Chief Information Security Officer, Executive Manager Strategic and IT

O CISO do futuro - Premiação Internacional

2025-01-27T05:05:00.000-08:00

Líder de Segurança da Informação está entre os TOP 100 Global CISOs Awards 2022 e os TOP 10 do Prêmio Security Leaders. Na visão do executivo, os reconhecimentos são importantes para alavancar a carreira, mas acima de tudo, servem de inspiração para uma nova geração de CISO elevar a maturidade em cyber.

2017-06-28T22:27:00.004-07:00

Essa premiação " Security Leaders 2016 - Brasil " vem coroar uma história de luta, espirito de vencedor, simplicidade, reais parcerias e equipes de alta competência e importantes projetos estratégicos entregues com excelência.

Parabéns e obrigado a todos que sempre acreditaram e investiram em minha pessoa, carreira e me proveram oportunidades de realizações de bons trabalhos.

Avante, faremos juntos a diferença e muito mais.

Evento CSO Network - abril/2017

2017-06-20T21:19:00.003-07:00

Dia de muito aprendizado

Encontro ilustre com Mario Sérgio Cortella, destaco sua simplicidade, carisma, sem dúvida competente e diferenciado.

CSO Network - Next Midia

Strong ID and Security for Blockchain

2017-06-20T20:50:00.000-07:00

Link: http://buff.ly/2sjrE17
Artigo no CryptoID

Prezados colegas e leitores, por muitas décadas atribuímos as responsabilidades de Segurança da Informação a área de Tecnologia com foco em Segurança de TI ou melhor Segurança técnica de perímetro subestimando e acreditando em na sua força técnica e nós terceirizando até responsabilidades que são nossas como profissionais da área, empresários, usuário e até pessoa física. E agora temos como desafio em explorar e prover “Strong ID and Security for – Blockchain”

Fraterno Abraço

2017-01-31T10:40:00.001-08:00

Colegas e amigos com felicidades compartilho com vocês o artigo publicado na revista HAKING - IT SECURITY MAGAZINE - Vol.12 - No.02 de janeiro 2017. Este artigo aborda "What you need to know about Ransomware", disponivel neste link.

Agradeço a Deus, família, amigos, colegas de trabalho, pelo apoio incondicional.

Aproveito para agradecer a revista HAKING pela oportunidade, confiança e parceria. Boa leitura.

Fraterno Abraço Longinus Timochenco

Empresas estão despreparadas para aderir à lei de dados

2016-07-20T18:01:00.000-07:00

Você está em: Decision Report - Risk Report - Risk Report 20/07/2016 Um relatório do Instituto de Transformação Digital da Capgemini Consulting, divisão global de consultoria em estratégia e transformação do Grupo Capgemini, revelou que muitas empresas de bens de consumo estão correndo riscos com a segurança e privacidade dos dados de seus clientes. Elas estão deixando de implementar processos e mecanismos de segurança adequados na pressa de capturar o máximo de informações e obter as recompensas prometidas pela coleta de dados. O relatório revelou que quase metade das fabricantes de bens de consumo não possui uma política clara com relação à segurança e privacidade dos dados dos consumidores e que 90% delas já sofreram violações de dados. A Regulamentação Geral de Proteção de Dados (General Data Protection Regulation – GDPR, em Inglês) foi projetada para reger a segurança e privacidade dos dados em todos os setores, impondo multas pesadas por violações de até 4% do faturamento anual global de uma empresa ou 20 milhões de euros, aquele que for maior. Apesar de ter sido criada pela União Europeia, essa legislação deve trazer um impacto global, pois se aplica a qualquer empresa que detenha dados de clientes na Europa. O relatório estima que as fabricantes de produtos de consumo que não estejam cumprindo a lei estariam em risco de serem penalizadas em um total acumulado de US$ 323 bilhões em penalidades financeiras, caso o regulamento GDPR já estivesse em vigor e se houvesse aplicação de multas no limite máximo. A pesquisa "Consumer Insights: Finding and Guarding the Treasure Trove", realizada com 300 executivos de 86 empresas de bens de consumo do mundo inteiro, com faturamento conjunto de mais de US$ 756 bilhões, revela um setor dividido entre a busca por valor por meio da análise dos dados dos clientes e as preocupações dos consumidores com privacidade e segurança. Nos últimos anos, fortalecidas pelos avanços tecnológicos e pela transição para os canais de compras online, as fabricantes de bens de consumo empreenderam iniciativas significativas para coletar dados dos clientes. Essas iniciativas têm como objetivo obter uma compreensão mais profunda de padrões de comportamento e de compra dos clientes. Os benefícios são grandes para as empresas que obtiverem sucesso, uma vez que essas informações ajudam a melhorar consideravelmente os seus serviços, produtos e marcas. Mais de 80% dos executivos de grandes organizações de bens de consumo afirmam que usar essas informações dessa maneira é uma prioridade fundamental. No entanto, apesar da importância das percepções dos clientes, as empresas não têm sido capazes de proteger os dados dos consumidores. O relatório constatou que 46% das empresas ainda não conseguiram elaborar políticas claras e não negociáveis sobre a segurança e privacidade dos dados dos clientes, enquanto mais de 90% destas corporações já sofreram violações de segurança de dados de clientes. “Enquanto a data oficial para a adoção será 2018, o impacto da Regulamentação Geral de Proteção de Dados está ocorrendo muito mais rapidamente do que as pessoas imaginam, e o setor de bens de consumo parece despreparado. Achar o equilíbrio entre o manuseio sensato dos dados dos consumidores, garantindo a sua segurança, e o uso das informações sobre os clientes para lhes oferecer uma melhor experiência é extremamente desafiador. A confiança do consumidor está em jogo, e em muitos casos fica claro que os riscos foram subestimados ou ignorados. Essa é uma questão com a qual as empresas precisam lidar rapidamente se querem evitar não somente os danos à sua reputação, mas também graves punições”, diz o líder de Bens de Consumo & Varejo, da área global de Insights & Prática de dados da Capgemini, Kees Jacobs. Os consumidores do mundo inteiro estão cada vez mais preocupados com a maneira como seus dados são usados e protegidos. Em uma pesquisa recente, mais de 91% dos consumidores admitiram ter perdido o controle sobre como as suas informações pessoais são coletadas e usadas pelas grandes empresas². Cerca de dois-terços disseram ser importante poder controlar quais informações suas são coletadas. Para muitas fabricantes de bens de consumo, no entanto, o dado do cliente continua a ser um ativo a ser utilizado. O relatório apurou que apenas 51% das empresas de bens de consumo oferecem às pessoas a opção de controlar os dados coletados e somente 57% permitem que os consumidores acessem ou visualizem os dados coletados. “O que fica claro neste relatório é que as capacidades das percepções do consumidor estão se tornando engrenagens cada vez mais importantes dentro das corporações de bens de consumo. Mas com isso vem a responsabilidade. Coletar e utilizar dados de clientes em escala exige um novo tipo de organização, abordagem e liderança. Com a GDPR se aproximando, as empresas precisam se certificar de que estão prontas”, afirma o vice-presidente executivo da área de Consumo & Percepções de Mercado da Unilever, Stan Sthanunathan. O relatório da Capgemini calcula que com o preparo atual das organizações, o setor global de bens de consumo corre o risco de perder mais de 3,5% do seu valor de US$9 trilhões se deixar de cumprir o regulamento GDPR, enquanto as empresas europeias sozinhas poderiam sofrer multas de US$ 151 bilhões. FONTE: http://www.decisionreport.com.br/publique/cgi/cgilua.exe/sys/start.htm?infoid=23424&sid=41

Saiu a regulamentação do Marco Civil da Internet! E agora? Entenda as novas regras.

2016-05-13T09:23:00.002-07:00

Em 11 de maio de 2016, como um dos últimos atos do governo Dilma Roussef antes do afastamento determinado pela decisão do Senado Federal, foi promulgado o Decreto 8.771/2016, que regulamenta as disposições do Marco Civil da Internet. A regulamentação traz regras relacionadas a neutralidade de rede, proteção da privacidade e de dados pessoais, e atribuiu competências para a fiscalização do cumprimento. E agora? Entenda as novas regras, nesse breve resumo. Do que trata? Hipóteses admitidas de discriminação de pacotes de dados na internet e de degradação de tráfego, indica procedimentos para guarda e proteção de dados por provedores de conexão e de aplicações, aponta medidas de transparência na requisição de dados cadastrais pela administração pública e estabelece parâmetros para fiscalização e apuração de infrações previstas no Marco Civil da Internet. Quando passa a valer? A partir de 10 de junho de 2016. A quem se aplica? Aos responsáveis pela transmissão, comutação e roteamento, o que inclui os backbones, e aos provedores de conexão e de aplicação, em geral. A quem não se aplica? Serviços de telecomunicações que não envolvam conexão à Internet, e serviços especializados, ainda que utilizem tecnologia TCP/IP, como é o caso, por exemplo, de links dedicados privados, desde que não acedam à Internet, de forma pública e irrestrita. Como ficou a neutralidade de rede? Discriminação ou degradação do tráfego como medidas excepcionais, em decorrência de requisitos técnicos, ou visando priorização de serviços de emergência. Obriga as empresas a quem se aplica o decreto a: tratar questões de segurança da rede, restringir envio de spam, controlar ataques de negação do serviço (DDos), e tratar situações especiais de congestionamento da rede, inclusive provendo rotas alternativas, no caso de interrupção da rota principal, ou situações de emergência. Obrigatoriedade de observância da regulação da ANATEL e das diretrizes estabelecidas pelo CGIbr, nas ações de gerenciamento da rede. Divulgação, inclusive com obrigatoriedade de indicação nos contratos de prestação de serviços, dos motivos que possam implicar em discriminação ou degradação do tráfego, em linguagem de fácil compreensão. Estabelecimento de situações taxativas para degradação ou discriminação do tráfego em razão de serviços de emergência, que ficam restritas a: comunicação destinada aos prestadores de serviços de emergência ou comunicação entre eles, ou comunicações necessárias para informar a população em situações de risco de desastre, emergência, ou estado de calamidade pública. Garantia da gratuidade da transmissão de dados relacionada a serviços de emergência. Vedação de acordos que possam comprometer o caráter público e irrestrito da internet no Brasil, priorizem pacotes de dados em razão de arranjos comerciais, ou privilegiem aplicações ofertadas pelo próprio responsável pela transmissão, comutação, ou roteamento, ou empresas do seu grupo. As ofertas comerciais de acesso à Internet deverão sempre privilegiar uma internet única, de natureza aberta, plural e diversa, visando inclusão e não discriminação. Como ficou a proteção da privacidade? Autoridades administrativas (polícia, ministério público, e outros órgãos) que solicitem acesso a dados cadastrais de usuários da Internet deverão indicar o fundamento legal expresso de sua competência, a motivação para o pedido, e os indivíduos cujos dados são requeridos, vedando pedidos genéricos ou inespecíficos. Abre a possibilidade do provedor não coletar dados cadastrais como qualificação pessoal (nome, prenome, estado civil e profissão), filiação e endereço, ficando desobrigado do fornecimento desses dados, na hipótese de não coletar. Os órgãos da administração pública federal deverão publicar, anualmente, na Internet, dados estatísticos de requisição de dados cadastrais. Estabelece padrões de segurança para provedores de conexão e aplicações, relacionados à guarda e acesso dos registros de usuários da Internet, quais sejam: (a) controle estrito do acesso aos dados; (b) mecanismos de autenticação do acesso aos dados, permitindo individualizar o responsável pelo tratamento dos registros; (c) registros de acesso aos dados, contendo o momento e a duração do acesso, bem como a identidade do responsável pelo acesso; (d) uso de soluções técnicas que garantam a inviolabilidade dos dados, como encriptação e outras medidas equivalentes. Estabelecimento do princípio de retenção de dados na menor quantidade necessária, e determinação da exclusão de tais dados após atingida a finalidade do seu uso, ou se encerrado o prazo determinado por obrigação legal. Conceituação de dado pessoal como dado relacionado à pessoa natural identificada ou identificável, inclusive números identificativos, dados de localização, ou identificadores eletrônicos relacionados a uma pessoa. Obrigação de que os dados sejam mantidos em formato interoperável e estruturado, facilitando acesso decorrente de decisão judicial ou determinação legal. Divulgação clara dos padrões de segurança adotados pelos provedores, preferencialmente nos próprios sites da Internet. Como ficou a fiscalização? Estabelece que a Anatel atuará na regulação, na fiscalização, e na apuração de infrações. Estabelece que a Secretaria Nacional do Consumidor atuará na fiscalização e na apuração das infrações. Estabelece que o Sistema Brasileiro de Defesa da Concorrência atuará na apuração de infrações à ordem econômica. Estabelece a atuação colaborativa entre os órgãos acima, inclusive prevendo a aplicação de sanções mesmo para as pessoas jurídicas sediadas no exterior. Fonte:

Estudo das piores senhas utilizadas

2016-05-12T18:24:00.000-07:00

A organização SplashData realizou um estudo das piores senhas utilizadas nos últimos 05 anos (2011-2015) e publicou seu resultado. Este por sinal mostrou que ainda algumas pessoas não dão a devida importância neste tema tão importante. Segundo a organização, cerca de 03 segundos é o suficiente para violar uma senha fraca. Há anos tem ocorrido uma guerra entre organizações, pessoas e crackers, pois toda vez que alguma organização tem algum ataque, todos os usuários têm que realizar alteração de senha por questão de segurança. Tendências para segurança das senhas Algumas organizações e usuários finais estão utilizando várias técnicas para prevenir ou impedir violações de dados. Como a tecnologia vem evoluindo rapidamente, serviços em nuvem de armazenamento e outros mais, muitos já utilizam serviços para gerenciar senhas. Vale ressaltar que como qualquer serviço, é necessário ficar atento ao que ele nos oferece de proteção, visto que você poderá armazenar todas suas senhas em um único local. Lições aprendidas nos últimos 05 anos de estudos Muitas organizações e usuários finais não pensam muito para criar uma senha, contudo a senha continua sendo vital para segurança na internet. A organização vem aconselhando ao longo do tempo organizações e usuários a corrigirem o problema na origem, antes que o pior aconteça. 2011  As top piores senhas foram: password, 123456, 12345678, qwerty, abc123, monkey, 1234567, letmein, trustno1 e dragon;  Usuários complacentes com senhas que são facilmente adivinhadas, raramente realizam alteração e as utilizam em diversos sites;  Utilizam as mesmas senhas em ambientes financeiros;  Vários incidentes afetaram grandes companhias nos Estados Unidos, como bancos e varejos;  Organizações começaram a investir em criptografia de dados com base em nuvem; 2012  As top piores senhas foram: password, 123456, 12345678, abc123, qwerty, monkey, letmein, dragon, 111111 e baseball;  Tiveram novas entradas como: welcome, Jesus, ninja e mustang;  Grandes sites tiveram incidentes com senhas como: Yahoo; LinkedIn e eHarmony;  Usuários continuam a utilizar senhas fracas;  Provedores que utilizam a nuvem começaram a reformar a segurança de rede e soluções de criptografia de senhas; 2013  As top piores senhas foram: 123456, password, 12345678, qwerty, abc123, 123456789, 111111,1234567, iloveyou e adobe123;  Brechas de segurança da Adobe expos milhões de clientes;  Usuários continuam a utilizar senhas fracas;  Mais combinações numéricas foram utilizadas;  Governo americano inicia a implantação de um sistema mais robusto de gerenciamento de senhas e política de proteção de dados depois de diversos incidentes que ameaçaram plataformas federais online. 2014  As top piores senhas foram: 123456, password, 12345, 12345678, qwerty, 123456789, 1234, baseball, dragon e football;  O relatório demonstrou que é necessário manter fora das senhas: nomes, padrões numéricos simples, palavrões, esportes;  Mais de 3.3 milhões de senhas vazadas foram analisadas durante o ano;  Senhas 123456 e password continuam entre os dois primeiros colocados desde 2011. 2015  As top piores senhas foram: 123456, password, 12345678, qwerty e 12345;  Esportes continuam a ser temas de senhas populares, possível identificar através da análise das 25 piores senhas utilizadas;  O relatório de 2015 foi criado a partir de mais de 02 milhões de senhas comprometidas;  Como nas listas do passado, as senhas numéricas continuam a ser carro chefe, com seis das top 10 de 2015;  Empresas americanas continuam a investir montantes significante em soluções de segurança na nuvem, criptografia de dados e gerenciamento de senhas. Grupos de Risco Na era da internet, pessoas podem ter dezenas ou centenas de senhas, que vão de sites financeiros a sites de diversão. Segundo pesquisa realizada pela WP Engine alguns grupos parecem estar com maior risco no quesito senhas, sendo eles:  Pessoas com 60 ou mais anos de idade;  Mulheres entre 30 e 45 anos de idade;  Adolescentes;  Políticos e CEOs;  Usuários que realizam autenticação em mais de dois dispositivos. Na pesquisa da SplashData também se identificou que fãs de esportes acabam utilizando nomes de times, jogadores e mascotes na confecção de senhas. No geral, a possibilidade de ter suas senhas roubadas está cada dia maior. Grupos do setor responde a estas ameaças criando várias opções e que por vezes acabam abrindo outras vulnerabilidades devido aos procedimentos que nem sempre são seguidos pelos usuários por serem burocráticos e necessidade de ter em mente várias senhas complexas, perguntas e respostas de segurança. Sendo assim, soluções de gerenciamento de senhas podem ser ótimas opções para aumentar a segurança e simplificar o processo de acesso ao ambiente. Ferramentas de proteção de senhas Muitas organizações oferecem soluções de proteção de senhas, das mais simples as mais sofisticadas. Durante os 05 anos de estudos, a SpleshData descobriu que os mais sofisticados possuem devem possuir:  Aplicação segura e nativa para smartphone, tablet e desktops;  Criptografia forte;  Sincronização com opção de escolha de nuvem ou serviços de wifi local;  Backup automatizado;  Categorização e compartilhamento;  Recurso de preenchimento automático;  Recurso para importação de senhas;  Gerador de senhas;  Notas seguras;  Múltiplos fatores de autenticação; Dicas e melhores práticas Nada é 100% garantido, mas ao longo dos 05 anos a SplashData forneceu algumas dicas para melhorar e reduzir os riscos:  Evite utilizar o mesmo usuário e senha em diversos sites, o risco aumenta quando utilizado a mesma combinação para sites do tipo financeiro, e-mail e entretenimento;  Utilize no mínimo 12 caracteres, para facilitar, crie senhas com pequenas palavras e espaços ou caracteres para separa-las, além de caracteres especiais;  Nunca utilize datas de nascimentos, nomes, esportes favoritos como senhas;  Limitar o número de dispositivos que você acessa as aplicações, pois nem todas as plataformas tem segurança para todos os dispositivos, como por exemplo, um smartphone. O estudo fala muito em utilização de um gerenciador de senhas, não sou contra esta utilização, contudo é necessário se atentar ao contrato e o que a solução realmente oferece de proteção para nosso ambiente corporativo e pessoal, da mesma forma que deve ser avaliado qualquer solução em nuvem. Compartilhe isso:

