Fornecedora de soluções de segurança lista os grandes riscos embutidos nos ambientes colaborativos e que devem ajudar na elaboração das políticas de acesso.
Por Network World/EUA
13 de julho de 2010 - 09h28
Os departamentos de TI têm demonstrado preocupação, já há algum tempo, em relação aos riscos que as redes sociais podem representar para as organizações. E a preocupação não é infundada, de acordo com a fornecedora de soluções de segurança de redes Palo Alto Networks.
A empresa listou as dez principais ameaças a que as empresas estão sujeitas quando seus funcionários acessam as redes sociais e como isso deve influenciar a criação das políticas de acesso.
1::Worms. Entre os vermes (worms, em inglês) de redes sociais estão o Koobface, que se tornou, de acordo com pesquisadores, “o maior botnet da web 2.0”. Apesar de uma ameaça multifacetada como o Koobface desafiar o que entendemos por “verme”, ele é projetado especificamente para se propagar pelas redes sociais (como Facebook, mySpace, Twitter, hi5, Friendster e Bebo), aliciar mais máquinas à sua botnet, e sequestrar mais contas para enviar mais spam para aliciar mais máquinas. Tudo isso para lucrar com os negócios típicos das redes botnets, como scarewares (como antivírus falso) e serviços de encontros românticos com sede na Rússia.
2::Isca para golpes de phishing. Alguém se lembra do FBAction? O e-mail que lhe pedia maliciosamente para se conectar ao Facebook, torcendo para que ninguém percebesse a URL fbaction.net no campo de endereço do navegador? Muitos usuários do Facebook tiveram suas contas invadidas e, embora tenha sido apenas “uma fração menor que um por cento”, o total de vítimas ganha corpo quando lembramos que o Facebook tem mais de 350 milhões de usuários. Pesa a favor do Facebook o fato de ter agido rápido, trabalhando para incluir o domínio numa lista negra, mas desde então surgiram muitas cópias descaradas (por exemplo, fbstarter.com). Desde então, o Facebook tem brincado de gato e rato com esses sites.
3::Trojans. As redes sociais têm-se tornado um excelente vetor para Trojans (cavalos-de-Troia). Basta se deixar seduzir por um aviso suspeito de “clique aqui” para receber:
*Zeus – um potente Trojan de roubo de dados bancários potente que, apesar de popular, ganhou vida nova nas redes sociais. Diversos roubos de grandes somas já foram atribuídos a Zeus. Um exemplo notável: o que teve como vítima a administração escolar central de Duanesburg, no Estado de Nova York (EUA), no fim de 2009.
*URL Zone – é um Trojan similar, mas bem mais esperto. Ele é capaz de comparar o saldo das contas da vítima para ajudá-lo a decidir quais roubos merecem prioridade.
4::Vazamento de informações. Compartilhar está na alma das redes sociais. Infelizmente, muitos usuários compartilham mais do que deveriam sobre empresas e entidades, com dados sobre projetos, produtos, informações financeiras, mudanças organizacionais, escândalos e outras informações importantes. Há até maridos e esposas que divulgam, na rede, como seu companheiro ou companheira tem trabalhado até tarde em projetos altamente confidenciais, acompanhado de mais detalhes sobre o tal projeto do que seria aceitável. As consequências desse tipo de indiscrição vão do embaraçoso ao jurídico.
5::Links encurtados. As pessoas usam serviços de encurtamento de URL (como bit.ly e tinyurl) para fazer caber URLs compridas em pequenos espaços. Eles também fazem um ótimo trabalho de esconder o link original; desta forma, as vítimas não serão capazes de perceber que estão clicando em um programa instalador de malware e não num vídeo da CNN. Esses links encurtados são muito fáceis de usar e estão por toda parte. Muitos dos programas para Twitter encurtam os endereços automaticamente. E as pessoas estão acostumadas a vê-los.
6::Botnets. No fim de 2009, pesquisadores de segurança descobriram que contas desprotegidas do Twitter estavam sendo utilizadas como um canal de comando e controle para algumas botnets (redes de PCs vulneráveis, comandadas remotamente). O canal padrão de comando e controle é o IRC (rede de bate-papo), mas alguns cibercriminosos decidiram explorar outras aplicações – como o compartilhamento de arquivos P2P, no caso do Storm – e agora, engenhosamente, o Twitter. O microblog tem fechado tais contas; mas, dada a facilidade de acesso das máquinas infectadas ao Twitter, a situação terá continuidade. Assim, o Twitter também se torna adepto das brigas de gato e rato...
7::Ameaças persistentes avançadas. Um dos elementos-chave das ameaças persistentes avançadas (APT, na sigla em inglês) é a obtenção de dados sigilosos de pessoas de interesse (exemplos: executivos, diretores, ricaços), para o que as redes sociais são um verdadeiro tesouro de informações. Quem usa APTs emprega as informações obtidas para seguir adiante com mais ameaças – aplicando mais “ferramentas de inteligência” (como malwares e Trojans) e, com isso, ganhando acesso a sistemas importantes. Assim, apesar de não estarem diretamente ligadas às APTs, as redes sociais são uma fonte de dados. Menos exótico, mas não menos importante para indivíduos, é o fato de que informações sobre sua vida e suas atividades servem de munição para o ataque de cibercriminosos.
8::Cross-Site Request Forgery (CSRF). Embora não sejam um tipo específico de ameaça – é mais uma técnica usada para espalhar um sofisticado verme de rede social -, os ataques CSRF exploram a “confiança” que uma aplicação de rede social tem quando funciona sob o navegador de um usuário já conectado à rede. Durante o tempo em que essa aplicação não verificar novamente a autorização que lhe foi concedida, será fácil para um ataque infiltrar-se no canal de conexão do usuário, enviando conteúdos maliciosos que, clicados por outros, fariam mais vítimas, que por sua vez ajudariam a espalhá-lo.
9::Impostura (passar por alguém que você não é). Várias contas de redes sociais, criadas por pessoas de destaque e seguidas por milhares de pessoas, têm sido invadidas (o caso mais recente é o de um punhado de políticos britânicos). Mesmo sem invadir contas, diversos impostores têm conquistado centenas e milhares de seguidores no Twitter, só para depois constranger as pessoas que fingem ser (exemplos: CNN, Jonathan Ive, Steve Wozniak, Dalai Lama), ou fazer coisas piores. O Twitter disse que a partir de agora vai bloquear esses farsantes que tentam manchar o nome de suas vítimas, mas sob sua decisão. Já ficou comprovado que a maioria dos impersonators não distribui malware, porém algumas contas já fizeram isso (como a do Guy Kawasaki).
10::Excesso de confiança. O ponto em comum entre todas essas ameaças é a tremenda confiança depositada nas aplicações sociais. Como o e-mail na época em que chegou às multidões, ou o mensageiro instantâneo quando se tornou onipresente, as pessoas confiam em links, fotos, vídeos e arquivos executáveis sempre que eles são enviados por “amigos”, pelo menos enquanto não caírem do cavalo algumas vezes. Parece que as aplicações sociais ainda não deram seu coice a um número suficiente de pessoas. A diferença em relação às redes sociais é que o propósito delas, desde o começo, é compartilhar (muita) informação, o que implicará numa curva de aprendizado mais longa para a maioria dos usuários. Isso quer dizer que as pessoas ainda terão que cair do cavalo mais algumas vezes.
Mostrando postagens com marcador Segurança. Mostrar todas as postagens
Mostrando postagens com marcador Segurança. Mostrar todas as postagens
terça-feira, 20 de julho de 2010
sexta-feira, 9 de abril de 2010
Dispositivos para transações eletrônicas ganham padrão
Pin Transaction Security DSS será apresentado pelo PCI Security Standards Council no fim do mês e pode ter laboratório de testes no Brasil.
Por Daniela Braun, para a Computerworld
07 de abril de 2010 - 16h07
No dia 30 de abril, dispositivos de hardware usados em transações financeiras com cartões, como teclados para digitação de senhas e leitores de cartões com chip em caixas eletrônicos, passam a contar com um padrão mundial de segurança, informou o gerente geral do PCI Security Standards Council, Bob Russo, nesta quarta-feira (7/4), durante uma apresentação em São Paulo (SP).
De acordo com Russo, o novo Transaction Security Pin (PTS) DSS ajudará a evitar fraudes em leitores cartões de ATMs - prática mais conhecida no Brasil como 'chupa-cabras' - ou em teclados de terminais portáteis para transações.
A partir da apresentação do PTS DSS, fabricantes, bancos e administradores de cartões de crédito têm um ano para se adaptar ao novo padrão. "Já estamos em contato com fabricantes de dispositivos como Verifone, Micros e Gemalto", informa Russo.
O Brasil também foi um dos países escolhidos pelo PCI Security Standards Council para sediar um dos dois novos laboratórios de análise de fraudes em dispositivos financeiros, que a entidade pretende certificar até o final de 2010, ao lado da China. Atualmente, oito laboratórios no mundo recebem denúncias do setor financeiro sobre golpes em dispositivos.
No final de outubro, o Conselho também se prepara para aprovar a evolução do padrão de segurança para transações financeiras, o PCI DSS 1.3. De acordo com Russo, a versão atual (PCI DSS 1.2) já contempla regras para transações móveis por radiofrequencia (RFID), mas o novo padrão ainda não tem previsão de contemplar pagamentos usando mensagens de texto (SMS), por exemplo.
Quanto aos pagamentos via web, Russo informa que o conselho prepara um guia de boas práticas com orientações para e-commerce ainda este ano.
Brasil na mira
Bob Russo conta que o principal motivo de sua segunda visita ao Brasil é conscientização. "O Brasil já está em nosso alvo há dois anos", afirma. Segundo ele, 50% das empresas que atuam no País e são classificadas como Nível 1 - que registram 6 milhões de transações com uma única bandeira de cartão por ano - já estão bem avançada na adoção do PCI DSS.
O ponto mais crítico para a adoção do PCI DSS é a questão financeira, afirma Russo. "As empresas enxergam a segurança como um custo, ou como uma apólice de seguros", afirma. "mas se há uma brecha, o custo de perder informações e clientes é 20 vezes maior. E aí isso muda", explica.
Além de reavaliar o retorno sobre o investimento (ROI), Russo destaca que as empresas precisam diferenciar conformidade (compliance) de segurança antes de adotar o padrão. "Se você se tornar seguro, a conformidade vem como um subproduto da segurança".
Entre as 21 empresas que integram o grupo de conselheiros do PCI Council, no mundo, o Brasil está representado pelo banco Banrisul. "Eles investem muito em segurança e já estão conscientizados a respeito". O executivo também destaca o avanço de empresas multinacionais como Wal-Mart e Carrefour, no Brasil, bem como da rede Casas Pernambucanas, na adoção de padrões seguros para transações financeiras.
Por Daniela Braun, para a Computerworld
07 de abril de 2010 - 16h07
No dia 30 de abril, dispositivos de hardware usados em transações financeiras com cartões, como teclados para digitação de senhas e leitores de cartões com chip em caixas eletrônicos, passam a contar com um padrão mundial de segurança, informou o gerente geral do PCI Security Standards Council, Bob Russo, nesta quarta-feira (7/4), durante uma apresentação em São Paulo (SP).
De acordo com Russo, o novo Transaction Security Pin (PTS) DSS ajudará a evitar fraudes em leitores cartões de ATMs - prática mais conhecida no Brasil como 'chupa-cabras' - ou em teclados de terminais portáteis para transações.
A partir da apresentação do PTS DSS, fabricantes, bancos e administradores de cartões de crédito têm um ano para se adaptar ao novo padrão. "Já estamos em contato com fabricantes de dispositivos como Verifone, Micros e Gemalto", informa Russo.
O Brasil também foi um dos países escolhidos pelo PCI Security Standards Council para sediar um dos dois novos laboratórios de análise de fraudes em dispositivos financeiros, que a entidade pretende certificar até o final de 2010, ao lado da China. Atualmente, oito laboratórios no mundo recebem denúncias do setor financeiro sobre golpes em dispositivos.
No final de outubro, o Conselho também se prepara para aprovar a evolução do padrão de segurança para transações financeiras, o PCI DSS 1.3. De acordo com Russo, a versão atual (PCI DSS 1.2) já contempla regras para transações móveis por radiofrequencia (RFID), mas o novo padrão ainda não tem previsão de contemplar pagamentos usando mensagens de texto (SMS), por exemplo.
Quanto aos pagamentos via web, Russo informa que o conselho prepara um guia de boas práticas com orientações para e-commerce ainda este ano.
Brasil na mira
Bob Russo conta que o principal motivo de sua segunda visita ao Brasil é conscientização. "O Brasil já está em nosso alvo há dois anos", afirma. Segundo ele, 50% das empresas que atuam no País e são classificadas como Nível 1 - que registram 6 milhões de transações com uma única bandeira de cartão por ano - já estão bem avançada na adoção do PCI DSS.
O ponto mais crítico para a adoção do PCI DSS é a questão financeira, afirma Russo. "As empresas enxergam a segurança como um custo, ou como uma apólice de seguros", afirma. "mas se há uma brecha, o custo de perder informações e clientes é 20 vezes maior. E aí isso muda", explica.
Além de reavaliar o retorno sobre o investimento (ROI), Russo destaca que as empresas precisam diferenciar conformidade (compliance) de segurança antes de adotar o padrão. "Se você se tornar seguro, a conformidade vem como um subproduto da segurança".
Entre as 21 empresas que integram o grupo de conselheiros do PCI Council, no mundo, o Brasil está representado pelo banco Banrisul. "Eles investem muito em segurança e já estão conscientizados a respeito". O executivo também destaca o avanço de empresas multinacionais como Wal-Mart e Carrefour, no Brasil, bem como da rede Casas Pernambucanas, na adoção de padrões seguros para transações financeiras.
sexta-feira, 19 de fevereiro de 2010
Web 2.0 é o maior risco de segurança para negócios, diz pesquisa
Estudo da empresa de segurança Webroot mostra que quatro em cada cinco profissionais de TI acreditam que malwares baseados em Web 2.0 serão maior ameaça em 2010.
