O Tribunal de Justiça do Estado do Rio de Janeiro, o Ministério Público estadual, a Secretaria de Segurança Pública e as Polícias Civil e Militar do Rio assinaram nesta terça-feira uma resolução conjunta que regulamenta o uso do Sistema Guardião nas interceptações telefônicas e de dados para fins de investigação criminal. Utilizado pelas Polícias Civil e Militar, o Sistema Guardião consiste no monitoramento de dados e voz , na interceptação de voz via telefonia, rádio e dados da internet, todos com acesso seguro e informações criptografadas.
© 1996 - 2014. Todos direitos reservados a Infoglobo Comunicação e Participações S.A. Este material não pode ser publicado, transmitido por broadcast, reescrito ou redistribuído sem autorização.
Blog de Assuntos ligados a T.I e Segurança da Informação
Wednesday, 7 May 2014
Monday, 5 May 2014
Há senhas de privilégio que estão há décadas circulando no data center
Mesmo naquelas empresas mais organizadas, e para as quais TI é um aspecto altamente crítico, ainda é pouco comum a prática de controles efetivos sobre as credenciais privilegiadas.
Em outras palavras, até mesmo nos grandes bancos, operadoras de telecom e repartições centrais dos governos, ainda é comum existir uma quantidade desconhecida de senhas, procedimentos de privilégio ou algoritmos que dão acesso a um indivíduo para que ele manipule, ou visualize, toda a sorte de dados, aplicações de negócios e ferramentas de processo no ambiente de TI.
As credenciais privilegiadas, em grande parte produzidas e utilizadas sem controle, são dispensadas de qualquer restrição de acesso, e liberam o usuário para ações em sistemas críticos, quase sempre sem qualquer supervisão ou registro.
Com essa salvaguarda lógica, uma pessoa ou aplicação pode alterar configurações, instalar ou desinstalar programas , mudar os parâmetros de segurança, ativar ou desativar ferramentas, visualizar o que quiser e ainda adulterar apagar os logs que permitiriam seu mapeamento reverso.
Ao se habilitar com uma senha de acesso a dados, o usuário ganha, compulsoriamente, poderes para acessar até 98% do ambiente tecnológico de uma empresa, segundo levantamento da Lieberman, uma das lideres globais em tecnologia de controle de privilégio.
Estamos falando, nesse caso, de acesso direto a servidores Windows, Linux, mainframe, diretórios, roteadores, aplicações de negócio, bases de dados e sistemas de infraestrutura, backup e etc. Por aí, podemos ter uma ideia do alto custo desses descontrole.
Como é comum acontecer, explicações para tal descontrole existem para todos os gostos. Em primeiro lugar, está o dinamismo e a rapidez com que a TI avança, abarca mais funções e mais pessoas, e vai ganhando uma complexidade que tende naturalmente pra o descontrole.
Assim, quando um gestor se dá conta, a situação já está instalada e, quanto mais robusto o ambiente, maior a dificuldade de se dar um freio de arrumação.
Por diferente que possa ser o diagnóstico, o certo que o gestor de TI enfrenta, desde sempre, um dilema muito difícil: como negar sistematicamente o acesso – ou atrasá-lo pelo prazo necessário – quando um funcionário da empresa (ou mesmo um terceirizado) necessita imediatamente interagir com a estruturara de TI para garantir o funcionamento do negócio?
Vejamos o caso da operadora de telecom, que é uma situação típica. É viável regular estritamente o acesso, sem comprometer serviços de ativação, assistência técnica e garantias de SLA que envolvem milhares ou até dezenas de milhares de aplicações e pessoas?
É para enfrentar esse dilema que equipes de especialistas brasileiros da NetBR, com apoio de companhias como Lieberman, ObserveIT, Balabit e Viewfinity, vêm trabalhando há cinco anos na construção de uma estratégia de controle de privilégio baseada em ferramentas e práticas cujo sucesso já e atestado no Brasil por alguns bancos e operadoras de telecom, hoje reconhecidas como vanguarda mundial no assunto.
