Segurança da Informação Tendências 2012

Segurança da Informação
Tendências para 2012

Edson Aguilera-Fernandes
edson.aguilera@lumine.com.br

SENAC Road Show TI Experience

Experiência em Segurança da Informação

É sócio-diretor da Lúmine Negócios com Segurança desde 1990,
trabalhando como consultor nas áreas de planejamento e gestão
de governança, riscos e conformidade (GRC).
Possui experiência profissional de mais de 25 anos e atua,
também, como professor da disciplina Planejamento e Gestão de
Qualidade de Redes do Curso de Pós-Graduação Lato-Sensu em
Redes de Computadores da Universidade Federal de São Carlos
(UFSCAR-SP).
Formado como Engenheiro Eletricista (POLI,85) e Mestre em
Sistemas Digitais (POLI,92), obteve as certificações Certified
Information Security Manager (CISM) e Certified in Risk and
Information Systems Control (CRISC) pelo Instituto Information
Systems Audit and Control Association (ISACA).

SENAC Road Show TI Experience Edson Aguilera-Fernandes 2
1

O que é segurança da informação?

Aplic.

Redes

Dados

1

Mercado de segurança da informação
orientado por objetivos de negócio
Demanda por soluções de segurança
Alinhadas com necessidades de negócio.
Mais eficientes, confiáveis e flexíveis.
Reduzindo esforços de implementação e manutenção.
Resultando em menor tempo de reação a incidentes.
Eliminando vulnerabilidades e reduzindo riscos.
Atendendo a normas de auditoria e boas práticas

Oportunidades de melhoria contínua
Aumento do desempenho de processos de negócio.
Identificação e redução de falhas humanas.
Combate a perdas por fraudes, roubos, acidentes…
Identificação de gargalos e causas-raiz de problemas.

2

Normas e códigos de boas práticas

ABNT NBR ISO/IEC 27001:2006
Tecnologia da informação - Técnicas de segurança - Sistemas de
gestão de segurança da informação - Requisitos

ABNT NBR ISO/IEC 27002:2005
Tecnologia da informação - Técnicas de segurança - Código de
prática para a gestão da segurança da informação

ABNT NBR ISO 31000:2009
Gestão de riscos - Princípios e diretrizes

ABNT NBR 15999-1:2007
Gestão de continuidade de negócios - Código de prática

PCI-DSS V2.0:2010
Payment Card Industry Data Security Standard - Requirements
and Security Assessment Procedures
5

Certificação de profissionais

CISM - ISACA
Certified Information Security Manager - Information Systems
Audit and Control Association

CRISC - ISACA
Certified in Risk and Information Systems Control - Information
Systems Audit and Control Association

CISSP – ISC2
Certified Information Systems Security Professional - International
Information Systems Security Certification Consortium

CCNA Security - Cisco
Cisco Certified Network Associate Security Certification

Cursos de pós-graduação
5

Fatores de sucesso de iniciativas
em segurança da informação
Consenso
Participação efetiva de todas as áreas envolvidas na
especificação de requisitos e aprovação dos resultados finais.

Gestão de requisitos
Administração de lista de requisitos para orientação do projeto em
todas as fases do ciclo de vida.

Transparência
Justificativa de todas as decisões de projeto, sempre com a
aprovação formal dos responsáveis (stakeholders).

Documentação
Elaboração de um sistema de documentação de fácil manutenção
e consulta.

4

Tendências para os próximos anos

1. Aumento de garantias à privacidade
das informações.
2. Aumento da complexidade dos
ataques.
3. Aumento do foco na gestão de riscos.
4. Aumento da inteligência de segurança.
5. Aumento dos impactos nos negócios.
6. Aumento da demanda por
profissionais.

1

Tendências para os próximos anos:
Aumento de garantias à privacidade
Aumento da regulamentação para
garantia da privacidade das informações.
• Direito fundamental do indivíduo.
• Colocando o indivíduo no controle dos seus próprios dados.
• European Commission [2012]:
Safeguarding Privacy in a Connected World
A European Data Protection Framework for the 21st Century.
• LEI Nº 12.414, DE 9 DE JUNHO DE 2011:
Disciplina a formação e consulta a bancos de dados com
informações de adimplemento, de pessoas naturais ou de
pessoas jurídicas, para formação de histórico de crédito.

