Tendências da Segurança da Informação em Portugal e no Mundo Segurança de Informação e Gestão de Risco Instituto de Estudos Superiores Militares
Timóteo Figueiró
Ambiente recessivo vai manter-se em 2013
© IDC Visit us at IDC.com and follow us on Twitter: @IDC 3
-4
-3
-2
-1
0
1
2
2011 2012 2013 2014
PIB
Melhoria da eficiência da organização
Redução de custos de funcionamento
Melhorar o desempenho da organização
0% 20% 40% 60% 80% 100%
CAPEX
OPEX
Despesa TIC
Aumentar significativamente Aumentar
Manter-se Diminuir
Diminuir significativamente
Prioridades dos projectos de TI
© IDC Visit us at IDC.com and follow us on Twitter: @IDC 4
#1 - Redução dos custos de TI
#2 - Consolidação da infra-estrutura de TI
#3 - Melhoria dos processos de TI
#4 - Melhorar a capacidade de resposta aos requisitos do negócio
Melhoria dos níveis de serviço
#5 - Redução da complexidade das TI
#6 - Melhoria da segurança dos dados corporativos
$3.2T
$5.3T
Terceira Plataforma Redefine TI
Inovação TIC
1985-2005
Inovação TIC
2005-2020+
5 © IDC Visit us at IDC.com and follow us on Twitter: @IDC
Plataformas móveis e
PaaS possibilitam
novos ecosistemas
Recursos ilimitados
de hardware
Número de
utilizadores
potencialmente
ilimitado
Acesso alargado aos
clientes através de
marketplaces
Terceira Plataforma Redefine TI
Inovação em Produtos/Serviços & Modelos de Go-To-Market Low-Cost são Cruciais para Crescer
Fronteiras Corporatiavs Estão a Esbater-se à Medida que ‘Ecosistemas’ de Fornecedores, Clientes e outras Indústrias Emergem
Crescimento Exponencial na Capacidade de Processamento, Armazenamento de Dados e Funcionalidades de Rede
6 © IDC Visit us at IDC.com and follow us on Twitter: @IDC
Número de Empresas por Dimensão (empregados)
Terceira Plataforma Já Chegou
2nd Platform 3rd Platform
7 © IDC Visit us at IDC.com and follow us on Twitter: @IDC
Emergência de um novo paradigma de segurança
© IDC Visit us at IDC.com and follow us on Twitter: @IDC 8
Enterprise
Data
VoIP
PDAs
Web Apps
Enterprise Apps
OSs
Mobile Phones
Office Apps
IM
Laptops
Web 2.0
VMs
Variety, Volume
Complexity
Superficie de Ataque Variedade, Volume, Complexidade
Malware 2.0
Spanish police take down
massive Mariposa botnet IDG News Service
Attackers persuade users to infect
themselves Techworld.com
Hackers target C-level
execs and their families IDG News Service (London Bureau)
Carberp banking malware upgrades itself IDG News Service (London Bureau)
Next generation
banking malware
emerges after
Zeus IDG News Service
(London Bureau)
25 million strains
of malware
identified in 2009 PC Advisor (UK)
Facebook, Twitter, Social
Network Attacks Tripled in
2009
CSO (US)
Social networking security threats taken too lightly Network World (US)
Riscos acrescidos com mobilidade ...
