Garantindo
a Adoção das Políticas de Segurança
de Usuários Remotos e Móveis
|
 |
 |
|
Introdução
Hoje em dia, enfrentar um ambiente de negócios
que evolui e muda à velocidade da luz envolve
uma tarefa complexa e trabalhosa que fica a cargo dos
administradores de TI: como verificar se os computadores
de usuários móveis estão seguros,
antes de permitir que se conectem às redes corporativas?
A agência de pesquisa Gartner Inc. prevê
que, em 2010, cerca de 80% dos principais processos
de negócios irão depender do compartilhamento
de informações em tempo real por parte
de funcionários móveis. Ao mesmo tempo,
a mais recente edição do Relatório
de Ameaças à Segurança na Internet
da Symantec demonstrou que até 80% de todas as
vulnerabilidades descobertas no primeiro semestre de
2003 vieram de computadores suscetíveis a ataques
executados remotamente. E segundo o relatório,
"Uma vez que o acesso global é obrigatório
no ambiente de negócios atual, as empresas têm
criado inúmeros aplicativos que podem ser usados
na Internet”.
No caso dos administradores de TI que atualmente enfrentam
esse ambiente de negócios, que evolui e muda
à velocidade da luz, resta o complexo e trabalhoso
desafio de verificar se os computadores de usuários
móveis estão seguros, antes de permitir
que se conectem às redes corporativas.
Não se arrisque a ignorar
as ameaças à segurança
Como todos sabemos, os negócios atuais envolvem
processos em tempo real e as empresas estão cada
vez mais móveis. Contudo, na corrida para conquistar
a mobilidade, muitas empresas ignoram a necessidade
de adotar medidas de segurança adequadas para
seus funcionários em trânsito. A Gartner
resume de forma concisa esta situação:
“Dispositivos móveis podem ser pequenos,
porém envolvem grandes riscos à segurança,
uma vez que o número de dispositivos usados é
alto, e as empresas tendem a não gerenciá-los
nem adotar medidas de segurança rigorosas”.
Dentre os riscos à segurança enfrentados
por empresas com funcionários móveis,
está a suscetibilidade a worms e vírus
mais complexos – conhecidos na indústria
de segurança como “ameaças combinadas”
– que tem se tornado a forma de ataque favorita
dos vândalos da Internet. Em geral, tais ameaças
exploram diferentes brechas na segurança, a fim
de aumentar suas chances de infectar um sistema de computador.
No primeiro semestre de 2003, o número de ataques
que puderam ser classificados como ameaças combinadas
foi 20% maior do que no semestre anterior àquele,
de acordo com o Relatório
de Ameaças à Segurança na Internet.
Essa notícia deve preocupar especialmente os
usuários que saem regularmente do perímetro
do firewall e se conectam à rede de forma remota.
Por quê? Porque as ameaças combinadas,
como o Nimda, Code Rede, SQL Slammer e Blaster, visam
especificamente notebooks que se encontram fora do firewall,
a fim de obter acesso não autorizado às
redes corporativas durante uma conexão feita
através de um provedor (usuários de notebooks
podem também se tornar vítimas inocentes
– ou “zumbis” – e serem usados
para ataques de negação de serviço,
ou ataques ainda mais sofisticados).
A fim de proteger seus usuários móveis
contra ameaças combinadas, bem como contra worms
de envio de e-mail em massa como o MyDoom e Netsky,
é essencial que as empresas adotem e propaguem
informações claras sobre as políticas
de segurança voltadas ao uso de dispositivos
móveis. Infelizmente, diversas empresas não
contam com tais políticas, ou apresentam políticas
que são muito extensas, prolixas, vagas, incompatíveis
com outras políticas internas, de difícil
implementação ou impossíveis de
serem adotadas. As empresas com negócios conduzidos
em tempo real não podem permitir tais deficiências,
e por uma boa razão: a computação
móvel representa riscos enormes à segurança.
A agência Gartner identificou as cinco maiores
áreas de risco associadas à computação
móvel:
- Riscos sociais (os processos móveis
podem alterar o comportamento dos funcionários
em relação à computação)
- Riscos técnicos (aqueles
relacionados às tecnologias em constante evolução
ou que não foram inteiramente testadas)
- Riscos legais (aqueles relacionados
à proteção de dados e privacidade)
- Riscos de integração
(tal como ao lidar com sistemas antigos)
- Riscos financeiros (causados por
eventos inesperados que possam prejudicar modelos
baseados em retorno de investimentos).
