Projeto de Lei - Crimes Eletrônicos (PL 84/99)

A importância do combate aos Crimes Digitais é cada vez mais clara, e no Brasil há alguma evolução neste sentido. Naturalmente vem aumentando a cobrança de uma priorização adequada por parte dos agentes públicos envolvidos.

O Tratado de Budapeste - "Convention on Cybercrime" (pdf), de 2001, foi assinado por 46 países (para detalhamento e restrições, veja aqui) . Ele possui em sua introdução um trecho que encerra a urgência de possuirmos uma legislação adequada nesta área:

"Convictos da necessidade de prosseguir, com carácter prioritário, uma política criminal comum, com o objectivo de proteger a sociedade contra a criminalidade no ciberespaço, designadamente, através da adopção de legislação adequada e da melhoria da cooperação internacional" - mais informaçôes atualizadas sobre a Convenção aqui.

O Brasil não é signatário (já existe alguma movimentação no sentido), e apesar de existirem lei específicas sobre assuntos correlatos (pirataria, invasão de bancos de dados do governo, lei geral das telecomunicações, etc.. ), até o momento o projeto mais importante, PL 84/99, continua em trâmite e sem previsão de virar lei - acompanhe aqui o status do projeto de lei.

Têm havido consultas públicas sobre o texto - eu tive a oportunidade de participar na Anatel de reuniões com interessantes discussões técnicas e jurídicas, no Âmbito da Comissão Brasileira de Comunicações, Tema 1 Segurança. Várias outras sugestões/críticas sobre o projeto foram feitas durante todos estes anos (1,2,3,4,5) . Hoje um post na ISTF me proporcionou conhecer o que considero a melhor contribuição feita até o momento, proposta pela Escola de Direito da Fundação Getulio Vargas - leitura recomendada:

Comentários e Sugestões sobre o Projeto de Lei de Crimes Eletrônicos (PL n. 84/99) (pdf)

TOP 25 CWE/SANS - Problemas de Segurança em Programação (Prós e Contras)

Programar é uma tarefa relativamente simples, mas desenvolver produtos complexos de forma segura e garantir que sua implementação/configuração não irá incluir riscos associados tem se mostrado uma tarefa dificílima de se conseguir. Não é a toa que recentemente o tema de Segurança em Desenvolvimento tem crescido fortemente dentro da comunidade de Segurança da Informação.

Recentemente, o CWE e o SANS Institute divulgaram uma lista dos 25 erros piores erros de programação do ponto de vista da segurança.

A iniciativa não é nova (vide OWASP Top 10, 19 Sins book, e as específicas de linguagens como Java, C, Perl, PHP, ...) , mas claro que é bastante válida - desde que usada com critério.

Algumas críticas interessantes (obrigado, Lucas) foram colocadas por alguns especialistas na área de desenvolvimento seguro, como Gary McGraw - que compilou uma interessante lista de 11 principais motivos do porque listas de "top 10" (ou 25) devem ser avaliadas com cautela.

Alguns pontos interessantes da crítica de McCgraw (tradução livre):

• 1 - Executivos não dão a mínima para erros técnicos
• 3 - Listas de Vulnerabilidades ajudam mais aos auditores do que aos desenvolvedores
• 6 - Listas de erros se modificam de acordo com a mudança da tecnologia
• 9 - Métricas construídas sobre listas "Top N" são enganadoras.

16/01/2009 Update - a OWASP acusa o SANS Institute de plágio.

Wargaming na Intel

Richard Bejtlich apontou um interessante artigo na revista Intel Premier IT Magazine chamado "Wargaming - How Intel Creates a Company-Wide Security Force". (para baixar o pdf, é necessário um rápido registro no site da Intel).

Trata-se de um exercício interessante que é feito pela equipe de segurança com os funcionários da Intel, que envolve cenários hipotéticos (cuja viabilidade traria um grande prejuízo à empresa) como:

• Funcionários insatisfeitos tentando roubar informações
• Crime organizado tentando descobrir a data/local de entrega de produtos valiosos
• Espionagem industrial frequentando cybercafés populares entre os empregados
• Empresas rivais buscando conhecer os futuros designs secretos de chips da Intel

São utilizados facilitadores na exploração destas questões, com grupos de 10 empregados de todos os níves hierásquicos, oriundos de equipes variadas como RH, TI, Vendas, etc..

Um detalhe interessante é que as pessoas tendem a não querer informar as falhas que conhecem por acreditarem que terão que corrigí-las, mesmo não sendo responsáveis por sua existência. Esta situação é tão comum que inspirou a tirinha do Dilbert no ano passado, que reproduzi acima ...

O WarGaming é um excelente aditivo à Pen-Tests e tradicionais auditorias de segurança: (Tradução livre do texto:"Auditorias de segurança são limitadas à experiência do auditor, que pensa como um defensor, e não como um atacante, e cada vez mais os testes de segurança afunilaram seu foco para ataques remotos em redes e servidores".). Por isto os vetores de ataques surgidos durante o "brain-storm" dos WarGames da Intel podem ser tecnológicos ou não.

Vejo o exercício de WarGaming como uma excelente oportunidade para as empresas de reconhecimento de ameaças - baseado no conhecimento de partes do negócio de seus próprios funcionários - e é especialmente eficaz em empresas que já possuem um plano de Conscientização de Segurança em curso e possuem um Grupo de Segurança e/ou Risco com boa visibilidade na alta administração. O objetivo final é tratar com seriedade as ameaças apontadas e o maior benefício óbvio é o aumento da cultura de segurança corporativa.