Success Case SPC Brazil & Oracle - Information Security - 2015

2015-08-16T17:29:00.000-07:00

http://medianetwork.oracle.com/video/player/4120352136001

O que é Feedback?

2014-02-17T09:51:00.000-08:00

Feedback significa apenas, INFORMAÇÃO. É assim que deve ser visto e aplicado nas empresas e na vida. Essa informação, por sua vez, “precisa ser precisa” isenta de qualquer adjetivo ou emoção que, eventualmente, possa estar conjugada, pois, isso ocorrendo, não é mais apenas uma informação, passa a ser crítica, sugestão, opinião, etc. INFORMAÇÃO. Insista nessa compreensão. Quando um foguete envia a coordenada para a base, foi gerada uma informação. A base interpretou a informação e, de acordou com os objetivos de pousar o foguete na Lua, gerou outra informação para o foguete. Por sua vez, o foguete interpretou a informação recebida e agiu no sentido de correção da rota ou de persistência, se as coordenadas estivessem corretas. Assim DEVE ser o Feedback entre os interlocutores. O gestor deve transmitir uma informação precisa e cabe ao colaborador que receber a informação compreender que esta tem por objetivos organizacionais, interpretá-las e agir. Claro, o gestor precisar dar o tempo necessário para o colaborador agir. Que fique bem claro o destaque ao mencionar que a informação gerada pela base (gestor) não deve ocorrer somente se a rota estiver errada, mas também se o foguete estiver na rota certa. Se o gestor não o fizer, o colaborador continua emitindo sinais que precisa do feedback e se não forem recebidas as informações, mesmo positivas, o colaborador pode julgar que algo está errado e, por conta própria, mudar as coordenadas, gerando, então, o problema. Quando a informação vier acompanhada de um complemento, como por exemplo um sentimento, nesse momento de descaracteriza o feedback e corremos o risco de gerar ruídos na transmissão da informação e essa ser interpretada de forma errônea ou, ainda ,de forma negativa. Feedback é uma informação precisa que tem como objetivo conduzir o colaborador para cumprir sua missão, a empresa atingir os objetivos e todos saírem ganhando. Mas é importante saber que Feedback não é opinião, não é bronca, não é sugestão. Feedback é informação. Baseado no livro Feedback para Resultados da editora Qualitymark. Imagem: Google.

10 Common Misconceptions About Security Professionals

2014-01-21T10:06:00.001-08:00

10 Common Misconceptions About Security Professionals

Gartner: Worldwide Security Spending Will Approach $86 Billion in 2016

2012-09-14T10:59:00.001-07:00

Worldwide spending on security is expected to touch the $60 billion mark in 2012, up 8.4 percent from $55 billion in the previous year, according to research company Gartner -- this figure will approach $86 billion in 2016. "The security infrastructure market is expected to experience positive growth over the forecast period, despite risks of further economic turbulence," said Lawrence Pingree, research director at Gartner. MORE FROM GARTNER: 5 things a private cloud is NOT As per Gartner, the security infrastructure market consists of the software, services and network security appliances used to secure enterprise and consumer IT equipment. IT outsourcing (managed security services), secure Web gateway (appliance), and security information and event management (SIEM) are the fastest-growing security segments, Gartner said. It was also noted that demand for cloud-based security is affecting a number of key security markets, and that this new delivery model will see above-average growth. "Results from the 2012 annual Gartner CIO survey show increased prioritization for security compared with 2011 and results from Gartner budgeting surveys published in June 2012 underline the fact that organizations globally are prioritizing on security budgets," Pingree added. As per the survey, the vast majority of respondents expected their security budgets to increase or stay the same -- 45 percent and 50 percent respectively -- with only 5 percent expecting their budget to decrease in 2012, Gartner reported. While this was the general overall pattern, respondents in some emerging regions were more likely to expect an increase in their budgets. "Although security remains fairly resilient in tough times, the prolonged financial crises seen in the U.S. and Europe have had some impact on IT security spending globally but to a lesser extent for emerging countries, such as Brazil, China and India," said Ruggero Contu, research director at Gartner. "In 2012, the market contributing most to overall growth, excluding exchange rate effects, is security services, followed by security software," Pingree said. This increased demand for security products and services will be driven by the need for organizations to mitigate risks and reduce security vulnerabilities in the face of the continuous and evolving sophistication of threats. "We expect current market trends will keep security infrastructure growth at between 9 percent and 11 percent from 2011 through 2013, but we are factoring in a higher degree of caution in terms of buying behavior," Pingee added. _______________________________________________________________________ By Computerworld India Staff, Computerworld September 13, 2012 05:15 PM ET http://www.networkworld.com/news/2012/091312-gartner-worldwide-security-spending-will-262453.html

Nove frases que apavoram os profissionais de Segurança da Informação

2012-08-31T12:52:00.000-07:00

No mundo da segurança da informação. Algumas palavras soam reconfortantes, mas sabemos que elas frequentemente apontam os problemas de segurança interna, de recursos técnicos ou com as pessoas e processos envolvidas na proteção a sistemas.

Conheça a seguir algumas das frases “reveladoras de segredos” que assinalam a iminência de problemas na segurança. E boa sorte...

1. Nós temos uma cultura de segurança
“Não, vocês não tem” é a resposta imediata dos profissionais. Mesmo que apenas mentalmente. Esse é o tipo de frase que surge de empresas que começaram com cinco pessoas – no tradicional modelo familiar de negócios – e, conforme cresceram, num piscar de olhos se viram operando com milhares de pessoas, sem governança ou políticas. Alguns trocados e sua “cultura de segurança” são suficientes para comprar um bom café expresso, em um canto sossegado que permita olhar para o horizonte e descobrir quanto trabalho há pela frente.

O simples fato é que sem diretrizes de suporte ou mecanismos de retorno (feedbacks), a segurança é definida diferentemente por cada um e não é verificada por ninguém. Não existem métricas para adequação com a “cultura” e uma “cultura de segurança” é ocultada por uma prática de “faça o seu trabalho”.

Se existem regras, escreva-as. Se a tecnologia é colocada em ação para implementar ou monitorar as regras, também escreva isso. Se as pessoas quebrarem as regras, cumpra o que ficou estabelecido. Se as regras prejudicarem a legitimidade dos negócios quando cumpridas, mude-as. É simples assim.

2. A segurança de TI é a segurança da informação
A segurança da informação não é a mesma coisa do que a segurança em tecnologia da informação. Se o termo “segurança da informação” é usado da mesma forma que “segurança de TI”, isso invariavelmente significa que ninguém tem tomado decisões fundamentalmente não técnicas de segurança que afetam os departamentos - TI, recursos humanos, jurídico, auditoria e talvez outros da organização. E, portanto, essas áreas estão tentando adivinhar o que os responsáveis querem dizer.

Junte-se àqueles que têm influência sob os departamentos listados acima e decida se a informação (não documentos em papel ou equipamentos) é um ativo da companhia, como os computadores e as mesas. Decida se a empresa autoriza as pessoas a realizarem jobs, acessos lógicos e físicos a informações como indivíduos.

Tome essas decisões políticas em grupo. Depois talvez haverá mais tempo para decidir “como” gerenciar a segurança - ao invés de tentar adivinhar...

3. Isso não se aplica ao chefe
Apesar de isso estar se tornando um problema menor em empresas públicas, ocasionalmente um executivo simplesmente se recusa a seguir diretrizes de segurança que ele mesmo aprovou. A menos que você esteja preparado para meticulosamente documentar todas as "escapadas" seguindo o modelo de perícia forense e depois entregá-las para os diretores ou à polícia (ou então simplesmente pedir demissão), prepare-se para contornar a situação.

A maior parte das maçãs podres pode ser gerenciadas por meio da aplicação do senso maquiavélico que possuem de influenciar o relacionamento dos outros: eles pelo menos devem aparentar que lideram pelo exemplo, enquanto continuam a fazer qualquer coisa que fazem de portas fechadas. Poucos vão admitir isso, mas muitas organizações simplesmente colocam no orçamento e instalam um linha DSL para acesso de "convidados" nas salas dos principais executivos e fecham os olhos para qualquer coisa que é plugada nessa linha. Essa não é a solução desejável, mas se mesmo assim esses executivos resolverem assinar os documentos exigidos pela lei Sarbanes-Oxley, o resto vem da habilidade de negar conhecimento dos profissionais de segurança.

4. Nosso departamento de segurança da informação fica com a equipe de TI
Títulos não importam. Um relatório de um especialista em segurança ao diretor de TI é sempre o de um administrador de segurança, mesmo se aquela pessoa tem o cargo de information security officer.

O problema é que no mundo corporativo a palavra "officer" geralmente significa que aquele profissional tem autoridade para verificar e monitorar se todas as técnicas e processos que controlam informações protegidas são eficientes. Um administrador de segurança de TI é normalmente envolvido em desenhar o controle técnico e por essa razão não pode se “auto-auditar” ou certificar-se de que a TI está fazendo a coisa certa, particularmente se ele reporta para alguém dentro da TI. O profissional de segurança com o cargo de "officer" deve sempre se reportar no mesmo nível ou como superior ao diretor de TI.

5. Nós temos uma política de senhas
Falando diretamente, um documento que especifica o tamanho, a forma e a complexidade de uma senha é um padrão técnico ou um procedimento, não uma política. Política é um diretório para o direcionamento de negócios, algo como “indivíduos devem ser identificados unicamente e autenticados prioritariamente para ter a condição de acessar os ativos da companhia”. Observe que este exemplo de política envolve “o que” fazer a respeito das pessoas e acessos, não “como” construir uma sequência de tipos de caracteres.

6. Nossos executivos têm cópias de todas as senhas
Apesar da ideia fazer um jovem estudante desmaiar, existem de fato gerentes que demandam que seus funcionários diretos revelem suas senhas individuais. A explicação para isso é sempre: “E se alguém é demitido ou está doente? Como nós poderíamos encontrar os seus documentos?”.
Quando isso acontece, a única estratégia efetiva é dizer a quem pede tal coisa: “Se você fizer isso, então você é um suspeito em qualquer situação negativa que surgir. Você nunca estará apto a demitir ninguém porque você também será um suspeito”. Ou então sempre se pode resumir isso tudo em um simples: "Cresce, amigo!".

7. A marca X é nosso padrãoEu não tenho nada contra os principais fornecedores de hardware do mercado, mas quando o pessoal de compras de empresas diz: “Nosso padrão é a Dell” (ou qualquer outra marca), o que eles realmente estão dizendo é: “Nós jogamos nossos padrões de segurança pela janela em troca de descontos e agora nós compramos qualquer coisa que o fornecedor oferece”. É o equivalente às compras daquela sua tia-avó em uma loja com preços superfaturados, ficando contente porque “um produto está com desconto de 75%”.

A ponto é que, tanto aquela sua tia-avó quando o pessoal de TI no mundo real têm outras decisões a tomar e os PCs são commodity. Está tudo certo escolher o produto de um vendedor e manter os pedidos com ele por um tempo. Mas um fabricante ainda não é um padrão técnico e existe um problema em misturar isso se ninguém fizer a lição de casa.

Quando um fabricante faz mudanças na linha de software ou de produto – especialmente quando isso parte de um fabricante de equipamentos de rede e segurança como a Cisco Systems –, é importante ter requerimentos funcionais claramente definidos para avaliar se os produtos ainda funcionarão como desejado. Quando os clientes não sabem o que querem, qualquer barganha parece ser o que você precisa.

8. Ei, de onde veio isso?
É concebível que aqueles usuários altamente técnicos deveriam organizar seus próprios equipamentos bem como dar suporte a eles. Por outro lado, isso significa que a área de TI e o pessoal de suporte foram nocauteados por fabricantes de hardware que fornecem apenas um número 0800 que nunca funciona. Políticas de segurança devem estar presentes em todo lugar, inclusive afixadas na parede dos banheiros, atrás do papel higiênico de uma organização. A política de segurança na companhia pode também estar exposta ao lado das toalhas do banheiro. O importante é que sejam claras e do conhecimento de todos.

Resolver isso é um problema fundamental de respeito. Começar pela governança básica e deixando claro que há regras, com muito esforço e comunicação, isto vai pelo menos tornar a “cultura da segurança” uma questão resolvida.

9. Nós enviamos as regras do firewall para...
A maioria dos administradores de rede se encolhe de medo com as palavras mencionadas acima. Ainda assim, muitos ainda vão enviar, gratuitamente, emails com cópia das regras de firewall. Pior ainda, eles têm um fabricante de equipamentos ou um consultor freelancer que configura o firewall para eles e mantêm para si a única cópia das regras. Essas regras, se elas apresentam complexidade, provêem um mapa detalhado do esquema de segurança da companhia, com informações importantes a respeito da identidade das redes internas e serviços e como torná-los um alvo.

Nenhum profissional sério de segurança sairia com uma cópia das regras de firewall de alguém sem uma requerimento específico para fazer isto. Um competente auditor de sistemas da informação certificado ou outro auditor vai revisar as regras de firewall diretamente no sistema do administrador e não levar consigo. Se você vir uma cópia de suas regras corporativas de firewall colocadas em um relatório de auditoria, especialmente um público, prepare-se para refazer o projeto de IP... e chame seus advogados.

Fonte: http://cio.uol.com.br/

Seis passos para o alinhamento duradouro com parceiros de negócios

2012-08-31T11:05:00.005-07:00

1. Estratégia do mundo real
Estratégia de negócio, em geral, é informal e muda à medida que novo aprendizado ocorre. Os CIOs precisam de um processo participativo contínuo para extrair uma estratégia de negócio e traçar uma de TI.

2. Abraçando valor
Governança de investimento não funciona de verdade se o valor de TI for um exercício de burocracia. Para que TI seja vista como um investimento em vez de uma despesa, os CIOs precisam fazer com que a realização de valor torne-se prática, incorporando medições operacionais a projetos. O valor tem que ser o item mais importante quando os CIOs determinam a abordagem para um projeto de TI, gerenciam o escopo e aplicam a responsabilidade de prestar contas.

3. Preço viávelO vilão de TI é personificado pelos 70% de custos que não são realmente entendidos e, portanto, não são conscientemente gerenciados. Cobranças após o fato, baseadas em alocações em planilhas, não são críveis nem úteis a ponto de influenciar futura demanda e prever gastos desnecessários. Uma versão enxuta de custo baseado em atividade é um primeiro passo prático para ajudar os CIOs a articular serviços, consumo e preço de uma maneira que ajude as áreas de negócio a atuar como autêntico consumidor.

4. Tecnologia ágil
Arquitetura e infraestrutura podem prejudicar esforços de alinhamento. Arquiteturas em camadas, serviços e capacidade sob demanda estão reduzindo o tempo de ciclo de fornecimento e, portanto, expandindo a oferta de TI.