Ao longo desse processo, constatou-se uma dificuldade extra na solução do problema, ao se ressaltar que não somente pessoas acessam contas privilegiadas. Dentro de uma organização, é muito provável que existam múltiplas aplicações configuradas para acessar bases de dados, mainframe, servidores e outros sistemas críticos utilizando credenciais privilegiadas.
Um dos clientes brasileiros comenta que optou por não mudar as senhas de suas credencias privilegiadas devido à dificuldade de atualizar as aplicações de negócio.
A preocupação do cliente era a de, ao propagar a nova senha para as diversas aplicações, poderia haver uma paralisação do sistema, ou de parte do sistema, por conta de alguma senha esquecida ao longo do tempo. Preocupação esta que decorre da grande falta de visibilidade das empresas em relação a que senhas existem, quem são seus usuários, grupos de acesso, credencias, contas, etc…
Preocupação, portanto, muito pertinente. Mas a experiência recente mostra que há saída e que ela pode ser adaptar às circunstâncias da empresa. Ou seja, as novas práticas e ferramentas de controle podem ser implementadas em curto prazo – a custa de alto investimento e rigoroso controle de riscos – ou ir sendo implementadas de forma gradual, com medição de ganhos a cada passo, de modo a justificar o investimento paulatino à luz das métricas de ROI.
É papel da consultoria, nessa área, garantir os seguintes requisitos:
1 Identificar, rastrear e produzir um inventário completo das contas privilegiadas que estão ativas em seu ambiente
2 Fazer cumprir as normativas de segurança e políticas avançadas de senhas com troca de senhas randômicas, de forma periódica.
3 Controlar o acesso e ter certeza de que somente o pessoal autorizado terá acesso aos sistemas críticos.
4 – Implementar a monitoração, quando um sistema crítico está sendo acessado, sob visão de Segurança e de Nível de Serviço.
5 – Apresentar uma solução que seja transparente ao ambiente, á operação e, principalmente, ao Negócio.
André Facciolli, diretor da NetBR
Saturday, 3 May 2014
EUA vão estender proteção à privacidade de dados a cidadãos não americanos
Na tentativa de tirar de pauta, tanto da imprensa nacional quanto da internacional, o assunto sobre o polêmico programa de espionagem da Agência de Segurança Nacional dos EUA (NSA), a Casa Branca divulgou na última quinta-feira, 1º, um relatório o qual recomenda que a proteção à privacidade de dados dos Estados Unidos seja estendida para não americanos.
O relatório, que é parte do plano de revisão do programa de vigilância da NSA, revelado pelo ex-colaborador da agência de inteligência Edward Snowden, cujo vazamento dos dados deu origem às reportagens, toca em muitas das preocupações em relação à privacidade dos usuários de internet levantadas pela União Europeia.
Para muitos analistas políticos da imprensa americana, porém, o anúncio parece ter sido programado para tirar um pouco da tensão antes da reunião, nesta sexta-feira, 2, do presidente Barack Obama com a chanceler alemã Angela Merkel — no ano passado, um diretor da NSA teria reconhecido implicitamente em um encontro com representantes alemães que seus agentes espionaram um telefone celular da chanceler.
A divulgação também coincide com a visita do presidente da Comissão Europeia, José Manuel Durão Barroso, ao Vale do Silício, na Califórnia, berço das maiores empresas de tecnologia do mundo.
O relatório, cujo autor principal é John Podesta, um alto conselheiro da Casa Branca, faz seis recomendações, embora a maioria precise da aprovação do Congresso Nacional americano para a criação de uma legislação adicional ou revisão das orientações existentes. Mas, em teleconferência com jornalistas, Podesta disse que o trabalho para que a aplicação da Lei de Privacidade de 1974 seja estendida a pessoas não americanas começaria imediatamente e deve ser concluído dentro de seis a 12 meses.
Na entrevista, Podesta disse que o presidente Obama foi surpreendido sobre as atividades da NSA e ressaltou que "as tecnologias não são utilizadas apenas pela comunidade de inteligência, mas agora, de forma mais ampla, nas esferas pública e privada, pois há muita coleta feita na web, de smartphones e outros sensores". "Você tem uma torrente de dados em todos os lugares", disse ele, numa referência às práticas de empresas como Google e Facebook, que fazem uso das informações que recolhem de seus clientes online.
