Nos últimos dias venho observando que diversos sites de serviços estão sendo invadidos e os dados confidenciais dos clientes estão sendo divulgados na Internet. Neste momento surge a pergunta, as empresas afetadas são grandes e provavelmente tem um time de segurança e boas ferramentas, então, porque elas estão sofrendo com estes ataques?
Quando falamos de segurança da informação, sabemos que não existe segurança 100%, mas podemos chegar a 99%. Na prática, vejo que a questão de um site ser ou não atacado está relacionado basicamente a três fatores: Financeiro, Desafio e ideologia.
Financeiro:
Especialmente no Brasil, se olharmos os incidentes de segurança o primeiro motivo do furto de dados está diretamente relacionado com o interesse financeiro, de fato, no Brasil o furto de dados bancários é altamente especializado, temos a figura do programador que desenvolve o código malicioso e providencia os meios técnicos para o ataque, temos também o núcleo de engenharia social e financeiro e finalmente os operadores que vão ao banco retirar o dinheiro.
Desafio:
No submundo digital temos grupos de hackers que realizam desafios entre si, quanto mais seguro o sistema, maior o desafio. Existe uma competição, para determinar qual grupo é mais eficiente e mais qualificado.
Não pense que reduzir a segurança de seus sistemas seria a solução. Da mesma forma que temos grupos altamente especializados, temos os pseudo hackers que não desenvolvem técnicas avançadas de invasão, mas utilizam-se de exploits kit e vulnerabilidades conhecidas.
Ideologia:
Temos casos de grupos que agem por ideologia e invadem, destroem ou ainda furtam e divulgam dados por questões ideológicas, por não concordar pela forma com que os proprietários do site agem. Temos casos aqui mesmo no Brasil onde por insatisfação com algumas políticas, sites do governo foram invadidos. Recentemente na esfera internacional, temos o caso de um site de relacionamentos extraconjugais em que dados como: nome completo, endereço, data de nascimento e outros, de clientes do serviço foram furtados e os invasores ameaçaram a divulgação pública caso o site não encerrasse suas operações.
Observando estes fatores, muitas empresas acreditam que por não serem conhecidas, por não possuírem grande presença na Web, por não serem instituições financeiras, enfim, acreditam que não tem motivo para se preocupar com seus dados e simplesmente não investem nada ou quase nada em segurança, pois nunca tiveram incidentes, logo não existe o motivo para o investimento.
Na verdade, todas as empresas devem se preocupar com a segurança e hoje a questão não é mais se meu sistema será atacado, mas sim quando será atacado e quais as medidas tomar para evitar que o ataque seja bem sucedido.
No cenário atual, para possuirmos um nível mais elevado de segurança, necessitamos no meu ponto de vista dos seguintes fatores: segurança em camadas, políticas de segurança claras e definidas, procedimentos de segurança e educação dos usuários.
Segurança em camadas:
Várias soluções agregadas e trabalhando em conjunto para que caso a primeira barreira seja quebrada, as barreiras seguintes contenham o mesmo ou mitiguem seus impactos. Por exemplo, podemos ter um firewall de perímetro, uma solução de IPS e finalmente um firewall de host.
Políticas de segurança claras:
Aqui vejo uma grande deficiência, muitas empresas não tem uma política de segurança da informação definida e algumas têm, porém somente um documento estático que não é colocado em prática e não é efetivo, ou um documento composto de várias páginas que os usuários desconhecem ou simplesmente acham longo demais para ler e compreender.
Procedimentos de segurança:
Muitas empresas têm boas soluções de segurança, uma política clara e definida, porém não existem os procedimentos de segurança, se observar as estatísticas, muitas empresas que sofreram ataques possuíam boas ferramentas que na prática não estavam configuradas corretamente ou que não eram atualizadas, muitos ataques ocorrem utilizando-se de vulnerabilidades velhas e conhecidas.
Educação dos usuários:
O usuário é o elo mais fraco da corrente, então conscientizar e engajar os usuários é importante, não só treinar, mas engajar, por exemplo, envolva os departamentos da organização no desenvolvimento das políticas de segurança, o envolvimento faz com que os usuários se sintam parte do processo e entendam que eles fazem parte do sucesso da mesma.
Lembre-se que segurança não é implementada em apenas um produto ou processo, mas sim em uma combinação de soluções, procedimentos e conscientização.
Vamos conversar sobre segurança na sua empresa? A Infomach tem auxiliado inúmeras empresas a implementar e administrar soluções de segurança, podemos auxiliar você também.
Clique aqui ou ligue 62 39457955.