Menu da Revista Fechar Menu da Revista

Negócios

Últimas histórias

Qual a visão do CISO em um mundo de constante mudança?

  • min de leitura
    • À medida que as empresas se tornam cada vez mais digitais e nosso mundo mais interconectado, os riscos de cibersegurança à sua empresa aumentam. Mais do que nunca, é importante ter uma estratégia cibernética em vigor, tema sobre o qual os diretores de segurança de informações (CISOs, Chief Information Security Officers) conhecem profundamente. Mas, em vez de falar sobre por que é importante contratar os profissionais de segurança certos para cuidar de seus negócios, compartilhamos essa pesquisa com a visão interessante de 305 profissionais ao redor do mundo Apresentamos o relatório A cibersegurança pelos olhos dos CISOs A cibersegurança está evoluindo para a gestão estratégica de riscos Essa pesquisa, solicitada pela Kaspersky e realizada pela 451 Research, apresenta insights que podem ajudar a proteger a sua empresa. A função de um CISO está em constante mudança e, 70% deles dizem que a gestão de riscos agora é parte fundamental de suas responsabilidades, enfatizando a importância do planejamento contra ataques. Além disso, destacamos: Existem indicadores sobre o rumo do setor e as preocupações dos profissionais de segurança. 70% dos entrevistados afirmaram que é mais difícil contratar profissionais de cibersegurança qualificados, o que leva a uma crescente tendência em considerar o desenvolvimento de talentos de profissionais atuais da empresa. Existem indicadores sobre o rumo do setor e as preocupações dos profissionais de segurança. 70% dos entrevistados afirmaram que é mais difícil contratar profissionais de cibersegurança qualificados, o que leva a uma crescente tendência em considerar o desenvolvimento de talentos de profissionais atuais da empresa. Entretanto, essa não é a única preocupação deles. Uma em cada duas pessoas pesquisadas disse que o aumento e a gravidade dos ataques representam a maior pressão sobre eles. As principais ameaças identificadas vão da rápida evolução das tecnologias em nuvem a uma explosão dos dispositivos inteligentes habilitados em IoT. https://youtu.be/QTjwySMNQHk Precisamos de mais mulheres de nível sênior em funções de segurança de informações Embora a pesquisa mostre um grande otimismo em relação ao desenvolvimento do setor e, de fato, o crescente número de profissionais de segurança protegendo nossas empresas, ainda há uma falta clara de representação feminina. E o setor sabe disso: praticamente metade (45%) de todos os entrevistados disse que as mulheres são pouco representadas em suas organizações, ainda que apenas 37% dessas empresas tenham iniciativas para resolver essa questão. Sendo assim, como resolver esse problema? Se não há talento feminino suficiente em nosso pipeline, é necessário aumentar os esforços para incentivá-las. Para ajudar as mulheres a considerarem funções no setor de cibersegurança e enfrentar o sexismo, a Kaspersky tem algumas iniciativas como por exemplo a parceria firmada  com a "Girls in Tech" para apoiar a AMPLIFY. Elas realizam regularmente os eventos CyberStart nos EUA e na Europa. Para o relatório, Andrey Evdokimov, CISO da Kaspersky, foi questionado sobre o que ele considera importante para se tornar um CISO de sucesso: https://youtu.be/jalFI5hOvU0 Desde a mudança do papel de um CISO, até os maiores desafios corporativos de segurança cibernética, este relatório apresenta as informações necessárias para se manter no topo de um setor em constante mudança.