Mas, se foi bem recebido pela Comunidade Europeia, o relatório é visto com cautela no Vale do Silício, onde as empresas consideram a medida como o início de um esforço do governo americano para regular a forma como eles podem obter lucros com os dados coletados a partir de e-mails e hábitos de navegação dos usuários na web.
Podesta observou que a decisão de estender a privacidade de dados é separada das reforma que Obama pretende fazer nas atividades de inteligência dos EUA no exterior, mas ressaltou que é "um compromisso significativo". Segundo ele, a medida procurará garantir que os departamentos do governo dos EUA e as empresas tratem os dados de estrangeiros com base nas mesmas garantias de privacidade aos americanos "sempre que possível, ou para estabelecer políticas de privacidade alternativas, com as proteções apropriadas e significativas às informações pessoais, independentemente da nacionalidade de uma pessoa".
Big data discriminatório
O relatório também faz recomendações para impedir que empresas usem big data para discriminar pessoas, o que foi recebido com cautela por defensores da privacidade, que se disseram desapontadas pelo governo não ter ido mais longe. "A Casa Branca deveria ampliar a análise das questões relacionadas a big data, incluindo o reconhecimento do papel discriminatório que esta tecnologia pode jogar", disse Jeffrey Chester, do Centro de Democracia Digital, ao jornal britânico Guardian.
"O relatório não conseguiu identificar o complexo de vigilância comercial que tem sido posto em prática pelo Google, Facebook, e muitas outras empresas que têm como base de seu negócio os dados… Na verdade, estamos preocupados que o relatório possa dar o sinal verde para a expansão da coleta de dados, cujo princípio é 'coletar primeiro e se preocupar com a privacidade e a proteção dos consumidores mais tarde'", disse Chester.
Podesta disse que houve, sim, a preocupação sobre como esses softwares podem afetar o acesso das pessoas a empréstimos bancários ou na busca por uma vaga de emprego. "Eles [os softwares de big data] podem parecer neutros, mas não são tão neutros quando colocados juntos." O problema potencial , acrescentou, é que "você está agravando a desigualdade , em vez de abrir oportunidades".
Algumas grandes empresas, incluindo Google, Facebook e Microsoft, se recusaram a comentar o relatório. Mas Michael Beckerman, presidente da Associação de Internet, que reúne essas empresas, chamou o relatório de "um exame útil da tecnologia de big data". Segundo ele, agora que o relatório foi publicado, empresas e governo devem "concentrar a atenção nas prioridades mais urgentes da privacidade dos consumidores norte-americanos, e reformar as leis e as práticas de vigilância do governo por meio da atualização da Electronic Communications Privacy Act [a lei de privacidade cibernética]", disse ele ao New York Times.
O relatório, que é parte do plano de revisão do programa de vigilância da NSA, revelado pelo ex-colaborador da agência de inteligência Edward Snowden, cujo vazamento dos dados deu origem às reportagens, toca em muitas das preocupações em relação à privacidade dos usuários de internet levantadas pela União Europeia.
Para muitos analistas políticos da imprensa americana, porém, o anúncio parece ter sido programado para tirar um pouco da tensão antes da reunião, nesta sexta-feira, 2, do presidente Barack Obama com a chanceler alemã Angela Merkel — no ano passado, um diretor da NSA teria reconhecido implicitamente em um encontro com representantes alemães que seus agentes espionaram um telefone celular da chanceler.
A divulgação também coincide com a visita do presidente da Comissão Europeia, José Manuel Durão Barroso, ao Vale do Silício, na Califórnia, berço das maiores empresas de tecnologia do mundo.
