Mostrando postagens com marcador CSA. Mostrar todas as postagens
Mostrando postagens com marcador CSA. Mostrar todas as postagens

abril 10, 2024

[Segurança] A Cloud Security Alliance (CSA) faz 15 anos!

Parece que foi ontem que a Cloud Security Alliance (CSA) surgiu... mas não, isso aconteceu há 15 anos atrás!!!


Em 2009, a Cloud Security Alliance (CSA) inaugurou a discussão e pesquisa sobre o cenário da segurança em nuvem ao publicar a primeira versão do seu principal Guia de Segurança, o Security Guidance for Critical Areas of Focus in Cloud Computing 4.0. Ao celebrar o seu 15º aniversário, é inegável o pioneirismo e o papel fundamental da CSA na construção de um ecossistema de nuvem mais seguro e confiável.

Nesses 15 anos a CSA produzimos mais de 600 materiais de pesquisa e construiu uma comunidade que inclui mais de 500 membros corporativos, mais de 100 capítulos globais, mais de 16.000 colaboradores voluntários de pesquisa e mais de 200.000 membros individuais.

Para saber mais:

novembro 04, 2021

[Segurança] Cloud Incident Response Framework

O pessoal da Cloud Security Alliance publicou há poucos meses atrás o Cloud Incident Response (CIR) Framework, um framework criado para servir como um guia para que os clientes de serviços de computação em nuvem se preparem e gerenciem com eficácia os incidentes da nuvem.


O framework cobre os requisitos de segurança e o nível apropriado de proteção contra incidentes, além de orientações sobre como negociar com os provedores de serviços em nuvem e dividir as responsabilidades de segurança. Ele mapeia as recomendações de planejamento e preparação para incidentes de segurança na nuvem, em cada passo do ciclo de vida da gestão de incidentes, com os principais padrões da indústria: o CSA Security Guidance For Critical Areas of Focus In Cloud Computing v4.0, o NIST 800-61r2 Computer Security Incident Handling Guide, o ITSC Technical Reference (TR) 62 – Cloud Outage Incident Response (COIR), o FedRAMP Incident Communications Procedure, o NIST 800-53 Security and Privacy Controls for Information Systems and Organizations, o Incident Handler’s Handbook do SANS Institute e o Cloud Computing Risk Assessment da ENISA. A imagem abaixo ilustra esse relacionamento e adesão a esses padrões:


O documento aborda o compartilhamento de responsabilidade entre clientes e provedores de serviço em nuvem, que é um assunto crítico quando falamos em ambientes em Nuvem, e traz muitas recomendações. Vale a pena baixar e ler o documento.

setembro 09, 2019

[Segurança] Estatísticas sobre Segurança em Computação em Nuvem

Recentemente a Checkpoint e a Symantec disponibilizaram relatórios interessantes sobre Segurança da Nuvem, com várias estatísticas recolhidas do mercado. São relatórios que abordam questões de segurança na adoção de cloud computing, incluindo quais sÃo os maiores riscos, desafios e dificuldades - não é a toa, ambos os relatórios destacam a dificuldade em identificar mão de obra qualificada nesse assunto.