Como proteger sua pequena empresa de ameaças cibernéticas

  • min de leitura
    • Depois de se esforçar tanto para montar sua empresa e sua marca, você não pode deixar a segurança digital em segundo plano. Nem pode permitir que ameaças impeçam sua inovação, no momento em que empresas de todos os portes sofrem pressão constante para se adaptar às rápidas mudanças. Ter controle sobre a segurança de informações significa mais controle sobre o sucesso futuro de sua empresa. Segundo uma pesquisa recente da Kaspersky, o custo médio de um comprometimento de segurança em uma pequena ou média empresa (PME) é avaliado em US$ 108.000. Aproximadamente metade desse valor procede de danos a informações e infraestrutura, e o restante resulta da interrupção das operações normais. Se você é proprietário de uma empresa, não pode ignorar essa estatística. Além dos custos de um incidente de cibersegurança serem catastróficos, muitas vezes eles são notoriamente difíceis de quantificar. Além dos gastos mais óbvios e diretos, também é preciso contabilizar os prejuízos à marca, que podem ter consequências mais profundas. Por exemplo, 60% das empresas fecham até seis meses após um ataque importante. Por que os proprietários de empresas devem se preocupar com a cibersegurança? Segundo Andrey Dankevich, da Kaspersky: Muitos empresários podem achar que não são alvos atraentes e que não vale a pena investir muitos recursos financeiros humanos e técnicos no fortalecimento das defesas. Acredita-se que os cibercriminosos preferem alvos grandes, o que não surpreende, já que são as violações de dados de marcas como Yahoo! e Marriott que costumam ocupar as manchetes. Porém, é mais provável que as grandes empresas tenham medidas avançadas de segurança em vigor, ou pelo menos é isso que os cibercriminosos normalmente pensam. A percepção é de que são alvos lucrativos, mas extremamente desafiadores. A maior parte dos cibercriminosos é de oportunistas. Em vez de visar grandes corporações, eles buscam ganhos fáceis; cerca de 36% das pequenas empresas já sofreram uma violação de dados. Além disso, mais ou menos um quarto das empresas usa apenas produtos para o consumidor para se proteger e, dentre as que tiveram violações, mais de um quarto não tem soluções de TI apropriadas ou pessoal interno especializado. Todas as organizações, independentemente de tamanho ou segmento, têm algo que os cibercriminosos desejam. Podem ser dados de pagamento, informações de identificação pessoal ou propriedade intelectual, apenas como exemplo. As pequenas empresas estão coletando mais dados valiosos do que nunca e, assim, tornando-se alvos ainda mais atraentes. Ao mesmo tempo, muitas vezes falta uma infraestrutura de cibersegurança; essas empresas menores podem não ter especialistas em TI no local e dependem de provedores de serviços gerenciados (MSPs) ou apenas do conhecimento técnico básico de consumidores para sobreviver. Com a falta da infraestrutura e da experiência necessárias para proteger as supostas joias da coroa (seus dados mais valiosos), os atacantes podem ter muitas vias para explorar. Em uma visão menos sombria, é possível criar uma infraestrutura de cibersegurança para pequenas empresas robusta sem precisar optar por acabar com seu caixa ou comprometer suas iniciativas de inovação. A cibersegurança sólida começa e termina com as pessoas É comum que a segurança de informações seja considerada um desafio técnico. Se você perguntar aos funcionários de um escritório "Quem são as pessoas na empresa responsáveis pela cibersegurança?", quase todos provavelmente indicarão o pessoal da TI. Ou, se não houver uma equipe de TI dedicada, é provável que indiquem a gerência. A verdade é que, independentemente da cultura da empresa, a cibersegurança é responsabilidade de todos. Isso porque o problema é, em grande medida, humano e não tecnológico; cerca de 90% dos ataques cibernéticos envolvem um elemento humano. Os cibercriminosos aproveitam-se de falhas humanas, simplesmente porque isso é muito mais fácil do que explorar a tecnologia. Por exemplo, é muito mais simples para um atacante fazer com que alguém informe credenciais de login do que quebrar a criptografia ou usar um ataque de força bruta que, teoricamente, poderia demorar mais tempo que a expectativa de duração do universo. Na verdade, a maioria dos cibercriminosos não conhece melhor o funcionamento interno da tecnologia do que a média dos leigos. Em vez disso, eles contam com táticas de engenharia social e malware como serviço (frequentemente adquirido na Dark Web), em que cibercriminosos recrutam outros afiliados, de várias maneiras espelhando os processos usados por empresas legítimas. A única forma real de reduzir as falhas humanas é garantir que seus funcionários estejam pelo menos cientes do cenário da cibersegurança assim como aqueles que poderiam explorá-la. Você não pode esperar que o pessoal da contabilidade ou do RH entenda as complexidades de coisas como criptografia e protocolos de segurança, mas pode treiná-los para que reconheçam ameaças de engenharia social, como e-mails de phishing e riscos à segurança comuns, como senhas fracas. Todos devem participar de um programa de treinamento de conscientização sobre segurança contínuo e interativo, que prepare as pessoas para os riscos. Você não estará apenas fazendo um favor para a sua empresa, estará ajudando a todos que trabalham para você a se protegerem também em suas vidas pessoais. Proteja o perímetro A defesa do perímetro é o nível fundamental de proteção básica. Análoga aos muros de um castelo medieval, sua única finalidade é manter o que não presta fora e o que é valioso dentro. Um dos maiores desafios é estabelecer onde fica esse perímetro. Não se trata apenas de proteger as redes internas com firewalls e software antivírus como antes. Os sistemas de dados não estão mais restritos a servidores e estações de trabalho internos; hoje, os líderes de negócios precisam pensar nos dispositivos móveis que são usados para trabalhar (inclusive os de propriedade de funcionários) e em recursos hospedados na nuvem. A defesa do perímetro convencional não é mais suficiente. A quantidade de dados sob os seus cuidados normalmente vai muito além dos limites físicos de suas instalações. Por isso, a proteção de suas contas on-line deve ser prioridade. O hardware está se tornando cada vez menos importante em ambientes de pequenas empresas, que estão migrando para a computação em nuvem e os serviços gerenciados. Todos esses dispositivos, chamados de endpoints, precisam ser protegidos. Proteger-se não é tão trabalhoso como pode parecer à primeira vista. Para complementar os gerentes de TI internos ou substituí-los, frequentemente as pequenas empresas fazem parcerias com provedores de serviços gerenciados (MSPs) capazes de oferecer um pacote de serviços de segurança para atender às necessidades delas, incluindo gerenciamento de software antivírus, instalação de firewalls e proteção de e-mail de conteúdo malicioso. Como a segurança em camadas ajuda a proteger as joias da coroa Voltando à analogia do castelo, há mais do que simples muralhas protegendo o que está dentro dele. Muitos castelos foram intencionalmente construídos sobre colinas para proporcionar uma vantagem defensiva. Outros têm fossos ou valas como uma camada de defesa adicional. E, mesmo que um exército atacante consiga passar pelos muros, normalmente há uma guarnição que funciona como última linha de defesa. A mesma metodologia aplica-se à segurança de informações, onde a defesa do perímetro é apenas a primeira barreira, que serve para impedir que os atacantes entrem no sistema. Mas, se isso for tudo, um único ponto de falha deixará sua empresa extremamente vulnerável. A segurança em vários níveis é baseada no conceito de usar várias soluções de segurança em conjunto para proteger as joias da coroa: seus dados muito valiosos e confidenciais. Por exemplo, um firewall ajuda a evitar que códigos maliciosos alcancem a sua rede; o software antivírus protege cada dispositivo individual conectado à rede e a criptografia protege os dados que estão armazenados e também quando são enviados pela Internet. Todos esses são controles técnicos e administrativos, ambos relativamente fáceis e baratos de implementar, já que hoje são padrão em muitos sistemas de TI corporativos. Porém, embora ajudem a proteger sua empresa, eles não substituem o treinamento e o conhecimento. Agregando valor com uma segurança de informações melhor É hora dos empresários levarem a segurança de informações a sério, mas isso não significa que ela precisa se tornar um fardo para os recursos ou um impedimento para a inovação. Em vez disso, ela pode agregar valor para a sua empresa, em um momento em que os clientes consideram a privacidade e a segurança de dados como prioridades ao escolher as organizações com quem farão negócios. Com uma combinação das políticas certas com tecnologia de ponta, você pode fazer com que sua empresa chegue mais perto da imunidade contra ameaças cibernéticas.