5. TI sem fronteiras
TI, com frequência, é um gargalo do fornecimento. Os CIOs podem criar capacidade virtual possibilitando a auto-suficiência do negócio e explorando o princípio estratégico. Há tempo, o conceito de organização IS Lite, do Gartner, vem pregando a criação de uma organização de TI sem fronteiras onde o trabalho é compartilhado com parceiros estratégicos e de negócio.

6. Líderes em todos os níveis
Liderança é a “cola” que une estratégia, governança, tecnologia e componentes organizacionais de alinhamento. Pesquisas sobre alinhamento indicam que, enquanto o quadro de liderança no nível do CIO é suficiente, existe uma lacuna nos níveis abaixo. Os CIOs precisam expandir a liderança de TI mudando a abordagem de desenvolvimento de liderança da “sobrevivência do mais apto” para o “desenvolvimento do mais apto”.

FONTE: http://cio.uol.com.br/

(*) Susan Cramm é fundadora e presidente da Valuedance

Segurança da Informação tem de fazer parte de nossas vidas.

2012-08-23T12:59:00.001-07:00

A Segurança da Informação deve ser feita com a participação de todos, desde o incentivo da Alta Direção até a participação dos usuários em treinamentos, execução de boas práticas, cumprimento das políticas internas e até mesmo buscando informação sobre ameaças. Não basta ser um processo de investimento em tecnologia, pois o elo mais fraco da cadeia encontra-se nas “pessoas”.

A Segurança da Informação tem de fazer parte de nossas vidas.

Destaco que faz parte de nosso cotidiano os dispositivos móveis, portanto é importante sempre reforçamos sobre este tema.

Podemos analisar o caso sob duas óticas:

1ª Uso Pessoal – Estamos protegendo nosso dispositivo móveis com antivírus? Qual são as permissões que estamos dando para os aplicativos? Os aplicativos “baixados” são confiáveis? Estamos protegendo nosso dispositivo com senha? Estamos fazendo backup das informações? Devemos ter o zelo com todos estes pontos para estarmos com nosso aparelho protegido.

2ª Uso Coorporativo – O mesmo dispositivo móvel, que muitas vezes não tomamos o devido cuidado de segurança pode estar acessando o e-mail coorporativo, VPNs ou aplicativos. O fenômeno chamado de Bring Your Own Device (BYOD), ou numa tradução “Traga o seu dispositivo” por um lado pode gerar aumento de produtividade, mas por outro uma grande preocupação para equipe de Tecnologia da Informação.

Não podemos e devemos ter medo dos avanços tecnológicos, basta apenas sabermos utilizar de forma adequada, "NA DÚVIDA SIMPLIFIQUE". Para tanto conscientização e informação e preciso, pois devemos lembrar sempre que as “pessoas” são o elo mais fraco da cadeia da Segurança da Informação.

Abraços a todos

Longinus Timochenco

Executive Manager Strategic and IT, Chief Security Officer: Sete atitudes que matam a inovação

2012-08-21T07:04:00.001-07:00

Executive Manager Strategic and IT, Chief Security Officer: Sete atitudes que matam a inovação: Caros colegas, apenas compartilhando alguns itens para reflexão o qual acredito que possam contribuir muito para nossas carreiras e também...

Sete atitudes que matam a inovação

2012-08-21T06:58:00.001-07:00

Caros colegas, apenas compartilhando alguns itens para reflexão o qual acredito que possam contribuir muito para nossas carreiras e também para o nosso pessoal. Boa leitura!

Sete atitudes que matam a inovação

Aprenda com os erros mais comuns e descubra se você ou sua companhia lidam corretamente com boas ideias

A inovação deve ser um requisito óbvio dos negócios, mas muitas companhias erram ao apostar numa cultura onde a chance de uma boa ideia, repleta de oportunidades, ser implantada é quase nula, mais difícil do que ganhar na loteria. O que leva a isso?

Para principiantes, o processo criativo pode ser frágil e requer suporte e cuidado. Isto pode ser pensado em termos de um mercado competitivo e em constante mudança de tecnologias, o que também faz da inovação algo essencial.

Confira a lista de "assassinos" da inovação, e veja se você ou sua empresa estão fazendo uso deles:

1 – Esperar que a inovação caia do céu
Crer que a inovação vai surgir por si só, do nada, é o mesmo que acreditar que uma plantação de vegetais irá, simplesmente, surgir no seu quintal um dia. Inovação requer investimento de tempo e dinheiro, e isto pede um processo para suportar a iniciativa, defende Thomas Koulopoulos, fundador da consultoria de inovação Delphi Group. Como uma plantação, que é frágil e pede tempo para se desenvolver, o processo de inovação pede um lugar para as sementes (ou ideias) amadurecerem. Isto ainda requer bom tempo, proteção contra os predadores e muitos cuidados.

A atenção à inovação é uma necessidade no mundo de hoje, diz Koulopoulos. Até mesmo nas indústrias onde os limites não são bem definidos – como na manufatura e na terceirização – a inovação é fundamental.

"Aí está a ironia", ele diz. "Me preocupo em não correr grandes riscos, mas, ao mesmo tempo, isso significa que, em algum lugar do globo, eu posso estar sendo ultrapassado".

2 – Guardar as ideias "para um dia"
Ótimas ideias são as sementes para a inovação e não a inovação em si mesma. "Todos têm uma ideia para um livro em mente. Mas existe um hiato enorme entre o que está na cabeça e o processo de trabalho para escrevê-lo".

Invenções ou inovações são erroneamente consideradas sinônimos de ideias. Você precisa entender a diferença e saber como usá-las. Koulopoulos ressalta que as companhias inovadoras devem ter uma visão holística e criar uma cultura para implementar ideias. Um processo para suportar inovações deve ser criado, implementado e comunicado. Assim, todos saberão como ele funciona e estarão prontos a participar.

3 – Deixar a inovação só a cargo da TI
A tecnologia deve suportar a inovação, não liderá-la. Isto porque a inovação é, primeiramente, uma obrigação da cultura corporativa, que pede coisas como retorno, inspiração e motivação. Em qualquer situação, você tem duas atividades – a invenção e a inovação ou o processo atual. Koulopoulos desenha uma linha entre as duas situações e afirma que TI entra numa segunda etapa: ela deve estar envolvida na implementação de ferramentas que melhor suportem o processo de inovação.

4 – Criar obstáculos ao surgimento de ideias
Uma maneira certa de matar o espírito inovador? Basta inspirar-se no livro "O Processo", de Kafka ou numa típica repartição pública. Burocracia e processos bizantinos desencorajam, tiram o entusiasmo. Quando as ideias dos funcionários são tratadas com desrespeito ou o processo é confuso e difícil, o entusiasmo vai morrendo. Isto é exatamente o que Koulopoulos descobriu quando entrevistou 374 executivos seniores de TI, dos quais 22% disseram ter perdido o interesse em implantar ideias por conta de processos internos burocráticos.

5 – Olhar o diferente e o novo como ruim
"É o maior erro das grandes empresas", diz. "Quando você está ganhando, a última coisa que quer é que aconteçam mudanças". Mas, não estar aberto às mudanças é um grande erro. É como recusar anunciar na internet e preferir anunciar no jornal impresso. Você deve responder às mudanças e às necessidades de inovação. Certamente, a resistência interna é difícil de superar, mas poucas companhias têm condições de viver do passado. O mundo de hoje pede companhias que se transformam, contratando gente jovem e focando em novidades por uma simples razão. Se você não fizer, alguém vai fazer.

6 – Não ligue se a ideia não for econômica e legalmente viável
Ideias são frágeis, facilmente quebráveis. Então, dê o devido cuidado para as ideias no que diz respeito à sua legalidade e contabilidade. A ideia faz sentido econômica e legalmente? Aqueles que têm maior intimidade com o processo de adoção de ideias são os mesmos que, mais facilmente, terão as suas próprias sugestões colocadas em prática. Este incentivo a participar deve vir do alto escalão da empresa, recomenda Koulopoulos.

7 – Ter muito, mas muito medo de fracassar
Na pesquisa com CIOs, 25% dos entrevistados revelaram ser o medo de falhar uma das razões para que uma cultura de inovação não fosse criada na empresa. Como não se pode antever com 100% de certeza no que dará a implantação de uma nova ideia, os riscos existem e assustam. Mas a verdade é que, sim, você falhará algumas vezes. Como uma criança que aprende a andar de bicicleta, você simplesmente não conseguirá se mover se não ousar cair. A pergunta é: você está numa organização que irá tolerar as falhas em nome da inovação? E você mesmo? É ousado o suficiente?

