O documento discute como a segurança da informação mudou com a quebra dos paradigmas tradicionais, como o perímetro corporativo, e a disseminação de dados e dispositivos por toda parte. Aponta que a segurança requer uma abordagem holística que considere pessoas, processos e tecnologia, e não apenas a tecnologia, e que a gestão de riscos é essencial para otimizar os níveis de segurança.

1. Unbounded Security: Aonde foi parar meu perímetro corporativo e como protege-lo?
Cláudio Dodt, CISA, CISSP, CRISC, ISMAS Diretor de Tecnologia claudio.dodt@realiso.com

2. Segurança da Informação: Como era?
Segurança da Informação: Quebrando paradigmas

3. Segurança da Informação: Quebrando paradigmas
Informação
Perímetro Corporativo
Informações dentro do perímetro

4. Segurança da Informação: Quebrando paradigmas
Ameaças fora...
AMEAÇAS

5. Segurança da Informação: Quebrando paradigmas
Segurança da Informação: Cenário HOJE

6. Segurança da Informação: Quebrando paradigmas
Você realmente sabe onde estão seus dados corporativos?

7. Segurança da Informação: Quebrando paradigmas
Ameaças?
Por todo lado!
Vazamentos
Fraude
Sabotagem

8. Segurança da Informação: Comportamento e Consumerização
Homem Vitruviano - Leonardo da Vinci - 1490

9. Segurança da Informação: Comportamento e Consumerização
Homem Consumeriano - 2017
Tecnologias
Vestíveis!
Estamos Preparados?

10. •Wireless do desfibrilador desativado.
•Medo de ciberterroristas.
Dick Cheney
Segurança da Informação: Tecnologia e Comportamento – Tendencias

11. •Wireless do desfibrilador desativado.
•Medo de ciberterroristas.
Dick Cheney
Segurança da Informação: Tecnologia e Comportamento – Tendencias
Se considerarmos um ciclo de adoção parecido ao de smartphones e tablets...
Aproximadamente 171 milhões de dispositivos devem estar nas mãos dos consumidores por volta de 2016.

12. Segurança da Informação: Novos paradigmas
O que mudou realmente?

13. Segurança da Informação: Novos paradigmas
54% das organizações reportaram aumento nas ameaças externas. Ernst & Young: “Global Information Security Survey 2013”
81% das grandes organizações sofreram falhas de segurança no último ano. Department for Business Innovation & Skills: “2014 Information Security Breaches Survey”
Somente 33% das vitimas descobriram as falhas de segurança internamente.
Mandiant: “2014 Threat Report: M-Trends - Beyond the Breach”
75% dos ataques exploraram vulnerabilidades conhecidas publicamente e solucionáveis com atualizações periódicas
CyberEdgeGroup: “2014 CyberthreatDefense Report”

14. Segurança da Informação: Novos paradigmas
SEGURANÇA DA INFORMAÇÃO é gerenciada com base em LIDERANÇA ou CRISE...
...na ausência da LIDERANÇA, só nos resta a CRISE.

15. Segurança da Informação: Caso Target
•Segunda maior rede de varejo nos USA.
•Teve uma falha de segurança crítica no final de 2013
•Origem: fornecedor de sistemas de climatização.
•40M de cartões de crédito e outras 70M de informações privadas foram roubadas.
•Prejuízo estimado: 61M
•CEO demitido em Maio de 2014.

16. Segurança da Informação: Boas práticas
Algumas coisas
não mudaram!

17. Segurança da Informação: Visão Holística
Segurança
da
Informação
Políticas

18. Segurança da Informação: Ainda somos míopes
Confidencialidade
Integridade
Disponibilidade
Segurança da Informação
Pessoas
Processos
Tecnologia

19. Segurança da Informação: Ainda somos míopes
Confidencialidade
Integridade
Disponibilidade
Segurança da Informação
Pessoas
Processos
Tecnologia
Tecnologia

20. Segurança da Informação: Ainda somos míopes
Confidencialidade
Integridade
Disponibilidade
Segurança da Informação
Pessoas
Processos
Tecnologia
Tecnologia
O QUE ACONTECE COM A MELHOR TECNOLOGIA
NAS MÃOS DE QUEM NÃO ESTÁ PREPARADO?

21. Segurança da Informação: Ainda somos míopes
Confidencialidade
Integridade
Disponibilidade
Segurança
da
Informação
Pessoas
Processos
Tecnologia
Tecnologia

22. Segurança da Informação: Ainda somos míopes
Tecnologia

23. Segurança da Informação: Ainda somos míopes
Tecnologia
Tecnologia é...
...a mera ponta...
...do iceberg.

24. Segurança da Informação: Ainda somos míopes
Tecnologia
Processos
•Investimento inteligente
•Padrões Testados
•Visão Estratégica
•Formalização
•Seleção
•Capacitação
•Reciclagem
•Conscientização
Pessoas

25. Segurança da Informação: Estratégia para cibersegurança
PREVER
•Ataques mais prováveis
•Alvos
•Métodos
•Medidas pró-ativas
RESPONDER
•Tratar rapidamente incidentes
•Minimizar perda
•Retorno a normalidade
PREVINIR
•Prevenir ou deter ataques
•Evitar perda
•Preparar ambiente tecnológico
•Educar usuários
•Princípios e Políticas
DETECTAR
•Identificar ataques não prevenidos
•Resposta rápida e completa
•Monitoração de áreas chaves
•Identificar problemas, violações e ataques

26. Segurança da Informação: Estratégia para cibersegurança
PREVER
•Ataques mais prováveis
•Alvos
•Métodos
•Medidas pró-ativas
RESPONDER
•Tratar rapidamente incidentes
•Minimizar perda
•Retorno a normalidade
PREVINIR
•Prevenir ou deter ataques
•Evitar perda
•Preparar ambiente tecnológico
•Educar usuários
•Princípios e Políticas
DETECTAR
•Identificar ataques não prevenidos
•Resposta rápida e completa
•Monitoração de áreas chaves
•Identificar problemas, violações e ataques
Estratégia de Ciber Segurança

27. Segurança da Informação: Gerenciando riscos de maneira prática
AMEAÇAS
MÉTODOS
OBJETIVOS
Identificar ameaças mais prováveis , métodos e objetivos.
Considere níveis aceitáveis de risco e controles atuais.
Determinar os riscos mais críticos.

28. Segurança da Informação: Gerenciando riscos de maneira prática
AMEAÇAS
MÉTODOS
OBJETIVOS
MOTIVADOS a causar danos
CAPAZES de causar danos
INTENSIDADE
RISCO
alto
baixo

29. Segurança da Informação: Gerenciando riscos de maneira prática
Existem dois tipos de vítimas: As que tem algo de valor e as que são um alvo fácil.
Dica: se você tem algo de valor, não seja um alvo fácil!

30. Conclusões
Pontos essenciais:
Sem Liderança adequada, só nos resta a crise.
Otimize níveis de segurança. Atinja o necessário, nem mais nem menos.
Segurança é um ciclo contínuo. Gestão de Riscos é essencial.
Mais que nunca, é necessário uma visão holística da Segurança da Informação.
“Segurança sempre é vista como excessiva, até o dia em que não é suficiente”
William H. Webster

31. Claudio Dodt, ISMAS, CISSP, CISA Diretor de Tecnologia claudio.dodt@realiso.com http://www.realiso.com.br http://claudiododt.com http://www.facebook.com/claudiododtcom http://br.linkein/claudiododt http://pt.slideshare.net/claudiododt