Translate

25 agosto 2018

IoT - Riscos & Desafios desta Inovação Disruptiva


A IoT (Internet-of-Things) ou Internet das Coisas é definida pela ISO/IEC como uma conexão de entidades físicas (ou “coisas”) com sistemas de TI através de redes. Segundo estudo realizado pelo Gartner em fevereiro de 2017, até 2020 serão 20,4 bilhões de ‘coisas’ conectadas em todo mundo, e até 2021, de acordo com o IDC, US$ 1,4 trilhão terá sido gasto com investimentos nesse setor. Diante desse cenário, em que diversos dispositivos IoT tornarão nossas vidas mais automatizadas, seguras e convenientes, seria imprudente ignorar a importância da tecnologia na criação de grandes oportunidades de mercado para diferentes setores. De fato, IoT é a tecnologia de ponta que mais impulsionará a transformação dos negócios nos próximos anos, provocando inovações disruptivas na forma como se gera valor na economia e alavancando novos e valiosos mercados emergentes.
Neste contexto, vale destacar a frase de Peter Drucker: “toda inovação significa um risco; qualquer atividade econômica é de alto risco e, não inovar, é muito mais arriscado do que construir o futuro [inovando]”. Porém, enquanto as empresas têm aumentado o foco em tecnologias emergentes como IoT para transformar seus negócios, muitas não avaliam os riscos desta adoção. Na pesquisa KPMG & Forbes de fevereiro de 2018, intitulada: “Disruption is the New Norm”, feita com mais de 200 altos executivos, foi constatado que 46% deles não reavaliaram o acréscimo do risco às suas empresas, em face à adoção da tecnologia IoT. Eles deixaram de mensuram o quanto a adoção da IoT aumenta a potencial superfície de ataque aos seus ambientes de TI. Como resultado, a segurança passa a ser um dos principais desafios à efetivação da IoT no dia a dia das empresas.
Como a segurança ainda não é o foco da IoT, já que é algo novo até para os fabricantes que ainda estão padronizando técnicas de desenvolvimento seguro, entidades como a ABINC (Associação Brasileira de Internet das Coisas), estão criando um comitê para debater a segurança na IoT e contribuir na elaboração e promoção das melhores práticas de segurança. Junto com outras entidades e especialistas do tema ao redor do mundo, como IOTSF, ISF, ISA/IEC, OWASP, ISO/IEC, IISF e CSA, o desafio do grupo é proteger toda a cadeia física e camadas de software para tratamento massivo de dados produzidos pelos dispositivos da Internet das Coisas, além de ajudar a definir aspectos regulatórios e impactos jurídicos advindos da utilização da IoT, como a privacidade e proteção de dados pessoais.
Destaca-se que o Big Data coletado pelos dispositivos IoT abre muitas novas oportunidades de mercado, mas também gera novos riscos, incluindo ataques cibernéticos ou perguntas sobre a propriedade de informações, bem como questões de privacidade. Como resultado, o maior problema enfrentado pela IoT não será a comunicação entre dispositivos ou a coleta e a capacidade de compartilhar dados, mas sim a manutenção segura de dados. A vulnerabilidade global a atos maliciosos no ciberespaço está crescendo à medida que avança a tecnologia IoT e, se nada for feito, a cada vez maior superfície cibernética sujeita a ataques irá tornar o ambiente IoT um verdadeiro "paraíso" para ciberatacantes. 
A falha em proteger um dispositivo IoT pode ter um impacto direto em muitos outros e, portanto, há uma necessidade crescente de se aplicar técnicas para fortalecimento da segurança, de modo a evitar que os riscos desta exposição sejam passados para sistemas mais importantes. Um fator preocupante é a exploração de vulnerabilidades cibernéticas em sistemas de infraestrutura, que está se tornando cada vez mais frequente, uma ameaça crescente à segurança geral das empresas e da sociedade.
Diante do exposto, seguem as cinco principais recomendações de segurança para os que desejam adotar IoT em suas empresas, mitigando os principais riscos:
  1. Considerar os requisitos de segurança na seleção de fornecedores de IoT;
  2. Homologar soluções de IoT em ambiente controlado de testes, segregado do ambiente de produção;
  3. Desabilitar serviços inseguros dos dispositivos IoT e alterar as senhas padrões dos fabricantes;
  4. Incluir os equipamentos no processo de gestão de vulnerabilidades da empresa. Atualizá-los constantemente, sempre que possível;
  5. Segregar as redes do ambiente IoT, preferencialmente em uma rede de gerência que faça uso de dupla autenticação e criptografia forte.
Paulo Pagliusi, Ph.D., CISM

19 dezembro 2017

Internet das Coisas: um Plano de Ação para o Brasil - Aspectos de Segurança

Em 03 de outubro, durante a Futurecom 2017 em São Paulo (evento em que este autor foi palestrante), foi lançado pelo BNDES e o MCTIC o estudo “Internet das Coisas: um plano de ação para o Brasil” (Produto 8: Relatório do plano de ação – Iniciativas e Projetos Mobilizadores), que subsidiará elaboração do Plano Nacional de IoT (Internet of Things). O estudo reúne mais de 70 proposições para guiar as políticas públicas e ações para IoT entre 2018 e 2022.
O estudo destaca – no seu item 4.4.3 –  que um dos principais pontos necessários para o adequado desenvolvimento da Internet das Coisas está relacionado com a disponibilidade de conectividade. Desse modo, a análise e revisão do quadro regulatório de telecomunicações é de suma importância para se assegurá-la, com as especificidades necessárias, em especial diante da variedade de aplicações e de novos modelos de negócio em IoT.
Além dos desafios na regulamentação de telecomunicações, é essencial endereçar os atuais gargalos nos temas de privacidade e proteção de dados pessoais e de segurança da informação. Embora se tratem de temas maiores do que IoT, são catalisadores para seu adequado desenvolvimento, em especial em ambientes como o de cidades e de saúde. Há um conjunto de questões regulatórias específicas dos ambientes cidades, saúde, rural e indústria que devem ser analisadas para o desenvolvimento da IoT.
Portanto, no que tange à garantia da Segurança das conexões, o estudo lista os 4 objetivos específicos da horizontal de Regulatório, Segurança e Privacidade, que possui diversos aspectos que são mais amplos do que IoT e cuja análise detalhada excede o escopo do estudo:
  • Endereçar questões da regulamentação de Telecom com vistas a acelerar o desenvolvimento de aplicações IoT.
  • Identificar e tratar questões regulatórias específicas nas verticais priorizadas.
  • Estruturar a criação de um marco regulatório de proteção de dados pessoais adequado para fomentar a inovação e a proteção aos direitos individuais.
  • Estabelecer desenho institucional adequado para enfrentar os desafios em privacidade e segurança para IoT.
Os três elementos dessa horizontal em pauta foram descrito sucintamente no item 6.4 do estudo:
  • Regulação de Telecomunicações (6.4.1) – um dos requisitos essenciais de aplicações Internet das Coisas é a existência de conectividade, conceito este diretamente relacionado à infraestrutura de suporte à prestação de serviço de telecomunicações, o que traz para o debate de Internet das Coisas a necessidade de uma análise aprofundada da regulamentação setorial para identificar potenciais obstáculos ao desenvolvimento de IoT no país.
  • Privacidade e Proteção de Dados Pessoais (6.4.2) – com a proliferação de novos dispositivos conectados à Internet aptos a armazenar, coletar e tratar uma significativa quantidade de dados, tem sido recorrente a discussão sobre usos legítimos dos dados e sobre as vulnerabilidades das bases de dados gerados. Em adição, a formulação de políticas públicas, a gestão eficiente e transparente dos órgãos governamentais e a criação de novos modelos de negócios são influenciados pelo crescimento exponencial de análises baseadas em grandes volumes de dados. Assim, o desenvolvimento de soluções de IoT demanda edição de norma sobre proteção de dados pessoais que lide com a complexidade deste contexto tecnológico. É preciso existir instância regulatória para lidar com estes desafios, com uma autoridade capaz de apresentar opiniões técnicas específicas com controle unificado e homogêneo do cumprimento das disposições sobre proteção de dados pessoais.
  • Segurança da Informação (6.4.3) – diante do desenvolvimento da IoT no Brasil, da expansão de vulnerabilidades em redes e da natureza “sem fronteiras” de incidentes em segurança da informação, a discussão sobre medidas relacionadas à cibersegurança nos âmbitos do Poder Público e da iniciativa privada ganha destaque. Discutem-se modelos de governança tanto para a cooperação internacional, quanto em relação ao arranjo institucional interno brasileiro. No âmbito local, faz-se necessário, ainda, encontrar alternativas para incentivar a adoção de medidas protetivas à segurança da informação pela iniciativa privada, seja pela adoção de mecanismos voluntários de certificação de dispositivos ou pelo respeito a critérios mínimos de segurança em infraestruturas críticas. Uma alternativa prevista no estudo seria a certificação voluntária sobre a segurança de dispositivos ligados à IoT. A estruturação de sistema de certificação baseado na autoavaliação voluntária, sem imposição de obrigações legais, tem potencial de criar cultura de transparência na prestação de informações ao usuário e incentivar a adoção de alto padrão de segurança pela iniciativa privada. Para viabilizá-lo, uma alternativa seria a criação de aliança por representantes da iniciativa privada, responsável pela organização estrutural e elaboração de diretrizes. Possíveis encaminhamentos:
    • Cooperação internacional – Aprimorar mecanismos de cooperação internacional para prevenção e tratamento de incidentes de segurança da informação, como pela adesão a Acordos de Troca e Proteção Mútua de Informações Classificadas; Incentivar a adoção de standards internacionais na temática de segurança da informação pela iniciativa privada.
    • Arranjo institucional brasileiro – Estruturar governança baseada em modelo multissetorial, com criação ou designação de estrutura para coordenar atividades baseadas em segurança da informação, na forma de conselho permanente, entidade pública ou agência reguladora, visando apoiar a elaboração de políticas nacionais, criação de mecanismos de resposta a incidentes, dentre outras; Estimular a cooperação e interação entre o Poder Público, sociedade civil, iniciativa privada e academia, com o fim de promover medidas de conscientização e fomento da segurança da informação.
    • Incentivo à adoção de certificação voluntária de dispositivos – Incentivar a criação de sistema de certificação de segurança da informação em dispositivos em Internet das Coisas, baseada em modelo de autorregulação pela iniciativa privada, baseado em autoavaliação voluntária, com adoção de selo/sinalização de conformidade ao consumidor, o que evitaria alto custo de entrada; Estruturar modelo de corregulação ou regulação híbrida para certificação de dispositivos IoT, com participação de conselho multissetorial ou agência pública focada em segurança da informação.
    • Segurança da informação em infraestruturas críticas – Fortalecer a estrutura institucional dedicada à segurança de infraestruturas críticas no âmbito da Administração Pública Federal, e incentivar os setores regulados a respeitarem aspectos mínimos de segurança da informação em setores de infraestrutura crítica.
Por fim, ressalta-se que o item 7.2.2.2 do estudo em pauta considera, no tema de competências tecnológicas, a alta complexidade inerente aos sistemas IoT, decomposta nas camadas de dispositivos, conectividade, suporte à aplicação e segurança. No que tange à camada de segurança, o estudo destaca a importância da tecnologia para:

