Qualquer gestor de TI sabe que o maior problema de segurança não são os hackers, nem as falhas de segurança dos sistemas, nem as brechas: são as pessoas que trabalham em uma organização. Mas uma ressalva importante neste início: lógico que não estamos falando para você se livrar das pessoas – estamos dizendo a você que é necessário ir além do que gestores de TI fazem hoje para resolver os problemas envolvendo os usuários e a segurança.
Tradicionalmente, o gestor de TI relega seus usuários ao posto de… usuários. Pouco envolve seus colegas –funcionários da mesma empresa – nos processos necessários para a manutenção da segurança da informação. E feliz ou infelizmente, boa parte das falhas de segurança acontece pelo desconhecimento ou maus procedimentos das pessoas.
Um exemplo clássico disso é o caso da gigante americana Target – cujos funcionários terceirizados, ponto inicial da invasão- tinham acesso com privilégios superiores aos necessários. Outro exemplo clássico são os e-mails de phishing, o mau uso dos equipamentos portáteis… a lista é longa. Mas o que o gestor de TI pode efetivamente fazer para mitigar o risco do uso da engenharia social pelos cibercriminosos?
A primeira ação é estreitar os controles. E isso não significa simplesmente limitar o acesso à web. É preciso contar com tecnologias específicas que auxiliem no monitoramento e gestão dos dados gerados pelos próprios usuários. E, para você ter uma ideia, em 2013 produzimos 4,4 zettabytes de dados, de acordo com um estudo publicado em abril passado pela EMC.
Isso é muita coisa – e aposto que o ambiente interno da sua organização deve ter visto, nos últimos anos, o crescimento exponencial do storage para armazenamento de arquivos produzidos pelas pessoas. Como controlar o que é sensível e o acesso em um universo de dados? Hoje existem tecnologias específicas para isso, que trabalham numa camada invisível dentro da organização, e cujo impacto de implementação é enorme.
Para além das ferramentas, é preciso também que o gestor de TI seja proativo e adote uma postura diferenciada em relação ao usuário. É importante ter campanhas educacionais para mostrar ao usuário de TI o que fazer e como usar os recursos. Mas há uma ideia mais interessante, que não é exatamente nova, e que poderia ser utilizada em segurança, inspirada no "Chaos Monkey", criado pela Netflix.
Em 2010, a empresa apresentou uma solução interessante para testar a sua tecnologia: um software que desativa aleatoriamente instâncias e serviços dentro da arquitetura da empresa, com o objetivo de testar a reação da empresa a falhas. Agora imagine aplicar o mesmo conceito em segurança da informação.
Imagine testar o comportamento do seu usuário e da sua equipe de segurança preparando uma série de testes: e-mails de phishing com diferentes tipos de engenharia social; explorando brechas nos controles de firewall, entre outros exemplos. Demonstrar efetivamente aos usuários o que estão fazendo de errado e, mais do que isso, comunicar diretamente àqueles que realmente "caíram" nas armadilhas é muito mais efetivo do que as campanhas educacionais.
Do mesmo modo, ativar supostas invasões em falhas de segurança encontradas no seu ambiente de rede vai mostrar na prática à sua equipe de segurança as fraquezas encontradas. E é essa a nossa proposta para os gestores de TI: se você quer mostrar ao seu time e aos seus usuários o quão séria pode ser uma falha de segurança que começa com um clique num e-mail, esse é o melhor tipo de ferramenta. Se os hackers utilizam a engenharia social, por que não usarmos um tipo de engenharia social reversa para expor e corrigir as falhas? Tenho certeza de que isso vale por várias palestras, reuniões e comunicados internos.
