Oracle Database Vault: introdução a Realm

RESUMO

Objetivo deste artigo é explorar uma outra feature do Oracle Database Vault, o Realm. Veremos como é possível impedir o acesso de super users a determinado objeto, role ou mesmo a schemas inteiros.

 

INTRODUÇÃO

Este é o terceiro de uma série de artigos introdutórios a Oracle Database Vault (ODV). Vimos como configurar, as principais mudanças nas atividades do DBA e a segregação de funções em [1]. Vimos também como funcionam Factor, Rule, Ruleset e Command Rule em [2] e como podemos combiná-los para proteger um objeto, um schema ou mesmo o DB inteiro contra determinada instrução SQL.

Usaremos novamente um DB na versão 12.1.0.2 com o ODV habilitado com as configurações defaults, acrescentando apenas com as mudanças realizadas nos artigos anteriores, mas elas não necessárias. Teremos o C##DONO que possui a role DV_OWNER e o C##CONTAS com a DV_ACCTMGR.

O componente que trataremos neste artigo será o Realm (Domínio) e tentaremos ilustrar sua funcionalidade com alguns exemplos. Ele atua como um nível de proteção “mais forte” que os conhecidos privilégios de sistemas/objetos. O escopo pode ser específico a nível de determinado objeto ou amplo como tipos de objeto ou schemas.

 

CENÁRIO PARA TESTE

Para preparar nossos testes, vamos começar com a criação de users e roles que serão necessários. Contextualizando também o cenário inicial, vemos que é possível com o SYS consultar todos os objetos do schema HR mesmo com o ODV habilitado.

 

Vamos criar um user USER_CONSULTA_HR que possuirá permissão de leitura em HR.EMPLOYEES e HR.DEPARTMENTS.

 

Criaremos também uma Role que utilizaremos no último exemplo:

 

REALM

O Realm é como uma zona de proteção em que você pode colocar roles, objetos ou mesmo schemas inteiros. Com ele, é possível blindar os dados contra usuários com privilégios de sistema (como SELECT ANY TABLE, por exemplo). E isso inclui, especialmente, proteção contra o DBA [3].

Adicionar o schema HR dentro de um Realm, por exemplo, provocará erros de falta de privilégios caso seus objetos sejam acessados por um DBA ou alguém que possua SELECT ANY TABLE.

Os atributos de um Realm são:

– Name

– Description

– Enable

– Autid Option

– Type

Os dois primeiros são triviais, olhemos então para o Enable. Mas este também é trivial! Sim, só gostaríamos de chamar a atenção de como devemos utilizá-lo aplicando a API disponibilizada. Os valores aceitos para Enable são estes abaixo:

– DBMS_MACUTL.G_YES (default)

– DBMS_MACUTL.G_NO

 

Podemos também definir quando auditaremos os acessos. As opções são simplesmente não auditar, auditar falhas, auditar sucessos ou ambos.

Audit_options:

– DBMS_MACUTL.G_REALM_AUDIT_OFF (default)

– DBMS_MACUTL.G_REALM_AUDIT_FAIL

– DBMS_MACUTL.G_REALM_AUDIT_SUCCESS

– DBMS_MACUTL.G_REALM_AUDIT_FAIL + DBMS_MACUTL.G_REALM_AUDIT_SUCCESS

Quanto ao tipo, a discussão é interessante e tentaremos mostrar em detalhes através de exemplos. Há dois tipos: o REGULAR (0) e o MANDATORY (1).

A diferença entre começa no fato de que o REGULAR protege apenas os objetos contra users com “privilégios de sistema” (SELECT ANY TABLE). Porém, isso não impede de usuários que tenham privilégio de objetos de realizar a consulta (grant de SELECT/READ explícito nos objetos do HR ou via ROLE).

Já o Realm MANDATORY é um pouco mais restritivo. Nem mesmo os usuários com privilégio de objeto poderão consultá-los. Neste caso, é necessário conceder “privilégio no Realm” ao usuário que pretende fazer o acesso. Vale frisar que esta discussão inclui o owner dos objetos protegidos. Ou seja, se protegermos o HR com um Realm MANDATORY, ele perde a permissão de consultar os próprios objetos. Interessante, não?

 

Vejamos como funciona primeiramente os Realms do tipo REGULAR.

 

Aqui temos um Realm, entretanto, ele ainda não protege nada. Precisamos dizer quais são os objetos que ele deve englobar. Podemos especificar owner, nome do objeto ou mesmo seu tipo e caso precise generalizar, pode ser utilizado o “wildcard”: ‘%’. Vamos começar adicionando a tabela HR.EMPLOYEES abaixo dele.

 

A partir de agora, usuários com privilégios de sistema não conseguirão mais ver os dados desta tabela. Veja o que ocorre com o SYS:

 

Porém, aqui ainda é possível o acesso de users que possuam privilégios do objeto, como é o caso do USER_CONSULTA_HR:

 

Antes de avançar, vamos ver como estão as configurações e aproveitaremos para conhecer as views com os metadados de Realms:

 

Até aqui nenhum segredo, falamos de todos estes atributos. Vejamos como está nosso ambiente.

 

Note que tivemos um outro efeito com esta proteção: não é mais possível conceder permissão de leitura nesta tabela. Resolveremos este ponto adiante.

 

Explorando um pouco mais o conceito de Realm, vamos falar do tipo que é mais restritivo, o MANDATORY. Como citado acima, ele impede quem tenha privilégios de sistema, privilégios de objetos e até mesmo o owner de fazer consultas em objetos protegidos.

Para ilustrar, vamos alterar o tipo do Realm PROTECT_HR para MANDATORY e, com isso, esperamos que o USER_CONSULTA_HR perca o acesso de leitura, visto que será necessário um privilégio a mais para conseguir “chegar” aos dados [4].

 

Consultando novamente, vemos que temos um Realm MANDATORY:

 

Vamos testar o acesso de USER_CONSULTA_HR aos dados protegidos (EMPLOYEES) e não protegidos (DEPARTMENTS).

 

Veja o que ocorreu com o HR:

 

O próprio owner perdeu acesso a seus dados. É nesse sentido que afirmamos que o MANDATORY é mais restritivo. Segundo a documentação, com sua utilização é necessária autorização explícita ao Realm. Ou seja, para acessar os dados, além dos devidos privilégios de objeto, será necessária autorização no Realm.