Por IDG News Service
18 de fevereiro de 2010 - 15h02
Quatro em cada cinco profissionais de Tecnologia da Informação (TI) acreditam que malwares baseados na Web 2.0 serão o maior risco de segurança em 2010, segundo o Webroot.
A pesquisa realizada pela companhia de segurança também mostra que 73% dos profissionais acreditam que é mais difícil lidar com esses riscos do que com outros baseados em mensagens de e-mail.
Além disso, 23% deles afirmaram que as suas companhias estavam vulneráveis a ataques baseados na web 2.0, incluindo redes sociais como o Facebook e o Twitter, enquanto 25% disseram que estão expostos a hackers que se aproveitam de falhas nos sistemas operacionais da Microsoft. Outros 24% apontaram falhas de navegadores como um risco de segurança.
A Webroot informa que 25% das companhias foram comprometidas por funcionários que acessaram redes sociais por meio de computadores corporativos, enquanto 23% delas tiveram problemas de segurança por downloads de mídia e 23% culparam contas de e-mail pessoais.
Quase dois terços dos entrevistados disseram que suas empresas já foram atacadas por vírus, enquanto 57% deles afirmaram que a companhia já foi vítima de spyware e 32% viram um ataque de injeção SQL no website corporativo.
“Negócios de todos os tamanhos estão acordando para a realidade dos riscos em novas regiões da web, como os sites web 2.0”, alerta o chefe de tecnologias da Webroot, Gerhard Eschelbeck.
Em relação a políticas de uso de internet, 88% das companhias afirmaram contar com uma. Delas, 95% tiveram de reforçam essa política. Mais da metade das empresas (56%) também disseram proibir o uso de redes sociais durante o trabalho.
Eschelbeck recomenda às companhias que acompanhem os riscos de segurança por meio de um serviço que para automaticamente qualquer ameaça baseada na web, filtra o tráfego de internet e reforça as políticas de uso da web.
Por IDG News Service
18 de fevereiro de 2010 - 15h02
Quatro em cada cinco profissionais de Tecnologia da Informação (TI) acreditam que malwares baseados na Web 2.0 serão o maior risco de segurança em 2010, segundo o Webroot.
A pesquisa realizada pela companhia de segurança também mostra que 73% dos profissionais acreditam que é mais difícil lidar com esses riscos do que com outros baseados em mensagens de e-mail.
Além disso, 23% deles afirmaram que as suas companhias estavam vulneráveis a ataques baseados na web 2.0, incluindo redes sociais como o Facebook e o Twitter, enquanto 25% disseram que estão expostos a hackers que se aproveitam de falhas nos sistemas operacionais da Microsoft. Outros 24% apontaram falhas de navegadores como um risco de segurança.
A Webroot informa que 25% das companhias foram comprometidas por funcionários que acessaram redes sociais por meio de computadores corporativos, enquanto 23% delas tiveram problemas de segurança por downloads de mídia e 23% culparam contas de e-mail pessoais.
Quase dois terços dos entrevistados disseram que suas empresas já foram atacadas por vírus, enquanto 57% deles afirmaram que a companhia já foi vítima de spyware e 32% viram um ataque de injeção SQL no website corporativo.
“Negócios de todos os tamanhos estão acordando para a realidade dos riscos em novas regiões da web, como os sites web 2.0”, alerta o chefe de tecnologias da Webroot, Gerhard Eschelbeck.
Em relação a políticas de uso de internet, 88% das companhias afirmaram contar com uma. Delas, 95% tiveram de reforçam essa política. Mais da metade das empresas (56%) também disseram proibir o uso de redes sociais durante o trabalho.
Eschelbeck recomenda às companhias que acompanhem os riscos de segurança por meio de um serviço que para automaticamente qualquer ameaça baseada na web, filtra o tráfego de internet e reforça as políticas de uso da web.
quarta-feira, 10 de fevereiro de 2010
Brasil é o país que mais hospeda conteúdo mal-intencionado na AL
terça-feira, 9 de fevereiro de 2010, 18h58 - TI Inside
A América do Norte continua liderando como a região que mais hospeda conteúdos mal-intencionados, seguida pelo bloco formado pela Europa, Oriente Médio e África (chama de EMEA) e, em terceiro, a Ásia/Pacífico. Na Europa, a Alemanha se mantém em primeiro lugar, seguida pela Holanda e pela Itália. Na Ásia, a China é o país com mais hospedagem de ameaças, seguida pela Rússia e pela Coréia do Sul.
As informações constam do relatório da McAfee, fornecedora de software de segurança, sobre ameaças referente ao último trimestre de 2009. O documento aponta que, apesar de ainda ter um índice de incidência menor que as demais regiões do mundo, a América do Sul está começando a ter uma influência maior, sendo o Brasil o país com a maior hospedagem na região, seguido pela Argentina.
O relatório revela também que, no ano passado, a média mundial de mensagens indesejadas (spam) por dia foi de 135,5 bilhões. Ainda assim, o volume total teve queda de 24% no quarto trimestre na comparação ao trimestre anterior. Os disseminadores de spams (spammers) fizeram grande uso de manchetes em 2009, aproveitando-se de notícias de repercussão mundial, incríveis tragédias e grandes eventos. Entre as principais tragédias exploradas pelos spammers no ano passado estão o acidente com o avião da Air France no Brasil e a morte de Michael Jackson.
Os pesquisadores da McAfee observaram também um número significativo de golpes de phishing com o tema da Copa do Mundo FIFA 2010, cavalos-de-Tróia Zeus criados para roubar dados pessoais e bancários, referências ao programa de vacinação contra o vírus da gripe suína e golpes de “enriquecimento rápido”, em função do aumento dos níveis de desemprego em função da crise econômica.
Segundo o relatório, a China foi a líder mundial em produção de zumbis e execução de ataques de injeção de SQL (que utilizam falhas no servidor SQL permitindo a execução de comandos através de instruções na mesma linguagem de programação), ao mesmo tempo em que os ataques pela web tiveram um papel maior e assim continuará sendo enquanto os cibercriminosos continuarem atacando as redes sociais mais populares.
O país superou os Estados Unidos na criação de redes zumbis. A produção nos EUA caiu 13,1% no terceiro trimestre para 9,5% no trimestre seguinte, fazendo com que a China liderasse com 12%. O Brasil ficou em terceiro lugar, seguido pela Rússia e pela Alemanha. Os EUA continuam sendo o principal país em termos de produção de spam, com o Brasil e a Índia ocupando o segundo e terceiro lugares, respectivamente. A Ucrânia e a Alemanha se juntaram à lista dos dez principais países produtores de spam pela primeira vez em 2009.
Os ataques com motivações políticas estão em ascensão no mundo todo e são direcionados a redes sociais conhecidas, como o ataque político do ciberexército iraniano voltado para o Twitter. O relatório confirma que os EUA não são o único alvo e que a China não é a única origem desses tipos de ataques. Alguns ataques políticos recentes tiveram como alvos o governo polonês, a Conferência sobre Mudança do Clima em Copenhague e o dia da independência na Letônia.
Os malwares que incluem softwares de segurança falsos, ataques a redes sociais e infecções a USBs que executam ameaças automaticamente tiveram uma expansão significativa no último ano. Os ataques pela internet focados na web 2.0 e as ameaças em dispositivos de armazenamento portáteis tiveram grande parte das atenções em 2009, contribuindo enormemente para o aumento de ameaças e demonstrando como a natureza das ameaças a computadores está evoluindo ao longo do tempo.
Os cibercriminosos usaram os sites de relacionamento para atacar uma nova geração de vítimas. As atividades do Koobface (vírus que se autorreplica através de perfis infectados do Facebook e MySpace) aumentaram consideravelmente durante o final de 2009. Agora, essa ameaça é hospedada em servidores de 46 países diferentes, sendo os EUA, a Alemanha e a Dinamarca os líderes em hospedagem.
A América do Norte continua liderando como a região que mais hospeda conteúdos mal-intencionados, seguida pelo bloco formado pela Europa, Oriente Médio e África (chama de EMEA) e, em terceiro, a Ásia/Pacífico. Na Europa, a Alemanha se mantém em primeiro lugar, seguida pela Holanda e pela Itália. Na Ásia, a China é o país com mais hospedagem de ameaças, seguida pela Rússia e pela Coréia do Sul.
As informações constam do relatório da McAfee, fornecedora de software de segurança, sobre ameaças referente ao último trimestre de 2009. O documento aponta que, apesar de ainda ter um índice de incidência menor que as demais regiões do mundo, a América do Sul está começando a ter uma influência maior, sendo o Brasil o país com a maior hospedagem na região, seguido pela Argentina.
O relatório revela também que, no ano passado, a média mundial de mensagens indesejadas (spam) por dia foi de 135,5 bilhões. Ainda assim, o volume total teve queda de 24% no quarto trimestre na comparação ao trimestre anterior. Os disseminadores de spams (spammers) fizeram grande uso de manchetes em 2009, aproveitando-se de notícias de repercussão mundial, incríveis tragédias e grandes eventos. Entre as principais tragédias exploradas pelos spammers no ano passado estão o acidente com o avião da Air France no Brasil e a morte de Michael Jackson.
Os pesquisadores da McAfee observaram também um número significativo de golpes de phishing com o tema da Copa do Mundo FIFA 2010, cavalos-de-Tróia Zeus criados para roubar dados pessoais e bancários, referências ao programa de vacinação contra o vírus da gripe suína e golpes de “enriquecimento rápido”, em função do aumento dos níveis de desemprego em função da crise econômica.
Segundo o relatório, a China foi a líder mundial em produção de zumbis e execução de ataques de injeção de SQL (que utilizam falhas no servidor SQL permitindo a execução de comandos através de instruções na mesma linguagem de programação), ao mesmo tempo em que os ataques pela web tiveram um papel maior e assim continuará sendo enquanto os cibercriminosos continuarem atacando as redes sociais mais populares.
O país superou os Estados Unidos na criação de redes zumbis. A produção nos EUA caiu 13,1% no terceiro trimestre para 9,5% no trimestre seguinte, fazendo com que a China liderasse com 12%. O Brasil ficou em terceiro lugar, seguido pela Rússia e pela Alemanha. Os EUA continuam sendo o principal país em termos de produção de spam, com o Brasil e a Índia ocupando o segundo e terceiro lugares, respectivamente. A Ucrânia e a Alemanha se juntaram à lista dos dez principais países produtores de spam pela primeira vez em 2009.
Os ataques com motivações políticas estão em ascensão no mundo todo e são direcionados a redes sociais conhecidas, como o ataque político do ciberexército iraniano voltado para o Twitter. O relatório confirma que os EUA não são o único alvo e que a China não é a única origem desses tipos de ataques. Alguns ataques políticos recentes tiveram como alvos o governo polonês, a Conferência sobre Mudança do Clima em Copenhague e o dia da independência na Letônia.
Os malwares que incluem softwares de segurança falsos, ataques a redes sociais e infecções a USBs que executam ameaças automaticamente tiveram uma expansão significativa no último ano. Os ataques pela internet focados na web 2.0 e as ameaças em dispositivos de armazenamento portáteis tiveram grande parte das atenções em 2009, contribuindo enormemente para o aumento de ameaças e demonstrando como a natureza das ameaças a computadores está evoluindo ao longo do tempo.
Os cibercriminosos usaram os sites de relacionamento para atacar uma nova geração de vítimas. As atividades do Koobface (vírus que se autorreplica através de perfis infectados do Facebook e MySpace) aumentaram consideravelmente durante o final de 2009. Agora, essa ameaça é hospedada em servidores de 46 países diferentes, sendo os EUA, a Alemanha e a Dinamarca os líderes em hospedagem.
segunda-feira, 8 de fevereiro de 2010
Vazamento de dados por ex-funcionários preocupa empresas
Pesquisa da consultoria e auditoria Ernst & Young revela que maiores riscos estão associados a atitudes de retaliação feitas por demitidos durante a crise.
Por Andrea Giardino, da Computerworld
05 de fevereiro de 2010 - 17h11
Uma das maiores preocupações das empresas no pós-crise tem sido o risco de vazamento de informações e roubo de dados por funcionários que foram demitidos ao longo de 2009, quando o cenário era caótico. Foi o que constatou estudo anual sobre segurança da informação da empresa de consultoria e auditoria Ernst & Young. “O medo de represálias de ex-funcionários contra seus empregadores atinge 75% dos gerentes de TI ouvidos”, afirma o sócio da companhia, Alberto Fávero.
A pesquisa, realizada com 1,9 mil empresários e diretores da área de comunicação de mais de 60 países, inclusive o Brasil, mostra que 42% estão trabalhando para entender melhor os potenciais riscos que esta situação traz e 26% já estão tomando atitudes que possam minimizar a ameaça.
“Ao contrário de pesquisas passadas, em que a preocupação era com políticas de compliance para garantir os processos de governança, as empresas temem que seus dados confidenciais sejam levados embora”, explica Fávero. Isso porque muitos profissionais dispensados ocupavam cargos estratégicos. Além disso, diz, os sistemas são vulneráveis e os mecanismos de monitoramento pouco eficazes.
O estudo apontou ainda que 50% dos entrevistados vêm gastando mais com segurança, 39% disseram estar investindo o mesmo e apenas 5% gastaram menos. Os gastos maiores são reflexos do número de ataques. Prova disso é que 41% das empresas ouvidas notaram um aumento nos ataques externos em seus sistemas e 25% observaram aumento em problemas de origem interna – aqueles provocados por seus próprios funcionários, como abuso de privilégios e roubo e venda de informação.
"Em momentos de crise, qualquer pessoa que está sob pressão acaba tendo atitudes de retaliação", ressalta Fávero. O que na sua opinião exige um cuidado maior com o comportamento dos funcionários e terceiros que interagem com sistemas da empresa, porque é aí que o vazamento das informações acontecem.
Por Andrea Giardino, da Computerworld
05 de fevereiro de 2010 - 17h11
Uma das maiores preocupações das empresas no pós-crise tem sido o risco de vazamento de informações e roubo de dados por funcionários que foram demitidos ao longo de 2009, quando o cenário era caótico. Foi o que constatou estudo anual sobre segurança da informação da empresa de consultoria e auditoria Ernst & Young. “O medo de represálias de ex-funcionários contra seus empregadores atinge 75% dos gerentes de TI ouvidos”, afirma o sócio da companhia, Alberto Fávero.