Dissipando mitos e equívocos: as nuvens pública e híbrida são realmente seguras?

  • min de leitura
    • É impossível negar que é um desafio proteger aplicativos e dados em uma série cada vez mais diversificada de ambientes de computação. Por um lado, os líderes de negócios de hoje estão sob pressão constante para inovar e acompanhar um mercado que evolui rapidamente. Por outro, a segurança apresenta uma pedra contante no sapato, em uma era em que grandes violações de dados ocupam as notícias quase todos os dias. Porém, enquanto os que estão sempre do contra podem rejeitar as tecnologias de nuvem por serem uma perturbação e basicamente menos seguras que a computação interna tradicional, eles estão deixando passar um ponto importante. A realidade é que, em geral, o problema não está na nuvem propriamente dita. Da mesma forma que acontece com quase todas as violações de dados, o fator humano normalmente é o culpado. Isso pode incluir fatores como avaliações de risco ineficazes, controles de acesso mal gerenciados, falta de redundância dos dados e diversas outras ameaças, a maioria das quais tem origem dentro da própria organização. O equívoco comum de que a nuvem é a fonte desses desafios ocorre porque, em muitas partes do mundo, o software como serviço ainda precisa se tornar uma forma estabelecida e confiável de fazer negócios. Dissipando o mito da (in)segurança da nuvem Vamos esclarecer tudo: os principais data centers em nuvem do mundo, operados por Amazon, Google e Microsoft, são alguns dos ambientes mais seguros do planeta. Isso realmente não deve ser surpresa, pois essas empresas são algumas das mais poderosas do mundo. Elas têm acesso a recursos financeiros, conhecimento e tecnologia avançadíssima, em um nível que poucas organizações poderiam sonhar. Além de ter controles físicos 24 horas por dia, 7 dias por semana, como defesas de segurança, vigilância por vídeo e proteção do perímetro semelhante à de prisões de segurança máxima, elas também oferecem controles administrativos e técnicos para proteger de hackers os dados que estão sob seus cuidados. A segurança e a integridade das informações estão bem no centro do que esses grandes provedores de tecnologia fazem, portanto, eles se empenham em eliminar cada ponto de falha com redundâncias integradas e revisões automatizadas. Eles distribuem dados em muitas máquinas diferentes em muitos locais diferentes para protegê-los de ameaças como desastres naturais e falhas de hardware. Do ponto de vista administrativo, a nuvem possivelmente oferece segurança reforçada, reduzindo a necessidade de camadas de segurança controladas pelo cliente. Alguns provedores de nuvem e fornecedores de colocação de servidores também oferecem um centro de operações de segurança (SOC) totalmente terceirizado, o que é ideal para empresas menores, que muitas vezes são atacadas em massa por ameaças como golpes de phishing e publicidade maliciosa. Mesmo nos casos em que a migração para a nuvem não oferece segurança de informações aprimorada, a grande redução das despesas de capital pode proporcionar mais controle financeiro para investir na segurança. Então, de onde vêm as ameaças? Não estamos dizendo que os maiores data centers do mundo são fortalezas invioláveis, mas eles são o que há de mais próximo disso. Por que então sempre há nas notícias grandes violações de dados que visam ativos de negócios digitais hospedados na nuvem? O elo mais fraco não é a tecnologia, são as pessoas. Muitas vezes, é isso que acontece ao gerenciar ambientes complexos de nuvem híbrida em que as empresas usam uma combinação de infraestruturas públicas (como o Amazon Web Services (AWS)) e uma nuvem privada local ou hospedada consolidada em uma rede de longa distância (WAN). No entanto, com a abordagem correta, a nuvem híbrida traz muitos benefícios, como a redução dos custos de capital e a maior flexibilidade. Veja as principais ameaças à segurança de nuvens híbridas que você precisa superar: Direitos de acesso administrados incorretamente Uma das maiores vantagens dos recursos hospedados na nuvem é que eles podem ser acessados de qualquer dispositivo conectado à Internet. Isso também pode ser seu maior inconveniente, em uma época em que os ataques de engenharia social dominam o mundo do crime cibernético. Afinal de contas, os cibercriminosos nem sempre são hackers estereotipados que ficam horas fitando linhas de código passarem pelo monitor. Cada vez mais, eles contam com táticas de enganação e manipulação para incentivar suas vítimas a entregar informações confidenciais, como dados de login. Táticas de engenharia social frequentemente são usadas para possibilitar a operação de seu código malicioso. Para superar esses riscos, os administradores de TI precisam impor a autenticação multifator (MFA) para reduzir a dependência das senhas. Dessa maneira, as pessoas que acessam o sistema, especialmente de dispositivos ou redes desconhecidas, precisarão confirmar suas identidades com um método de autenticação secundário. Esse método pode ser a leitura da impressão digital ou um token de segurança temporário, como um código enviado por SMS. Como o método