10 Passos para Tornar sua empresa Insegura

Esse artigo, escrito por Luciano Lima, tem como objetivo demonstrar como vocês podem tornar sua empresa Insegura em 10 passos.

1 – Não Faça o Planejamento de Segurança

Se você fizer o Planejamento de Segurança da sua empresa você identificará os riscos de segurança e a exposição que a sua empresa tem no momento. Isso irá lhe dar muito trabalho e você provavelmente irá gastar vários meses para resolver tudo isso. Se nada aconteceu até agora, porque você deve se preocupar com isso agora? Quem faz Planejamento de Segurança é só empresa grande não é mesmo?

2 – Não Implemente a Política de Segurança

Se você implementar uma Política de Segurança você criará regras de acessos ao escritório, Datacenter, dados, descarte dos dados, etc. Para fazer tudo isso você também terá um grande trabalho e a maioria das pessoas não irão gostar de ficar alterando as senhas a cada 45 dias só porque você definiu isso na política. Por que ter todo esse trabalho? Só para proteger o acesso a informação da empresa?

3 – Não Faça Campanhas de Conscientização de Segurança para os Usuários

Se você fizer Campanhas de Conscientização de Segurança você irá orientar os usuários de como eles devem tratar as informações da empresa e como eles devem seguir a política de segurança. Isso também irá gerar um grande trabalho e você terá que fazer isso toda vez que um novo grupo de pessoas entrar na empresa e toda vez que a política de Segurança da Informação for alterada ou a cada ano para reciclagem das pessoas. Todos os usuários já sabem como tratar as informações do tipo Pública, Privada, Confidencial, não é mesmo? Então, porque você precisa ter todo esse trabalho?

4 – Não Instale IDS/IPS ou Firewall na sua Rede

Se você instalar IDS/IPS ou Firewall na sua rede você irá proteger o perímetro entre a sua rede e a Internet. Mas se você até hoje não precisou de um IDS/IPS ou Firewall, porque você precisa instalar um agora? Ninguém acessa suas informações não é mesmo? Pelo menos até onde você tenha conhecimento. Além disso, se você instalar um IDS/IPS ou Firewall você precisará monitorar as logs, criar regras de acesso de entrada e saída da rede, etc. Já pensou o quanto de trabalho que isso irá gerar?

5 – Não Faça Controle de Conteúdo

Se você fizer um Controle de Conteúdo do acesso à Internet você evitará que os usuários acessem conteúdos que contenham malwares, pornográfia e qualquer outra coisa que não tenha relação com o trabalho. Isso também irá gerar um grande trabalho, porque você já imaginou ficar criando regras para bloquear o acesso dos usuários? Se o acesso está liberado por completo hoje e ninguém tem reclamado, então porque fazer esse tipo de bloqueio agora? Só para evitar malwares, pornográfia e acessos de conteúdo não relacionado ao trabalho?

6 – Não Utilize Proteção Contra Malwares

Se você utilizar um software para proteção contra malwares você irá proteger os dados da empresa e também evitará a indisponibilidade do computador dos usuários. Fazer o gerenciamento de combate contra Malwares também irá gerar um grande trabalho e você precisará centralizar isso em uma única console. Mas se você não utiliza nenhum software para combate contra malware ou utiliza qualquer um gratuito, porque você deve se preocupar em fazer a gestão contra malware centralizada?

7 – Não Faça Criptografia dos Dados

Se você fizer a criptografia dos dados irá proteger a informação armazenada nos computadores e irá evitar que os dados sejam acessados por pessoas não autorizadas. Mas a senha do Windows não é suficiente? Se até hoje ninguém conseguiu acessar as informações no computador, porque eu devo fazer criptografia dos dados?

8 – Não Faça o Gerenciamento de Patches

Se você fizer o gerenciamento de patches irá evitar que vulnerabilidades conhecidas sejam exploradas por atacantes. Mas fazer o gerenciamento de patches também irá gerar um enorme trabalho, mas se você tem o WSUS você deve estar pensando que ele cobre todos os softwares não é mesmo? Mas e as atualizações de outros softwares, como Adobe, Oracle e Java? Não precisam ser atualizados?

9 – Não Faça Análise de Vulnerabilidades

Se você fizer uma Análise de Vulnerabilidade você irá identificar as vulnerabilidades presentes no seu ambiente. Isso irá gerar um grande trabalho e também você precisará de conhecimento especifico para fazer isso. Se até hoje você não fez nenhuma Análise de Vulnerabilidade, porque você precisa fazer isso agora?

10 – Não Faça Pentest

Se você fizer um Pentest (Penetration Test) você irá explorar vulnerabilidades existentes no seu ambiente simulando um atacante. Mas se até hoje nenhum hacker invadiu a sua empresa, porque você precisa se preocupar com isso agora?

Conclusão

O objetivo desse artigo foi justamente chamar a atenção dos Administradores de Rede, Analistas de Segurança, Gerentes de TI e Gerentes de Segurança que muitas vezes por falta de conhecimento ou por falta de equipe especializada no assunto acabam deixando passar despercebido alguns dos tópicos apresentados anteriormente. Os 10 passos apresentados anteriormente não são os únicos pontos que vocês devam se preocupar, mas são alguns dos principais que devem ser levados em consideração na hora de começar o planejamento anual da empresa.

Fonte: http://www.lucianolima.org/10-passos-para-tornar-sua-empresa-insegura/