UNIVERSIDADE ESTÁCIO DE SÁ - COMPUTAÇÃO FORENSE

Prévia do material em texto

UNIVERSIDADE ESTÁCIO DE SÁ 
MBA EM SEGURANÇA DA NFORMAÇÃO 
 
 
 
 
 
 
 
FICHAMENTO DE ESTUDO DE CASO 
EDVALDO SOARES DOS SANTOS 
 
 
TRABALHO DA DISCIPLINA COMPUTAÇÃO FLORENSE 
TUTOR: CONSTANTINO FERREIRA DA COSTA NETO 
 
 
 
 
 
 
 
 
 
 
ITABUNA, BA 
2017 
 
ESTUDO DE CASO: 
 
COMPUTAÇÃO FLORENSE 
O PERIGO DE DENTRO 
 
REFÊRENCIA: UPTON M., David; CREESE, Sadie. Harvard Business Review, 
2014. 
 
Um funcionário ou fornecedor representa um risco potencial imensamente maior 
a segurança cibernética de uma empresa. Isso acontece porque a exploração de 
vulnerabilidades acontece de dentro do próprio ambiente tecnológico da 
instituição. Em 2013, a Target amargou o acesso não autorizado a dados de 
milhões de clientes. O ocorrido custou os empregos do Presidente Executivo e 
do Diretor de Tecnologia da Informação. Esse acesso não autorizado foi possível 
graças as credencias de acesso de um dos prestadores de serviço da Target, 
um fornecedor de refrigeração. 
Embora ataques externos ganhem notoriedade, ataques que são executados de 
dentro por funcionários descontentes ou até mesmo facilitados involuntariamente 
por empresas parceiras ou prestadores de serviço representam um risco ainda 
maior. O acesso a dados e sistemas se torna muito mais fácil por esses meios, 
tanto que pesquisas recentes deixam claro que 80 milhões de ataques partindo 
de funcionários ocorrem todos os anos nos EUA e tragicamente muitas 
empresas estão despreparadas para tais ataques. 
Pessoas que tem com acesso a ativos cibernéticos podem fazer uso desse 
privilegio para roubar informações e corromper sistemas sem que os métodos 
comuns de controles de segurança percebam. Detectar tais atividades tem se 
tornado cada vez mais complicado, isso porque as organizações estão 
vulneráveis a ataques internos. Além disso, a complexidade adotada nesses 
ataques tem aumentado a cada dia. Muitos prestadores de serviço não são 
confiáveis, a exemplo de uma terceirizada pelo CitiBank que lesou 4 clientes em 
mais de $ 350.000,00 (trezentos e cinquenta mil dólares americanos), tais 
criminosos, funcionários dessa empresa, coletaram dados pessoais dos clientes, 
número de contas e etc. 
Além do mais, muitos desses criminosos comercializam grande número de 
informações confidenciais na internet. Senhas de clientes, dados bancários, 
dados de cartões de credito, até mesmo propriedade intelectual são vendidos 
livremente por valores irrisórios. 
O uso de dispositivos pessoais para o trabalho também compromete 
consideravelmente a segurança dos dados corporativos. Não são somente 
tablete e smartphones, mas também pen drives, cartões de memória e outros 
dispositivos. O advento das redes sociais e a sua popularização possibilita que 
todo tipo de informação seja compartilhado sem critérios de segurança 
ganhando proporções gigantescas sem o conhecimento da empresa. Muitos 
criminosos aplicam golpes em funcionários desavisados, tais golpes variam de 
uma conquista romântica até chantagem para obter informações sigilosas. 
A motivação desses criminosos varia desde o lucro financeiro, vingança, desejo 
e reconhecimento e poder, resposta a chantagem, lealdade a outros na 
organização, e crenças políticas. Muitas fontes internas têm colaborado com o 
crime organizado e grupos ativistas, à medida que isso tem se tornado comum, 
muitos países tem adotado medidas para se proteger contra esses e outras 
ameaças. Recentes pesquisas tornaram possível traçar o perfil psicológico 
daqueles que realizam tais ações. Foi possível identificar que esse possui traços 
de maquiavelismo, narcisismo e psicopatia. Além de uma personalidade imatura, 
baixa autoestima, inquietação, amoralidade ou falta de ética, tendência 
fantasiosa, superficialidade, impulsividade, falta de conscientização, 
instabilidade e manipulação. 
Com progresso constante das tecnologias existentes e do surgimento de outras 
o envolvimento de todos na organização se tornou extremamente necessário. 
Alguns passos podem e devem ser adotados: (1) ter uma solida política interna 
ajuda os funcionários e prestadores de serviço a saberem o que devem ou não 
fazer. Tal política deve ser precisa e em uma linguagem que todos possam 
entender. Uma vez que todos sabem o que podem ou não podem fazer, qualquer 
violação da política deve incorrer em penalidades de acordo a gravidade da 
falha. Também os funcionários devem ser ajudados a ficarem alertas a 
segurança durante o dia a dia. Isso pode ser feito através de campanhas de 
comunicação internas e treinamentos com material interativos que possibilitem 
a aprendizagem; (2) funcionários conscientizados, cientes das ameaças e dos 
riscos, identificam situações perigosas e recorrem a ajuda. Para isso é preciso 
investir em treinamentos que simulem situações aos quais aquele profissional 
pode se deparar no seu dia a dia de trabalho; (3) avaliar os profissionais que 
serão contratados com o objetivo de identificar pessoas que podem representar 
um perigo futuro para a empresa. Analisar o currículo profissional deve estar 
alinhado com uma análise do histórico criminal, se há deturpações no currículo, 
e avaliação da moral dos candidatos. Isso ajuda a determinar se tais tem uma 
personalidade perigosa; (4) processos rigorosos de contratação de prestadores 
de serviço evita que fornecedores e distribuidores coloquem a perde toda a 
segurança criada na empresa. O objetivo é minimizar qualquer risco e isso é 
possível quando os parceiros e fornecedores tem basicamente as mesmas 
políticas relacionadas à segurança cibernética. Auditar tais fornecedores é 
essencial para a continuidade dessa gestão de segurança, é possível solicita 
registros criminais de funcionários, verificação de histórico de empregos dos 
funcionários, monitoramento de acesso de dados, prevenção de intrusos nas 
dependências físicas; (5) monitorar os funcionários e informa-los disso ajudará 
na conscientização, que necessita ser constante. 
Todas as medidas citadas aliadas a equipamentos bem configurados reduzem o 
risco de sofrer com o acesso não autorizado a informações confidenciais e outros 
prejuízos derivados dos atos criminosos. Firewalls, roteadores, sistemas de 
detecção de intrusão a sistemas, restrições a acessos, uso de dispositivos de 
armazenamento, verificação de acessos físicos de pessoas as dependências da 
empresa e outros métodos reduzem os riscos. O melhor método é eliminar os 
pontos fracos e fazer com que as pessoas que compõem a empresa adotem 
uma rotina que mantenha-a segura.