COMO REDUZIR CUSTOS E AMEAÇAS EM 2016

Transcrição

1 COMO REDUZIR CUSTOS E AMEAÇAS EM 2016 O budget de segurança da informação no Brasil sempre foi baixo em relação a outros países por uma série de razões. Um dos motivos para a queda nos investimentos em soluções e estratégias de segurança é a crise econômica pela qual passa o país, responsável por uma queda também nos gastos em TI como um todo. No Brasil, a falta de uma cultura de segurança também contribui para a pouca importância dada à segurança da informação. Para o diretor de Engenharia da PROOF, Leonardo Moreira, em países mais desenvolvidos, como nos Estados Unidos, existe um controle maior da segurança. Nos Estados Unidos, se você tem um incidente, é obrigado a divulgar. No Brasil isso não é obrigatório e muitas empresas não divulgam, pois isso geraria uma mancha na marca, afirma. Para ele, isso acaba tornando os números de segurança no Brasil bem pouco confiáveis. Ele destaca ainda a falta de normas mais específicas para nichos. Nos Estados Unidos, por exemplo, empresas do ramo hospitalar precisam seguir o Health Insurance Portability and Accountability Act (HIPAA). Existe ainda o Payment Card Industry Security Standards Council (PCI-DSS), que deve ser seguido por empresas do mundo inteiro que queiram trabalhar com pagamentos por cartão de débito e crédito. O Brasil ainda é pouco desenvolvido nessa parte de normas. A gente tem algumas normas, mas não existem regras específicas para nichos, só algo mais genérico, diz ele, destacando o baixo nível de maturidade em relação à segurança. Não há nada melhor que uma norma para fazer as empresas investirem em segurança, destaca. Saiba a seguir quais são os maiores gastos das empresas brasileiras com segurança da informação e conheça formas de reduzir custos e ameaças. Falta de cultura, complexidade e legado Para as empresas de pequeno e médio porte, a segurança é algo praticamente inexistente, pois se vê pouco valor nisso. Para Moreira, o maior problema é a falta de acessibilidade para entender que a segurança é importante para o negócio. Essas organizações preferem investir em outras coisas que, no julgamento de seus gestores, são mais eficientes para o negócio. Nessas empresas, geralmente você vê só um gerente de TI sob um chapéu de Segurança, que

2 cuida do gerenciamento de acesso e da educação do usuário, explica. No caso das empresas de grande porte, os problemas se baseiam na complexidade do ambiente. A comunicação entre vários sistemas das mais diferentes formas dificulta a visibilidade do ambiente e a identificação de todas as lacunas. O legado também é um problema típico das grandes empresas, que mantêm plataformas antigas que requerem uma cara mão de obra. Outro caso crítico é quando as plataformas usadas não são mais suportadas pelo fabricante se alguma falha ocorre, não há para quem recorrer. Segundo Moreira, a complexidade não se restringe apenas aos sistemas, mas também a pessoas. Hoje os usuários estão em muitos lugares diferentes. As empresas têm dificuldade para atuar em cerca de 50 localidades garantindo segurança e compliance, diz. COMO É FEITO O INVESTIMENTO EM SEGURANÇA ATUALMENTE As empresas brasileiras atualmente investem muito em commodities de segurança, como firewalls e sistemas de prevenção pouco eficientes, que servem apenas para passar em auditorias, mas não protegem o ambiente. Soluções mais modernas, como firewalls de próxima geração (em inglês, Next Generation Firewall NGFW) e sistemas de gerenciamento de incidentes, são ignoradas e tidas como não importantes. O maior problema dessa estratégia é que há gastos desnecessários em que as empresas trocam seis por meia dúzia. Em alguns casos, a empresa deixa de investir em inteligência para trocar por um equipamento que acredita ter capacidade de resolver todos os problemas de segurança, mas não vai melhorar em nada a visão em segurança. Para Moreira, é preciso criar uma cultura mais baseada na inteligência e não na prevenção. Quando se trata de prevenção, a empresa espera alguém fazer algo para tomar uma ação. Inteligência, por outro lado, permite estar à frente para tomar uma ação rápida para entender a ameaça, explica o diretor de engenharia. Apesar da estratégia retrógrada encontrada em grande parte das empresas brasileiras, Moreira destaca o trabalho do setor bancário no Brasil, um dos que mais investem em segurança da informação no mundo. Eles [os bancos brasileiros] já entenderam que a segurança da informação é algo intimamente ligado ao negócio deles e querem que os clientes façam cada vez menos transações pela agência, explica. terceirização pode aumentar a maturidade em segurança No Brasil, as equipes de segurança estão cada vez mais atarefadas. É comum encontrar empresas em que a pessoa responsável pela segurança é a mesma que faz os projetos e cuida da operação. O problema, segundo o diretor de engenharia da PROOF, é que a operação é urgente, mas o projeto é importante, e o urgente sempre vai estar na frente. Ao terceirizar áreas da operação de segurança, as empresas podem reduzir custos com o gerenciamento de pessoas e garantir melhorias operacionais, permitindo que a equipe transforme 1 milhão de eventos em três alertas com os quais possa lidar. Ao fazer isso, os profissionais ficam livres para elevar o nível de maturidade da segurança.

