Virtus Junxit Mors Non Seperabit

Tudo o que os CIOs devem ter em mente quando o assunto é cibersegurança

Embora a conscientização tenha aumentado, muitos ainda estão tentando descobrir a melhor estratégia para manter os ambientes virtuais seguros a longo prazo

Muito se fala sobre como 2017 foi o ano que mais chamou atenção para a importância da cibersegurança e Segurança da Informação (SI). Diversos ataques de ransomware, assim como violações de dados que comprometeram informações de clientes e empresas foram notícia no mundo todo, e passaram a preocupar CIOs conforme percebiam que não era mais uma questão de "se", mas "quando" as companhias estariam sob ataque. À medida que a transformação digital gera mudanças nos modelos de negócio, aumentando os dados gerados e armazenados on-line, as ameaças também crescem, tornando respostas rápidas e eficientes indispensáveis.

Mas, embora a conscientização tenha aumentado, muitos ainda estão tentando descobrir a melhor estratégia para manter os ambientes virtuais seguros a longo prazo, enquanto outros ainda precisam começar a estabelecer defesas. De acordo com a pesquisa Gartner Agenda CIO 2018, embora 95% dos CIOs esperem que as ameaças cibernéticas cresçam nos próximos três anos, apenas 65% das empresas contam com especialistas em segurança cibernética. Este cenário mostra que ainda há muito caminho a percorrer quando se trata de segurança on-line, e medidas podem ser tomadas desde as mais avançadas até as mais básicas.

Uma vez que um ataque cibernético é bem-sucedido, ele será continuamente usado por um número crescente de invasores. Isso significa que as ameaças on-line estão em um constante movimento de vai e vem, à medida que novos ataques estão sendo criados e os antigos ainda estão em uso. Assim, CIOs devem ter em mente a importância de sempre ter boas medidas básica de segurança em ação. Nesta categoria estão práticas como manter os sistemas atualizados, gerenciar privilégios e eventos de contas, aplicar uma política de configuração de senhas complexas, proteger servidores e endpoints e sempre monitorar o que está acontecendo na rede.

Manter um monitoramento de rede eficiente é um dos primeiros passos para uma estratégia de segurança de alto nível, porque, essencialmente, você não pode controlar o que não pode ver. Uma pesquisa recente patrocinada pela Sophos e conduzida pela Vanson Bourne mostrou que, em média, 45% do tráfego da rede não é identificado pelos gerentes de TI e que 85% deles querem mais visibilidade. Essa falta de visão pode resultar em perdas não apenas para segurança, mas também para o negócio. Se você não sabe quais aplicativos estão consumindo mais banda, não é possível priorizar os mais críticos e reduzir o uso de aplicações não relacionadas ao trabalho, afetando também o Retorno sobre Investimento (ROI) e regras de responsabilidade legal e compliance.

Na verdade, um maior controle e visibilidade de rede é algo que o mercado já espera das empresas. Em vigor desde maio de 2018, o Regulamento Geral de Proteção de Dados (GDPR) estabelece no artigo 33 a exigência obrigatória do relatório de violação em 72 horas. Isso significa que, dentro de três dias após tomar conhecimento de que um ataque cibernético está acontecendo, as companhias devem fazer uma investigação completa para informar as autoridades e indivíduos afetados sobre a natureza da violação, um registro do que foi feito para impedir ataques e um plano de mitigação. 

Fazer um relatório tão completo em apenas três dias pode parecer um grande desafio, mas é importante lembrar que, além das medidas básicas de segurança, outras soluções podem fornecer aos CIOs a visão holística necessária para realizar esse tipo de investigação. À medida que os ataques se tornam cada vez mais sofisticados e personalizados, as estratégias de defesa também precisam seguir o mesmo caminho. Soluções com detecção e resposta de endpoint (EDR) e Deep Learning podem detectar padrões para proteção e tentar prever novos ataques, e recursos como segurança sincronizada podem fazer com que diferentes aspectos da segurança, como firewall e endpoint, se comuniquem entre si para identificar e responder a ameaças de maneira mais rápida.

ciberseguranca

Segurança da informação é um tópico que se tornou fundamental, e é necessário que empresas tenham equipes especializadas com experiência no gerenciamento das tecnologias que possuem e em resposta a incidentes. Se isso não for possível, uma boa solução é contratar organizações especializadas com boa reputação em segurança. Embora os CIOs tenham um papel mais focado nos negócios, é importante ter em mente que uma estratégia de segurança traz outros benefícios além da cibersegurança, permitindo maior produtividade e proatividade tecnológica para a empresa. Com as ferramentas certas, os CIOs podem proteger as empresas, além de cultivar um ambiente de trabalho consciente em relação a segurança.

