PESQUISA SETORIAL SOBRE SEGURANÇA E DEFESA CIBERNÉTICA

Transcrição

1 PESQUISA SETORIAL SOBRE SEGURANÇA E DEFESA CIBERNÉTICA Dr. Roberto Gallo - Coordenador COMCIBER/ABIMDE <comciber@abimde.org.br> Campinas, 9 de março de 2016 RESUMO. A SEGURANÇA E A DEFESA CIBERNÉTICA SÃO ASSUNTOS DE EXPOSIÇÃO E PREOCUPAÇÕES FREQUENTES DE DIVERSOS ESTADOS NACIONAIS E SUAS RESPECTIVAS SOCIEDADES. NO BRASIL, A SITUAÇÃO NÃO É DIFERENTE E, COMO EM OUTRAS ÁREAS TECNOLÓGICAS, DOMÍNO NACIONAL É FUNDAMENTAL. NESTE DOCUMENTO SÃO APRESENTADOS OS RESULTADOS DE PESQUISA SETORIAL CONDUZIDA NO MÊS DE JANEIRO DE 2016 E QUE TRAZ CONSIGO ACHADOS INTERESSANTES PARA A BASE INDUSTRIAL DE DEFESA E PARA TODA A COMUNIDADE DE SEGURANÇA E DE DEFESA CIBERNÉTICA. 1 INTRODUÇÃO A importância do setor cibernético dispensa apresentações. No escopo de Defesa, a relevância do assunto está claramente definida na Estratégia Nacional de Defesa. À medida que segurança da informação passa a ser crescentemente importante tanto para segurança da Sociedade como do Estado, principalmente frente aos desafios modernos da cibernética, fica claro que uma compreensão detalhada do setor é fundamental. Por este motivo, este Comitê de Cibernética da ABIMDE conduziu durante o mês de janeiro de 2016 pesquisa setorial com tomadores de decisão, profissionais e outros interessados na área cibernética.

2 2 METODOLOGIA A pesquisa foi realizada por meio de formulário online distribuído para população estimada de 500 indivíduos significativos e contou com 50 respostas válidas (para efeitos significância, em um teste de hipóteses, estes números resultam em margem de erro de 10% com intervalo de confiança de 90%). Os canais utilizados para distribuição incluíram: Lista de s COMCIBER Grupo do ROADSEC no Telegram; Grupo do SecurityCast no Telegram; Divulgação no Facebook Divulgação no LinkedIn 3 RESULTADOS DA PESQUISA 3.1 DADOS DEMOGRÁFICOS Os participantes da pesquisa possuem idade variada e que pode ser observada no histograma a seguir e possuem média de 31,5 anos, mediana de 29 e desvio padrão de 10. FIGURA 1 - HISTOGRAMA DA IDADE DOS ENTREVISTADOS [FONTE: O AUTOR]

3 Quando questionados sobre a forma de envolvimento com a área de segurança e defesa cibernética, 70% dos entrevistados disseram possuir envolvimento profissional com a área na forma de tomadores de decisão ou atuando em alguma atividade técnica diretamente relacionada. Além disso, outros 15% se declararam estudantes. Os demais 15 % estão organizados entre entusiastas e apenas interessados na área. Os entrevistados também foram questionados sobre a sua imagem pessoal relacionada à área; sabe-se que no meio hacker existe uma percepção pessoal de lado branco versus lado negro, usualmente ligado à observância estrita de regras ortodoxas ou não. Enquanto 51% dos entrevistados se disseram White-hats apenas um entrevistado se declarou Black-hat, conforme pode ser observado na figura a seguir. FIGURA 2 - PERCEPÇÃO PESSOAL DOS ENTREVISTADOS [FONTE: O AUTOR] Dos participantes da pesquisa, ainda temos os seguintes dados relevantes; 86% possuem formação em área técnica ligada a tecnologia da informação ou similar, 2% em humanas e os demais 12% não responderam. Além disso, 40% dos entrevistados possuem algum tipo de pósgraduação (entre strictu-sensu e latu-sensu). Em especial, chama a atenção o fato de que 10% dos entrevistados possuem doutorado.

4 Quando questionados sobre formações específicas na área 16% dos entrevistados dizem possuir alguma certificação de mercado (independente de ser específica da área de segurança), sendo que as mencionadas são: Security+ (4 vezes), CISSP (2 vezes), LPI (2 vezes), CISA (1 vez), CISM (1 vez), CLE (1 vez), RHCE (1 vez), CEHV9 (1 vez), CISCO (1 vez), GIAC-GREM (1 vez), GIAC-GMOB (1 vez). Quando questionados sobre quais as subáreas da segurança informação que você autua ou possui maior conhecimento?, 41% indicou pen-testing, 16% indicou criptografia, 14% hardening. Como cada entrevistado poderia indicar mais de uma resposta e o campo era livre, os dados não somam 100% e foi aplicada normalização de termos. 3.2 PERCEPÇÃO SOBRE MERCADO CRESCIMENTO DO MERCADO EM 2016 No quesito mercado, perguntou-se como deve se comportar o mercado em 2016 em relação a A figura a seguir mostra o histograma do resultado. Enquanto 53% dos entrevistos acreditam em um crescimento do mercado (em tons de verde), 21% acreditam em uma redução. A ponderação dos dados mostra expectativa de crescimento positiva, de cerca de 6%. FIGURA 3 - PERSPECTIVAS DE CRESCIMENTO DO MERCADO [FONTE: O AUTOR]

5 Quando questionados sobre a razão da perspectiva de crescimento de mercado, quase todos apontam a crise como fator que impede o crescimento ou causa retração. Por outro lado, os casos objetivos de ataques são a principal razão pelas as quais o mercado deve crescer, segundos entrevistados CRITÉRIOS DE ESCOLHA DE PRODUTOS E SERVIÇOS DE PROTEÇÃO Foi também perguntado aos entrevistados os principais critérios na hora da escolha de produtos e serviços e fornecedores para fins de proteção e que geraram os seguintes achados: ACHADO 1: Na hora de escolher SERVIÇOS E PRODUTOS PARA FINS DE PROTEÇÃO, 57,1% dos entrevistados procuram relação custo benefício, baixo custo, 26,5% por melhor produto, melhor serviço e 16,3% por customização da oferta, atendimento personalizado. Importância na escolha de produtos e serviços (%) Custo Benefício Oferta Líder Customização FIGURA 4 - ACHADO 1 [FONTE: O AUTOR] CRITÉRIOS DE ESCOLHA DE FORNECEDOR DE PRODUTOS E SERVIÇOS PARA PROTEÇÃO Os entrevistados também foram questionados sobre a escolha de fornecedores: ACHADO 2: Na hora de escolher O FORNECEDOR DE SERVIÇOS E PRODUTOS PARA FINS DE PROTEÇÃO, os entrevistados classificaram como fator de importância máxima: 44,9% - Experiência previa positiva, 34,7% - Reputação da empresa, 26,5% - Reputação dos profissionais, 18,4% - Casos de sucesso com outros clientes. Nota: os números não somam 100%.

6 Escolha de Fornecedor Fator 1 Fator 2 Fator 3 Fator 4 Fator 5 Fator 6 FIGURA 5 - ACHADO 2 - [FONTE: O AUTOR]. NÚMERO DE REPOSTAS POR NÍVEL DE IMPORTÂNCIA (FATOR). Uma leitura imediata do ACHADO 2 implica que: (a) que há fidelização no mercado, dificultando entrantes e (b) reputação é fundamental para uma estratégia de sucesso MARCO CIVIL DA INTERNET Finalmente, ainda sobre a temática de mercado, foi perguntado se [...] o Marco Civil da Internet vai influenciar o mercado em Como a maioria das outras perguntas no formulário esta questão era discursiva e de livre preenchimento, podendo o entrevistado ignorá-la. 10% dos entrevistados disseram que não, o MCI não deve influenciar o mercado em 2016, 35% disseram que sim, aumentando o mercado e os demais 55% ou não preencheram ou informaram desconhecer o Marco Civil. É importante notar que dentro daqueles que responderam que Sim, 1/3 notou que o mercado já vinha sendo influenciado, desde CIBERNÉTICA E O SETOR DE DEFESA DEFINIÇÃO DE GUERRA CIBERNÉTICA