  • Segurança embarcada: o desenvolvimento de robustos mecanismos de segurança passa a ser mais difícil quando executados em ambientes com restrições de capacidade computacional e disponibilidade energética. Assim, é alto o grau de competência necessário nesta área para garantir que os sistemas atendam aos requisitos exigidos por muitas aplicações sensíveis ao roubo de dados ou em que a atuação no mundo físico pode trazer perdas financeiras ou mesmos da seguridade das pessoas.
  • Segurança de redes: A criticidade na segurança da informação de algumas aplicações IoT também se estende à rede de comunicação. Duas questões se destacam nesta área: o ingresso dos dispositivos na rede de acesso e a prevenção de ataques de negação de serviço.
  • Acreditação da informação: várias operações realizadas a partir da interação com o mundo físico geram registros digitais armazenados em nuvem, que precisam ser acreditados com grande confiabilidade. Neste aspecto, tecnologias para a realização de assinaturas digitais e armazenamento confiável das informações ganham importância.
Dr. Paulo Pagliusi, Ph.D., CISM

06 julho 2017

Por que Usar uma Webcam Cover

Uso de capa deslizante protetora de webcam frontal em celular
Ninguém está livre de olhares alheios e é fato mais do que comprovado que você pode ser espionado pela sua webcam. Hackers ou adolescentes entusiastas da TI têm acesso a ferramentas fáceis de se usar, incluindo técnicas de phishing para "sequestrar" câmeras de pessoas inocentes, armazenar imagens e vídeos delas em situações embaraçosas que, na maioria das vezes, são enviadas para sites mal intencionados.  
Além disso, há também vários registros de espionagem de governos e agências estatais de inteligência. Isso acontece não só em câmeras web tradicionais de computador ou nas embutidas no laptop, mas também em smartphones - inclusive quando desligados, pois há ferramentas maliciosas que agem nos celulares em modo de hibernação.
Muitas pessoas acham que suas vidas não são tão interessantes assim para serem espionadas, mas na verdade é muito fácil que alguém consiga infectar seu dispositivo e invadir sua privacidade visando alguma vantagem indevida.
Diante do exposto, só confie na sua câmera quando você a estiver usando por algum motivo, como para tirar selfies ou conversar no Skype, e lembre-se sempre que, mesmo com a luz indicadora da webcam informando que ela está desligada, o problema não está resolvido. Daí a importância do uso de uma capa deslizante para proteção de sua câmera web - ou seja, uma Webcam Cover.
Paulo Pagliusi

04 abril 2017

Segurança Cibernética Vai Muito Além da TI – Fatores de Impacto dos Ataques ao Negócio