de verificação secundário é dinâmico ou uma característica própria do usuário (como uma leitura de retina ou impressão digital), ele protege muito melhor de ataques de engenharia social. APIs não protegidas As implantações de nuvem híbrida dependem de APIs para garantir a interoperabilidade entre infraestruturas diferentes, como os data centers internos, os recursos na nuvem pública e as nuvens privadas hospedadas. Elas atuam como canais para garantir o fluxo contínuo de dados entre os dois sistemas para fornecer uma experiência ininterrupta para os usuários finais. Mas, quando não protegidos, esses endpoints da API podem deixar dados sigilosos expostos. Muitas vezes, essa vulnerabilidade é explorada quando dados são transmitidos entre dispositivos e conexões inseguros. Outros ataques podem explorar APIs configuradas incorretamente para forçar o sistema a fazer algo que poderia resultar em seu comprometimento. Por exemplo, atacantes começaram a explorar Kubernetes APIs mal configuradas para emitir comandos; dessa maneira, eles baixaram e executaram uma carga maliciosa de fora. Como, na prática, as APIs são gateways, ou seja, pontos de acesso em um serviço ou aplicativo da nuvem pública, os administradores de TI precisam tomar medidas adicionais para proteger os dados que passam por elas. A maneira mais fácil de protegê-las é garantir que os dados nunca saiam de um endpoint sem ser criptografados. Dessa forma, mesmo que um hacker coloque as mãos em dados expostos por uma vulnerabilidade na API, eles serão inúteis. Os algoritmos de criptografia AES-256 de hoje levariam 3×1051 anos para serem quebrados sem saber a chave de criptografia; nesse tempo, até o hacker mais jovem e mais paciente desistiria. Terceiros desprotegidos Em ambientes de nuvem híbrida, seus fornecedores são uma fonte de risco adicional. 181 fornecedores terceirizados acessam uma rede média todas as semanas, fazendo com que dois terços das empresas sofram violações de dados associadas a um de seus fornecedores. Infelizmente, alguns fornecedores de nuvem não são claros em relação a fatores fundamentais, como a propriedade e a governança dos dados. Eles podem não ter os controles necessários em vigor para garantir que seus dados estejam seguros durante a migração para a nuvem ou quando estão hospedados em seus próprios servidores. Para reduzir os enormes riscos que os terceiros representam, as empresas devem avaliar cuidadosamente todos os fornecedores de nuvem com quem desejam trabalhar. Os gerentes corporativos sempre devem verificar a propriedade dos dados e os controles de segurança, além de garantir que tudo esteja claramente definido em contratos de nível de serviço (SLAs). Eles precisam saber exatamente o que o fornecedor faz com seus dados, quais controles e permissões de acesso utilizam e quais recursos fornecem, caso algo dê errado. O ideal é que todos os contratos sejam analisados por um advogado antes de serem assinados. Violações de conformidade regulamentar Mesmo que você tenha todas as medidas de segurança disponíveis em vigor, ao fazer a migração de dados para a nuvem pública, ainda há a questão da conformidade. Muitas regulamentações de processamento de dados, por exemplo, exigem que dados pertencentes aos cidadãos de um país específico sejam armazenados no mesmo território. De algumas maneiras, isso contradiz o verdadeiro espírito da nuvem como um ambiente de computação descentralizado e distribuído. Para complicar as coisas ainda mais, a maioria dos provedores de nuvem não garante a localização física de seus dados, embora haja algumas exceções: o AWS, por exemplo, pode funcionar no modo regional para evitar a transferência de seus dados para fora daquele território. Felizmente, de modo ideal, as implementações de nuvem híbrida são adequadas a setores fortemente regulamentados, pois proporcionam mais controle sobre onde os dados são fisicamente armazenados. Por exemplo, um provedor de serviços de saúde sujeito às regulamentações da HIPAA e HITECH pode manter informações de saúde de pacientes (PHI) em uma nuvem privada, com o um data center interno ou uma instalação de colocação de servidores. Uma empresa em conformidade com a GDPR pode fazer o mesmo para garantir que os dados de clientes continuem na UE enquanto os aplicativos de negócios são transferidos para a nuvem. No final, o modelo híbrido proporciona mais controle sobre onde seus dados são armazenados e como são protegidos. Computação na nuvem híbrida – o primeiro passo para a inovação em grande escala O segredo do sucesso das implementações de nuvem híbrida é uma abordagem que prioriza a segurança, capaz de dar aos administradores de TI visibilidade total de seus recursos digitais. Com as soluções de gerenciamento e as camadas de software adequadas, as empresas podem criar um único ambiente coeso que incorpora o melhor dos dois mundos. Uma implementação na nuvem híbrida não é mais ou menos segura que a virtualização local, mas, com a abordagem correta, pode tornar-se ainda mais segura. Para começar, basta selecionar um produto de segurança em nuvem escalonável e que pode ser adaptado às suas necessidades.