FONTE:

Diann Daniel

Publicada em 20 de agosto de 2012 às 07h00

Como evitar ataques internos?

2012-05-10T16:09:00.000-07:00

Definir e divulgar Processos e Politica de Segurança da Informação básico, funcional e gerenciado;
Desenvolver Programas periódicos de Conscientização e envolver todos com patrocino da alta gestão.
restringir ao máximo o acesso dos usuários às informações sensíveis à organização;
restringir o acesso físico às áreas críticas;
definir e divulgar normas e políticas de acesso físico e lógico;
definir responsabilidades para o uso e divulgação das informações;
implantar soluções de criptografia para informações críticas de negócio;
ativar e monitorar logs dos procedimentos críticos;
controlar o acesso de prestadores de serviços as áreas críticas e as informações.

Obs.: Esses são os itens mínimo que se espera e deseja-se para credibilidade de um ambiente seguro.

Abaixo seguem alguns tipos de ameaças internas:

roubo de informação;
alteração ou destruição de informações;
danos físicos a hardware;
alteração de configurações e danos lógicos à rede.

O melhor nível de Segurança aplicado estão nas pessoas, e sensibilizá-los que a Segurança da Informação existe e esta aí não para intimidá-los e sim para "proteger" o negócio da empresa, a todos e sua sobrevivência.

Quando realmente conhecemos as consequências a chance e probabilidade de ser eficaz será maior, Segurança da Informação tem muito mais have com a EDUCAÇÃO do que com a força bruta. Pensem nisso e busquem o equilíbrio que seus investimentos serão mais baixos e suas empresas serão mais feliz e rentáveis!!!

Abraços

Longinus Timochenco

Vencer é uma questão de postura

2012-05-10T15:56:00.002-07:00

Introdução:

          Vivemos em um mundo extremamente competitivo. Somos bombardeados, diariamente, com notícias sobre como o mercado de trabalho está difícil, como somente pessoas altamente qualificadas conseguem bons empregos e assim por diante. O ponto que quero abordar, nesta coluna, é sobre o que exatamente significa "altamente qualificado".

           Não podemos, de maneira alguma, achar que "altamente qualificado" significa apenas o domínio dos conhecimentos técnicos ligados a sua profissão. É obvio que os conhecimentos técnicos são e sempre serão fundamentais, isto não está em discussão. Mas também é verdade que estudantes brilhantes, que tiram as melhoras notas na universidade, muitas vezes não conseguem tornar-se profissionais brilhantes e bem sucedidos, como era de se esperar. Muitas vezes aquele que foi o primeiro aluno da turma de medicina, hoje está trabalhando em dois ou três plantões de hospitais públicos, ganhando pouco, enquanto que um dos últimos da turma obteve sucesso, já tem a sua clínica particular e é um profissional referência na sua área de atuação. Como explicar esta "aparente" contradição? Eu acredito que para entendermos o porquê isto acontece temos que pensar em termos, não do "profissional atual" ou do "profissional qualificado", mas sim do "ser humano atual" ou do "ser humano qualificado".

           Nesta coluna vou apresentar algumas características do "ser humano" como um todo, características estas que eu considero fundamentais para a construção de uma carreira de sucesso (em uma das próximas colunas vamos discutir o que significa "uma carreira de sucesso", pois, sendo um conceito muito subjetivo, pode ter diferentes significados para cada pessoa). As características/aptidões que serão apresentadas nesta coluna compõem o que eu gosto de chamar de "postura" do ser humano em relação ao seu trabalho e a sua vida de uma maneira geral.

5 Posturas Importantes Para a Sua Carreira

          Postura 1 - Saiba trabalhar e valorize o trabalho em equipe: Somos avaliados e, conseqüentemente, remunerados de acordo com os resultados que produzimos, quer seja para a empresa que trabalhamos quer seja para os clientes que atendemos. Hoje em dia somente é possível conseguir bons resultados trabalhando em equipe, de uma maneira cooperativa com doses saudáveis de competição. Quando não existe o espírito de equipe é comum vermos situações em que alguém está mais preocupado em não deixar que o colega se destaque do que obter o próprio sucesso. Em uma verdadeira equipe todos tem um objetivo comum e trabalham para alcançar este objetivo. No final todos ganham, pois a equipe produz bons resultados.

          Postura 2 - Não perca tempo procurando culpados: Já vi casos em que um determinado projeto estava atrasado. Ao invés da equipe concentrar esforços para recuperar o tempo perdido, passou a buscar culpados e a elaborar relatórios extensos que, supostamente, explicariam o fracasso da equipe e comprovariam a culpa de "A", "B" ou "C". Se tivessem concentrado esforços provavelmente conseguiriam terminar o projeto a tempo e com o nível de qualidade exigido. Esqueça a busca por culpados. Não pense, nunca, no problema, pense sempre na solução. O mercado quer profissionais que, diante de um problema, concentrem esforços na busca de soluções e não na busca de culpados/explicações. Claro que imprevistos existem e injustiças são cometidas. O importante é não se apegar ao que aconteceu ou ao que foi perdido, ao contrário, concentre seus esforços em buscar alternativas, novos caminhos, esta é a postura esperada.

          Postura 3 - Não seja um mero cumpridor de normas, seja rebelde na medida certa: Pode parecer estranho mas as empresas modernas não investem no funcionário que se limita a cumprir tudo o que lhe é determinado, sem questionar e sem sugerir mudanças. Seja crítico, esteja sempre questionado se as coisas tem que ser feitas da maneira como está definido ou se podem ser mudadas para melhor. Não fique limitado a cumprir o que foi determinado. Lembre que você não é pago para cumprir normas, mas sim para obter resultados, desde que estes sejam obtidos através de meios éticos. Temos dois exemplos típicos em que as normas foram cumpridas, porém os resultados foram desastrosos:
          1) A Plataforma P-36 da Petrobrás afundou. Foi feita uma investigação, a qual concluiu que não houve culpados, pois todos cumpriram o que estava definido nos manuais de operação. Ou seja, as normas foram cumpridas e isto é o suficiente, mesmo que os resultados fossem desastrosos. Que grande bobagem, muito mais importante do que cumprir as normas teria sido salvar, em primeiro lugar, a vida de 11 operários e depois a plataforma de meio bilhão de dólares.
          2) Durante a segunda guerra mundial foi descoberto um erro nos manuais de combate/estratégia, para os pilotos ingleses. Este erro, em determinadas situações, poderia expor os pilotos a um risco maior do que o necessário. O incrível é que, mesmo após a descoberta do erro, o procedimento não foi modificado enquanto as novas versões do manual não foram impressas e distribuídas. Dispensa maiores comentários. As empresas modernas gostam do funcionário que questiona, que gosta da mudança, pois este funcionário estará sempre contribuindo para a melhoria da empresa. Existem casos de empresas americanas que punem, com uma multa simbólica, os projetos que apenas atingem os objetivos inicialmente traçados e distribuem prêmios em dinheiro (verdadeiro, nada simbólicos) para os projetos que são um grande fracasso, mas que tentaram inovar, fazer algo diferente. A empresa sabe que um dia a equipe que fracassou vai acertar e, que este acerto, trará grandes benefícios (ou em outras palavras: lucro) para a empresa.

          Postura 4 - Compartilhe informações e conhecimentos, esteja sempre disposto a ajudar: Sabe aquele profissional que ocultava informações dos colegas pois acreditava que a "posse" destas informações poderia ajudar no crescimento da sua carreira? Provavelmente ainda existe este profissional, porém esta postura é inadmissível. Por isso existem as redes de computadores e as Intranets corporativas, para que as informações sejam compartilhadas por todos na empresa. Também é importante que você esteja sempre disposto a ajudar os seus colegas, a ensinar o que você aprendeu. Aliás um dos perfis de profissional mais valorizado atualmente é justamente o profissional que domina os conhecimentos técnicos da sua profissão e, ao mesmo tempo, é capaz de ensinar estes conhecimentos para os seus colegas, sem temer a competição.