Mobile attacks jumped fivefold Computerworld
Laptops are the weakest link,
says IDC Computerworld UK
Hackers to target mobile banking, study
says IDG News Service (Düsseldorf Bureau)
Mobile devices expose networks to
security threats Network World (US)
Malware exploding,
especially on mobile
devices CSO (US)
USB devices play part in one out
of every eight attacks Computerworld UK
Mobile malware exploits on the
way, experts say IDG News Service (Washington Bureau)
Malware: Android Apps
Threaten Mobile Security PC World (US)
Web 2.0 cria novas ameaças
Search results can be
dangerous IDG News Service (San
Francisco Bureau)
Storm worm spam
spoofs YouTube Network World (US)
Worm circulating through
Skype Computerworld (US online)
Blogs now infested with
offensive content Techworld.com
MySpace again under phishing
attack IDG News Service (San Francisco
Bureau)
1.5 million stolen Facebook
Ids up for sale IDGNS (US)
New Facebook
vulnerability patched By Joan Goodchild
CSO (US)
Hacker steals 400 billion virtual
poker chips from Facebook game By Tim Greene
Network World (US)
© IDC Visit us at IDC.com and follow us on Twitter: @IDC 14
0
50
100
150
200
250
2005 2006 2007 2008 2009 2010 2011 2012
Mais de 606 milhões de registos comprometidos
Hacking e fraudes em cartões
DISC
HACK
CARD
INSD
PHYS
PORT
STAT
UNKN
Organismos governamentais lideram
BSO
BSF
BSR
EDU
GOV
MED
NGO
#1 - Mais de 10% dos Orçamentos de Segurança Vão
Ser Utilizados em Conformidade Regulamentar
© IDC Visit us at IDC.com and follow us on Twitter: @IDC 16
Os orçamentos vão vir de fundos de segurança ou realocados de outras
infraestruturas ou departamentos
Drivers • Os legisladores comunitários ao nível nacional e
sectorial estão a adoptar uma abordagem unificada
para penalizar a perda de dados
• As redes sociais começam a estar sob escrutinio , à
medida que o “direito a ser esquecido” começa a
ser a norma
• BYOD e autenticação vão actuar como
catalizadores para expor as não conformidades
• Finalmente, as organizações tornam-se móveis e
os riscos de conformidade tornam-se evidentes
• Regulamentação de países exteriores à UE vai
entrar em conflito com a nova legislação para
adopção da cloud
Uma implementação apropriada tem impacto no CIO, CISO, CHRO e CTO,
enquanto a limitação de danos em redor das notificações de brechas tem
impacto no CMO (reputação), CFO (financeira), and COO (operações).
#2 – 2013 Vai Ser o Ano de Redefinição do Mercado de
MDM
© IDC Visit us at IDC.com and follow us on Twitter: @IDC 17
Devido à crescente complexidade e confusão funcional da categoria, gestão,
segurança, aplicações e dados necessitam de ser igualmente respeitados.
Drivers • A mobilidade não é uma excepção, é uma
plataforma comercial activa que requer forte gestão
• As previsões de crescimento de MDM em
equipamentos BYOD deverá ascender a 25% dos
equipamentos em 2013
• Fornecedores de MDM vão convergir à medida que
as funcionalidades básicas se tornam commodities
• Identidade móvel e gestão de acessos (MIAM) vão
tornar-se a categoria com maior adopção
BYOD, consumerização das TI e mobilidade são decisões estratégicas dos
CISO, responsáveis de TI, etc. Qualquer omissão de uma decisão estratégica
paralela dos CxO vai dificultar a capacidade da organziação de adaptar uma
estratégia de segurança coordenada.
#3 – Protecção de Dados Sensíveis Vai Ser a Principal
Preocupação do Sector Público
© IDC Visit us at IDC.com and follow us on Twitter: @IDC 18
A protecção de dados sensiveis vai ser uma das prioridades estratégicas dos
organismos públicos na Europa Ocidental
Drivers • Digitalização dos serviços públicos
• Penetração de telefones móveis na população e
nos funcionários públicos, em conjunto com a
consumerização dos equipamentos: tal constitui
uma preocupação crescente
• Crescente número de ataques ao sector público e
aos sites públicos
• Organizações de hackers avisaram da intenção de
aumentar substancialmente os ataques aos
organismos públicos
As politicas nacionais e comunitárias em redor da ciber-segurança, assim como as leis sobre
privacidade vão continuar a influenciar os investimentos dos organismos públicos centrais e locais em
segurança. Adicionalmente, o crescente numero de ataques e o risco vão condicionar os
investimentos em em soluções de segurança de redes e da web, messaging e segurança dos
equipamentos.