Como podemos resolver a falta de confiança nas empresas?

  • min de leitura
    • "Há uma crise de confiança na democracia americana." Assim começa um relatório de 2019 da Knight Commission on Trust, Media and Democracy organizado pelo Aspen Institute. Ele coloca a culpa sobre o discurso político do país, as tensões raciais e a tecnologia, que dá às pessoas mais acesso a comentários e notícias. O relatório conclui que, desde 2018, "fatos indesejáveis são rotulados de falsos". O crescimento do crime cibernético reduz a confiança Parte do problema de confiança no setor de tecnologia tem a ver com a facilidade que os cibercriminosos têm de realizar seus negócios. Antes relegados a um canto escuro da Internet, hoje muitos criminosos operam sob o olhar do público. Na Dark Web, você pode comprar diversas tecnologias, como kits de phishing prontos para semear infecções, mecanismos para coletar números de cartões de crédito, botnets e estressores da Web para realizar ataques DDoS, além de outros kits de construção de malware que exigem pouco ou nenhum conhecimento técnico, além de clicar em alguns botões em um formulário Web. Um relatório de 2019 da CheckPoint mostra que qualquer pessoa disposta a pagar pode obter essas ferramentas facilmente. Esqueça do 'software como serviço': estamos testemunhando o crescimento do setor de 'malware como serviço'. Em um fórum recente da RSA em Londres, Reino Unido, eu entrevistei vários especialistas que dedicaram suas carreiras a investigar o crime cibernético e entender como combater fraudes. Sem dúvida, o quadro foi um tanto preocupante. O presidente da RSA, Rohit Ghai, falou sobre como o maior aspecto do risco hoje é o risco digital, e como as empresas precisam integrar melhor os métodos de cibersegurança e de gestão de riscos. "Este é um esporte em equipe: os grupos de segurança, TI, operações e risco, todos precisam trabalhar juntos." "Nosso objetivo não é apenas proteger aplicativos ou dados, mas também nossos ativos de confiança. Nós confiamos em estranhos para compartilhar nossas casas e carros porque a tecnologia nos reúne e promove a economia de compartilhamento." Ghai acredita que precisamos replicar esse sistema de confiança no mundo B2B, da mesma forma que o Airbnb e o Uber fizeram para negócios baseados no consumidor. O menor índice de confiança de todos os tempos? Ghai concorda com as conclusões do relatório da Knight Commission: o índice de confiança está menor do que nunca. Algumas pessoas estão tão desconfiadas de nossas vidas digitais que surgiu um novo acrônimo: LDL ('let's discuss live'), ou seja, vamos conversar ao vivo. Mas não podemos e não devemos voltar o relógio para a era analógica: precisamos confiar novamente uns nos outros a fim de fomentar nosso crescimento. Ele mencionou que, para ser confiáveis, "uma empresa ética precisa fazer o que é certo, mesmo que ninguém esteja observando". Eu gostei dessa ideia: é frequente ouvirmos falar de corporações que causam danos, por exemplo, poluindo o meio ambiente antes de isentar-se de qualquer responsabilidade ou, pior, quando descobertas, encobrem a verdade. Parte do desafio para os profissionais de TI é que a cibersegurança é, na verdade, um problema de negócios, não uma falha da tecnologia. "Violações e invasões vão ocorrer", diz Ghai. "Temos de superar a vergonha de admitir uma invasão de dados e entender seu impacto sobre os negócios. Nossa meta deve ser manter o 'bem-estar cibernético' e não tentar erradicar totalmente as ameaças." Cuidar melhor da privacidade dos clientes também é bom para os negócios, pois foram concluídos vários relatórios recentemente. Quase metade dos consumidores pesquisados acredita que há maneiras éticas como as empresas podem usar seus dados. Quanto você valoriza seus dados? Uma outra questão é, muitas vezes, há um conflito entre o que dizemos e o que realmente fazemos em relação à manutenção de nossa privacidade digital. Em um experimento de privacidade do MIT de 2017, eles descobriram que os estudantes participantes abririam mão facilmente de dados pessoais por incentivos muito baixos, como uma pizza grátis. E a mesma troca informal funcionou quando a Kaspersky ofereceu brindes gratuitos em troca de dados pessoais em um golpe em um quiosque. Essa divisão é observada mesmo entre os profissionais de segurança de TI. Uma outra pesquisa da Yubico descobriu que mais de metade dos gerentes de TI que caíram em golpes de phishing ainda não mudaram seu comportamento em relação às senhas. Se eles não modificam sua própria segurança pessoal para reforçá-la, quem o fará? E há a mesma dicotomia em relação à transparência: infelizmente, há poucas empresas que são realmente transparentes como afirmam, enganando deliberadamente o público (o Facebook é campeão nesse sentido) ou simplesmente por não trabalhar direito com os controles apropriados de manutenção de seus recursos de TI (a British Airways é um ótimo estudo de caso desse tipo). A confiança é frágil Para onde iremos a partir daqui? O especialista em segurança Bruce Schneier diz que a confiança é frágil, e que a transparência é essencial para a confiança. O relatório da Knight Commission apresenta uma série de recomendações para jornalistas, gerentes de fornecedores de tecnologia e cidadãos comuns. Elas incluem melhorar a prática de transparência radical, para os jornalistas, seguir a regra de revelar as fontes de informações, intensificar as redes sociais e assumir a responsabilidade pela proteção de seus usuários. Espero que possamos implementar grande parte ou tudo isso para avançar para um futuro melhor, compartilhado e confiável. Todos nós precisamos trabalhar juntos, se quisermos reverter isso e melhorar a confiança dos clientes nas empresas. Este artigo representa a opinião pessoal do autor.
composable infrastructure

Como a composable infrastructure está ajudando as empresas na transformação digital sem agregar riscos