          Postura 5 - Trabalhe com amor, com dedicação, com o coração, de tal maneira que as pessoas não saibam se você está trabalhando ou se divertindo: Esta postura é baseada na máxima zen que diz o seguinte: "Quem é mestre na arte de viver distingue pouco entre o trabalho e o tempo livre, entre a própria mente e o próprio corpo, entre a sua educação e a sua recreação, entre o seu amor e a sua religião. Com dificuldade sabe o que é uma coisa e outra. Busca simplesmente uma visão de excelência em tudo que faz, deixando que os outros decidam se está trabalhando ou brincando. Ele pensa sempre em fazer ambas as coisas ao mesmo tempo". Este trecho resume bem o que significa gostar do que se faz, trabalhar com amor, com dedicação. Pelé já nasceu com o dom para jogar futebol, mas como amava demais o que fazia, ele treinava mais do que todos, exaustivamente, simplesmente porque era isso que o fazia feliz. Eu sempre brinco com meus amigos que, quando saio pela manhã, eu não vou trabalhar, ao contrário, vou me divertir. Na minha infância eu sempre brincava de ser professor. Quando lecionei pela primeira vez, para uma turma de colegas da faculdade de Engenharia, ao terminar a aula e ver que todos gostaram e que eu, mesmo sem experiência nenhuma, consegui dar uma aula de gente grande, uma emoção muito forte tomou conta de mim, tive a sensação de estar fazendo a coisa certa, de estar sendo útil, não me contive e chorei, mas foi um choro de alegria, de sonho realizado. Durante a infância eu também brincava de ser escritor. Guardo até hoje algumas páginas que esbocei nesta fase da minha vida. Este foi mais um sonho que eu consegui realizar. Quando recebi em mãos, o meu primeiro livro mais uma vez não me contive. Senti a mesma alegria da primeira aula, a sensação de ter realizado mais um sonho. Quando os meus amigos perguntam a quanto tempo eu e minha esposa estamos juntos eu brinco dizendo o seguinte: "que ela sabe, uns 10 anos, mas que eu namoro ela faz uns 12 anos, ou seja, eu namorava ela mas ela não sabia e eu não contei antes de medo de terminar o namoro." Hoje já somos casados a 6 anos e estou muito feliz. A sensação: a mesma, ou seja, mais um sonho realizado. Vejam que foram dois exemplos de trabalho e um da vida pessoal, mas como diz a máxima zen, não cabe fazer diferença entre trabalho e vida pessoal, se ambos nos fazem felizes. Em resumo: o seu trabalho tem que ser uma fonte de prazer, de alegria e de emoções positivas e não simplesmente um mal necessário para que você possa sobreviver e pagar as suas contas. A postura que temos que tomar é a de jamais desistir do que realmente queremos. Claro que as vezes temos que adiar o sonho, pois afinal temos contas a pagar. Mas o importante e não desistir jamais.

Conclusão e dicas:

          Na minha opinião o seguinte ponto resume o que se espera do ser humano como postura em busca de um mundo melhor: "Se queremos profissionais melhores e mais qualificados temos que trabalhar para criar seres humanos melhores, mais preparados. Precisamos ensinar as pessoas a amar mais, a não ter preconceitos, a expandir suas consciências, a aceitar e conviver com as diferenças, a buscar sempre o melhor, a não ser levados pelo consumismo exagerado e, principalmente a amar mais as pessoas e usar as coisas e não o contrário (amar as coisas e usar as pessoas), que é o que acontece hoje em dia.."Para ler e refletir sobre as idéias apresentadas nesta coluna, eu recomendo os seguintes livros:

"Liderando a Revolução", Gary Hamel, Editora Campus.
"A Conexão Planetária", Pierre Lévy, Editora 34.
"A Economia do Ócio", Domenico de Masi, Editora Sextante.

FONTE: Julio Battisti

PenTestMagazine - Auditing & Standards 1/2012

2012-02-10T07:33:00.000-08:00

Primary Care and Safety Alerts on Social Networks

by Longinus Timochenco
Today social networks are the best way to interact with other Internet users, worldwide Internet users have a profile on at least one social network. The
vast majority of people use these sites to keep in touch with your friends and make new friends. There are a plethora of websites that connect people
around the world, such as Facebook, MySpace, Orkut and Sonico.

Basic Security for Smartphones and Tablets
by Longinus Timochenco
A recent study by consulting bigest players in IT and Security show that the development of mobile devices is a trend for the next 12 to 18
months. The mass use of devices such as smartphones and tablets poses a challenge: security. For us experts on Information Security,
the same precautions that users have with the PC should be applied to smartphones and tablets.Author quote a few key tips to prevent these
devices from being infected by viruses or data violated.

More details visit this url - http://pentestmag.com/auditing-standards-12012/

Best Regards All

Longinus Timochenco

Administrar seus Firewalls

2011-12-29T05:45:00.000-08:00

A missão de gerenciar uma política de firewall não deveria ser das mais complexas. A primeira lição para quem se inicia no tema não deixa de ser inspiradora para uma vida tranquila: bloqueie tudo e libere apenas o que tem que ser liberado. E realmente a tarefa não é complicada quando a empresa tem poucos dispositivos e poucas regras para gerenciar. Essa situação no entanto muda quando uma dessas variáveis é alterada. Uma situação típica é quando a empresa precisa aderir à alguma norma regulatória do governo ou do mercado, como o PCI-DSS da indústria de pagamentos por cartão. Basta o diretor de segurança avisar ao administrador do firewall que ele precisa adequar a política de segurança a uma determinada regra que a coisa começa a complicar.

Em geral eu recomendo que uma empresa identifique um produto complementar de administração de firewall quando ao menos uma das condições abaixo existe:

Há muitos firewalls não isolados em funcionamento. Por não isolados quero dizer dispositivos que protegem diferentes segmentos da mesma rede, e portanto um usuário ou grupo pode ter acesso via mais do que um deles. É como se a empresa tivesse uma única e grande política distribuída entre diversos equipamentos;
Há firewalls de diferentes fabricantes em operação, situação comum em fusões ou aquisições (sem contar é claro empresas de datacenter e gerenciamento de segurança, para os quais tais sistemas é quase um requerimento);
Quando a política de segurança implementada é muito extensa e granular, fazendo com que mudanças de regras seja sempre uma tarefa complexa. Nesses ambientes encontramos facilmente regras conflitantes e muitas já inúteis, cujo único efeito prático é aumentar a carga de processamento do equipamento.
Existe a necessidade se aderir a normas regulatórias que implicam em adequações nas regras de acesso a sistemas ou segmentos de rede.

Principais ameaças para Segurança da Informação em 2012

2011-12-22T20:01:00.000-08:00

“Caros leitores e internautas, é de extrema importância a nossa atenção e preocupação ao navegar e utilizar de todos os beneficios disponívies do nosso mundo tecnológico, A proliferação do cloud computing e a adoção de dispositivos móveis e aplicações Web estão promovendo inovações comerciais e gerando benefícios/flexibilidades sociais. Mas esse mundo hiper-conectado traz consigo uma série de novos desafios de segurança.”

Proliferação de malwares móveis

Smartphones e tablets são os alvos mais óbvios, sendo a base Android, provavelmente, a mais atingida.

Ataques a lojas de aplicativos
Aplicativos infectados serão os principais meios de ataque. Os cibercriminosos postarão suas aplicações infectadas em lojas de aplicativos não autorizadas para tentar atrair usuários desavisados para o download desses aplicativos.

Aumento dos ataques de engenharia social
A principal preocupação prevista será o spear phishing: tentativa de fraude por e-mail, que tem como alvo uma organização específica, buscando o acesso não autorizado a dados confidenciais.

Novas preocupações com o IPv6
O governo federal ainda está lutando com a implantação de dispositivos habilitados para IPv6 (versão mais atual do protocolo IP, sucessor do IPv4). As vulnerabilidades e ameaças específicas do IPv6 serão uma importante preocupação em 2012.

fonte:ICSA Labs (equipe responsável pelo 2011 Data Breach Investigations Report, estudo conduzido pela Verizon Communications em parceria com o Serviço Secreto Americano)

O funcionário é estratégico para a empresa?

2011-05-05T09:14:00.000-07:00

Prezados Leitores e Amigos,

Li a resenha de uma palestra sobre Gestão de Capital Humano que dizia que o único bem da empresa que não pode ser copiado atualmente são as pessoas. Entendo que o mais importante é sempre refletirmos sobre tudo, com certeza encontraremos soluções mais eficientes ou no minimo provermos melhorias.

Segundo o Instituto GREAT PLACE TO WORK®, um excelente lugar para se trabalhar é aquele em que os funcionários acreditam nas pessoas para quem trabalham, têm orgulho do que fazem e gostam das pessoas com quem trabalham.

Qualquer empresário inteligente gostaria de ter um exército de profissionais que “vestisse a camisa” da empresa verdadeiramente, impulsionando o negócio.

Tenho um exemplo simples. Já entrou numa loja de roupas e foi atendido prontamente, com um sorriso sincero e um eloqüente “bom dia, senhor, como posso ajudá-lo?”. E em outra loja de sapatos, no mesmo Shopping, quando entrou para perguntar o preço de um produto, o atendente de forma desleixada, prostrado atrás do balcão como se estivesse cansado e aborrecido, o atendeu sem quase lhe dirigir o olhar?

Em qual loja você estaria mais inclinado a comprar? Ou ainda, em sua opinião, qual loja deve vender mais? Ou ainda, que loja você não recomendaria? Acho que estou adivinhando a sua resposta. Bom, pensando nesse cenário, há outra pergunta importante a fazer: o que a loja de roupas deve fazer de diferente da loja de sapatos em relação à gestão do seu capital humano?

Está claro para mim que funcionários satisfeitos são mais aplicados, produtivos, gerando mais rentabilidade e valor para as empresas.

Um ponto crítico a ser avaliado é a rotatividade de pessoal, bastante conhecida pelas corporações como “TurnOver”. Resumirei neste parágrafo um artigo interessante que trata do assunto, publicado no site OGerente.com. Ele diz que a rotatividade de pessoal de uma empresa é um excelente indicador de saúde da mesma e quando o TurnOver é excessivo, indica que há algo de errado. O TurnOver representa perda importante do conhecimento da empresa e pode custar caro. Apesar de muitas empresas acreditarem que quando a saída do colaborador é por sua própria decisão, a mesma não a afetará, isto significa um grande engano. O profissional desligado da empresa criou vínculo importante com os colegas, clientes, fornecedores, além de estar familiarizado com os diversos processos e atividades. Deve-se analisar então qual foi o gasto com treinamento do profissional desde que iniciou na empresa, quais foram os custos com a burocracia contratual e outros gastos difíceis de mensurar, quanto custará substituir, capacitar e manter outro profissional motivado no lugar daquele que deixou a empresa.

Penso que a gestão inteligente desse capital humano dependa da criação de um ambiente propício ao desenvolvimento profissional, que seja motivador, interessante, com desafios, estabeleça relação de confiança, premie as boas idéias e projetos, gerando um vínculo positivo entre os funcionários e a empresa, como se cada colaborador naturalmente se colocasse na posição de dono ou sócio, se preocupando legitimamente com a imagem e com o resultado obtido.

Com a intenção de ter no time aqueles talentos que fazem a diferença e alavancam o negócio, a empresa precisa parar para pensar seriamente na busca e retenção desses profissionais, avaliação do desempenho com objetivo de entender gaps e direcionar melhor o investimento em capacitação ou reciclagem, assim como no modelo de compensação, benefícios, premiação, entre outros.

Devem ser feitas periodicamente pesquisas de satisfação e engajamento do time para que a empresa consiga entender problemas escondidos e tomar medidas corretivas a tempo. Adicionalmente, com profissionais ocupando posições estratégicas na companhia, é fundamental pensar também na sucessão.

Discutindo o tema com um amigo, tive como feed back que investir no funcionário e acreditar que ele é estratégico para a empresa depende muito do segmento e do posicionamento da empresa.

No segmento de tecnologia, ele entende que investir em pessoas é uma das prioridades para as empresas, mas em empresas de venda de grandes volumes, onde o objetivo é vender barato e com velocidade, portanto o investimento em pessoas pode não ser prioridade. Eu concordo que muitas empresas ainda não pensem em gestão de capital humano, mas na minha opinião, creio que mais cedo ou mais tarde muitas dessas corporações serão engolidas pelo mercado e as demais devam ficar estagnadas.

É claro que muitos consumidores continuarão comprando preço, mas há limites. Se uma loja vende o par de sapatos 10% mais barato que a outra, mas o profissional que o atende está mal vestido, com postura inadequada, o tratando sem educação, sem conhecer bem os produtos da loja, passando uma energia ruim, o mais provável é o cliente dar meia volta e tentar negociar algum desconto com a loja que o atende melhor. A satisfação do funcionário em trabalhar em uma empresa transmite para o cliente mais confiança, conforto e atenção. A comunicação flui melhor e favorece o fechamento do negócio.

Para se ter idéia da importância desse assunto no cenário atual, as médias e grandes empresas estão buscando cada vez mais ferramentas poderosas para apoiar na gestão estratégica de pessoas e de capital humano. E existe tecnologia de ponta disponível. Em minha opinião, só a tecnologia não basta. As empresas precisam mudar profundamente sua forma de pensar e agir, colocando a gestão de capital humano como parte da estratégia do negócio. E tem que fazer parte da cultura da empresa.

As empresas só tem a ganhar com uma boa gestão de capital humano.

Abraços a todos.

Longinus Timochenco

Information Security and IT Governance: 6 passos práticos para melhorar a governança de TI...

2011-03-11T20:21:00.000-08:00

Information Security and IT Governance: 6 passos práticos para melhorar a governança de TI...: "O desejo de melhorar a governança quase sempre começa com uma avaliação de que algo não está funcionando bem nos processos de tomada de deci..."

TI Verde: menos marketing, mais resultados.

2010-04-06T13:49:00.000-07:00

A grande onda de investimento em TI Verde ainda está para acontecer, avalia Rodrigo Parreira, diretor executivo da PromonLogicalis. E sua opinião é compartilhada por diversos gestores de TI. A boa notícia é que muitas empresas - como o Banco Itaú e a Liberty Seguros - já vêm amadurecendo, e muito, essa visão. E, o mais importante, sem romantismo.

O centro da implementação de TI Verde nas companhias tem menos a ver com política ambiental do que com planejamento para expansão e redução de custos e, se isso vier embalado em um pacote de responsabilidade sócio-ambiental, melhor, garante Parreira.

O Banco Itaú, por exemplo, tem uma política de melhores condições de financiamento para empresas socialmente responsáveis, mas quando se fala de política de redução de gastos de energia, o ponto principal são custos. “Atualmente, o consumo de energia representa 47% dos nossos gastos em infra-estrutura, algo muito significativo”, afirma João Bezerra, diretor de operação, computadores e telecom do banco.

Ele explica que o consumo de energia é, no Itaú, uma questão estratégica e a diretriz é controlar os gastos para garantir a sustentabilidade do crescimento. Por isso, já em 1997, o banco iniciou a consolidação de seus data centers. De dez, passaram para apenas dois. Outros dez data centers das empresas adquiridas também foram consolidados (incluindo o do Bank Boston) nos últimos dez anos.

O que Bezerra considera como a segunda fase para a consolidação de um data center também foi concluída: a migração para máquinas mais potentes. Hoje o sistema do Itaú roda em 16 mainframes, sendo que o esse número já foi de 30.

Como se isso não fosse o bastante, os servidores da instituição financeira estão sendo virtulizados, a maior tendência entre iniciativas de TI Verde. “Já temos 400 máquinas virtualizadas; cerca de 250 estão em processo e, em 2009, o projeto incluirá mais mil servidores”, detalha o diretor de operações.

A Liberty Seguros pretende melhorar em 40% a eficiência energética de seu data center, por meio da reconstrução e da adoção de corredores quentes e frios, por exemplo. Paulo Franco, CIO da seguradora, sabe, porém, que este é apenas o começo de uma série de medidas.

A companhia, que adquiriu a Indiana Seguros no final do ano passado, inicia um projeto para virtulizar seus desktops. “Os benefícios vão além da eficiência energética. Vamos poupar com licenças ociosas – em período de férias, por exemplo - que podem ser redirecionadas. Além disso, ganharemos maior controle com a gestão centralizada. Acho que esse é o próximo grau de TI Verde a ser adotado pelas corporações”, explica Franco.

A ampliação dos projetos de TI Verde para além do data center também ocorre no Itaú. “Estamos trocando os nossos monitores por modelos de LCD, serão trocadas 5 mil unidades, o que significa uma economia de 700 mil reais por ano em consumo de energia”, explica José Bezerra.
A virtualização de desktops também está em curso. “Começamos na linha financeira, onde há maior necessidade do ponto de vista operacional. Esses equipamentos consomem 80% menos”, afirma Bezerra. Segundo estimativa de sua área, nos próximos dois anos – quando for concluída a migração dos 5 mil desktops para thin clients - o banco economizará dois milhões de reais em energia por ano.

“A TI Verde também é feita de pequenas iniciativas”, lembra o diretor de operações da instituição financeira. Adotamos uma ferramenta de gestão de impressão que deve reduzir de 15 a 20% o volume de impressões. O controle maior do que é impresso poupar 20 mil reais por ano, e ainda é uma ação socialmente responsável, que valoriza a empresa diante dos clientes e funcionários”.

Ressalto que para bom gestor entende que soluções de TI Verde só são implementadas quando têm valor para o negócio.