Segurança eletrônica nas empresas: Na era da Internet nenhuma empresa pode se dar ao luxo de isolar-se em uma ilha e ficar aquém dos acontecimentos que ocorrem no mundo computacional. Abrir mão da rede ou de comunicar-se eletronicamente, é o mesmo que assinar o crescimento zero de sua instituicão e perder a direção, foco e agilidade de que ela propunha ser e ter.

Essa tal segurança Na era da Internet nenhuma empresa pode se dar ao luxo de isolar-se em uma ilha e ficar aquém dos acontecimentos que ocorrem no mundo computacional. Abrir mão da rede ou de comunicar-se eletronicamente, é o mesmo que assinar o crescimento zero de sua instituicão e perder a direção, foco e agilidade de que ela propunha ser e ter.  Tudo bem, você não se enquandra nesse perfil: está além da simples comunicação eletrônica. Bom, mais ai você descobre o outro lado da moeda. Percebe que, para ganhar em agilidade de processos eletrônicos, você muitas vezes corre o risco de perder algo. Esse algo pode ser o que você tem de mais precioso em sua empresa: as informações (dados isolados ja trabalhados). Perdê-las? Você não previo ou imaginou está hípotese. Vírus, crackers, hachers, vunerabilidades de sistemas, exposição. E agora? As soluções tomadas pelas empresas na maioria das vezes, são a compra de um firewall, software antivírus e pacotes similares. É aí que mora o perigo. Não basta contar somente com estas soluções, elas são parte pequena do todo. É necessário ter uma política abrangente que combine hardware, software, rigor no controle da distribuição de senhas, engenharia social e conscientização. Nas grandes corporações se faz necessário equipes internas especializadas em segurança; nas médias e pequenas empresas, que não podem se dar a este luxo, serviços externos de segurança serão cada vez mais necessário. Segurança, hoje, é um elemento estratégico para as empresas que investem cada vez mais em tecnologia eletrônica. O que fazer então, qual o caminho para essa tal segurança?! Bem, não existe uma solução 100%, mas aproximar-se da perfeição se faz necessário. Como? Através de soluções mais complexas. Soluções que envolvam integridade, confidencialidade e disponibilidade das informações de seus clientes. Uma solução efetiva deve combinar vários elementos para eliminar a vulnerabilidade dos ativos da empresa, ou seja, infra-estrutura física, aplicações, tecnologias, informações e pessoas. A grande maioria das empresas exerga apenas a ponta do iceberg, vendo a questão de segurança como um problema apenas tecnológico. A integridade, confidencialidade e disponibilidade das informações, seja em formato eletrônico ou não, devem ser garantidas em quatro momentos - manuseio, armazenamento, transporte e descarte das informações.  É importate observar que a implementação de um case de segurança é personalizado de acordo com as características do negócio e as necessidades de cada cliente. São vários elementos, subdivididos em diversos itens. O primeiro é conhecer o problema, através da análise de riscos e vulnerabilidade, especificação de segurança, boletins técnicos e análise de aplicações. O segundo elemento é a definição que irá abranger a política de segurança e a classificação das informações, mudança de comportamento, campanha de divulgação e teste de invasão. A fase seguinte é a de implementação de segurança, desenvolvimento de softwares especiais e plano técnico. A continuidade da estrutura segurança é algo primordial para o chamado loop do case, por questões da própria evolução tecnológica que sofre alterações ao logo do tempo. Ou seja: solução integrada e personalizada reduz efetivamente os riscos e garante o melhor retorno sobre investimentos. Os piores erros de segurança que o pessoal de TI pode cometer: . Conectar sistemas à Internet antes de aperfeiçoá-los quanto à segurança; . Conectar sistemas de teste à Internet com contas/senhas padrão; . Deixar de atualizar os sistemas quando forem encontradas falhas; . Utilizar telnet e outros protocolos não criptografados para gerenciar sistemas, roteadores, firewall e PKI (Public Key Infrastructure); . Informar senhas aos usuários por telefone ou alterá-las mediante solicitações pessoais ou por telefone, quando o solicitador não for autenticado; . Deixar de manter e testar os backups; . Executar serviços desnecessários, especialmente ftpd, telnetd, finger, rpc e mail; . Implementar firewall com regras que não impeçam a ida e vinda de tráfego que apresente algum tipo de perigo; . Deixar de implementar ou de atualizar o software de detecção de vírus; . Deixar de ensinar aos usuários sobre o que procurar e o que fazer quando eles se deparam com um problema de segurança em potencial; . Permitir que pessoal não treinado e que não tenha certificado assuma a responsabilidade por importantes sistemas de segurança. Leonardo Resende Consultor Macromedia Certified Solution WebDesign M/E0168 - Especialista em e-business FGV Colaboração Marcos Sêmola Gerente de produtos da Módulo Security Solutions Professor da cadeira de segurança FGV

Quebra-Linha

Colaborador..: Leonardo Barros de Resende
Categoria(s).: Segurança;
Versão.......: Artigo
Data.........: 19/06/2003 13:57:14
Visualizado..: 5195 vezes
Fonte........: Leonardo - Fundação Getulio Vargas