As pesquisas trazem vários dados muito interessantes, e elas se complementam em vários pontos. Entre os dados apresentados nesses relatórios, eu destaco os seguintes:
  • Segundo a Checkpoint...
    • O SaaS (Software como Serviço) é o modelo de nuvem mais implementado (51%), seguido por IaaS (Infraestrutura como Serviço) (39%) e PaaS (Plataforma como Serviço) (22%);
    • Os cinco aplicativos SaaS mais populares são o Microsoft Office 365 (66%), o Microsoft Exchange (37%), Salesforce (32%), o Google G Suite (29%) e o Dropbox (26%);
    • O e-mail é a informação mais comum armazenada na nuvem (63%), seguido por dados de clientes (45%) e dados de funcionários (incluindo RH e folha de pagamento com 42%);
    • A segurança dos dados e os riscos de segurança em geral (um total de 57%) figuraram no topo da lista de obstáculos para a adoção mais rápida da nuvem, seguidos pela falta de orçamento (26%), desafios de conformidade (26%) e falta de equipe qualificada (26%);
    • 66% dos entrevistados afirmam que soluções de segurança tradicionais não funcionam ou apresentam funcionalidade limitada em ambientes de nuvem;
    • As maiores dores de cabeça em relação à segurança na nuvem se referem à conformidade (34%) e à falta de visibilidade na segurança da infraestrutura (33% no total). A definição de políticas de segurança consistentes na nuvem e localmente e a falta contínua de equipes de segurança qualificadas estão empatadas em terceiro lugar (com 31% cada);
    • O acesso não autorizado e interfaces inseguras empatam em primeiro lugar como as maiores vulnerabilidades da segurança na nuvem (42% cada). Eles são seguidos pelos erros de configuração da plataforma da nuvem (40%) e sequestro de contas (39%);
    • Os maiores obstáculos são a falta de conhecimento especializado e de treinamento das equipes (41%), seguido por desafios orçamentários (40%), preocupações com a privacidade de dados (38%) e falta de integração com as plataformas locais (34%);
    • A criptografia de dados em repouso (38%), a automação da conformidade (37%) e APIs para denúncia, auditoria e alerta sobre eventos de segurança (34%) são os três controles de segurança mencionados com mais frequência;
  • Segundo o Relatório da Symantec, realizada em parceria com a Cloud Security Alliance (CSA)...
    • 53% das organizações já estão avançandas na implementação da nuvem em seu ambiente de TI;
    • A maioria das organizações está subestimando o volume de uso de aplicações na nuvem: enquanto uma organização acredita que seus funcionários estão usando em média 452 aplicativos na nuvem, na verdade, de acordo com os dados da própria Symantec, o número real de aplicativos de TI em uso por organização é de 1.807 (quase 4 vezes a mais do que eles estimam);
    • 73% das empresas pesquisadas acreditam que os incidentes na nuvem aconteceram devido à práticas de segurança imaturas - incluindo o uso de contas pessoais, falta de serviços de Autenticação Multifator (MFA) ou Prevenção de Perda de Dados (DLP);
    • 54% dos entrevistados dizem que a segurança na nuvem de sua organização não conseguiu acompanhar a expansão do uso de novos aplicativos;
    • Segundo dados da Symantec, o acesso não autorizado a contas é responsável pela maior parte dos incidentes de segurança na nuvem (64%);
    • 85% das empresas não estão usando as práticas recomendadas de segurança na nuvem
      • Por exemplo, 65% das organizações não implementaram Autenticação Multifator (MFA) na configuração de IaaS e 80% não usam criptografia;
    • A maioria (92%) disse que precisa melhorar as habilidades de segurança na nuvem, enquanto 84% confirmaram que precisavam adicionar pessoas na equipe para eliminar a deficiência.
O relatório da Symantec também fala muito da Nuvem como sendo o "novo shadow IT" (eu gosto e chamar isso de "Shadow Coud"), ou seja, quando a empresa cria recursos e serviços de tecnologia sem conhecimento, nem participação e aprovação, da área de TI. Assim, os dados da empresa se propagam nos serviços de nuvem SaaS autorizados e não autorizados. Mais da metade dos entrevistados (52%) consideram problemático o aumento do uso de aplicativos na nuvem para armazenar e compartilhar dados corporativos confidenciais. A grande maioria (93%) informou que seus usuários compartilham arquivos na nuvem contendo dados confidenciais e relacionados à conformidade

Ao final, o relatório da Symantec aponta algumas das melhores práticas para desenvolver a maturidade da segurança na Nuvem:
  • Desenvolver uma estratégia de governança;
  • Adotar um modelo de Zero Trust (Confiança Zero);
  • Promover a responsabilidade compartilhada;
  • Aproveitar automação e inteligência artificial sempre que possível;
  • Abrir caminho para DevSecOps.
Ambas pesquisas revelam que o maior desafio que as organizações estão enfrentando não é apenas na tecnologia, mas também nas pessoas e nos processos. Elas dão uma boa visibilidade de como as organizações estão se adaptando a evolução das ameaças na nuvem, examinando questões como visibilidade de seu ambiente, perda de controle de dados e práticas de segurança imaturas, com uso insuficiente de tecnologias, processos inadequados e pessoal sem a devida capacitação.