Carlos Rodrigues, country manager da Varonis
Blog de Assuntos ligados a T.I e Segurança da Informação
Wednesday, 30 July 2014
Monday, 21 July 2014
Pesquisa mostra que 84% dos incidentes de serviços de TIC não estão cobertos por contratos de suporte técnico
Dados publicados nesta quinta-feira, 17, revelam que apenas 16% dos 91 mil incidentes relacionados a serviços de Tecnologia da Informação e Comunicação (TIC) registrados pelos centros de serviços da Dimension Data em 2013 estão ligados ao dispositivo em si, enquanto os outros 84% dos incidentes foram registrados como não sendo dos aparelhos, mas sim de erros humanos, falhas na telecomunicação ou questões relacionadas ao ambiente.
A categoria com maior número de incidentes de TIC é a de erros humanos, com aproximadamente um terço de todos os incidentes – 6% de erros de configuração e 26% de falhas humanas – que poderiam ser possivelmente evitadas.
De acordo com o relatório anual da Dimension Data, Network Barometer Report divulgado hoje, essas estatísticas são preocupantes porque a maior parte destes incidentes está fora do suporte tradicional do provedor, e por isso devem ser resolvidos pelas próprias organizações.
Publicado pela primeira vez em 2009, a pesquisa deste ano foi compilada a partir de dados de tecnologia reunidos de 91 mil incidentes registrados pela rede de clientes da Dimension Data. Além disso, a provedora de TIC realizou 288 avaliações tecnológicas cobrindo 74 mil aparelhos em organizações de todos os tamanhos e setores da indústria em 32 países.
As falhas que se referem às telecomunicações, ou Redes de Áreas Amplas (Wide Area Network – WAN em inglês), entram como segunda maior causa dos problemas – com 22%. O que não surpreende, levando em conta a complexidade de manutenção e gestão de vários diferentes componentes de uma rede geograficamente dispersa.
Em terceiro lugar no relatório da Dimension Data de causas mais frequentes de incidentes, estão os problemas físicos de ambiente, como falta de energia, falhas no ar-condicionado, problemas com controle de temperatura e mais. Estes são responsáveis por 15% de todos os incidentes.
E na quarta posição estão os problemas relacionados aos dispositivos, com 14% de todos os incidentes atribuídos ao hardware. Adicionando 2% das falhas atribuídas a bugs em softwares, isso indica que apenas 16% de todos os serviços de incidentes estão sob a responsabilidade dos contratos de suporte dos dispositivos.
"Este último dado revela que a maior parte desses incidentes de serviço não estão relacionados com o dispositivo e não são atendidos pelos contratos de manutenção tradicionais, portanto, precisam ser abordados e resolvidos pelos recursos de suporte interno de cada organização", diz Rich Schofield, diretor de Desenvolvimento de Negócios para Networking da Dimension Data.
"Pela perspectiva de ciclo de vida, pode-se esperar que a taxa de incidentes envolvendo dispositivos obsoletos tende a ser maior do que os dispositivos atuais ou em estado de envelhecimento. Isso porque os dispositivos obsoletos são mais antigos e as opções de manutenção são limitadas. Entretanto, a análise deste ano mostra que a taxa de falhas dos dispositivos em desuso é 1% menor do que equipamentos atuais ou em envelhecimento."
"Nós investigamos a probabilidade dos dispositivos obsoletos vierem a falhar, quando comparado com os dispositivos atuais ou envelhecimento. Nós esperávamos descobrir que os aparelhos mais antigos causassem mais tempo de inatividade, quando eles não conseguem o que fazem os dispositivos atuais e em estado de envelhecimento.
Nós ficamos surpresos quando vimos que os dados dizem o contrário. De fato, o tempo médio de reparação para todos os aparelhos é de 3,4 horas. Discriminado pelo estágio de ciclo de vida da tecnologia, a informação mostra que aparelhos novos levam 48 minutos a mais para serem consertados que a média.
Dispositivos envelhecidos tomam o tempo mais curto pra manutenção – cerca de 42 minutos a menos do que a média. Já o equipamentos obsoletos são mais demorados do que os em envelhecimento em cerca de 3,3 horas, mas ainda substancialmente menos tempo do que os ativos atuais", explica Schofield.
