Ano novo de muito trabalho

Nos próximos anos, as iniciativas de conscientização dos usuários sobre o segurança da informação podem alavancar vantagem competitiva, desde que a ênfase seja dada às pessoas, à cultura organizacional e aos aspectos de inteligência competitiva. Para tanto, há uma série de fatores a ser levados em conta.

Controles internos As organizações registradas na SEC Securities Exchange Commission ou não, continuarão sendo fortemente pressionadas para que estabeleçam controles internos efetivos. A necessidade das organizações em estar em conformidade com as exigências dos órgãos reguladores e das leis (CVM, Bacen, Sarbanes-Oxley, Basiléia II) resultará no aumento significativo de esforço e de investimentos na área.

A importância de se controlar os custos relativos ao alcance de níveis desejáveis de conformidade exigirá a adoção de um framework de controles (COSO, CobIT) e a automação de processos de negócio. As organizações que não iniciarem esse movimento considerando seus processos corporativos como um todo e adotando técnicas de gerenciamento de risco encontrarão sérias dificuldades na obtenção de controles internos efetivos.

O processo de autenticação Até que as organizações entendam a necessidade e aprendam a gerenciar a infra-estrutura de autenticação, a adoção de autenticação forte será limitada àquelas transações de alto risco ou de alto valor financeiro. Entretanto, as iniciativas do governo na direção do e-gov e da inclusão digital poderão impulsionar o uso da técnica. Como grande parte das organizações ainda não tem um processo efetivo de classificação de suas informações, a habilidade para determinar os níveis apropriados de autenticação como base de riscos se tornará uma dificuldade real até que haja a difusão da idéia.

Controle de Acesso A adoção de uma infra-estrutura de gerenciamento para autorização de acesso a dados (funções e regras) dependerá da proposição de valor a partir da eficiência operacional corporativa, do aperfeiçoamento dos serviços ou do melhoramento no gerenciamento de risco. Os mecanismos de permissão baseados em regras serão desenvolvidos, eliminando a necessidade de se inserir códigos de controle de acesso nas aplicações.

Diretórios O Lightweight Directory Access Protocol (LDAP) continuará a ser usado como um meio primário de autenticação ao diretório. A solução Directory Services Markup Language (DSML) irá substituir o LDAP como o protocolo preferencial para acessar os dados de diretório nos próximos três anos. Os diretórios continuarão a funcionar em camadas, tal como as aplicações corporativas e as unidades de negócios. Embora essa tecnologia exista para consolidar radicalmente o repositório de usuários, o aspecto político-organizacional continuará sendo a principal barreira para o sucesso.

Gerenciamento de usuários As companhias estão procurando caminhos para diminuir o tempo e o custo de gerenciamento de senhas. A utilização de ferramentas de gestão de usuários irá aumentar à medida que as organizações reconhecerem a redução de custos pela eficiência operacional associada. Até 2005, metade das 500 maiores empresas terão implementado produtos de gerenciamento de usuários baseados em Web.

Infra-estrutura de segurança As organizações estão focando na melhoria dos ativos e no gerenciamento de configuração. Estas melhorias são necessárias para que o gerenciamento de atualizações seja efetuado de forma eficaz. Os fornecedores de atualizações de ativos e de gerenciamento de configuração continuarão a crescer, permitindo eficiência no processo de atualizações de segurança para todos os servidores, desktops e aplicações corporativas.

A maior preocupação está em estabelecer procedimentos seguros para testar as atualizações, garantindo que os sistemas e serviços continuarão disponíveis como desejado. Isto exigirá padronização de servidores, de sistemas operacionais e de configurações de aplicações.

Gestão de vulnerabilidades e ameaças A necessidade de correlacionar, monitorar e relatar eventos exigirá amadurecimento das soluções de Gerenciamento das Informações de Segurança (SIM), as quais coletam, consolidam, convertem e interpretam dados para transformá-los em informação útil às organizações. Estratégias de arquivamento de dados se tornarão extremamente importantes, devido à necessidade de retenção de dados dos eventos de segurança por motivos regulatórios, de investigação forense e de problemas operacionais.

A decisão de risco será elevada ao nível dos processos de negócio. Com o atual crescimento das ameaças e dos níveis de fraudes digitais, as empresas estão atentas ao gerenciamento de riscos como uma preocupação estratégica. A implementação tática estará mais focada nas preocupações estratégicas.