O que seria esta autorização no Realm? São dois os tipos de permissão: Participante (DBMS_MACUTL.G_REALM_AUTH_PARTICIPANT) ou Owner (DBMS_MACUTL.G_REALM_AUTH_OWNER). A principal diferença no tipo de autorização é que o tipo PARTICIPANT não permite a concessão de privilégios sobre os objetos protegidos. Para isso, é necessário a autorização do tipo OWNER.

Autorizando o USER_CONSULTA_HR como PARTICIPANT, resolverá o problema da falta de privilégio. Veja:

 

Precisamos também aumentar nossa query (removemos alguns campos para simplificar) que verifica a configuração atual, adicionando outra view:

 

E agora podemos ver que USER_CONSULTA_HR é PARTICIPANT do Realm PROTECT_HR. Será que isso resolve o problema de falta privilégio? Resolvido.

 

Para ilustrar a diferença, vamos conceder o mesmo nível de privilégio para o HR e em seguida vamos resolver um outro ponto citado acima.

 

O problema citado foi o user HR não conseguir conceder privilégio de leitura em uma tabela protegida, embora consiga agora acessar a tabela.

 

Para que seja possível, precisamos alterar o tipo de privilégio do HR para OWNER do Realm.

 

Agora temos:

 

Isto resolve nosso problema, confira:

 

Faltou ainda falar de um outro atributo da “autorização” a nível de Realm, os Rulesets. Deseja permitir o acesso apenas se determinadas condições forem verificadas? A partir de determinado host? Apenas em certos horários? Este é o ponto chave para atingir este objetivo. Falamos de Rulesets em [http://www.oracle.com/technetwork/pt/articles/idm/rule-ruleset-command-rule-vault-3038750-ptb.html] e citamos que elas poderiam ser utilizadas aqui.

Aumentando a especificidade do nosso exemplo, aproveitarei para incluir um questionamento que nosso time recebeu da equipe de Sec. Como fazer para que a concessão de privilégios tenha prazo de validade? Com os pontos que já discutimos nos artigos anteriores, temos condições de resolver este ponto.

Faremos agora com que o Realm só permita acesso do USER_CONSULTA_HR aos dados até um horário determinado: 10h 35min do dia 18/06/2016. É uma forma não depender de uma ação manual para removê-lo no futuro. Vale enfatizar que o Ruleset está vinculado com a autorização e, portanto, pode afetar apenas determinado user.

Vamos criar uma Rule e um Ruleset e associá-los.

 

Precisamos também alterar a autorização dada ao USER_CONSULTA_HR para que seja também validado o Ruleset:

 

Verificando a configuração, temos:

 

E finalmente, só admirar o resultado:

 

Último ponto que discutiremos nesta introdução a Realms, será como proteger também as Roles. No começo do artigo criamos uma role ROLE_READ_SCOTT. Vamos conceder privilégio de leitura em uma tabela do SCOTT e em seguida criar um Realm para proteger a Role. Depois, tentaremos conceder outro privilégio.

 

Grant concedido com sucesso. Agora a criação do Realm e incluindo a Role na proteção.

 

Analisando o resultado:

 

E agora que a Role está protegida, podemos conceder privilégio de leitura na SCOTT.DEPT?

 

A forma de “resolver” a violação é fazer com que o SCOTT tenha autorização de OWNER no Realm.

 

E o resultado:

Desta forma, vimos que podemos evitar que privilégios sejam adicionados ou removidos de determinada Role se a protegermos com Realm. Somente quem for autorizado como OWNER do Realm poderá fazer o Grant/Revoke.

 

CONCLUSÃO

Neste artigo exploramos uma outra feature poderosa do Oracle Database Vault. Este é o componente responsável por impedir o acesso de usuários privilegiados aos dados sensíveis. Vimos os diferentes tipos de Realms e que podemos escolher quando auditaremos os acessos (ou tentativas). Falamos também o quão específico ou genéricos podemos ser quando o assunto é proteger os dados.

Há ainda pontos a serem explorados nós próximos artigos como autorização para datapump e patches, auditoria, roles, schedulers, etc. Faremos na medida do possível.

 

REFERÊNCIA

[1] http://www.oracle.com/technetwork/pt/articles/idm/seguranca-oracle-database-vault-2999070-ptb.html

[2] http://www.oracle.com/technetwork/pt/articles/idm/rule-ruleset-command-rule-vault-3038750-ptb.html

[3] https://docs.oracle.com/database/121/DVADM/cfrealms.htm#DVADM70144

[4] https://docs.oracle.com/database/121/DVADM/cfrealms.htm#DVADM71156

 

Ataques DDoS atingem novo patamar, qual será o futuro?

Sempre me questionei a respeito do que aconteceria se um ataque digital fosse feito usando centenas de milhares de dispositivos móveis ao redor do mundo, e me deparei no passado perdendo o sono diversas vezes com algo desta magnitude. Infelizmente hoje podemos dizer que algo similar aconteceu recentemente no mês de setembro e outubro deste ano. Neste cenário, é fácil dizer que não foi surpresa o ataque ter acontecido, mas foi realmente uma surpresa a forma como foi feito.

Preocupado com este cenário, venho acompanhando o crescimento do número de dispositivos conectados à internet, sejam eles celulares, tablets, câmeras, roteadores wireless ou diversos outros tipos de equipamentos, há mais de 3 anos e facilmente ver-se que existe um crescimento surpreendentemente a cada ano. Segundo o Juniper Research, uma empresa especializada na elaboração de pesquisas, em 2020 teremos mais 38,5 bilhões de dispositivos conectados em todo o mundo. Considerando que todos nós certamente pensamos em segurança em um dispositivo antes de conectá-lo a internet, imagine o tamanho do estrago que teremos quando 38,5 bilhões de dispositivos estiverem enviando e recebendo informações em diversos cantos do mundo? Só no Brasil, segundo um estudo realizado pela Fundação Getúlio Vargas, existem mais usuários de smatphones do que de notebooks e tablets, adivinhe o novo resultado desta pesquisa quando tivermos mais opções a um preço menor para compra.

Olhando de forma ampla, podemos dizer que as opções para este post são muitas. Poderia eu aqui falar do crescimento espantoso de malwares bancários para dispositivos móveis, já que um recente levantamento da Kaspersky Lab, uma importante referência para pesquisas envolvendo o tema segurança, detectou mais de 77.000 trojans bancários, sendo 98% projetados para o sistema operacional Android, mas não vou! Poderia também discutir neste post a ameaça que expos mais de 100 milhões de usuários do WhatsApp, mas também não vou abordar isto hoje! Então, pelo amor de Deus, que tema você vai falar Denis?

