Frases que assustam os profissionais de segurança

Diante de algumas constatações de práticas e rotinas, fica fácil saber quais são os problemas com segurança nas empresas. É o seu caso?

As cenas são clássicas. Uma criança com a camiseta lambuzada de chocolate afirma, categórica: “Não fui eu!”. Ou então o telefone toca e a mãe assegura a você: “Não há com o que se preocupar.” Ou ainda um administrador de sistemas que carrega uma caixa de fitas de back up garante: “Em poucos minutos todas as informações estarão recuperadas”. Em alguns casos, as primeiras palavras que você ouve – apesar da distância entre elas e a verdade – são o suficiente para dizer tudo o que se precisa saber.

O mesmo se aplica ao mundo da segurança da informação. Algumas palavras soam reconfortantes, mas sabemos que elas frequentemente apontam os problemas de segurança interna, de recursos técnicos ou com as pessoas e processos envolvidas na proteção a sistemas.

Conheça a seguir algumas das frases “reveladoras de segredos” que assinalam a iminência de problemas na segurança. E boa sorte...

1. Nós temos uma cultura de segurança
“Não, vocês não tem” é a resposta imediata dos profissionais. Mesmo que apenas mentalmente. Esse é o tipo de frase que surge de empresas que começaram com cinco pessoas – no tradicional modelo familiar de negócios – e, conforme cresceram, num piscar de olhos se viram operando com milhares de pessoas, sem governança ou políticas. Alguns trocados e sua “cultura de segurança” são suficientes para comprar um bom café expresso, em um canto sossegado que permita olhar para o horizonte e descobrir quanto trabalho há pela frente.

O simples fato é que sem diretrizes de suporte ou mecanismos de retorno (feedbacks), a segurança é definida diferentemente por cada um e não é verificada por ninguém. Não existem métricas para adequação com a “cultura” e uma “cultura de segurança” é ocultada por uma prática de “faça o seu trabalho”.

Se existem regras, escreva-as. Se a tecnologia é colocada em ação para implementar ou monitorar as regras, também escreva isso. Se as pessoas quebrarem as regras, cumpra o que ficou estabelecido. Se as regras prejudicarem a legitimidade dos negócios quando cumpridas, mude-as. É simples assim.

2. A segurança de TI é a segurança da informação
A segurança da informação não é a mesma coisa do que a segurança em tecnologia da informação. Se o termo “segurança da informação” é usado da mesma forma que “segurança de TI”, isso invariavelmente significa que ninguém tem tomado decisões fundamentalmente não técnicas de segurança que afetam os departamentos - TI, recursos humanos, jurídico, auditoria e talvez outros da organização. E, portanto, essas áreas estão tentando adivinhar o que os responsáveis querem dizer.

Junte-se àqueles que têm influência sob os departamentos listados acima e decida se a informação (não documentos em papel ou equipamentos) é um ativo da companhia, como os computadores e as mesas. Decida se a empresa autoriza as pessoas a realizarem jobs, acessos lógicos e físicos a informações como indivíduos.

Tome essas decisões políticas em grupo. Depois talvez haverá mais tempo para decidir “como” gerenciar a segurança - ao invés de tentar adivinhar...

3. Isso não se aplica ao chefe
Apesar de isso estar se tornando um problema menor em empresas públicas,  ocasionalmente um executivo simplesmente se recusa a seguir diretrizes de segurança que ele mesmo aprovou. A menos que você esteja preparado para meticulosamente documentar todas as "escapadas" seguindo o modelo de perícia forense e depois entregá-las para os diretores ou à polícia (ou então simplesmente pedir demissão), prepare-se para contornar a situação.

A maior parte das maçãs podres pode ser gerenciadas por meio da aplicação do senso maquiavélico que possuem de influenciar o relacionamento dos outros: eles pelo menos devem aparentar que lideram pelo exemplo, enquanto continuam a fazer qualquer coisa que fazem de portas fechadas. Poucos vão admitir isso, mas muitas organizações simplesmente colocam no orçamento e instalam um linha DSL para acesso de "convidados" nas salas dos principais executivos e fecham os olhos para qualquer coisa que é plugada nessa linha. Essa não é a solução desejável, mas se mesmo assim esses executivos resolverem assinar os documentos exigidos pela lei Sarbanes-Oxley, o resto vem da habilidade de negar conhecimento dos profissionais de segurança.

4. Nosso departamento de segurança da informação fica com a equipe de TI
Títulos não importam. Um relatório de um especialista em segurança ao diretor de TI é sempre o de um administrador de segurança, mesmo se aquela pessoa tem o cargo de information security officer.

