Dicas para Gerenciar Segurança durante a Recessão

[ 18/02/2009 - Update ]

O assunto de priorização de esforços em segurança devido à crise está em alta: desta vez um artigo na SearchSecurity de Eric Ogren aponta 4 maneiras de priorizar programas de segurança em uma ecnonomia ruim - abaixo uma tradução livre dos pontos e meus comentários:

I. Apoie projetos que tragam novas fontes de receitas

Na área de Segurança isto é difícil de acontecer, mas é possível - alguns exemplos são vendas de produtos/serviços de segurança para usuários (no caso de empresas como Provedores de Acesso e Conteúdo). O Eirc Ogren cita serviços de segurança que apoiam iniciativas de serviços on-the-cloud.

II. Proporcione uma maior economia através da tecnologia

O autor cita serviços de Controle de Configuração e Auditoria de uso de Máquinas Virtuais, mas achei este ponto um pouco forçado no que diz respeito à segurança de informações.

III. Atenda aos requerimentos mandatórios de compliance

Se sua empresa está sujeita à regras de compliance (SOX, Basiléia, PCI, etc..) - é claro que você tem que priorizar estas demandas, pois o efeito de não se validar neste tipo de auditoria externa pode ser devastador para uma empresa, ainda mais em tempos de crise.

IV. Substitua produtos que não estão atendendo (performance baixa)

Na minha opinião deveria ser o ítem "I" , assim como a lista que a CSO publicou (reproduzido no post original abaixo) possui como primeiro ítem "Priorize baseado em risco/recompensa". Aqui mais uma vez o candidato é a sua solução possivelmente ineficaz de IDS/IPS.


Alguns dos pontos colocados podem levantar discussões sobre métricas em segurança, e retorno de investimento ("ROI") em segurança.

É um desafio que se enfrentado apoiará as decisões em épocas de crise: como medir a efetividade de um controle de segurança? O sucesso atual da solução de segurança é suficiente para garantir um (re)investimento?

[ 10/02/2009 - Post Original]

Depois de alguns meses de agonia, parece que chegamos à um concenso sobre o declínio da taxa de crescimento econômico mundial - ou seja, estamos em recessão e o Brasil será atingido - talvez não por um tsunami, mas certamente também não por uma "marolinha", como disse o presidente.

Nestes tempos de vacas magras, é necessário priorizar os gastos e medir bem os esforços em novos investimentos. Na área de Segurança da Informação, a realidade não é diferente.

Alguns estudos recentes mostraram que:

1. Os ataques utilizando a internet devem aumentar devido à crise.

2. O prejuízo associado ao abuso interno por parte de funcionários/terceiros tem crescido substancialmente.

3. Os empregos de segurança foram pouco afetados até o momento. Alguns detalhes no último report do SANS sobre o o assunto.

Os itens acima certamente têm motivações e efeitos relacionados. Boa parte dos alertas relacionados no item 1. pode ser interpretada como FUD (Fear, Uncertainty & Doubt) - para garantir um bom quinhão de investimentos em tecnologias de segurança.

Hoje um artigo da CSOOnline traz 5 dicas para Gerenciamento de Segurança em uma recessão - seguem os pontos e meus comentários:

I - Priorize baseado em risco/recompensa.

Do que vale uma solução antiquada e milhonária de prevenção que só gera falsos positivos por default, e se bem configurada, começa a produzir mais falso negativos que alertas reais (i.e: eu NÃO DISSE IDS/IPS .. =)

II - Tenha o mix certo de pessoas/especialidades no seu time

Os seus Analistas Senior não podem estar executando tarefas repetitivas, eles precisam automatizar o que já existe e pensar em novas formas de combater as ameaças de negócio que tiram o sono de todos os seus chefes.

III - Construa processos passíveis de repetição

Aqui as vantagens são óbvias, a capacidade de gerar métricas, facilidade de treinamento - trata-se de eficiência.

IV - Crie uma estratégia de custos compartilhados otimizada

Existem soluções que resolvem problemas de várias áreas, e por isto estas podem trabalhar juntas para implementá-las. Alguns exemplos de cabeça são: SIEM - correlação de eventos de segurança e DLP - Prevenção de vazamentos de dados (de Host e Rede).

Tanto SIEM quanto DLP atendem à várias necessidades das áreas de Auditoria, Anti-Fraude, Compliance, Risco, Governança, Segurança de Rede, Segurança da Informação e Segurança Patrimonial.

V - Automatize e terceirize sabiamente

O corte de despesas em T.I. inclui sempre programas de outsourcing, fábricas de softwares e outras contratações para diminuir os custos internos e "manter a atenção da empresa em seu core business". Certamente isto inclui riscos que precisam ser considerados e monitorados, ao preço de ganhar eficiência e perder conhecimento / vantagens competitivas (vazamento de informações) ou dinheiro (fraudes).