É fundamental para a sobrevivência das empresas e avanço dos seus negócios compreender o real impacto de um ataque cibernético e a importância do envolvimento de todas as áreas neste processo. Contudo, há um longo trabalho de conscientização neste sentido.
Paulo Pagliusi, Ph.D., CISM
Todas as indústrias, sem exceção, quando sofrem ataque ou ameaça cibernética, costumam achar que se trata de um problema de TI. Porém, Segurança Cibernética transcende essa área. É um tema multidisciplinar que envolve a combinação de avaliação de risco aos negócios, métodos de quantificação financeira, treinamento e conscientização de pessoas, avaliação de impactos à marca etc. Exige esforços do Jurídico, Comunicação, TI, Financeiro, RH, Segurança Corporativa, Auditoria, Gestão de Riscos, Cyber Security e Liderança (C-Level e Board). O programa Cybersecurity Nexus (CSX) da ISACA já aponta nesta direção.
Uma pesquisa de âmbito mundial da Deloitte, chamada “Por dentro de um ataque cibernético – Um olhar mais profundo para os impactos nos negócios” traz uma análise sobre como os líderes empresariais avaliam os impactos dos ciberataques em suas organizações. Se há medição para todos os riscos (financeiros, patrimoniais, jurídicos etc.), é preciso mensurar também os cibernéticos, que têm forte impacto para o negócio (incluindo marca, reputação) e podem ocasionar grandes perdas.
É comum as empresas improvisarem uma análise muito superficial sobre este impacto. A visão costuma ser curta, quando é preciso analisar o amplo e extenso prejuízo, considerando os custos diretos e os intangíveis (desvalorização da marca, perda de propriedade intelectual, impacto nos negócios) em um intervalo de tempo maior do que se costuma empregar.
O estudo mostra que apenas 5% dos impactos financeiros de um ataque cibernético são analisados para tomada de decisão. Os outros 95% ficam “submersos”, como mostra a ilustração abaixo. Assim, a situação costuma ser subavaliada. As empresas costumam olhar a questão por algumas semanas realizando triagem dos incidentes e por mais alguns meses para a gestão do impacto e acham que está tudo solucionado, quando na verdade é preciso projetar para o longo prazo para a completa recuperação do negócio, pois os efeitos de tais ataques podem ser sentidos por até cinco anos.

COMO LIDAR COM OS ATAQUES CIBERNÉTICOS?
De maneira distinta do que ocorria no passado, os ataques cibernéticos não acontecem mais por desafio ou diversão: há empresas especializadas nesta prática, visando realmente afetar os negócios das companhias, sendo tais ataques cada vez mais monetizados, silenciosos, persistentes e avançados. Uma decisão errada em minutos, na área de Risco Cibernético, é capaz de afetar o futuro dos negócios da empresa na próxima década.
No ano passado, em média, demorou 117 dias para que as empresas descobrissem ter sido alvo de um ataque cibernético. Diante deste cenário, muitas companhias podem já ter sofrido ataque e ainda não sabem disso. A condução do incidente, depois de descoberto, deveria ser a seguinte:

DIAS/SEMANAS:
– interrupção da operação;
– aplicação de controle de segurança, para reduzir vulnerabilidade;
– comunicação de parceiros e clientes;
– movimento para continuidade dos negócios.

SEMANAS/MESES:
– definição de estrutura interina da operação;
– busca de respaldo jurídico;
– observação das questões regulatórias;
– manutenção da relação com clientes e parceiros (busca de continuidade).

MESES/ANOS:
– esforço voltado a reparar dados aos negócios;
– redesenho do processo;
– investimento em segurança, vigilância e, em especial, resiliência cibernética para emergir mais forte, ao sair da crise.

COMO EVITAR INCIDENTES CIBERNÉTICOS?
O caminho está em integrar as múltiplas competências com os executivos da empresa e os profissionais de segurança, tendo a consciência de que uma crise pode realmente acabar com o negócio. Mais do que gestor de ativos de TI e tecnologista, o CISO hoje precisa ter uma postura mais estrategista e conselheira, orientando as áreas de negócio em atividades com implicações em riscos cibernéticos.
É necessário, portanto, estabelecer a combinação de conhecimento do risco cibernético com a avaliação do impacto do ataque para cada uma das áreas do negócio, considerando os custos financeiros e os intangíveis.
Desta forma, há necessidade de se adotar na empresa uma postura proativa, por meio de um modelo de inteligência e gestão de risco cibernético que considere três pilares:

SEGURANÇA: assumir um olhar preventivo, observar as ciberameaças conhecidas e se proteger delas, mantendo a conformidade com padrões e regulamentações. Fazer frente às ameaças conhecidas.

VIGILÂNCIA: conhecer e acompanhar as novas ameaças, detectar violações e anomalias no ambiente. Adotar comportamento mais proativo. Com base no que já aconteceu, ou acontece à sua volta, observar atentamente novas e possíveis variáveis. Estar preparado para ameaças previsíveis.

RESILIÊNCIA: estar pronto para as ameaças imprevisíveis, contando com uma estrutura resiliente, ou seja, que sinta o impacto, mas resista a ele. Retorno rápido às operações normais, mediante reparo dos danos causados ao negócio, lidar com a crise cibernética de modo que a empresa consiga emergir dela fortalecida.

Fontes: relatório Deloitte - Por dentro de um ataque cibernético - Um olhar mais profundo para os impactos nos negócios, 2016. Tradução: Estadão.

