Segurança em TI

Segundo a pesquisa 2006 do Computer Security Institute (CSI), em conjunto

com o Federal Bureau of Investigation's (FBI), de cerca de 700 pessoas
entrevistadas:

75% reportaram incidentes de vírus

48% detectaram uso indevido e abusivo do privilégio de acesso na rede
interna
48% reportaram roubo de notebook
32% detectaram invasões nos sistemas
16% reportaram uso abusivo de redes Wireless

Porém, chama ainda mais atenção os números abaixo:

28% não sabem se tiveram algum incidente de segurança

12% não sabem se seus sistemas foram usados sem
autorização
13% das organizações não realizam auditoria de segurança

Esses números representam o cenário em que se encontram muitas

empresas. Experiências como essas relatadas na pesquisa do CSI/FBI,
revelam que o mercado ainda não está utilizando medidas preventivas
e/ou detectivas, e muitas vezes não conseguem avaliar os danos
causados em sua infra-estrutura de TI.

Muitas vezes, a invasão de um determinado sistema não é identificada.

Geralmente, uma tentativa de acesso a um sistema não é considerada
uma ação suspeita. Mas, se após a análise de logs de ambientes
diferentes o usuário perceber que houve várias tentativas em um curto
período de tempo, é motivo suficiente para suspeitar de que alguém
está tentando acessar indevidamente o sistema corporativo.

Segurança Básica.

Se nos preparamos para uma navegação via internet, também

deveríamos tomar cuidados básicos de segurança. A rede mundial de
computadores é um meio freqüentado por milhares de pessoas, por
diversas motivações. Muitas dessas motivações não são garantidas
contra erros e más intenções.

Tomemos, por exemplo, o correio eletrônico. A maioria das pessoas

pensa que as mensagens trocadas são isentas de interferências. No
entanto, o correio eletrônico não é uma carta fechada, ao contrário,
assemelha-se mais a um cartão postal: pode ser lido por outros e assim,
interceptado, modificado e até destruído. Tudo isso sem considerar que
no correio normal quem paga a correspondência é o remetente e, no
caso dos e-mails, quem paga é o destinatário.
As senhas são outro domínio sobre o qual usuários acreditam ter poder.
Alguns nem se preocupam em manter secreto o código pessoal, na
suposição de que não possuem nada de valor. Hackers só precisam de
30 segundos para vasculhar um computador e até enviar mensagens
para outras pessoas passando-se por você, pedindo e conseguindo
acesso em seu nome e à sua revelia.

IDS, firewall, critografia, PKI, VPN — as empresas tentam se prevenir,

buscando soluções em segurança de redes. Os atuais sistemas de
proteção de dados têm por objetivo o controle total sobre as
informações que trafegam numa organização. Filtros identificam
situações indesejáveis, como vírus e spams, e oferecem vários tipos de
restrições de acesso, com roteadores e switches, principalmente para o
correio eletrônico.

Um documento do governo norte-americano Estratégia de Segurança

para o Ciberespaço descobriu que os maiores problemas nesse setor
derivam da falta de pessoal treinado e certificado para gerenciar
sistemas de segurança. Não basta instalar caros e sofisticados
equipamentos ou pagar custosas metodologias. Não podemos nos
esquecer de que a rede é pública. Uma rede invulnerável a ataques
seria aquela que não permite acesso a ninguém.

No Serpro, o que se está buscando é fortalecer toda uma cultura pró-

segurança. Segurança não é apenas a que se desenvolve entre as
quatro paredes da empresa de tecnologia da informação do governo.
Entendemos que a segurança está sustentada em três pilares: pessoas,
tecnologia e processo. As tecnologias estão disponíveis e devem ser
adotadas de acordo com a necessidade ou a partir de uma análise dos
riscos.

Na estrutura de segurança do Serpro, cada unidade de gestão tem um

Security Officer. Há um grupo de tratamento de incidentes e resposta a
ataques. O Centro de Especialização em Segurança procura sempre
formar novos profissionais e o Comitê de Segurança da empresa se
reúne uma vez por mês. A Universidade Corporativa do Serpro está
desenvolvendo um programa de ensino básico a distância sobre
segurança para todos os empregados.

O Serpro considera a Certificação Digital uma ferramenta importante

para garantir a privacidade, integridade e autenticidade das mensagens
que trafegam na rede. Com a popularização da Certificação Digital,
usuários do correio eletrônico poderão cifrar e decifrar mensagens,
assinar digitalmente documentos, ter acesso a informações
confidenciais resultado de provas e exames e ganharão mais
confiabilidade nas transações bancárias.
Todos nós vamos para casa depois do trabalho, conversamos com nossa
companheira e nossos filhos e os alertamos para os perigos do dia-a-dia.
Muitos têm computadores domésticos, deles acessam a WWW e trocam
informações pela tela eletrônica. As crianças de hoje e também suas
avós estão sujeitas à violência virtual, seja sob a forma de sítios
pornográficos, seja possibilitando, sem o saber, a entrada de vírus
danosos para o sistema.

Da mesma maneira que temos que decidir se compramos um carro

blindado ou simplesmente usamos cinto de segurança para nos
proteger, devemos nos prevenir contra o que julgamos serem os riscos.
Não custa repetir alguns cuidados básicos contra as ameaças
eletrônicas: não abrir e-mails de desconhecidos nem arquivos
executáveis, manter o antivírus atualizado e não fornecer dados
pessoais pela rede.