#4 – Identidade Avançada, Autenticação e Autorização
Vão Sustentar a Confiança na Segurança
© IDC Visit us at IDC.com and follow us on Twitter: @IDC 19
Identificação multifactor e autenticação vão aumentar a confiança nas
plataformas “on-premise”, cloud e móvel, controlando o acesso autorizado a
aplicações e interacções
Drivers • Identidade cloud e conformidade de autenticação
vão aumentar a confiança dos consumidores
• BYOID vai trazer a consumerização para a
segurança corporativa
• A adopção móvel está a provocar inovação em
redor das tecnologais multifactor, NFC,
autenticação e assinatura digital
• Autenticação federada SSO através da adopção de
SAML autoriza a convergência entre aplicações
“on-premise” e SaaS
Todos os níveis de CxO tem a responsabilidade de assegurar que protegem os
empregados, a organziação e as interacções com os clientes nas suas funções. A
propriedade não é um exclusivo do CIO ou do CISO mas um processo colaborativo de
todos os empregados.
#5 – Soluções de Segurança Vão Evoluir para
Plataformas Integradas
© IDC Visit us at IDC.com and follow us on Twitter: @IDC 20
A complexidade das estratégias de ataque dos ciber-criminosos contra
equipamentos, a web, messaging, móvel e redes requer uma plataforma
centralizada e uma politica de arquitectura
Drivers • As plataformas unificadas de segurança aumentam
a detecção e o tempo de reacção minimizando as
ameaças e as flutuações internas da organização
• Necessidade de integrar ofertas colaborativas de
fabricantes estabelecidos e inovadores
• Plataformas de multiplos nívies de segurança são
desenhadas para a longevidade das ameaças,
tecnologia e ambiente regulamentar
• Implementação de funcionalidades integradasd de
segurança incorporam politicas centralizadas
Os fabricantes reconheceram e reagiram aos pedidos dos CIO e dos CISO de redução da
complexidade dos sistemas de segurança. As plataformas integradas vão requerer especialistas com
elevadas qualificações para os CISO, reduzir a aquisição de talentos e a criação uma base de
conhecimento para planeamento da integração para aprovisionamento da infraestrutura de
segurança.
#6 – Ofertas IaaS/SaaS em Redor das Tecnologias IAM,
Redes e Encriptação Vão Ganhar Visibilidade em 2013
© IDC Visit us at IDC.com and follow us on Twitter: @IDC 21
Com a crescente adopção de modelos IaaS e SaaS, as organizações não
necessitam de controlo directo sobre os seus sistemas. A eficiente
implementação e gestão IAM, segurança de redes, e soluções de encriptação
desenvolvidas por start-ups começam a reajustar a balança
Drivers • A maioria das organziações europeias já utilizam
serviços cloud (IaaS e SaaS)
• Organizações necessitam de controlar “quem”
acede “a quê”e em “que” condições
• CISO requerem integração das arquitecturas
oferecidas por start-ups inovadoras, o que tem
faltado nas ofertas tradicionais de segurança
Existe uma necessidade crescente de gestão do ciclo de vida de IAM, segurança de
redes e encriptação. CISO e responsáveis de TI necessitam de novas ferramentas e
gestão para monitorizar e gerir os utilizadores que acedem a dados corporativos e
aplicações a um custo reduzido.
#7 – Armas Cibernéticas Vão Alterar a Guerra (Não
Oficial)
© IDC Visit us at IDC.com and follow us on Twitter: @IDC 22
Controlo estatal da infraestrutura nacional vai tornar-se critica à medida que o malware
se torna uma arma internacional com efeitos no mundo real: quebrar um centrifugador,
desligar uma rede eléctrica, baralhar sistemas de controlo
Drivers • Hostilidade multilateral envolvendo multiplas
nações, organizações sombra, hackers e
criminosos
• A capacidade para recolher, partilhar e analisar
dados com o objectivo de desenvolver respostas a
ameaças é o início de uma política de detenção
• A China tem planos de vencer as guerras de
informação em meados do século XXI
O CHRO pode necessitar de construir excepções nos contratos de trabalho
disponibilizando acesso externo a dados pessoais, enquanto o CIO e o CISO podem
necessitar de desenvolver controlos de acesso seguros aos dados para disponibilizar
informação correlacionadoa aos departamentos governamentais.
#8 – SOC e MSS Vão Ser a Primeira Linha de Defesa
© IDC Visit us at IDC.com and follow us on Twitter: @IDC 23
SOC e MSS externos vão emergir como defesas em todos os mercados,
explorando o seu conhecimento de ameaças, análise das actuais tendências e
melhoria da coordenação da resposta tecnológica
Drivers • As organizações não conseguem gerir o cenário de
ameaças e procuram aconselhamento dos níveis
aceitáveis de risco e os investimentos necessários
para alcançar estes objectivos
• A escassez de recursos em integração centralizada
de correlação de segurança está a criar ligações
fracas e pontos de acesso a brechas
• O TCO das operações internas de segurança é
superior aos fornecedores MSS, mesmo que a sua
contribuição para a efectividade da segurança seja
menor
• As questões de conformidade regulamentar
colocam uma carga adicional nos profissionais de
TI e de segurança
CISO, CTO e CIOs vão planear a infraestrutura de negócio para o crescimento e permitir que
especialistas tenham a gestão da mitigação dos riscos. Recursos, qualificações e identificação
avançada de ameaçes não é compatível com a redução dos orçamentos, expondo a generalidade dos
departamentos a brechas.
#9 – Controlos Sociais Misturam Segurança, Marketing
e ROI
© IDC Visit us at IDC.com and follow us on Twitter: @IDC 24
Crescimento da gestão centralizada das redes sociais “oficiais” respeitando as
diferenças culturais e geográficas na Europa
Drivers • A necessidade de prevenir contas fraudulentas e
legitimar pedidos de autenticação de identidades
• Intrusos podem examinar os perfis de social media
e podem escalar através dos individuos para
alcançar o seu objectivo – o negócio das
organizações
• Monitorização proactiva do sentimento em relação
à marca reduz os danos na reputação e as perdas
financeiras
• Preocupações emotivas da gestão de topo acerca
da segurança da estratégia social
A realidade social vai ser uma das principais prioridades dos CMO em 2013. Os canais
sociais são cruciais para aumentar o compromisso dos clientes e um canal chave para a
interacção. O planeamento entre CMO e CISO vai optimizar a segurança e manter o
balanço entre a utilziação formal e informal das redes sociais
#10 – Diferenciação Analitica Aumenta a Excelência da
Inteligência Sobre Ameaças
© IDC Visit us at IDC.com and follow us on Twitter: @IDC 25
A combinação da analitica de dados e cibersegurança pode gerar inteligêncoia
de negócio útil para a mitigação de riscos e desenvolvimento de soluções de
segurança pro-activa
Drivers • A necessidade de identificar quem, o quê, quando,
onde, como e porquê
• Monitorização de ameaças e funções de segurança
das operações incluindo detenção, detecção,
identificação, avaliação, resposta e recuperação
• Capacidade de melhorar a ciber-segurança com
analitica visual
• Necessidade de balancear o investimento na infra-
estrutura para retenção de dados e para o valor da
“inteligência”
A analitica diferenciada vai transformar os CxO em executivos informados que pode
informar todas as operações, business intelligence e gestão das ameaças de segurança.
Obrigado!
© IDC Visit us at IDC.com and follow us on Twitter: @IDC 26
Timóteo Figueiró [email protected]