15 junho 2016

Como falar ao Conselho sobre Cibersegurança


As discussões sobre segurança da informação com o Conselho de Administração devem destacar os riscos cibernéticos mais graves enfrentados pelo negócio e os métodos utilizados para gerenciá-los

Paulo Pagliusi, Ph.D. in Information Security
A perpetuidade do negócio deve ser o grande objetivo de seus administradores, e a Segurança da Informação (SI) tornou-se tema crucial para a sobrevivência das instituições. Hoje é bastante evidente que toda empresa fica vulnerável ao lidar com dados digitais, pois há sempre alguém querendo entrar em seus sistemas. É inegável também que Cibersegurança – a preservação da SI no ciberespaço[1] – não abrange apenas tecnologia nem vale somente dinheiro; também custa às corporações tempo, conveniência, capacitação, liberdades, e assim por diante.
Assim sendo, este tema não deve mais ser conduzido apenas no âmbito da Tecnologia da Informação, mas por meio de uma governança corporativa consciente e responsável. Tal consciência deve começar de cima, e o Conselho de Administração – como representante dos acionistas – deve fazer com que a empresa assuma papel efetivo no combate a ataques cibernéticos, violações e vazamentos de dados. Ela deve aproveitar oportunidades de melhoria na defesa e cumprir com suas obrigações perante seus representados, clientes, fornecedores, colaboradores e comunidades.
A ameaça cibernética é uma realidade no mercado e coloca em risco o que as instituições têm de mais valioso: a informação. A conhecida onda de violações de dados e ataques cibernéticos ao longo dos últimos anos levou muitos Conselhos a começar a fazer perguntas incisivas sobre as práticas de segurança da informação em suas empresas. Eles desejam conhecer as chances da empresa experimentar uma danosa violação na sua segurança, e o que está sendo feito para impedir isso.
A fim de que o Conselho possa enfrentar de modo eficiente e eficaz tais riscos cibernéticos, não basta simplesmente seguir o que dizem os legisladores ou os códigos de melhores práticas de governança corporativa. Diante de um mundo cibernético cada vez mais volátil, incerto, complexo e ambíguo[2], é preciso ir além. Se o ciberespaço externo mudou, ao invés de apenas confrontar esta realidade, os tomadores de decisão nas empresas precisam aproveitar o momento para realizar internamente as reformas que irão contribuir para um posicionamento mais sustentável no longo prazo. Isto envolve transformar a cultura e a forma com que a gestão do risco cibernético é feita nas corporações, adaptando-as aos novos tempos.
Diante deste cenário, os CIOs e CISOs são cada vez mais chamados a responder a perguntas nas reuniões do Conselho. A clareza de suas respostas pode alavancar ou invalidar as agendas de segurança da informação. Para que o Conselho se sensibilize quanto a seu papel fundamental neste combate e possa vir a confiar cada vez mais no CIO e CISO da sua empresa, é vital que tais executivos saibam se comunicar com clareza, foco e discernimento quando chamados a falar, incentivando deste modo a necessária inclusão das questões de Cibersegurança no topo da agenda corporativa.
Por exemplo, quando se discute com o Conselho incidentes cibernéticos ou temores de potenciais incidentes, é preciso separar bem o conceito de vulnerabilidade da ideia de ameaça. Uma porta destravada constitui uma vulnerabilidade, mas não uma ameaça se ninguém quiser entrar. Por outro lado, uma vulnerabilidade pode levar a muitas ameaças: aquela porta destravada pode levar a terroristas esgueirando-se para instalar uma bomba, concorrentes levando embora segredos comerciais, ladrões furtando bens valiosos, vândalos locais depredando a propriedade, ou até mesmo gatos perambulando e distraindo a atenção da equipe ao brincar com os teclados. Os dois aspectos que melhor definem as ciberameaças são o ator e a consequência.
O reconhecimento da existência de um ator obriga o Conselho a pensar estrategicamente sobre ciberameaças. Pois o ciberatacante sempre pode escolher que vulnerabilidade explorar para atingir determinado objetivo. Isto implica que, em relação a uma determinada ameaça cibernética, a empresa deverá não apenas resolver uma série de vulnerabilidades, mas também compreender que esta ameaça poderá evoluir dinamicamente, em resposta a cada uma de suas ações defensivas.
Como há vários tipos de atores maliciosos, é fácil o Conselho se confundir ao ouvir do CIO ou CISO alguns clichês da mídia, como o termo “hackers”. O objetivo de cada ator é uma boa forma de se começar a separá-los adequadamente, para que o Conselho possa entender melhor as ameaças que cada um representa e potenciais consequências de seus ataques. Às vezes, o objetivo final do ator é realizar uma fraude financeira, outras vezes o ciberatacante deseja espionar a empresa em busca de segredos-chave do negócio, realizar ativismo hacker (hacktivismo) ou até mesmo interromper processos de controle industrial, sabotando as instalações corporativas.
Fornecer respostas claras, que reflitam as ameaças mais iminentes à segurança e privacidade da organização, as principais tendências do mercado, que falem também das estratégias de mitigação de risco – atuais e previstas – pode contribuir para ganhar a confiança dos membros do Conselho e aprimorar a agenda de segurança. Por outro lado, respostas excessivamente detalhadas, que mergulhem em operações de segurança do dia-a-dia, podem sobrecarregar ou até frustrar o Conselho. Não é incomum a CIOs e CISOs, que antes nunca puderam levar ao Conselho questões de segurança da informação, cometer o erro de fornecer muita informação.
Um CIO ou CISO não habituado a se dirigir a Conselhos tende a querer demonstrar conhecimento e profundidade na sua abordagem, exibindo dezenas de métricas que mostram diferentes dimensões do risco cibernético. Mas isto só distrai os membros com relação aos poucos indicadores de risco crítico mais importantes ao negócio. Há três mensagens essenciais que os CIOs e CISOs precisam transmitir ao Conselho:
  1. Criar uma lista sucinta dos quatro a seis principais riscos cibernéticos que a empresa enfrenta, com indicadores de risco sinalizando o nível de exposição a eles. Os riscos de segurança da informação a que uma empresa está sujeita podem incluir furto de propriedade intelectual, violação de dados que comprometa informações sigilosas de clientes, ou fraude financeira de terceiros. Os indicadores que os CIOs e CISOs elegem para ajudar a avaliar a exposição ao risco de suas empresas podem incluir, por exemplo, o número de tentativas mensais de acesso à rede corporativa a partir de países conhecidos como patrocinadores de espionagem cibernética e furto de propriedade intelectual; ou perdas de receitas trimestrais associadas a incidentes de vazamento de dados de clientes. É importante que tais indicadores dos principais riscos cibernéticos sejam notificados ao Conselho, pois eles ajudam a ilustrar os pontos fortes e fracos da postura geral de cibersegurança de uma empresa. 
  2. Identificar se principais indicadores de risco estão tendendo para cima, para baixo ou permanecendo estáveis trimestre a trimestre. Se os indicadores de risco estão se movendo, deve-se explicar ao Conselho o que pode estar causando tais mudanças. Por exemplo, se forem notados picos de ataques cibernéticos durante as semanas ou meses que antecederam lançamentos de produtos, tais correlações devem ser levadas ao Conselho. O Conselho deve ficar sempre atento às tendências de ameaças cibernéticas relacionadas à performance dos negócios e à natureza cíclica do risco de segurança da informação. 
  3. Explicar como a empresa está gerindo riscos de segurança e mantendo-os dentro de limites aceitáveis. Por exemplo, se a distribuição não autorizada de informações corporativas sigilosas representa elevado risco à empresa, pode ser preciso explicar ao Conselho, em alto nível, as tecnologias e processos que se dispõe para monitorar informações enviadas dentro e fora da instituição, detectar comunicações suspeitas, e restringir sua transmissão até que a legitimidade possa ser verificada. Caso o acesso não autorizado de terceiros a informações sensíveis represente uma ameaça, pode-se descrever os rigorosos processos de avaliação de segurança da empresa ao lidar com fornecedores terceirizados. 