(*) Marcos Tabajara é Country Manager Brasil da Sophos

Imprimir Email

Os tokens e a disrupção dos mercados de commodities

O Blockchain já começa a revolucionar também o comércio de ouro

A The Royal Mint Gold (RMG) mudará a forma como o ouro é negociado, executado e liquidado, transformando-o em token e tornando-o disponível para negociação com um ledger transparente de propriedade e custos mais baixos. 

No nível técnico, o projeto The Royal Mint Gold (RMG) traz um ledger distribuído que difere de outros Blockchains, eis que projetado para a segurança e digitalização de um único ativo.

O Blockchain RMG é projetado para garantir segurança a partir do zero: todas as carteiras são multi-assinatura.

Não há buracos negros
E aqui, vale a pena abrir um parênteses para falar sobre multisignaturekeys. Chaves com multi-assinaturas (ou multisignature, em inglês) exigem mais de uma chave para autorizar uma transação. Geralmente é usado para dividir a responsabilidade pela posse de uma criptomoeda ou token.

Transações padrão na rede Bitcoin, por exemplo, podem ser chamadas de “transações de assinatura única”, porque as transferências requerem apenas uma assinatura — do proprietário da chave privada associada ao endereço do Bitcoin.

Assim, voltando ao objetivo deste texto, as assinaturas de várias pessoas são necessárias para que os fundos de outro possam ser transferidos. A ideia é que os tokens na RMG se tornem “onerados”, fornecendo endereços de várias partes, exigindo, assim, a cooperação dessas partes para fazer qualquer coisa. Essas partes podem ser pessoas, instituições ou scripts programados. Especialistas em segurança reconhecem há muito tempo o valor das carteiras com várias assinaturas. Mas qual a utilidade dessas carteiras multi-assinaturas da RMG?

Perda ou comprometimento de uma única chave não resulta em perda de ativos no Blockchain. Isto é, não há “buracos negros”.

Devido à maneira como se manipula as chaves, é impossível enviar fundos para um endereço inválido onde o RMG não pode ser recuperado. Todas as partes que participam da rede são identificadas antes de poderem realizar transações. 

Montesquieu aplicado à descentralização
A solução Blockchain da RMG separa os poderes e, ao mesmo tempo, impõe a descentralização pela divisão de funções:

Emissor de Ativos
A Royal Mint emite ativos da RMG para a cadeia e mantém 100% de reserva de ouro. Como o emissor do ativo, o Royal Mint também é responsável por autorizar validadores confiáveis ​​na rede para verificar todas as transações.

Validadores
Uma rede descentralizada de validadores verifica e aplica regras de transação Blockchain para criar blocos. A comunidade de validadores inclui inicialmente instituições acadêmicas e públicas, parceiros corporativos e clientes interessados.

Nós de rede ponto-a-ponto
Uma rede descentralizada de nodes (dispositivos computacionais que integram uma rede Blockchain) verifica as transações legítimas na rede e verifica se os validadores produzem blocos válidos, ao mesmo tempo em que fornecem total transparência a todas as transações na rede.

Provedores de Conta
Os Provedores de Conta garantem que todos os usuários do sistema foram identificados, fornecem chaves de backup em caso de perda e fornecem serviços de co-assinatura para segurança adicional.

Atrelando ouro físico a um ativo digital
Em parceria com a Chicago Mercantile Exchange, (o principal e mais diversificado mercado de derivativos do mundo), a The Royal Mint Gold já construiu uma rede distribuída para registrar as mudanças na propriedade da Royal Mint Gold (RMG), que recebe ouro em cofre no The Royal Mint em Llantrisant, South Wales.

