Treinando seus Usuários em Segurança

Preparando-se para uma apresentação na antesala de reunião, o engenheiro de pré-vendas abre seu laptop e é brindado pela fatídica tela azul do Windows, que entre mensagens e bytes, informa “olá amigo, seu disco rígido se foi”. Imediatamente pensa: “terei que mudar o plano da reunião já que não poderei mas fazer a apresentação” e “quando foi a última vez que fiz backup?”. Um consultor de segurança da informação janta com um amigo, consultor de segurança patrimonial para grandes corporações que, no meio da conversa, pergunta “você acha que as informações dessas empresas estão protegidas? Digo isso porque já vi várias falhas no manuseio e transporte de computadores pessoais, além de roubo de laptops dos escritórios”. Um funcionário desavisado (ou negligente) envia a um parceiro de negócios uma apresentação com os dizeres “confidencial” em cada slide. Quando chamado para dar explicações, o funcionário alega que todo mundo na empresa ignora a palavra “confidencial” nas apresentações, já que os slides, mesmo aqueles com informações públicas, sempre trazem o termo.

Esses três casos, sem nenhuma ligação aparente, mostram o problema mais presente nas empresas. Todas, permitam-se generalizar, sem exceção: o da segurança pessoal em informática, ou, o cuidado do usuário com a segurança de seus dados. Acredito que a grande maioria das grandes empresas já incorporou em seus treinamentos de RH, principalmente para novos empregados, instruções para manuseio de informações, e mantém campanhas internas de conscientização. Mas por que será, que o final dos casos que citei seriam que o laptop não tinha backup, que os dados confidenciais armazenados nos laptops roubados não estavam criptografados e que realmente todo mundo escreve “confidencial” em qualquer coisa sem ter a mínima noção do que está fazendo?

Eu ousaria dizer que o motivo é que segurança da informação ainda é um negócio complicado, e que as áreas de segurança falham em torná-lo mais fácil e acessível. Tomemos o exemplo do backup. Os discos rígidos dos computadores pessoais são cada vez maiores. Novos computadores chegam com no mínimo 250GB de capacidade e, é razoavel supor, que ano após ano os arquivos irão se acumular nos discos dos usuários. É claro que espaço em disco centralizado para backups torna-se a cada nova leva de computadores um problema literalmente maior, mas quero chamar a atenção para outra questão: que usuário quer perder uma hora por semana, no minimo, para fazer backup de seus dados? O que é melhor: esperar o backup acabar ou ir logo para casa na sexta-feira? Quem é que quer dizer ao chefe irritado: “não posso te enviar o email agora porque estou fazendo backup”. Ninguém gosta de fazer backup. Eu mesmo odeio ficar 40 minutos (faço um backup semanal) olhando a barra avançar.

Mas vamos olhar nosso backup com mais atenção: por que fazemos backup de dados que baixamos de servidores de intranet? Ou da cópia local do inbox de correio? Ou dos arquivos que criamos há cinco anos atrás e que não acesso a quatro anos e meio? Precisamos desses arquivos? Eu diria que não. Eu mesmo tive uma experiência interessante quando mudei de computador da última vez. Ao invés de migrar todos os arquivos de uma só vez, decidi por falta de tempo copiar apenas os arquivos dos últimos meses e deixar o resto no backup do computador velho, para ir pegando conforme a necessidade. Se eu disser que precisei de 5% do que estava lá estarei exagerando. A resposta para o dilema do backup é que não precisamos fazer backup de tudo. Talvez seja apenas necessário quinze minutos por semana para copiar o que realmente importa.

O mesmo se aplica à classificação dos dados. Por que dados de dominio público aparecem com a tarja de confidenciais? Por que informações de produtos continuam como confidenciais mesmo depois de terem sido lançados? Por que essa é uma missão que parece impossível? Certamente porque tentamos classificar tudo, agravado pelo fato de que é uma tarefa subjetiva, afinal é feita por seres humanos. É impossível mesmo uma empresa classificar todas as suas informações, mas também é desnecessário. As informações confidenciais são uma parte pequena do acervo de dados. O primeiro passo em um projeto deve ser definir sem paixões o que deve ser resguardado. Informações de faturamento, capital intelectual, segredos industriais, propostas e estratégias comerciais, por exemplo. Notem que cada tipo de informação pode ser associado imediatamente a uma área criadora e/ou mantenedora. Se não está claro quem é o criador, então aquele tipo de informação não deve ser classificado.

