Só firewall não resolve!
iMasters - 29/01/2010 - [ gif ]
Assunto: Segurança
Com as boas perspectivas da economia para 2010 e o conseqüente aumento no tráfego de informações nas corporações, um grande número de gestores deve estar pensando "vamos aprimorar nosso Firewall e certificar se nosso antivírus está atualizado", imaginando que com isso suas empresas estarão seguras. E eles estão... ERRADOS!
Infelizmente algumas empresas investem grandes somas em tecnologias que garantem a proteção física e lógica dos sistemas e equipamentos, mas não investem na segurança de seus funcionários, principalmente em conscientização e treinamento. Em Segurança da Informação o elo mais fraco é o ser humano. Há necessidade de planejar a segurança da empresa de forma integrada, tecnologia e procedimentos. Kevin Mitnik, talvez o hacker mais famoso do mundo, afirma em seu livro, A arte de enganar "Com freqüência, a segurança é apenas uma ilusão, que às vezes fica pior ainda quando entram em jogo a credulidade, a inocência ou a ignorância".
O CERT.br (Centro de Estudos, Respostas e Tratamento de Incidentes de Segurança da Informação no Brasil) divulgou o balanço de 2009 com um total de 358.343 incidentes reportados de janeiro a dezembro, com um aumento de 61,03% comparado a igual período em 2008. Outra informação preocupante é que, desses incidentes, 69,87% foram fraudes. Das tentativas de fraudes reportadas tivemos:
- 88,25% Direitos Autorais
- 8,79% Cavalos de Troia
- 2,50% Páginas Falsas
- 0,46% outras
Para evitar prejuízos às empresas devido a problemas de Segurança da Informação, seja de pequeno, médio ou grande porte, está cada vez mais claro que o cuidado com a conscientização dos colaboradores, a instituição e a divulgação de política de segurança, alinhadas com os objetivos do negócio, podem ser as melhores ações dos gestores de TI.
Essa tarefa nem sempre é fácil, ou clara, para esses gestores, que normalmente são responsáveis por muitas tarefas, como ajuda a usuários, atualização de sistemas, manutenção de hardware etc. Como agir, então? O mais indicado é trabalhar com as melhores práticas, por exemplo, utilizar a ISO NBR 27002 Tecnologia da Informação Técnicas de segurança Código de prática para a gestão da segurança da informação.
Esta norma possui 133 controles que vão desde Política de Segurança da Informação até Conformidade, passando por Segurança em Recursos Humanos. A utilização de um roteiro pode facilitar este trabalho que deverá ser feito de forma integrada e planejada, dando gradativamente à empresa um nível de segurança adequado as suas necessidades empresariais. O mais importante é elevar essa segurança de forma gradativa e constante, para que a maturidade dos controles e dos usuários se eleve com equilíbrio. Não se consegue mudar a cultura de uma empresa imediatamente, mudanças rápidas podem ser ilusórias e criar a falsa sensação de segurança, uma das maiores armadilhas nesta área.Acredita-se que está seguro o que na realidade não ocorre, podendo acontecer uma grande surpresa com um incidente de segurança e prejuízos muitas vezes enormes.
Não devemos esquecer que, em Segurança da Informação, é necessário aliar a tecnologia aos processos.