  • min de leitura
    • Imagine uma infraestrutura de TI corporativa capaz de se adaptar às necessidades em constante mudança, mas sem agregar riscos para sua organização. Um sistema que oferece a previsibilidade e a familiaridade das implementações tradicionais de TI e a escalabilidade dos modelos de computação em nuvem. Ele aloca os recursos de computação com eficiência, simplifica o gerenciamento e reduz a necessidade de integrações complexas. Trata-se de uma infraestrutura coesa baseada em software que pode adaptar-se perfeitamente às necessidades de negócios dinâmicas, facilitando a vida das equipes de DevOps e dos usuários finais. Em vez de se preocupar com o aumento da complexidade da infraestrutura e com todos os risco à segurança que a acompanham, as empresas podem finalmente recuperar o controle de sua TI, em vez da TI controlá-las. Isso é a composable infrastructure. É uma interface única que permite que os administradores provisionem e mantenham recursos de computação conforme necessário. É a solução definitiva para dominar seus recursos de computação, além de eliminar os riscos muitas vezes mal administrados dos recursos hospedados na nuvem. Para tornar isso possível, os líderes de TI estão explorando o poder da automação e da inteligência artificial, e abolindo as tarefas manuais repetitivas, vulneráveis a falhas humanas. A menor complexidade do gerenciamento também permite que os líderes de TI coloquem mais atenção a tarefas estratégicas, em vez de atolar-se escrevendo incontáveis linhas de código para integrar novos aplicativos e provisionar novos sistemas. A composable infrastructure ainda é um conceito novo, mas fornece uma solução definitiva para grandes empresas que precisam da escalabilidade e do provisionamento rápido da nuvem pública, mas não podem abrir mão do controle. É uma solução para melhorar a eficiência em data centers corporativos e aliviar as dificuldades de gerenciamento associados com os crescentes desafios de escala, risco e conformidade. Qual é a relação entre a composable infrastructure e as outras opções A maioria dos usuários finais não dá importância ao acesso a serviços de TI e não tem ideia das complexidades envolvidas. Quando algo dá errado, de repente eles se dão conta de que não conseguem mais trabalhar. A motivação e a produtividade são as primeiras coisas afetadas quando a infraestrutura de TI não consegue suprir as necessidades de seus funcionários. Em muitos casos, os responsáveis pela implementação e manutenção da infraestrutura são responsabilizados quando ocorre um problema, fazendo com que as equipes precisem fazer horas extras para resolvê-lo. Ao mesmo tempo, os usuários finais vão perdendo a paciência e tendem a procurar alternativas inadequadas e até arriscadas. As complexidades da infraestrutura tradicional e, em uma extensão menor, da infraestrutura convergente, apenas agravam esses riscos. Infraestrutura tradicional Tudo começou na infraestrutura tradicional. É um ambiente baseado em hardware familiar e, teoricamente, altamente personalizável, que consiste em servidores físicos, armazenamentos e comutadores de rede. Todo sistema operacional é diretamente acoplado ao hardware e não há uma camada de virtualização, o que resulta em sistemas diferentes em execução em plataformas diferentes, sem ferramentas de gerenciamento unificadas para cruzar essas fronteiras. Você acaba com muitos sistemas subutilizados, resultando em silos de dados e uma falta de interoperabilidade grave. Uma infraestrutura tradicional pode ser adequada para ambientes menores mas, quando as necessidades de sua empresa ficam mais exigentes, não demora muito para que os administradores e as equipes de DevOps se deparem com complexidades impeditivas em grande escala. Infraestrutura convergente e hiperconvergente As infraestruturas convergentes começaram a aparecer cerca de dez anos atrás, juntamente com o rápido aumento de serviços de computação em nuvem, como IaaS (infraestrutura como serviço) e PaaS (plataforma como serviço). Elas reúnem vários sistemas físicos, inclusive os que residem em data centers internos e na nuvem, em um ambiente coeso para proporcionar implementação e gerenciamento simplificados. Essa abordagem reduz a exigência de recursos do data center e aumenta a eficiência, maximizando o uso dos recursos disponíveis. A infraestrutura convergente também pode atuar como uma base capacitadora para ambientes de computação na nuvem pública e privada. As infraestruturas hiperconvergentes vão um passo além, oferecendo suporte a cargas de trabalho virtuais que não precisam estar conectadas a SANs, mas ambas carecem das vantagens da automação. Composable infrastructure A composable infrastructure reúne poder de computação, armazenamento e infraestrutura de rede em uma única plataforma, de maneira muito semelhante à soluções convergentes e hiperconvergentes. Qual é a diferença?  Ela usa a automação e uma API unificada para 'combinar' um conjunto flexível de recursos de computação. É uma abordagem modular de computação corporativa, capaz de ser reconfigurada dinamicamente para tornar-se o que for necessário. Os administradores de TI não precisam se preocupar com o hardware subjacente, pois o poder de computação e o armazenamento são solicitados automaticamente pela API de um pool de recursos disponíveis. Isso permite que as empresas provisionem cargas de trabalho com a mesma eficiência e rapidez que os fornecedores de nuvem pública, porém, sem perder o controle. Escolhendo um fornecedor de composable infrastructure Por fornecer poder de computação, armazenamento e largura de banda dinamicamente, a composable infrastructure é um verdadeiro agente de mudança para os data centers corporativos. Mas, como a tecnologia ainda está engatinhando, não há muitos fornecedores no mercado. Podemos esperar que isso mude nos próximos anos, pois as tecnologias de automação estão avançando rapidamente. O fornecedor melhor estabelecido é a Hewlett Packard Enterprise (HPE), pioneira no campo desde 2015. Porém, eles acabaram de entregar o primeiro pacote de composable infrastructure do mundo, no ano passado. Também lançaram a plataforma Composable Cloud em novembro último, para permitir que as empresas distribuam cargas de trabalho de computação combinável em ambientes de nuvem híbrida. O maior concorrente da HPE é a Dell EMC, com sua solução integrada PowerEdge MX, que a empresa descreve como uma "infraestrutura cinética". Seu argumento de venda exclusivo é que ela permite upgrades de hardware futuros sem interromper as operações, graças à ausência de um plano médio. Outros concorrentes promissores nesse espaço são a NetApp e a Juniper Networks. Também há várias startups que surgiram recentemente, então preste atenção em marcas como Liqid, DriveScale e RackN. Como implementar uma composable infrastructure com segurança A necessidade da composable infrastructure vem das limitações da computação da nuvem pública. Hoje, as empresas precisam do provisionamento rápido e fácil proporcionado pelos fornecedores de nuvem pública, mas as nuvens públicas não são capazes de conciliar todas as necessidades. Determinadas cargas de trabalho não são adequadas para a nuvem pública e, além disso, algumas empresas precisam manter o controle sobre todos os elementos de sua TI por conta da segurança de informações e da conformidade regulamentar. A composable infrastructure torna isso possível usando três elementos principais: Estabelecendo uma raiz de confiança (RoT) Muitas vezes, os ataques cibernéticos exploram o firmware que, em um ambiente conectado, pode resultar na rápida disseminação do malware por toda a rede. Para proteger contra essa ameaça, é necessário estabelecer uma raiz de confiança que impeça os servidores de executar o código do firmware malicioso. A HPE e a Dell EMC usam a RoT incorporada em seu hardware, criando um impressão digital imutável no próprio silício. Isso impede a inicialização dos servidores, a menos que seu próprio firmware corresponda à impressão digital. Criptografando os dados em repouso e em trânsito Há muito tempo, a criptografia é um elemento básico de qualquer solução de segurança, além de um requisito para cumprir muitas regulamentações de conformidade. Ao embaralhar os dados em repouso ou em trânsito, eles ficarão acessíveis apenas àqueles que tiverem a chave de descriptografia, sendo ilegíveis para qualquer outra pessoa. A composable infrastructure também pode automatizar as políticas de proteção de dados e impor a criptografia total de arquivos usando chaves públicas ou privadas. Isolando as redes fisicamente por meio de "air gaps" (folgas de ar) Um "air gap" reforça a segurança por meio do isolamento físico de seu data center de outras redes que podem não ser seguras, como a Internet pública. O termo é análogo à folga de ar usada nos encanamentos para preservar a qualidade da água. Quando um dispositivo de rede ou individual é isolado por uma "folga de ar", ele não tem interfaces com redes externas, com ou sem fio. No entanto, como as folgas de ar impedem conexões com o mundo externo, a única maneira de acessar o sistema é através de um endpoint dentro da rede. Dessa forma, seu uso é mais adequado apenas para redes que lidam com informações altamente sigilosas. Mesmo assim, as redes com "air gap" não são totalmente imunes a riscos cibernéticos, e existem muitas ferramentas de crime cibernético criadas especificamente para atacá-las. Torne-se mais adaptável a mudanças A composable infrastructure está consolidando-se rapidamente para ser o próximo grande fato no complexo mundo da TI corporativa. Para organizações que desejam aproveitar todos os benefícios da nuvem pública sem precisar entregar o controle a terceiros, ela oferece uma solução com potencial para melhorar as empresas, de modo que tornem-se mais adaptáveis às necessidades dinâmicas, e ajudá-las a recuperar o controle sobre seus dados e sua segurança. Este artigo representa a opinião pessoal do autor.