Outro complicador é tentar definir muitos níveis. Para mim só são necessários dois níveis: uma para informações que não podem sair da empresa, e outra para informações que só podem ser divulgadas para outras empresas com contratos de confidencialidade firmados. No máximo se poderia criar um terceiro nível para informações que só podem ser divulgadas para algumas pessoas dentro da empresa. O resto é público. Para que complicar? Mas ainda falta um elemento à classificação: data. Imaginem que uma empresa irá lançar um novo produto e realiza um treinamento interno, que seria classificado como “confidencial”. Esta é uma prática comum, no entanto é igualmente comum que as informações continuem classificadas de “confidencial” meses depois do lançamento. Por que? Porque faltou a informação de data. Qualquer restrição deveria trazer um prazo de validade. Para segredos industriais seria indefinido, para novos produtos a data de seu lançamento. Mas não complica ainda mais? Não se restringirmos a classificação a algumas áreas muito específicas, e a algumas informações ainda mais específicas. No final teremos poucas pessoas que criarão informações classificadas, um público capaz de ser treinado.

E ai chegamos a criptografia. O que deve ser criptografado em um laptop? Isso mesmo, as poucas informações que são classificadas. O resto é bobagem. Vejam que muitas vezes algumas informações que achamos ser confidenciais na verdade são públicas de fato. Listas de preço por exemplo. Qualquer fabricante publica suas listas para centenas ou milhares de parceiros. Não dá para controlar, tanto que elas são facilmente achadas na Internet. Mas quem dá bola para listas de preços? Elas são apenas referenciais porque no final o que conta é o desconto, que depende de outros fatores e é autorizado muitas vezes caso a caso. Então para que classificar e criptografar uma lista de preços?

Descomplicar a segurança deveria ser um objetivo básico de todas as áreas que tratam de políticas e programas de conscientização. Muitas vezes queremos que o usuário leia e aceite manuais de segurança longos demais. A maioria aceita sem ler. É tedioso ficar lendo normas. E é inútil ter muitas normas. Por que? Porque nos esquecemos delas. Já poucas são lembradas. Uma página no máximo, com letras grandes. Nenhum usuário precisa de mais de meia duzia de ações para manter seus dados seguros. Mas a gente gosta de adicionar conhecimentos, fazer com que o usuário “aprenda”. Faltou perguntar se ele quer aprender alguma coisa. Normalmente não.

(publicado na revista RTI em Junho/2010 - acesse aqui a edição digital)

Equilibrando Segurança e Inovação

Os profissionais de segurança somos por natureza conservadores. Atuamos em uma área na qual inovações trazem, líquido e certo, novas vulnerabilidades que podem afetar todo um trabalho de segurança e prevenção. No entanto essa mesma área, TI, é a mais dinâmica e inovadora de todas. O conflito é óbvio, assim como as pressões sobre a área de segurança também. No fundo todos gostariamos que redes sociais, comunicação instantânea, computação em nuvem, virtualização, web 2.0 e wireless estivessem bem longe de nossas empresas. Mas não, muito pelo contrário, e precisamos manter os negócios seguros e as informações protegidas, apesar delas.


Citei algo que não é novidade, wireless, de propósito. As redes wireless davam uma enorme dor de cabeça há alguns anos atrás em termos de segurança, e não raro sua utilização era negada. No entanto, mesmo sem evoluir muito em termos de tecnologia de proteção, passou a ser adotada e hoje o seu uso é comum. A imprensa falava o tempo todo das vulnerabilidades e riscos, mas hoje o assunto é outro, e não se comenta mais nada. O que ocorreu? Achou-se um ponto de equilibrio ou a área de segurança abriu a guarda? Ouso dizer que os dois, e as empresas nas quais se abriu a guarda estão hoje vulneráveis a invasões.

Na minha opinião as áreas de segurança não devem se opor às inovações, sob o risco de serem atropeladas por elas, mas tampouco devem permitir que sejam adotadas sem um estudo criterioso e medidas preventivas. Conheci uma empresa de grande porte que trabalha muito bem esse equilibrio. Nela há politicas muito claras para a utilização de cada ferramenta, mas nenhuma tecnologia é proibida, até pelo contrário, novas ferramentas como redes sociais são até estimuladas, porém de uma determinada maneira. Todos os anos cada funcionário assina (digitalmente) um termo dizendo que segue as políticas, e cada gerente assina outro termo dizendo que seus funcionários realmente as seguem. Nas auditorias ele será coresponsável pelos desleixos de sua equipe. Ao mesmo tempo um software instalado em cada PC fiscaliza o mínimo recomendado para configuração do Windows e personal firewall. Há regras específicas para conectar equipamentos à rede cabeada, e controles para o acesso à rede sem fio. Aqueles que querem conectar outros equipamentos ou necessitam de tipos de acesso não previstos recebem um tratamento especial. Podem até instalar um pequeno segmento de rede, porém sem conexão à rede corporativa. Há claro um custo para isto, em pessoal e software, e a autorização para acessos ou conexões pode demorar. Por outro lado a área responsável pelas políticas é dinâmica e ágil em acompanhar as tendências.