Considerando que a grande maioria dos incidentes de serviços não estão relacionados com os dispositivos de rede e que os requisitos de manutenção para estes aparelhos variam de acordo com estágio do ciclo de vida, Schofield recomenda que a maneira mais eficaz para as organizações melhorarem seus níveis de serviço de rede e garantir o máximo de disponibilidade é investir em sistemas operacionais e os processos de apoio maduros.
"Conhecer os dispositivos e seus estágios do ciclo de vida, poupar estratégias para equipamentos obsoletos, e compreender o impacto potencial na rede se os dispositivos falharem, apoiará uma maior disponibilidade da rede."
A categoria com maior número de incidentes de TIC é a de erros humanos, com aproximadamente um terço de todos os incidentes – 6% de erros de configuração e 26% de falhas humanas – que poderiam ser possivelmente evitadas.
De acordo com o relatório anual da Dimension Data, Network Barometer Report divulgado hoje, essas estatísticas são preocupantes porque a maior parte destes incidentes está fora do suporte tradicional do provedor, e por isso devem ser resolvidos pelas próprias organizações.
Publicado pela primeira vez em 2009, a pesquisa deste ano foi compilada a partir de dados de tecnologia reunidos de 91 mil incidentes registrados pela rede de clientes da Dimension Data. Além disso, a provedora de TIC realizou 288 avaliações tecnológicas cobrindo 74 mil aparelhos em organizações de todos os tamanhos e setores da indústria em 32 países.
As falhas que se referem às telecomunicações, ou Redes de Áreas Amplas (Wide Area Network – WAN em inglês), entram como segunda maior causa dos problemas – com 22%. O que não surpreende, levando em conta a complexidade de manutenção e gestão de vários diferentes componentes de uma rede geograficamente dispersa.
Em terceiro lugar no relatório da Dimension Data de causas mais frequentes de incidentes, estão os problemas físicos de ambiente, como falta de energia, falhas no ar-condicionado, problemas com controle de temperatura e mais. Estes são responsáveis por 15% de todos os incidentes.
E na quarta posição estão os problemas relacionados aos dispositivos, com 14% de todos os incidentes atribuídos ao hardware. Adicionando 2% das falhas atribuídas a bugs em softwares, isso indica que apenas 16% de todos os serviços de incidentes estão sob a responsabilidade dos contratos de suporte dos dispositivos.
"Este último dado revela que a maior parte desses incidentes de serviço não estão relacionados com o dispositivo e não são atendidos pelos contratos de manutenção tradicionais, portanto, precisam ser abordados e resolvidos pelos recursos de suporte interno de cada organização", diz Rich Schofield, diretor de Desenvolvimento de Negócios para Networking da Dimension Data.
"Pela perspectiva de ciclo de vida, pode-se esperar que a taxa de incidentes envolvendo dispositivos obsoletos tende a ser maior do que os dispositivos atuais ou em estado de envelhecimento. Isso porque os dispositivos obsoletos são mais antigos e as opções de manutenção são limitadas. Entretanto, a análise deste ano mostra que a taxa de falhas dos dispositivos em desuso é 1% menor do que equipamentos atuais ou em envelhecimento."
"Nós investigamos a probabilidade dos dispositivos obsoletos vierem a falhar, quando comparado com os dispositivos atuais ou envelhecimento. Nós esperávamos descobrir que os aparelhos mais antigos causassem mais tempo de inatividade, quando eles não conseguem o que fazem os dispositivos atuais e em estado de envelhecimento.
Nós ficamos surpresos quando vimos que os dados dizem o contrário. De fato, o tempo médio de reparação para todos os aparelhos é de 3,4 horas. Discriminado pelo estágio de ciclo de vida da tecnologia, a informação mostra que aparelhos novos levam 48 minutos a mais para serem consertados que a média.
Dispositivos envelhecidos tomam o tempo mais curto pra manutenção – cerca de 42 minutos a menos do que a média. Já o equipamentos obsoletos são mais demorados do que os em envelhecimento em cerca de 3,3 horas, mas ainda substancialmente menos tempo do que os ativos atuais", explica Schofield.