Além disso, como já é do conhecimento
de muitos administradores, a explosão da computação
móvel pegou de surpresa diversos departamentos
de TI e resultou na introdução de vários
equipamentos por parte de funcionários individuais
e grupos de trabalho, em vez de terem sido adotados
pelo departamento de informática ou outros canais
adequados. Essa introdução pela “porta
de trás” resultou no uso de equipamentos
móveis que não passaram pelo processo
normal de análise de recursos e limitações
antes da sua implementação. Como conseqüência,
a adoção de medidas para proteger esses
inúmeros dispositivos ficou em segundo plano,
ou não foi realizada com rigor.
Por esse motivo, é essencial que políticas
explícitas sejam implementadas a fim de auxiliar
os usuários a impedir a entrada de códigos
maliciosos na rede corporativa. Para obter uma descrição
passo-a-passo sobre a criação de uma política
geral de segurança, consulte o guia da Symantec
(em inglês) E-Security
Begins with Sound Security Policies.
Em termos práticos, é altamente recomendado
que quaisquer políticas de segurança exijam
o uso de uma solução de segurança
do computador que combine tecnologias de antivírus,
firewall e detecção de intrusões.
Além disso, a tecnologia de firewall do computador
deve conter instruções para que os mecanismos
do antivírus e da detecção de intrusões
verifiquem automaticamente todos os arquivos recebidos
e enviados. Caso uma ameaça seja detectada, o
mecanismo do antivírus ou da detecção
de intrusões pode instruir o firewall a aumentar
as medidas de segurança e bloquear a ameaça.
Contudo, tenha em mente que converter políticas
de segurança de informações em
procedimentos práticos diários é
uma tarefa complexa. É recomendável que
você trabalhe em contato com os usuários
móveis que deverão adotar essas políticas.
Segundo Stuart Broderick da Symantec, “Muitas
empresas já perceberam que as pessoas que ficam
de fora do desenvolvimento de um processo em geral não
se sentem ‘parte’ do processo e acreditam
que o seu conhecimento sobre a operação
dos sistemas não tem valor. Como resultado, tais
funcionários estão inclinados a ignorar
o processo e a adotar uma atitude do tipo ‘Eu
sei melhor o que tem que ser feito’ ou ‘Sempre
fizemos dessa maneira’”.
As iniciativas de conformidade
de usuários chegam ao mercado
De que modo as empresas podem se assegurar de que o
crescente número de funcionários móveis
tem adotado as políticas de segurança?
Um dos desenvolvimentos mais importantes nessa área
envolve as iniciativas de conformidade por parte dos
usuários, que são projetadas para promover
a adoção das políticas de segurança
pelos usuários remotos e móveis. Tais
iniciativas reconhecem que os diversos métodos
que os funcionários têm utilizado para
acessar as redes representam um novo nível de
risco à segurança corporativa. Portanto,
as iniciativas de conformidade permitem que administradores
de TI verifiquem se os usuários estão
realmente protegidos antes que possam se conectar à
rede.
Mais especificamente, os administradores serão
capazes de definir políticas de controle de admissão
que incluam considerações sobre a postura
de segurança de estações que tentem
se conectar à rede. Estações que
não estiverem em conformidade – como aquelas
desatualizadas quanto, por exemplo, à versão
de correção do sistema operacional ou
ao status do antivírus – terão seu
acesso negado, serão colocadas em quarentena
ou enviadas a um local separado para serem atualizadas,
enquanto que os computadores em conformidade com as
políticas da empresa poderão acessar a
rede.
Resultado: as iniciativas de implementação
de políticas nas estações ajudam
a evitar que usuários remotos e móveis
se tornem um elo desprotegido no ambiente da rede corporativa.
As empresas podem esperar que essa área evolua
ainda mais em 2004.
Conclusão
Uma política eficaz de segurança das informações
corporativas é essencial para as práticas
de negócios móveis. Assegurar a adoção
de tal política é mais importante do que
nunca, uma vez que as ameaças à segurança
continuam a aumentar em número e complexidade.
As empresas que dependem cada vez mais de comunicações
móveis e que planejam tornar suas políticas
de segurança eficazes poderão se beneficiar
das novas iniciativas de implementação
de política por parte dos usuários móveis.
Elas podem ajudar a garantir que usuários e computadores
remotos estejam protegidos e não coloquem em
risco as redes corporativas.
Links Relacionados:
|
|
|
