grm 2014 - unbounded security:aonde foi parar meu perímetro corporativo e como protege-lo?
DESCRIPTION
Novas tecnologias influenciam cada vez mais o comportamento das pessoas. Esse paradigma é levado a um ambiente de trabalho cada vez menos convencional, onde dados corporativos estão organizados de forma cada vez mais dinâmica. Será que estamos preparados para proteger organizações sem inviabilizar o negócio? Como lidar com Segurança da Informação quando seu perímetro de proteção desconhece fronteiras?TRANSCRIPT
Unbounded Security: Aonde foi parar meu perímetro corporativo e como protege-lo?
Cláudio Dodt, CISA, CISSP, CRISC, ISMAS
Diretor de Tecnologia
Segurança da
Informação:
Como era?
Segurança da Informação: Quebrando
paradigmas
Segurança da Informação: Quebrando
paradigmas
Informação Perímetro
Corporativo
Informações dentro
do perímetro
Segurança da Informação: Quebrando
paradigmas
Ameaças fora...
AM
EA
ÇA
S
Segurança da Informação: Quebrando
paradigmas
Segurança da
Informação:
Cenário HOJE
Segurança da Informação: Quebrando
paradigmas
Você realmente sabe onde estão
seus dados corporativos?
Segurança da Informação: Quebrando
paradigmas
Ameaças?
Por todo lado!
Vazamentos
Fraude Sabotagem
Segurança da Informação:
Comportamento e Consumerização
Homem Vitruviano - Leonardo da Vinci - 1490
Segurança da Informação:
Comportamento e Consumerização
Homem Consumeriano - 2017
Tecnologias
Vestíveis!
Estamos
Preparados?
• Wireless do desfibrilador
desativado.
• Medo de ciberterroristas.
Dick Cheney
Segurança da Informação: Tecnologia e
Comportamento – Tendencias
• Wireless do desfibrilador
desativado.
• Medo de ciberterroristas.
Dick Cheney
Segurança da Informação: Tecnologia e
Comportamento – Tendencias
Se considerarmos um ciclo de adoção
parecido ao de smartphones e tablets...
Aproximadamente 171 milhões de
dispositivos devem estar nas mãos dos
consumidores por volta de 2016.
Segurança da Informação: Novos
paradigmas
O que mudou
realmente?
Segurança da Informação: Novos
paradigmas
54% das organizações reportaram aumento nas ameaças
externas. Ernst & Young: “Global Information Security Survey 2013”
81% das grandes organizações sofreram falhas de
segurança no último ano. Department for Business Innovation & Skills: “2014 Information Security Breaches Survey”
Somente 33% das vitimas descobriram as falhas de
segurança internamente. Mandiant: “2014 Threat Report: M-Trends - Beyond the Breach”
75% dos ataques exploraram vulnerabilidades
conhecidas publicamente e solucionáveis com
atualizações periódicas CyberEdgeGroup: “2014 CyberthreatDefense Report”
Segurança da Informação: Novos
paradigmas
SEGURANÇA DA INFORMAÇÃO é gerenciada com base em
LIDERANÇA ou CRISE...
...na ausência da LIDERANÇA,
só nos resta a CRISE.
Segurança da Informação: Caso Target
• Segunda maior rede de varejo
nos USA.
• Teve uma falha de segurança
crítica no final de 2013
• Origem: fornecedor de
sistemas de climatização.
• 40M de cartões de crédito e
outras 70M de informações
privadas foram roubadas.
• Prejuízo estimado: 61M
• CEO demitido em Maio de 2014.
Segurança da Informação: Boas práticas
Algumas coisas
não mudaram!
Segurança da Informação: Visão
Holística
Segurança
da
Informação
Políticas
Segurança da Informação: Ainda somos
míopes
Confidencialidade
Integridade Disponibilidade
Segurança da
Informação
Pessoas Processos Tecnologia
Segurança da Informação: Ainda somos
míopes
Confidencialidade
Integridade Disponibilidade
Segurança da
Informação
Pessoas Processos Tecnologia
Tecnologia
Segurança da Informação: Ainda somos
míopes
Confidencialidade
Integridade Disponibilidade
Segurança da
Informação
Pessoas Processos Tecnologia
Tecnologia O QUE ACONTECE COM A
MELHOR TECNOLOGIA
NAS MÃOS DE QUEM NÃO
ESTÁ PREPARADO?
Segurança da Informação: Ainda somos
míopes
Confidencialidade
Integridade Disponibilidade
Segurança da
Informação
Pessoas Processos Tecnologia
Tecnologia
Segurança da Informação: Ainda somos
míopes
Tecnologia
Segurança da Informação: Ainda somos
míopes
Tecnologia
Tecnologia é...
...a mera ponta...
...do iceberg.
Segurança da Informação: Ainda somos
míopes
Tecnologia
Processos
• Investimento inteligente
• Padrões Testados
• Visão Estratégica
• Formalização
• Seleção
• Capacitação
• Reciclagem
• Conscientização
Pessoas
Segurança da Informação: Estratégia
para cibersegurança
PREVER
• Ataques mais prováveis
• Alvos
• Métodos
• Medidas pró-ativas
RESPONDER
• Tratar rapidamente incidentes
• Minimizar perda
• Retorno a normalidade
PREVINIR
• Prevenir ou deter ataques
• Evitar perda
• Preparar ambiente tecnológico
• Educar usuários
• Princípios e Políticas
DETECTAR
• Identificar ataques não
prevenidos
• Resposta rápida e completa
• Monitoração de áreas chaves
• Identificar problemas, violações
e ataques
Segurança da Informação: Estratégia
para cibersegurança
PREVER
• Ataques mais prováveis
• Alvos
• Métodos
• Medidas pró-ativas
RESPONDER
• Tratar rapidamente incidentes
• Minimizar perda
• Retorno a normalidade
PREVINIR
• Prevenir ou deter ataques
• Evitar perda
• Preparar ambiente tecnológico
• Educar usuários
• Princípios e Políticas
DETECTAR
• Identificar ataques não
prevenidos
• Resposta rápida e completa
• Monitoração de áreas chaves
• Identificar problemas, violações
e ataques
Estratégia
de
Ciber
Segurança
Segurança da Informação: Gerenciando
riscos de maneira prática
AMEAÇAS MÉTODOS OBJETIVOS
Identificar ameaças mais prováveis,
métodos e objetivos.
Considere níveis aceitáveis de risco
e controles atuais.
Determinar os riscos mais críticos.
Segurança da Informação: Gerenciando
riscos de maneira prática
AMEAÇAS MÉTODOS OBJETIVOS
MOTIVADOS a causar
danos
CAPAZES de causar
danos INT
EN
SID
AD
E
RISCO
alto
baixo
Segurança da Informação: Gerenciando
riscos de maneira prática
Existem dois tipos de vítimas: As
que tem algo de valor e as que são
um alvo fácil.
Dica: se você tem algo de valor, não
seja um alvo fácil!
Conclusões
Pontos essenciais: Sem Liderança adequada, só nos resta a crise.
Otimize níveis de segurança. Atinja o necessário, nem mais nem menos.
Segurança é um ciclo contínuo. Gestão de Riscos é essencial.
Mais que nunca, é necessário uma visão holística da Segurança da Informação.
“Segurança sempre é vista como excessiva,
até o dia em que não é suficiente”
William H. Webster
Claudio Dodt, ISMAS, CISSP, CISA Diretor de Tecnologia
http://www.realiso.com.br
http://claudiododt.com
http://www.facebook.com/claudiododtcom
http://br.linkein/claudiododt
http://pt.slideshare.net/claudiododt