Vamos detalhar o ataque digital que ocorreu em 21 de outubro nos servidores da Dynamic Network Services, conhecida como Web Dyn. Primeiramente é importante saber que a Dyn conduz o acesso a sites como Twitter, Netflix, Spotify ou CNN através dos seus servidores de DNS (Domain Name System) e ao receber este ataque, mais de 1,2 mil sites ficaram inacessíveis. Entenda que quando navegamos pela internet, precisamos dos servidores de DNS para apontar onde estão os sites desejados e sem eles nenhum ambiente Web pode ser alcançado.

As análises iniciais da própria Dyn apontam que o ataque superou 50 vezes a volumetria de seu acesso normal, recebendo uma volumetria maior que 1.2Tbps com origem em localidades como Ásia, América do Sul, Europa e US. Observe que a complexidade deste ataque poderia prejudicar qualquer site isoladamente, seja em grande ou pequena escala de impacto, mas acredito que neste caso certamente foi feito um estudo detalhado envolvendo a relação fragilidades vs impacto. Não tenho dúvida que a Dyn tinha diversas proteções, poderia ter sido bem pior se não tivesse, mas nada poderia preparar para o que aconteceu. O objetivo final de quem fez o ataque era afetar o máximo de empresas possível e isto segue o padrão do novo atacante digital, que é capaz de elaborar atividades focadas sempre em maior poder de devastação.

Entretanto, como podemos classificar ou identificar este ataque? Primeiro ponto, o alvo foi a infraestrutura da Dyn, impedindo que seu principal negócio fosse acessado. O volume de requisições recebido foi muito superior ao planejado. O segundo ponto que devemos analisar baseia-se em no fato de que o acesso à internet e a consulta a dispositivos como firewalls, roteadores e switchs recebeu tantas conexões que saturou, prejudicando seu funcionamento. Provavelmente foi até o momento o ataque mais complexo e sofisticado deste tipo já feito. Com isto podemos concluir que é o comportamento devastador de um ataque chamado Distributed Denial of Service/Ataque de Negação de Serviço (DDoS).

O primeiro ponto importante do ataque a Dyn é que o atacante estava se preparando há algum tempo, fazendo uso de maneira inteligente e coordenada do código público pertencente ao malware mirai, que afeta ambientes com o sistema operacional Linux e transforma-os em ambientes controlados remotamente.  Em linhas gerais podemos dizer que o atacante digital se aproveitou do conceito que guia a Internet of things/Internet das Coisas (IoT) e infectou diversos dispositivos ligados a internet, principalmente câmeras e dispositivos caseiros de armazenamento usando seus acessos conhecidos. Um ambiente infectado pelo Mirai vasculha continuamente a internet procurando por dispositivos não contaminados usando uma tabela com nomes comuns de usuários e senhas padronizados por fabricantes.

Note que nenhum ataque complexo buscando por falhas em programas foi feito e para remover o controle do Mirai basta remover o cabo de rede, reiniciar o dispositivo e mudar a senha do usuário administrador no dispositivo. Veja que as bases para um ataque desta magnitude estão na fragilidade humana, que novamente não seguiu regras simples baseadas na modificação de um usuário e senha.

Quem estuda segurança da informação identifica estes traços na técnica chamada de engenharia social. Tal técnica está presente na séria de ficção Mr. Robot, que em pouco tempo se tornou a primeira produção original do USA a ser indicada na categoria Melhor Série Dramática concorrendo a um Emmy, um dos maiores prêmios da TV. Mr Robot é uma série criada por Sam Esmail, Steve Golin (True Detective) e Chad Hamilton, sendo produzida pela Universal Cable Productions e encontra-se na segunda temporada, sendo exibida aqui no Brasil pelo canal Space.  A história acompanha a vida de Elliot (Rami Malek, de The Pacific), um jovem programador que sofre de uma desordem que o torna antissocial. As atividades de Elliot chamam a atenção de Mr. Robot (Christian Slater, de Mind Games), um misterioso anarquista que o convida a fazer parte de uma organização que atua na ilegalidade com o objetivo de derrubar as corporações americanas.

Retornando ao tema do nosso post, quero concluir dizendo que infelizmente tenho visto minhas previsões se concretizarem e a tendência é que encontremos pesadelos mais frequentes nas mesas de CSO, Gerentes de TI e diversos membros do board de corporações. Segurança é algo que não podemos descartar, precisamos ter sempre em mente que ataques como o sofrido pela Dyn estão e estarão cada dia mais presentes, necessitando do apoio de empresas de Data Centers, provedores de acesso internet e diversos especialistas que saibam quais são os caminhos para proteger contra quaisquer ataques digitais.

Links indicados:

Kaspersky Lab detecta mais de 77 mil trojans bancários em dispositivos móveis

27ª Pesquisa Anual do Uso de TI, 2016 – Estudo da Fundação Getúlio Vargas

Quantidade de objetos conectados no mundo alcançará 38,5 bilhões em 2020

Dyn Analysis Summary Of Friday October 21 Attack

 

Por onde anda o seu dinheiro? – O início da investigação

Quem de nós nunca se referiu à pessoal escassez econômica ou mesmo viu alguém referir-se ao triste desprovimento monetário, com aquele gesto universal onde o sujeito puxa para fora, e expõe seu límpido e inócuo bolso, em prova à total falta de notas ou moedas.

fsf

Porém, em tempos modernos, onde a circulação de cédulas bancárias ou moedas têm sido cada vez mais sufocadas pelos usuais e funcionais evolutivos métodos de “escambo” (chegaremos lá), tal gestual expressão ainda é comum. Mas vamos falar num sentido mais amplo, onde a dúvida maior sobre o paradeiro do seu dinheiro, realmente ainda é um mistério para muitos.

Desmistificando o dinheiro …

… mas antes, não temos como fugir da história, afinal a moeda, como hoje a conhecemos, é o resultado de uma longa evolução.

Há muitos e muitos séculos atrás ele não existia, mas, como sempre existiu a necessidade de comprar, as pessoas da época tiveram que dar um jeitinho e resolver o problema.