Falar ao Conselho sobre Cibersegurança torna-se complicado pelo fato de que, em uma típica reunião de dois dias dos membros, costuma-se dedicar apenas 15 minutos a este tópico. Por isto, é essencial aos CIOs e CISOs apresentar os poucos indicadores de risco mais importantes para os Conselheiros assimilarem, e dar-lhes tempo para suas perguntas. Outra prática recomendada é fornecer resumos concisos ao Conselho antes das reuniões, que servem para focar sua atenção em preocupações críticas de segurança da informação, bem como planos para potencial mitigação.

Finalmente, recomenda-se aos CIOs e CISOs apresentar uma visão objetiva do que a empresa está fazendo bem, além das suas vulnerabilidades críticas. As reuniões do Conselho são um momento oportuno para o CIO e o CISO ser sincero sobre as implicações de segurança de várias decisões envolvendo pessoal, orçamento e priorização de iniciativas e interesses de TI, sejam planejados ou em andamento.

Por derradeiro, convém lembrar que ninguém se beneficia por apresentar uma mensagem tendenciosa ao Conselho, pendendo positiva ou negativamente. É importante ao Conselho obter uma visão equilibrada da segurança e postura de risco da empresa. Seus membros precisam entender, de modo tão transparente quanto possível, quais os principais riscos cibernéticos e o que a empresa está fazendo a respeito deles, para que possam fazer as perguntas certas para conduzir o processo.
Matéria veiculada no Jornal Estadão em 31/05/2016
Referências: 
[1] Ciberespaço: Ambiente complexo, resultante da interação de pessoas, software e serviços na Internet, por dispositivos de tecnologia e redes conectadas.

[2] Estes quatro termos – em inglês: Volatile, Uncertain, Complex e Ambiguous – geram uma expressão bastante utilizada em estudos da Deloitte: “VUCA World”, originalmente cunhada pelo exército norte-americano na década de 1990, quando idealizava o mais desafiador dos potenciais cenários de combate.
#ameaça cibernética #ciberespaço #cibersegurança #governança corporativa #riscos #segurança da informação #VUCA #vulnerabilidades

