Testes de invasão não vão resolver sua falta de estratégia de segurança

Por Leonardo Militelli *

Em 01/09/2017 no site IDGNow

Testar.me

Com o objetivo de acompanhar a evolução das tendências e do cibercrime e estar em conformidade com padrões e exigências da indústria, cada vez mais organizações estão buscando testes de invasão para avaliar sua infraestrutura técnica. No entanto, poucas sabem o que isso realmente significa, qual o seu propósito e qual o seu nível de eficiência.

Quando decidem contratar um teste de invasão, poucas empresas já conduziram alguma avaliação de segurança antes. Raramente essas organizações conhecem seus controles de segurança ou implementam algum escaneamento de vulnerabilidades regularmente, pois geralmente esperam que os testes de invasão façam isso, especialmente no caso das empresas de pequeno e médio e porte.

No entanto, não existe um teste de invasão que faça tudo isso, nem que sirva para todas as empresas e seus diferentes objetivos. Existem diversas modalidades de testes, entre as quais cada uma serve a um propósito, exige diferentes níveis de habilidade da equipe de pentest, e testa diferentes elementos da rede, usando diferentes metodologias.

Os pentests são tentativas de derrubar defesas e ganhar acesso aos ativos corporativos por meio da exploração de vulnerabilidades sem mitigação. Em suma, serve para testar a capacidade do hacker de penetrar na defesa do perímetro, ganhar acesso à rede interna e controlar elementos do ambiente de TI e, para isso, pode incluir também o escaneamento de vulnerabilidades e técnicas de engenharia social, mas essa é só uma parte das atividades de exploração.

No entanto, por mais completo que seja o escopo de um teste de invasão, antes de contratar, as empresas precisam ser capazes de responder algumas perguntas sobre sua maturidade em segurança da informação. Por exemplo, você sabe o que está conectado aos seus sistemas e redes o tempo todo? Você está continuamente gerenciando seus sistemas com boas configurações? Você limita e rastreia as atividades de quem tem privilégios administrativos?

Ao responder essas perguntas, é possível determinar que tipo de teste de invasão a organização precisa e evitar alguns equívocos comuns como, por exemplo, achar que os resultados de um teste de invasão para o ambiente externo comprovam que a rede está completamente segura – é impossível afirmar isso sem testar outros elementos, como os do ambiente interno (que inclui as configurações de permissionamento do usuário, por exemplo).

A verdade é que a contratação de testes de invasão hoje é um desafio principalmente por causa da especificidade do escopo e das várias possibilidades de abordagem e metodologia, que acabam criando uma série de equívocos em relação às expectativas em termos de resultado.

Além disso, a busca por fornecedores ou parceiros com experiência comprovada e uma equipe multidisciplinar também desafia as empresas. Entender como gerir esse relacionamento pode ser o principal diferencial entre um erro caro e um trabalho bem executado. Por isso, é essencial que as empresas tenham um entendimento completo de todo o processo de trabalho com o fornecedor.

Mesmo que a empresa não tenha controles ou conte com um nível baixo de maturidade, os testes de invasão podem ajudar a dar visibilidade para aprovar projetos de segurança, por exemplo. Porém, como seu objetivo maior é validar a eficácia dos controles de segurança, oferecendo uma perspectiva diferente de outras ferramentas de avaliação, é preciso contar com um objetivo claramente definido.

Leonardo Militelli é CEO da iBLISS

Tome melhores decisões ao comprar soluções de segurança

Leonardo Militelli * 
Publicada em 06 de julho de 2017 no site CIO

VC2

Decidir pela compra de uma solução de segurança da informação é uma tarefa complexa. Sempre surgem novas tendências, novos produtos e novas promessas de proteção da sua empresa contra todos os tipos de ameaças do momento e do futuro.

O que temos visto hoje nas grandes e médias empresas é o desembolso em soluções de segurança que custam milhões, mas não cumprem suas promessas de retorno do investimento (ROI), sequer permitem obter visibilidade da efetividade e evolução na maturidade do controle que se propõe.