A primeira solução foi fazer trocas, então, como por exemplo se uma pessoa tinha colhido muitas frutas, mas precisava de peixe, e partia à procura de quem estivesse interessado nas frutas, mas também tivesse pescado em excesso, por exemplo. (*Daí o uso do sistema de comércio, chamado também de escambo). *Atualmente ainda encontramos pessoas que se utilizam dessa prática, inclusive há sessões específicas nos classificados ou dos jornais para anúncios de trocas, mas é claro que em escala muito menor do que antigamente. Outra situação identificada apenas pelos pais dos pequeninos, é o caso, por exemplo, da criança que troca com o coleguinha um brinquedo caro por outro de menor valor, qual deseja muito, sem preocupar-se com o valor diretamente relacionado.

dgsgrs

Contudo, embora de certa forma esse sistema suprisse as necessidades de sobrevivência, muitas vezes era difícil ter a noção do real valor da mercadoria a ser trocada. Assim, cada civilização arrumou uma forma de dar valor às mercadorias baseado em elementos que tinham algum significado. Aceitas por todos, assumiram a função de moeda, elementos dos mais variados como troca: gado, sal (que deu origem na Roma antiga ao nosso bendito salario), bambu etc.

sgerhgdf

Avançando rapidamente alguns séculos para seguirmos a velocidade que o nosso tempo exige, passamos da moeda-mercadoria, para a moeda metálica (ouro, prata e cobre), moeda-papel, cheques, … (proposital o não menção dos ‘modernos’ meios atrelados ao sistema bancário, afinal, esse exigiria alguns extensos tópicos adicionais)

Enfim, o que antes exigia-se do palpável elemento monetário, onde a expressão do bolso vazio, fazia muito mais sentido e que expressava literalmente a realidade, agora está sendo amplamente substituído pela praticidade do que o sistema bancário, tecnologicamente munido da praticidade do avanço que a internet (incluamos toda a tecnologia imputada nela) e necessidade de mobilidade têm trazido.

Isso responde inicialmente à pergunta: “Por onde anda seu dinheiro? ”

Proporcional ao consumo do meio escolhido, ele está em geral, de modo superficial, navegando e ‘voando’ pela rede mundial… sendo processados pelas administradoras de cartões, de passagem por algum smartphone, smartwatch, carteiras eletrônicas, instituições financeiras ou outro meio que surge ou é utilizado à cada novo momento ou boom inovador. (Esse artigo apenas abre a oportunidade de aprofundarmo-nos no tema)

O que antes era ficção nos tempos dos Jetsons, hoje é um presente passageiro, onde avançamos rapidamente para ser passado.

Então, fará cada vez menos sentido a gestual exposição do pano vazio de nossos bolsos físicos, sendo substituídos por indicativos azuis, verdes ou vermelhos, apontando positivo ou negativo de nossas contas, aplicativos ou instituições que que as fintechs estão cada vez mais em velocidades estrondosas, nos apresentando e dando continuidade ao estímulo que a criatividade humana  e encontrar novas formas de intermediar as trocas de aquisição de bens e serviços.

Abraços e até o próximo post.

Rodrigo

 

 

Indisponibilidade de aplicações: Qual é o prejuízo para a sua empresa?

Passei alguns anos da minha carreira construindo projetos em ambiente de Data Center requisitados por diversas empresas de setores industriais distintos e muitas vezes percebi que o tema indisponibilidade e seus efeitos para o negócio como um todo não eram abordados com o aprofundamento necessário ou eram esquecidos ao se “espremer” por redução de custos. Lembro que em muitas reuniões tive que revelar este tema e perceber que era tratado com certa surpresa.

Se observarmos o relatório publicado pela Veeam (2016 Veeam Availability Report) feito com 1.140 tomadores de decisão de TI de 24 países, veremos claramente que as necessidades da corporação estão bem distantes de serem atendidas, e que as empresas de uma forma mais macro, precisam fazer da disponibilidade uma prioridade estratégica ou estarão arriscando a perda de até 16 milhões de dólares por ano em receita. Para ficar mais claro, vamos comparar os dados de 2014 com as informações obtidas em 2016:

  • O tempo de inatividade anual não planejado foi elevado:
    • 1,4 a 1,9 hora para aplicações essenciais.
    • 4 a 5,8 horas para aplicações não essenciais.
    • O número médio de eventos aumentou (de 13 para 15 eventos).
  • O custo médio anual do tempo de inatividade para uma organização pode chegar até US$ 16 milhões (US$ 6 milhões a mais que 2014).

É sempre importante destacar que o preço de uma indisponibilidade para um ambiente de produção pode ser mais impactante do que se pode imaginar. Observe a figura seguinte:

 

blog56546

 

Veja que mais da metade dos entrevistados (68%) revela que a confiança na organização pode ser afetada e 62% afirma que a confiança na marca pode sofrer danos. Os dados revelam que foram notadas quedas nos preços das ações, juntamente com a presença de processos judiciais. São dados que precisam e devem ser levados em consideração.

Imaginemos este acontecimento em empresas que operam com bolsa de valores ou com compras pela internet. É inaceitável imaginar que os consumidores de hoje aceitariam esperar 1 minuto para um site retornar ao funcionamento com o objetivo de concluir a sua compra. Questionar suas instituições se estão à altura deste desafio é uma tarefa que todos os líderes de negócio deveriam fazer.

Outro ponto importante para ser avaliado está centrado na causa do e nos efeitos do temido downtime (quedas funcionais) de uma aplicação. Quase metade dos entrevistados (48%) reportaram que suas organizações tiveram repetitivas experiências com quedas causadas pelo uso de upgrades na aplicação ou problemas gerados por correções feitas no sistema operacional. Aqui vale o questionamento: onde estão os ambientes para homologação e onde estão as metodologias para aplicação das correções em ambientes com cluster balanceados por cargas de trabalho?

Observe que a presença de um balanceamento de cargas é um importante aliado para corrigir um grupo de aplicações que apresentou algum tipo de problema. Outro elemento importantíssimo é o teste de backup. Somente 41% dos entrevistados afirmaram que usam seus backups como parte dos testes de recuperação e ainda assim, este backup possui uma recuperação em dias relativamente pequena. No Brasil, a média foi de 11 dias de dados recuperados por mês, na Alemanha 12 dias e na Itália 14.

Para concluir, é importante termos em mente que o desenho de qualquer projeto, seja ele físico ou virtual, deve considerar a sobrevivência da aplicação mesmo em condições de falhas. Claro que o desafio é sempre alinhar custos com perdas financeiras causadas pela ausência funcional da aplicação. Acredito que os números apresentados pela Veeam mostram que existe um longo caminho a ser trilhado, mas que existe solução se pensarmos estrategicamente com cuidado.