Considerando que a grande maioria dos incidentes de serviços não estão relacionados com os dispositivos de rede e que os requisitos de manutenção para estes aparelhos variam de acordo com estágio do ciclo de vida, Schofield recomenda que a maneira mais eficaz para as organizações melhorarem seus níveis de serviço de rede e garantir o máximo de disponibilidade é investir em sistemas operacionais e os processos de apoio maduros.
"Conhecer os dispositivos e seus estágios do ciclo de vida, poupar estratégias para equipamentos obsoletos, e compreender o impacto potencial na rede se os dispositivos falharem, apoiará uma maior disponibilidade da rede."
Tuesday, 15 July 2014
Senado discute responsabilidade solidária entre fornecedor e sites de compra coletiva
O Senado realiza um esforço concentrado na próxima semana para exame de projetos relacionados a temas diversos, como o do Código de Defesa do Consumidor. Para o exame dessas matérias, porém, os senadores precisam antes votar três medidas provisórias que trancam a pauta do Plenário, com prazo de vigência a vencer na primeira semana de agosto.
Uma das alterações no Código de Defesa do Consumidor (Lei 8.078/1990) contempla o Projeto de Lei do Senado (PLS) 281/2012 que regulamenta as compras pela internet, ao estabelecer regras de divulgação dos dados do fornecedor e a localização física do negócio virtual com mais clareza na descrição dos produtos vendidos. O texto prevê ainda a responsabilização solidária entre o site de compra coletiva e o fornecedor do produto ou serviço ofertado.
O relator da matéria na Comissão Temporária de Modernização do código, Ricardo Ferraço observa, ainda, que seu relatório amplia o poder dos Procons, dando-lhes autonomia para intermediar a conciliação entre vendedor e comprador e até negociar a devolução de valores, quando for o caso. A ideia é desafogar a Justiça com esse tipo de demanda.
Uma das alterações no Código de Defesa do Consumidor (Lei 8.078/1990) contempla o Projeto de Lei do Senado (PLS) 281/2012 que regulamenta as compras pela internet, ao estabelecer regras de divulgação dos dados do fornecedor e a localização física do negócio virtual com mais clareza na descrição dos produtos vendidos. O texto prevê ainda a responsabilização solidária entre o site de compra coletiva e o fornecedor do produto ou serviço ofertado.
O relator da matéria na Comissão Temporária de Modernização do código, Ricardo Ferraço observa, ainda, que seu relatório amplia o poder dos Procons, dando-lhes autonomia para intermediar a conciliação entre vendedor e comprador e até negociar a devolução de valores, quando for o caso. A ideia é desafogar a Justiça com esse tipo de demanda.
Friday, 11 July 2014
F-Secure lança novo aplicativo na nuvem 4 em 1
A F-Secure apresenta o aplicativo Freedome que se propõe a resolver quatro dos maiores desafios de privacidade e segurança online. Com ele, os usuários podem navegar anonimamente com conexão segura, livre de rastreamento e protegida contra malwares. Baseado na nuvem, o aplicativo também não coleta dados pessoais e nem requer registro, por isso os usuários são anônimos até para a F-Secure.
O Freedome tem design intuitivo, informativo e simples. É um produto de segurança e privacidade, independente de navegador, que está totalmente habilitado pela segurança na nuvem, garantindo atualização constante.
As revelações de Snowden mostraram que para conseguir privacidade online e segurança é preciso muito mais que senhas fortes. Coleta de endereços de IP dos usuários, informações sobre localização e uso de cookies de rastreamento, estão entre algumas das ações realizadas pelo governo dos Estados Unidos. Mas, além disso, os usuários também estão expostos ao rastreamento por anunciantes.
