Só Firewall não resolve

Com as boas perspectivas da economia para 2010 e conseqüente aumento no trafego de informações nas corporações, um grande número de gestores deve estar pensando, vamos aprimorar nosso Firewall e certificar se nosso antivírus está atualizado... com isto suas empresas estarão seguras?? NÃO!!
        
Infelizmente algumas empresas investem grandes somas em tecnologias que garantem a proteção física e lógica dos sistemas e equipamentos, mas não investem na segurança de seus funcionários, principalmente em conscientização e treinamento. Em Segurança da Informação o elo mais fraco é o ser humano. Há necessidade de planejar a segurança da empresa de forma integrada, tecnologia e procedimentos. Kevin Mitnik, talvez o hacker mais famoso do mundo, afirma em seu livro, A arte de enganar “Com freqüência, a segurança é apenas uma ilusão, que às vezes fica pior ainda quando entram em jogo a credulidade, a inocência ou a ignorância”.  
            
O CERT.br (Centro de Estudos, Respostas e Tratamento de Incidentes de Segurança da Informação no Brasil) acaba de divulgar o balanço de 2009 com um total de 358.343 incidentes reportados de janeiro a dezembro, com um aumento de 61,03% comparado a igual período em 2008, outra informação preocupante é que desses incidentes 69,87% foram fraudes.

Das tentativas de fraudes reportadas tivemos:
- 88,25% Direitos Autorais
- 8,79% Cavalos de Troia
- 2,50% Páginas Falsas
- 0,46% outras
       
Para evitar prejuízos às empresas devido a problemas de Segurança da Informação, seja de pequeno, médio ou grande porte, está cada vez mais claro que o cuidado com a conscientização dos colaboradores, a instituição e divulgação de política de segurança, alinhadas com os objetivos do negócio, podem ser as melhores ações dos gestores de TI.
            
Esta tarefa nem sempre é fácil, ou clara para esses gestores, que normalmente são responsáveis por muitas tarefas, dentre ajuda a usuários, atualização de sistemas, manutenção de hardware, etc,etc,etc... Como agir então? O mais indicado é trabalhar com as melhores práticas, por exemplo, utilizar a ISO NBR 27002 – Tecnologia da Informação – Técnicas de segurança – Código de prática para a gestão da segurança da informação.

Esta norma possui 133 controles que vão desde Política de Segurança da Informação até Conformidade, passando por segurança em Recursos Humanos. A utilização de um roteiro pode facilitar este trabalho que deverá ser feito de forma integrada e planejada, dando gradativamente a empresa um nível de segurança adequado as suas necessidades empresariais.

O mais importante é elevar essa segurança de forma gradativa e constante, para que a maturidade dos controles e dos usuários se eleve com equilíbrio. Não se consegue mudar a cultura de uma empresa imediatamente, mudanças rápidas podem ser ilusórias e criar a falsa sensação de segurança, uma das maiores armadilhas nesta área.Acredita-se que está seguro o que na realidade não ocorre, podendo acontecer uma grande surpresa com um incidente de segurança e prejuízos muitas vezes enormes.

Não devemos esquecer que em Segurança da Informação é necessário aliar a tecnologia a processos.

* Emerson J. Beneton é diretor de Desenvolvimento e Inovação da ABCTec.