* Denis Augusto Araújo de Souza, Analista de Produtos do UOLDIVEO. Autor da série de livros Tempestade Hacker, publicada pela Amazon.com.br.

Tags: Veeam, indisponibilidade, backup, tempo de inatividade, perda financeira.

 

Links indicados:

https://go.veeam.com/2016-availability-report-latam-br.html

http://convergecom.com.br/tiinside/home/internet/19/02/2016/indisponibilidade-de-aplicacoes-gera-prejuizo-de-us-16-milhoes-por-ano-as-empresas/

http://computerworld.com.br/brasileiras-perdem-us-18-milhoes-com-indisponibilidade-de-aplicacoes

Olimpíada Rio 2016: Oceano de Oportunidades para o Cybercrime

Devido a minha vivência em segurança da informação, sempre observo eventos com grandes aglomerações de pessoas como uma oportunidade perfeita para atacantes digitais. Desta forma, foi natural refletir e imaginar o que poderia ser feito por um atacante digital experiente na Olimpíada do Rio de Janeiro. Assim, durante um final de semana fiz um pequeno exercício.

O primeiro exercício que fiz foi identificar alguns números e avaliar a verdadeira importância do evento em questão para tentar mensurar um elemento importante chamado de motivação. Considerando que tivemos neste evento 205 países, mais de 7,5 milhões de ingressos vendidos e que a maioria das pessoas levam consigo no mínimo um celular, teremos pelo menos um vetor para ataques focado em dispositivos móveis, sejam eles pessoais ou empresariais.

E neste “oceano” de celulares nasceu o Samsung Pay, mostrando para o mundo que é possível ter uma tecnologia wireless de curto alcance focada em fazer pagamentos. A Samsung saiu na frente da Apple e do Google usando como tecnologia o NFC (Near Field Communication). Isto possibilita o registro de catões de créditos cadastrados em celulares, bastando aproximar o celular de terminais de compra para autenticar a transação. A segurança é concluída inserindo a impressão digital ou outros elementos para autenticar a transação.

O uso do NFC é algo recente, mas a segurança aplicada no gateway de pagamento ou nos elementos que o cercam é algo bem conhecido que vem evoluindo com o passar do tempo. Entretanto, existe um outro ponto muito importante que devemos considerar para uma análise macro. Veja que tivemos 28 edições dos jogos olímpicos na era moderna, onde 17 foram na Europa, 6 na América do Norte, 3 na Ásia e 2 na Oceania. Não há dúvida que um evento desta magnitude na América do Sul impulsionaria as vendas, principalmente dos patrocinadores. Assim, é natural que os ataques digitais sejam mais focados nestas empresas. Precisamos no exercício deste texto imaginar quais as preocupações que o C-Level deveria ter em mente?

Preocupações

O primeiro ponto é a infraestrutura. Ataques DDoS (Distributed Denial-Of-Service) são usados em conjunto com outras metodologias para indisponibilizar o ambiente exposto à internet. Está ficando muito comum identificarmos ataques múltiplos, representando a combinação de diversas estratégias usadas para alcançar fama, furto de dados ou enriquecimento ilícito. Algumas aplicações são muito sensíveis a latência e este modelo de ataque afeta principalmente isto. Ter uma proteção que não penalize a latência é importante.

O segundo ponto está ligado na proteção direta do gateway de pagamento, da aplicação Web e dos bancos de dados usados por ela. Atualmente os ataques específicos na camada de aplicação são furtivos, assim, o atacante aprimorou sua técnica para não gerar alertas, ganhando tempo para instalar ferramentas na rede e invadir ambientes ou copiar informações dos bancos de dados. Isto é muito diferente de um ataque DDoS, que é relativamente mais fácil de detectar, pois o ecossistema da aplicação é exposto a um grande volume de acessos, superando o volume previsto de conexões por segundo. Ou seja, existe uma assinatura previamente conhecida.

O terceiro e último ponto é a imagem da empresa ou do produto. Sabemos que as campanhas de marketing ligadas principalmente a grandes eventos fornecem uma exposição muito maior de marcas ou do nome das empresas envolvidas. Assim, é necessário sempre pensar nas ações que precisam ser tomadas visando proteger o ecossistema empresarial como um todo. Isto envolve também análise de spam/phishig, redes sociais ou de sites clonados.

Sabemos que ações ligadas a proteção de marcas envolvem atividades do Departamento Financeiro, representado pelo CFO (Chief Financial Officer) e do Departamento Jurídico, guiado pelo CLO (Chief Legal Officer). Muitas vezes a retirada de um site envolve ações legais, que são custosas e bastante demoradas.

Como elemento decisivo para o negócio, podemos olhar para o tema infraestrutura. As necessidades atuais mostram que as empresas precisam direcionar o desenvolvimento das aplicações em ambientes flexíveis que forneçam de forma rápida, orquestrada e inteligente um crescimento ou uma redução de recursos computacionais (computing), de rede (network) e de armazenamento (storage). Claro que estamos falando de Cloud. A jornada para a Cloud passa basicamente por cinco fases: padronização, consolidação, virtualização, automação e orquestração. O estudo de cada fase junta-se como a análise de maturidade da aplicação dentro desta jornada, mas estes serão tema de outro artigo.

* Denis Augusto Araújo de Souza, Analista de Produtos MSS do UOLDIVEO. Autor da série de livros Tempestade Hacker, publicada pela Amazon.com.br

Tags: Segurança Digital, fraude, ciberataques, cybersecurity, Ataques, DDoS, Brand Protection, Cloud.

Links indicados:

Você está atento a estes problemas de segurança?

Dicas para monitorar e garantir a segurança virtual da sua empresa:

Segurança da informação já deixou há muito tempo de ser modismo para ser necessidade em qualquer tamanho de empresa. A presença da internet flexibiliza, amplia e concebe um universo de oportunidades para qualquer estratégia de negócio, mas também interliga uma variável relativamente nova chamada de atacante digital.

Na década de 90, era muito comum encontrarmos o atante digital dentro das organizações. Vivíamos momentos com a presença de viroses limitadas a contaminação de disquetes como o vírus ping-pong. Bons momentos, onde era possível fazer uma pausa no texto digitado e observar o símbolo de uma pequena bola sendo arremessada contra os cantos da tela.

Vivemos momentos onde os ataques são altamente sofisticados com estratégias customizadas para cada empresa alvo, orientada por campanhas de e-mails, ataques usando criptografia SSL, furtos de informações pela camada Web ou indisponibilizar a infraestrutura de maneira parcial ou total. Vamos neste texto analisar alguns desafios ligados a Segurança da Informação e identificar como empresas como o UOLDIVEO podem ajudá-lo a resolver cada um destes desafios para que você tenha diferenciais significativos para a sua empresa.