A pesquisa, realizada com 1,9 mil empresários e diretores da área de comunicação de mais de 60 países, inclusive o Brasil, mostra que 42% estão trabalhando para entender melhor os potenciais riscos que esta situação traz e 26% já estão tomando atitudes que possam minimizar a ameaça.
“Ao contrário de pesquisas passadas, em que a preocupação era com políticas de compliance para garantir os processos de governança, as empresas temem que seus dados confidenciais sejam levados embora”, explica Fávero. Isso porque muitos profissionais dispensados ocupavam cargos estratégicos. Além disso, diz, os sistemas são vulneráveis e os mecanismos de monitoramento pouco eficazes.
O estudo apontou ainda que 50% dos entrevistados vêm gastando mais com segurança, 39% disseram estar investindo o mesmo e apenas 5% gastaram menos. Os gastos maiores são reflexos do número de ataques. Prova disso é que 41% das empresas ouvidas notaram um aumento nos ataques externos em seus sistemas e 25% observaram aumento em problemas de origem interna – aqueles provocados por seus próprios funcionários, como abuso de privilégios e roubo e venda de informação.
"Em momentos de crise, qualquer pessoa que está sob pressão acaba tendo atitudes de retaliação", ressalta Fávero. O que na sua opinião exige um cuidado maior com o comportamento dos funcionários e terceiros que interagem com sistemas da empresa, porque é aí que o vazamento das informações acontecem.
terça-feira, 26 de janeiro de 2010
Senhas fracas colocam segurança corporativa em risco
Relatório analisa 32 milhões de senhas e indica que a maioria ainda é muito fácil de hackear. Dado serve de alerta para as corporações que não possuem política específica para senhas.
Por Computerworld/EUA
26 de janeiro de 2010 - 07h00
A notícia do hacker que invadiu e publicou um banco de dados com 32 milhões de senhas, roubado da desenvolvedora de aplicativos para redes sociais RockYou Inc., acendeu um alerta no mercado de internet. A situação ficou ainda pior quando a empresa de segurança de banco de dados Imperva, sediada nos EUA, divulgou um relatório assustador sobre essas senhas, indicando que a maioria é muito fácil de ser descobertas.
Segundo estudo, usuários ainda confiam em senhas muito simples para acessar suas contas, como ‘123456’. É um tipo de comportamento que tende a se repetir entre os usuários das empresas, quando eles têm total liberdade de escolher as próprias senhas.
Pela análise da Imperva, 30% das senhas tinham apenas seis caracteres ou menos e 60% foram criadas a partir uma lista limitada de caracteres alfanuméricos. Quase 50% dos usuários usaram nomes facilmente adivinháveis, gírias comuns, letras adjacentes nos teclados e dígitos consecutivos. A mais comum, ‘123456’, é seguida da ‘12345’. Em terceiro está ‘123456789’ e a quarta é ‘password’, a palavra senha em inglês.
“A maioria das 5 mil senhas mais comuns estão nas listas usadas pelos hackers para entrar em contas com a ajuda de scripts”, relata o chefe de tecnologia da Imperva, Amichai Shulman. Em outras palavras, um hacker com essa lista em mãos poderia quebrar uma senha a cada segundo com ferramentas automáticas de adivinhação.
O relatório da Imperva não foi o primeiro a mostrar essa tendência. O que o separa dos demais, no entanto, é a amostra grande de senhas analisadas. Embora as senhas levavam a contas com valor relativamente baixo, estudos prévios mostraram que usuários têm a tendência de aplicar a mesma senha para cada serviço. E a pior notícia é que os hackers usam essas técnicas para realizar ataques nas redes corporativas, em busca de alguma vantagem financeira.
Em novembro passado, por exemplo, o centro de crimes cibernéticos do FBI percebeu tentativas de criminosos virtuais de roubar aproximadamente 100 milhões de dólares usando credenciais roubadas. Na média, um caso desses é aberto toda semana no FBI.
De acordo com o FBI, na maioria dos casos as técnicas usadas pelos criminosos são cavalos de tróia que identificam, de forma sofisticada, a digitação do usuário no teclado durante transações em contas bancárias corporativas.
Tais ataques reforçam a ideia de que as empresas precisam ter um controle muito maior do que o atual sobre os métodos de autenticação. Para administradores de rede, a única forma é obrigar que senhas fortes sejam adotadas. “Se os usuários ficarem livres para escolher, fraquezas vão surgir”, diz Shulman.
De acordo com o relatório, o controle contra as ferramentas favoritas dos hackers também são essenciais. Os tradicionais testes com digitação de palavras são uma das formas de evitar que scripts adivinhem senhas. O estudo recomenda, também, que os administradores de rede criem uma política de mudança periódica de senhas e encorajem os usuários a criarem frases complexas em vez de apenas uma palavra ou combinação de números.
Por Computerworld/EUA
26 de janeiro de 2010 - 07h00
A notícia do hacker que invadiu e publicou um banco de dados com 32 milhões de senhas, roubado da desenvolvedora de aplicativos para redes sociais RockYou Inc., acendeu um alerta no mercado de internet. A situação ficou ainda pior quando a empresa de segurança de banco de dados Imperva, sediada nos EUA, divulgou um relatório assustador sobre essas senhas, indicando que a maioria é muito fácil de ser descobertas.
Segundo estudo, usuários ainda confiam em senhas muito simples para acessar suas contas, como ‘123456’. É um tipo de comportamento que tende a se repetir entre os usuários das empresas, quando eles têm total liberdade de escolher as próprias senhas.
Pela análise da Imperva, 30% das senhas tinham apenas seis caracteres ou menos e 60% foram criadas a partir uma lista limitada de caracteres alfanuméricos. Quase 50% dos usuários usaram nomes facilmente adivinháveis, gírias comuns, letras adjacentes nos teclados e dígitos consecutivos. A mais comum, ‘123456’, é seguida da ‘12345’. Em terceiro está ‘123456789’ e a quarta é ‘password’, a palavra senha em inglês.
“A maioria das 5 mil senhas mais comuns estão nas listas usadas pelos hackers para entrar em contas com a ajuda de scripts”, relata o chefe de tecnologia da Imperva, Amichai Shulman. Em outras palavras, um hacker com essa lista em mãos poderia quebrar uma senha a cada segundo com ferramentas automáticas de adivinhação.
O relatório da Imperva não foi o primeiro a mostrar essa tendência. O que o separa dos demais, no entanto, é a amostra grande de senhas analisadas. Embora as senhas levavam a contas com valor relativamente baixo, estudos prévios mostraram que usuários têm a tendência de aplicar a mesma senha para cada serviço. E a pior notícia é que os hackers usam essas técnicas para realizar ataques nas redes corporativas, em busca de alguma vantagem financeira.
Em novembro passado, por exemplo, o centro de crimes cibernéticos do FBI percebeu tentativas de criminosos virtuais de roubar aproximadamente 100 milhões de dólares usando credenciais roubadas. Na média, um caso desses é aberto toda semana no FBI.
De acordo com o FBI, na maioria dos casos as técnicas usadas pelos criminosos são cavalos de tróia que identificam, de forma sofisticada, a digitação do usuário no teclado durante transações em contas bancárias corporativas.
Tais ataques reforçam a ideia de que as empresas precisam ter um controle muito maior do que o atual sobre os métodos de autenticação. Para administradores de rede, a única forma é obrigar que senhas fortes sejam adotadas. “Se os usuários ficarem livres para escolher, fraquezas vão surgir”, diz Shulman.
De acordo com o relatório, o controle contra as ferramentas favoritas dos hackers também são essenciais. Os tradicionais testes com digitação de palavras são uma das formas de evitar que scripts adivinhem senhas. O estudo recomenda, também, que os administradores de rede criem uma política de mudança periódica de senhas e encorajem os usuários a criarem frases complexas em vez de apenas uma palavra ou combinação de números.
quarta-feira, 20 de janeiro de 2010
Ataques DDoS estão mais fortes do que nunca
Os ataques de negação de serviço (DDoS), voltados a prejudicar serviços web, estão mais sofisticados e representam um grande desafio para a estrutura de segurança das empresas.
Por CSO/EUA
15 de janeiro de 2010 - 18h14
Os ataques de negação de serviço (DDoS), que têm como objetivo deixar algum serviço web indisponível, vêm atingindo as companhias desde o início da era digital, embora tenham tido pouco destaque na mídia nos últimos anos. A ameaça, no entanto, está mais forte nos últimos seis meses do que nunca esteve, graças a algumas mudanças na natureza desses ataques.
Os alvos continuam os mesmos: companhias privadas e sites governamentais. As tentativas são de roubar informações ou atrapalhar operações em benefício de alguma concorrente ou pela simples impopularidade do alvo. Mas a ferocidade e a profundidade dos ataques crescem exponencialmente, graças, em parte, à proliferação de botnets (softwares robô que agem de forma autônoma) e ao bom trabalho dos criminosos, que estão conseguindo disfarçar ataques de tráfego legítimo.
O chefe de segurança da empresa norte-americana Akamai Technologies, Andy Ellis, afirma que a abrangência dos ataques DDoS já é tão vasta que quem controlam a ameaça já não dá conta de administrar todas as máquinas que têm sob controle.
Ellis pode observar de perto a ameaça, porque muitos dos usuários da Akamai são companhias globais que rodam bilhões de operações online todos os dias, como Audi, NBC, Fujitsu, Departamento de Defesa dos EUA e Nasdaq. Segundo o chefe de segurança da Akamai Technologies, raramente existe algum momento em que os clientes da empresa não estão sob a mira de DDoS.
“Vemos poucos malwares pontuais, voltados a atolar as máquinas dos clientes”, diz Ellis, referindo-se às pragas da velha guarda, como Blaster e Mydoom. “Hoje, os criminosos mantêm o controle da máquina e agem por meio de botnets”, completa. No ano passado, a Akamai observou recordes de ataques DDoS, alguns deles com mais de 120 gigabits por segundo.
Um dos exemplos foi um ataque em 4 de julho de 2009, contra computadores do governo dos Estados Unidos. Cerca de 180 mil computadores afetados atingiram sites do governo e causaram dores de cabeça para negócios baseados no País e também na Coréia do Sul. O ataque começou no sábado, derrubando os sites da Comissão Federal do Comércio dos Estados Unidos (FTC) e o Departamento de Transporte dos Estados Unidos (DOT). O US Bankcorp, sexto maior banco comercial do país, também foi atingido.
Os ataques também foram direcionados para serviços do Google, Yahoo e Amazon. Os ataques contra o Google não duraram muito, mas se levar em consideração que o conteúdo da empresa responde por 5% de todo o tráfego de internet, tem-se uma ideia melhor da gravidade da situação.
O chefe de tecnologia da empresa de segurança Prolexic Technologies, Paul Slop, comanda de perto uma equipe de 30 engenheiros que se dedicam em tempo integral ao estudo do problema. “Construímos um banco de dados sobre reputação de endereços IP e temos registro de cerca de 4 milhões de computadores infectados. É surpreendente a quantidade de botnets e a facilidade com que cria novos”, afirma.
As maiores tendências do ataque, de acordo com observações da Prolexic, é com que eles se pareçam cada vez mais com tráfego legítmo de internet. Em vez de criar um grande pico de tráfego que costuma indicar o início de um ataque, ele começa a subir vagarosamente por meio do escalonamento da ação dos diversos bots. Os bots, por sua vez, variam no estilo de ataque, tornando a tarefa de separar ataques de usuários reais um verdadeiro desafio.
Por CSO/EUA
15 de janeiro de 2010 - 18h14
Os ataques de negação de serviço (DDoS), que têm como objetivo deixar algum serviço web indisponível, vêm atingindo as companhias desde o início da era digital, embora tenham tido pouco destaque na mídia nos últimos anos. A ameaça, no entanto, está mais forte nos últimos seis meses do que nunca esteve, graças a algumas mudanças na natureza desses ataques.
Os alvos continuam os mesmos: companhias privadas e sites governamentais. As tentativas são de roubar informações ou atrapalhar operações em benefício de alguma concorrente ou pela simples impopularidade do alvo. Mas a ferocidade e a profundidade dos ataques crescem exponencialmente, graças, em parte, à proliferação de botnets (softwares robô que agem de forma autônoma) e ao bom trabalho dos criminosos, que estão conseguindo disfarçar ataques de tráfego legítimo.
O chefe de segurança da empresa norte-americana Akamai Technologies, Andy Ellis, afirma que a abrangência dos ataques DDoS já é tão vasta que quem controlam a ameaça já não dá conta de administrar todas as máquinas que têm sob controle.
Ellis pode observar de perto a ameaça, porque muitos dos usuários da Akamai são companhias globais que rodam bilhões de operações online todos os dias, como Audi, NBC, Fujitsu, Departamento de Defesa dos EUA e Nasdaq. Segundo o chefe de segurança da Akamai Technologies, raramente existe algum momento em que os clientes da empresa não estão sob a mira de DDoS.
“Vemos poucos malwares pontuais, voltados a atolar as máquinas dos clientes”, diz Ellis, referindo-se às pragas da velha guarda, como Blaster e Mydoom. “Hoje, os criminosos mantêm o controle da máquina e agem por meio de botnets”, completa. No ano passado, a Akamai observou recordes de ataques DDoS, alguns deles com mais de 120 gigabits por segundo.
Um dos exemplos foi um ataque em 4 de julho de 2009, contra computadores do governo dos Estados Unidos. Cerca de 180 mil computadores afetados atingiram sites do governo e causaram dores de cabeça para negócios baseados no País e também na Coréia do Sul. O ataque começou no sábado, derrubando os sites da Comissão Federal do Comércio dos Estados Unidos (FTC) e o Departamento de Transporte dos Estados Unidos (DOT). O US Bankcorp, sexto maior banco comercial do país, também foi atingido.