Para saber mais:

OBS: Post atualizado em 11/09/2019.

novembro 08, 2016

[Segurança] 11 de Novembro temos o Dia Internacional da Segurança em Informática

No dia 11 de Novembro a RNP vai realizar o Dia Internacional da Segurança em Informática (DISI 2016), evento de excelente qualidade com objetivo de promover a conscientização de usuários finais.

O tema descolhido para o evento nesse ano pega carona na febre de IoT, um problema bem atual e que em causado grandes dores de cabeça mundo afora: "Internet das Coisas e Segurança podem realmente conviver?".



Serão realizadas várias palestras bem legais, discutindo o estágio atual dos problemas e desafios de segurança associados a proliferação de dispositivos conectados. Eu vou aproveitar a oportunidade para divulgar o novo guia de segurança para IoT da Cloud Security Alliance (CSA).

O evento será em Brasília (DF), mas as palestras serão transmitidas ao vivo, a partir das 09 da manhã, com streaming em Português, Espanhol e Inglês. Após o evento, os vídeos gravados serão disponibilizados neste site.

julho 31, 2015

[Segurança] Próximas apresentações

Recentemente eu criei uma página aqui no Blog com uma pequena lista das apresentações e palestras que já realizei até o momento, e por isso resolvi aproveitar o embalo para compartilhar quais eventos de segurança aonde deverei palestrar nos próximos meses:
  • 21/Agosto: Semana de eletrônica/computação/automação da UNIFEI - Palestra "Hacktivismo"
  • 25/Agosto: Forum de Redes da RNP (Brasília) - painel sobre o "Futuro da computação em nuvem"
  • 03/Setembro: 1º CSO Summit / Seminário Nacional de Cyber Segurança - Participação em painel
  • 11-12/Setembro:  10ª Edição do Global Risk Meeting 2015 (GRM) - Painel "Cyber Security – Formando a Defesa: Conscientização e Prevenção Cibernética" (12/09)
  • 04-07/Outubro: RSA Techfest (Orlando) - Palestra "WTD News from the Trenches II: Spotting malicious actors and bad developers"
  • 21-23/Outubro: RSA Charge (Chicago) - Palestra "WTD News from the Trenches: Detecting malicious actors and broken sites"
  • 28/Novembro: Security Day (Natal): Palestra "A Industrialização do Ciber Crime"
  • 11/Dezembro: GTS - Palestra "Novos Aspectos Legais e Regulatórios em Cloud Computing"


Acho que em breve também vou começar a oferecer serviço de animação de festas e velórios... (brincadeira!)

maio 26, 2015

[Segurança] Certificação em Segurança para Cloud Computing

Há vários anos a Cloud Security Alliance (CSA) criou uma certificação profissional em segurança para Cloud Computing, chamada de CCSK - sigla para Certificate of Cloud Security Knowledge.

Em Abril deste ano, a CSA e a (ISC)² lançaram uma nova certificação, batizada de CCSP - Certified Cloud Security Professional. A CCSP segue o modelo de certificação habitual da (ISC)², aonde é necessário fazer uma prova múltipla escolha, com 125 perguntas, após comprovar um tempo de experiência na área (mínimo de 5 anos, dos quais pelo menos 3 em segurança e pelo menos um em algum dos domínios).

O conhecimento necessário para a certificação CCSP está organizado em seis domínios, baseados no tradicional "Common Body of Knowledge" (CBK) da (ISC)². São eles:
  • Architectural Concepts & Design Requirements 
  • Cloud Data Security
  • Cloud Platform & Infrastructure Security
  • Cloud Application Security
  • Operations
  • Legal & Compliance

fevereiro 24, 2015

[Segurança] Aspectos jurídicos da Cloud Computing

O Dr. Walter Capanema realizou uma palestra sobre os aspectos jurídicos da Cloud Computing no palco de Segurança e Redes da Campus Party. O Walter é advogado especialista em crimes cibernéticos e diretor do capítulo brasileiro da Cloud Security Alliance (CSABR).