O relatório, cujo autor principal é John Podesta, um alto conselheiro da Casa Branca, faz seis recomendações, embora a maioria precise da aprovação do Congresso Nacional americano para a criação de uma legislação adicional ou revisão das orientações existentes. Mas, em teleconferência com jornalistas, Podesta disse que o trabalho para que a aplicação da Lei de Privacidade de 1974 seja estendida a pessoas não americanas começaria imediatamente e deve ser concluído dentro de seis a 12 meses.
Na entrevista, Podesta disse que o presidente Obama foi surpreendido sobre as atividades da NSA e ressaltou que "as tecnologias não são utilizadas apenas pela comunidade de inteligência, mas agora, de forma mais ampla, nas esferas pública e privada, pois há muita coleta feita na web, de smartphones e outros sensores". "Você tem uma torrente de dados em todos os lugares", disse ele, numa referência às práticas de empresas como Google e Facebook, que fazem uso das informações que recolhem de seus clientes online.
Mas, se foi bem recebido pela Comunidade Europeia, o relatório é visto com cautela no Vale do Silício, onde as empresas consideram a medida como o início de um esforço do governo americano para regular a forma como eles podem obter lucros com os dados coletados a partir de e-mails e hábitos de navegação dos usuários na web.
Podesta observou que a decisão de estender a privacidade de dados é separada das reforma que Obama pretende fazer nas atividades de inteligência dos EUA no exterior, mas ressaltou que é "um compromisso significativo". Segundo ele, a medida procurará garantir que os departamentos do governo dos EUA e as empresas tratem os dados de estrangeiros com base nas mesmas garantias de privacidade aos americanos "sempre que possível, ou para estabelecer políticas de privacidade alternativas, com as proteções apropriadas e significativas às informações pessoais, independentemente da nacionalidade de uma pessoa".
Big data discriminatório
O relatório também faz recomendações para impedir que empresas usem big data para discriminar pessoas, o que foi recebido com cautela por defensores da privacidade, que se disseram desapontadas pelo governo não ter ido mais longe. "A Casa Branca deveria ampliar a análise das questões relacionadas a big data, incluindo o reconhecimento do papel discriminatório que esta tecnologia pode jogar", disse Jeffrey Chester, do Centro de Democracia Digital, ao jornal britânico Guardian.
"O relatório não conseguiu identificar o complexo de vigilância comercial que tem sido posto em prática pelo Google, Facebook, e muitas outras empresas que têm como base de seu negócio os dados… Na verdade, estamos preocupados que o relatório possa dar o sinal verde para a expansão da coleta de dados, cujo princípio é 'coletar primeiro e se preocupar com a privacidade e a proteção dos consumidores mais tarde'", disse Chester.
Podesta disse que houve, sim, a preocupação sobre como esses softwares podem afetar o acesso das pessoas a empréstimos bancários ou na busca por uma vaga de emprego. "Eles [os softwares de big data] podem parecer neutros, mas não são tão neutros quando colocados juntos." O problema potencial , acrescentou, é que "você está agravando a desigualdade , em vez de abrir oportunidades".
Algumas grandes empresas, incluindo Google, Facebook e Microsoft, se recusaram a comentar o relatório. Mas Michael Beckerman, presidente da Associação de Internet, que reúne essas empresas, chamou o relatório de "um exame útil da tecnologia de big data". Segundo ele, agora que o relatório foi publicado, empresas e governo devem "concentrar a atenção nas prioridades mais urgentes da privacidade dos consumidores norte-americanos, e reformar as leis e as práticas de vigilância do governo por meio da atualização da Electronic Communications Privacy Act [a lei de privacidade cibernética]", disse ele ao New York Times.
Thursday, 1 May 2014
OAB-SP questiona resolução do CNJ sobre processo eletrônico
A seccional paulista da Ordem dos Advogados do Brasil (OAB/SP) e a Associação dos Advogados de São Paulo impetraram, no Supremo Tribunal Federal (STF), mandado de segurança solicitando que seja suspensa a eficácia da Resolução 185/2013 do Conselho Nacional de Justiça (CNJ), que "institui o Sistema Processo Judicial Eletrônico (PJe) como sistema de processamento de informações e prática de atos processuais e estabelece os parâmetros para sua implementação e funcionamento".