A proteção para quem trabalha em casa não envolve apenas tecnologia, mas também a cultura corporativa.

  • min de leitura
    • Nos últimos anos, nos acostumamos em ouvir como a nova tecnologia está mudando a maneira de pensar e interagir das pessoas. Mas, durante a maior parte da história, tem sido mais um caso de extrema necessidade; nós criamos a tecnologia para superar desafios que nosso ambiente nos colocou. A tecnologia que nos permite trabalhar de casa é boa além de realizar negócios em um momento de crise. Os funcionários fogem dos cubículos apertados e dos escritórios barulhentos e abertos. Eles eliminam o tempo (e a poluição) de seu trajeto diário para o trabalho. Nós trabalhamos nos horários adequados para nós, em um lugar onde ficamos mais confortáveis, perto das pessoas que amamos. As empresas podem utilizar talentos de qualquer lugar do mundo e reduzir o custo de ativos e edifícios. Elas também tiram proveito do fato de funcionários que trabalham em casa serem mais produtivos, envolvidos e leais. Mude sua cultura assim como seus dispositivos A capacitação do trabalho de casa vai além de dar um laptop e um smartphone corporativo para os funcionários, ou introduzir uma política BYOD (Traga seu próprio dispositivo). Trata-se de uma mudança cultural. Os executivos da empresa devem dar o exemplo, e os administradores precisam descobrir maneiras de controlar os ativos digitais. Charl Ueckermann, CEO da AVeS Cyber Security, Parceiro do ano de 2020 da Kaspersky, diz: "Você quer ter o melhor de dois mundos: minimizar a interrupção dos negócios e abrir oportunidades para criar novos modelos de negócios". Os líderes de negócios podem ter medo de estar perdendo o controle. Levar os dispositivos para fora das instalações da empresa expande substancialmente a superfície de ataque, oferecendo aos cibercriminosos muitas novas oportunidades de explorar seu recurso mais valioso: os dados. E quando as pessoas se conectam a recursos da empresa através de redes domésticas desprotegidas, os riscos se multiplicam. Ueckermann diz ainda: "Você precisa resolver o principal para se manter nos negócios. A liderança terá um papel crucial para estabelecer o tom da cultura da organização. A mudança de foco de uma cultura baseada no controle para uma cultura baseada em resultados define sua força de trabalho remota para o sucesso e o crescimento. "Haverá um novo grupo de talentos disponível quando sua empresa estiver pronta para equipes que podem trabalhar de qualquer lugar, a qualquer hora. Profissionais altamente qualificados que antes estavam limitados por responsabilidades familiares ou localização geográfica agora tornam-se possíveis candidatos para o recrutamento." Somos culpados por adotar hábitos de segurança horríveis O pesquisador-chefe de segurança da Kaspersky, David Emm, diz: "Nossa capacidade de nos comunicar, trabalhar e fazer transações on-line nunca foi tão essencial. Também temos de encarar a realidade de que, onde quer que as pessoas estejam, os cibercriminosos as seguem. Se houver uma oportunidade de explorar uma situação e enganar pessoas para que revelem dados pessoais ou enviem dinheiro, tenha a certeza de que haverá cibercriminosos trabalhando nisso". Com 3,5 dispositivos conectados à Internet das Coisas para cada pessoa no planeta, e esse número aumentando exponencialmente, a segurança de informações deve ser escalonável, em vários níveis e gerenciada centralmente. Precisamos admitir: muitos de nós somos culpados por hábitos de segurança móvel ruins. Apesar de usarmos nossos smartphones para tudo, do e-mail corporativo aos bancos pessoais, mais de um quatro de nós nem bloqueia as telas de nossos smartphones. Quando você pensa na frequência com que esses dispositivos são perdidos ou roubados, é um problema grave. A perda do dispositivo não é nada em comparação com o acesso de hackers ou outras pessoas não autorizadas a todas as contas conectadas e arquivos no dispositivo. Veja aqui três maneiras para você ajudar seus funcionários remotos e que trabalham de casa a operar com mais segurança. 1.  Comece estabelecendo as regras básicas Verifique e atualize sua política de cibersegurança para que ela se adeque à situação atual de trabalho remoto. Ela deve estabelecer claramente quais dispositivos e aplicativos os funcionários podem usar, quais medidas de segurança eles devem adotar e como podem compartilhar dados corporativos. Por exemplo, é provável que você não queira que funcionários que trabalham remotamente acessem seus dados usando um iPhone desbloqueado por jailbreak ou um laptop antigo com um sistema operacional totalmente obsoleto. É fundamental que seus funcionários conheçam bem sua política, mas todos nós erramos. Os trabalhadores remotos não devem ficar sempre com medo de abrir a porta para cibercriminosos. Foque o treinamento em conscientização cibernética para que os funcionários que trabalham em casa entendam sua responsabilidade de proteger os dados corporativos e os riscos de engenharia social aos quais estão expostos. David Emm, da Kaspersky, adverte: "A equipe deve estar especialmente atenta a mensagens que dizem ter informações importantes sobre eventos atuais, pois sabe-se que essa é uma tática usada por cibercriminosos". 2.  