>. Acesso em: 22 jun. 2019. ESECURITYPLANET. Unified Threat Management. 2019. Disponível em: <https://www.esecurityplanet.com/network-security/unified-threat-management.html>. Acesso em: 26 jun. 2019. NFLUENCERRELATIONS. 2019. Disponível em: <https://www.influencerrelations.com/analyst-firm-awards>. Acesso em: 26 jun. 2019.
64
ANEXO A: FORMULÁRIO UTILIZADO PARA COLETA DOS DADOS (GESTORES)
[Pesquisa] Segurança da Informação - Gerenciamento Unificado de Ameaças Tempo estimado para responder a pesquisa: 5 minutos. Público-alvo: Gestores de TI da PROPEG.
Convidamos o (a) Sr. (a) para participar como voluntário (a) da pesquisa “Segurança da Informação - Gerenciamento Unificado de Ameaças”, que está sob a responsabilidade do pesquisador Rômulo Ferreira da Silva (Graduando do curso de Sistemas de Informação da Universidade Federal de Pernambuco – campus Recife. Esse documento chama-se Termo de Consentimento Livre e Esclarecido, caso contenha informações que não lhe sejam compreensíveis, as dúvidas podem ser tiradas com a pessoa que está lhe entrevistando e apenas ao final, quando todos os esclarecimentos forem dados, caso concorde com a realização do estudo peço que marque a opção de “avançar” no questionário eletrônico. Caso não concorde, não haverá penalização, bem como será possível retirar o consentimento a qualquer momento, também sem nenhuma penalidade.
INFORMAÇÕES SOBRE A PESQUISA
Esta pesquisa tem como objetivo principal apoiar um analista de sistemas na seleção de uma ferramenta que propicie a integração de aplicações voltadas a segurança da informação. Desta forma, os participantes informarão qual nível de importância de elementos que compõem os dispositivos UTM. Sua participação nesta pesquisa será através da resposta de um questionário eletrônico simples, onde as instruções estarão disponibilizadas na primeira página do questionário. O pesquisador se encontra sempre à disposição para qualquer esclarecimento que seja necessário ou solicitado. Todas as informações desta pesquisa serão confidenciais e serão utilizadas apenas para embasar o processo de adoção de ferramentas voltadas para segurança, sendo assegurado o sigilo sobre a sua participação. Os dados coletados nesta pesquisa (questionários), ficarão armazenados em pastas no computador pessoal (e eventuais arquivos para backup), sob a responsabilidade do pesquisador, no endereço acima informado, pelo período de mínimo 6 meses.
1 - Tempo de experiência?*
2 - Cargo ocupante atual?*
3 - Possui experiência em alguma solução com abordagem UTM?*
❏ Sim
❏ Não
4 - Cite uma ferramenta ao qual você já trabalhou/conhece e atribua uma nota para ela de
acordo com os seguintes critérios:
65
❏ Compatibilidade*
❏ Custo*
❏ Robustez*
❏ Suporte*
Para cada critério a matriz abaixo foi preenchida de acordo com a experiência do
entrevistado.
Figura 15 - Aplicado aos gestores
Fonte: Google Forms
66
ANEXO B: FORMULÁRIO UTILIZADO PARA COLETA DOS DADOS (COLABORADORES)
Introdução em conformidade com a pesquisa anterior.
1 - Qual o seu Gênero? *
❏ Feminino ❏ Masculino ❏ Outro
2 - Qual a sua faixa etária? *
❏ 18-25 ❏ 26-33 ❏ 34-41 ❏ 42-50 ❏ 50+
3 - Em qual estado (UF) você trabalha? *
4 - Qual o seu grau de formação profissional? *
❏ Ensino Médio ❏ Formação Superior - Graduação (Cursando) ❏ Formação Superior - Graduação (Completa) ❏ Pós-graduação ❏ Mestrado ❏ Doutorado
5 - Você possui quantos anos de experiência? *
6 - Em qual cargo você trabalha atualmente? *
7 - Qual o tamanho da empresa/filial em que você está trabalhando? *
❏ Micro (até 9 empregados); ❏ Pequena (de 10 a 49 empregados); ❏ Média (50 a 99 empregados); ❏ Grande (mais de 100 empregados).
8 - Defina o grau de importância que cada um dos critérios abaixo exerce no que diz respeito a funcionalidades que uma ferramenta de segurança baseada em UTM deve apresentar para atender a empresa PROPEG. *
67
Figura 16 - Aplicado aos colaboradores
Fonte: Google Forms 68
