Investimento em segurança TI tende a crescer

Estudo da GMG Insights encomendado pela Computer Associates (CA) mostra que a crise financeira mundial deve levar a um aumento de gastos em segurança de TI.

A pesquisa revela que 42% das empresas pretendem aumentar os gastos com segurança em TI em 2009. Participaram 400 diretores de TI ou profissionais de cargo superior de empresas de grande e médio porte da América do Norte, Europa, Ásia/Pacífico e América do Sul.

A explicação das empresas está em dois fatores principais:

  1. Segundo 78% das entrevistadas, a crise deve provocar surgimento de mais exigências regulatórias e, com elas, a necessidade da implementação e automação de mais controles, processos e relatórios para garantir conformidade regulatória.
  2. A crise tem forçado diversas empresas a promover reestruturações, muitas vezes com cortes e demissões, e 67% das empresas de médio porte consultadas e 73% das empresas de grande porte acreditam que isso aumentara as ameaças internas dos seus sistemas de TI.

Para os dois casos, o caminho passa por investimento em consultorias, produtos e serviços para segurança da informação e GRC (governança, risco e conformidade).

Atento sempre para o fato das ameaças internas. No senso comum das pessoas, “segurança” traz uma ideia que em geral se assemelha a “proteção contra os perigos que há lá fora”. Muitas vezes as empresas esquecem que os riscos internos são em geral muito mais prováveis, potencialmente muito mais facilmente danosos e, pior, pode ser difícil identificar e se proteger contra as ameaças internas.

A segurança perimetral, ou seja, fortalecer as fronteiras externas contra o mal externo, é uma necessidade óbvia, desde na vida do cidadão comum (pelo menos na maioria das metrópoles do Brasil, infelizmente…) até nas empresas. É a proteção natural do patrimônio. Na segurança física, segurança perimetral é colocar muros, cercas, trancas e cadeados, câmeras, sensores, alarmes, vigias etc. Na segurança de TI, envolve recursos como firewall, sistema de detecção/prevenção de intrusos (IDS/IPS), antivírus/antispam, canais externos seguros (HTTPS, IPSec, VPN, SSH, SFTP etc.), segmentação de redes e zona desmilitarizada (DMZ).

Mas e para o colaborador que se sente insatisfeito ou ameaçado, com más intenções, ingênuo, despreparado ou desleixado? Esse sim, tem muitos mais meios que um ladrão ou “hacker” externo. A ameaça interna tem crachá/identificação, acesso legítimo a dependências e a sistemas, e conhece a empresa, seus processos e mecanismos, as pessoas envolvidas e, quiçá, os pontos fracos. Muitas vezes, a ameaça interna já tem os meios que precisa para fazer danos. Basta haver a oportunidade e/ou o motivo.

Eu me recordo que já na 6ª Pesquisa Nacional sobre Segurança da Informação (PNSI), em 2000, realizada pela empresa brasileira Módulo Security, as ameaças internas já superavam os riscos externos responsáveis por problemas de segurança:

[photopress:6pnsi_ameacas.png,full,centered]

Fonte: 6ª PNSI, Módulo Security Solutions, 29 de junho de 2000.

O mal pode estar do seu lado…

Para saber mais: