Pular para conteúdo

Procedimentos de Segurança

Info

Consulte também o tópico Boas Práticas - Segurança.

Procedimentos de segurança para o operador ou oficial de segurança do HSM:

  1. Seguir o Procedimento de Instalação do Manual de Configuração ao receber o equipamento;
  2. Alterar o PIN default dos smart cards logo após a formatação;
  3. Alterar imediatamente a senha default de autenticação do operador especial master do HSM e depois alterar periodicamente;
  4. Criar usuários do tipo operador para cada administrador individual do HSM. Isto fará com que as operações administrativas sejam individualizadas e registradas nas trilhas de auditoria do HSM (logs);
  5. Verificar o código de segurança OEM imediatamente após a Inicialização, para atestar a integridade do equipamento;
  6. Distribuir os cartões do M de N para partes distintas;
  7. Configurar o HSM para o modo de operação correto (NRM, RM1 ou RM2) de acordo com a política de segurança local;
  8. Verificar com frequência as relações de confiança entre os usuários;
  9. Inspecionar o módulo com frequência razoável para detectar evidências de violação em três áreas do equipamento:
    1. etiquetas de lacre adeviso, localizadas na laterais e o(s) lacre(s) metálico(s), na parte traseira;
    2. aberturas de ventilação, localizadas na parte dianteira e traseira;
    3. portas físicas de leitora de smart card, vídeo e teclado na parte dianteira;
  10. Verificar com frequência razoável o código de segurança OEM;
  11. Estabelecer política de extração, análise e retenção sistemática de logs
  12. Estabelecer política de backup da base de chaves do HSM, usando senha forte para proteção do arquivo de backup;

Comportamento do operador relevante à operação segura do HSM:

  1. Usar senha forte para autenticação remota via API;
  2. Retirar o smart card da leitora após o uso;
  3. Manter o console local logicamente travado (locked shell) quando não é usado;
  4. Acompanhar o uso de recursos do HSM (CPU e memória) em momentos distintos do ciclo diário de uso (horas de pico, de inatividade, etc);