O pessoal da Campus já disponibilizou o vídeo da palestra, aonde ele falou sobre as preocupações que devemos ter com os contratos com os provedores de serviços na nuvem, os riscos com o surgimento da Internet das Coisas (IoT), o risco de espionagem versus a  importância da proteção à privacidade, o impacto do Marco Civil para o mercado de Cloud (e a preocupação com a neutralidade da rede) e o nosso Projeto de Lei sobre Cloud Computing (PL 5.344/2013). A qualidade do som e da imagem está muito boa :)



O Walter Capanema levanta vários pontos interessantes em sua palestra, como por exemplo:
  • Estamos confiando demais na nuvem!
  • O modelo de negócio da Computação em Nuvem pode acabar prejudicando o consumidor, a partir do momento em que somos obrigados a usar softwares na nuvem e manter nossos dados lá, pois acabamos dependentes deste serviço;
  • Do ponto de vista de segurança, também ficamos totalmente dependentes da segurança embutida no serviço da nuvem - e, consequentemente, de suas vulnerabilidades.
A palestra veio em uma boa hora, pois a ISO/IEC deve lançar ainda neste ano uma regulamentação específica para Cloud Computing, a ISO/IEC 27017 ("Information technology — Security techniques — Code of practice for information security controls based on ISO/IEC 27002 for cloud services").

abril 17, 2014

[Segurança] Presidência do capítulo brasileiro da Cloud Security Alliance

Estou assumindo a posição de novo presidente do capítulo brasileiro da Cloud Security Alliance (CSABR), em substituição ao presidente anterior, o Paulo Pagliusi, que assumiu o cargo de vice-presidente.

Antes de mais nada, preciso agradecer ao trabalho e ao interesse incansável de todos os participantes da CSABR, que nos fez chegar até aonde estamos. Em particular, temos que reconhecer a dedicação dos presidentes anteriores: o Leonardo Goldim, que teve a coragem de trazer a CSA para o Brasil, e fomos o segundo capítulo em todo o mundo! Em seguida vieram o André Serralheiro que deu um novo ritmo ao capítulo e o dedicado Paulo Pagliusi, que trouxe grande experiência e visão. Para mim foi um prazer trabalhar com todos eles.

Por isso, assumir a presidência do capítulo é, acima de tudo, uma grande honra e uma grande responsabilidade. E espero contribuir para uma trajetória de sucesso crescente da CSABR. Nós ainda estamos muito longe de onde gostaríamos, mas ao mesmo tempo caminhamos muito considerando os poucos recursos que temos.

O mercado de Cloud Computing continua em franco crescimento, mesmo após os escândalos de espionagem que surgiram no ano passado e a crescente preocupação com a privacidade (algo muito válido, diga-se de passagem). O mercado de segurança para Cloud Compiting também está crescendo e amadurecendo, as vezes por conta de novas regulamentações, de novas tecnologias ou mesmo por causa de novos incidentes, que servem de lição para os profissionais da área. Afinal, trabalhar com segurança da informação é um desafio constante!

Nosso papel, como profissionais de segurança, é garantir como usuários e empresas podem adotar as novas tecnologias com os devidos controles e salvaguardas.

janeiro 31, 2014

[Segurança] Cloud computing sob o olhar de um advogado

O Dr. Walter Aranha Capanema, advogado do Rio de Janeiro especializado em direto eletrônico e membro da CSA Brasil, deu uma excelente palestra sobre os aspectos jurídicos relacionados a Computação em Nuvem.

A palestra "Cloud computing: o olhar de um advogado" foi realizada nesta semana no Palco Arquimedes da na Campus Party 2014, que é o palco relacionado a palestras sobre segurança e redes.



Nessa palestra, o Walter Capanema abordou vários aspectos relacionados aos usos de Cloud Computing, como as legislações existentes (incluindo a Lei Carolina Dieckmann, neutralidade da rede e Marco Civil) e a questão dos termos de uso (que são os chamados "contratos de adesão") e suas cláusulas abusivas (como as cláusulas que ele chama de "mãe Dinah", aonde a empresa pode suspender o serviço se ela suspeitar que o usuário desrespeitou o contrato). Para exemplificar como os termos de uso são complexos, o Walter lembra que o termo de uso to facebook tem mais palavras que a constituição americana !!!