Essa necessidade de achar um ponto de equilibrio só tende a crescer. Há especialmente duas ondas que estão vindo. Nenhuma é nova, mas as ondas virão com mais força a partir de 2010. Uma é a da virtualização e consolidação de datacenters. É um fato que o modelo de servidores e redes mudou. E quem não virtualizar acabará migrando para estruturas compartilhadas de computação em nuvem. O oposto da virtualização é a segmentação física de rede e serviços. Para que fique claro, segmentar será sempre mais seguro que virtualizar. Diferentes equipamentos permitem um nível de segurança maior que um equipamentos com múltiplas instâncias. Mas há dois fatores que estão contribuindo para a adoção da consolidação/virtualização: (1) Os produtos de consolidação e virtualização evoluiram e fornecem um nível de segurança muito próximo ao dos equipamentos individualizados; e (2) Consolidar/virtualizar reduz custos, o que hoje é uma necessidade. Não é um cenário aceitável para um executivo que os servidores cada vez mais se concentrem enquanto os de segurança continuam individualizados. No exterior até que cunhou um termo para isso: "appliance sprawl", ou proliferação de appliances. Então temos que seguir a onda. Primeiro protegendo a informação onde ela está. Se está virtualizada, então que se proteja os servidores virtuais. Segundo, virtualizando e consolidando também a segurança. A diferença se dará em como será realizado essas duas tarefas.

A outra onda, e essa é mais preocupante, é o fenômeno das redes sociais e comunicação instantânea nas empresas. A comunicação instantânea preocupa mais porque já é um problema real. Colaboradores de empresas já usam infraestruturas públicas, portanto fora do controle de suas empresas e sem garantias explícitas de segurança, para realizar negócios. Não raro trocam informações confidenciais de negócios. Mas já existem software e serviços privados. Adotá-los ou não é uma questão de análise de custos. O ideal é que a empresa adote um serviço privado. Se não quiser, ou não puder, que instrua seus funcionários a como utilizar serviços públicos da melhor maneira.

Já as redes sociais nas empresas ainda é uma tendência. Por um lado as redes sociais podem ser um grande instrumento para melhorar produtividade e compartilhar informação, e até fazer negócios. Imagine o sujeito que diz em seu perfil que está trabalhando, digamos, com o software tal; e um de seus contatos está justamente procurando empresas com aquela experiência. Mas, pelo outro lado, o Twitter foi invadido no ano passado por conta de informações de um funcionário pesquisadas em redes sociais. Os hackers estão se aproveitando do fato que a confiança é algo implícito nas redes sociais. Estamos lá para compartilhar e acessar o que é compartilhado. É uma pena que a Internet é feito por pessoas, que são as mesmas fora e dentro da rede, e que esta é um ótimo refúgio para hackers, criminosos ou não. Nesse cenário, em que o campo de batalha é transferido ao computador pessoal, torna-se cada vez mais importante o treinamento de conscientização de funcionários e colaboradores. Afinal a decisão acaba mesmo sendo deles.

Ajudando hackers a invadir sua empresa

Há algum tempo, um post no blog da Errata Security chamou minha atenção. Com o sugestivo título de “Cyberspyes #2” (http://erratasec.blogspot.com/2009/04/cyberspies-2.html), o autor comentava sobre uma notícia falsa, uma barriga no jargão do jornalismo, publicada nos dias 8 e 9 de abril, sobre supostas invasões à rede de distribuição de energia elétrica dos Estados Unidos por espiões russos e chineses. A notícia saiu em midias importantes dos Estados Unidos: Wall Street Jornal, BBC News, Reuters e CNN. Como a característica principal da Internet é a velocidade da informação, comprometendo obviamente sua qualidade, a noticia foi replicada em diversos blogs e sites mundo afora. A revelação da barriga saiu da própria comunidade de segurança, incluso de profissionais independentes que são contratados para testar os sistemas de infraestrutura norte-americanos.

Notícias sobre invasões digitais e cyberwar saem a toda hora, há muitos anos. Algumas são verídicas, outras simplesmente alarmistas. Mas nessa história da suposta espionagem à rede elétrica dos Estados Unidos, o artigo mais interessante foi publicado ainda em abril no site do Economist (http://www.economist.com/opinion/displaystory.cfm?story_id=13527677). Nele o jornal discute a possível origem da notícia falsa: uma disputa interna entre diferentes órgãos de segurança interna dos Estados Unidos por espaço e fundos dentro do novo orçamento que o governo Obama irá definir para segurança digital. Caso o Economist esteja correto, essa versão é mais assutadora que a notícia de espionagem e vulnerabilidade da infraestrutura do país mais poderoso do mundo. Os próprios responsáveis pela segurança nacional estariam plantando notícias, e imagina-se o que mais, para desfrutar de mais poder e dinheiro.

Alguns dias antes desse fato, a CNN publicou um artigo sobre as vulnerabilidades do “Smart Grid”, a rede de distribuição elétrica inteligente, iniciativa criada para reduzir custos e aumentar e eficiência do sistema. O objetivo do Smart Grid, uma iniciativa em escala global, porém prioridade do governo dos Estados Unidos, é modernização das redes de transmissão e distribuição de energia através do emprego de uma série de equipamentos e software. O título do artigo “Smart Grid pode ser vulnerável a hackers” soa um tanto óbvio para especialistas de segurança, e possui um tom alarmista desnecessário. A modernização via o Smart Grid irá adicionar novas vulnerabilidades ao sistema que controla energia, seja qual for o país que o implemente, não porque seja ruim, mas porque qualquer sistema de informática ou transmissão de dados possui vulnerabilidades, tal qual redes de telefonia VoIP, internet banking e votação eletrônica. O fato desses sistemas possuirem vulnerabilidades não significa que não devam ser usados, e sim que devem ser implementados controles para mitigar o risco dessas delas serem exploradas. Alardear que a implantação deve ser retardada até que suas vulnerabilidades sejam sanadas não faz nenhum sentido. Se fôssemos seguir a regra não teriamos hoje em dia nem a web mais básica.

Então sempre é bom recordarnos de alguns conceitos elementares, que nunca ficarão obsoletos:
1. Qualquer sistema de informática possui vulnerabilidades
2. Qualque sistema possa ser invadido por alguém que possua conhecimento, acesso e motivação para tal. Não há sistema 100% seguro.
3. Risco é o resultado da equação vulnerabilidades x ameaças x valor do ativo. Portanto o aumento do nível de vulnerabilidades não significa que os riscos serão aumentados irremediavelmente. Novas vulnerabilidades são compensadas por controles que reduzem a exposição a ameaças.
4. Se o dito ativo ou sistema não possui valor, e não pode ser usado para invadir outros sistemas, esqueça. Não desperdice dinheiro com ele.
5. O guia dos investimentos deve ser o valor dos ativos. Identificando-se os ativos mais importantes deve-se atuar sobre vulnerabilidades e ameaças.

Esses fatos são uma boa oportunidade para procurar em nossas empresas ocorrências semelhantes. Boas idéias não devem ser descartadas somente porque possuem riscos. Estes devem ser tratados. É função da área de segurança procurar o equilibrio e indicar o caminho com menor risco para implementar a idéia. Normalmente boas idéias estão associadas a bons negócios e uma má implementação, não segura, pode simplesmente destrui-la. Assim a área de segurança se torna uma peça fundamental para os negócios de qualquer empresa: viabilizar seus negócios através de meios digitais. Qualquer coisa diferente disso é paranóia inútil. Por outro lado, ignorar a importância das medidas de mitigação de riscos, portanto da área de segurança, nos novos negócios e implementações, achando que as tecnologias tem a segurança nelas embutidas é achar que o mundo é cor de rosa. Pura inocência.

Uma das coisas que mais atrapalham a implementação bem sucedida de controles de segurança são as disputas entre departamentos, muito similar às disputas entre os órgãos do governo americano. Elas, além de nada ajudar, ainda pioram a situação porque ajudam a manter abertas vulnerabilidades que podem ser exploradas, as janelas de oportunidade dos hackers. O nível de segurança e vulnerabilidade deve ser divulgado como é, nem a mais, nem a menos. Esconder vulnerabilidades ajudam invasores, sejam programas ou pessoas, já que as falhas omitidas não são corrigidas. Disputas internas quase sempre levam a empresa a gastar onde não deve, com prioridades erradas.