Proteja os dispositivos dos funcionários Para proteger seus dados corporativos, dê a seus funcionários e aos fornecedores que podem acessar sua rede as ferramentas e o hardware de que precisam para trabalhar de casa com segurança e com fácil acesso às equipes de suporte de TI para qualquer solução de problemas. Os administradores de TI precisam ter visibilidade de seus bens digitais em uma matriz de dispositivos e sistemas operacionais que se expande continuamente. A tecnologia de gerenciamento de dispositivos móveis (MDM) deve complementar sua política de cibersegurança para ajudar na imposição de regras. Ela permite que os administradores monitorem, gerenciem e protejam os dispositivos usados no trabalho e concedam ou revoguem direitos de acesso. Se for informada a perda ou o roubo de um dispositivo, será possível limpá-lo remotamente e revogar os direitos de acesso daquele dispositivo às contas on-line. A criptografia de dispositivos também é óbvia, sendo fundamental para evitar que dados sejam comprometidos caso o dispositivo caia nas mãos erradas. 3.  Reforce sua proteção de dados Embora o desgastado estereótipo do hacker encapuzado escondido em um porão, fitando as linhas de código passando pelo monitor ainda domine, a maioria dos cibercriminosos não sabe muito de invasões. 90% dos ataques cibernéticos envolvem a engenharia social, que explora as fraquezas das pessoas em vez de falhas tecnológicas. Muitas vezes, é extremamente fácil para os golpistas induzir as vítimas as fornecer informações confidenciais por canais inseguros, passando-se por um colega, cliente ou parceiros de negócios. Se um funcionário receber um e-mail que parece ser de um agente de suporte técnico de um provedor de serviços conhecido solicitando acesso remoto, há uma boa chance dele se deixar enganar.  Assim, eles poderão ter acesso a dados confidenciais que não estiverem protegidos. Segundo uma pesquisa de 2019 da Kaspersky sobre desordem digital, 72% dos funcionários armazenam no trabalho documentos que contêm informações de identificação pessoal ou dados sigilosos. A partir dessas informações, o atacante pode conseguir acessar toda a rede corporativa, somente comprometendo aquele laptop de propriedade do funcionário. Além de instruir seus funcionários, mantenha todos os dispositivos atualizados com as versões mais recentes da segurança de endpoints. Automatize as medidas para reforçar a proteção de dados, como a proteção por senha e os backups de dados. David Emm também recomenda "garantir que os sistemas operacionais e aplicativos estejam sempre atualizados. Forneça uma rede virtual privada (VPN) que a equipe deve usar para se conectar com segurança à rede corporativa e restringir seus direitos de acesso quando conectados. Eles devem proteger os dispositivos corporativos, inclusive os dispositivos móveis, com um software de segurança que possibilite a limpeza remota dos dados de dispositivos perdidos ou roubados, que segregue dados pessoais e de trabalho e que restrinja a instalação de aplicativos". A segurança gerenciada na nuvem pode promover inovações É hora dos líderes de negócios pararem de ver a segurança de informações como um mal necessário. Trata-se de uma vantagem competitiva, um capacitador da inovação. Trabalhar longe do escritório é fundamental para ser capaz de inovar. Com os dados e aplicativos de negócios hospedados na nuvem, os administradores de TI podem utilizar o gerenciamento centralizado, com visibilidade total de seus bens digitais. A proteção imediata vem acompanhada da confiança reduzida na segurança de endpoints, pois todos os dados confidenciais são mantidos em um data center seguro em vez dos dispositivos locais. Os líderes de negócios não precisam mais depender de suas políticas e da segurança de endpoints em nível de dispositivos, embora isso continue sendo essencial. Em vez disso, eles podem criar um ambiente de computação baseado em software gerenciado centralmente em que, para adicionar novos usuários, basta criar uma conta e permitir que os funcionários que trabalham remotamente acessem tudo o que é necessário pela Web. Além de ser melhor para a segurança de informações, essa abordagem reduz a necessidade dos profissionais remotos de trocar arquivos por e-mail ou serviços inseguros de compartilhamento de arquivos. Verifique se sua configuração da nuvem está definida com o nível de proteção de cibersegurança relevante para as necessidades dos dados de sua empresa; não espere que isso seja instalado ou executado pelo provedor de nuvem. Trabalhe em qualquer lugar, sempre protegido O trabalho remoto não deve ser fonte de temores. Não se trata de perder o controle. Ele envolve descentralizar sua força de trabalho e permitir que ela trabalhe de outras maneiras. A longo prazo, isso agrega um valor enorme para toda a empresa. As soluções de segurança atuais permitem controlar a segurança e a controlar de seus ativos digitais. Não importa onde seus funcionários se encontram, você pode manter seus dados corporativos seguros.
by Tecnologia inovadora.
Inovando líderes.
Sobre o Secure Futures

A revista Secure Futures é o seu guia de negócios com dicas, opiniões, tendências e insights sobre o mundo da tecnologia e da cibersegurança. A Kaspersky ajuda sua empresa a antecipar o futuro, através dos especialistas globais em cibersegurança.