Administrar uma empresa sem uma política de segurança formalizada parece tão imprudente quanto instalar portas em prédios de escritórios sem fechaduras. No entanto, de acordo com alguns especialistas do setor de segurança, é um fenómeno comum.
Randy Kun, vice-presidente de marketing e gerenciamento de linha de produtos da Chrysalis-ITS em Ottawa, disse que muitas empresas não implementam uma política de segurança porque não acreditam que ela tenha muito a ver com o mundo real. Esse equívoco, disse Kun, pode custar caro.
“Uma declaração de consistência sobre o que a organização planeja fazer e não fazer oferece uma oportunidade para criticar e avaliar o que está acontecendo em uma organização continuamente. Ninguém implementa tudo e é por isso que é preciso ter uma política”, disse ele.
Saber exatamente o que uma organização não faz em termos de segurança permite ter uma perspectiva sobre quanto risco ela está assumindo, explicou Kun.
Michael Murphy, gerente geral canadense da Symantec Corp., concordou que uma política de segurança é o primeiro passo para proteger a infraestrutura de uma empresa.
“Não precisa ser complexo ou complicado, mas não pode ser apenas uma política de baixo para cima conduzida por alguém da área de TI. Tem de ser abraçado e aceito pela alta administração”, disse Murphy, observando que as organizações podem recorrer a empresas de consultoria especializadas no desenvolvimento de políticas de segurança se estiverem contra uma parede de tijolos.
O diretor de gerenciamento e marketing da RSA Security Inc. para sua divisão de produtos de autenticação disse que se definir uma política de segurança e educar a equipe sobre a política é a base para todas as precauções, o próximo passo é investir em soluções básicas de defesa e detecção.
“Em termos de defesa do perímetro de uma empresa, as coisas que vêm à mente são soluções como firewalls e produtos antivírus – tecnologia para manter os bandidos afastados”, disse Derek Brink, de Bedford, Massachusetts. “A tecnologia de detecção alerta você sobre invasões e violações de defesas perimetrais.”
Brink observou que este é o segmento que mais cresce na indústria de segurança, dada a inovação na comunidade de criadores de vírus.
De acordo com Ian Curry, vice-presidente e diretor de marketing da Entrust Inc. em Ottawa, as soluções antivírus e firewalls são onde muitas organizações param em termos de infraestrutura de segurança.
“Simplesmente não é suficiente”, disse ele.
Isto se deve em parte ao fato de que nem todos os ataques são externos.
“Às vezes é sociologicamente difícil de aceitar, mas os ataques acontecem dentro das organizações e é muito importante que as pessoas pensem sobre isso e avaliem o impacto do que isso significa. Os dados precisam estar seguros, não importa o que aconteça – não importa quem sai ou entra – e sem consistência entre os aplicativos você não tem segurança”, disse Curry.
Murphy recomendou que as organizações adotassem uma abordagem em vários níveis para proteger a sua infraestrutura.
“Os militares usam o termo ‘defesa e profundidade’, que é uma abordagem linear à segurança”, explicou ele.
Isso significa que em termos de segurança, há uma cerca ao longo do perímetro, portas nos edifícios, fechaduras nas portas e sistemas de alarme. O que Murphy propõe que as empresas considerem é uma abordagem de “defesa e amplitude” à segurança.
“Ele segue um padrão linear de ir de um ponto a outro, mas também atravessa larguras – é a segurança que atravessa uma organização, desde sistemas clientes ou desktop até sistemas de rede e sistemas de gateway de perímetro”, disse Murphy.
Uma abordagem que está ganhando impulso nas empresas é o uso de múltiplos fatores de autenticação.
Como explicou Kun, os fatores de autenticação são coisas diferentes que você precisa aplicar para demonstrar que você é quem diz ser. São coisas que você sabe, como uma senha, coisas que você possui, como um token físico ou cartão, e coisas que você é, como uma impressão digital ou uma íris, por meio do uso de biometria.
“Usar dois fatores de autenticação basicamente torna as coisas mais seguras”, disse ele.
Um aspecto relacionado aos múltiplos fatores é o conceito de single sign on, que permite aos usuários acessar informações por meio de uma senha.
“É razoável esperar que um ser humano cuide de uma senha, mas a maioria das pessoas tende a não ser responsável por suas senhas quando precisam lembrar 10”, disse Kun.
Brink concordou que a questão da senha costuma deixar enormes lacunas na segurança de uma infraestrutura.
“As senhas podem ser muito caras para uma organização. As pessoas escolhem mal suas senhas ou anotam as coisas e isso pode se tornar um problema de gerenciamento tanto para os usuários quanto para a administração. Isso enfraquece a segurança”, disse ele. “Mas a autenticação é um passo fundamental que as empresas podem dar.”
Outra dica apresentada por Murphy é que as organizações integrem as soluções que possuem. Muitas empresas estocam produtos e soluções de segurança e depois têm dificuldade em gerenciá-los.
“A integração é importante porque hoje as pessoas devem fazer mais com menos e, se as ferramentas forem geridas centralmente, serão mais eficazes e permitirão uma resposta mais atempada”, disse ele.
“Segurança não significa manter tudo fora ou mesmo sob controle 100% do tempo, porque isso não pode ser feito, mas a segurança é um componente importante dos negócios, e a rapidez com que você consegue responder faz a diferença,” Murphy disse.
Segundo Brink, essa filosofia se aplica a todos.
“Toda empresa pode melhorar. Alguns estão na extrema direita ou na extrema esquerda em uma curva em forma de sino, mas mesmo aqueles que estão no meio podem se sair melhor”, disse ele.
Principais dicas para proteger a infraestrutura de uma empresa
- Crie uma política de segurança. “Veja a segurança como uma questão de negócios, avalie o que é de missão crítica e quais dados são de missão crítica e tome medidas para envolver a segurança em torno dessas coisas.” – MurphyUse criptografia e criptografia. “Defina atributos de soluções de criptografia e escreva uma política de segurança para elas.” – KunCertifique-se de que seja fácil de usar. “Se não for transparente e fácil de usar para os usuários finais, como comprovado ao longo da história da humanidade, eles não irão usá-lo.” – CurryLayer sua segurança. “Na linha de base, você deve ter política e educação. Acima disso, defender e detectar ideias, que são coisas básicas que toda empresa precisa fazer. Além disso, autenticação e gerenciamento de identidade. Além disso, autorização ou gerenciamento de acesso e então você pode aproveitar sua segurança com assinaturas eletrônicas e criptografia.” – Brink.