Tecnologia 23 a 25/07/2016

Detectar, conter e investigar: regras de proteção em TI

A Tecnologia da Informação é um dos setores que mais tem recebido investimentos no Brasil, em meio ao cenário desafiador em termos econômicos que o país enfrenta. O segmento mostra-se fundamental não apenas por fornecer recursos básicos para que as empresas operem, mas também ferramentas estratégicas para a captação e gestão de negócios

Guilherme Bezerra (*)

Ao mesmo tempo em que a TI se torna cada vez mais peça essencial nas empresas, a preocupação com a segurança dos dados cresce e tem virado a principal dor de cabeça para os administradores das redes. Para os invasores, crackers, hackers e ameaças em geral, não há nenhum tipo de crise que esteja impactando no desenvolvimento de novas ameaças e ataques direcionados a empresas, independentemente do segmento de mercado em que atua o seu porte. O mundo entende que o coração das empresas está em suas informações e, por isso, hackers estão cada vez mais empenhados em invadir sistemas para obter informações sigilosas que possam fornecer algum tipo de vantagem para eles.

As ameaças estão além de “simples” malwares, usualmente passíveis de detecção por parte de um antivírus. Elas estão evoluindo e, atualmente, é essencial que as empresas atualizem seus métodos e tecnologias de detecção e resposta a incidentes. E, sobretudo, é preciso pensar e agir de forma rápida e certeira. Três estratégias surgem como essenciais para equipes de TI no trabalho incessante contra ciberataques.

Detecção: primeiramente é preciso contar com tecnologias que trabalhem pró-ativamente na detecção de ameaças. Firewalls tradicionais, por exemplo, não têm capacidade de inspecionar pacotes criptografados (https) e hoje existem diversas ameaças e técnicas de ataque que são baseadas neste protocolo. Por isso, é necessária a atenção para a implementação de sistemas integrados, como IPS/IDS, firewalls inteligentes para realização da inspeção de todo tráfego de rede e soluções como SIEM, que são focadas na coleta de logs de equipamentos/aplicações com foco na correlação de informações para identificação rápida de incidentes capazes de permanecer meses camuflados dentro do ambiente.

Contenção: uma vez que um incidente é detectado, o mesmo precisa ser classificado e, a partir disso, serem tomadas ações rápidas para conter possíveis disseminações, interceptações e vazamentos. É de extrema importância que, além de tecnologias, existam também processos estabelecidos para que as ações de contenção sejam tomadas.

Investigação/Erradicação: um dos principais erros das empresas é parar na fase de contenção de um incidente e não investir tempo na investigação. O fato impede que a empresa saiba qual a origem da possível exploração e entenda todos impactos e riscos sobre negócios e infraestrutura. Deve ser essencial que os incidentes sejam investigados e mapeados, para que seja possível estimar quais serão os esforços necessários para erradicação de um novo incidente desta classe, seja por meio de redefinições de regras em soluções, educação de usuários, novas políticas de segurança ou até mesmo possíveis investimentos em novas soluções de segurança da informação.

Os avanços da Tecnologia da Informação são uma realidade, sendo já consenso que a segurança dos dados é uma das principais preocupações das empresas. A invasão a uma rede e o vazamento de informações podem causar prejuízos incalculáveis. A indústria de TI tem desenvolvido ferramentas de prevenção. Entretanto, o papel das empresas nesse processo é essencial, sobretudo ao adotar soluções eficazes, levar em conta as três importantes estratégias do processo da segurança da informação e preparar os usuários para que não se tornem fontes possíveis de abertura das portas virtuais das empresas.

(*) É Especialista de Soluções da Brasoftware.

Combate a fraudes

É inegável que a tecnologia trouxe conforto e praticidade: se antes era necessário encarar longas filas para comprar ingressos de shows, jogos e eventos, agora é possível adquirir e receber tíquetes diretamente pelo smartphone. O avanço tecnológico não fica restrito apenas aos consumidores, mas também no combate a um dos maiores vilões das plataformas de revenda de ingressos: as fraudes.
Enquanto o mercado segue em franco crescimento, com previsão de dobrar as vendas no Brasil até 2020, de acordo com pesquisa da Euromonitor International, o prejuízo relacionado às fraudes também aumenta. Um levantamento da Get Safe Online indica que a tentativa de falsificação dos ingressos online cresceu 55% em 2015.
“Este segmento é mais propenso a fraudes do que os demais, pois além do produto não ser físico, a sua emissão é instantânea – tornando-se, assim, mais fácil de ser revendido”, afirma Henrique Dubugras, sócio-fundador do Pagar.me, empresa de tecnologia especializada em soluções de pagamento.

WhatsApp bloqueado: descriptografar o serviço está fora de questão

O WhatsApp tem no Brasil 100 milhões de usuários e já foi bloqueado 3 vezes desde 2015, sempre por ordens judiciais. Ontem o Facebook – a empresa que controla o WhatsApp – recebeu uma intimação ordenando que a empresa interceptasse e entregasse a autoridades do Rio de Janeiro mensagens de supostos criminosos sendo investigados. A juíza Daniela Barbosa Assumpção, responsável por esta notificação, exige que a criptografia das mensagens WhatsApp seja quebrada e os conteúdos das mensagens sejam entregues às autoridades. Neste e nos outros episódios, o Facebook/Whatsapp disse que não poderia realizar o que a notificação pedia por motivos técnicos.
Os responsáveis pelo WhatsApp estão falando a verdade.
Desde abril deste ano que qualquer usuário desse serviço/aplicação recebe a mensagem: “As mensagens que você envia para esta conversa e as chamadas de voz são, agora, protegidas com criptografia de ponta a ponta. Toque para obter mais informações”.
Este curto recado é, na verdade, o topo do iceberg de uma era em que quase todas as principais aplicações do mercado são criptografadas e trafegam em sistemas SSL/TLS. A maior parte dos serviços que está na nuvem é criptografada – isso vale para o Office 365, para as Oracle Applications, para a plataforma Totvs, etc.
No caso específico do WhatsApp, a tecnologia usada por essa plataforma garante que nem o próprio Whatsapp nem ninguém – governo, empresas, pessoas comuns, criminosos – conseguirão ouvir ou ler algo enviado de um usuário a outro – o que inclui mensagens, fotos, vídeos, mensagens de voz, documentos ou chamadas de voz.
O WhatsApp não ter acesso a esses dados é algo muito importante.
A criptografia é muito comum em toda a Internet. Se um usuário faz uma compra online ou visita Google.com, um cadeado e HTTPS são visíveis no navegador, o que significa que os dados enviados via Internet são criptografados ou ocultados de quem quer que possa tentar bisbilhotar ou roubar a informação, tal como um número de cartão de crédito. O WhatsApp levou isso adiante, devido a ser a maior aplicação multiplataforma de troca de mensagens do mundo, uma aplicação que funciona em um grande número de diferentes dispositivos. A criptografia de ponta a ponta é a diferença entre enviar um cartão postal em papel, em que qualquer um – incluindo o carteiro — pode ler a sua mensagem, e fechar esse cartão postal em um envelope, algo que garanta que somente você e o destinatário conseguirão ler a mensagem.
É importante ressaltar que uma mensagem enviada por WhatsApp é criptografada desde o momento em que sai do dispositivo do remetente até o momento em que é recebida pelo destinatário. Nenhum intermediário, incluindo o WhatsApp, pode ver o conteúdo da mensagem, mesmo se capturada em trânsito. Com isso, os usuários podem ter a certeza de que as mensagens e chamadas de voz estão protegidas contra qualquer pessoa que tente interceptá-las.
O fato de nem mesmo o WhatsApp ser capaz de ver as mensagens ou escutar as chamadas significa que, se a empresa receber um pedido judicial de acesso aos dados pessoais ou mensagens de alguém, o WhatsApp não terá acesso a eles e não terá como entregar o que quer que seja. Devido à maneira como o WhatsApp implementou isso, será muito difícil que as agências policiais e governamentais consigam acesso legal a dados que poderiam ser necessários para auxiliar nas suas investigações.
Discutiu-se se as agências governamentais tentariam proibir isso – a criptografia –, mas rapidamente percebeu-se que seria muito difícil realizar esse feito. Proibir a criptografia poderia causar enormes danos à economia digital. Necessitamos de criptografia para manter seguros os nossos dados pessoais. Por outro lado, seria sim importante encontrar um equilíbrio no qual as forças policiais pudessem obter acesso judicial a dados do WhatsApp para auxiliar as suas investigações.
Estamos vivendo uma interessante disjuntiva. Somos muito livres com os nossos dados pessoais e seu compartilhamento online. Junto com a liberdade, exigimos garantias de não sermos monitorados, algo que roubaria a nossa privacidade. A grande questão, porém, é que criptografia e privacidade andam juntas tanto para pessoas honestas, que nada têm a esconder, como para criminosos, que muito têm a esconder. A tecnologia não é “pessoal”, tratando uns e outros de forma diferente.
O que define este quadro é que o mundo deseja que o WhatsApp ofereça garantias de privacidade e proteção de dados. Com bloqueio ou sem bloqueio, isso continuará acontecendo.

Fonte: Rita D’Andrea é diretora geral da F5 Networks Brasil).

Dados: a quem pertencem?

Paulo Milliet Roque (*)

Os casos de bloqueio do serviço de mensagens instantâneas WhatsApp e a prisão do executivo do Facebook no Brasil neste ano trouxeram, mais uma vez, à tona uma questão pertinente à sociedade atual que parece estar longe de se chegar a um consenso: segurança x privacidade

Por um lado, temos as empresas de tecnologia que têm como parte fundamental do seu serviço garantir a privacidade de seus usuários e do outro as leis que regem o país destes mesmos cidadãos. E ainda entre estas duas forças, a sociedade que precisa se sentir segura ao utilizar as ferramentas digitais e ao mesmo tempo não quer que crimes deixem de ser solucionados ou que criminosos fiquem impunes por conta da falta de acesso à informação das autoridades policiais.
O legislador brasileiro precisa ficar atento, porém, para que as regras a respeito da proteção de dados, sigilo e privacidade do usuário não se traduza em obstáculo intransponível para que empresas possam oferecer uma série de serviços – de interesse desses mesmos usuários – cuja realização envolve tratamento e transferência de dados.
No Brasil, existem leis que tratam do assunto, dentre as quais o principal instrumento legal, o Marco Civil da Internet, amplamente debatido e considerado um grande avanço no mundo todo sobre este tema. No caso atual, em seu artigo 15, exige que um provedor de aplicações mantenha os respectivos registros de acesso (não o conteúdo) em aplicações de internet por seis meses.
As dúvidas, no entanto, se acirraram nos últimos meses. A punição empregada ao executivo do Facebook pode ser considerada justa? Até onde pode-se dizer que a empresa não respondeu à Justiça adequadamente? Os players de tecnologia internacionais ou não estão corretos em disponibilizar ao mercado serviços que implicam na transferência ou tratamento de dados, negando-se, porém, a revelar esses dados às autoridades dos países em que atuam?
Dentre os principais motivos que as empresas alegam para não mudar seus sistemas (e isso é realmente preocupante) destacam-se o dever de proteger os dados, o sigilo e privacidade dos usuários desses aplicativos e a garantia de que as informações privadas não sejam usadas por governos com regimes extremistas, que muitas vezes não respeitam os direitos humanos, por exemplo. Se a cessão das informações ocorrer em algum país, a empresa pode abrir precedentes para outras regiões exigirem o mesmo.
Essas são perguntas que a maioria dos especialistas do setor vem debatendo. A prisão de Diego Dzodan e o bloqueio do Whatsapp podem ser bons motivos para o Brasil avaliar se as leis existentes e suas regulamentações ainda pendentes são suficientes e se atendem às atuais necessidades que a internet vem apresentando à sociedade.
Engajada em abrir um fórum para discussões sobre uso, compartilhamento e proteção de dados, a ABES lançou o portal Brasil, País Digital http://brasilpaisdigital.com.br, focado em informações sobre as leis de proteção de dados, com notícias e casos ligados ao assunto no Brasil e mundo. A entidade ainda atua com um Comitê sobre o Marco Regulatório, que se ocupa de temas relacionados com a internet e reúne vários executivos do setor para debater situações como essas.
Essa foi uma forma encontrada pela entidade para manter tanto as empresas quanto a sociedade atualizada quanto ao desenrolar de casos como os que as empresas Facebook, Whatsapp e Google, entre outras, vêm enfrentando.
O momento agora requer um debate com a participação de especialistas em direito penal, empresas do setor, especialistas em TI e sociedade civil para que se chegue a um consenso onde a internet seja um agregador para a evolução da comunicação e não um instrumento de litígios e espaço seguro para o crime.

(*) É vice-Presidente e Diretor de Inovação da ABES – Associação Brasileira das Empresas de Software