Segurança da Informação blog - Fraud

Miopia dos Gestores de Segurança.

Claudio Oliveira — Thu, 16 Jul 2009 13:36:29 GMT

Após anos de experiência na área de Tecnologia e Segurança da Informação, vejo cada vez mais o que podemos chamar de falsa sensação de segurança, isto é os gestores de segurança desconhecem seus problemas e riscos ao negocio.

O desconhecido coloca os gestores em uma zona de conforto onde eles acreditam que os controles e tecnologias aplicadas, estão a contento para suportar e assegurar os negócios das empresas.

Sempre que é executado um levantamento de Gaps de segurança ou uma avaliação de segurança, podemos encontrar diversos riscos desconhecidos pelo gestor, isto ocorre pelo fato que muitos destes riscos nunca foram enumerados ou tratados pelas políticas e normas de seguranças das empresas ou até mesmo essas empresas não têm políticas ou diretrizes para tratá-las.

Ao final dessas atividades grande relatórios são gerados e entregues aos gestores, com diversos riscos que na sua maioria nem sempre são compreendidos por eles, problemas que antes nunca fora observado ou detalhes importantes que ficaram em uma área nebulosa das empresas, aparecem com uma intensidade grandiosa gerando muita preocupação e desconfiança.

Lembro-me que uma vez em uma reunião de apresentação do relatório após um Assessment (Avaliação de Segurança) , o gestor me questionava se todos os riscos apresentados no relatório eram “realmente tangíveis”, o que me deixou extremamente preocupado, pois este gestor estava mais preocupado em diminuir em números os riscos apresentados (pois o relatório seria replicado para sua matriz), do que realmente entender qual era o grau de severidade e gravidade dos mesmos.

Comecei a compreender esse comportamento de uma forma mais racional, pois estava tirando esse gestor de sua zona de conforto, colocando ele em uma posição extremamente delicada, exigindo um planejamento estratégico emergencial de curto, médio e longo prazo.

Para este caso acompanhei todo o processo de levantamento e implantação das correções, pude verificar que o foco do gestor nem sempre era da solução imediata do problema e sim criar um ambiente onde seria possível responder para sua matriz que o problema foi mitigado, não o suficiente para proteger o negócio da empresa e sim gerar um relatório com um Ok para os controles.

Ficou claro que muitas das correções de médio e longo prazo, demandava investimentos, muitos desses não provisionados para o período fiscal e a outra parte a serem aprovados, pelo executivo patrocinador ou comitê gestor de finanças da empresa. Porém parte desses investimentos nunca seria aprovada. Foi recomendado ao gestor de Segurança partilhar a gestão do risco com os mesmos executivos que aprovam o orçamento, pois garantir a segurança dos negócios é responsabilidade de todos os gestores das empresas e não somente o Gestor de Segurança da Informação.

Casos como este é cada vez mais comum no mundo corporativo, os gestores necessitam avaliar com mais freqüência e reconhecer os riscos e ameaças sobre seus negócios. Determinar o tratamento preventivo e corretivo, com forças tarefas mais focadas, elevará a eficácia, eficiência e diminuirá os custos envolvidos para manter os níveis de segurança em patamares aceitáveis.

Criptografia é Necessário?

Claudio Oliveira — Tue, 14 Jul 2009 19:48:21 GMT

Devo usar ou não criptografia? Realmente é necessário? Meus investimentos serão protegidos com a criptografia? Meus negócios estão protegidos com criptografia?

Questionamentos iguais a este, entre outros diariamente são feitos pelos os gestores de TI.

Na verdade atualmente estou ouvindo com freqüência que a criptografia irá resolver todos os problemas de segurança das organizações modernas, facilitando a troca de informações de forma segura e o seu devido armazenamento.

Analisando mais a fundo essas questões, consegui verificar que a aplicação da criptografia está ocorrendo de forma indiscriminada sem a devida análise dos riscos e benefícios que ela traz.

Há pouco tempo atrás, entrei em um site do Governo Federal onde precisava de informações financeiras do Governo de caráter público, onde por minha surpresa encontrei um certificado digital criptografando a pagina com SSL, porém vencido. Sua função básica de proteger as informações estava ocorrendo, apesar de vencido, porém as informações no site em questão eram informações publicas, isto é, qual era a necessidade de proteger o trafego dessas informações uma vez que elas eram públicas?

Outro caso que verifiquei foi em um site de FTP de uma grande empresa, recebi o endereço, usuário e senha para este acesso, porém as informações eram classificadas como criticas e de grande importância para empresa em questão, parte da senha era nome da empresa e o trafego das informações não utilizava nenhum tipo de criptografia.

Exatamente sobre essa utilização ou falta dela que estou falando, muitas vezes avaliar e classificar as informações é o primeiro passo e o mais importante para pensarmos em criptografia, antes mesmo do que a própria tecnologia adotada para proteger os dados.

Definir a tecnologia o tamanho da chave e juntamente com o algoritmo a ser utilizado é o segundo passo deste processo, na imagem abaixo apresento algumas tecnologias, com suas chaves, tipo de algoritmo utilizado e informações adicionais:

Como podemos observar na imagem amostra, temos várias chaves e algoritmos distintos a seu uso e aplicação. O tamanho da chave é extremamente importante para definir o desempenho da aplicação, pois não adiantar selecionar chaves gigantescas que possam inviabilizar a funcionalidade da aplicação ou sistema.

Definir o tipo da chave simétrica ou assimétrica ajuda a direcionar o seu correto uso e por sua vez maior nível de segurança para as aplicações ou dados a serem protegidos. Por exemplo, as chaves assimétricas são utilizadas em par, mais comuns em criptografia de mensagem e arquivos trafegados em redes públicas.

O grande ponto sobre este assunto é antes de decidir o que irei utilizar, o quanto irei gastar e qual a velocidade eu preciso para que minha aplicação ou sistema funcionem, um estudo preliminar será necessário para balizar todos esses itens com inteligência e racionalidade, a fim de obter um equilíbrio entre a segurança, desempenho e investimento.

Recomendamos sempre utilizar a criptografia quando as informações trafegadas ou armazenadas forem classificadas adequadamente e exigirem algum nível de proteção, isto é, caso ocorra um vazamento dessas informações uma perda financeira poderá ocorrer, se isso for verdade a criptografia deve ser utilizada com certeza.

O avanço da Fraude no Brasil e no mundo

Daniel De Carvalho — Tue, 07 Jul 2009 21:18:03 GMT

A fraude não é um problema novo, desde a criação da economia, se conhece o termo “golpista”, que nada mais é do que pessoas que se aproveitavam da ingenuidade e falhas de outros e em uma manobra desleal, utilizando-se de meios ilícitos, deferem um golpe, cujo objetivo é enganar e ludibriar o próximo. Analisando a nossa própria história, vemos indícios de técnicas de fraudes datados de 429 A.C. Xenofonte, um estrategista grego, usava em suas táticas de guerra: a fraude, e com ela, se aproveitava da ingenuidade de seus inimigos. Em 1920 vemos surgir indícios de umas das maiores fraudes ocorridas no mundo, e que se estende até os dias atuais, que é o famoso Esquema Ponzi (conhecido também como o esquema da Pirâmide), em que temos no caso Madoff nosso mais recente caso. O ser humano não aprende com os erros, pois se assim o fizesse, a Humanidade seria poupada de várias guerras, como as ocorridas ao longo de sua História. Com o avanço da tecnologia, também avançaram os meios e métodos usados pelos fraudadores de disseminar os seus atos ao redor do mundo. Os golpes tomaram proporções globais, e são muito mais convincentes e elaborados do que os praticados outrora, apesar de manter o mesmo fim, lesar e enganar pessoas. O motivo pela qual a fraude é tão eficaz reside em uma característica intrínseca, presente na maioria dos indivíduos: a ganância. A ganância é um dos maiores alavancadores da fraude. A necessidade que o homem tem de sempre querer mais, acaba tornando-o vulnerável a este tipo de golpe. A ganância se alia a outro fator chave, a ignorância (“não no sentido do estado social no qual a instrução, a cultura é extremamente precária, mas no sentido da ingenuidade excessiva; inocência, estado daquele que ignora algo”). Nas maiorias dos casos, é difícil estereotipar um fraudador. Estudos recentes mostram que 60% das fraudes são executadas por funcionários internos. Entretanto a fraude não é nenhum bicho de sete cabeças, como muitos podem achar. Na verdade a fraude nasce da falta de controles de segurança nos processos de negócio das empresas. É importante notar que a fraude não se limita ao setor financeiro, na verdade ela está presente em quase todos os segmentos da indústria bem como no nosso cotidiano. Infelizmente não existe maneira de erradicar a fraude totalmente, visto que ela tem que ser vista como um risco operacional, aquele que sempre existiu, continua existindo, e sempre existirá. A maneira mais eficaz para se lidar com a fraude é a prevenção. A fraude deve ser vista como qualquer outro risco, podendo ser: Mitigado (a fim de reduzir a fraude a um nível tolerável), Transferido (via seguro ou outros acordos terceiros) ou também Aceitado (quando o valor da ação preventiva anti-fraude excede o valor do ativo). No decorrer desses anos, onde trabalho como analista de segurança e fraude, creio que o melhor meio para combatê-la é através de uma análise da segurança das operações, bem como uma análise baseada em risco dos processos de negócio existentes em transações comerciais. Ao contrário do que muitos dizem que a segurança não é um software ou appliance, segurança é, de fato, um processo, e um processo diário. Tomemos um exemplo:, férias obrigatórias:. Por mais incrível que possa parecer, as férias obrigatórias funcionam como um controle, um processo que ajuda a identificar e prevenir atos fraudulentos dentro de um setor. Como? Um funcionário irá “assumir” as operações do indivíduo que saiu de férias, correto? Logo este outro funcionário poderá detectar artimanhas para ludibriar;, fraudar, ou até mesmo embustes nos processos operacionais comandados pelo funcionário ausente. Entretanto para que isso ocorra, são necessários processos sólidos de relatos Anti- Fraude bem como campanhas de conscientização Anti-Fraude. Assim como nossos documentos são os elementos que usamos para nossa identificação. Eles também são alvos de constantes atividades fraudulentas. O processo de validação de autenticidade de documentos é primordial no combate a fraude. No Brasil, o RG (Registro geral do individuo – identidade) e o CPF (Cadastro de pessoa física) são os documentos mais fraudados no mercado, seguido do passaporte. Tanto o RG quanto o CPF possuem controles de segurança muitas vezes ignorados e esquecidos. Por exemplo: Todos os documentos possuem o nome do diretor responsável pela expedição da cédula, e a data de sua expedição. Quando estas informações são cruzadas, as inconsistências podem ajudar a alertar que o documento pode ser fraudulento. Todas estas informações são publicadas pelo governo, e estão disponíveis a qualquer indivíduo. As técnicas e normas Anti-Fraude muitas vezes compartilham controles com outras normas e padrões da indústria, tais como: PCI (medidas de Proteção de Dados de Cartões de Créditos), AML (Medidas Anti-Lavagem de dinheiro) entre várias outras normas e boas práticas da segurança da informação. Isto sugere que, alcançar este nível de conformidade não esteja tão distante quanto se imagina. A globalização da economia, a velocidade da disseminação da informação e o crescente avanço tecnológico fazem da fraude um risco eminente para qualquer empresa. Nesta hora resta apenas uma pergunta: A sua empresa está Segura?