Fraude nos e-mails estão mais agressivas e frequentes

O primeiro elemento que gostaria de abordar é muito comum em qualquer organização. São os e-mails recebidos e identificados como Spams e Phishing. Este último pode ser encontrado em uma versão mais devastadora chamada de Spear Phishing.

Precisamos ter em mente que enquanto o Spam foca-se em um e-mail visando promover a venda de um produto, seja ele legal ou não, o phishing tem o objetivo direcionar a vítima para um site que vai furtar informações pessoais, cartões de crédito, informações bancárias e qualquer coisa que o atacante considere importante. O Spear Phishing estuda todas as características do destinatário do e-mail, indo desde o departamento trabalhado, nomes dos seus superiores e gostos pessoais. Tudo é customizado em um e-mail que ilude o destinatário a instalar um programa em seu computador ou a fazer algo que seja benéfico para o atacante.

Grande parte dos e-mails acompanham campanhas publicitárias e direcionam para sites clonados causando danos financeiros a marca de uma empresa, forçando o envolvimento do departamento jurídico com ações de clientes que foram enganados pelos atacantes ou ainda forçando o investimento em estratégias para refazer a credibilidade de uma marca no mercado. O site clonado pode estar presente nas redes sociais, em blogs ou em ambientes de cloud pública dentro ou fora do Brasil. O processo de desativação deste site pode ser muito complexo e custoso. É necessário o monitoramento de e-mails, redes sociais ou mídias sociais 24 horas por dia por especialistas que tenham experiência neste modelo de operação. Como definir um plano que realmente funcione contra estes ataques?

Ataques criptografados se destacam nas previsões do Gartner

Segundo o Gartner, o tráfego criptografado cresce 20% ao ano e 80% das empresas não inspecionam seus tráfegos Web. Existem centenas de justificativas para esta ausência de inspeção, mas podemos dizer que a principal é a sobrecarga em processamento que gera nos hardwares de firewalls ou equipamentos de IPS (Intrusion Prevention Systems), por exemplo.  Infelizmente percebe-se que o uso de ataques envolvendo criptografia se elevam a cada ano, seja para a comunicação de malware ou para ataques a servidores Web. O resultado final é sempre a perda financeira, seja por dano diretos ou indiretos à imagem, perda de vendas devido a sites invadidos ou furto de informações pertencentes a clientes. Ter a informação furtada é sem dúvida um grande problema, mas tê-la divulgada é um problema maior ainda. É importante ter um plano de ação que inclua o corpo diretor e a equipe de operação envolvida e treinada.

Note que um erro muito comum é ter um plano de ação de segurança de várias páginas e não ter a equipe treinada para responder a um evento guiado por um ataque digital. Mais importante do que comunicar é como comunicar um incidente de segurança. Ter uma assessoria de imprensa que não está preparada ou que não tem o apoio para responder tecnicamente aos questionamentos é pior do que não comunicar.

Uma estratégia usada com sucesso por empresas internacionais é minimizar o aparecimento na mídia e limitar a uma única reunião para apresentar esclarecimentos aos investidores e a imprensa. Outro ponto importante aderente a qualquer empresa é testar periodicamente o plano de resposta a incidentes de segurança.

Com os ataques se tornando mais complexos e mais frequentes, torna-se necessário criar uma cultura de segurança mais transparente, preparando e concebendo as aplicações de maneira diferenciada, juntamente com os elementos que a protegem. Ver-se que elementos de uso simples e de baixo custo não usados por muitas empresas. Um exemplo disto é o certificado SSL. Apesar dos benefícios da criptografia em sites Web serem claros e muito vantajosos, possibilitando não só a elevação da confiança dos usuários, mas também elevando a prioridade nas listas de pesquisa do Google, vê-se que poucas empresas fazem usos desta vantagem, deixando um farto oceano de oportunidades para os atacantes digitais. Os certificados digitais podem e devem ser usados por qualquer tipo de aplicação Web.

Bom lembrarmos que segundo o HIPAA (Health Insurance Portability and Accountability Act), PCI Security Standards Council e PII Laws (Personally Identifiable Information), deve-se manter criptografadas todas as informações referentes a dados pessoais, elementos financeiros e informações envolvendo empresas de saúde. Não obedecer a estas indicações pode acarretar em implicações graves.

Novamente devemos nos perguntar o que fazer? Que estratégia devemos seguir para elevar a proteção?

Cloud são seguras, mas você está usando-as corretamente?

Muitas vezes imagina-se que um ambiente de Cloud é inseguro e que projetos usando plataformas de virtualização dentro das empresas formam ambientes de segurança superiores. Primeiramente é importante o entendimento que existem tipos distintos de Cloud, e estes tipos são aderentes ao grau de maturidade da aplicação analisada. Saber se uma Cloud pública em OpenStack, AWS, Microsoft Azure, Google ou ainda uma Cloud Privada é mais adequada a maturidade da sua aplicação é um elemento de sobrevivência indispensável para qualquer empresa.

Observe que não é uma questão de saber qual é a Cloud mais barata para o portal Web da campanha do mês de novembro, mas saber onde a aplicação vai ter uma melhor performance ou onde vai apresentar melhores requisitos de segurança para o projeto proposto. Observe as Clouds Públicas, o uso de controles em seu ambiente são elementos mais rígidos do que muitos projetos dentro das corporações. Este fator é certamente influenciado pelo compartilhamento físico dos servidores. Note que o nível de segurança é muito maior do que os usados tradicionalmente e que a invasão de um cliente por outro é praticamente impossível.

Outra visão importante aborda a relação Compliance e Ambiente em Cloud. Devemos entender que mesmo contratando um provedor em nuvem que possui uma certificação em segurança, isto não faz com que a aplicação de uma empresa hospedada e exposta para a internet esteja segura ou seja resistente a qualquer tipo de ataque digital. A proteção contra este modelo de atacante é um projeto adicional que faz uso de diferentes camadas de defesa, indo desde do desenvolvimento do código-fonte, passando pelo projeto de camadas de defesa e terminando com a escalabilidade e flexibilidade do ambiente usado.

Os ataques direcionados a aplicações em nuvem não são diferentes dos ataques direcionados para os ambientes fora dela. A abordagem buscando por erros humanos continua a mesma, a busca por falhas na aplicação ou no modelo de acesso ao ambiente de gestão continua a mesma. O questionamento também continua o mesmo: o que pode ser feito para elevar a proteção do negócio?

