Evento da IDC reúne especialistas em segurança da informação

IDC vai discutir a criação de um modelo de gestão sobre continuidade do negocio, cumprimento da regulamentação e vantagem competitiva para as organizações.

O IDC Brazil Information Security & Business Continuity Conference 2010, evento que discute práticas de segurança da informação, será realizado no dia 17 de março em São Paulo.

Organizado pela IDC, uma das principais consultorias em inteligência de mercado com foco em TI, o encontro é voltado para diretores, gerentes, analistas de TI, Segurança da Informação, Infra-estrutura e Plano de Contingência.

O evento conta com a participação de Denny Roger, diretor da EPSEC e presidente da Associação Brasileira de Segurança da Informação (Abrasinfo), que falará sobre forense e fraudes na internet.

As inscrições são gratuitas (para empresas usuárias de tecnologia e sujeitas à aprovação da IDC Brasil) e podem ser feitas no site oficial do evento. Para mais informações, acesse: http://www.idclatin.com/events/event...ctr=bra&id=123.

(Eu, Luciano Ferrari já me inscrevi e estarei lá)

Mente hacker

Denny Roger é analista de segurança de redes

Publicada em 14 de dezembro de 2009 às 15h39Atualizada em 14 de dezembro de 2009 às 15h48

Governança corporativa
Investimentos para proteger a informação nem sempre freiam as ações dos crackers.
Somos dependentes da tecnologia da informação. Ela se tornou parte integrante do cotidiano da nossa vida privada e nos negócios. Utilizamos o internet banking para pagar contas, acessamos redes sociais para interagir com nossos amigos e clientes, publicamos informações corporativas e pessoais através do Twitter etc.

Embora ofereçam funcionalidades inéditas, essas novas tecnologias também introduzem novos riscos e um ambiente mais difícil de controlar e monitorar. Uma vulnerabilidade de segurança terá um grande impacto na vida pessoal e nos negócios corporativos.


Todos estão preocupados com a privacidade de suas informações e perdas nos negócios. Conseqüentemente, a segurança da informação hoje é parte da governança corporativa. Podemos constatar que os investimentos em segurança estão ligados ao risco real de uma vulnerabilidade impactar sua vida pessoal ou os negócios da sua empresa.


Hoje as pessoas estão preocupadas em ter um firewall pessoal, um bom antivírus e antispam instalados. As empresas realizam avaliação de risco para auxiliar os tomadores de decisão. Mas a segurança da informação exige uma melhoria contínua dos processos, e isso não está ocorrendo.

Vulnerabilidades

As empresas continuam com os mesmos problemas após investirem em tecnologias de segurança, tais como firewalls, antispam, sistema de detecção de intrusos, antivírus etc. Os hackers provaram que é possível acessar informações confidencias (pessoais ou corporativas) explorando vulnerabilidades nas aplicações, atropelando todas as tecnologias de segurança comentadas anteriormente.

Toda vez que especialistas mundiais em assuntos sobre segurança da informação discutem avaliação do Sistema de Gestão da Segurança da Informação (SGSI), a pergunta mais comum é: “como avaliar o nível de maturidade do SGSI em uma organização?.”


A realidade é que, na opinião de alguns especialistas que tentam utilizar alguma metodologia sobre níveis de maturidade para os processos focados na segurança da informação, tais modelos são subjetivos ou estão incompletos.


Sempre que a oportunidade se apresenta, diretores e gerentes de TI, bem como consultores e analistas de segurança da informação, costumam fazer precisamente essas perguntas sobre a avaliação do nível de maturidade do SGSI: como eu sei a situação atual da minha empresa em relação à segurança? Quais processos precisam de melhoria de acordo com a estratégia da organização? Os investimentos em segurança estão resolvendo os problemas? Os resultados obtidos estão na mesma proporção do que gastamos?

O objetivo da avaliação do nível de maturidade de segurança da informação pode ser definido como a soma de "melhores práticas" para diagnóstico e avaliação de maturidade do SGSI em uma organização.

Padrões


Dessa forma, a organização consegue mapear a situação atual, estabelecer e monitorar passo-a-passo as melhorias dos processos rumo à estratégia da organização e comparar com a situação das melhores organizações no segmento (benchmarking) e com padrões internacionais (por exemplo, ISO/IEC 27002).

Devem também desenvolver um plano de crescimento da maturidade estruturado em efetuar uma ligação entre o planejamento estratégico da empresa e a segurança da informação. Assim, os objetivos de segurança podem ser mais bem avaliados.


Embora existam muitos profissionais preocupados com essas questões, a mais proveitosa sempre foi identificar quais processos precisam de melhoria de acordo com a estratégia da organização.


Seja como for, é importante observar que a criação de um plano de crescimento a curto e longo prazos é indispensável para tornar os processos avaliados mais robustos e precisos.

É possível ainda registrar as dimensões presentes em cada nível de maturidade. Ou seja, a organização irá identificar a taxa de satisfação das necessidades de negócios e objetivos de segurança de acordo com o alinhamento estratégico, competência comportamental, estrutura organizacional, informatização, metodologia e competência técnica.

O assunto ganhou destaque há pouco tempo por meio de relatos críticos de organizações que necessitam de um guia para ações das melhorias dos processos de segurança da informação.


É importante comentar também que o diagnóstico e a avaliação do nível de maturidade de segurança da informação representa a metodologia mais adequada para demonstrar quão hábil uma organização está em relação à gestão dos processos de segurança da informação.

Denny Roger é diretor da EPSEC e da Associação Brasileira de Segurança da Informação (Abrasinfo), membro Comitê Brasileiro sobre as normas de gestão de segurança da informação (série 27000), especialista em análise de risco, projetos de redes seguras e perícia forense. E-mail: denny@epsec.com.br.

O apagão foi causado pelos hackers?

Ontem a noite ocorreu um apagão no Brasil. Daí lembrei de um comentário publicado no blog da Errata Security” no dia 08 de novembro de 2009. O começo do post, traduzindo para o português, é mais ou menos assim:

“Acabei de assistir o CBS 60 Minutes especial sobre cyberhackers, onde eles afirmam que a falta de energia no Brasil (em 2005 e 2007) foi causada por hackers. É improvável que isto seja verdade.”

Confira o post completo no blog http://erratasec.blogspot.com/2009/11/brazil-outage-not-caused-by-hackers.html.

Caso você não tenha o inglês fluente, utilize o Google Translate para traduzir o texto. Acesse http://translate.google.com.br/

A Ana Braga em seu programa hoje está falando que podem ser os hackers responsáveis pelo apagão e tem um especialista no programa dela falando sobre as possíveis causas do apagão e ele concordou com ela sobre os hackers.


Imaginem o que as pessoas que estão assistindo ao programa irão sair falando por ai.... “Duro de Matar 4.0”... rs rs rs

Outro detalhe, o site da Furnas abriu o bico agora: http://www.furnas.gov.br/.

Abraços,

Denny Roger