Ele também abordou muito a questão da privacidade e dos riscos de espionagem, com exemplos baseados nas denúncias do Edward Snowden (incluindo a recente notícia que a NSA espiona até mesmo os hábitos de jogadores online, incluindo no Angry Birds, Farmville e Call of Duty). E como a criptografia pode nos ajudar a proteger nossa privacidade.

outubro 14, 2013

[Segurança] A NSA causa tempestade nas Nuvens!

Segundo uma pesquisa realizada recentemente pelo instituto de pesquisa Information Technology and Innovation Foundation (ITIF) e Cloud Security Alliance americana, a indústria de Computação em Nuvem pode ser impactada diretamente pelos escândalos de espionagem envolvendo a NSA (a Agência de Segurança Nacional dos EUA), revelado pelo Edward Snowden.

Por conta do risco de espionagem e a consequente preocupação com privacidade, empresas e instituições estrangeiras estão cancelando contratos e reduzindo o uso de provedores de serviços em nuvem baseados, pois a espionagem  podem afetar diretamente a confidencialidade de dados armazenados na nuvem. Afinal de contas, as revelações do Snowden mostram um programa sofisticado e abrangente de espionagem do governo norte-americano focado na coleta massiva de dados eletrônicos de empresas e usuários, muitas vezes com a conivência forçada de empresas de tecnologia baseadas nos EUA, como Facebook, Google, Microsoft, Apple, Yahoo e muitas outras - incluindo empresas de telecomunicações.

Como consequência, o ITFI estima que a indústria de computação em nuvem nos Estados Unidos pode perder entre US$ 25 bilhões e US$ 35 bilhões em receita nos próximos três anos.

Em uma outra pesquisa realizada há pouco tempo pela Cloud Security Alliance com 500 executivos, 10% dos entrevistados não americanos disseram ter cancelado um projeto com um fornecedor de Cloud Computing baseado nos EUA, enquanto 56% afirmaram ser menos propensos a usar um serviço de nuvem com base nos EUA. Entre as empresas com sede nos EUA, 36% indicaram que as divulgações sobre a espionagem da NSA tornaram mais difícil a elas fazer negócio fora do país.

setembro 05, 2013

[Segurança] Cloud Security Alliance Brasil com novo Presidente

Nesta semana o pessoal do capítulo Brasileiro da Cloud Security Alliance elegeu um novo presidente do capítulo, o Paulo Pagliusi. Para quem não o conhece, ele é um profissional com muitos anos de carreira na área de segurança, aonde seu conhecimento e experiência só não são maiores do que a sua sincera modéstia. A maior parte destes anos foram dedicados na Marinha do Brasil, aonde entre outras coisas é Capitão-de-Mar-e-Guerra da Reserva e fundou a Divisão de Criptologia no CASNAV. Ele também tem experiência como diretor do ISACA-RJ e atualmente é sócio-diretor da Procela Inteligência em Segurança.

O Pagliusi está desde o começo na CSA Brasil, aonde colaborou em alguns projetos, publicou artigos em nosso blog, fez várias palestras em nome do capítulo e esteve sempre presente, tanto nos momentos de maior ou menor atividade.

O Pagliusi é o terceiro presidente da CSA BR, após o Leonardo Goldim e o André Serralheiro, que foram respectivamente o fundador e o segundo presidente do capítulo.

A Cloud Security Alliance é uma entidade formada por voluntários interessados em estudar e educar sobre segurança em ambientes de computação em nuvem. Ela possui diversos grupos de trabalhos que já produziram um rico material sobre o assunto, que são refer6encia no mercado.

Como o Pagliusi sempre diz, "bons ventos a todos".

fevereiro 27, 2013

[Segurança] As principais ameaças em Cloud Computing

Nesta semana, a Cloud Security Alliance (CSA) lançou a segunda versão de seu guia sobre as principais ameaças de segurança relacionados a Cloud Computing, que recebeu o título de "The Notorious Nine’ Cloud Computing Top Threats in 2013".

Esta é uma versão melhorada do guia anterior, que listava sete categorias principais de riscos. O interessante é que, para identificar as principais ameaças que deveriam ser incluídas nesta nova versão do guia, a CSA realizou uma pesquisa com os especialistas do mercado, coletando suas opiniões sobre os maiores problemas na computação em nuvem. A CSA usou os resultados dessa pesquisa para identificar os riscos, que foram posteriormente relacionados com outros documentos já publicados pela CSA. Assim, este relatório reflete reflete as principais preocupações existentes no mercado.