Quais lições podem ser aprendidas?

Os ataques digitais não vão reduzir de intensidade. A realidade mostra que teremos volumetrias bem superiores e muito mais agressivas a tudo que vemos hoje. Olhando somente para os dispositivos móveis, encontraremos previsões indicando que 70% da população mundial estará fazendo uso de algum tipo de dispositivo móvel conectado à internet em 2020 e isto representa 5,5 bilhões de pessoas. Só para o Brasil estima-se que terá mais de 182,1 milhões de usuários móveis e nem aprofundamos as análises envolvendo IoT (Internet das Coisas).

O segredo é como estaremos preparados para estes ataques. Ter um comitê de segurança multidisciplinar é importante, mesmo para as pequenas empresas. Treinar a equipe técnica, juntamente com este comitê vai ser inevitável para responder de maneira clara e objetiva a um atacante digital.

Outro ponto importante é que não podemos construir toda defesa eletrônica em uma tecnologia apenas ou em um processo de gestão que não opera 24×7. Ter o apoio de uma equipe experiente é questão de sobrevivência. Um exemplo claro deste tema é representado pelos ataques DDoS (Distributed Denial of Service), que hoje atinge valores superiores a 500Gbps de pico. Tenha em mente que a defesa contra um ataque DDoS não se faz só, sendo necessária a presença intensa do provedor de acesso bloqueando e identificando o atacante internacional e nacional.

Para concluir, tenha em mente que a defesa digital é uma equação que precisa ser equalizada entre três variáveis importantes representadas por processos, pessoas e tecnologia, independente se lidamos com um ambiente em Cloud ou não.

Alerta: Novo malware se espalha agressivamente pela internet

A internet recebeu mais um convidado indesejado e provavelmente vai fazer muito mais que simples barulho. Estamos falando de um malware que usa o código do conhecido BARTALEX. Já é possível identificar uma elevação muito acentuada de e-mails contendo-o, principalmente para usuários do Office 365.

O BARTALEX explora os recursos de macros e já é conhecido desde abril de 2015. Inicialmente era disseminado por SPAMs usando URLs que exibiam uma página pedindo para o usuário habilitar macros em um documento Microsoft Word. Se esta atividade fosse feita, um download do malwareTSPY_DYRE.YUYCC era feito para monitoramento de atividades bancárias.

O novo malware deposita o BARTALEX no campo de formulário de um arquivo do tipo “dotm” para evadir a detecção de macros. O mesmo apresenta alto grau deobfuscação (técnica usada para evitar que seu código seja visto e seu funcionamento entendido), além de utilizar codificação RC4 para proteger e dificultar sua detecção. O código do BARTALEX foi modificado para fazer o download do Ransomware Cerber. Indicações da Check Point (equipe Threatcloud Incident Response) apontam que o CERBER está sendo distribuído via Botnet Dridex.

Importante destacar que até hoje de manhã, nenhuma das principais engines de antivírus do mercado conseguiam detectar este malware.

Acredito que este não será o primeiro, nem o último ataque deste tipo. Se analisarmos os ataques via macro, veremos que existe um crescimento com o passar dos anos. Possivelmente encontraremos muitos Ransomware como o RANSOM_LOCKY.A ou como o CERBER e ainda diversos outros meios destrutivos usando macros.

O dia 23 de junho de 2016 pode ser uma data importante para as empresas em todo o mundo. Devemos observar de perto a evolução para o ciclo de contaminação do BARTALEX e do CERBER. Aliado a isto devemos evitar que funcionários ativem macros para documentos não assinados por suas empresas e fazer uso de mecanismos que monitorem o tráfego Web ou o fluxo de Correio Eletrônico para identificar comportamentos comuns nos ataques de ransomware.

Entre em contato agora com o UOLDIVEO e entenda como podemos ajudar sua empresa a solucionar este e outros problemas de segurança.

http://uoldiveo.com.br/contato/
comercial@uoldiveo.com
11-3092-6161

Referências:

  • Check Point Threatcloud Incident Response (Time de Resposta à Incidentes), Check Point ThreatCloud e Threat Intelligence (Nuvem Colaborativa de Segurança).
  • Trend Micro Blog.

Segurança em cloud: além da tecnologia

Hoje ouvimos falar muito de Cloud como algo importante para os negócios de uma organização, fazendo com que sejam feitos investimentos financeiros, redesenho de ambientes ou mudanças estratégicas importantíssimas de alto impacto para a organização. Mas, muitas vezes, esquecemos que como qualquer projeto, imaginar o uso de cloud Computing, sem pensar em segurança e compliance é cometer quase que um haraquiri sem a cerimônia obrigatória dos samurais.

Além disto, muitas empresas estão negligenciando o impacto que problemas de segurança podem causar à marca, muitas vezes destruindo em pouco tempo, o valor construído pela empresa durante anos.

Antes da segurança

É importante destacar que antes de imaginarmos um projeto de Cloud ou mesmo como a segurança impacta este novo paradigma, devemos avaliar muito bem qual o modelo de cloud mais aderente para a aplicação desejada e avaliar também qual o impacto desta aplicação no negócio como um todo.

Sabemos que ao falarmos de Cloud, referenciamos geralmente os modelos Público, Privado e Híbrido.

Devemos questionar sempre qual o esforço que será feito para adequar a aplicação ao modelo escolhido? Vai haver alguma perda para ter a sonhada agilidade em TI ou para atingir a liberdade de adicionar ou remover recursos a qualquer momento? Vamos manter estes questionamentos em mente e identificar os modelos de Cloud existentes.

O Gartner define nuvem pública (Public Cloud Computing) como um ambiente computacional que possui escalabilidade e elasticidade provido como serviço de forma automatizada e orquestrado para clientes que, em sua essência, estão externos ao provedor usando tecnologias acessíveis pela internet em elementos de infraestrutura compartilhados. Completando o que diz o Gartner, é importante também entendermos que esta infraestrutura de Cloud é algo compartilhado por todos os clientes e que aceita menos requisitos de negócios, ou seja, é preciso se enquadrar dentro das características oferecidas pelo provedor de serviços.

