A garantia de segurança das informações de sua empresa depende diretamente de sua habilidade em gerenciar os riscos existentes no ambiente tecnológico. A implementação de ambientes seguros tem sido uma das principais preocupações dos executivos da Área de Tecnologia. Entretanto, é fundamental que as aplicações desenvolvidas para sua empresa apresentem os controles necessários frente aos cenários: “ameaças” x “vulnerabilidades” x “impacto”.
É importante ter em mente que desenvolver aplicações com segurança representa um custo adicional no projeto. Tanto prazo quanto investimento podem ser diretamente afetados pela necessidade de construir aplicações que estejam preparadas para os riscos existentes no ambiente em que serão executadas.
Quando o assunto é segurança, é impossível desconsiderar o aspecto financeiro envolvido. É muito importante que os profissionais de segurança e tecnologia estejam preparados para justificar os investimentos em segurança da informação. É necessário que todo custo envolvido em um projeto possa ser adequadamente justificado frente a necessidades reais.
Aplicar mecanismos de segurança em excesso, simplesmente para seguir as melhores práticas do mercado, pode significar investimento desnecessário: identificar o nível ideal de segurança não é um processo simples. Requer uma avaliação das ameaças e vulnerabilidades do nosso ambiente.
Sabe-se, por exemplo, que a quantidade de caracteres de uma senha está diretamente relacionada à dificuldade de quebra ou adivinhação desta senha. Agora a pergunta importante seria: quantas vezes tentaram quebrar ou adivinhar a senha de minha aplicação? Se nunca foi tentado antes, por que exigir senhas complexas com dezesseis caracteres ou caracteres especiais?
E por mais incrível que possa parecer, descobrir as estatísticas das tentativas de acesso não autorizado não é uma tarefa impossível. Comece analisando a quantidade de tentativas de entrada no sistema invalidadas devido à senha incorreta. Se estes números lhe parecem estranhos, então talvez seu sistema precise de senhas complexas com vários caracteres, caso contrário, talvez o mecanismo que exige senhas muito complexas esteja representando um custo desnecessário.
O que fica claro com este exemplo é o desafio de não apenas garantir o desenvolvimento de aplicações seguras, mas também de garantir que a implementação de mecanismos de segurança não está sendo exagerada. Em outras palavras, garantir que a aplicação irá atender os requisitos necessários de segurança, sem superestimar os riscos existentes.
Porém o contrário também não é desejável. Um outro lado da moeda pode ser apresentado por aplicações cuja segurança é considerada secundária, o que representa um erro assim como exagerar nos mecanismos de segurança. É comum que o cronograma para o desenvolvimento de aplicações priorize as funcionalidades essenciais ao sistema. Muitas vezes o pensamento é: “Vamos fazer o sistema funcionar, depois iremos pensamos nos aspectos secundários, como segurança”.
Considere sempre a segurança como aspecto essencial, pois não existe sentido em ter uma aplicação pronta, mas insegura. Cedo ou tarde será necessário aplicar mecanismos de segurança nesta aplicação e isto pode ser desastroso quando considerado após a finalização do projeto.
Partindo do pressuposto que seu ambiente está seguro, pois atualmente a segurança da infra-estrutura de tecnologia tem sido uma das prioridades nas áreas de tecnologia, é fundamental possuir uma metodologia que permita inserir mecanismos de segurança nas aplicações de forma racional. E mais, é importante que a aplicação seja monitorada para que a real necessidade ou eficiência dos mecanismos de segurança possam ser medidos e acompanhados enquanto a aplicação está em produção. Dessa forma é possível identificar os pontos em que a segurança foi subestimada e também aqueles pontos em que foi superestimada.
O desenvolvimento de novas versões das aplicações deve considerar melhorias também nos mecanismos de seguraança, dessa forma a aplicação irá com o tempo atingir o nível ideal de segurança considerando os riscos realmente críticos e a relação custo x benefício dos controles mecanismos implementados.