O problema é que no mundo corporativo a palavra "officer" geralmente significa que aquele profissional tem autoridade para verificar e monitorar se todas as técnicas e processos que controlam informações protegidas são eficientes. Um administrador de segurança de TI é normalmente envolvido em desenhar o controle técnico e por essa razão não pode se “auto-auditar” ou certificar-se de que a TI está fazendo a coisa certa, particularmente se ele reporta para alguém dentro da TI. O profissional de segurança com o cargo de "officer" deve sempre se reportar no mesmo nível ou como superior ao diretor de TI.

5. Nós temos uma política de senhas
Falando diretamente, um documento que especifica o tamanho, a forma e a complexidade de uma senha é um padrão técnico ou um procedimento, não uma política. Política é um diretório para o direcionamento de negócios, algo como “indivíduos devem ser identificados unicamente e autenticados prioritariamente para ter a condição de acessar os ativos da companhia”. Observe que este exemplo de política envolve “o que” fazer a respeito das pessoas e acessos, não “como” construir uma sequência de tipos de caracteres.

6. Nossos executivos têm cópias de todas as senhas
Apesar da ideia fazer um jovem estudante desmaiar, existem de fato gerentes que demandam que seus funcionários diretos revelem suas senhas individuais. A explicação para isso é sempre: “E se alguém é demitido ou está doente? Como nós poderíamos encontrar os seus documentos?”.
Quando isso acontece, a única estratégia efetiva é dizer a quem pede tal coisa: “Se você fizer isso, então você é um suspeito em qualquer situação negativa que surgir. Você nunca estará apto a demitir ninguém porque você também será um suspeito”. Ou então sempre se pode resumir isso tudo em um simples: "Cresce, amigo!".

7. A marca X é nosso padrão
Eu não tenho nada contra os principais fornecedores de hardware do mercado, mas quando o pessoal de compras de empresas diz: “Nosso padrão é a Dell” (ou qualquer outra marca), o que eles realmente estão dizendo é: “Nós jogamos nossos padrões de segurança pela janela em troca de descontos e agora nós compramos qualquer coisa que o fornecedor oferece”. É o equivalente às compras daquela sua tia-avó em uma loja com preços superfaturados, ficando contente porque “um produto está com desconto de 75%”.

A ponto é que, tanto aquela sua tia-avó quando o pessoal de TI no mundo real têm outras decisões a tomar e os PCs são commodity. Está tudo certo escolher o produto de um vendedor e manter os pedidos com ele por um tempo. Mas um fabricante ainda não é um padrão técnico e existe um problema em misturar isso se ninguém fizer a lição de casa.

Quando um fabricante faz mudanças na linha de software ou de produto – especialmente quando isso parte de um fabricante de equipamentos de rede e segurança como a Cisco Systems –, é importante ter requerimentos funcionais claramente definidos para avaliar se os produtos ainda funcionarão como desejado. Quando os clientes não sabem o que querem, qualquer barganha parece ser o que você precisa.

8. Ei, de onde veio isso?
É concebível que aqueles usuários altamente técnicos deveriam organizar seus próprios equipamentos bem como dar suporte a eles. Por outro lado, isso significa que a área de TI e o pessoal de suporte foram nocauteados por fabricantes de hardware que fornecem apenas um número 0800 que nunca funciona. Políticas de segurança devem estar presentes em todo lugar, inclusive afixadas na parede dos banheiros, atrás do papel higiênico de uma organização.  A política de segurança na companhia pode também estar exposta ao lado das toalhas do banheiro. O importante é que sejam claras e do conhecimento de todos.

Resolver isso é um problema fundamental de respeito. Começar pela governança básica e deixando claro que há regras, com muito esforço e comunicação, isto vai pelo menos tornar a “cultura da segurança” uma questão resolvida.

9. Nós enviamos as regras do firewall para...
A maioria dos administradores de rede se encolhe de medo com as palavras mencionadas acima. Ainda assim, muitos ainda vão enviar, gratuitamente, emails com cópia das regras de firewall. Pior ainda, eles têm um fabricante de equipamentos ou um consultor freelancer que configura o firewall para eles e mantêm para si a única cópia das regras. Essas regras, se elas apresentam complexidade, provêem um mapa detalhado do esquema de segurança da companhia, com informações importantes a respeito da identidade das redes internas e serviços e como torná-los um alvo.

Nenhum profissional sério de segurança sairia com uma cópia das regras de firewall de alguém sem uma requerimento específico para fazer isto. Um competente auditor de sistemas da informação certificado ou outro auditor vai revisar as regras de firewall diretamente no sistema do administrador e não levar consigo. Se você vir uma cópia de suas regras corporativas de firewall colocadas em um relatório de auditoria, especialmente um público, prepare-se para refazer o projeto de IP... e chame seus advogados.