O fato é que a natureza dos problemas relacionados à segurança da informação de ontem, de hoje e de amanhã é a mesma e deve assim permanecer: pessoas, processos e tecnologia. Ao ignorar pessoas e, principalmente, o estabelecimento de processos antes de buscar a solução de segurança adequada ao problema que se pretende solucionar, a “solução” se torna apenas mais um item do complexo ambiente de TI, e fornece apenas uma falsa sensação de segurança, ou seja, um pesadelo.

Confira a seguir alguns aspectos importantes que podem agregar valor à sua estratégia e oferecer o melhor retorno de investimento antes de buscar sua próxima solução de segurança. 

Faça um diagnóstico de segurança

Assim como vamos ao médico para obter um diagnóstico e tomar o remédio certo quando estamos doentes, a segurança da informação também requer esse procedimento para tomar as decisões de compras adequadas. 

Executar um diagnóstico de segurança, modelagem de ameaça ou análise de gap e maturidade, relacionando ao contexto do negócio, não é apenas um conselho, mas uma prática essencial. Sem conhecer as ameaças e riscos técnicos no âmbito da TI que podem impactar seus processos de negócio, é impossível investir nos produtos certos para mitigar riscos. 

É importante basear o investimento em necessidades conhecidas, que tenham sido diagnosticadas, e correspondam aos requisitos do negócio. Soluções de segurança só funcionam quando você sabe exatamente para que servem, o que devem proteger e de quem. 

Também é importante considerar regulamentações e padrões de mercado que seu negócio precisa cumprir. Sejam dados pessoais, números de cartões de crédito ou propriedade intelectual, cada dado precisa de proteção específica.

Pense na capacidade de execução

Muito além de tecnologias, a segurança da informação depende de todos os funcionários da empresa e, principalmente, dos profissionais capacitados que vão operar as soluções e tirar o máximo retorno possível. Portanto, é importante entender a curva de aprendizado para uso do produto e garantir que as equipes de TI e segurança da informação tenham as habilidades necessárias para lidar com a nova solução de segurança. 

Com a transformação digital, empresas introduzem novas tecnologias diariamente.  Logo, ao buscar uma solução de segurança, avalie como ela cresce com sua necessidade, sua demanda por investimentos em novos módulos, e a facilidade de uso. Considere também o turnover da equipe e invista em treinamentos pontuais periódicos. Assim, é possível determinar o custo total de aquisição ao longo de 3 anos, avaliar alternativas de outras soluções, e até mesmo a terceirização dos processos de segurança.

Conte com uma plataforma de gestão de segurança 

Segurança da informação é baseada em processos críticos, como a gestão de vulnerabilidades, gestão e resposta à incidentes e gestão de configuração, que por sua vez são viabilizados por soluções de segurança.

De nada adianta investir na compra de dezenas de soluções que não se comunicam, ou que vão exigir um amplo esforço da equipe de segurança para operar, gerenciar, extrair dados em diferentes formatos e consolidar manualmente em um relatório de métricas e indicadores. 

Diante de ambientes de TI cada vez mais complexos e com múltiplas tecnologias, investir na orquestração e automação de processos para a gestão de segurança é importante para garantir o sucesso das operações. O Gartner introduziu no início deste ano uma nova tendência em plataformas de gestão de segurança, que viabilizam a operação, indicadores e relatórios de segurança (SOAR).

Ao integrar múltiplas soluções de segurança, as empresas obtêm uma visão integrada do estado dos controles de segurança, e entendem quais são as medidas que devem ser priorizadas para garantir a integridade e a continuidade do negócio. Como resultado, é possível melhorar a efetividade dos controles, aumentar a produtividade das equipes e ter visibilidade do retorno sobre o investimento. 

(*) Leonardo Militelli é CEO da iBLISS