Característica do Freedome:
1. Conexão criptografada segura. Ao usar uma conexão sem criptografia, o tráfego de email e as interações online do usuário podem ser espionadas. Rede pública de WiFi, por exemplo, não é segura, mesmo quando requer senha. Hackers podem roubar dados de logins e outras informações pessoais ou atrair usuários desavisados para suas próprias redes WiFi. O Freedome utiliza a tecnologia VPN (Virtual Private Network) para proteger a privacidade dos usuários com criptografia, até mesmo em redes públicas de WiFi. É como ter o "https" para todos os sites visitados.
2. Navegação livre de rastreamento e coleta de dados. Atualmente o usuário é rastreado a todo momento e tem suas preferências de navegação e cliques coletados pelos sites, mecanismos de busca e aplicativos que utiliza. O Freedome mantém o usuário anônimo bloqueando aplicativos rastreadores e evitando que anunciantes tenham acesso aos seus dados.
3. Impede a localização do usuário. Todo computador ou dispositivo móvel possui um endereço IP único que fornece a localização física geral, assim como sistema operacional, navegador e outros dados. O Freedome encobre o endereço IP do usuário com um IP da F-Secure originado em diferentes países, evitando que a localização do usuário possa ser identificada. Atualmente os usuários encontram como opção de localização os Estados Unidos, Reino Unido, Alemanha e Finlândia. Novos países serão incluídos em breve.
A possibilidade de escolher a localização virtual significa que viajantes e expatriados podem acessar o conteúdo do seu próprio país, algo que poderia ser restrito quando se está fora de sua origem. E alguns sites de e-commerce inflam seus preços para hotéis e passagens aéreas, por exemplo, dependendo da localização do usuário. Com o Freedome, os usuários podem estar em lugares completamente diferentes e livres dos limites geográficos.
O Freedome tem design intuitivo, informativo e simples. É um produto de segurança e privacidade, independente de navegador, que está totalmente habilitado pela segurança na nuvem, garantindo atualização constante.
As revelações de Snowden mostraram que para conseguir privacidade online e segurança é preciso muito mais que senhas fortes. Coleta de endereços de IP dos usuários, informações sobre localização e uso de cookies de rastreamento, estão entre algumas das ações realizadas pelo governo dos Estados Unidos. Mas, além disso, os usuários também estão expostos ao rastreamento por anunciantes.
Característica do Freedome:
1. Conexão criptografada segura. Ao usar uma conexão sem criptografia, o tráfego de email e as interações online do usuário podem ser espionadas. Rede pública de WiFi, por exemplo, não é segura, mesmo quando requer senha. Hackers podem roubar dados de logins e outras informações pessoais ou atrair usuários desavisados para suas próprias redes WiFi. O Freedome utiliza a tecnologia VPN (Virtual Private Network) para proteger a privacidade dos usuários com criptografia, até mesmo em redes públicas de WiFi. É como ter o "https" para todos os sites visitados.
2. Navegação livre de rastreamento e coleta de dados. Atualmente o usuário é rastreado a todo momento e tem suas preferências de navegação e cliques coletados pelos sites, mecanismos de busca e aplicativos que utiliza. O Freedome mantém o usuário anônimo bloqueando aplicativos rastreadores e evitando que anunciantes tenham acesso aos seus dados.
3. Impede a localização do usuário. Todo computador ou dispositivo móvel possui um endereço IP único que fornece a localização física geral, assim como sistema operacional, navegador e outros dados. O Freedome encobre o endereço IP do usuário com um IP da F-Secure originado em diferentes países, evitando que a localização do usuário possa ser identificada. Atualmente os usuários encontram como opção de localização os Estados Unidos, Reino Unido, Alemanha e Finlândia. Novos países serão incluídos em breve.
A possibilidade de escolher a localização virtual significa que viajantes e expatriados podem acessar o conteúdo do seu próprio país, algo que poderia ser restrito quando se está fora de sua origem. E alguns sites de e-commerce inflam seus preços para hotéis e passagens aéreas, por exemplo, dependendo da localização do usuário. Com o Freedome, os usuários podem estar em lugares completamente diferentes e livres dos limites geográficos.