Como criar uma cultura de melhora contínua da segurança?

Os recentes ataques às redes das empresas de saúde Anthem e na Premera Blue Cross são os estudos de caso mais recentes que demonstram a convergência necessária de TI com as operações de segurança. Esse é um dos exemplos que os profissionais de segurança deveriam divulgar para mostrar o que pode acontecer com uma rede.

A equipe de operações de rede pode ser o melhor recurso do departamento de segurança, pois é ela que vai ajudar a entender melhor as operações de segurança de uma empresa, algo que as soluções tradicionais de segurança e práticas recomendadas não conseguem oferecer sozinhas. Conseguir entender o que é uma atividade “normal” da rede é fundamental para a identificação rápida de atividades suspeitas que apontam para um invasor malicioso, de dentro ou de fora da empresa, ou causadas por erro de um funcionário inocente que acabou resultando em roubo, perda ou vazamento de dados.

Preencher o hiato entre o Centro de Operações da Rede (NOC) e o Centro das Operações de Segurança (SOC) não é só um desafio em termos de tecnologia, mas também organizacional. Para promover essa colaboração é preciso: eliminar os silos que separam os sistemas e o pessoal, criar equipes comuns de resposta a emergências compostas por pessoal da área de operações de rede e de segurança e implantar um plano a longo prazo para aprimoramento constante dos processos e treinamento.

Em um organograma típico de TI, o departamento de operações de rede é responsável por garantir o desempenho do sistema e a disponibilidade das informações, enquanto o de segurança das informações protege os sistemas e grupos de informações contra ameaças. Entretanto, a série de brechas/ameaças sofisticadas contra grandes empresas nas áreas de Varejo, Serviços Financeiros e Saúde, no ano passado, mostram que haverá uma mudança.

Na maioria dos casos, as empresas nem percebem que foram invadidas até que um terceiro avise. A própria Anthem descobriu a invasão quando um administrador de banco de dados notou que alguém havia iniciado uma consulta usando a sua conta. Mas o invasor já havia passado seis meses em silêncio roubando informações.

O mais importante para qualquer empresa é a necessidade de avaliar sua habilidade de detectar atividades na rede que possam indicar violação de dados. Essa capacidade é reduzida pelo fato de que as operações de segurança e da rede normalmente acontecem em silos. Isso significa que a vulnerabilidades de segurança precisam ser tratadas duas vezes: uma pela equipe do SOC e depois pela equipe do NOC, que não consegue identificar a ameaça. Além disso, a maioria dos sistemas e aplicativos opera dentro dos seus silos e não se comunica entre si. Por esse motivo, TI não consegue agilizar e automatizar o compartilhamento de informações nem correlacionar os eventos entre as vulnerabilidades de segurança e os problemas de desempenho.

O primeiro passo para superar esse obstáculo organizacional é reconhecer o valor da equipe de rede nas operações de segurança. Eles têm visibilidade e acesso a dados forenses que simplesmente não existem em outras partes de uma empresa. Uma vez que a liderança reconheça isso, é só começar a utilizar as ferramentas e processos para integrar os recursos da rede aos processos de segurança. Parece simples, mas é muito importante entender claramente o que é uma situação normal para impedir atividade potencialmente nociva na sua rede.

As equipes de segurança devem trabalhar para usar os investimentos da equipe de rede em agentes de captura de pacotes, analisadores de pacotes, origens de fluxo de rede e monitoramento do desempenho de profunda inspeção de pacotes. Normalmente eles podem ser bem integrados em um sistema de Gerenciamento de Eventos de Incidentes de Segurança (SIEM) para visibilidade com alta fidelidade e rápida visualização de problemas para uso forense.

A brecha na Premera serve como aviso para os profissionais de segurança da informação, que unindo forças com a equipe de rede, não se descuidem da necessidade de continuar com a tradicional diligência devida. A Premera não instalou os patches de segurança mais recentes, deixando assim a porta aberta para os invasores.

Uma Mudança de Cultura

Com o objetivo de promover a colaboração, as funções e responsabilidades devem ser claras dentro das equipes do NOC e SOC, com o devido suporte de apoios ativos. No entanto, não basta apenas documentar, você tem que usá-los, analisar os principais pontos fracos e melhorá-los sempre. As equipes conjuntas de resposta a emergências possibilitam maior visualização, maior conhecimento do ambiente, coleta mais rápida de dados, análise mais detalhada e, obviamente uma postura mais sólida com relação à segurança das informações. Identifique e indique um líder forte que consiga comandar mesmo as equipes e moldá-las como um grupo coeso, comprometido com a melhoria contínua e não só com a conformidade.

*João Paulo Melo Albuquerque é gerente geral da Riverbed do Brasil

Site: Computerworld
Data: 04/08/2015
Hora: 8h40
Seção: Segurança
Autor: João Paulo Melo Albuquerque
Link: http://computerworld.com.br/como-criar-uma-cultura-de-melhora-continua-da-seguranca