3 Todo o mercado tem feito isso, mas faz ainda mais sentido para as empresas de médio e grande porte, que geralmente precisam de uma equipe grande, multidisciplinar e com maior disponibilidade de horários, explica Moreira. A empresa pequena tem uma pessoa que costuma ser responsável pela segurança. Quando precisa aumentar a equipe, opta por serviços como um MSS. O mercado em que a empresa está inserida também influencia essa decisão. Um e-commerce, por exemplo, tem uma preocupação maior com o downtime, pois, caso ocorra um problema de segurança que deixe o site fora do ar, a empresa perde dinheiro diretamente. segurança como investimento, não custo Para o diretor de engenharia da PROOF, o que falta às empresas brasileiras é pensar na segurança como um investimento que deve ter seu retorno maximizado e não como um custo a ser minimizado. As empresas precisam investir mais em inteligência. O investimento que existe hoje ainda é muito tímido e geralmente envolve a troca de uma coisa ou outra, que no final acaba ficando tudo na mesma. Não há um aumento de capacidade, afirma. Em geral, não só pela crise econômica, as empresas estão investindo menos no que acreditam ser pouco importante para o negócio, conta. Isso é ruim, pois a segurança é uma corrente e, se há um elo mais fraco, é onde ela vai arrebentar. Acredito em uma desaceleração, algo que deve ser normalizado no fim de 2016 ou início de 2017, quando a crise passar e o valor do dólar se estabilizar, explica. O que as organizações precisam entender é onde investir o seu real a mais. Serão necessárias novas soluções? Como encaixá-las na segurança atual? Vamos contratar novos analistas? Oferecer mais treinamentos? O planejamento também é importante. Os líderes devem tomar decisões com base no benefício trazido pela solução de segurança, não só no custo. Para isso, devem fazer um cuidadoso cálculo de retorno de investimento. Se antes uma empresa tinha uma equipe gigantesca para mitigar riscos de segurança, a partir do momento que começa a trabalhar com inteligência, diminui a necessidade de mitigação porque tem um ambiente mais controlado. Isso já é retorno de investimento, é uma melhoria operacional, afirma o diretor. Toda vez que um ataque é bloqueado por um ativo de segurança, também há um retorno de investimento, pois se evita que um dado da empresa seja comprometido, evitando que sistemas fiquem fora do ar. O mesmo vale para a identificação de malwares. Quanto valeria uma informação roubada nas mãos da concorrência ou de outro país? Enquanto não se pensar em um plano de retorno de investimento para a segurança, ela será sempre vista como custo, e as empresas sempre querem minimizar os custos, afirma Moreira. Muitas empresas também erram ao investir em sensores de segurança que não podem ser gerenciados. Para os gestores, a maior preocupação é manter a operação de segurança. De nada adianta investir em proteção

4 se não se pode investir em profissionais que vão analisar os dados e entender o que está acontecendo. Se um ataque acontece de madrugada, por exemplo, é preciso que haja profissionais para tomar uma atitude rápida para evitar que mais dados sejam vazados. Quanto mais dados e avaliações em tempo real, mais como lidar com o legado Não existe uma solução mágica para lidar com o problema do legado nos ambientes das grandes empresas. Um planejamento é capaz de mitigar o legado, no entanto, não se pode ser radical. As empresas precisam auditar o que acontece nas plataformas legadas, explorando como se dá a comunicação com o legado e os sistemas e quem tem acesso a essas aplicações. Isso vale para qualquer solução, mas para o legado é ainda mais difícil, pois existe uma escassez de profissionais nessas soluções e, quando são encontrados, são muito caros. É preciso mapear o legado e, se uma brecha for encontrada, dar início a um processo para mudar para uma plataforma mais moderna, sempre pensando no negócio. A segurança e a TI existem para o negócio. Ele é que deve vir em primeiro lugar. A migração para uma plataforma mais moderna, portanto, deve ser feita para melhorar o negócio. Se uma plataforma de legado não representa atraso nas operações, não vejo por que mitigar, afirma o diretor de engenharia. ameaças devem ganhar força em 2016 O ransomware é uma das ameaças que devem se destacar em Trata-se de um vírus que criptografa dados e exige o pagamento de resgates para fornecerem as chaves para descriptografar as informações. Além disso, recentemente o grupo Anonymous declarou guerra ao grupo terrorista Estado Islâmico (EI), algo que deve trazer consequências não só para governos, mas para as empresas privadas. Agora qualquer usuário pode instalar um pequeno aplicativo que permite que sua máquina seja usada por grupos de hackers contra criminosos. O problema é que eles podem fazer qualquer coisa com essa máquina, como atacar uma empresa e até um governo, explica. A tendência, segundo Moreira, é que haja um aumento em atos de cyberguerra, situações que devem aumentar problemas de segurança entre países. Também devem se tornar comuns os atos para derrubar sites concorrentes, por exemplo. Em relação às novas soluções de segurança, no Brasil vemos uma ascensão de técnicas que consistem em mapear técnicas e análise de negócio, para depois analisar a segurança. Se eu consigo encontrar informações de uma empresa e dizer o que vai acontecer com ela nos próximos três anos, é possível também pegar informações do histórico de segurança para dizer se ela vai ter um incidente de segurança em três anos, um incidente grave, explica. No final das contas, estamos caminhando mais para isso, para um foco maior em inteligência.

5 A PROOF se consolida no mercado brasileiro como uma provedora de serviços em TI e segurança da informação, além de assumir o papel de protagonista no mercado como provedora de soluções em business analytics. Acesse o site e saiba mais como a PROOF pode ajudar o seu negócio:. ENTRE EM CONTATO CONOSCO: Matriz Rio de Janeiro - RJ Rua Sete de Setembro, 99, 14º andar Centro CEP: Tel/Fax: Filiais São Paulo - SP Rua Bela Cintra, 756, sala 82 Consolação CEP: Tel: / Belo Horizonte - MG Av. do Contorno, 4.480, salas 1507/1508 Funcionários CEP: Tel: Serra - ES Rua marataízes, 250, sala 608 Valparaíso CEP: Tel: