29 outubro 2006

Segurança em IMS

Em meu artigo "Voz sobre IP: A nova tecnologia e a segurança" eu menciono rapidamente o assunto IMS, IP Multimedia Subsystem. Emmanuel Gadaix, figura única com que tive a oportunidade de trabalhar e pelo qual possuo grande admiração, fez uma apresentação mais detalhada sobre esse assunto. Para quem quiser ler, o documento pode ser obtido aqui.

28 outubro 2006

A esperança não morreu!

Tenho minhas dúvidas de que exista no mundo algum profissional de segurança da informação que não tenha, ao menos uma vez, se sentido frustrado com sua profissão. O motivo mais comum deve ser o estigma de negatividade que a profissão carrega, para profissionais de outras áreas o profissional de segurança é aquele que diz não, o paranóico e por aí vai.

Pois bem, lembro-me de quando comecei a trabalhar que um dos assuntos favoritos dos consultores sem formação técnica era a fragmentadora de papel. Quantos relatórios não foram escritos criticando o métodos inadequados de descarte de informações sensíveis. Meu deus, como era difícil encontrar aquelas máquinas!

Pois bem, prezado colega de profissão, se você no momento encontra-se deprimido pensando em se vale a pena continuar na área por algum motivo que não seja dinheiro, aqui vai uma dica de um amigo com alguns anos de experiência: Não desista! Há luz no fim do túnel e um dia a área de novos negócios não vai apenas pedir para você participar do desenvolvimento de uma nova solução como ainda vai lhe dizer que é fundamental que a segurança esteja envolvida desde o momento em que a idéia comece a ser desenvolvida!

Enquanto esse dia não chega, aproveite os preços do Submarino e compre uma fragmentadora de papel para seu departamento!

05 outubro 2006

insegurança no Internet Banking?

Tomando como base a matéria "Decisões mostram que risco de hacker é do cliente do banco" publicada no Valor Econômico em 4 de outubro de 2006 - dica do Luiz Firmino - só posso dizer, que ao contrário do que acreditávamos, o canal Internet Banking está à beira da extinção. De forma resumida a matéria afirma que cada vez mais tribunais compreendem como responsabilidade dos usuários a segurança de suas contas correntes.

Segundo a matéria, alguns tribunais, em uma surreal inversão de valores passam a exigir do cliente que "comprove que utilizou todas as medidas de segurança possíveis - como a atualização de antivírus - para evitar a ocorrência de fraudes virtuais em sua máquina pessoal", porém, esquecem-se tais tribunais, que até hoje antivirus foram praticamente incapazes de combater pró-ativamente o emprego de capturadores de senhas por parte de criminosos, sendo que diversas publicações nacionais e estrangeiras especializadas em Segurança da Informação apresentam um cenário cada vez mais negativo para os sistemas de antivirus.

É fundamental considerar também que apesar inúmeras instituições financeiras adotarem a postura de especificar os assim chamados pré-requisitos ao acesso, poucas são as instituições financeiras que fazem referência à necessidade de uso de um sistema de antivirus por parte do cliente. Não apenas isso, mas o correntista encontra-se incapaz de definir quais as formas de autenticação disponíveis no sistema de Internet Banking, definição a qual cabe à instituição financeira e é tomada com base em fatores legais, competitivos e orçamentários.

Ainda que pareça inicialmente positiva às instituições financeiras, a mudança da interpretação jurídica acerca da responsabilidade sobre o uso do Internet Banking é um forte golpe contra os sistemas que nos últimos anos tem possibilitaram às instituições financeiras não apenas significativa redução orçamentária assim como uma posição de vantagem frente ao sindicato dos bancários.

Essa interpretação é negativa pois tira do cliente a única garantia realmente capaz de lhe proteger de criminosos eletrônicos, visto que nenhum, repito, nenhum, sistema de segurança cujo uso dependa apenas da escolha do usuário do internet banking , será capaz de proteger o cliente de uma quadrilha bem preparada. Existem sim, mecanismos de segurança capazes de reduzir de forma eficaz o nível de fraudes financeiras via internet, porém a maioria deles depende não da vontade do cliente mas da decisão das próprias instituições financeiras.

É negativa também para as instituições financeiras, que hoje podem definir os investimentos em segurança com base na análise custo-benefício e risco das soluções atuais mas que no futuro poderão se ver obrigadas à adotar tecnologias caras e economicamente ineficientes devido à obrigações legais.

Se essa jurisprudência se confirmar como interpretação definitiva da lei a única alternativa que restará às organizações de defesa do consumidor serão desaconselhar o uso do canal eletrônico e pressionar os poderes competentes na criação de normas e leis obrigando as intituições financeiras a adotar mecanismos mais eficientes na proteção das transações eletrônicas, ainda que muitas dessas soluções sejam economicamente nada atraentes.

A escolha está portanto ainda está na mão das instituições financeiras. Todos sabemos, melhor gerenciar riscos, com base na realidade do mercado, do que ver-se forçado à se adequar a já complicada legislação brasileira.