Por André Machado
A 13ª edição do workshop SegInfo, capitaneada pela Clavis Segurança da Informação no último dia 21 de março, trouxe valiosas informações sobre o setor de segurança de TI em concorridas palestras ao longo do dia, num salão exclusivo na churrascaria Fogo de Chão, em Botafogo, no Rio.
O workshop recebeu mais de 80 executivos e líderes na área de segurança da informação, e teve como objetivo aproximar as empresas das últimas novidades e tendências na área de segurança.
– Procuramos nos concentrar cada vez mais nos gestores e líderes do setor, fomentando-o com palestras sobre os principais problemas e soluções – afirmou Bruno Salgado, sócio-fundador e diretor da Clavis, anfitrião do evento. – Buscamos promover integração entre gestores de empresas privadas e públicas e ajudá-los a poupar tempo em suas estratégias de defesa de seus ativos.
O evento ocorre desde 2005 e já gerou mais de 2.500 notícias em seu website oficial (SegInfo) e 2 milhões de pageviews, além de 53 SegInfocasts abordando várias tendências de proteção corporativa ao longo dos anos. Na introdução das palestras, Salgado destacou que a Clavis, tendo recebido investimentos do Fundo Aeroespacial em 2016, é hoje classificada como Empresa Estratégica de Defesa. Dois de seus principais sistemas, o Octopus e o BART, também foram homologados como Produtos de Defesa pelo Ministério da Defesa. O Octopus é uma ferramenta de SIEM (Gerenciamento de Eventos e Informações de Segurança, na sigla em inglês) e o BART, de gerenciamento contínuo de vulnerabilidades. A sigla BART quer dizer Baselines, Análises de Riscos e Testes de segurança. Ambos os sistemas se beneficiam da parceria da Clavis com a multinacional Elastic, de soluções avançadas de busca corporativa open-source. A Elastic foi uma das parceiras deste SegInfo, junto com a CyberArk, gigante que se concentra na proteção de credenciais críticas para a segurança de redes corporativas.
Além das palestras, houve várias oportunidades de networking no SegInfo. Ao chegarem, os convidados recebiam o livro “Fundamentos de Segurança da Informação”, baseado nos padrões de compliance ISO 27001 e 27002, lançado no evento – uma compreensiva obra de consulta sobre as melhores práticas de proteção nas empresas –, e se dirigiam a um café da manhã. Mais momentos de relaxamento e troca de informações se sucederam durante o almoço, com o tradicional churrasco da Fogo de Chão, e num coquetel no final da tarde, com vista para a enseada de Botafogo e o Pão de Açúcar. Como brinde ao final do evento, os convidados receberam um pack de carregadores “mobile” e respectivos conectores para smartphones.
Lembrando que no último ano a Clavis teve crescimento médio de 42% (com seu faturamento subindo de R$ 7,5 milhões em 2017 para uma previsão estimada de R$ 11 milhões em 2018), Bruno Salgado contou que a empresa, hoje com 60 colaboradores, atua principalmente no eixo Rio-São Paulo-Brasília (Salgado responde pelo Rio e o diretor-presidente Rafael Soares Ferreira, também sócio-fundador da Clavis, pela capital federal e pela capital paulista).
– Temos forte integração com a academia, de onde saem muitos projetos, e atuamos de forma diferente de outras empresas de segurança de TI – afirmou Salgado. – Todo cliente tem um de nossos sete diretores como responsável direto para garantir uma entrega de maior qualidade nas demandas de segurança. E todos os produtos que desenvolvemos nasceram de problemas reais de nossos clientes.
A primeira palestra do dia foi de Victor Batista Santos, diretor de serviços da Clavis. Ele apontou a necessidade, nos tempos atuais, de flexibilização dos sistemas de SIEM, que precisam ser mais versáteis num momento em que as fronteiras dos antigos perímetros de segurança do ambiente corporativo se tornaram indistintas com o advento do big data e da computação em nuvem (cloud computing).
– E essa massa de informações só tende a crescer – frisou Santos. – Pesquisas estimam um aumento de 42% nos dados gerados na internet até 2020 (ou seja, daqui a menos de dois anos). Por isso, o centro de operações de segurança de uma empresa deve ser orientado à inteligência em tempo real.
Daí o enfoque do Octopus, sistema de SIEM da Clavis, que por meio de seus diversos “tentáculos” abrange a análise e controle dos múltiplos eventos que ocorrem dentro de uma rede corporativa. Veja mais sobre a ferramenta em nosso último artigo sobre o Octopus.