Qualquer erro de projeto, verificado posteriormente durante o processo de monitoração da aplicação, pode servir de lição para novas aplicações. O importante é não confiar em excesso na definição inicial dos requisitos de segurança de uma aplicação e garantir que a área de tecnologia está habilitada a verificar se as ações tomadas e os controles inseridos estão realmente minimizando os risco de acordo com o impacto para a empresa.
É importante ter em mente que desenvolver aplicações com segurança representa um custo adicional no projeto. Tanto prazo quanto investimento podem ser diretamente afetados pela necessidade de construir aplicações que estejam preparadas para os riscos existentes no ambiente em que serão executadas.
Quando o assunto é segurança, é impossível desconsiderar o aspecto financeiro envolvido. É muito importante que os profissionais de segurança e tecnologia estejam preparados para justificar os investimentos em segurança da informação. É necessário que todo custo envolvido em um projeto possa ser adequadamente justificado frente a necessidades reais.
Aplicar mecanismos de segurança em excesso, simplesmente para seguir as melhores práticas do mercado, pode significar investimento desnecessário: identificar o nível ideal de segurança não é um processo simples. Requer uma avaliação das ameaças e vulnerabilidades do nosso ambiente.
Sabe-se, por exemplo, que a quantidade de caracteres de uma senha está diretamente relacionada à dificuldade de quebra ou adivinhação desta senha. Agora a pergunta importante seria: quantas vezes tentaram quebrar ou adivinhar a senha de minha aplicação? Se nunca foi tentado antes, por que exigir senhas complexas com dezesseis caracteres ou caracteres especiais?
E por mais incrível que possa parecer, descobrir as estatísticas das tentativas de acesso não autorizado não é uma tarefa impossível. Comece analisando a quantidade de tentativas de entrada no sistema invalidadas devido à senha incorreta. Se estes números lhe parecem estranhos, então talvez seu sistema precise de senhas complexas com vários caracteres, caso contrário, talvez o mecanismo que exige senhas muito complexas esteja representando um custo desnecessário.
O que fica claro com este exemplo é o desafio de não apenas garantir o desenvolvimento de aplicações seguras, mas também de garantir que a implementação de mecanismos de segurança não está sendo exagerada. Em outras palavras, garantir que a aplicação irá atender os requisitos necessários de segurança, sem superestimar os riscos existentes.
Porém o contrário também não é desejável. Um outro lado da moeda pode ser apresentado por aplicações cuja segurança é considerada secundária, o que representa um erro assim como exagerar nos mecanismos de segurança. É comum que o cronograma para o desenvolvimento de aplicações priorize as funcionalidades essenciais ao sistema. Muitas vezes o pensamento é: “Vamos fazer o sistema funcionar, depois iremos pensamos nos aspectos secundários, como segurança”.
Considere sempre a segurança como aspecto essencial, pois não existe sentido em ter uma aplicação pronta, mas insegura. Cedo ou tarde será necessário aplicar mecanismos de segurança nesta aplicação e isto pode ser desastroso quando considerado após a finalização do projeto.
Partindo do pressuposto que seu ambiente está seguro, pois atualmente a segurança da infra-estrutura de tecnologia tem sido uma das prioridades nas áreas de tecnologia, é fundamental possuir uma metodologia que permita inserir mecanismos de segurança nas aplicações de forma racional. E mais, é importante que a aplicação seja monitorada para que a real necessidade ou eficiência dos mecanismos de segurança possam ser medidos e acompanhados enquanto a aplicação está em produção. Dessa forma é possível identificar os pontos em que a segurança foi subestimada e também aqueles pontos em que foi superestimada.
O desenvolvimento de novas versões das aplicações deve considerar melhorias também nos mecanismos de seguraança, dessa forma a aplicação irá com o tempo atingir o nível ideal de segurança considerando os riscos realmente críticos e a relação custo x benefício dos controles mecanismos implementados.
Qualquer erro de projeto, verificado posteriormente durante o processo de monitoração da aplicação, pode servir de lição para novas aplicações. O importante é não confiar em excesso na definição inicial dos requisitos de segurança de uma aplicação e garantir que a área de tecnologia está habilitada a verificar se as ações tomadas e os controles inseridos estão realmente minimizando os risco de acordo com o impacto para a empresa.
