Brasil é um dos principais países com usuários afetados por aplicativos maliciosos no Google Play Store

A Trend Micro, uma das gigantes globais em cibersegurança, descobriu recentemente um spyware, software espião de computador, que tem o objetivo de observar e roubar informações pessoais de usuários (detectado como ANDROIDOS_MOBSTSPY) – que se disfarçava como aplicativos legítimos do Android. As aplicações estavam disponíveis para download no Google Play Store em 2018, com algumas já tendo sido baixadas mais de 100 mil vezes por usuários de todo o mundo.

No ano passado, a BleepingComputer relatou que diversos softwares mal intencionados estavam sendo instalados nos celulares com sistema operacional Android e minerando criptomoedas, especificamente Monero, em segundo plano enquanto os usuários acreditavam estarem realizando as tarefas normais que o aplicativo prometia realizar. A mineração maliciosa era feita em diversos aplicativos, inclusive aqueles destinados a funcionalidades corriqueiras, como organizador de tarefas e jogos.

Neste caso revelado pela Trend Micro, não trata-se de mineração maliciosa, mas de phishing para roubo de informações, que também pode afetar serviços de carteiras instalados no celular e até mesmo contas em exchanges que não possuem um aparato de segurança robusto. Parte do que torna esse caso interessante, é o quão amplamente seus aplicativos foram distribuídos. Por meio do monitoramento de back-end e pesquisa profunda da Trend Micro, constatou-se a distribuição por diferentes países, com usuários afetados de 196 países distintos. O Brasil foi um dos países recordistas em infecção por este tipo de aplicativo, sendo o sexto país do mundo que mais teve usuários baixando e instalando o aplicativo.

Um dos aplicativos inicialmente investigado foi o jogo chamado Flappy Birr Dog. Outras aplicações incluíam o FlashLight, o HZPermis Pro Arabe, o Win7imulator, o Win7Launcher e o Flappy Bird. O Google já removeu todos esses aplicativos sua loja Google Play.

O “MobSTSPY” é capaz de roubar informações como localização do usuário, conversas por SMS, registros de chamadas e itens da área de transferência. Assim que o aplicativo malicioso for iniciado, o malware primeiro verificará a disponibilidade da rede do dispositivo. Em seguida, lê e analisa um arquivo de configuração XML de seu servidor C & C.

O malware irá então coletar certas informações do dispositivo, como o idioma utilizado, o país registrado, o nome do pacote, o fabricante do dispositivo, etc. Dependendo do comando recebido pelo malware, ele pode roubar conversas por SMS, listas de contatos, arquivos e registros de chamadas. O malware é capaz, inclusive, de roubar e fazer o upload de arquivos encontrados no dispositivo.

Felippe Batista, especialista de segurança da informação para cloud na Trend Micro, alerta para que os usuários sejam cautelosos ao fazerem downloads, por mais que o aplicativo esteja dentro das lojas oficiais do sistema operacional.

“A POPULARIDADE DOS APLICATIVOS SERVE COMO UM INCENTIVO PARA QUE OS CIBERCRIMINOSOS CONTINUEM DESENVOLVENDO SOFTWARES MALICIOSOS PARA ROUBAR INFORMAÇÕES OU REALIZAR OUTROS TIPOS DE ATAQUES. ALÉM DISSO, OS USUÁRIOS PODEM INSTALAR UMA SOLUÇÃO ABRANGENTE DE SEGURANÇA CIBERNÉTICA PARA DEFENDER SEUS DISPOSITIVOS MÓVEIS CONTRA MALWARE MÓVEL.”

Além de seus recursos de roubo de informações, o malware também pode coletar credenciais adicionais por meio de um ataque de phishing. É capaz de exibir falsos pop-ups de serviços como Facebook, Google, entre outros para phishing dos detalhes da conta do usuário (login, senha, entre outros). Se o usuário inserir suas credenciais, o pop-up falso informará apenas que o login não foi bem-sucedido, permitindo, na outra ponta, que os hackers acessem todos as contas dos usuários com as credenciais obtidas e possam roubar seus fundos em criptomoedas e dados pessoais.

Fonte: Blog Criptomoedas Fácil.

Read More

7 requisitos para migrar para a nuvem com segurança

Cada vez mais organizações percebem as vantagens financeiras e operacionais de migrar seus dados e cargas de trabalho locais para a nuvem. De fato, há muitos benefícios ao negócio, incluindo ganhos de produtividade e usabilidade para os funcionários. Por outro lado, uma consequência do rápido crescimento de nuvem é que muitas empresas não prestam muita atenção nos novos riscos e ameaças que exploram esta tecnologia. Além disso, dependendo da arquitetura e conectividade propostas, podem ter taxas ocultas de desempenho como preço para habilitar uma força de trabalho cada vez mais móvel.

Na prática, a nuvem se tornou a “grande disseminadora” de dados. Os usuários exigem acesso direto aos aplicativos de nuvem que utilizam para trabalhar, sendo que muitos destes não são conhecidos ou sancionadas pela empresa.

À medida que a nuvem transforma a TI, ela cria vários desafios em relação à segurança e aos dados. Portanto, ao avaliar a situação de segurança de nuvem de uma empresa, é necessário fazer as seguintes considerações:

  1. Ter tecnologias de alto nível de prevenção contra ameaças e inspeção de segurança das informações que possam verificar rapidamente o tráfego, mesmo criptografado, que parte para a Internet ou chega por ela. Ao contrário dos firewalls de última geração (NGFWs), os proxies (Secure Web Gateways) são desenvolvidos para fazer isso e para inspecionar o tráfego criptografado em escala, sem deteriorar o nível de segurança e performance.
  2. Certificar que a abordagem de inspeção tenha múltiplas camadas que sejam comprovadamente eficientes (ou seja, insista em ver resultados de testes e provas de conceito).
  3. Não apostar em políticas de segurança e conformidade menos eficientes para proteger os usuários remotos em comparação aos funcionários da sede. As políticas de segurança e conformidade devem valer para todos os usuários, independentemente de sua localização ou de quais dispositivos usem (que por vezes são múltiplos).
  4. A segurança deve ser aplicada e reforçada já que o tráfego agora flui diretamente para Internet. Se o provedor de segurança de nuvem tiver tecnologias adequadas para funcionar nativamente com aplicativos de nuvem, como por exemplo o Office 365, os usuários terão desempenho e segurança melhores e você terá um menor custo mensal.
  5. Para atender a requisitos de conformidade de dados e segurança de informações, é importante saber quais informações estão saindo para a web e a nuvem. Por exemplo, se dados são enviados para serviços como Box ou similares, isso viola as políticas de conformidade da empresa? Se há conteúdo sigiloso ou propriedade intelectual, é necessária uma proteção adicional, como criptografia? Caso positivo, é necessário aplicar direitos de acesso, estabelecendo regras para quem na empresa está autorizado a ver esses documentos que forem criptografados, gerando também rastreabilidade na medida que são acessados e alterados na nuvem ou em qualquer dispositivo.
  6. Recursos de CASB (Cloud Access Security Broker) podem ajudar a identificar quais aplicativos de nuvem os funcionários usam. Não tem como avaliar os riscos ao negócio sem conhecer os atributos e características desses apps na nuvem. O próximo passo é ter ferramentas que permitam gerenciar o acesso a aplicativos de nuvem para que você possa desautorizar o acesso para nuvens sem conformidade ou permitir o acesso mas com monitoramento contínuo e possibilidade de impor políticas de segurança mais rígidas.
  7. Por último, você necessita de uma forma de receber alertas quando algo suspeito ocorrer em quaisquer contas de nuvem. Por exemplo, ferramentas de CASB avançadas podem utilizar a análise de comportamento de usuário (UBA) para detectar padrões de comportamento que indiquem situações de risco ou anormais.

Sem as ferramentas adequadas, muitas empresas agem de forma ultraconservadora, bloqueando muito o tráfego da web. Não faz mal ser cauteloso, mas isso sem dúvida frustra os funcionários e atrapalha a produtividade, já que eles não conseguem acessar os sites e Apps que precisam para trabalhar. Mas vá em frente e aposte tudo na nuvem. Já é uma realidade presente em 100% das empresas, na maioria dos casos por influência ou ação dos usuários (Shadow IT), mesmo em empresas que formalmente creem que não usam nuvem. É importante abraçar esse movimento buscando rapidamente ter visibilidade como a base para se propor melhorias, sancionar alternativas tecnológicas e readequar os processos para o uso autorizado e ainda mais seguro da nuvem.

Quer migrar para a nuvem com segurança? Conte com a Future! Somos parceiros dos maiores fabricantes de segurança, disponibilidade e performance do mundo! Clique aqui e entre em contato conosco.

Fonte: ComputerWorld.

Não deixe a cibersegurança de fora da sua lista de resoluções para 2019

Para muitos, o novo ano oferece a oportunidade de melhorar alguns aspectos e abandonar maus hábitos ou simplesmente estabelecer metas que se pretende alcançar nos próximos 12 meses. Devido à crescente dependência de dispositivos eletrônicos e à pouca preocupação com a proteção dos mesmos, é importante que a adoção de boas práticas e hábitos de cibersegurança estejam presentes dentre as metas para 2019.

Atualmente, os dispositivos armazenam todos os aspectos da vida digital dos usuários. De fotos, vídeos, números de telefone, conversas pessoais, senhas, histórico de pesquisa na web, chamadas e localização dos lugares que foram visitados recentemente. Um comportamento descuidado deixa os dispositivos e as informações vulneráveis às ciberameaças que podem levar à perda de dinheiro e até prejudicar a privacidade. Para se ter uma ideia dos riscos, a empresa registra uma média de 3,7 milhões de ataques de malware por dia e bloqueia 192 mil mensagens de phishing por dia na América Latina.

“Os smatphones, PCs e tablets contêm dados confidenciais e, quando o usuário perde ou é roubado, essas informações podem cair em mãos erradas e causar acidentes sérios e reais”, alerta Roberto Martínez, analista de segurança da Kaspersky Lab. “É importante que os usuários entendam que a vida digital e a real estão interligadas, assim como a segurança: devemos ter cuidado quando vamos atravessar a rua e também antes de acessar um site ou link desconhecido. A adoção de bons hábitos de cibersegurança para proteger essas informações e nossos dispositivos contra roubo, invasão ou perda, se fazem mais do que necessários e fundamentais.”

Aproveitando a temporada em que muitas pessoas estão projetando novas metas, os especialistas da Kaspersky Lab listaram as seguintes resoluções para levar uma vida digital melhor em 2019:

1) Não clique em links

Principalmente em links recebidos de desconhecidos e os com mensagens suspeitas que foram enviadas por seus amigos via redes sociais, e-mail ou app de mensagens.

Nos primeiros dias de 2019, identificamos um golpe disseminado via WhatsApp e Facebook Message que atraiu mais de 675 mil pessoas. De novembro de 2017 a novembro de 2018, a média de ataques diários de phishing no Brasil cresceu 110% quando comparado com o período anterior (novembro/2016 até novembro/2017);

2) Atente-se às suas informações.

Saiba o que, e onde estão armazenados seus dados. Isso facilitará a limpeza dos dispositivos e dará tranquilidade para que as informações não sejam perdidas e utilizadas de forma incorreta;

3) Remova todos os aplicativos e arquivos que não são mais utilizados

Faça isso para aplicativos e arquivos em seus dispositivos ou nas redes sociais, pois os apps geralmente funcionam em segundo plano, mesmo sem o conhecimento do usuário. Além disso, certifique-se de que os aplicativos que continuarão no dispositivo utilizam criptografia. Ano passado, foi feita uma análise sobre alguns apps pela Kaspersky Lab e foi descoberto que alguns apps transmitem dados de usuários sem criptografia, usando um protocolo HTTP não seguro e, portanto, há o risco de expor os dados dos usuários;

4) Atualize os sistemas operacionais e aplicativos

É importante fazer este passo assim que uma nova versão estiver disponível, pois ela será responsável por corrigir possíveis vulnerabilidades que existiam no sistema. Um grande exemplo do quão importante é essa operação, foi o caso WannaCry, em que os cibercriminosos se aproveitaram de uma falha no sistema Windows 10 para realizar o atraque;

5) Altere todas as suas senhas

O início de um novo ano é uma boa oportunidade para alterar as senhas, pois elas devem ser atualizadas regularmente. Na maioria dos casos, os usuários utilizam as mesmas senhas para diferentes sites e o cibercriminoso testará a combinação em todos os serviços e redes sociais mais populares, principalmente quando há casos de vazamento de informações – como os que foram percebidos e divulgados em 2018. Por isso, para evitar confusão na hora de saber qual senha é de qual login, é aconselhável usar um software de gerenciamento de senhas;

6) Faça backup dos dados

Os backups de segurança oferecem ao usuário a tranquilidade de saber que, se algo acontecer ao seu computador, como a temida tela azul ou um arquivo corrompido, o usuário poderá recuperar esses dados. Além disso, no caso de um ataque de ransomware, que criptografa as informações que exigem um pagamento para descriptografá-los, isso não causaria mais consequências, pois é possível reinstalar o sistema operacional fazendo o upload do último backup;

7) Verifique os controles de segurança nos dispositivos, aplicativos e redes sociais

É preciso analisar as permissões concedidas aos dispositivos e aplicativos e decidir se eles realmente merecem privilégios, como acesso à lista de contatos ou manter um registro dos locais físicos mais visitados, etc. No caso das redes sociais, verifique se as informações compartilhadas são públicas e, se estiverem, use os controles de segurança da plataforma para limitar quem pode acessar o que é postado.

Quer aumentar a segurança dos seu dados e informações mais importantes? A Future é parceira dos maiores fabricantes de segurança, disponibilidade e performance do mundo! Clique aqui e entre em contato conosco.

Fonte: CIO.

Read More

Cibersegurança: o que deve vir pela frente em 2019

O tema cibersegurança ganhou páginas de jornais e portais de notícias nos últimos anos. E a notícia quase sempre é negativa: ataques, vazamento de dados, malware etc.

Diante das crescentes ameaças, empresas passaram a tratar o assunto com mais atenção.

Até porque, mais do que riscos para os negócios, a não conformidade com a segurança e privacidade de dados agora prevê multas, com a criação da Lei Geral de Proteção de Dados (LGPD) no Brasil, por exemplo.

O que deve vir pela frente neste ano? A empresa de cibersegurança Cylance listou 5 tendências. São elas:

Grandes e pequenas empresas começam a se adaptar à Lei Geral de Proteção de Dados

A criação da Agência de Proteção de Dados (ANPD) já no final do Governo Temer traz à tona a importância das empresas se preparem para o novo cenário regulatório no Brasil com a LGPD (Lei Geral de Proteção de Dados). O tempo para a preparação e cumprimento das normas se encerra em 2020, no entanto, enfrentamos um cenário em que o mercado ainda não está preparado. Grandes e médias empresas devem incluir em seu orçamento um projeto de adequação à norma, tendo em vista, também, que a multa pode chegar até R$ 50 milhões por infração, além de estarem sujeitas a arcarem legalmente com a responsabilidade civil pelo vazamento de dados de seus clientes.

Casos como o da Netshoes, no qual foi aplicada uma multa considerável, serão recorrentes se as companhias não se atentarem a esses cuidados com segurança da informação. Há pouco, uma empresa teve seus dados encriptados por um Ransomware e decidiu pagar em detrimento de tomar as medidas corretivas para evitar que isso se repita. Se este pensamento seguir adiante mesmo com a Lei Geral de Proteção de Dados a tendência é que muitas empresas sejam notificadas no futuro.

Grupos relacionados com terrorismo atacarão centros populacionais com Crimeware

Embora grupos terroristas tenham atormentado organizações e indivíduos por anos, prevemos mais ataques potencialmente destrutivos em 2019. Em vez de quebrar sistemas com ransomware, os adversários usarão novas ferramentas para realizar ataques prejudiciais a indivíduos e organizações específicas. De ataques à integridade de dados, que essencialmente matam computadores até o ponto de substituições de hardware obrigatórias, às novas tecnologias para ataques físicos, como o recente ataque de drones na Venezuela, as superfícies de ataque estão crescendo e os inimigos vão se aproveitar disso. Para combater isso, as organizações devem fazer um inventário de seu cenário de ataque para identificar e aplacar possíveis ameaças antes que elas sejam exploradas.

Haverá uma revolta dos compradores de segurança no custo crescente dos serviços

À medida que o setor de segurança cresce, o custo dos serviço e o número de violações crescem também. De fato, o relatório Verizon DBIR de 2018 identificou mais de 53 mil incidentes de segurança neste ano, incluindo 2.216 violações de dados confirmadas. À medida que o ciclo interminável de ataques cibernéticos continua, o setor de segurança sofrerá ataques de seus clientes por perpetuar uma carga crescente de custos que não é produtiva para a missão de uma organização. Uma tecnologia melhor deve permitir que os clientes gerenciem seus custos de forma mais eficaz, e as organizações que não entenderem isso enfrentarão ondas de reação negativa no ano novo.

Tecnologia baseada em inteligência artificial distinguirá dados sensíveis de dados não sensíveis

Atualmente, a análise de dados para determinar o que é sensível versus não sensível é um processo manual. Os usuários precisam classificar os dados, mas os usuários são preguiçosos. Em 2019, a tecnologia baseada em IA ganhará a capacidade de aprender o que é sensível e classificá-lo automaticamente. Esse desenvolvimento exigirá uma consideração maior sobre como gerenciar esses dados e, além disso, como controlá-los.

As empresas também estão começando a automatizar os testes de invasão, permitindo que os pentesters trabalhem em red teams/pentests mais exclusivos ou avançados. Além disso, esses processos automatizados permitem a validação de controle, o que reduz os custos e fornece aos pesquisadores um maior grau de segurança. Para acompanhar esse crescimento rápido, as empresas tradicionais precisarão acomodar a automação, desenvolvendo suas soluções ou buscando integrações com novos fornecedores do setor com foco em automação.

Métodos biométricos atuais aumentarão as penalidades e riscos de privacidade

Embora algumas organizações estejam atualmente adotando a análise comportamental do usuário final em suas redes, essas tecnologias podem ser caras e aumentar os riscos de brechas de privacidade. Os dados estão sendo coletados e processados no terminal, deixando-os suscetíveis a ataques. Em 2019, as organizações devem começar a adotar a autenticação contínua para proteger informações cruciais de identificação. Com essa tecnologia, os rastros biométricos dos usuários finais poderão determinar a identidade sem incorrer em brechas de privacidade, riscos e custos que a biometria tradicional ou a análise comportamental central geralmente enfrentam.

Proteja sua empresa em 2019! A Future é parceira dos maiores fabricantes de segurança, disponibilidade e performance do mundo! Clique aqui e entre em contato conosco.

Fonte: IT Forum 365.

Read More

Por que ransomware ainda é ameaça perigosa para empresas

Algumas previsões de especialistas, como da CSO Online, nos EUA, apontam que o ransomware deve perder força, à medida que criminosos mudam para outras formas de gerar receita. Mas o alerta ainda continua.

A Eset, fornecedora de detecção proativa de ameaças, aponta que, durante 2018, os criminosos continuaram a direcionar ataques de ransomware para grandes organizações. Por esse motivo, a empresa desenvolveu um relatório que explica porque o ransomware ainda é uma ameaça perigosa para as organizações, independentemente de seu tamanho, e o que elas podem fazer para reduzir a exposição e os danos que podem sofrer com este tipo de ameaças.

O relatório intitulado “RANSOMWARE: an enterprise perspective” adverte que há três vetores principais de investidas de sequestro de dados: acesso remoto, e-mail e cadeia de suprimentos.
Camilo Gutierrez, chefe do Laboratório de Pesquisa da ESET América Latina, destaca que compreender qual é o estado atual destes ataques, bem como sua evolução, é fundamental para manter os ativos das empresas seguros. “Embora haja crescimento na detecção de mineradores com criptomoeda, isso não significa que o ransomware é parte do passado, pois continua a ser uma ameaça muito séria para as organizações”, apontou.

Na prática

Em 2018, na cidade de Atlanta, nos Estados Unidos, cinco departamentos governamentais da cidade foram afetados por ataques de ransomware: Sistema Penitenciário, Gerenciamento de Bacias Hidrográficas, Recursos Humanos, Parques e Recreação e Planejamento Urbano. Diversas funções da cidade foram afetadas pelo problema, incluindo a capacidade de aceitar pagamento online de contas de água e multas de trânsito. O Wi-Fi do Aeroporto Internacional de Atlanta, Hartsfield-Jackson, foi desativado por uma semana. A cidade rejeitou os US$ 50 mil que os criminosos exigiam pelo resgate, mesmo assim, teve um impacto financeiro estimado em cerca de US$ 17 milhões.

Também em 2018, sequestros de informações afetaram várias organizações relacionadas aos setores estadual, governamental e educacional. Essas ameaças são conhecidas porque as entidades ligadas a essas áreas (bem como ao setor de saúde) geralmente têm a obrigação de tornar esses relatórios públicos. Embora as entidades privadas nem sempre sejam obrigadas a publicar essas informações, o relatório da Eset revela que, por parte das equipes de suporte, provedores de segurança e outras, o ransomware continua a ser uma ameaça dispendiosa e que existem muitas vítimas em todos os nichos de negócios.

“As ameaças no campo da segurança são cumulativas. O fato de haver criminosos tentando abusar dos recursos de processamento de dispositivos para minerar criptomoedas não significa que, por outro lado, não haja outros criminosos interessados em desenvolver e implementar técnicas de exploração de RDPs para criar um vetor de ataque lucrativo para o ransomware. Da mesma maneira, capacitar as organizações no uso do RDP não significa que não seja mais importante fazer o mesmo também contra o phishing”, indicou Gutierrez.

O que fazer

A Eset recomenda que, além das ações de treinamento, as organizações tenham políticas de segurança que sejam facilmente aplicáveis e controladas. Também indica que as empresas precisam ter produtos e ferramentas de segurança, incluindo testes de backup e sistemas de recuperação, além de um plano de resposta a incidentes que seja constantemente atualizado. “Embora a imunidade aos ataques não seja garantida, esse tipo de medida aumenta muito as chances de evitá-los ou de se recuperar rapidamente de um incidente”, concluiu o especialista.

Quer se proteger contra ransomwares? Conte com a Future! Clique aqui e entre em contato conosco!

Fonte: IT Forum 365.

Read More

É hora de aliar inteligência humana com a das máquinas

Os incidentes e ataques cibernéticos estão, dia a dia, mais complexos e desafiadores. Nesse contexto, é preciso que as empresas estejam preparadas para fazer a gestão correta desses potenciais eventos e, mais do que isso, que respondam a esses incidentes de forma eficaz por meio de ferramentas e plataformas adequadas e corretamente utilizadas.

Uma resposta a incidente sempre prioriza as frentes de qualidade e agilidade, mas essas frentes, em alguns momentos, podem entrar em conflito.

Quando uma resposta/atendimento é feita em um tempo menor, a qualidade pode cair. Quando a qualidade é priorizada, o tempo de solução pode aumentar.

Pensando nesse conflito, e visando uma forma de otimizar um Services Operation Center (SOC) e manter sempre qualidade + agilidade, muitas empresas estão optando por utilizar um SOAR.

O que é o SOAR?

O SOAR (Security Operations Automation e Response) é uma conjunção de ferramentas que vem ao encontro dessa necessidade das organizações de gerenciar todo o ciclo de vida de operações de incidentes de segurança, aliando, nesse processo, inteligência humana e o uso de tecnologia de automações com inteligência artificial.

Podemos dizer então que o SOAR, e suas diferentes funcionalidades dentro das organizações, têm como focos principais: a orquestração de diferentes tecnologias – específicas de segurança ou não – para a realização de um trabalho integrado; a automação e a centralização em uma só frente, evitando assim diversas dashboards e ferramentas.

Apesar de ainda ser pouco utilizado pelas organizações no Brasil, o SOAR vem apresentando um crescimento considerável em outros países. Relatório do Gartner divulgado recentemente estima que menos de 1% das grandes empresas usam atualmente as tecnologias SOAR.

No entanto, ainda segundo o instituto de pesquisa, até o fim de 2020, 15% das organizações com um time de segurança composto por pelo menos cinco pessoas utilizarão as ferramentas.

De acordo com o estudo, a tendência de alta está relacionada à escassez de funcionários na área, que é seguida em alguns casos da necessidade de expansão sempre com novas atividades ou clientes.

Essa tendência também está ligada ao crescimento contínuo de ameaças e ataques cibernéticos, ao aumento das regras de conformidade internas e externas, e ao crescimento constante de APIs em produtos de segurança.

SOAR e priorização de atividades

O SOAR veio para promover melhorias na área de segurança ao auxiliar, entre outras frentes, na priorização das atividades de respostas a incidentes. Estamos falando de ferramentas que não se encaixam hoje no dia a dia de empresas com baixa maturidade em relação à cibersegurança, uma vez que são necessárias, pelo menos, uma equipe dedicada e uma estrutura de segurança bem implantada.

Por essas razões, hoje, o mercado potencial para o SOAR são as grandes organizações, tendo provedores de serviços de segurança gerenciados como o principal alvo. Mas, com o tempo, equipes menores que enfrentam os mesmos problemas de ameaça à segurança também devem começar a adotar suas ferramentas.

Sem contar o grande aquecimento do mercado e a procura de mão de obra especializada nessa ferramenta. Uma prova disso foi a aquisição de uma das maiores empresas do ramo por uma das gigantes e mais conhecidas da frente do SIEM.

A Future pode auxiliar sua empresa na Gestão de Segurança! Clique aqui e conheça nossas Soluções de Serviços Gerenciados.

Fonte: CIO.

Blockchain pode acabar com senhas

Imagine uma empresa que possa verificar o histórico de um novo funcionário e integrá-lo com o clique de um único botão virtual ou com um cliente bancário que possa verificar a identidade para um empréstimo sem expor informações pessoalmente identificáveis ​​- novamente com um clique de botão.

Esse é o potencial que o blockchain detém para gerenciamento de identidade descentralizada. Isso é feito criando uma carteira digital que serve como um repositório para todos os tipos de dados pessoais e financeiros, informações que só podem ser compartilhadas após uma solicitação específica e somente com a permissão do proprietário.

A tecnologia blockchain de contabilidade distribuída (DLT) – em combinação com verificação de identidade digital – tem o potencial de resolver problemas de privacidade on-line que afetam desde as vendas ao consumidor e os regulamentos bancários a credenciais de funcionários que permitem acesso a sistemas comerciais confidenciais.

“Há vários fornecedores nesse espaço que estão no estágio inicial de P&D ou testam seus produtos em projetos-piloto. É muito cedo para declarar qualquer vencedor, por qualquer meio, porque apenas ter um produto em funcionamento não é suficiente. A identidade descentralizada requer um ecossistema vibrante, uma estrutura de confiança de identidade robusta construída em um ledger distribuído ou blockchain, ferramentas para suportar user-friendly funcionalidade e boa experiência de desenvolvedor para dar suporte à ampla adoção”, explica Homan Farahmand, diretor sênior de Pesquisa do Gartner.

Um considerável atributo de segurança de armazenar identidades digitais em um livro-caixa distribuído e criptografado é eliminar repositórios centrais para informações de contas de clientes, de acordo com Julie Esser, diretora de engajamento da CULedger. Esses repositórios são os principais alvos dos hackers.

Testando gerenciamento de identidades

Como outros CUSOs, CULedger é uma cooperativa de propriedade de várias associações de crédito com o objetivo de fornecer serviços de back-office. Ela foi criada há um ano para desenvolver uma plataforma de gerenciamento de identidade baseada em blockchain chamada My CUID. A plataforma deverá ser lançada no segundo semestre de 2019 e entregará as chaves para proteção de dados aos clientes que se inscreverem em um aplicativo.

Em outubro, o CULedger começou a testar o My CUID com cinco outras cooperativas de crédito. Eliminou a necessidade de nomes de usuário e senhas e liberou os call centers das cooperativas de crédito da obrigação de redefini-los quando um cliente os perde.

Como funciona

Um cliente novo ou atual, membro de uma cooperativa de crédito entra em contato com uma central de atendimento ao cliente, que envia uma mensagem de texto ao dispositivo móvel do cliente com um link para baixar o aplicativo My CUID.

Em seguida, o representante da cooperativa de crédito entrega ao cliente suas credenciais – uma carteira digital, que contém informações pessoalmente identificáveis ​​obtidas durante o contato inicial com o cliente. Essas informações são criptografadas e só podem ser acessadas com a autorização do membro, que é solicitada quando elas realizam uma transação.

Cada vez que um cliente usando o My CUID entra em contato com a cooperativa de crédito – ou vice-versa – o smartphone ou tablet recebe um diálogo pop-up solicitando que ele confirme sua associação antes que qualquer transação seja concluída.

“Você clica em OK ou Não OK. Não parece muito diferente do que acontece com outros aplicativos em um telefone. Tudo é baseado em canais criptografados que criamos, o que é muito legal. Você está criando um canal de comunicação seguro bidirecional. Então, não apenas sua cooperativa de crédito sabe que é com quem eles estão conversando, mas você também sabe que é a sua união de crédito chamando você”, explica Julie.

A CULedger estabeleceu uma meta de emissão de um milhão de identidades digitais para membros de cooperativas de crédito em 2019. Como as cooperativas de crédito devem cumprir as regulamentações federais do Know-Your-Customer, o serviço de ID digital baseado em blockchain também cumpriria a conformidade regulatória.

Além de dar ao cliente controle sobre sua identidade, entregando-lhes as chaves de criptografia blockchain, o aplicativo elimina a necessidade de nomes de usuário e senhas e reduz drasticamente o tempo que leva para um representante do call center de uma associação de crédito autenticar um membro.

Um representante pode levar de 60 a 90 segundos para autenticar um membro antes que uma transação seja iniciada. Isso pode ser reduzido para 5 segundos ou menos com My CUID, de acordo com a executiva. “Não é uma experiência agradável telefonar para um call center porque o cliente é recebido com 20 perguntas para identificar quem você é, então é um processo complicado que precisa ser corrigido”.

Tradicionalmente, as cooperativas de crédito e outras empresas de serviços financeiros contam com prestadores de serviços terceirizados para serviços de autenticação de call center e clientes, muitos dos quais localizados fora dos EUA. O CULedger colocaria o controle nas mãos das cooperativas de crédito membros.

Em 2019, a CULedger planeja começar a construir sua rede de permissão de produção. Atualmente, está considerando várias plataformas blockchain, incluindo o serviço Hyperledger Fabric, da IBM, e o Corda , da R3 , o maior consórcio comercial entre bancos, seguradoras e outras empresas de serviços financeiros. A CULedger também está pensando em trabalhar com a Hedera Foundation , criadora do Swirlds , uma plataforma de software para criação de aplicativos distribuídos (dApps).

O Swirlds é baseado no protocolo Hashgraph , um DLT adequado para o setor de serviços financeiros porque pode processar mais de 100.000 transações por segundo, ao contrário do bitcoin, que processa de três a quatro transações por segundo.

“Precisamos da capacidade de conduzir transações instantaneamente – em tempo real. Planejamos criar nossa própria plataforma, mas com o foco em uma peça de identificação descentralizada, isso nos permite não recriar a roda. Pode haver alguns aplicativos que exigem diferentes plataformas [blockchain]”, diz Julie.

Identidade

Para os consumidores que estão conscientes de suas informações online – números de cartão de crédito, data de nascimento, renda anual etc – blockchain tem o potencial de identidades “autossoberanas” como CULedger está criando, ou seja, o usuário controla quem pode ver seus dados ou obter aprovação de compra sem liberar seus detalhes de renda.

As identidades autônomas funcionam assim: o usuário tem um banco que confirma um limite de crédito ou um empregador confirma o rendimento anual. Essa confirmação é então criptografada, mas disponível, em um ledger blockchain público no qual o consumidor mantém as chaves criptográficas privadas e públicas.

Se um comprador quer um empréstimo de carro de uma concessionária de automóveis, por exemplo, o consumidor pode dar a ele permissão por meio de uma chave pública para confirmar que tem crédito suficiente ou renda anual sem revelar um valor exato em dólar.

Assim, se o vendedor de automóveis quiser garantir que um consumidor ganhe mais de US$ 50 mil por ano, isso é tudo que o livro-razão blockchain confirmará (não que eles realmente ganhem US$ 72.587).

A técnica de confidencialidade é conhecida como prova de conhecimento zero (ZKP), uma tecnologia de criptografia que permite ao usuário provar que fundos, ativos ou informações de identificação existem sem revelar as informações por trás dele. A Ernst & Young criou um protótipo blockchain público que planeja lançar em 2019, para que as empresas usem ZKPs para concluir transações comerciais de forma confidencial.

Em expansão

Farahmand, do Gartner, disse que identidades autônomas baseadas em registros distribuídos de blockchain estão sendo usadas para todos os tipos de usos das empresas, incluindo novos contratados.

Cada vez que um novo funcionário é contratado, um novo identificador descentralizado é gerado pelo empregado e passado para a empresa. Esse identificador pode então ser propagado dentro dos sistemas internos de autenticação de usuários para a rede corporativa e aplicativos.

“Isso pode ser uma proposta poderosa, pois acelera o processo de integração e as atividades subsequentes de gerenciamento do ciclo de vida da identidade, além de permitir autenticação sem senha. Também ajuda na convergência de várias pessoas relevantes para a organização”, disse Farahmand, explicando que os IDs digitais podem ser usados ​​para acessar vários sistemas dentro de uma empresa com base em permissões baseadas na organização.

Um padrão de design popular para identidade descentralizada é composto por um identificador central e um conjunto de identificadores “emparelhados”, cada um para um relacionamento que o usuário tenha com uma organização. Identificadores emparelhados são derivados criptograficamente do identificador central.

O identificador de pares permite que um sistema corporativo monitore exclusivamente a identidade de um usuário para cada relacionamento e potencialmente evite a correlação da atividade do usuário entre diferentes relacionamentos, permitindo princípios de privacidade por design no nível do protocolo.

Por exemplo, um funcionário do banco pode ser um cliente do banco ao mesmo tempo usando o mesmo ID de autossoberania. As duas personas são tipicamente representadas por duas identidades digitais em dois sistemas em silos – um como funcionário e outro como cliente do banco.

“No caso de um modelo de identidade descentralizado, a mesma pessoa pode ter dois conjuntos de identificadores mapeados para a mesma identidade digital central, o que pode potencialmente simplificar a reconciliação das atividades do usuário”, frisa Farahmand.

Outro benefício é a capacidade de simplificar cenários B2B em que um funcionário de uma organização pode ter acesso a sistemas em outro. Se a organização anfitriã confiar na identidade descentralizada que é atestada pela organização convidada, então um novo identificador descentralizado por pares pode ser gerado para autenticar o usuário, simplificando a governança de acesso para clientes corporativos ou outros parceiros.

Fonte: IT Forum 365.

Read More

As apostas da Pure Storage para armazenamento flash em 2019

A Pure Storage, fornecedora de plataforma de dados totalmente flash para a era da nuvem, montou suas previsões sobre a tecnologia e o mercado de TI em 2019.

A lista inclui maior adoção de Inteligência Artificial, arquitetura híbrida com soluções multicloud mais robustas, investimentos em tecnologias de contêineres e protocolo de memória não-volátil expressa para tecnologia flash (NVMe), que já é um padrão em toda a linha FlashArray da empresa. Segundo a Pure, o próximo ano também deve ser decisivo para organizações que ainda não adotaram uma política sólida de armazenamento.

A Inteligência Artificial está reinventando a maneira como trabalhamos, redefinindo as estratégias de negócios e ajudando as organizações a compreender o volume cada vez maior dos seus dados. O grande desafio é a falta de cientistas de dados e especialistas neste mercado. Um estudo da Pure Storage em parceria com o MIT Tech Review Insights, revelou que a falta de recursos de talentos se tornou uma barreira que impede a melhora de gerenciamento de dados nas empresas.

Para suprir essa necessidade, é esperado que as empresas de todos os tamanhos e setores trabalhem em conjunto com instituições de ensino, para garantir que os cursos preparem os alunos com as habilidades necessárias para o cenário atual, com estágios específicos em inteligência artificial e disciplinas flexíveis que acompanhem as mudanças tecnológicas em tempo real.

Além disso, devem surgir no mercado novas ferramentas para simplificar a adoção da IA e reduzir a curva de aprendizado de novos talentos. Enquanto isso, infelizmente, os melhores profissionais permanecerão monopolizados por grandes empresas, o que pode gerar um vácuo de inovação para as startups e para os pequenos e médios negócios.

2019 multi-cloud

No que se refere à nuvem, a tendência é que as empresas invistam em soluções multi-cloud mais robustas e unificadas, para simplificar e tornar mais flexível a movimentação de dados entre nuvem pública e o armazenamento local. A chegada de uma arquitetura verdadeiramente híbrida criará um ambiente que combine a agilidade e a simplicidade da nuvem pública com a funcionalidade do on-premise. Neste universo de nuvem híbrida, as aplicações podem ser desenvolvidas uma única vez e implantadas em nuvens pública ou privada, independente de onde estiverem os dados.

Ainda falando de nuvem híbrida, as tecnologias de contêineres provaram ser muito atraentes, particularmente em ambientes de DevOps, mas a falta de armazenamento prejudicou a adaptação a muitas aplicações de produção das empresas, o que impediu a evolução da tecnologia. Apesar disso, a entrega de armazenamento automatizado, inteligente e escalável torna possível a implementação de ambientes de contêiner em larga escala em um data center corporativo.

Para 2019, a Pure Storage acredita que a adoção desta tecnologia será impulsionada pela demanda por implantações econômicas em ambientes de nuvem híbrida, com capacidade de executar aplicativos com mais flexibilidade, tanto on-premise quanto na nuvem pública.

Para empresas que buscam melhor desempenho, menor latência e menos sobrecarga de computação, a atenção deve se voltar ao protocolo de transferência de dados NVMe over Fabric (NVMe-oF), com vantagem significativa de custo-benefício e garantia de rapidez em banco de dados, ambientes virtualizados e de contêiner, iniciativas de teste e de desenvolvimento, além de aplicações na web.

Infraestrutura é a chave

No cenário atual, todas as empresas são movidas por dados e o sucesso do negócio depende de uma infraestrutura ideal para acessar e gerenciar esses volumes. Existe a complexidade da TI, que tradicionalmente não foi construída para atender ao intensivo uso de dados e resultou em uma infraestrutura fragmentada, com “divisões de nuvens”, que força as empresas a optarem entre uma ou outra solução. A Pure Storage acredita que em 2019 haverá uma expansão no desenvolvimento de soluções que unifiquem diferentes ambientes de nuvem e permitam uma migração simplificada de aplicações dos ambientes locais para multicloud e vice-versa.

Além disso, os parceiros também devem desempenhar um papel fundamental para ajudar os clientes com a implementação de um ambiente híbrido adequado, com garantia de entrega de uma infraestrutura de TI moderna. Já os canais devem continuar a investir em serviços de valor agregado, como migração, implantação, instalação e recuperação de desastres, que criam e asseguram o desempenho dessas soluções integradas.

Quer conhecer as Soluções da Pure Storage para 2019? A Future é parceira da Pure Storage! Clique aqui e entre em contato conosco.

Fonte: ComputerWorld.

Read More

Impactos das mudanças na Lei de Proteção de Dados Pessoais

Quem acompanha de perto as estratégias políticas predominantes em nosso país, sabe que, há vários anos, se tornou hábito sancionar pacotes de medidas provisórias no término de mandato presidencial ou final de ano letivo. Portanto, não chegou a ser surpresa a edição da Lei de Proteção de Dados Pessoais – LGPD – Lei 13709/18 – via a publicação da Medida Provisória 869 em 28/12/2018, que trouxe novidades relevantes àquelas organizações ou pessoas físicas que são alvo da lei.

A MP 869/18 teve por objetivo preencher uma lacuna importantíssima, decorrente do veto presidencial que revogou a criação da Agência Nacional de Proteção de Dados – ANPD. A justificativa do veto era que o Poder Legislativo não tinha poderes para propor a criação de uma autarquia vinculada ao Ministério da Justiça, que por sua vez, exercesse suas atividades com independência orçamentária. Daí a fórmula estratégica adotada na Medida Provisória, foi modificar a vinculação hierárquica do órgão mudando o conceito original, para vinculá-lo diretamente com a Presidência da República, sem aumento de despesas à União e com autonomia técnica.

Esta escolha indubitavelmente afetará a autonomia, independência e as decisões de caráter essencialmente técnico inerentes ao tema, em relação ao conceito previsto na primeira versão da Lei de Proteção de Dados Pessoais. Fica no ar uma dúvida: até que ponto uma futura decisão política da Presidência da República poderá suplantar uma análise técnica e independente sobre o escopo da LGPD?

Em outras palavras, a vinculação direta com a Presidência da República, poderá diminuir o alcance do poder das decisões da ANPD, sobretudo se comparado, por exemplo, com a atuação do CADE, quanto a fixação das penalidades ou decisório sobre temas essencialmente técnicos e avessos a interesses políticos?

A formação multissetorial do Conselho Nacional de Proteção de Dados mitiga a influência do Poder Executivo sobre as decisões tomadas pela Autoridade, mas pode não ser suficiente para impedir o sufocamento da autonomia do órgão.

A ANPD não terá função apenas reguladora, mas também sancionadora das penalidades previstas quanto a violação do tratamento de dados pessoais, em busca de efetividade ao controle e fiscalização. Órgãos com funções semelhantes já existem em mais de cem países, que já haviam aprovado anteriormente ao Brasil legislações correlatas para regulamentar a coleta de dados online e offline, o tratamento e transferência internacional de dados, a privacidade, além da implantação de mecanismos de proteção que assegurem ao titular meios para exercer seus direitos e evitar o uso inadequado ou abusivo de seus dados pessoais.

Os pontos relevantes modificados pela Medida Provisória 869/2018, para aqueles que deverão se adequar à Lei Geral de Proteção de Dados Pessoais, que entrará em vigor a partir de 15 agosto de 2020, são os seguintes:

1. Aumento do prazo para adequação aos requisitos da LGPD

A exemplo do que ocorreu na União Europeia, o prazo para a vigência efetiva da LGPD, foi dilatado de dezoito para vinte e quatro meses, ou seja, as adequações necessárias deverão ser efetivadas até 15 de agosto de 2020.

2. Ampliação do escopo de aplicação da LGPD

A primeira versão da LGPD teve o escopo bem ampliado para definir quem deveria se sujeitar ao seu cumprimento. Ou seja, serão alvo da lei aqueles cuja atividade de tratamento de dados tenha por objetivo, a oferta ou o fornecimento de bens ou serviços ou o tratamento de dados de indivíduos localizados no território nacional. Anteriormente o foco se restringia apenas aos dados pessoais, cujo objeto do tratamento tenha sido coletado no território nacional.

3. Mudança quanto ao perfil do encarregado da Proteção de Dados Pessoais

A MP 869/18 modificou a atribuição do perfil deste profissional, que deverá existir em todas organizações que se submeterem à LGPD. Este encarregado exercerá o cargo de representante legal para interlocução junto a ANPD além diversas atividades operacionais previstas na lei. Ao contrário do que se interpretava inicialmente, sobre qual deveria ser a relação desta figura com a empresa, restou claro que este encargo não é mais referenciado como sendo contratação como celetista ou de exclusividade de uma pessoa natural. Com as mudanças, está claro que esta atividade poderá ser terceirizada, seja para um escritório de advocacia, prestador de serviço, comitê ou até mesmo um grupo de trabalho especializado sobre o tema.

4. Autorização para que entidades privadas possam tratar dados pessoais sensíveis

A MP 869/18, revogou o trecho da LGPD que impedia que entidades privadas tratassem dados pessoais referentes a órgãos públicos, tais como: segurança pública, defesa, segurança ou atividades de investigação e repressão de infrações penais.

Algumas destas mudanças recaem sobre os dados sensíveis, que informações sobre origem racial ou étnica, convicções religiosas, opiniões políticas, saúde ou vida sexual.

5. Flexibilização quanto ao tratamento de dados pessoais no setor da saúde

A norma também ampliou a possibilidade do tratamento de dados pessoais sensíveis na área da saúde. A versão anterior da LGPD proibia a comunicação ou o uso compartilhado de dados sensíveis do setor da saúde, com o objetivo de obter vantagem econômica, exceto com o consentimento do titular nos casos de portabilidade.

Agora, a exceção foi ampliada e passa a valer também para casos de necessidade de comunicação para a adequada prestação de serviços de saúde suplementar, ou seja, as atividades que demandem a necessária troca de dados de vários serviços públicos de saúde suplementar.

6. Alcance da atuação da Agência Nacional de Proteção de Dados

A ANPD terá atribuições para criar normas regulamentadoras da Lei Geral de Proteção de Dados, tornando-a mais efetiva, além de determinar as diretrizes específicas que atendam as necessidades de cada ramo de atividade que trata com determinadas informações pessoais de brasileiros, de acordo com sua área de prestação de serviço.

7. Exclusividade da Agência Nacional de Proteção de Dados para aplicar sanções

A ANPD atuará como o órgão central de interpretação das questões relativos à LGPD, podendo requisitar informações, relatórios sobre o tratamento de dados ou qualquer outro diligenciamento dirigido aos controladores e operadores que exerçam o tratamento de bases de dados pessoais, para exercício de suas atividades.

A agência terá exclusividade para aplicar sanções na hipótese de tratamento de dados em descumprimento à legislação, mediante processo administrativo. A Medida Provisória prevê ainda que a atuação da Agência seja articulada com o Sistema Nacional de Defesa do Consumidor e com outros órgãos e entidades ligadas ao tema de proteção de dados pessoais.

Esta exclusividade legal hoje conflitaria, com o papel exercido pelo Ministério Público, que tem atuado de forma proativa, mesmo antes da vigência da lei, para propor termos de ajustes de conduta e multas em caso de vazamento ou outros incidentes envolvendo dados pessoais.

8. A possibilidade de requisição de relatórios de impacto à proteção de dados

Segundo a versão anterior da LGPD, a Autoridade Nacional de Proteção de Dados poderia requisitar ao Poder Público ou as empresas, a apresentação de relatórios de impacto à proteção de dados, nos casos de tratamento de dados para fins públicos e de segurança. Com a nova redação, essa possibilidade deixa de existir, o que dificultará a fiscalização das atividades dos órgãos públicos ou empresas que estejam operando estes dados.

9. Obrigações quanto a transparência das comunicações para o titular dos dados nos casos de cumprimento de obrigação legal e política pública

A obrigação dos controladores de dados pessoais em informar ao titular de forma clara e transparente acerca de qualquer atividade quanto ao tratamento de dados foi reduzida. Com a mudança, não será mais necessário alertar ou buscar o consentimento do titular, quando seus dados forem tratados para fins de cumprimento de obrigação legal ou de política pública.

10. Tomada de decisões automatizadas sobre revisão de dados pessoais

O direito do titular à revisão de seus dados pessoais se mantém, mas esta atividade não demandará ser exercida obrigatoriamente por uma pessoa natural. Ou seja, poderá ocorrer atendimento sistêmico para sanar estas dúvidas.

Foi excluída a possibilidade da ANPD de conduzir auditoria, para verificação de aspectos discriminatórios no tratamento automatizado de dados pessoais. Entretanto, a autoridade poderá a qualquer momento requisitar informações acerca do assunto aos controladores e operadores.

11. Uso compartilhado de dados pessoais pelo poder público

Está preceituado na Medida Provisória, a transferência de dados pessoais de responsabilidade do Poder Público para entidades privadas. Será necessário, entretanto, que sejam atendidos os seguintes requisitos: i) o ente privado ter um encarregado; (ii) havendo previsão legal ou em instrumentos jurídicos administrativos; (iii) quando a transferência for para fins de prevenção à fraude, segurança e integridade do titular dos dados; e (iv) dados forem publicamente acessíveis.

Conclusão

Em resumo, se por um lado a MP 869/18 ampliou o prazo para a adequação à Lei de Proteção de Dados Pessoais em seis meses, por outro, a lacuna que faltava para garantir a maior efetividade do poder regulatório sobre dados pessoais em nosso país foi preenchida.

É inegável as mudanças no texto da LGPD flexibilizaram as operações envolvendo dados pessoais em vários níveis, sobretudo criando diversas vantagens para o Poder Público em suas atividades operacionais.
Ainda é duvidoso o alcance da autonomia que uma autoridade fiscalizadora de um absolutamente tema técnico, submissa a Presidência da República onde, como se sabe sempre prevalece o aspecto político como centro das decisões.

Embora a Medida Provisória 869/18 tenha aplicação imediata, sua conversão em lei, está sujeita a aprovação do Congresso Nacional no prazo máximo de 60 dias, o que significa dizer que sua aprovação será na próxima legislatura.

Sabemos que as diversas obrigações legais que estarão vigentes, afetarão inúmeras atividades operacionais de todos aqueles que se sujeitam à lei, ainda não foram nem de longe sanadas ou sequer analisadas de modo a dar início a rota pela conformidade.

Aqueles que exercem o poder decisório se tornaram alvo de possíveis sanções sobre proteção de dados pessoais tratados em suas organizações. Porém, estes ainda não foram sensibilizados sobre o tema. Sobretudo, devido a um equívoco costumeiro de confundir o assunto como sendo mais um projeto da área de tecnologia da informação. Esta premissa é falsa.

Na verdade, a adoção de medidas protetivas quanto aos dados pessoais deixou de ser uma boa prática para ser tornar obrigação legal. Estas atividades se somam a reputação na mídia digital, segurança cibernética, compliance para formar a estratégia de governança digital corporativa.

Como se sabe, governar não é atribuição operacional dos encarregados de tecnologia da informação, mas sim do board que exerce o poder decisório. Na maioria das vezes estes sequer sabem disso, a não ser que um dia uma sanção lhes venha a ser aplicada.

Isto não é um problema atinente apenas a quem exerce o poder decisório, mas também do titular de dados que sequer ainda amadureceu para conhecer de fato os seus direitos e possíveis violações.

O caminho da conformidade legal para a proteção de dados pessoais no Brasil é muito mais longo do que se imagina. Se existia um óbice legal em retardar que as empresas começassem esta rota, devido ao veto quanto a criação da Agência Nacional de Proteção de Dados pessoais, este óbice já não mais existe. O timer está ligado e o período de adequação é muito mais curto do que parece.

Você está preparado? Sua empresa está preparada? A Future é parceira dos maiores fabricantes de segurança, disponibilidade e performance do mundo; e está pronta para auxiliar na adequação de sua empresa a LGPD! Clique aqui e entre em contato conosco!

Fonte: CIO.

Read More

LGPD deve liderar investimentos em cibersegurança em 2019

O assunto segurança da informação tem ganhado destaque dentro das empresas – seja pelo bem ou pelo mal. O ano de 2018, por exemplo, registrou inúmeros casos de vazamento de dados que resultaram em prejuízos financeiros e desgastes para a reputação de grandes empresas.

Para a Blockbit, fornecedora global de produtos de cibersegurança, esses incidentes representam desafios ainda maiores para organizações nos próximos anos.

Marcel Mathias, Diretor de P&D da Blockbit, comenta que, no Brasil, a partir de 2019 as empresas precisarão definir investimentos para estar em compliance com a LGPD (Lei Geral de Proteção de Dados) – recentemente aprovada pela Presidência da República -, protegendo clientes de forma adequada, prevenindo o vazamento de dados e evitando severas penalidades.

Para o especialista, empresas passarão a se preocupar mais com a proteção de dados por conta do reforço da lei. “Mas essa é uma mudança boa para o mercado, pois nos últimos anos vimos inúmeros incidentes ocorrer por falta de adoção de medidas de segurança da informação, seja em relação a tecnologia basilar, seja em relação a gestão eficaz”, disse.

Liderada pela adaptação à LGPD, as seis tendências de cibersegurança para 2019 são:

Privacidade com transparência

A LGPD determina a adoção de medidas técnicas de segurança, mas não define quais. E para definir medidas adequadas, as empresas precisão aumentar a visibilidade sobre o seu ambiente de TI. As ferramentas de proteção ativa contra ameaças (detecção) serão importantes, mas também as de gestão de vulnerabilidades (prevenção) e registro de atividades (auditoria). Segundo Mathias, além da proteção, para estar em conformidade as organizações também devem estar preparadas para reportar eventuais incidentes e ataques aos órgãos competentes. “Esse estágio também demanda tecnologia integrada a todas as ferramentas e garante não apenas a conformidade com a lei, como mais transparência”, apontou.

Menos complexidade na gestão de cibersegurança

“As empresas devem estar preparadas para ameaças cada vez mais avançadas, mas precisam de soluções que simplifiquem suas análises, tornando a tomada de decisão mais ágil”, alertou o executivo. Para ele, os próximos anos serão decisivos para posicionar a segurança da informação como fator estratégico para as empresas. Para investir mais em cibersegurança, o mercado demandará soluções mais integradas, que diminuam a complexidade da gestão de segurança e overhead financeiro e técnico.

Segurança no escopo

Mathias alerta também para a necessidade urgente que é adotar segurança desde o escopo de desenvolvimento (security by design) de qualquer produto ou serviço. Tecnologias como internet das coisas (IoT), computação em nuvem e soluções para mobilidade avançam ano a ano e será preciso oferecer uma experiência mais segura para os usuários.

Máquinas inteligentes

Outra tendência crescente é o uso de machine learning, mas esta é uma faca de dois gumes. Por um lado, a indústria está evoluindo e empregando técnicas baseadas em aprendizado de máquina para detectar ameaças e ataques. Por outro, esse mesmo aprendizado pode ser aplicado pelos criminosos, para desenhar e customizar suas técnicas. Ou seja, como é utilizada para garantir a segurança das informações, a tecnologia também será aplicada para desenvolver ataques cada vez mais sofisticados.

A onda de sequestros virtuais continua

Ransomware continuará a preocupar nos próximos anos, porém inaugurando uma nova era de ataques mais direcionados. Com a perspectiva maior retorno financeiro, os alvos serão principalmente as pessoas jurídicas e os ataques mais customizados.

Contudo, a onda de sequestros abrangentes não perderá força, porém a principal ameaça será o criptojacking, um golpe baseado na exploração de dispositivos (mobile e desktop) para minerar criptomoeadas. A diferença desta técnica é que não interessa ao atacante bloquear as funções do dispositivo, como no caso do ransomware. Ao contrário, interessa a exploração anônima de um dispositivo em pleno funcionamento, para minerar por mais tempo.

Em ambos os casos, haverá uma grande demanda de uso de serviços de Threat Intelligence, monitorando atividades na Deep Web, onde há uma rede de troca de informações e venda de aplicações maliciosas para promover estes tipos de ataque.

Atenção às técnicas básicas

Embora não sejam novidades, ataques distribuídos (DDoS), ataques baseados em força bruta e, principalmente, as técnicas a serviço da engenharia social, que focam na camada humana, continuarão crescendo. A evolução dos formatos de phishing e fraudes cibernéticas é um grande ponto de atenção e demanda que as empresas sejam diligentes na gestão de segurança e incentivem os seus usuários a conhecer mais sobre cibersegurança. “O aperfeiçoamento na engenharia social é constante, pois funciona como uma primeira etapa para diversos tipos de golpes, explorando a camada mais suscetível a falhas, que é o usuário”, finalizou Mathias.

Quer investir em cibersegurança em 2019 e adequar sua empresa ao LGPD? Conte com uma consultoria Future! Somos parceiros dos maiores fabricantes de segurança, disponibilidade e performance do mundo! Clique aqui e entre em contato conosco.

Fonte: ComputerWorld.

Read More

3 maneiras que os líderes podem construir segurança cibernética

O ano de 2018 presenciou uma mudança constante na segurança cibernética e na privacidade: do back office ao front office, da seção de tecnologia e do departamento de TI à sala de reuniões.

Uma pesquisa da PwC mostrou que líderes empresariais em todo o mundo consideraram as ameaças cibernéticas como uma das suas principais preocupações. O Relatório de Riscos Globais do Fórum Econômico

Mundial para 2018 também relatou que ataques cibernéticos e violações de dados em grande escala seriam cada vez mais prováveis em meio à crescente dependência cibernética.

Olhando para trás, é incrível como as preocupações cibernéticas predominantes se tornaram realidade nos meses seguintes. Também houve um reposicionamento significativo: enquanto as ameaças cibernéticas continuam a ser uma grande preocupação comercial, os desenvolvimentos ocorridos em 2018 trouxeram à tona preocupações para grupos mais amplos de interessados em toda a sociedade. Uma mudança ocorreu nas atitudes dos consumidores digitais – com muito mais atenção sobre como os dados são acessados, protegidos e usados, bem como os impactos desse tratamento de dados.

Isso representa uma oportunidade para as empresas se estabelecerem como líderes digitais para ajudar a enfrentar os desafios. Para fazer isso, eles precisam mudar de um foco de proteção na segurança da informação para um foco mais proativo na criação de confiança digital.

Insights de confiança digital

A pesquisa Digital Trust Insights, lançada recentemente, traz opiniões sobre esse tópico de 3 mil líderes empresariais em 81 países e em todos os principais setores. O estudo mostra que, embora a maioria das empresas atualmente não esteja fazendo o suficiente para construir a confiança digital, existem claras oportunidades de fazê-lo.

Em um nível básico, essas oportunidades se resumem a melhorias em três áreas principais que farão ou quebrarão a confiança digital em qualquer organização: pessoas, processos e tecnologia. A confiança em todos os três é fundamental para construir um mundo digital seguro.

Isso levanta três questões importantes que os líderes precisam perguntar a si mesmos e a suas organizações para ajudar a determinar se eles estão posicionados para se tornarem líderes no futuro digital.

1. Você permite que as pessoas em sua organização ajudem a construir a confiança digital?

Organizações em todo o mundo estão justamente procurando melhorar seu desempenho através da transformação digital. O principal fator que decide o sucesso desses projetos são as pessoas, inclusive quando se trata de gerenciar o risco cibernético.

Mais de 90% dos entrevistados em empresas que estão passando por transformação digital dizem que incluem pessoal de segurança e privacidade como interessados nos projetos, mas apenas 53% dizem que praticam gerenciamento proativo de riscos “totalmente desde o início” de suas transformações digitais.

As organizações fariam bem em garantir que tivessem os líderes certos no lugar e intensificassem seus esforços para aumentar a conscientização e a responsabilidade dos funcionários em relação à segurança cibernética e à privacidade. Atualmente, menos da metade dos entrevistados está muito satisfeita com a empresa ter identificado adequadamente os executivos responsáveis pela segurança cibernética (39%) e privacidade (40%) – e apenas 34% dos entrevistados disseram que sua empresa possui um programa de treinamento de conscientização de segurança.

Organizações inteligentes estão oferecendo treinamento de habilidades digitais para preparar seu pessoal para o futuro. Eles também estão aumentando a conscientização em sua força de trabalho sobre segurança cibernética e privacidade usando mensagens diretas, o que é memorável o suficiente para influenciar o comportamento e evita invocar a chamada fadiga da segurança – o cansaço ou relutância em lidar com a segurança do computador.

2. Você está engajando processos de negócios para construir confiança digital?

As questões de segurança cibernética e privacidade são cada vez mais essenciais para qualquer organização e, ainda, poucas tomaram as medidas necessárias para garantir que seus processos de negócios ajudem a construir a confiança digital. Apenas uma pequena minoria de empresas (23%) diz que planeja novos investimentos este ano para alinhar as precauções de segurança aos objetivos de negócios.

A maioria dos especialistas em riscos cibernéticos e privacidade disse que a empresa forneceu à diretoria as estratégias necessárias, mas admitiu dúvidas sobre relatórios internos sobre métricas de segurança cibernética e privacidade. Menos de 30% dos entrevistados disseram que estão muito confortáveis com o fato de o conselho estar recebendo relatórios adequados sobre métricas para gerenciamento de riscos cibernéticos e de privacidade.

3. Seus controles estão acompanhando a tecnologia emergente?

As empresas estão se reinventando por meio de transformações digitais e da aplicação de tecnologia emergente. Mas eles estão se abrindo para novos riscos, mesmo quando buscam novas oportunidades?

De acordo com o estudo, a maioria dos líderes de negócios afirma que as tecnologias emergentes são críticas para os negócios, mas poucas estão muito confiantes de que possuem controles suficientes de “confiança digital” para sua adoção.

Por exemplo, 81% dos executivos consideram a internet das coisas (IoT) fundamental para seus negócios, mas apenas 39% estão muito confiantes de que possuem todos os controles certos para adotá-la com segurança. O mesmo vale para a inteligência artificial, com 70% dos entrevistados dizendo que é fundamental para pelo menos alguns dos seus negócios, mas apenas 31% estão muito confortáveis em construir controles de confiança digital suficientes para sua adoção.

Quer melhorar a segurança da informação na sua empresa? A Future é parceira dos maiores fabricantes de soluções de segurança do mundo! Clique aqui e entre em contato conosco.

Fonte: IT Forum 365.

Read More

Receba conteúdos exclusivos