• http://www.planalto.gov.br/ccivil_03/_Ato2011-2014/2011/Lei/L12414.htm
• http://iabireland.ie/wp-content/uploads/2012/M-HBoulanger.pdf
• http://ec.europa.eu/justice/data-protection/document/review2012/com_2012_9_en.pdf

1

Aumento da complexidade dos ataques
Ataques mais sofisticados e mais
complexos de serem detectados.
• Uso de ferramentas de ataque mais inteligentes para identificar
seus alvos.
• Maior integração entre sistemas com níveis de segurança
distintos.
• O volume de dados (big data) sem classificação quanto à
criticidade está aumentando exponencialmente.
• As ameaças não são conhecidas em detalhes.
• Novos caminhos de acesso aos sistemas e dados foram
criados, sem o controle necessário para garantir a segurança:
- Redes sociais
- Dispositivos móveis
- Acessos externos generalizados: clientes, terceirizados, …

1

Aumento do foco na gestão de riscos
Aumento da abordagem sistemática para
identificação, tratamento e avaliação de
riscos
• Reconhecimento dos riscos e prevenção de ataques continua
sendo uma abordagem de menor esforço de implementação e
maior retorno positivo.
• Aprovação da ISO 31000 como ferramenta básica para
implementar a gestão de riscos nas empresas.
• O cargo de CISO (Chief Information Security Office) tende a se
tornar CRO (Chief Risk Office).
• As principais normas e códigos de boas práticas definem
gestão de riscos como princípio básico (ISO 27001, PCI-DSS,
GSMA-SAS, COBIT, COSO, SOX, ISO 25999, PMBOK-PMI)

1

Aumento da inteligência de segurança
Inteligência de Segurança Corporativa.
• A missão da Enterprise Security Intelligence é conciliar tanto os
esforços de conformação com auditorias, códigos de boas
práticas e legislação, quanto a contextualização dos riscos e
reação frente aos ataques.
• Justifica o esforço de investimento e manutenção de controle
de segurança com argumentos de negócio.
• Promove a conscientização quanto a riscos e impactos
potenciais na organização.
• Favorece um aumento de fluxo de informações e maior clareza
na comunicação entre diferentes áreas da empresa quanto a
questões de segurança da informação.

1

Aumento dos impactos nos negócios
Crescimento do número e gravidade dos
impactos nos negócios.
• Computação em nuvem tornará o controle da segurança muito
mais nebuloso, sujeito a ameaças desconhecidas e aumentará
a falsa sensação de segurança devido a terceirização na nuvem
• Uso de dispositivos móveis (BYOD – Bring Your Own Device)
compartilhando em larga escala aplicações e dados da empresa
e pessoais no mesmo equipamento, demandará novas
estratégias e controles de segurança que ainda não foram
criados.
• Vai levar tempo até que se entenda quais os requisitos mínimos
de desempenho e segurança que os provedores de serviços
precisam entregar para garantir níveis de segurança aceitáveis.
• Crimes cibernéticos ficarão ainda mais atraentes.
• http://www.pwc.com/en_GX/gx/economic-crime-survey/assets/GECS_GLOBAL_REPORT.pdf

1

Aumento da demanda por profissionais
Maior demanda por profissionais com
especialização em segurança da
informação.
• A complexidade dos controles e dos sistemas computacionais
aumentará a demanda por profissionais especializados nas
questões de segurança da informação, mas não num primeiro
momento.
• Falta de profissionais no mercado resultará num aumento dos
salários, tornando a profissão mais atraente do ponto de vista
financeiro.
• O mercado por profissionais de TIC de um modo geral já
apresenta vagas sem preenchimento nas empresas, crescendo
em ritmo mais acelerado do que o PIB.
• http://g1.globo.com/economia/negocios/noticia/2012/03/sem-retracao-servicos-de-tecnologia-avancam-no-pais-e-alavancam-pib.html

1

Fazendo frente à ameaças de segurança

Entenda seu ambiente de negócios
Quem são meus funcionários, fornecedores, terceirizado, clientes,
processos, controles, registros, informações, sistemas, …

Mantenha sua segurança alinhada
Desenvolva ações de segurança da informação alinhadas com a
gestão de negócios, sistemas, auditoria, conformidade, …

Conduza avaliações periódicas
Qual meu estado atual, onde esperava estar, onde deveria estar.
Avaliações independentes facilitam aprovação dos envolvidos.

Desenvolva lideranças em segurança
Distribua responsabilidades e atribua autoridade para assegurar a
liderança das ações de segurança e o crescimento de uma cultura
de segurança na organização.
4

Obrigado!
Contatos:
edson.aguilera@gmail.com
skype: edson.aguilera
msn: edson.aguilera@hotmail.com
+55 (11) 3013-7338
+55 (16) 9167-0812
+55 (16) 3411-8406
plus.google.com
twitter.com/eafbr
twitter.com/lumneg

br.linkedin.com/in/edsonaguilera

www.facebook.com/pages/
Edson-Aguilera-Fernandes/283814614985257
1

Segurança da Informação Tendências 2012

Recomendados

Recomendados

Mais conteúdo relacionado

Mais procurados

Mais procurados (20)

Destaque

Destaque (20)

Semelhante a Segurança da Informação Tendências 2012

Semelhante a Segurança da Informação Tendências 2012 (20)

Segurança da Informação Tendências 2012