De acordo com os autos, a resolução impugnada dá prazo de 120 dias aos tribunais para que apresentem cronograma de sua implantação. E veda, a partir de sua vigência, a criação, o desenvolvimento, a contratação ou implantação de sistema ou módulo de processo judicial eletrônico diverso do PJe, admitindo exceções apenas em restritas hipóteses.
A OAB-SP e a associação dos advogados paulistas sustentam que a resolução restringe o acesso à Justiça, ao não dar ao jurisdicionado alternativa que não o sistema para deduzir a reparação dos seus direitos, "uma vez que vedada a utilização de qualquer outro sistema de peticionamento eletrônico".
As duas entidades alegam que o sistema PJe foi imposto pelo CNJ um ano depois de o Tribunal de Justiça do Estado de São Paulo (TJ-SP) investir cerca de R$ 300 milhões na implantação de um novo sistema informatizado, que obrigou os escritórios de advocacia a também fazerem grandes investimentos em equipamento e treinamento de pessoal para as adaptações necessárias. E, um ano depois, o CNJ impede o acesso à Justiça por aquele meio, determinando a adoção do seu PJe.
"Não é razoável que o CNJ modifique a orientação em tão curto espaço de tempo", sustentam. "É ilegal ato coator que obriga os advogados de São Paulo a não mais se utilizarem do sistema adotado do Tribunal de Justiça, impedindo-os de promover estudos, planejamento, desenvolvimento e teste, inviabilizando o pleno funcionamento do sistema eleito originariamente, em detrimento desse essencial serviço à cidadania que é a prestação jurisdicional".
As entidades lembram que o TJ-SP é o maior tribunal do país e, como tal, "enfrentou inúmeros percalços para conseguir informatizar toda a sua estrutura e alcançar o estágio em que se encontra no momento". Por fim, afirmam que a corte paulista não tem previsão orçamentária para implantação do PJe neste ano de 2014.
Após pleitear a concessão de liminar, as entidades pedem, no mérito, a concessão definitiva da segurança para cassar a resolução questionada.
De acordo com os autos, a resolução impugnada dá prazo de 120 dias aos tribunais para que apresentem cronograma de sua implantação. E veda, a partir de sua vigência, a criação, o desenvolvimento, a contratação ou implantação de sistema ou módulo de processo judicial eletrônico diverso do PJe, admitindo exceções apenas em restritas hipóteses.
A OAB-SP e a associação dos advogados paulistas sustentam que a resolução restringe o acesso à Justiça, ao não dar ao jurisdicionado alternativa que não o sistema para deduzir a reparação dos seus direitos, "uma vez que vedada a utilização de qualquer outro sistema de peticionamento eletrônico".
As duas entidades alegam que o sistema PJe foi imposto pelo CNJ um ano depois de o Tribunal de Justiça do Estado de São Paulo (TJ-SP) investir cerca de R$ 300 milhões na implantação de um novo sistema informatizado, que obrigou os escritórios de advocacia a também fazerem grandes investimentos em equipamento e treinamento de pessoal para as adaptações necessárias. E, um ano depois, o CNJ impede o acesso à Justiça por aquele meio, determinando a adoção do seu PJe.
"Não é razoável que o CNJ modifique a orientação em tão curto espaço de tempo", sustentam. "É ilegal ato coator que obriga os advogados de São Paulo a não mais se utilizarem do sistema adotado do Tribunal de Justiça, impedindo-os de promover estudos, planejamento, desenvolvimento e teste, inviabilizando o pleno funcionamento do sistema eleito originariamente, em detrimento desse essencial serviço à cidadania que é a prestação jurisdicional".
As entidades lembram que o TJ-SP é o maior tribunal do país e, como tal, "enfrentou inúmeros percalços para conseguir informatizar toda a sua estrutura e alcançar o estágio em que se encontra no momento". Por fim, afirmam que a corte paulista não tem previsão orçamentária para implantação do PJe neste ano de 2014.
Após pleitear a concessão de liminar, as entidades pedem, no mérito, a concessão definitiva da segurança para cassar a resolução questionada.