02 maio 2016

Uma corrida com barreiras digitais nas Olimpíadas

A abertura das Olimpíadas de Londres, em 2012. Hackers tentaram causar um blecaute na cerimônia (Foto: Tim Wimborne/ REUTERS)
Evitar ataques de hackers é um grande desafio para a organização das Olimpíadas do Rio de Janeiro
Dá para imaginar o estrago se, na cerimônia de abertura das Olimpíadas de Londres em 2012, vista por 900 milhões de pessoas ao redor do planeta, o estádio ficasse às escuras. Seria terrível a ocorrência de um blecaute no meio do discurso da rainha Elizabeth II ou da apresentação de Paul McCartney. As autoridades inglesas afirmaram, um ano depois dos Jogos, que hackers atacaram o sistema de fornecimento de energia ao estádio pouco antes da cerimônia, mas foram detidos pela equipe de segurança digital a postos. Ao longo dos Jogos de Londres, foram registradas seis ameaças graves de invasão digital, num total de 97 ataques. Nenhum atingiu o alvo, mas a situação preocupa. Nos Jogos, quase tudo depende de sistemas digitais – vendas de ingressos, exibição de resultados no placar e até a definição de alguns resultados. A par da situação, o comitê organizador da Rio 2016 afirma que segurança cibernética é prioridade.
Há um ano, o comitê organizador pôs em funcionamento um laboratório de testes de integração de sistemas. Ele deve fazer 200 mil horas de avaliações para asseverar a confiabilidade da estrutura digital dos Jogos, a exemplo de uma bem-sucedida experiência realizada em Londres. Entre os objetivos está barrar ataques cibernéticos. A Agência Brasileira de Inteligência (Abin) mapeou os grupos de hackers com maior possibilidade de atuar em grandes eventos. “Os grupos nessa lista trabalham com escala maior de ataques e demonstram mais conhecimento técnico”, afirma Rodrigo Colli, profissional da área de contrainteligência cibernética na Abin. Em Londres, para perceber os 97 ataques, o aparato de defesa digital detectou quase 200 milhões de incidentes que poderiam indicar ameaças (tão prosaicos quanto a digitação errada de uma senha). Precaver-se contra esse volume de problemas é uma tarefa interminável. “Para diminuir a vulnerabilidade do sistema, fazemos testes a partir de recomendações internacionais”, diz Bruno Moraes, gerente de segurança da informação da Rio 2016. “Mas nunca se consegue chegar a 100% de segurança. É uma busca contínua.” Além da Abin, a força-tarefa conta com a colaboração do Centro de Defesa Cibernética do Exército e do Comitê Gestor da Internet no Brasil.
A estrutura digital dos Jogos cariocas se organizou ao redor de duas redes digitais. Uma funciona como grandes redes corporativas. Concentra a organização das operações da Rio 2016, permite a execução de pesquisas e uso de e-mail pelos integrantes. A outra administra as provas. É a responsável por cronometragem e resultados. Por não ser conectada à internet, é bem mais segura que a primeira.
As precauções aumentam não só no Brasil. Para as Olimpíadas de Tóquio, em 2020, o governo japonês espera treinar 50 mil pessoas no setor público e empresas, a fim de aumentar o nível de segurança digital. A preocupação cresce diante da expansão do hacker ativismo – os agressores digitais que, em vez de lucro, buscam expor suas causas. Hackers ladrões continuam na ativa. Durante os Jogos, eles poderão se aproveitar da concentração de turistas para invadir, clonar e usar cartões de crédito, celulares e tablets. Mas o elemento mais novo e imprevisível nessa equação são os hackers ativistas. Por motivação política, eles podem simplesmente querer mostrar que conseguem penetrar em qualquer rede, causar danos à infraestrutura, exibir slogans e criticar patrocinadores e governos – basta multiplicar as inimizades políticas pelos 200 países presentes. Outro alvo óbvio é o site olímpico. A expectativa dos organizadores é atingir, ao longo da competição, em torno de 15 bilhões de visualizações de páginas, quatro vezes mais que na última edição.
A julgar pelos Jogos de Londres e Pequim, neste exato momento há muitos hackers em ação, mirando nas Olimpíadas. “A Copa do Mundo no Brasil foi mais atacada que a anterior, na África do Sul, e a tendência é que nossas Olimpíadas sejam também mais alvejadas que as de Londres”, diz Paulo Pagliusi, especialista em segurança cibernética. Será um teste ótimo para a competência cibernética de organizações e para os profissionais de segurança digital no país.
Fonte: Revista Época, 24.04.2016

10 fevereiro 2016

Como não se perder com senhas


E-mail, conta de banco, redes sociais... Em meio a tantas exigências, vale seguir dicas de especialistas, como as do Dr. Paulo Pagliusi nesta entrevista ao jornal "O Globo"
Fonte: "O Globo - Economia & Tecnologia - 09Fev2016.
Por causa de uma senha esquecida, o professor Luiz Guilherme Santos perdeu o acesso a uma conta de e-mail que mantinha há dez anos, e sofreu com as consequências de ficar temporariamente sem um dos seus principais canais de comunicação. Mensagens de trabalho ou recados de amigos se perderam em algum servidor inacessível, provocando broncas e reclamações. E o pequeno drama vivido por Santos é cada vez mais comum, dado o crescente número de códigos para se guardar. Conta de banco, cartão de crédito e e-mails pessoal e profissional. Redes sociais aos montes, Netflix, programa de milhagem e outros serviços. Tudo protegido por senha, tudo passível de ser esquecido ou hackeado.
— Eu tenho o costume de deixar a conta conectada no computador e no celular, mas tive que alterar a senha há cerca de dois meses, e esqueci a senha nova. Tentei recuperar, mas não tinha cadastrado o meu número de telefone. Acabei tendo que criar uma nova conta — diz o professor. — As pessoas achavam que eu não estava respondendo às mensagens de propósito, mas não era o caso. Agora está tudo resolvido. Pelo menos eu recebo menos spams.
Para evitar os problemas com a memória, muitas pessoas escolhem o caminho mais simples: usar senhas fáceis. Um levantamento realizado pela firma de segurança digital SplashData apontou que as cinco piores senhas do ano passado foram “123456”, “password” (senha em inglês), “12345678”, “qwerty” e “12345”. A análise foi feita com a compilação de aproximadamente duas milhões de contas vazadas na internet ao longo de 2015. Pela primeira vez, a sequência “1234567890” apareceu na lista das 25 piores senhas, o que mostra que a exigência de mais caracteres nem sempre aumenta a segurança.

AJUDA DE APLICATIVOS
Além das sequências de números e letras, muitas pessoas recorrem a datas e informações pessoais para criarem suas senhas, o que também não é recomendado por especialistas. Elas são fáceis de lembrar, mas também são fáceis de serem descobertas por criminosos.
As pessoas tendem a utilizar senhas que façam parte do seu universo, como time favorito, tendência política, nome do cachorro e datas especiais. O problema é que os criminosos cibernéticos também sabem disso — diz Paulo Pagliusi, diretor de Gestão de Riscos Cibernéticos da Deloitte. — Uma senha forte precisa ter maiúsculas, minúsculas, números e pontuação, com tamanho mínimo de oito caracteres. E a linguagem não pode ter nexo. Um hacker consegue varrer um dicionário em minutos usando força bruta.
Mas o problema das senhas seguras é lembrar. Anotá-las em um papel guardado embaixo do teclado não é recomendado, tampouco armazená-las em um arquivo de texto no computador. Pagliusi explica que é comum hackers utilizarem a chamada engenharia social para arquitetarem seus crimes, e essa técnica envolve espionagem. O hábito de usar a mesma senha para diferentes serviços também deve ser abandonado, pois se uma conta for comprometida, todas ficarão vulneráveis.

TÉCNICAS
Existem algumas técnicas que podem ajudar, como o uso de frases em vez de palavras. Edward Snowden, conhecido por ter vazado documentos sobre o esquema de vigilância global do governo americano, fez essa recomendação em entrevista no início do ano passado, brincando que uma boa chave seria “MargaretThatcheris110%SEXY”. Outra saída é o uso de aplicativos desenvolvidos especialmente para este fim, como Last Pass e F-Secure Key. Eles prometem armazenar de forma segura todas as senhas, que são acessadas por uma senha mestre.
— Basicamente, as pessoas têm que guardar apenas uma senha — explica Ariel Torres, gerente de serviços técnicos da F-Secure para a América Latina. — É como uma caixa virtual, todas as senhas ficam armazenadas lá dentro, criptografadas. Para entrar no aplicativo, basta lembrar uma senha.
Outra dica é criar códigos que mesclem letras e números para formar palavras e frases.
Torres, por exemplo, se tornaria “T0RR3S” — diz o especialista.
Essa simples mudança faz com que os termos sejam mais difíceis de serem descobertos em ataques de força bruta, quando o criminoso cibernético usa poder computacional para testar milhões de combinações. Alguns sites na internet oferecem testes de força das senhas, como o “How Secure Is My Password” (http://bit.ly/Kz6V00).

FIM DAS SENHAS?
A preocupação com as senhas não é apenas dos usuários, mas também das empresas. Muitos prestadores de serviços on-line oferecem a autenticação de dois fatores, uma camada adicional de segurança para a entrada em contas, além do login e senha. Redes sociais, como Twitter e Facebook, por exemplo, usam o sistema de código por SMS. Bancos e outros serviços financeiros apostam nos tokens, que geram códigos temporários.
A senha como conhecemos hoje tende a acabar. Existem outras formas de você provar que é você — prevê Pagliusi. — A tendência é que serviços críticos ofereçam a autenticação de dois fatores. Eles exploram não apenas algo que você sabe, no caso, a senha, mas o que você possui e o que você é, com códigos transmitidos por SMS e tokens e biometria.

O ‘ABC’ DAS SENHAS
FORÇA: Os especialistas recomendam, para ter uma senha “forte”, usar no mínimo 8 caracteres, se possível mais. O ideal é mesclar letras maiúsculas, minúsculas, números e caracteres especiais. Não se deve usar sequências óbvias ou pessoais como, por exemplo, datas de aniversário
PARA MEMORIZAR: Há aplicativos que guardam todas as senhas e são acessados por apenas uma chave. Outra dica é criar frases, em vez de palavras. Ou mesclar letras e números para formar palavras. Um exemplo: se seu nome é Sérgio, use uma mescla de letras maiúsculas e minúsculas e números que, escritos, formarão a palavra Sérgio, como na sequência S3rGl0
EVITAR: Os especialistas orientam a não anotar senhas em papéis ou arquivos no computador. Deve-se evitar usar informações pessoais e usar a mesma chave para diferentes serviços.