Nesta edição do relatório as seguintes ameaças foram consideradas críticas à segurança da computação em nuvem:
  • Data Breaches (Violações de dados)
  • Data Loss (Perda de Dados)
  • Account Hijacking (Sequestro de contas)
  • Insecure APIs (APIs inseguras)
  • Denial of Service (Negação de Serviço)
  • Malicious Insiders (insiders maliciosos)
  • Abuse and Nefarious Use (Abuso e Uso mal intencionado)
  • Insufficient Due Diligence (Due Diligence insuficiente)
  • Shared Technology Issues (Problemas no compartilhamento de tecnologias)


O relatório pode ser abaixado gratuitamente no site da CSA.

novembro 30, 2010

[Segurança] Segurança da Computação em Nuvem em quatro slides

Hoje eu tive a oportunidade de participar de um painel sobre segurança de Cloud Computing durante o SICGov 2010, o IV Congresso de Segurança da Informação e Comunicações para Governo, realizado em Brasília/DF durante esta semana.

Como eu dividi o palco com mais dois painelistas, os senhores Cezar Taurion da IBM e Raimundo Nonato da Costa, da Microsoft, eu optei por preparar um material bem curto que sintetizasse os principais pontos que julgo serem os mais importantes quando consideramos as vantagens e os riscos de segurança relacionados a computação em nuvem. Por isso, eu acabei criando uma apresentação aonde destaquei os seguintes pontos:
  • A Computação em Nuvem nos oferece vários benefícios do ponto de vista de segurança da informação, na medida em que facilita a resolução de alguns problemas clássicos, como a disponibilidade das aplicações, atualização de versões e aplicação de patches (o que pode ser gerenciado pelo provedor de Cloud Computing), a segregação de ambientes (uma vez que fica fácil e barato levantar versões de testes e homologações de suas aplicações) e a implementação de um plano de recuperação de desastres (pois isto pode estar embutido na oferta de Cloud Computing ou a empresa pode utilizar a nuvem para hospedar versões de contigência para suas aplicações existentes, criando um "datacenter virtual").
  • A discussão sobre os riscos da Computação em Nuvem deve, necessariamente, começar com uma análise de riscos baseada nas necessidades de negócio, para que a empresa ou o órgão de governo identifique suas necessidades, riscos e controles de segurança que necessitará adotar ou exigir do provedor de Cloud Computing. Isto nada mais é do que um processo de análise de riscos que deveria ser natural para a empresa ou entidade, independente de tratarmos de Computação em Nuvem ou qualquer outro serviço ou tecnologia.
  • Embora a Computação em Nuvem herde vários riscos associados às tecnologias que utiliza e ao seu modelo de negócio (como, por exemplo, riscos associados ao controle de acesso, virtualização, modelo de terceirização, etc), ela também apresenta um conjunto específico de novos riscos que tornam a análise de riscos mais complexa, e diferente do que as empresas e entidades estão acostumados, como, por exemplo, os riscos associados as suas novas características e paradigmas.
  • Eu considerei importante exemplificar o que eu considero como sendo os "novos riscos" que a Computação em Nuvem traz para as empresas, e por isso utilizei o último slide da minha curta apresentação para listar apenas alguns deles, como por exemplo, a necessidade de preocupação com a localização geográfica de seus dados (para evitar que sua aplicação ne Nuvem e seus dados estejam, fisicamente, em um país com controles legais ou cenário de ameaças distinto do que a empresa esteja acostumada) e, o mais interessante, o fato de que a facilidade de contratação dos serviços de Cloud Computing representa um risco, uma vez que as áreas de negócio podem facilmente contratar uma nova aplicação de um fornecedor externo sem o conhecimento e a anuência das áreas de Tecnologia da Informação (TI) e de segurança da empresa.