7 Com a intenção de se verificar a visão dos entrevistados com as definições mais clássicas do tema, foi perguntado aos entrevistados o que é Guerra Cibernética [...] na opinião deles. As respostas então foram comparadas à definição clássica do especialista do governo norteamericano, Richard A. Clarke, que em seu livro Cyber War (May 2010), define "cyberwarfare" como "actions by a nation-state to penetrate another nation's computers or networks for the purposes of causing damage or disruption". Como a resposta do formulário era textual e aberta, as respostas foram avaliadas individualmente de forma qualitativa. Os resultados são os seguintes: 29% das definições pessoais estão alinhadas com a definição clássica, 40% das definições pessoais não estão alinhadas com a definição clássica e 31% não respondeu. Das definições não-alinhadas, a maioria traz definições equivalentes a crime cibernético, sem autor ou alvo sendo um Estado- Nação ENGAJAMENTO PESSOAL

8 Questionados com: Em vários lugares do mundo, as Forças Armadas trabalham em conjunto com hackers profissionais em atividades de Defesa. Você trabalharia em uma atividade de Defesa nacional?, os resultados mostram um alto nível de disposição ao engajamento (87%) e foram os seguintes: Engajamento hipotético - você trabalharia em atividade de Defesa nacional? Não, o assunto não me interessa Sim, como militar Sim, porém de forma independente Engajamento hipotético - você trabalharia em atividade de Defesa nacional? FIGURA 6 CONTAGEM DO ENGAJAMENTO HIPOTÉTICO [FONTE: O AUTOR] CAPACIDADES IMPORTANTES PARA GUERRA CIBERNÉTICA Aos entrevistados foi solicitado que marcassem de zero a seis capacidades pré-selecionadas que julgassem importantes em uma ação militar. Os resultados são apresentados na figura a seguir.

9 Capacidades importantes para guerra cibernética Causar efeitos cinéticos Capacidade de causar negação de serviços Capacidade para ataques Capacidade de atribuição de origem de ataques Capacidade ampla de monitoramento de fontes abertas Capacidade robusta de proteção 0.00% 10.00% 20.00% 30.00% 40.00% 50.00% 60.00% 70.00% 80.00% 90.00% FIGURA 7 - CAPACIDADES DESEJADAS PARA OPERAÇÃO MILITARES. OS VALORES NÃO SOMAM 100% [FONTE: O AUTOR] ADEQUAÇÃO DOS PRODUTOS E SERVIÇOS DE TI CORPORATIVOS AO EMPREGO MILITAR Aos entrevistados foi apresentada a seguinte pergunta: Em sua visão, produtos e serviços do mundo de TI (corporativos) são adequados ao emprego militar? [...]. A questão admitia respostas de texto livre. O resumo das respostas, forçadas em categorias, são apresentados na Figura 8. É importante notar que não existe uma tendência clara. Os que responderam não, ou sim, a depender do produto e do caso de uso tiveram em comum as preocupações com inserção de artefatos maliciosos e as preocupações com resiliência esperada dos produtos.

10 Os produtos e serviços de TI corporativos são adequados ao emprego militar? Não respondeu Sim Não Sim, mas depende do produto e do caso de uso 0% 5% 10% 15% 20% 25% 30% 35% FIGURA 8 - ADEQUAÇÃO DE SERVIÇOS E PRODUTOS DE TI AO EMPREGO MILITAR [FONTE: O AUTOR] 4 CONCLUSÃO Este documento apresenta dados estatísticos relacionados com o setor de Defesa e Segurança Cibernética no Brasil. Os dados apresentados foram colhidos em comunidades selecionadas e em formulário eletrônico disponibilizado ao público em geral. Ainda que não seja objetivo deste documento a apresentação de uma análise dos dados, podemos destacar as seguintes observações: Os entrevistados esperam um crescimento de dois dígitos do mercado no ano de 2016; Os entrevistados mostram uma predisposição importante para engajamento hipotético em atividades de Defesa; Reputação é um dos pilares na escolha de fornecedores no setor; Tais observações nos permitem concluir que o mercado de segurança e defesa cibernética pode ser atrativo para a indústria de Defesa, principalmente em um momento de contração da demanda governamental no ano de AGRADECIMENTO Agradecemos às comunidades Roadsec e SecurityCast pela participação na pesquisa. Em especial ao Alberto Azevedo que permitiu a postagem da chamada pesquisa ao segundo grupo.