Não deixe para amanhã o que se pode fazer hoje

Ontem soube que mais um famoso site foi invadido. A bola da vez é: o “Steam” um serviço on-line em que muitos internautas, pode-se dizer até que são milhões, jogam “games” em rede. Lá cadastram de forma segura, todos seus dados, inclusive cartão de crédito. Até aí nenhuma novidade, concorda. Consta na reportagem sobre esta “invasão” que foi descoberta quando estavam investigando falhas de segurança em seus fóruns de discussão. Isso corrobora cada vez mais, que a segurança é um processo contínuo e como tal, devemos tratá-la com muito cuidado. Ter em mente que existem atividades desta área que não devem ser adiadas, pois são vitais para o “core” de negócio, uma vez que podem acarretar perdas financeiras e inclusive de imagem.

Com certeza, a Sony, proprietária deste site, possui políticas de segurança, processos de gestão de vulnerabilidade, processos de gestão de riscos e por aí vai. Mas qual a periodicidade disso? Será que para o objetivo do negócio, o investimento com segurança foi compatível? São algumas perguntas que nunca teremos as respostas, apenas sabemos da consequência: a invasão e o comprometimento de algumas contas, já reconhecido pelo próprio diretor executivo Gabe Newel. E de quem serão essas contas comprometidas? Tomara que não seja a sua não é mesmo! Pelo “sim” e pelo “não”, sugiro cancelar o cartão de crédito que utiliza para compras na internet e que usa neste site além de mudar sua senha imediatamente. Isso é o básico a fazer, mas não é garantia de nada.

Quando falamos em segurança, estamos falando de processos contínuos, onde um grupo de profissionais (próprios ou não e acima de tudo “loucos” pelo que fazem) trabalham de forma invisível, pois quando aparecem, das duas uma: ou estão executando alguma rotina importante ou algo aconteceu de errado. Mas será que isso é o suficiente? É claro que não! A empresa tem que abraçar a ideia. Atualmente é quase impossível imaginar uma empresa sem estar na “Web”, divulgando, vendendo, aprendendo, etc. com isso se faz necessário ter dispositivos e processos do tamanho de seu negócio. Acredite, não há receita de bolo para a Segurança da Informação. Existem melhores práticas, que dizem o que fazer, mas o “como” fazer ficar de acordo com cada um.

Algumas empresas investem mais, pois acreditam que suas informações são valiosas para ficarem expostas para o mundo e até para o pessoal interno. Isso mesmo que você leu: o maior perigo não está fora, na internet e sim dentro das corporações. Onde pessoas com alguns privilégios se utilizam de artimanhas para ter acesso onde não podem. Neste caso a melhor receita é a conscientização e monitoração constante. Nos casos de violação, uma atitude mais rigorosa deve ser tomada. Sem isso, vira a empresa da impunidade e não é preciso dizer que um lugar onde tal atitude impera, as coisas tendem ao caos.

A cada invasão deste porte, deveria servir de alerta para todos os executivos que persistem em limitar a verba de forma equivocada para a área de Segurança da TI. Não me entendam mal, sei que não podemos gastar a esmo inclusive com profissionais sem controle, sabemos que isso não é garantia de eficiência. Mas a limitação deve vir com consciência. Será se uma simples tarefa de monitoração e correlação de eventos mais efetiva e ininterrupta, tivesse sendo realizada em vários desses sites invadidos, teriam evitado o comprometimento deles? Sinceramente acredito que a resposta seja “sim”. Surge a pergunta de um executivo: “qual o custo disso?” e eu respondo: “bem menor do que a perda de imagem de sua empresa, após uma invasão”.  Não esqueça: colada a uma perda de imagem vem sempre à perda financeira.

Calma, este é o último parágrafo. Vale a pena refletir em como devemos agir no dia a dia, com relação à segurança da Informação. A segurança começa com você e acaba na empresa. Não adianta a empresa fazer tudo certo, se você não faz a coisa certa. Independente de qualquer coisa, se habitue a seguir as orientações da área de segurança de sua empresa, com isso com certeza contagiará todos ao seu lado. Assim todos agradecem, menos os mal-intencionados.