Esta rede é privada, o que significa que as pessoas precisam pedir permissão para participar, já que o The Royal Mint é o administrador da rede. Todas as transferências efetuadas na rede são publicadas no domínio público em um nível transacional, com todas as identidades criptografadas pelo Blockchain de RMG subjacente.

Agora, é possível possuir ouro físico, abobadado pelo The Royal Mint, e receber prova dessa propriedade como um ativo digital que é mantido em uma carteira digital. Cada nova compra de ouro resulta na alocação do ouro da London Good Delivery em um cofre ao lado do crédito simultâneo do RMG para a conta RMG do comprador. A CME está desenvolvendo uma plataforma de negociação digital de ativos, na qual os clientes podem negociar o RMG.

blockchainouro

Em busca do ouro perdido
Os ativos digitais têm o potencial de transcender essa natureza segregada dos mercados tradicionais de commodities, como o mercado de ouro, permitindo que a mesma estrutura de propriedade — ouro físico digitalmente comercializado — seja compartilhada em toda a cadeia de valor, no espaço de investimento e na comunidade de gerenciamento de risco.

Essa inovação não ameaça diminuir a liquidez dos mercados existentes, mas aumenta o perfil da oportunidade de investimento para o ouro, reforçando o argumento em favor da propriedade física segura e segura do ouro em um mercado digital eficiente, proporcionando transparência e proveniência.

Target: a redução de custo das transações
Com uma solução Blockchain, o RMG consegue reduzir o custo da rede. Podemos definir o custo da rede como a capacidade de iniciar e operar um mercado digital sem a necessidade de um intermediário tradicional. Ou seja, a posse física de ouro através dos tokens de criptomoedas Blockchain permite remover intermediários desnecessários no processo.

Além disso, o mercado de ouro hoje é um mercado muito manual. Assim, uma solução Blockchain reduziria os custos friccionais e transacionais no mercado de commodities e levaria a uma maior liquidez e descoberta de preços.

Por exemplo, os negócios na nova plataforma seriam feitos entre os investidores, sem uma troca no meio, conhecida como negociação “no balcão”.

No entanto, o permitir transações quase em tempo real, o Blockchain diminuiria o papel das câmaras de compensação e eliminaria em grande parte os riscos.

Os principais efeitos de uma redução no custo da rede seriam: 1) o aumento no valor dos ativos, 2) um aumento na liquidez dos ativos.

Novos mercados, novos negócios em vista
Como resultado da implementação de soluções baseadas em Blockchain no mercado de ouro, a natureza da intermediação pode mudar no futuro. Isso porque o desenvolvimento de uma rede por uma empresa que possui seu próprio sistema de pagamento para garantir empréstimos, bem como lucrar com a posse do ouro, permite criar um novo mercado descentralizado no espaço Blockchain.

Imprimir Email

Vulnerabilidades de segurança nos sistemas de armas dos EUA

O Escritório de Contabilidade do Governo dos EUA acaba de publicar um novo relatório: "Sistemas de armas de segurança cibernética: DOD apenas começando a lidar com a escala de vulnerabilidades" (resumo aqui). O resultado não será uma surpresa para qualquer um dos meus leitores habituais: eles são vulneráveis.

Do resumo:

Automação e conectividade são facilitadores fundamentais das modernas capacidades militares do DOD. No entanto, eles tornam os sistemas de armas mais vulneráveis ​​a ataques cibernéticos. Embora GAO e outros tenham alertado sobre riscos cibernéticos por décadas, até recentemente, o DOD não priorizava a segurança cibernética de sistemas de armas. Finalmente, o DOD ainda está determinando a melhor forma de lidar com a segurança cibernética de sistemas de armas.

Em testes operacionais, o Departamento de Defesa encontrou rotineiramente vulnerabilidades cibernéticas de missão crítica em sistemas que estavam em desenvolvimento, mas oficiais do programa com quem o GAO se encontrou acreditavam que seus sistemas eram seguros e descartavam alguns resultados de testes como irrealistas. Usando ferramentas e técnicas relativamente simples, os testadores conseguiram assumir o controle dos sistemas e, em grande parte, operam sem serem detectados, em parte devido a problemas básicos, como o gerenciamento inadequado de senhas e as comunicações não criptografadas.

