Há alguns meses, eu estive em um debate sobre segurança da informação e falei um pouco sobre o mercado brasileiro e as maiores ameaças que as grandes empresas sofrem por aqui, e disse uma frase: “Ataques ocorrem a todo o momento contra empresas brasileiros, mas ninguém os informa.” O público ficou boquiaberto e fui indagado por alguns dos presentes do porque disso.  A minha resposta foi e é um pouco long, mas vamos a ela:

Atendo clientes com grande visibilidade e com parques gigantescos de servidores. Processos, patches de segurança e monitoração são seguidos e reavaliados quase que diariamente, tudo para garantir o core business dos nossos clientes.

Muitos deles possuem à Internet como maior canal de prospecção de novos negócios, fornecimento de produtos/serviços e atendimento aos clientes. Daí, vocês já podem ver a importância de um portal ou canal direto disponível na net, 24×7, ininterruptas. Isso piora em muito quando o meu cliente, no caso, é um grande portal varejista. Caiu $udeu.

Também dá para imaginar que boa parte das empresas que ajudo a suportar recebem os mais diferentes tipos de ataque por segundo, normal, quanto maior a visibilidade e a importância das empresas com a sociedade, um alvo maior elas serão perante hackers/crackers e script kids.

Por causa disso que canso em afirmar que Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil (CERT.br) é informado em menos de 10% dos incidentes que realmente acontecem contra as empresas e o povo brasileiro. Esse número é real e alarmante.

O fato é que explicar que há dezenas de complicações técnicas para se bloquear um ataque DDoS para o público em geral, pode gerar uma dor de cabeça bem maior à curto e médio prazo, por este motivo, diversas empresas partem do seguinte princípio: seja ignorante, mas seja feliz – bem mais simples e mais barato.

Quem aí nunca ouviu a história do tiozinho do mainframe que roubou, durante décadas, 0,001 centavo de cada transação, e só perto de sua demissão que o banco descobriu o desfalque. O cara foi demitido, sem justa causa e ainda ficou com uma bela de uma grana. Esse tipo de história não é tão fantasiosa assim e pode ser explicada com outro termo bem simples: propaganda negativa.

Que grande instituição financeira gostaria de ter o seu nome associado a falcatruas executadas pelos seus próprios funcionários ?

Vários analistas de segurança e auditores ponderarão sobre a importância dos controles e auditorias internas, fora os treinamentos. Isso tudo é importante, mas no final, é a imagem da empresa que deverá ser preservada, não importa como.

Por este motivo, tantas empresas e não somente no Brasil, não informam sobres os incidentes de segurança que sofrem. Esse lance de: falem mal, mas falem de mim não funciona junto as empresas.

P.S.: A culpa não é do Cert.br no que se diz respeito a quantidade de ataques que eles são reportados, mas achar que 100 mil ataques por trimestre é um número realista, aí é pedir de mais.

Compartilhar:

Este post tem 5 comentários

  1. Você errou na digitação de novo em Gustavo
    correto é 100 milhões Por Trimestre! se não for mensal…

  2. deixa o cara passar a informação e isso que importa neste blog!

  3. Mais um pra lista então: http://www.itu.sp.gov.br/
    O pessoal não está brincando em serviço.
    Será que vamos ter mais uma onda de ataques?

Deixe uma resposta

Fechar Menu