Em seguida, Thiago Souza, engenheiro sênior da Elastic, fez uma demonstração de como funcionam as ferramentas de busca e detecção da empresa, baseadas no Elastic Stack (suíte de busca corporativa minuciosa e inteligente, gratuita e de código-fonte aberto) e no X-Pack, licenciável, que adiciona funcionalidades ao Stack. Tudo em tempo real. Os sistemas Octopus e BART, da Clavis, se beneficiam da parceria da empresa brasileira com a Elastic.
– Sessenta por cento de nossos clientes usam a busca inteligente do Elasticsearch em análise de métricas, enquanto 40% analisam logs em tempo real – contou Souza. – Só a operadora americana Verizon, de telefonia e internet, processa 4 terabytes de logs diariamente.
Depois da palestra da Elastic, o tópico final da manhã foi a proteção de supercredenciais críticas em redes corporativas, contas cujo acesso privilegiado as tornam alvos de hackers no mundo todo. Daniel Fioretti, engenheiro de vendas da empresa, destacou que todos que trabalham com segurança precisam ser capazes de se colocar no lugar dos “maus elementos” digitais.
– A superfície que pode ser alvo de ataques está em constante crescimento, por isso é preciso entender como pensa o atacante – afirmou Fioretti. – Ele quer encontrar contas privilegiadas expostas e evitar ser detectado no abuso do acesso privilegiado.
Após o almoço, Alan Oliveira de Sá, especialista da Marinha brasileira e tradutor dos livros “Fundamentos de Segurança da Informação” e “Contagem Regressiva até Zero Day”, falou sobre as obras com enfoque na aproximação da segurança da informação para os executivos.
– Se antes nosso foco era a segurança mais profunda, hoje procuramos chegar mais perto desses executivos que são usuários mais convencionais para ajudá-los a se inteirar das tendências de segurança – comentou Salgado. – A tradução do livro é um passo nessa direção.
As grandes tendências do ransomware – ataque hacker que sequestra os dados e ativos de pessoas ou empresas e pede resgate em dinheiro para liberá-los – foram o tema da palestra de Ricardo Salvatore, capitão-de-fragata da reserva da Marinha. Salvatore esmiuçou os três principais ataques do tipo nos últimos, o WannaCry, o Expetr e o Bad Rabbit, destacando que o segundo foi o pior de todos, por destruir os dados capturados sem sequer pedir resgate.
– Hoje no Brasil os bancos são as maiores vítimas dos ataques virtuais. O cibercrime é responsável por 95% de suas perdas – comentou. – Isso em parte se deve à alta adoção do internet banking por aqui, o que nem sempre é o caso em outros países. E o e-commerce vive uma crise de identidade, pois vazamentos de dados minam a confiança do consumidor.
Mais do que nunca, uma abordagem holística e abrangente da segurança se faz necessária. Como citou Salvatore, “o modo como os CIOs (Chief Information Officers) se envolvem na gestão dos riscos digitais pode ser um fator crucial para evitá-los”.
As palestras finais do dia ficaram a cargo de Davidson Boccardo e Rafael Barros, consultor da empresa na área de Governança, Risco e Compliance. O primeiro tratou do gerenciamento contínuo de vulnerabilidades no ambiente corporativo, e o segundo, dos padrões de segurança ISO 27001, PCI-DSS e GDPR, que serão abordados nos próximos artigos sobre o SegInfo.
Boccardo destacou entre outras coisas a necessidade de desenvolver software seguro sempre que possível, e, ao utilizar recursos open source para a gestão da segurança, avaliá-los e habilitá-los criticamente – “não adianta ter algo pronto, porém inseguro”.
– Parte-se da premissa que a segurança deve ser monitorada continuamente – sentencia Rafael Soares Ferreira. – No que diz respeito à gestão de vulnerabilidades, a verdade é que o processo é um ciclo permanente.
Por sua vez, Rafael Barros destacou que os executivos, os usuários corporativos são os grandes aliados para uma boa governança corporativa.
– Não se trata de uma questão de entender só de TI, mas de saber como é a cadeia de valor da empresa – disse Barros. – Conhecer seu fluxo e perceber onde estão os riscos.
Encerradas as apresentações, os convidados foram presenteados com o pack de carregadores móveis de energia e desfrutaram do coquetel de fim de tarde debatendo os temas abordados. Depois de um início de dia nublado, o sol saiu e brindou o momento de relax com toda a beleza da enseada de Botafogo e o Pão de Açúcar sob um céu azul. Pareceu que os esclarecimentos sobre o tema da segurança (tão importante para o Rio em todos os sentidos) também contribuíram para clarear o horizonte.