Os ataques também foram direcionados para serviços do Google, Yahoo e Amazon. Os ataques contra o Google não duraram muito, mas se levar em consideração que o conteúdo da empresa responde por 5% de todo o tráfego de internet, tem-se uma ideia melhor da gravidade da situação.
O chefe de tecnologia da empresa de segurança Prolexic Technologies, Paul Slop, comanda de perto uma equipe de 30 engenheiros que se dedicam em tempo integral ao estudo do problema. “Construímos um banco de dados sobre reputação de endereços IP e temos registro de cerca de 4 milhões de computadores infectados. É surpreendente a quantidade de botnets e a facilidade com que cria novos”, afirma.
As maiores tendências do ataque, de acordo com observações da Prolexic, é com que eles se pareçam cada vez mais com tráfego legítmo de internet. Em vez de criar um grande pico de tráfego que costuma indicar o início de um ataque, ele começa a subir vagarosamente por meio do escalonamento da ação dos diversos bots. Os bots, por sua vez, variam no estilo de ataque, tornando a tarefa de separar ataques de usuários reais um verdadeiro desafio.
sexta-feira, 8 de janeiro de 2010
Conheça as principais ameaças de segurança para 2010
Novas infraestruturas de computação, redes sociais e Windows 7 terão impacto nos ataques, que deverão ser cada vez mais direcionados a usuários finais.
Por Rodrigo Afonso, da COMPUTERWORLD
07 de janeiro de 2010 - 08h00
Os últimos dois anos foram agitados e representaram diversas transformações para o mercado de segurança: as infraestruturas tornaram-se cada vez mais virtuais, as redes sociais tiveram sua importância multiplicada e a Microsoft lançou a nova versão de seu sistema operacional dominante, o Windows 7. E essas transformações acompanham mais uma tendência: criminosos virtuais querem lucro financeiro e a ação deles só tende a crescer.
Em 2010, todos esses fatores terão grande influência sobre como lidar com segurança. Segundo o especialista em segurança da Trend Micro, Eduardo Godinho, a virtualização e os servidores acessíveis via internet são um dos fatores que mais preocupam as empresas. “As empresas que fazem a hospedagem, como a Amazon e muitas outras terão dificuldades em implantar políticas personalizadas para cada cliente. O bloqueio de portas de comunicação, por exemplo, pode ser impossível para o provedor”.
Outro desafio para as empresas é a proteção contra ataques de indisponibilidade. Segundo Godinho, já houve casos no Brasil de uma empresa que orquestrou ataque zumbi no concorrente para deixar a rede lenta e inviabilizar participação em pregão eletrônico. “Com isso, dá para imaginar que tipos de prejuízos esses ataques são capazes de gerar.” Empresas grandes, como Facebook e Google, já foram alvos de invasões como essas. O perigo é maior do que se imagina e os impactos nos negócios podem ser consideráveis.
As mídias sociais também entram na mira dos criminosos, que vão deixar o spam de lado para focar em ataques mais direcionados, por meio do estabelecimento de relações de confiança. Nesse contexto, o roubo de identidade nas redes e a penetração em comunidades online vai dominar a nova onda de ataques.
Segundo Godinho, o impacto que o Windows 7 trará para as redes não pode ser ignorado, apesar de abranger principalmente usuários domésticos, já que representam o alastramento de ameaças. “O mercado corporativo tem políticas de segurança para sistemas operacionais, mas os usuários comuns terão um sistema mais inseguro em suas configurações padrão do que possuía com o Vista”.
As máquinas com 64 bits, que estão dominando o mercado hoje, pode ser outro ponto de ameaça. As pequenas mudanças de arquitetura podem ser utilizadas pelos hackers para a busca de novas brechas de ataque.
E continuando uma tendência de 2009, bastará o acesso a sites infectados para que os usuários instalem ameaças. Não será mais necessário clicar ou executar alguma coisa. Isso deve fazer com que os usuários e empresas redobrem a atenção com páginas de conteúdo polêmico ou ilegal. No entanto, até endereços de reputação estão sujeitos aos problemas. “Um criminoso pode inserir códigos em um site conhecido chamando para uma ameaça em outro site. A proteção contra esse tipo de ameaça deve ficar muito mais dinâmica”, alerta Godinho.
Por Rodrigo Afonso, da COMPUTERWORLD
07 de janeiro de 2010 - 08h00
Os últimos dois anos foram agitados e representaram diversas transformações para o mercado de segurança: as infraestruturas tornaram-se cada vez mais virtuais, as redes sociais tiveram sua importância multiplicada e a Microsoft lançou a nova versão de seu sistema operacional dominante, o Windows 7. E essas transformações acompanham mais uma tendência: criminosos virtuais querem lucro financeiro e a ação deles só tende a crescer.
Em 2010, todos esses fatores terão grande influência sobre como lidar com segurança. Segundo o especialista em segurança da Trend Micro, Eduardo Godinho, a virtualização e os servidores acessíveis via internet são um dos fatores que mais preocupam as empresas. “As empresas que fazem a hospedagem, como a Amazon e muitas outras terão dificuldades em implantar políticas personalizadas para cada cliente. O bloqueio de portas de comunicação, por exemplo, pode ser impossível para o provedor”.
Outro desafio para as empresas é a proteção contra ataques de indisponibilidade. Segundo Godinho, já houve casos no Brasil de uma empresa que orquestrou ataque zumbi no concorrente para deixar a rede lenta e inviabilizar participação em pregão eletrônico. “Com isso, dá para imaginar que tipos de prejuízos esses ataques são capazes de gerar.” Empresas grandes, como Facebook e Google, já foram alvos de invasões como essas. O perigo é maior do que se imagina e os impactos nos negócios podem ser consideráveis.
As mídias sociais também entram na mira dos criminosos, que vão deixar o spam de lado para focar em ataques mais direcionados, por meio do estabelecimento de relações de confiança. Nesse contexto, o roubo de identidade nas redes e a penetração em comunidades online vai dominar a nova onda de ataques.
Segundo Godinho, o impacto que o Windows 7 trará para as redes não pode ser ignorado, apesar de abranger principalmente usuários domésticos, já que representam o alastramento de ameaças. “O mercado corporativo tem políticas de segurança para sistemas operacionais, mas os usuários comuns terão um sistema mais inseguro em suas configurações padrão do que possuía com o Vista”.
As máquinas com 64 bits, que estão dominando o mercado hoje, pode ser outro ponto de ameaça. As pequenas mudanças de arquitetura podem ser utilizadas pelos hackers para a busca de novas brechas de ataque.
E continuando uma tendência de 2009, bastará o acesso a sites infectados para que os usuários instalem ameaças. Não será mais necessário clicar ou executar alguma coisa. Isso deve fazer com que os usuários e empresas redobrem a atenção com páginas de conteúdo polêmico ou ilegal. No entanto, até endereços de reputação estão sujeitos aos problemas. “Um criminoso pode inserir códigos em um site conhecido chamando para uma ameaça em outro site. A proteção contra esse tipo de ameaça deve ficar muito mais dinâmica”, alerta Godinho.
sexta-feira, 18 de dezembro de 2009
Veja o 'hall da fama' das falhas de segurança de 2009
Confira cinco casos de empresas ou órgãos de governo que não tomaram medidas básicas de segurança para proteger informações próprias ou de seus clientes.
Por Computerworld/EUA
17 de dezembro de 2009 - 13h28
Se houvesse algum consolo sobre os vazamentos de dados que ocorreram este ano, seria que a maioria deles se deu por conta de falhas de segurança muito familiares. Poucos foram realmente resultado da engenhosidade dos hackers.
As companhias ou órgãos do governo continuam a errar nas questões mais comuns: laptops perdidos, software sem correções e mal codificados, trapalhadas quanto à revelação de informações, entre outras questões relacionadas à mã gestão de segurança. Confira o "hall da fama" das falhas de segurança de 2009:
Procedimentos de segurança de aeroportos dos EUA vão parar na web
Uma das maioires gafes do ano foi da Transportation Security Administration (TSA), orgão do governo federal norte-americano que postou em seu web site público, acidentalmente, um manual contendo detalhes completos de sobre procedimentos de segurança de aeroportos norte-americanos. O vazamento ocorreu quando um manual padrão de operações da TSA foi postado em um web site federal como parte de um processo de licitação.
O documento incluia detalhes sobre checagem de aparelhos explosivos, regras especiais para lidar com a CIA, diplomatas e autoridades, além de definições técnicas e tolerâncias usadas para metais e detectores de explosivos usados em aeroportos. Pessoas da área de direito classificaram a falha como chocante e uma ameaça à segurança nacional os EUA.
130 milhões de dados de cartões são roubados
A empresa Heartland, especializada em sistemas de pagamento, entra na lista pelo tamanho e escopo de sua falha, ocorrida em janeiro. O problema ocorreu a partir de SQL injections (códigos inseridos em campos que lidam com bancos de dados SQL) que permitiu a hackers roubar dados de pagamento de aproximadamente 130 milhões de cartões de crédito e débito. Foi o maior vazamento de dados de pagamento da história.
Empresa perde HD com 1,5 milhão de dados e esconde fato
A empresa de saúde Health Net já teria se prejudicado o suficiente ao perder um HD sem criptografia com dados referentes a 7 anos de informações pessoais, financeiras e médicas de cerca de 1,5 milhão de clientes. Mas a história foi pior ainda: a companhia escondeu o fato por seis meses. Além das fichas médicas, o HD continha nomes, endereços e números do seguro sócial (equivalente ao CPF no Brasil) de cliente quatro estados norte-americanos. O caso acabou gerando uma lei que obriga as empresas de saúde a revelar casos de vazamento de dados.
Estados Unidos compartilham informações nucleares com o mundo
Um documento com informações sensíveis sobre instalações nucleares civis foi publicado no website do governo norte-americano. O arquivo estava marcado pelo presidente dos Estados Unidos como "altamente confidencial".
O documento continua informações detalhadas sobre centenas de instalações nucleares civis em todo o país, incluindo aquelas que armazenam urânio enriquecido. O arquivo listava detalhes de programas de armas nucleares de laboratórios de pesquisa em Los Alamos, Livermore e Sandia. Suspeita-se que o texto tenha sido publicado devido às diferentes formas de classificação e manuseio de documentos das agências governamentais.
32 milhões de senhas armazenados em uma planilha de texto
A RockYou Inc, que fornece soluções de redes sociais, entrou para esta lista durante esta semana, depois de uma falha de segurança que expôs nomes de usuário e senhas de 32 milhões de participantes registrados. Só por isso, o número dá notoriedade à falha, mas o que torna a situação ainda pior é que a RockYou mantinha todas as senhas em uma planinha de texto.
Como a empresa exige que os usuários registrem-se informando seus endereços de e-mail, o hacker responsável por descobrir a brecha de segurança agora tem acesso a milhões de contas de correio eletrônico (a menos que os usuários mudem seus endereços). Com o cresente número de tentativas de roubo de credenciais legítimas para quebrar todos os tipos de contas online, a falha da RockYou em não tomar precauções básicas pode ser considerada, no mínimo, notável.
Por Computerworld/EUA
17 de dezembro de 2009 - 13h28
Se houvesse algum consolo sobre os vazamentos de dados que ocorreram este ano, seria que a maioria deles se deu por conta de falhas de segurança muito familiares. Poucos foram realmente resultado da engenhosidade dos hackers.
As companhias ou órgãos do governo continuam a errar nas questões mais comuns: laptops perdidos, software sem correções e mal codificados, trapalhadas quanto à revelação de informações, entre outras questões relacionadas à mã gestão de segurança. Confira o "hall da fama" das falhas de segurança de 2009:
Procedimentos de segurança de aeroportos dos EUA vão parar na web
Uma das maioires gafes do ano foi da Transportation Security Administration (TSA), orgão do governo federal norte-americano que postou em seu web site público, acidentalmente, um manual contendo detalhes completos de sobre procedimentos de segurança de aeroportos norte-americanos. O vazamento ocorreu quando um manual padrão de operações da TSA foi postado em um web site federal como parte de um processo de licitação.
O documento incluia detalhes sobre checagem de aparelhos explosivos, regras especiais para lidar com a CIA, diplomatas e autoridades, além de definições técnicas e tolerâncias usadas para metais e detectores de explosivos usados em aeroportos. Pessoas da área de direito classificaram a falha como chocante e uma ameaça à segurança nacional os EUA.
130 milhões de dados de cartões são roubados
A empresa Heartland, especializada em sistemas de pagamento, entra na lista pelo tamanho e escopo de sua falha, ocorrida em janeiro. O problema ocorreu a partir de SQL injections (códigos inseridos em campos que lidam com bancos de dados SQL) que permitiu a hackers roubar dados de pagamento de aproximadamente 130 milhões de cartões de crédito e débito. Foi o maior vazamento de dados de pagamento da história.
Empresa perde HD com 1,5 milhão de dados e esconde fato
A empresa de saúde Health Net já teria se prejudicado o suficiente ao perder um HD sem criptografia com dados referentes a 7 anos de informações pessoais, financeiras e médicas de cerca de 1,5 milhão de clientes. Mas a história foi pior ainda: a companhia escondeu o fato por seis meses. Além das fichas médicas, o HD continha nomes, endereços e números do seguro sócial (equivalente ao CPF no Brasil) de cliente quatro estados norte-americanos. O caso acabou gerando uma lei que obriga as empresas de saúde a revelar casos de vazamento de dados.
Estados Unidos compartilham informações nucleares com o mundo
Um documento com informações sensíveis sobre instalações nucleares civis foi publicado no website do governo norte-americano. O arquivo estava marcado pelo presidente dos Estados Unidos como "altamente confidencial".
O documento continua informações detalhadas sobre centenas de instalações nucleares civis em todo o país, incluindo aquelas que armazenam urânio enriquecido. O arquivo listava detalhes de programas de armas nucleares de laboratórios de pesquisa em Los Alamos, Livermore e Sandia. Suspeita-se que o texto tenha sido publicado devido às diferentes formas de classificação e manuseio de documentos das agências governamentais.
32 milhões de senhas armazenados em uma planilha de texto
A RockYou Inc, que fornece soluções de redes sociais, entrou para esta lista durante esta semana, depois de uma falha de segurança que expôs nomes de usuário e senhas de 32 milhões de participantes registrados. Só por isso, o número dá notoriedade à falha, mas o que torna a situação ainda pior é que a RockYou mantinha todas as senhas em uma planinha de texto.
Como a empresa exige que os usuários registrem-se informando seus endereços de e-mail, o hacker responsável por descobrir a brecha de segurança agora tem acesso a milhões de contas de correio eletrônico (a menos que os usuários mudem seus endereços). Com o cresente número de tentativas de roubo de credenciais legítimas para quebrar todos os tipos de contas online, a falha da RockYou em não tomar precauções básicas pode ser considerada, no mínimo, notável.
quarta-feira, 30 de setembro de 2009
77% dos sites com código malicioso são legítimos
Em 2008, número de páginas com links questionáveis teve crescimento de 671%. Sites com conteúdo de usuários estão entre os mais arriscados.
Por Rodrigo Afonso, da COMPUTERWORLD
25 de setembro de 2009 - 19h35
Segundo a companhia, os laboratórios da empresa detectaram um crescimento de 233% na quantidade de sites maliciosos no último semestre e crescimento de 671% durante o ano de 2008. De acordo com o engenheiro sênior de sistemas para a América Latina da Websense, Fernando Fontão, “os criminosos virtuais estão buscando retorno financeiro de suas atividades, o que justifica o aumento nos ataques direcionados”. Assim, faz sentido que sites como o da Vivo sejam o alvo desse tipo de ataque.
Para fazer a análise, a empresa dividiu os sites em três categorias: os 100 mais visitados, grupo ao qual pertencem grandes portais e redes sociais, o milhão de sites mais visitados, geralmente de notícias e com conteúdo regional e a “cauda longa” da internet, que inclui todos os demais, com sites que têm foco em fraudes e com conteúdo questionável.
O tipo de conteúdo, aliás, diz muito sobre os riscos que se corre ao visitar a página. 69% de todos os sites com conteúdo adulto, de apostas e com informações ilegais continham ao menos um link malicioso. E pior, 95% dos comentários gerados por usuários de blogs, salas de bate-papo e outros recursos das redes sociais eram spam ou levavam a sites maliciosos. Esse dado fica mais assustador quando se leva em conta que 47% dos 100 sites mais visitados recebem conteúdo de usuários.
Por Rodrigo Afonso, da COMPUTERWORLD
25 de setembro de 2009 - 19h35
O portal da operadora de telecomunicações Vivo sofreu, no começo do mês, ação de um programa malicioso instalado por criminosos virtuais. Os hackers queriam aplicar golpes financeiros, colocando todos os usuários do site em risco e, consequentente, as empresas de onde partem acessos.
Apesar desse caso específico ter causado uma grande repercussão, situações do tipo são muito mais comuns do que se imagina. Segundo levantamento realizado pela empresa de segurança Websense, 77% de todos os sites que contêm códigos maliciosos são páginas legítimas, comprometidas com ataques de terceiros.Segundo a companhia, os laboratórios da empresa detectaram um crescimento de 233% na quantidade de sites maliciosos no último semestre e crescimento de 671% durante o ano de 2008. De acordo com o engenheiro sênior de sistemas para a América Latina da Websense, Fernando Fontão, “os criminosos virtuais estão buscando retorno financeiro de suas atividades, o que justifica o aumento nos ataques direcionados”. Assim, faz sentido que sites como o da Vivo sejam o alvo desse tipo de ataque.
Para fazer a análise, a empresa dividiu os sites em três categorias: os 100 mais visitados, grupo ao qual pertencem grandes portais e redes sociais, o milhão de sites mais visitados, geralmente de notícias e com conteúdo regional e a “cauda longa” da internet, que inclui todos os demais, com sites que têm foco em fraudes e com conteúdo questionável.
O tipo de conteúdo, aliás, diz muito sobre os riscos que se corre ao visitar a página. 69% de todos os sites com conteúdo adulto, de apostas e com informações ilegais continham ao menos um link malicioso. E pior, 95% dos comentários gerados por usuários de blogs, salas de bate-papo e outros recursos das redes sociais eram spam ou levavam a sites maliciosos. Esse dado fica mais assustador quando se leva em conta que 47% dos 100 sites mais visitados recebem conteúdo de usuários.
quarta-feira, 23 de setembro de 2009
Gartner: erros de gestão comprometem políticas de segurança
Gestores de TI falham ao planejar estratégias com base na oferta dos fornecedores sem comunicar melhores práticas aos usuários.
Por Redação CIO Brasil
23 de setembro de 2009 - 08h15
O sucesso das políticas de segurança da informação depende de diversos fatores, que vão desde a liberação dos investimentos necessários até a criação de regras voltadas à proteção de dados e à prevenção de incidentes. De acordo com recente levantamento da consultoria Gartner, no entanto, os principais erros cometidos pelas organizações estão ligados à gestão das políticas de segurança.
Para esclarecer quais são as principais atitudes que devem ser evitadas, o Gartner listou os três equívocos mais comuns que os CIOs ou gestores da área de segurança da informação cometem na hora de gerenciar as políticas:
1. Não avaliar cada caso como único: é impossível que as unidades de negócio consigam ter o mesmo nível de proteção com a utilização de ferramentas similares. Cada departamento possui particularidades que podem gerar mais ou menos ameaças às companhias. O gestor de TI ou de segurança deve conhecer muito bem a realidade de cada setor da companhia para estabelecer estratégias que contemplem todos os segmentos com a mesma eficiência.
2. Fazer planos com base em ofertas de fornecedores: mesmo que a indústria esteja lançando uma solução fantástica, não significa que ela será necessária para todas as empresas. O CIO deve entender as necessidades das áreas de negócio para, então, identificar quais soluções podem ser utilizadas para saná-las. Se os gerentes departamentais não conseguirem expor objetivamente seus cenários em termos de segurança, um profissional mais capacitado deve mediar a conversa.
3. Não comunicar claramente as políticas de segurança às unidades de negócio: CIOs devem desenvolver mecanismos para expressar de forma clara e articulada quais são as regras voltadas à proteção de dados. Isso porque, sem que os usuários entendam a importância das normas para o resultado da operação não as respeitarão.
Por Redação CIO Brasil
23 de setembro de 2009 - 08h15
O sucesso das políticas de segurança da informação depende de diversos fatores, que vão desde a liberação dos investimentos necessários até a criação de regras voltadas à proteção de dados e à prevenção de incidentes. De acordo com recente levantamento da consultoria Gartner, no entanto, os principais erros cometidos pelas organizações estão ligados à gestão das políticas de segurança.
Para esclarecer quais são as principais atitudes que devem ser evitadas, o Gartner listou os três equívocos mais comuns que os CIOs ou gestores da área de segurança da informação cometem na hora de gerenciar as políticas:
1. Não avaliar cada caso como único: é impossível que as unidades de negócio consigam ter o mesmo nível de proteção com a utilização de ferramentas similares. Cada departamento possui particularidades que podem gerar mais ou menos ameaças às companhias. O gestor de TI ou de segurança deve conhecer muito bem a realidade de cada setor da companhia para estabelecer estratégias que contemplem todos os segmentos com a mesma eficiência.
2. Fazer planos com base em ofertas de fornecedores: mesmo que a indústria esteja lançando uma solução fantástica, não significa que ela será necessária para todas as empresas. O CIO deve entender as necessidades das áreas de negócio para, então, identificar quais soluções podem ser utilizadas para saná-las. Se os gerentes departamentais não conseguirem expor objetivamente seus cenários em termos de segurança, um profissional mais capacitado deve mediar a conversa.
3. Não comunicar claramente as políticas de segurança às unidades de negócio: CIOs devem desenvolver mecanismos para expressar de forma clara e articulada quais são as regras voltadas à proteção de dados. Isso porque, sem que os usuários entendam a importância das normas para o resultado da operação não as respeitarão.
terça-feira, 15 de setembro de 2009
5 dicas para evitar perda de dados confidenciais
Mesmo com todos os investimentos em segurança de perímetro, as informações confidenciais das empresas ainda vazam por culpa dos usuários. Confira dicas para evitar que as falhas ocorram.
Por Rodrigo Afonso, da COMPUTERWORLD
14 de setembro de 2009 - 17h40
Líderes empresariais muitas vezes queixam-se de que fizeram altos investimentos em tecnologia para segurança da informação, mas continuam enfrentando problemas com vazamento de informações. A maior parte desses vazamentos ocorre por erros cometidos pelos usuários.
Segundo Marcelo Brunner, especialista em prevenção a perda de dados da EZ-Security, o surgimento de novas tecnologias, denominadas DLP (Data Loss Preventon), é um dos indicativos de que as empresas começam a se preocupar com o assunto.
Para aconselhar as empresas e seus funcionários sobre segurança da informação, Brunner deu cinco dicas que podem ajudar a evitar prejuízos:
1 – Cuidado ao armazenar informações confidenciais na redes sem qualquer restrição de leitura e escrita.
2 – Não envie documentos e planilhas para e-mails pessoais. Os arquivos vão parar em ambiente inseguro, como o computador doméstico do funcionário, e podem vazar.
3 – Evite ao máximo copiar informações críticas para dispositivos móveis, como pendrives, celulares, HDs externos etc. Se for imprescindível, utilize técnicas de proteção ou criptografia.
4 – Mantenha o computador bloqueado quando não estiver por perto, evitando que pessoas não autorizadas acessem seus arquivos confidenciais.
5 – Cuidado ao conversar sobre assuntos confidenciais em locais públicos, como restaurantes e cafés. Muitas pessoas não se atentam para esse detalhe, mas podem estar perto de concorrentes, fornecedores e clientes.
Por Rodrigo Afonso, da COMPUTERWORLD
14 de setembro de 2009 - 17h40
Líderes empresariais muitas vezes queixam-se de que fizeram altos investimentos em tecnologia para segurança da informação, mas continuam enfrentando problemas com vazamento de informações. A maior parte desses vazamentos ocorre por erros cometidos pelos usuários.
Segundo Marcelo Brunner, especialista em prevenção a perda de dados da EZ-Security, o surgimento de novas tecnologias, denominadas DLP (Data Loss Preventon), é um dos indicativos de que as empresas começam a se preocupar com o assunto.
Para aconselhar as empresas e seus funcionários sobre segurança da informação, Brunner deu cinco dicas que podem ajudar a evitar prejuízos:
1 – Cuidado ao armazenar informações confidenciais na redes sem qualquer restrição de leitura e escrita.
2 – Não envie documentos e planilhas para e-mails pessoais. Os arquivos vão parar em ambiente inseguro, como o computador doméstico do funcionário, e podem vazar.
3 – Evite ao máximo copiar informações críticas para dispositivos móveis, como pendrives, celulares, HDs externos etc. Se for imprescindível, utilize técnicas de proteção ou criptografia.
4 – Mantenha o computador bloqueado quando não estiver por perto, evitando que pessoas não autorizadas acessem seus arquivos confidenciais.
5 – Cuidado ao conversar sobre assuntos confidenciais em locais públicos, como restaurantes e cafés. Muitas pessoas não se atentam para esse detalhe, mas podem estar perto de concorrentes, fornecedores e clientes.
quinta-feira, 30 de julho de 2009
Implantação de carimbo do tempo está na fase final
Mecanismo estabelece dia e horário exatos em que determinado documento eletrônico foi assinado por meio de certificação digital.
Por Rodrigo Afonso, da COMPUTERWORLD
30 de julho de 2009 - 08h00
O mecanismo que estabelece o dia e o horário exatos em que determinado documento eletrônico foi assinado por meio de certificação digital, denominado carimbo do tempo, está em fase final de desenvolvimento. A previsão é de que já seja implantado a partir de 2010.
No entanto, o carimbo do tempo não vai ser, necessariamente, uma obrigação para quem faz uso dos certificados. Segundo o presidente do Instituto Nacional de Tecnologia da Informação (ITI), Renato Martini, a datação eletrônica tem como objetivo assegurar o momento exato em que o documento foi enviado.
Um dos setores que mais vai se beneficiar desse recurso é o judiciário. Documentos que determinam a pena de um condenado à prisão, por exemplo, poderão ser assinados digitalmente e beneficiados com o carimbo do tempo, permitindo que os juízes possam avaliar o cumprimento da pena com um documento confiável.
O sistema bancário e as seguradoras também terão vantagens. O carimbo do tempo permitirá a assinatura de contratos a distância, com valor legal e garantia do horário exato em que foram acertados.
“Toda a parte normativa e as regras básicas para a implantação da datação eletrônica já estão definidas”, diz Martini. No momento, o instituto estuda especificações para abrir licitações para a aquisição de relógio atômico e o restante da infraestrutura necessária para viabilizar o fornecimento do carimbo.
A compra do hardware e as ferramentas para sincronismo com o horário do observatório nacional leva em conta também as tecnologias das companhias que desenvolveram sistemas para o método de datação.
Uma dessas organizações é a Bry Certificação Digital, que já dedicou oito anos de estudos a sistemas e equipamentos para o setor de certificação digital, visando garantir o caráter de tempestividade aos documentos. A empresa catarinense desenvolveu a tecnologia necessária para a implantação de uma Autoridade de Carimbo de Tempo (ACT), prevista na normalização da Infraestrutura de Chaves Pública Brasileira (ICP-Brasil).
O País tem mais uma tecnologia homologada para a implantação do carimbo do tempo, da companhia de origem inglesa NCipher, que foi adquirida recentemente pela empresa francesa de segurança da informação Thales.
Para Martini, a tecnologia brasileira tem qualidade superior, graças à experiência do País no desenvolvimento de certificações digitais e sistemas de segurança. “Prova disso são os métodos eletrônicos de emissão de nota fiscal, prontuário médico, entre outros”, diz.
Por Rodrigo Afonso, da COMPUTERWORLD
30 de julho de 2009 - 08h00
O mecanismo que estabelece o dia e o horário exatos em que determinado documento eletrônico foi assinado por meio de certificação digital, denominado carimbo do tempo, está em fase final de desenvolvimento. A previsão é de que já seja implantado a partir de 2010.
