Saiba quais são as frases mais temidas por especialistas em segurança da informação

0

O portal Computerlworld fez um apanhado de frases que soam reconfortantes, mas com frequência acabam assinalando que as empresas têm problemas de segurança interna, de recursos técnicos ou com as pessoas e processos envolvidos na proteção dos sistemas. Confira abaixo quais são as mais comuns – e mais temidas pelos especialistas na área:

“Nós temos uma cultura de segurança” – “Não, vocês não têm” é a resposta imediata dos profissionais em segurança da informação. Mesmo que apenas mentalmente. Esse é o tipo de frase que surge de empresas que começaram com cinco pessoas – no tradicional modelo familiar de negócios – e, conforme cresceram, num piscar de olhos se viram operando com milhares de pessoas, sem governança ou políticas. Alguns trocados e sua “cultura de segurança” são suficientes para comprar um bom café expresso, em um canto sossegado que permita olhar para o horizonte e descobrir quanto trabalho há pela frente.O simples fato é que sem diretrizes de suporte ou mecanismos de retorno (feedbacks), a segurança é definida diferentemente por cada um e não é verificada por ninguém. Não existem métricas para adequação com a “cultura” e uma “cultura de segurança” é ocultada por uma prática de “faça o seu trabalho”.

“A segurança de TI é a segurança da informação” – A segurança da informação não é a mesma coisa que segurança em tecnologia da informação. Se o termo “segurança da informação” é usado da mesma forma que “segurança de TI”, isso invariavelmente significa que ninguém tem tomado decisões fundamentalmente não técnicas de segurança que afetam os departamentos – TI, RH, Jurídico, Auditoria,etc. E, portanto, essas áreas estão tentando adivinhar o que os responsáveis querem dizer. Junte-se àqueles que têm influência sob os departamentos listados acima e decida se a informação (não documentos em papel ou equipamentos) é um ativo da companhia, como os computadores e as mesas. Decida se a empresa autoriza as pessoas a realizarem jobs, acessos lógicos e físicos a informações como indivíduos.

“Isso não se aplica ao chefe” – Apesar de isso estar se tornando um problema menor em empresas públicas, ocasionalmente um executivo simplesmente se recusa a seguir diretrizes de segurança que ele mesmo aprovou. A menos que você esteja preparado para meticulosamente documentar todas as “escapadas” seguindo o modelo de perícia forense e depois entregá-las para os diretores ou à polícia (ou então simplesmente pedir demissão), prepare-se para contornar a situação. A maior parte das maçãs podres podem ser gerenciadam por meio da aplicação do senso maquiavélico que possuem de influenciar o relacionamento dos outros: eles pelo menos devem aparentar que lideram pelo exemplo, enquanto continuam a fazer qualquer coisa que fazem de portas fechadas. Poucos vão admitir isso, mas muitas organizações simplesmente colocam no orçamento e instalam um linha DSL para acesso de “convidados” nas salas dos principais executivos e fecham os olhos para qualquer coisa que é plugada nessa linha.

“Nosso departamento de segurança da informação fica com a equipe de TI” – Títulos não importam. Um relatório de um especialista em segurança ao diretor de TI é sempre o de um administrador de segurança, mesmo se aquela pessoa tem o cargo de information security officer. O problema é que no mundo corporativo a palavra “officer” geralmente significa que aquele profissional tem autoridade para verificar e monitorar se todas as técnicas e processos que controlam informações protegidas são eficientes. Um administrador de segurança de TI é normalmente envolvido em desenhar o controle técnico e por essa razão não pode se “auto-auditar” ou certificar-se de que a TI está fazendo a coisa certa, particularmente se ele reporta para alguém dentro da TI. O profissional de segurança com o cargo de “officer” deve sempre se reportar no mesmo nível ou como superior ao diretor de TI.

“Nós temos uma política de senhas” – Falando diretamente, um documento que especifica o tamanho, a forma e a complexidade de uma senha é um padrão técnico ou um procedimento, não uma política. Política é um diretório para o direcionamento de negócios, algo como “indivíduos devem ser identificados unicamente e autenticados prioritariamente para ter a condição de acessar os ativos da companhia”. Observe que este exemplo de política envolve “o que” fazer a respeito das pessoas e acessos, não “como” construir uma sequência de tipos de caracteres.

“Nossos executivos têm cópias de todas as senhas” – Apesar da ideia fazer um jovem estudante desmaiar, existem de fato gerentes que demandam que seus funcionários diretos revelem suas senhas individuais. A explicação para isso é sempre: “E se alguém é demitido ou está doente? Como nós poderíamos encontrar os seus documentos?”. Quando isso acontece, a única estratégia efetiva é dizer a quem pede tal coisa: “Se você fizer isso, então você é um suspeito em qualquer situação negativa que surgir. Você nunca estará apto a demitir ninguém porque você também será um suspeito”.

“A marca X é nosso padrão” – Quando a equipe de compras da empresa diz isso, o que eles realmente estão dizendo é: “Nós jogamos nossos padrões de segurança pela janela em troca de descontos e agora nós compramos qualquer coisa que o fornecedor oferece”. Quando um fabricante faz mudanças na linha de software ou de produto – especialmente quando isso parte de um fabricante de equipamentos de rede e segurança –, é importante ter requerimentos funcionais claramente definidos para avaliar se os produtos ainda funcionarão como desejado.

“Ei, de onde veio isso?”– É concebível que aqueles usuários altamente técnicos deveriam organizar seus próprios equipamentos bem como dar suporte a eles. Por outro lado, isso significa que a área de TI e o pessoal de suporte foram nocauteados por fabricantes de hardware que fornecem apenas um número 0800 que nunca funciona. Políticas de segurança devem estar presentes em todo lugar. O importante é que sejam claras e do conhecimento de todos. Resolver isso é um problema fundamental de respeito. Começar pela governança básica e deixando claro que há regras, com muito esforço e comunicação, isto vai pelo menos tornar a “cultura da segurança” uma questão resolvida.

“Nós enviamos as regras do firewall para…” – A maioria dos administradores de rede se encolhe de medo com as palavras mencionadas acima. Ainda assim, muitos ainda vão enviar, gratuitamente, emails com cópia das regras de firewall. Pior ainda, eles têm um fabricante de equipamentos ou um consultor freelancer que configura o firewall para eles e mantêm para si a única cópia das regras. Essas regras, se elas apresentam complexidade, provêem um mapa detalhado do esquema de segurança da companhia, com informações importantes a respeito da identidade das redes internas e serviços e como torná-los um alvo. Nenhum profissional sério de segurança sairia com uma cópia das regras de firewall de alguém sem uma requerimento específico para fazer isto. Um competente auditor de sistemas da informação certificado ou outro auditor vai revisar as regras de firewall diretamente no sistema do administrador e não levar consigo.

 

Fonte: Computerworld

Deixe uma Resposta