Fornecedores querem ganhar dinheiro, e não oferecer segurança, afirma estrategista da IBM/ISS, Joshua Corman, que alerta que é bom ser cético em relação às ofertas.

Os executivos de TI precisam estar atentos aos sete segredos “sujos” do mercado de segurança, sob o risco de colocarem em risco a integridade de seus negócios.

 Para Joshua Corman, principal estrategista de segurança da IBM/ISS, que fornece soluções de segurança, é melhor manter um nível “saudável” de ceticismo em relação ao que os fornecedores dizem sobre seus produtos.

Corman intitulou seu discurso, feito durante a Interop, conferência de TI realizada em Las Vegas (EUA), de “Unsafe at any speed: 7 Dirty Secrets of The Security Industry” (insegurança a qualquer velocidade: sete segredos sujos da indústria de segurança), uma alusão ao livro de Ralph Nader, “Unsafe at Any Speed”, a respeito da segurança em automóveis na década de 60.

No livro, Nader criticava os fabricantes de carros por se preocuparem mais com melhorias no design e na beleza dos automóveis do que com a segurança dos motoristas.

Fornecedores de segurança, por muitas vezes, investiram mais dinheiro em interfaces gráficas de gerenciamento, em vez de gastarem com novas funcionalidades. Além disso, existe a tendência de se adicionar essas funcionalidades apenas quando os clientes pedem, diz Corman. “O objetivo das empresas não é oferecer segurança, é ganhar dinheiro”, determina o executivo.

Segundo o estrategista, este é o segredo de número zero da indústria. Os outros sete são os seguintes:

1- Certificações de antivírus são mal conduzidas

Os padrões de certificação confirmam que os dispositivos bloqueiam 100% todos os códigos maliciosos replicados. O problema está no fato de 75% dos códigos maliciosos que entram na rede não são replicados, como os Trojans. Quando o padrão foi estabelecido, os códigos não replicados representavam apenas 5% do tráfego entrante. Segundo Corman, a certificação significa que um produto bloqueia 100% de apenas 25% das ameaças.

2- Não existe perímetro

Fornecedores dizem que o perímetro de rede deve ser defendido, mas a maior parte dos dados perdidos, na realidade, não passa pelo firewall. Metade dos vazamentos são resultado de perda de laptops ou alguma mídia removível. As empresas precisam “amarrar” seus processos de negócios tanto quanto necessitam diminuir o perímetro de rede, segunro Corman. “Se você ainda acredita em perímetro de rede, deve acreditar também em Papai Noel”, diz

3- Análises de riscos são uma ameaça aos fornecedores.

As empresas de segurança querem que os clientes comprem o que eles vendem, por isso empurram produtos que bloqueiam ameaças específicas. NAC, por exemplo, pode resolver um problema real. Mas se o problema não tem um impacto significativo em uma das três maiores prioridades da companhia, provavelmente não é uma necessidade. Avaliações de riscos devem determinar que melhorias nos processos de negócios ou configurações mais rígidas da estrutura existente pode ser tudo o que se precisa. “É preciso entender o ambiente e as maiores prioridades”, afirma Corman.

4- Risco vai além de vulnerabilidades de software.

Fornecedores tendem a ser insistentes em relação a vulnerabilidades de software, mas essas falhas não representam a origem de sucessivas façanhas. Senhas fracas, configurações mal feitas — especialmente configurações de fábrica — e pessoas pouco capacitadas são problemas maiores, segundo Corman. “Mesmo que os software fossem perfeitos, ainda teríamos vírus e Trojans, que não precisam de falhas em sistemas para funcionarem”, relata o especialista.

5- Compliance ameaça a segurança.

Estar em conformidade com padrões de segurança estabelecidos por governos, como HIPAA, ou indústrias, como PCI, não é ruim, mas não é suficiente para manter as redes seguras. O problema é que as regulamentações criam um conflito de objetivos e recursos entre o que é preciso para estar em conformidade e o que os executivos realmente acham que devem fazer para manter a segurança do negócio. Estar em conformidade também mostra para potenciais invasores quais as defesas da companhia. “Se o padrão PCI diz aonde estão as barreiras, os invasores começam a procurar outras áreas”, explica Corman.

6- Pontos cegos em sistemas de segurança permitiram a proliferação da praga Storm.

Defesas corporativas que checam comportamentos de dispositivos de rede podem apontar máquinas seqüestradas pela rede zumbi, mas não há a mesma proteção para redes comerciais. Antivírus baseados em comportamento para usuários finais e sistemas de detecção de anomalias também funcionam, mas não para quem não possui esse tipo de proteção. “A Storm reconheceu os maiores pontos cegos em antivírus e os explorou, e a praga emprega uma forte engenharia social”, diz o estrategista.

7- A segurança melhorou após o “faça você mesmo”.

Fornecedores tentam convencer seus clientes que segurança é tão complexa que não pode ser gerenciada sem ajuda, mas as necessidades das empresas são tão individuais que apenas escolher um produto não é suficiente. “Não basta ter a ferramenta certa, é preciso instalar e configurar o sistema da maneira correta para o ambiente. E isso pode ser melhor conduzido pela equipe de TI da empresa”, afirma Corman.

http://computerworld.uol.com.br/seguranca/2008/05/05/os-sete-segredos-sujos-do-mercado-de-seguranca/