No entanto, o carimbo do tempo não vai ser, necessariamente, uma obrigação para quem faz uso dos certificados. Segundo o presidente do Instituto Nacional de Tecnologia da Informação (ITI), Renato Martini, a datação eletrônica tem como objetivo assegurar o momento exato em que o documento foi enviado.
Um dos setores que mais vai se beneficiar desse recurso é o judiciário. Documentos que determinam a pena de um condenado à prisão, por exemplo, poderão ser assinados digitalmente e beneficiados com o carimbo do tempo, permitindo que os juízes possam avaliar o cumprimento da pena com um documento confiável.
O sistema bancário e as seguradoras também terão vantagens. O carimbo do tempo permitirá a assinatura de contratos a distância, com valor legal e garantia do horário exato em que foram acertados.
“Toda a parte normativa e as regras básicas para a implantação da datação eletrônica já estão definidas”, diz Martini. No momento, o instituto estuda especificações para abrir licitações para a aquisição de relógio atômico e o restante da infraestrutura necessária para viabilizar o fornecimento do carimbo.
A compra do hardware e as ferramentas para sincronismo com o horário do observatório nacional leva em conta também as tecnologias das companhias que desenvolveram sistemas para o método de datação.
Uma dessas organizações é a Bry Certificação Digital, que já dedicou oito anos de estudos a sistemas e equipamentos para o setor de certificação digital, visando garantir o caráter de tempestividade aos documentos. A empresa catarinense desenvolveu a tecnologia necessária para a implantação de uma Autoridade de Carimbo de Tempo (ACT), prevista na normalização da Infraestrutura de Chaves Pública Brasileira (ICP-Brasil).
O País tem mais uma tecnologia homologada para a implantação do carimbo do tempo, da companhia de origem inglesa NCipher, que foi adquirida recentemente pela empresa francesa de segurança da informação Thales.
Para Martini, a tecnologia brasileira tem qualidade superior, graças à experiência do País no desenvolvimento de certificações digitais e sistemas de segurança. “Prova disso são os métodos eletrônicos de emissão de nota fiscal, prontuário médico, entre outros”, diz.
sexta-feira, 17 de julho de 2009
Pacote de segurança reúne soluções abertas e proprietárias
Oferta de baixo custo tem foco nas pequenas e médias empresas que possuem as mesmas demandas de segurança que as grandes.
Por Rodrigo Afonso, da COMPUTERWORLD
17 de julho de 2009 - 08h42
A OpenSOC, consultoria de projetos de segurança, está oferecendo pacotes voltados para o segmento das pequenas e médias empresas (PMEs), reunindo aplicativos proprietários e de código aberto em um pacote, com preços a partir de 31,25 dólares por mês para empresas de até 10 usuários de rede, 60,6 reais ao câmbio de hoje (16/7).
A suite de segurança Untangle Professional Package é formada por 18 aplicativos e inclui proteção tanto em clientes da rede local, quanto em máquinas remotas, além de suporte técnico via internet. “A mistura do código aberto com ferramentas proprietárias tem o objetivo de reunir as melhores soluções com um preço adequado às empresas de pequeno e médio porte, que possuem as mesmas necessidades de segurança que as companhias grandes”, afirma o diretor de tecnologia (CTO) da OpenSoc, Gabriel Lourenço.
O preço anunciado ainda pode cair de acordo com o número de licenças. Acima de 151 máquinas, as empresas passam a ter um custo fixo mensal de 325 dólares (630 reais). Segundo Lourenço, o valor é menos da metade do que o das soluções 100% proprietárias disponíveis no mercado.
Para oferecer as ferramentas no mercado, a empresa vai utilizar sua rede de canais e busca assinar novas parcerias.
A OpenSOC, consultoria de projetos de segurança, está oferecendo pacotes voltados para o segmento das pequenas e médias empresas (PMEs), reunindo aplicativos proprietários e de código aberto em um pacote, com preços a partir de 31,25 dólares por mês para empresas de até 10 usuários de rede, 60,6 reais ao câmbio de hoje (16/7).
A suite de segurança Untangle Professional Package é formada por 18 aplicativos e inclui proteção tanto em clientes da rede local, quanto em máquinas remotas, além de suporte técnico via internet. “A mistura do código aberto com ferramentas proprietárias tem o objetivo de reunir as melhores soluções com um preço adequado às empresas de pequeno e médio porte, que possuem as mesmas necessidades de segurança que as companhias grandes”, afirma o diretor de tecnologia (CTO) da OpenSoc, Gabriel Lourenço.
O preço anunciado ainda pode cair de acordo com o número de licenças. Acima de 151 máquinas, as empresas passam a ter um custo fixo mensal de 325 dólares (630 reais). Segundo Lourenço, o valor é menos da metade do que o das soluções 100% proprietárias disponíveis no mercado.
Para oferecer as ferramentas no mercado, a empresa vai utilizar sua rede de canais e busca assinar novas parcerias.
terça-feira, 30 de junho de 2009
Segurança digital não é commodity
segunda-feira, 29 de junho de 2009, 9h11 - TI Inside
Ao contrário do que algumas pessoas pensam, o mercado de segurança não é, portanto, um mercado que está virando Commodity. Isso porque, cada vez mais, as corporações e instituições financeiras continuarão a buscar soluções anti-fraudes, principalmente, durante a crise, periodo em que se estima que os hackers e fraudadores devem aumentar os seus ataques às redes. E o preço a ser pago é alto: uma pesquisa do Instituto Ponemon, revela que o custo médio de uma violação de dados para uma corporação é de U$ 6,3 milhões.
Para atender à demanda, que cresce dia-a-dia, as empresas de tecnologia precisam sempre inovar e oferecer serviços diversificados, indo na contramão da Commodity.
De acordo com a Eurosmart, associação internacional responsável, entre outras atribuições, por promover tecnologias de segurança com uso de chip, 4,66 bilhões de cartões com chip serão produzidos em 2009, um aumento de mais de 10% comparado com grande maioria será destinada para o setor de Telecomunicações. Para este mercado, as projeções são de 3,6 bilhões de SIM Cards produzidos em 2009, um acréscimo de 12% em relação ao ano passado.
Os SIM cards, cartões inteligentes responsáveis pela segurança do login às redes das operadoras GSM e 3G, também devem crescer no Brasil. Segundo a Frost & Sullivan, eles serão responsáveis por mais de 30% do market share global e das receitas de smart cards em 2011. Isto deve ocorrer devido a vários fatores, entre eles à migração das operadoras GSM para a tecnologia 3G e a forte concorrência relacionada a portabilidade numérica.
De maneira geral, não só o setor de telecomunicações estará aquecido no Brasil, mas também o de governo, que movimentará bastante o mercado de smart cards. O número de unidades deste tipo de tecnologia deverá, de acordo com estudo da Frost & Sullivan, saltar de 79,6 milhões contabilizados em 2005 para 260,4 milhões em 2011, consolidando o País como um dos principais mercados.
Nos programas de saúde e governo, estima-se um aumento de 14% no volume global, indo de 140 milhões para 160 milhões de cartões inteligentes. Isso ocorrerá porque, em vários países do mundo, governos estão adotando cartões com microprocessadores como documento de identificação tanto no mundo físico quanto no mundo virtual, o que está transformando e modernizando a administração e segurança pública, salvaguardando os cidadãos contra o roubo de identidade e permitindo que eles se identifiquem presencialmente, por telefone ou pela Internet, economizando tempo e dinheiro, para realizar transações junto a instituições públicas e privadas, como realizar a declaração de imposto de renda, movimentar contas bancárias, tudo com a máxima segurança e comodidade.
Seguindo essa tendência global, o Governo Federal Brasileiro anunciou no ano passado a implantação de um novo modelo de identificação civil, o cartão RIC, a ser implantado gradativamente a apartir de março deste ano.
Já no setor bancário e no varejo, haverá um aumento de 15% no volume mundial de cartões com chip, chegando a 700 milhões de smart cards em todo o mundo. No Brasil, as várias fusões de bancos, ocorridas no ano passado, devem aquecer, principalmente, a emissão de novos cartões com chip em 2009.
O crescimento da tecnologia de smart cards pode ser facilmente justificado: ele é uma excelente resposta ao problema dos crimes digitais, pois é um dispositivo seguro e a prova de fraude, que oferece funções criptográficas, algorítmos fortes e o armazenamento de assinatura digital e características biométricas e biográficas para garantir a identidade e autenticidade do usuário que está logando à rede, seja ela a rede de um banco, de uma operadora de telefonia celular ou serviços públicos e privados na Internet. É o Brasil na Era da Modernidade!
(*) Natalia da Silva Fakhri é diretora de Marketing & Comunicação da Gemalto para a América Latina
Ao contrário do que algumas pessoas pensam, o mercado de segurança não é, portanto, um mercado que está virando Commodity. Isso porque, cada vez mais, as corporações e instituições financeiras continuarão a buscar soluções anti-fraudes, principalmente, durante a crise, periodo em que se estima que os hackers e fraudadores devem aumentar os seus ataques às redes. E o preço a ser pago é alto: uma pesquisa do Instituto Ponemon, revela que o custo médio de uma violação de dados para uma corporação é de U$ 6,3 milhões.
Para atender à demanda, que cresce dia-a-dia, as empresas de tecnologia precisam sempre inovar e oferecer serviços diversificados, indo na contramão da Commodity.
De acordo com a Eurosmart, associação internacional responsável, entre outras atribuições, por promover tecnologias de segurança com uso de chip, 4,66 bilhões de cartões com chip serão produzidos em 2009, um aumento de mais de 10% comparado com grande maioria será destinada para o setor de Telecomunicações. Para este mercado, as projeções são de 3,6 bilhões de SIM Cards produzidos em 2009, um acréscimo de 12% em relação ao ano passado.
Os SIM cards, cartões inteligentes responsáveis pela segurança do login às redes das operadoras GSM e 3G, também devem crescer no Brasil. Segundo a Frost & Sullivan, eles serão responsáveis por mais de 30% do market share global e das receitas de smart cards em 2011. Isto deve ocorrer devido a vários fatores, entre eles à migração das operadoras GSM para a tecnologia 3G e a forte concorrência relacionada a portabilidade numérica.
De maneira geral, não só o setor de telecomunicações estará aquecido no Brasil, mas também o de governo, que movimentará bastante o mercado de smart cards. O número de unidades deste tipo de tecnologia deverá, de acordo com estudo da Frost & Sullivan, saltar de 79,6 milhões contabilizados em 2005 para 260,4 milhões em 2011, consolidando o País como um dos principais mercados.
Nos programas de saúde e governo, estima-se um aumento de 14% no volume global, indo de 140 milhões para 160 milhões de cartões inteligentes. Isso ocorrerá porque, em vários países do mundo, governos estão adotando cartões com microprocessadores como documento de identificação tanto no mundo físico quanto no mundo virtual, o que está transformando e modernizando a administração e segurança pública, salvaguardando os cidadãos contra o roubo de identidade e permitindo que eles se identifiquem presencialmente, por telefone ou pela Internet, economizando tempo e dinheiro, para realizar transações junto a instituições públicas e privadas, como realizar a declaração de imposto de renda, movimentar contas bancárias, tudo com a máxima segurança e comodidade.
Seguindo essa tendência global, o Governo Federal Brasileiro anunciou no ano passado a implantação de um novo modelo de identificação civil, o cartão RIC, a ser implantado gradativamente a apartir de março deste ano.
Já no setor bancário e no varejo, haverá um aumento de 15% no volume mundial de cartões com chip, chegando a 700 milhões de smart cards em todo o mundo. No Brasil, as várias fusões de bancos, ocorridas no ano passado, devem aquecer, principalmente, a emissão de novos cartões com chip em 2009.
O crescimento da tecnologia de smart cards pode ser facilmente justificado: ele é uma excelente resposta ao problema dos crimes digitais, pois é um dispositivo seguro e a prova de fraude, que oferece funções criptográficas, algorítmos fortes e o armazenamento de assinatura digital e características biométricas e biográficas para garantir a identidade e autenticidade do usuário que está logando à rede, seja ela a rede de um banco, de uma operadora de telefonia celular ou serviços públicos e privados na Internet. É o Brasil na Era da Modernidade!
(*) Natalia da Silva Fakhri é diretora de Marketing & Comunicação da Gemalto para a América Latina
terça-feira, 23 de junho de 2009
orçamento mundial de segurança cresce 18,6%
São Paulo – Empresa de análises informa também que cinco maiores empresas do setor perderam espaço para as menores.
Por Redação do COMPUTERWORLD
22 de junho de 2009 - 15h42
De acordo com informações do Gartner, a receita do mercado mundial de softwares para segurança totalizou 13,5 bilhões de dólares em 2008, um aumento de 18,6% em relação à receita de 2007, que foi de 11,4 bilhões.
Segundo os analistas da organização, houve um grande aumento da demanda de produtos baseados em equipamentos, especificamente dentro de segmentos como segurança de e-mail e de portas de comunicação web.
Globalmente, privacidade e segurança de dados, junto com a necessidade de proteger a infraestrutura de tecnologia da informação dos ataques direcionados, estão entre os principais motores do crescimento apontado. Levando em consideração somente a América do Norte e o Oeste Europeu, conformidade esteve entre os principais drivers.
O mercado para os provedores mostra dinamismo, uma vez que a participação dos cinco principais fornecedores mostra queda em comparação dos os players menores do mercado. A líder Symantec tinha 24,4% do mercado em 2007 e viu o número cair para 22% em 2008. As empresas fora das 5 maiores detiveram 48% do mercado em 2007 e o número aumentou para 51% em 2008.
Para 2009, o Gartner prevê que o mercado de software para segurança mostre sinais de desaceleração, mas manterá o crescimento, que deverá ficar em torno de 9%.sexta-feira, 12 de junho de 2009
Nova geração de smartphones chega ao mercado corporativo
São Paulo - A oferta de aparelhos com cada vez mais funcionalidades aumenta a brecha de segurança das empresas? E o uso desses modelos se aplica ao usuário corporativo?