Além disso, as vulnerabilidades que o DOD conhece provavelmente representam uma fração do total de vulnerabilidades devido a limitações de teste. Por exemplo, nem todos os programas foram testados e os testes não refletem toda a gama de ameaças.

É definitivamente mais fácil, e mais barato, ignorar o problema ou fingir que não é grande coisa. Mas isso é provavelmente um erro a longo prazo.

Imprimir Email

O CISO moderno e a segurança de rede

Hoje, CISOs precisam atuar em uma variedade de iniciativas de negócios, supervisionando iniciativas de segurança, apoiando a transformação digital. Sobra tempo para a rede?

Empresas e agências do governo de todos os portes estão sofrendo ciberataques que crescem em frequência e complexidade. Os cibercriminosos, as próprias nações e outros agentes mal-intencionados estão desenvolvendo novas táticas, ferramentas e procedimentos para contornar as modernas soluções de cibersegurança. Estamos vendo cada vez mais ataques direcionados que usam malware personalizado e a disponibilidade imediata de ferramentas e serviços do mercado da dark web que cobrem cada aspecto da cyber kill chain (cadeia de estrutura de ciberataques). O mais recente Relatório Global do Cenário de Ameaças da Fortinet mostra que praticamente nenhuma empresa está imune, com 96% das empresas sofrendo pelo menos uma exploração grave.

Para lidar com essas novas ameaças, e manter as operações, o crescimento dos negócios, a execução da missão e a implementação da transformação digital, as organizações estão descobrindo que o sucesso exige um foco equilibrado nos requisitos de negócios e segurança. Esse desenvolvimento trouxe mudanças nas funções e responsabilidades do Chief Information Security Officer – CISO (diretor de segurança da informação). Agências do setor público e empresas privadas buscam agora CISOs com profundo conhecimento técnico, liderança organizacional e visão de negócios, itens necessários para atingir os objetivos de negócios.

Esta tendência é analisada em um estudo divulgado pela Fortinet sobre a mudança no papel do CISO. Este é o primeiro de uma série de relatórios de análises das funções de segurança que avaliaram mais de mil anúncios de emprego de cibersegurança e currículos de organizações em todo o mundo usando o processamento de linguagem natural (PLN). Com análises realizadas pela empresa de ciências de dados Datalere, este relatório inicial explora como as organizações estão redefinindo as funções e responsabilidades de seus CISOs, expandindo os critérios de trabalho para incluir liderança organizacional, gerenciamento de negócios e outras habilidades pessoais (soft skills) tradicionais.

O que aprendemos é que o CISO está se afastando do foco tradicional e particular da segurança de rede, pois atualmente, as organizações querem que seus CISOs atuem em uma variedade de iniciativas de negócios, supervisionando iniciativas de segurança, apoiando a transformação digital e impulsionando o crescimento dos negócios.

De acordo com nossa pesquisa, as organizações estão procurando CISOs que possuem uma combinação de habilidades – experiência e treinamento – com soft skills que se dividem em quatro quadrantes: características de liderança, de comunicação/interpessoais, analíticas e pessoais. Com relação às habilidades aprendidas (hard skills), as organizações ainda estão procurando CISOs com experiência e treinamento em problemas tradicionais de segurança, privacidade e conformidade. Com a segurança se tornando mais integrada ao sucesso dos negócios, estão sendo atribuídas aos CISOs responsabilidades de liderança multifuncionais para garantir o alinhamento dos objetivos de negócios com as estratégias de TI e segurança, assim como gerenciar os riscos, em vez de simplesmente implementar tecnologias táticas de segurança.

Por que as funções do Chief Security Officer estão mudando?
As empresas e organizações estão lutando para acompanhar e atender às demandas do mercado digital atual e dos cidadãos e consumidores conectados. Para os CISOs, isso significa valorizar o alcance dos objetivos de negócios e de receita, assim como os objetivos de gerenciamento de riscos e conformidade.

Considerando o ritmo acelerado das inovações e mudanças trazidas pela transformação digital, os CISOs precisam ter profundo conhecimento técnico aliado a habilidades de gerenciamento transformadoras. Tanto os consumidores quanto as agências reguladoras consideram cada vez mais a segurança como parte integrante da experiência do cliente, exigindo segurança e privacidade robustas em toda a empresa. No futuro, o CISO deve ser um facilitador de inovação, crescimento, segurança, conformidade e privacidade.