O painel foi excelente, pois o Cezar Taurion apresentou os principais conceitos e os principais passos para adoção da computação em nuvem, enquanto o Raimundo Nonato destacou as estratégias e cuidados que os governos e órgãos públicos devem considerar ao utilizar o Cloud Computing. Ao final tivemos algumas perguntas interessantes da platéia, como a preocupação em como auditar um provedor de Cloud Computing e a existência de padrões e normas para tal (o que, a propósito, está sendo discutido na ABNT).

No decorrer do painel, surgiram vários comentários que eu considerei interessantes, como os pontos abaixo. Eu aproveitei e publiquei vários comentários no Twitter durante o painel, para permitir uma participação do público remoto.
  • Segundo o Cezar Taurion, a Computação em Nuvem representa uma mudança de visão e entendimento do que é TI atualmente, e daqui a 10 anos vai parecer algo natural. eu complementei este comentário lembrando que daqui a 10 anos, os principais executivos serão pessoas que, provavelmente, já nasceram no mundo Internet e conhecem tecnologia desde pequenos.
  • Gostei também de outra frase do Cezar Taurion: "nós superestimamos a adoção de Cloud Computing a curto prazo e subestimamos o seu impacto no longo prazo."
  • O Raimundo Nonato, da Microsoft, apresentou fotos do datacenter modular que é utilizado atualmente, que consiste em conjunto de equipamentos montado dentro de um container, e que pode ser facilmente adicionado a vários existentes para ampliar a capacidade total de processamento.
  • Foi concenso entre os painelistas que a adoção de Cloud Computing pelas empresas deve ser feita aos poucos e seguindo uma cuidadosa estratégia. Por exemplo, a empresa ou o órgão de governo deve começar escolhendo aplicações menos críticas.
  • Outro ponto interessante foi a questão da auditoria e confiabilidade no provedor. Neste ponto, ambos o Cezar Taurion e o Raimundo Nonato destacaram a importância em selecionar uma empresa grande e confiável para fornecer os serviços de Cloud Computing.
  • Ao final, eu destaquei que Cloud Computing representa uma ótima oportunidade para que as pequenas e médias empresas tenham acesso a tecnologia e a soluções de negócio sem a necessidade de grande investimentos. Ela também facilita o acesso dos usuários a tecnologia, mesmo nos casos de usuários ou escritórios remotos - o que pode ser crucial para uma empresa pequena ou de médio porte.

O SICGov 2010 foi organizado e realizado pelo Gabinete de Segurança Institucional da Presidência da República, por intermédio do Departamento de Segurança da Informação e Comunicações (DSIC).

outubro 22, 2010

[Segurança] Cloud Security Alliance no Brasil

CSA Brazil
Há alguns meses atrás nós começamos a juntar um grupo de profissionais de segurança interessados no assunto de Cloud Computing (Computação em Nuvem) e, em maio deste ano, iniciamos o capítulo brasileiro da Cloud Security Alliance, uma entidade americana formada por empresas e profissionais voluntários que se interessam em pesquisar e compartilhar informações sobre a segurança da Computação em Nuvem.

Nesta semana nós tornamos público os primeiros frutos do nosso trabalho:



O Guia de Segurança para Áreas Críticas Focado em Computação em Nuvem é organizado em três seções com um total de 13 domínios, dos quais o primeiro domínio descreve os principais conceitos sobre Cloud Computing e os demais correspondem a distintas categorias de risco que devem ser consideradas. O guia aborda as diferentes arquiteturas de computação em nuvem, aspectos de governança e de operação para a implantação de um projeto de computação em nuvem com segurança, que incluem compliance, gestão de riscos, regulamentações legais, gerenciamento de acesso, virtualização, criptografia e proteção das aplicações na nuvem, entre outros. A tradução foi um trabalho meticuloso que consumiu 32 pessoas durante alguns meses. Acreditamos que esse documento vai permitir que muitos profissionais brasileiros se interessem e possam se aperfeiçoar neste assunto.

O lançamento do guia foi realizado oficialmente no dia 21 de outubro durante o CNASI, o Congresso Latinoamericano de Auditoria de TI, Segurança da Informação e Governança, com uma palestra do Leonardo Goldim, presidente do capítulo. Alguns sites como a Convergência Digital, ComputerWorld e o site baguete divulgaram o lançamento.
Creative Commons License
Disclaimer: The views expressed on this blog are my own and do not necessarily reflect the views of my employee.