Por Fabiana Monte, editora-assistente do COMPUTEWORLD
12 de junho de 2009 - 07h00
Uma nova geração de celulares está chegando ao mercado de telecomunicações, com os lançamentos dos aparelhos Palm Pre, da Palm; N97, da Nokia; Storm, da BlackBerry; e iPhone 3G S, da Apple, modelos que, em breve, chegarão ao Brasil.
Os limites entre o mundo corporativo e o uso diário de telefones móveis estão cada vez mais próximos, com os smartphones (como são chamados os aparelhos mais sofisticados, com sistema operacional) atingindo patamares de preços cada vez menores e, por outro lado, somando novos recursos multimídia.
De acordo com Adriano Lino, gerente de pesquisa e inteligência de mercado da Research In Motion (RIM) - fabricante dos modelos BlackBerry -, há alguns anos, a adoção de smartphones dava-se exclusivamente pelo mercado corporativo. Agora, no entanto, um outro público, chamado pelo executivo de "prosumers", aderiu a este tipo de aparelho. São profissionais liberais e pessoas que têm necessidade de estarem sempre conectadas.
"O mercado corporativo é composto, em sua maioria, por empresas de pequeno porte. A possibilidade de pegar um aparelho diferenciado para diretores e gerentes, e outro modelo para vendedores, por exemplo, é um dos fatores que influencia a opção por uma operadora", acrescenta Fiore Mangone, diretor de serviços e software da Nokia.
A RIM, que tradicionalmente costumava se posicionar como principal empresa atuante no mercado corporativo, informa que, pela primeira vez em sua história, no primeiro trimestre deste ano, as vendas para o segmento "prosumer" superaram as corporativas. Lino ressalta que, como este público compõe um mercado maior do que o corporativo, é natural que as taxas de crescimento sejam mais altas.
Na Nokia, por sua vez, os aparelhos da série E, criados especificamente para o segmento corporativo, continuam sendo mais procurados por este mercado, mas, segundo Mangone, vêm conquistando terreno entre os usuários comuns.
O fato é que os smartphones têm puxado o crescimento do mercado de telecomunicações nos últimos meses. No primeiro trimestre do ano, as vendas desses aparelhos cresceram 12,7%, segundo a consultoria IDC, enquanto as de celulares mais simples recuaram 9,4%.
Vinícius Caetano, analista da consultoria IDC especializado no setor de telecom, avalia que a tendência do mercado é a substituição de aparelhos tradicionais por smartphones, daí o maior avanço das vendas desses telefones em relação ao volume total de celulares comercializados.
Nova geração, novas brechas?
Mas o lançamento dessa nova geração de smartphones implica no surgimento de novas brechas de segurança que colocam a empresa em risco? Para Caetano, não. Isso porque, apesar do surgimento de novos modelos, a plataforma que funciona nos aparelhos continua igual.
O que acontece é que à medida que as versões avançam, os telefones evoluem e passam a contar com novas funções. E o uso desses modelos também no ambiente empresarial exige que os fabricantes façam adaptações. O iPhone, por exemplo, ganhou, em sua versão 3G S, uma funcionalidade muito requerida para uso empresarial: a capacidade de funcionar como modem 3G, além de recurso que permite ao usuário apagar remotamente todas as informações do aparelho.
Já o Palm Pre, testado em primeira mão pela PCWorld, é apontado pelo analista da IDC como "o retorno da Palm ao mercado de smartphones" e traz um recurso interessante para o segmento corporativo. Chamado de "multitasking", ele permite ao usuário manter diversas aplicações abertas simultaneamente que continuam sendo atualizadas mesmo quando estão minimizadas.
O BlackBerry Storm fez o caminho contrário do trilhado pela Nokia. A RIM obteve notoriedade no mercado com sua solução de e-mail, cujo uso ganhou destaque no mercado corporativo. Com o Storm, a empresa agregou ao aparelho recursos valorizados tipicamente por consumidores finais, como câmera digital com resolução de 3,2 megapixels e tela colorida sensível ao toque com 3,25 polegadas. E manteve o nível de segurança dos modelos anteriores.
"A gente faz telefones cada vez para usuários 'prosumers', mas é uma solução que tem toda a possibilidade de ser controlada pela área de tecnologia da informação", diz Lino.
O segredo, dizem os fabricantes, é oferecer variedade para as operadoras, de forma que modelos com recursos e preços diferentes seduzam os consumidores corporativos. "Mais do que procurar um ou outro aparelho, usuário corporativo tem buscado soluções, em geral associadas a uso de email e mensagens", afirma Mangone.
Gerenciamento
Dar ao departamento de TI a possibilidade e o controle dos dispositivos móveis é o ponto-chave para garantir a segurança das informações que trafegam nesses aparelhos. O executivo da RIM e o analista da IDC concordam que o ponto fundamental é a empresa estabelecer uma política de segurança e mobilidade que inclua homologação de aparelhos e o gerenciamento das aplicações e dos dispostivos.
"O gerente de tecnologia deve ser responsável pela implementação do smartphone, homologação do sistema operacional do aparelho, nível de criptografia, além de avaliar a questão da gerenciabilidade do smartphone", acrescenta Caetano.
O gerenciamento dos recursos de mobilidade corporativos é feito por meio de soluções oferecidas especificamente para este fim, como a da Nokia, por exemplo, que também promove a atualização de software do telefone. Em geral, essas ferramentas são aplicáveis a diversos modelos de smartphones, porque funcionam sobre o sistema operacional.
"Se a empresa tem uma política adequada de segurança da mobilidade, ter aparelhos com mais funcionalidades não aumenta seu risco, até porque o uso da câmera pode ser desabilitado, por exemplo".
Por Fabiana Monte, editora-assistente do COMPUTEWORLD
12 de junho de 2009 - 07h00
Uma nova geração de celulares está chegando ao mercado de telecomunicações, com os lançamentos dos aparelhos Palm Pre, da Palm; N97, da Nokia; Storm, da BlackBerry; e iPhone 3G S, da Apple, modelos que, em breve, chegarão ao Brasil.
Os limites entre o mundo corporativo e o uso diário de telefones móveis estão cada vez mais próximos, com os smartphones (como são chamados os aparelhos mais sofisticados, com sistema operacional) atingindo patamares de preços cada vez menores e, por outro lado, somando novos recursos multimídia.
De acordo com Adriano Lino, gerente de pesquisa e inteligência de mercado da Research In Motion (RIM) - fabricante dos modelos BlackBerry -, há alguns anos, a adoção de smartphones dava-se exclusivamente pelo mercado corporativo. Agora, no entanto, um outro público, chamado pelo executivo de "prosumers", aderiu a este tipo de aparelho. São profissionais liberais e pessoas que têm necessidade de estarem sempre conectadas.
"O mercado corporativo é composto, em sua maioria, por empresas de pequeno porte. A possibilidade de pegar um aparelho diferenciado para diretores e gerentes, e outro modelo para vendedores, por exemplo, é um dos fatores que influencia a opção por uma operadora", acrescenta Fiore Mangone, diretor de serviços e software da Nokia.
A RIM, que tradicionalmente costumava se posicionar como principal empresa atuante no mercado corporativo, informa que, pela primeira vez em sua história, no primeiro trimestre deste ano, as vendas para o segmento "prosumer" superaram as corporativas. Lino ressalta que, como este público compõe um mercado maior do que o corporativo, é natural que as taxas de crescimento sejam mais altas.
Na Nokia, por sua vez, os aparelhos da série E, criados especificamente para o segmento corporativo, continuam sendo mais procurados por este mercado, mas, segundo Mangone, vêm conquistando terreno entre os usuários comuns.
O fato é que os smartphones têm puxado o crescimento do mercado de telecomunicações nos últimos meses. No primeiro trimestre do ano, as vendas desses aparelhos cresceram 12,7%, segundo a consultoria IDC, enquanto as de celulares mais simples recuaram 9,4%.
Vinícius Caetano, analista da consultoria IDC especializado no setor de telecom, avalia que a tendência do mercado é a substituição de aparelhos tradicionais por smartphones, daí o maior avanço das vendas desses telefones em relação ao volume total de celulares comercializados.
Nova geração, novas brechas?
Mas o lançamento dessa nova geração de smartphones implica no surgimento de novas brechas de segurança que colocam a empresa em risco? Para Caetano, não. Isso porque, apesar do surgimento de novos modelos, a plataforma que funciona nos aparelhos continua igual.
O que acontece é que à medida que as versões avançam, os telefones evoluem e passam a contar com novas funções. E o uso desses modelos também no ambiente empresarial exige que os fabricantes façam adaptações. O iPhone, por exemplo, ganhou, em sua versão 3G S, uma funcionalidade muito requerida para uso empresarial: a capacidade de funcionar como modem 3G, além de recurso que permite ao usuário apagar remotamente todas as informações do aparelho.
Já o Palm Pre, testado em primeira mão pela PCWorld, é apontado pelo analista da IDC como "o retorno da Palm ao mercado de smartphones" e traz um recurso interessante para o segmento corporativo. Chamado de "multitasking", ele permite ao usuário manter diversas aplicações abertas simultaneamente que continuam sendo atualizadas mesmo quando estão minimizadas.
O BlackBerry Storm fez o caminho contrário do trilhado pela Nokia. A RIM obteve notoriedade no mercado com sua solução de e-mail, cujo uso ganhou destaque no mercado corporativo. Com o Storm, a empresa agregou ao aparelho recursos valorizados tipicamente por consumidores finais, como câmera digital com resolução de 3,2 megapixels e tela colorida sensível ao toque com 3,25 polegadas. E manteve o nível de segurança dos modelos anteriores.
"A gente faz telefones cada vez para usuários 'prosumers', mas é uma solução que tem toda a possibilidade de ser controlada pela área de tecnologia da informação", diz Lino.
O segredo, dizem os fabricantes, é oferecer variedade para as operadoras, de forma que modelos com recursos e preços diferentes seduzam os consumidores corporativos. "Mais do que procurar um ou outro aparelho, usuário corporativo tem buscado soluções, em geral associadas a uso de email e mensagens", afirma Mangone.
Gerenciamento
Dar ao departamento de TI a possibilidade e o controle dos dispositivos móveis é o ponto-chave para garantir a segurança das informações que trafegam nesses aparelhos. O executivo da RIM e o analista da IDC concordam que o ponto fundamental é a empresa estabelecer uma política de segurança e mobilidade que inclua homologação de aparelhos e o gerenciamento das aplicações e dos dispostivos.
"O gerente de tecnologia deve ser responsável pela implementação do smartphone, homologação do sistema operacional do aparelho, nível de criptografia, além de avaliar a questão da gerenciabilidade do smartphone", acrescenta Caetano.
O gerenciamento dos recursos de mobilidade corporativos é feito por meio de soluções oferecidas especificamente para este fim, como a da Nokia, por exemplo, que também promove a atualização de software do telefone. Em geral, essas ferramentas são aplicáveis a diversos modelos de smartphones, porque funcionam sobre o sistema operacional.
"Se a empresa tem uma política adequada de segurança da mobilidade, ter aparelhos com mais funcionalidades não aumenta seu risco, até porque o uso da câmera pode ser desabilitado, por exemplo".
quarta-feira, 10 de junho de 2009
Por que pequenas empresas investem pouco em segurança?
São Paulo - Falta de produtos adequados às suas necessidades, pequena capacidade de investimento e desinformação são alguns dos motivos.
Por Rodrigo Afonso, repórter do COMPUTERWORLD
09 de junho de 2009 - 18h37
30% das pequenas e médias empresas (PMEs) brasileiras não usam antivírus; 47% delas não contam com ferramentas de segurança na máquina dos seus usuários e 42% não implantam ferramentas de backup e de restauração de desktops, de acordo com uma pesquisa realizada por encomenda da empresa de segurança Symantec. Mas por que os negócios de pequeno e médio porte parecem adotar tão pouco soluções de segurança?
Fernando Meirelles, professor titular e fundador do Centro de Tecnologia de Informação Aplicada da Fundação Getúlio Vargas, compara as empresas desse porte, sobretudo as pequenas, a usuários domésticos de informática.
“Boa parte dos computadores residenciais navegam sem qualquer proteção. As pessoas só entendem a necessidade da proteção contra riscos de segurança quando passam por alguma grande perda. É natural que boa parte das pequenas ainda não pense muito em segurança”, opina.
Outros motivos, dizem os especialistas, são o fato de segurança ser um investimento que não gera receita; o risco proporcionalmente menor com o qual convivem as companhias de pequeno porte e a falta de enfoque dos fornecedores de segurança nas PMEs.
Marcus Moraes, vice-presidente da Arcon, empresa de soluções para continuidade de negócios, acrescenta que os números são resultado de desinformação das companhias sobre as soluções adequadas de segurança, mas também falta adequação dos produtos para empresas desse porte. “Até existem ferramentas gratuitas, mas elas não têm todas as funcionalidades requeridas e exigem uma equipe de administração com a qual essas companhias não contam”, diz.
Para o pequeno empresário que se sensibiliza com a questão de segurança, mas não tem equipe adequada para tratar a questão, resta a alternativa de refletir sobre o quadro da organização, analisar o real problema, os riscos aos quais a companhia está exposta e definir quanto pode ser gasto com a solução.
Segundo Moraes, o empresário deve se perguntar quais serão os reais prejuízos se o servidor quebrar, se o computador for roubado; os riscos que tais equipamentos sofrem e se vale a pena fazer o investimento. “É como o seguro de qualquer objeto: você paga para ter a certeza de sua disponibilidade”.
Feita esta análise, o empresário tem mais subsídio para traçar um bom plano de segurança para sua organização. A partir daí, ele tem duas opções: encontrar um profissional dentro da empresa que possa colocar o plano em prática ou contratar uma consultoria de segurança. O orçamento pode ser uma barreira em ambos os casos e é por isso que é preciso avaliar bem o quanto o risco justifica o investimento.
Para Marcus Moraes, uma das principais tendências do setor é o preenchimento desta lacuna por parte de empresas de telecomunicações, que além de conquistarem uma receita adicional com os clientes empresariais, evitam que sua própria rede tenha problemas causados por tráfego inseguro.