Essas tendências não passaram despercebidas pelos cibercriminosos que procuram por brechas em novos fluxos de trabalho corporativo para que possam explorar. Esses novos CISOs enfrentam agora uma combinação ainda maior de explorações de vulnerabilidades já conhecidas e ataques personalizados de dia zero. Os CISOs devem ser capazes de proteger efetivamente as redes em expansão contra essa ameaça crescente enquanto atendem aos objetivos de negócios em evolução que definem seu novo papel. 

ciberseguranca

O CISO moderno e a segurança de rede
A transformação digital e o ritmo acelerado das inovações, complexidades e ameaças exigem segurança rápida, na nova velocidade dos negócios; caso contrário, será irrelevante. O CISO deve ser mestre em tecnologia, gerenciamento de riscos e capacitação de negócios. Para conseguir isso, o CISO precisa de uma arquitetura de segurança ampla e integrada que permite a automação da visibilidade e controle profundos em alta velocidade e escala. Essa abordagem baseada em fabric permite a transformação digital por meio da profunda integração de tecnologia aprimorada com as mais recentes técnicas de análise, detecção e prevenção de ameaças, correlação de ameaças e eventos e resposta coordenada; desta forma o CISO pode se concentrar na capacitação de negócios sem ficar sobrecarregado com os antigos desafios relacionados ao gerenciamento reativo e constante da cibersegurança.

(*) Jonathan Nguyen-Duy, é vice-presidente de Estratégia e Análise de Dados na Fortinet

Imprimir Email

Dados de clientes da C&A são vazados após ataque hacker

Recentemente a loja de roupas e calçados C&A esteve envolvida em um escândalo, onde foi descoberto que os dados de candidatos a vagas de emprego na empresa, estariam sendo utilizados para atingir metas de campanhas de publicidade dos cartões C&A, obviamente essa notícia não caiu nada bem, e ao que parece não só os candidatos, mas também um grupo de hacker não gostou nada dessa história.

Um grupo de hacker conhecido como Error Crew, assumiu hoje a autoria de uma invasão ao sistema de vale presentes e trocas da C&A, o que possibilitou que o grupo hacker tivesse acesso a dados pessoais de clientes e funcionários da C&A, ao que parece os dados de 4 milhões de compras foram vazadas, e segundo o hacker J0shua do grupo Error Crew, informações de ao menos 2 milhões de clientes foram comprometidas, levando em consideração que um cliente possa ter feito mais de uma compra. Dentre os dados vazados estão CPF, email, numero do cartão C&A, valor do presente adquirido, email do funcionário que fez a venda, número do pedido e data da compra; Parte dos dados vazados foram postados no Pastebin e podem ser acessados publicamente. Em nota o grupo hacker deixou a seguinte mensagem: “Já que vocês gostam de brincar com os dados dos outros, decidimos brincar um pouco com o seus sistemas. Pode-se enganar a todos por algum tempo; pode-se enganar alguns por todo o tempo; mas não se pode enganar a todos todo o tempo”.

O ataque e vazamento dos dados foi confirmado pela C&A, que acionou um plano de contingência, em um pronunciamento a C&A afirmou que: “Detectou na madrugada de hoje um movimento de ciberataque ao seu sistema de vale-presentes/trocas. Imediatamente a empresa acionou seu plano de contingência. A companhia também está tomando providências jurídicas para tratar a questão. Em caso de dúvidas, pedimos que os clientes acionem os canais de atendimento da empresa. Reiteramos nosso compromisso com uma atuação pautada pela ética e respeito ás leis e que trabalhamos para oferecer a melhor experiência aos nossos clientes, inclusive no ambiente online”.

O perigo que esse vazamento de dados oferece aos clientes, é a utilização dos dados para futuros ataques de Phishing, onde um cibercriminoso tenta enganar a vítima oferecendo promoções ou sorteios, de forma que a vítima acesse um site ou baixe um arquivo malicioso, além disso, informações.

Ref: Tecmundo, Mundo Hackers

Imprimir Email

Pesquisar

Visualizações

Ver quantos acessos teve os artigos
193205

On-Line

Temos 110 visitantes e Nenhum membro online