Análise da sistemática de homologação e certificação de produtos cibernéticos : estudo de caso comparativo entre empresas e órgãos reguladores

Abstract

Esta dissertação realiza um diagnóstico da sistemática de homologação e certificação de produtos cibernéticos através da comparação com o Modelo de Referência Mecatrônico (MRM), para o desenvolvimento de produtos mecatrônicos, proposto por Barbalho (2006). Discute o conceito de produto cibernético como produto mecatrônico, destacando a existência desses produtos em infraestruturas de Tecnologias de Informação e Comunicação (TIC), assim como a necessidade de proteger tais produtos de ataques cibernéticos. Descreve os processos das fases de homologação (9) e validação (10) do MRM, assim como os documentos gerados ao final de cada uma. Fases estas, que serão utilizadas na elaboração dos formulários para realização do diagnóstico do estudo de caso em 5 empresas incluindo tanto o setor público como o privado. Utiliza dois formulários para a realização do diagnóstico: Formulário de Análise do Processo de Homologação do Produto e Formulário de Análise do Processo de Certificação do Produto, os quais são baseados em pergunta(s)/resposta(s). Apresenta-se um terceiro Fomulário de Análise baseado nos requisitos de segurança do produto descritos na Norma ISO/IEC_15408: Common Criteria for Information Technology Security Evaluation (2012), abordando as seguintes áreas: Perfil de Proteção, Desenvolvimento do produto, Documentação, Ciclo de Vida, Avaliação da Segurança, Testes, Análise de Vulnerabilidades e Níveis de garantia para avaliação do produto. O trabalho utiliza dois procedimentos de pesquisa: a pesquisa bibliográfica e o estudo de caso. A utilização do diagnóstico serviu para identificar as práticas de homologação e certificação empregadas pelas empresas e órgãos públicos do estudo de caso, sendo a base para sugerir melhorias para as empresas analisadas e diretrizes para órgãos públicos realizarem a aquisição de tais produtos. Verificou-se que o MRM, com algumas adaptações, incluindo requisitos previstos nas Normas ISO/IEC_15408 e IEEE 1012, pode ser aplicado para a homologação e certificação de produtos cibernéticos. Dessa forma, isso contribui na elaboração de estratégias de certificação e homologação de produtos cibernéticos. Além disso, permitiu identificar as lacunas na bibliografia pesquisada, como a inexistência de uma padronização para homologar e certificar produtos cibernéticos. Como direções para pesquisas futuras, sugere-se a exploração dos tipos de testes realizados pelos laboratórios acreditados, o que requer uma análise mais profunda e específica.