Fernando Meirelles acredita que as empresas que contam com menos recursos deve ter um foco maior em processos do que em ferramentas. É importante, por exemplo, implantar a cultura de realizar backups diários, mostrar a todos quais são as boas práticas para manter um ambiente seguro, como não abrir e-mails inadequados, entre outras coisas.
“Aliado à adoção de ferramentas mais simples e intuitivas, que não são tão custosas e podem ser adquiridas facilmente pela internet, o foco em processos pode colaborar para reduzir significativamente os riscos aos quais as pequenas organizações estão expostas”, conclui Meirelles.
Por Rodrigo Afonso, repórter do COMPUTERWORLD
09 de junho de 2009 - 18h37
30% das pequenas e médias empresas (PMEs) brasileiras não usam antivírus; 47% delas não contam com ferramentas de segurança na máquina dos seus usuários e 42% não implantam ferramentas de backup e de restauração de desktops, de acordo com uma pesquisa realizada por encomenda da empresa de segurança Symantec. Mas por que os negócios de pequeno e médio porte parecem adotar tão pouco soluções de segurança?
Fernando Meirelles, professor titular e fundador do Centro de Tecnologia de Informação Aplicada da Fundação Getúlio Vargas, compara as empresas desse porte, sobretudo as pequenas, a usuários domésticos de informática.
“Boa parte dos computadores residenciais navegam sem qualquer proteção. As pessoas só entendem a necessidade da proteção contra riscos de segurança quando passam por alguma grande perda. É natural que boa parte das pequenas ainda não pense muito em segurança”, opina.
Outros motivos, dizem os especialistas, são o fato de segurança ser um investimento que não gera receita; o risco proporcionalmente menor com o qual convivem as companhias de pequeno porte e a falta de enfoque dos fornecedores de segurança nas PMEs.
Marcus Moraes, vice-presidente da Arcon, empresa de soluções para continuidade de negócios, acrescenta que os números são resultado de desinformação das companhias sobre as soluções adequadas de segurança, mas também falta adequação dos produtos para empresas desse porte. “Até existem ferramentas gratuitas, mas elas não têm todas as funcionalidades requeridas e exigem uma equipe de administração com a qual essas companhias não contam”, diz.
Para o pequeno empresário que se sensibiliza com a questão de segurança, mas não tem equipe adequada para tratar a questão, resta a alternativa de refletir sobre o quadro da organização, analisar o real problema, os riscos aos quais a companhia está exposta e definir quanto pode ser gasto com a solução.
Segundo Moraes, o empresário deve se perguntar quais serão os reais prejuízos se o servidor quebrar, se o computador for roubado; os riscos que tais equipamentos sofrem e se vale a pena fazer o investimento. “É como o seguro de qualquer objeto: você paga para ter a certeza de sua disponibilidade”.
Feita esta análise, o empresário tem mais subsídio para traçar um bom plano de segurança para sua organização. A partir daí, ele tem duas opções: encontrar um profissional dentro da empresa que possa colocar o plano em prática ou contratar uma consultoria de segurança. O orçamento pode ser uma barreira em ambos os casos e é por isso que é preciso avaliar bem o quanto o risco justifica o investimento.
Para Marcus Moraes, uma das principais tendências do setor é o preenchimento desta lacuna por parte de empresas de telecomunicações, que além de conquistarem uma receita adicional com os clientes empresariais, evitam que sua própria rede tenha problemas causados por tráfego inseguro.
Fernando Meirelles acredita que as empresas que contam com menos recursos deve ter um foco maior em processos do que em ferramentas. É importante, por exemplo, implantar a cultura de realizar backups diários, mostrar a todos quais são as boas práticas para manter um ambiente seguro, como não abrir e-mails inadequados, entre outras coisas.
“Aliado à adoção de ferramentas mais simples e intuitivas, que não são tão custosas e podem ser adquiridas facilmente pela internet, o foco em processos pode colaborar para reduzir significativamente os riscos aos quais as pequenas organizações estão expostas”, conclui Meirelles.
terça-feira, 9 de junho de 2009
30% das pequenas e médias empresas do País não usam antivírus
São Paulo - Pesquisa da empresa de segurança Symantec aponta também que 47% delas não têm ferramentas de segurança nas máquinas de usuários.
Por Rodrigo Afonso, repórter do COMPUTERWORLD
08 de junho de 2009 - 16h08
Uma pesquisa realizada pelo Instituto Applied Research, a pedido da empresa de segurança Symantec, indica que 30% das pequenas e médias empresas (PMEs) brasileiras não usam antivírus. Além disso, 47% delas não contam com ferramentas de segurança nas máquinas de seus usuários; 42% delas não implantam ferramentas de backup e de restauração de desktops; 35% não possuem antispam; e 40% não têm backup ou sistema de recuperação de servidor.
Apesar dos dados mostrarem a falta de aplicação de políticas consistentes de segurança da informação, Marcelo Saburo, gerente comercial da Symantec para PMEs, se surpreendeu apenas com o percentual de empresas sem ferramentas contra vírus, solução bastante elementar nos dias de hoje.
“Se é recomendado que cada usuário doméstico de microinformática tenha uma instalação de antivírus, um percentual de 30% de empresas desprotegidas é preocupante e indica que a segurança, de uma forma geral, está descuidada”, avalia.
A pesquisa também procurou levantar as causas para essas falhas. De acordo com as próprias empresas, a falta de recursos e de funcionários qualificados são os principais culpados. No Brasil, 28% das companhias não têm pessoal dedicado à área de tecnologia da informação e 37% dizem que falta verba para comprar ferramentas de segurança da informação.
Apesar de alegarem falta de orçamento, a maioria das empresas brasileiras pretende aumentar (40%) ou manter (49%) a verba de tecnologia, mesmo com a crise financeira.
A pesquisa também levantou as causas de perdas ou vazamento de dados nas PMEs do Brasil. 50% das companhias indicaram que houve roubo de laptops, smartphones e PDAs. Os outros 50% sofreram com perda ou roubo de fitas de backup e outros dispositivos importantes de armazenamento.
O levantamento foi realizado mundialmente. Na América Latina, foram entrevistadas 300 empresas, das quais 100 do Brasil. Em toda a AL, 94% dos participantes consideram o backup e a recuperação de dados como importantes, seguido por estratégia de recuperação de desastres (92%) e soluções de arquivamento (83%).
Por Rodrigo Afonso, repórter do COMPUTERWORLD
08 de junho de 2009 - 16h08
Uma pesquisa realizada pelo Instituto Applied Research, a pedido da empresa de segurança Symantec, indica que 30% das pequenas e médias empresas (PMEs) brasileiras não usam antivírus. Além disso, 47% delas não contam com ferramentas de segurança nas máquinas de seus usuários; 42% delas não implantam ferramentas de backup e de restauração de desktops; 35% não possuem antispam; e 40% não têm backup ou sistema de recuperação de servidor.
Apesar dos dados mostrarem a falta de aplicação de políticas consistentes de segurança da informação, Marcelo Saburo, gerente comercial da Symantec para PMEs, se surpreendeu apenas com o percentual de empresas sem ferramentas contra vírus, solução bastante elementar nos dias de hoje.
“Se é recomendado que cada usuário doméstico de microinformática tenha uma instalação de antivírus, um percentual de 30% de empresas desprotegidas é preocupante e indica que a segurança, de uma forma geral, está descuidada”, avalia.
A pesquisa também procurou levantar as causas para essas falhas. De acordo com as próprias empresas, a falta de recursos e de funcionários qualificados são os principais culpados. No Brasil, 28% das companhias não têm pessoal dedicado à área de tecnologia da informação e 37% dizem que falta verba para comprar ferramentas de segurança da informação.
Apesar de alegarem falta de orçamento, a maioria das empresas brasileiras pretende aumentar (40%) ou manter (49%) a verba de tecnologia, mesmo com a crise financeira.
A pesquisa também levantou as causas de perdas ou vazamento de dados nas PMEs do Brasil. 50% das companhias indicaram que houve roubo de laptops, smartphones e PDAs. Os outros 50% sofreram com perda ou roubo de fitas de backup e outros dispositivos importantes de armazenamento.
O levantamento foi realizado mundialmente. Na América Latina, foram entrevistadas 300 empresas, das quais 100 do Brasil. Em toda a AL, 94% dos participantes consideram o backup e a recuperação de dados como importantes, seguido por estratégia de recuperação de desastres (92%) e soluções de arquivamento (83%).
sábado, 30 de maio de 2009
Empresas precisam implantar melhores práticas de segurança, alerta advogada
sexta-feira, 29 de maio de 2009, 18h22 - TI Inside
Sua empresa está preparada se levarem o servidor embora? A situação não é hipotética e acontece com freqüência em ações de busca e apreensão, pois está amparada nos artigos 798, 839, 840 e 842 do Código de Processo Civil e artigos 13 e 14 da Lei de Software (Lei 9.609/98). A informação é de Patrícia Peck Pinheiro, advogada especialista em Direito digital, sócia da PPP Advogados, feitan durante palestra nesta sexta-feira, 29, sobre o Direito digital corporativo e o judiciário brasileiro.
Ela explicou que falta conhecimento às empresas sobre o assunto, além de demorarem na coleta e guarda das provas adequadamente, no uso de ferramentas tecnológicas específicas e também na hora de tomar decisão no momento da ocorrência do incidente.
"As empresas demoram a perceber o problema, em guardar a prova e em tomar uma ação jurídica. Já fomos procurados por empresas três meses depois do acontecido", explica a advogada.
Segundo levantamento feito pelo escritório PPP Advogados, os incidentes eletrônicos mais comuns, pela ordem, são uso indevido de senha, mau uso da ferramenta de trabalho tecnológica, uso não autorizado da marca na internet, contaminação por vírus ou trojan, vazamento de informação confidencial, problemas com contratos de TI, pirataria e downloads, furto de dados, cyber/typosquatting, ofensa de direitos autorais e fraude eletrônica.
Segundo Patrícia, as empresas têm de ter cuidado aos usos e costumes que não tem qualquer embasamento legal. "Quem não conhece alguém que imprime um e-mail importante para guardar e apaga o original eletrônico", exemplifica. Ela ressalta que o judiciário está se modernizando para responder às demandas do Direito digital: em 30% dos casos de identificação de autoria se obtêm liminar no mesmo dia; 40% em um dia; 20% em quatro dias e 10% em cinco dias. Devido à demora das empresas, apenas 50% têm êxito na identificação do autor; 27% dos casos são oriundas de lan-houses sem registro; 13% de empresas sem registro, 7% têm evidências prejudicadas, 3% outras causas.
A pesquisa mostrou ainda que os objetos mais frequentes de ações judiciais são: 43% identificação de autoria; 22% retirada de conteúdo do ar; 12% infração a propriedade intelectual; 9% quebra de acordo de nível de serviço (SLA) e falha de serviço; 5% dados por ofensa na web; 4% desenvolvimento de software; 3% fraude eletrônica; 1% abuso de reclamação e 1% contrafação e afins.
Segundo o especialista Alexandre Maiali, as "empresas têm de mapear processos para evitar processos. Geralmente as empresas têm política de backup, mas não de restore. É comum ver documentos armazenados que são sobrescritos, com títulos como documento final, documento final 1, documento final revisado". "As empresas tem de fazer não o Plano Diretor de Informática mais o Plano Legal Diretor de Informática, para criar valor jurídico do documento desde sua origem", enfatiza.
Sua empresa está preparada se levarem o servidor embora? A situação não é hipotética e acontece com freqüência em ações de busca e apreensão, pois está amparada nos artigos 798, 839, 840 e 842 do Código de Processo Civil e artigos 13 e 14 da Lei de Software (Lei 9.609/98). A informação é de Patrícia Peck Pinheiro, advogada especialista em Direito digital, sócia da PPP Advogados, feitan durante palestra nesta sexta-feira, 29, sobre o Direito digital corporativo e o judiciário brasileiro.
Ela explicou que falta conhecimento às empresas sobre o assunto, além de demorarem na coleta e guarda das provas adequadamente, no uso de ferramentas tecnológicas específicas e também na hora de tomar decisão no momento da ocorrência do incidente.
"As empresas demoram a perceber o problema, em guardar a prova e em tomar uma ação jurídica. Já fomos procurados por empresas três meses depois do acontecido", explica a advogada.
Segundo levantamento feito pelo escritório PPP Advogados, os incidentes eletrônicos mais comuns, pela ordem, são uso indevido de senha, mau uso da ferramenta de trabalho tecnológica, uso não autorizado da marca na internet, contaminação por vírus ou trojan, vazamento de informação confidencial, problemas com contratos de TI, pirataria e downloads, furto de dados, cyber/typosquatting, ofensa de direitos autorais e fraude eletrônica.
Segundo Patrícia, as empresas têm de ter cuidado aos usos e costumes que não tem qualquer embasamento legal. "Quem não conhece alguém que imprime um e-mail importante para guardar e apaga o original eletrônico", exemplifica. Ela ressalta que o judiciário está se modernizando para responder às demandas do Direito digital: em 30% dos casos de identificação de autoria se obtêm liminar no mesmo dia; 40% em um dia; 20% em quatro dias e 10% em cinco dias. Devido à demora das empresas, apenas 50% têm êxito na identificação do autor; 27% dos casos são oriundas de lan-houses sem registro; 13% de empresas sem registro, 7% têm evidências prejudicadas, 3% outras causas.
A pesquisa mostrou ainda que os objetos mais frequentes de ações judiciais são: 43% identificação de autoria; 22% retirada de conteúdo do ar; 12% infração a propriedade intelectual; 9% quebra de acordo de nível de serviço (SLA) e falha de serviço; 5% dados por ofensa na web; 4% desenvolvimento de software; 3% fraude eletrônica; 1% abuso de reclamação e 1% contrafação e afins.
Segundo o especialista Alexandre Maiali, as "empresas têm de mapear processos para evitar processos. Geralmente as empresas têm política de backup, mas não de restore. É comum ver documentos armazenados que são sobrescritos, com títulos como documento final, documento final 1, documento final revisado". "As empresas tem de fazer não o Plano Diretor de Informática mais o Plano Legal Diretor de Informática, para criar valor jurídico do documento desde sua origem", enfatiza.
Assinar:
Postagens (Atom)