A nuvem privada (Private Cloud Computing) posiciona-se como um ambiente de nuvem onde a infraestrutura é usada exclusivamente por uma empresa ou onde uma organização é completamente isolada das outras sem perder escalabilidade ou elasticidade, sendo auxiliada pela automatização e orquestração. Esta empresa tem os recursos de infraestrutura reservados para o seu uso, como se fosse a dona dela, detendo muito mais liberdade na definição do ambiente.

Dizemos que a nuvem híbrida (Hybrid Cloud Computing) é aquele que equilibra workloads entre nuvens públicas e ambientes privados (sejam eles em nuvem ou não). Um exemplo deste modelo é quando a empresa precisa manter certos workloads na Cloud Privada, por questões de compliance e soberania dos dados, e outros na nuvem pública, em uma região mais próxima dos usuários finais.

Brokers de segurança

Entrando mais fundo no universo Cloud Computing, vemos um conceito que cresce com bastante força, firmando-se na representação da sigla CASB (Cloud Access Security Brokers). Pode-se dizer que um ambiente CASB é aquele que pode ser posicionado dentro do próprio cliente ou em um ambiente de Cloud externo controlando as regras de segurança que gerenciam o acesso ao ambiente em nuvem do cliente. O CASB é posicionado entre o cliente e o Provedor de Cloud e as políticas de segurança podem incluir elementos como single sign-on, autorização, mapeamento de credenciais, criptografia, uso de token para duplo fator de autenticação, registro de acesso (logging), geração e alertas, detecção e prevenção de malware.
Segundo o Gartner, até o final e 2018, 50% das organizações com mais de 2.500 usuários estarão com uma plataforma de CASB para controlar o uso dos produtos mantidos como SaaS (Software as a Service). Ainda segundo o Gartner, em 2020, 85% das maiores empresas usarão um produto de CASB. Desta forma, a camada de segurança não precisa estar por padrão incluída no ambiente de Cloud, mas ele precisa estar pronto para ambientes que usem CASB.
Com o holofote em Segurança da Informação e olhando para os dias atuais, ver-se que independentemente do modelo de Cloud escolhido, ele tem que possuir mecanismos que protejam a autenticação para acessar o painel de gerenciamento. É comum termos o atacante digital descobrindo o usuário responsável pela administração das máquinas em Cloud e pedir resgate para devolver o acesso e não apagar ou danificar as máquinas virtuais que foram criadas. Tem-se assim, perdas financeiras reais. É importante ter um ambiente de contingência e um plano bem detalhado e ensaiada com simulações periódicas para recompor de forma rápida o ambiente em Cloud.

Além da indisponibilidade

Acredito que devemos sempre olhar nossos projetos com análises bem mais críticas e observar o que acontece no restante do mundo para identificar se é possível aproveitar algo. Um exemplo deste tipo de análise pode ser encontrado na pesquisa feita pela Veeam Software. A Veeam Software é uma empresa reconhecida pelos produtos de Backup, Replicação e Disponibilidade. Esta pesquisa mostra que muitas empresas estão tendo perdas financeiras por não avaliarem corretamente se suas aplicações estão realmente respondendo as necessidades de seus usuários. A pesquisa elaborou 1.140 entrevistas com os principais responsáveis pelo departamento de TI em 24 países. Segundo a pesquisa, 84% dos entrevistados admitiram que suas organizações possuem problemas com disponibilidade de seus serviços. Isto implica em danos na marca ou na imagem da corporação.

A Veeam revela também que para tentar solucionar estes problemas, muitas instituições estão investindo em Data Centers próprios ou melhorando os que já existem. Mesmo assim as paradas continuaram se multiplicando, indo de 13 para 15 eventos em 2015. A média de cada parada subiu de 1,5h para 2h por aplicação de missão crítica. O resultado é um custo médio anual do superior a US$ 16 milhões (US$ 6 milhões a mais que 2014).

Isto é extremamente assustador, mas o que precisa ser entendido é que existem diversos impactos mais devastadores. Observe que 68% destas empresas entrevistadas apontaram perda da confiança do cliente, 62% indicaram dano a integridade da marca, 51% revelaram perda de confiança dos parceiros, 31% disseram que houve redução do preço dos estoques e 26% tiveram ações legais de parceiros ou clientes alegando perdas financeiras.

Observe que os custos para refazer a imagem de uma instituição podem ser gigantes. Este foi o tema da pesquisa International Business Resilience Survey 2015. A pesquisa revela que 73% dos executivos informam ter uma falta de planejamento de gestão de crise nas empresas. Para se proteger dos ataques cibernéticos, 28% deles afirmam ter apólices de seguros especiais para coberturas ataques cibernéticos. Outros 21% contratam seguros também para se proteger de possíveis danos à reputação das empresas após uma violação de dados e ainda assim, 60% dos CEOS e gestores entrevistados têm dado pouca importância na resiliência dos sistemas de TI em relação à gestão de reputação de suas empresas.

As ameaças são muitas, mas como o UOLDIVEO pode ajudar a proteger seu negócio, evitando perda da confiança dos seus clientes e fornecedores, dano a integridade das suas marcas e problemas jurídicos?

Com os serviços de segurança do UOLDIVEO, sua empresa pode encontrar diversos serviços que buscam a continuidade do negócio e proteção de informações dos clientes.

Os serviços são diversos e vão desde DDoS Protection, um pilar para sustentar a disponibilidade dos seus serviços, e evitar perdas financeiras importantíssimas, até a proteção específica para a aplicação Web, por meio do Web Application Firewall (WAF), um produto destinado a aplicações web, protegendo-as contra ataques à sua aplicação exposta à internet, deixando seu acesso mais rápido ou auxiliando na defesa contra o furto de informações existentes nas bases de dados usada pela sua aplicação.

Sabemos que não basta ter uma infraestrutura confiável ou hardwares tecnicamente reconhecidos pelo marcado, é importante termos o apoio de uma equipe especializada em ciberataques (cyberattack). Protegemos o maior portal de serviços da América Latina, o UOL, além das aplicações de 250 das 500 maiores empresas do Brasil.

Muitas vezes uma Tecnologia é cercada por medos, sejam eles posicionados em Cloud ou não. Na grande maioria das vezes o medo é algo benéfico, pois nos inspira a repensar nossas estratégias. Entretanto, é importante termos em mente que o uso da Segurança Digital precisa ser avaliado em conjunto com o custo da perda financeira para entender que a salvação de qualquer modelo de negócio dependerá de como definimos e implantamos a Segurança Digital como um todo envolvendo: pessoas, tecnologia e processos. Quando isto é feito, Segurança Digital será sempre a salvação para qualquer negócio.

Fontes: