# data[].attributes.body
ISO/IEC 27001 é  a norma que define os requisitos para um Sistema de Gestão da Segurança da Informação (SGSI).

# data[].attributes.attachment_link.readable_text
No setor de TI, engenheiros(as) e especialistas estão constantemente se preparando contra uma violação de segurança em seu sistema. Qualquer situação desse tipo pode resultar na perda de dados e no encerramento de determinadas operações.

Uma auditoria de segurança em TI é uma forma de prevenir incidentes como crimes cibernéticos e outras brechas de segurança, além de avaliar com profundidade a infraestrutura de TI, aplicações, serviços, acessos e funções de pessoal de uma empresa.

Confira, neste artigo, como funciona esse processo e saiba como aplicá-lo na sua empresa!

O que é uma auditoria de segurança de TI?

Trata-se de uma avaliação sistemática da segurança do sistema de informações de uma empresa, medindo o quanto ele está em conformidade com um conjunto de critérios estabelecidos. Uma auditoria completa, normalmente, avalia a segurança da configuração da infraestrutura, do ambiente, dos sistemas, de softwares, dos processos de manipulação de informações e de práticas do(a) usuário(a).

Em suma, toda organização deve realizar auditorias de segurança de rotina para ampliar a proteção de dados e ativos.

Como a auditoria é realizada?

O processo de auditoria compreende desde a análise de configurações de sistemas operacionais, compartilhamentos de redes, aplicações, softwares, sistemas, processos, dados históricos, acessos e consciência dos usuários etc. A seguir, apresentamos uma lista de soluções de segurança comuns para você pensar durante esse processo.

Proteção de e-mail

Os ataques de phishing estão cada vez mais populares hoje em dia e mais difíceis de identificar. Uma vez clicado, um e-mail de phishing fornece várias opções para obter acesso aos seus dados por meio da instalação do software. Os filtros de spam ajudam, mas a identificação de e-mails como "interno" ou "externo" à sua rede também é altamente valiosa.

Segurança de senha e gerenciamento de acesso

As senhas são complicadas, porque precisam ser complexas e exclusivas para cada conta, além de terem uma validade, ou seja, necessitam de renovação de tempos em tempos. Invista em um gerenciador de senhas comerciais, elimine a reutilização de senhas, aprimore a complexidade delas e ative o compartilhamento seguro de senhas.

Como administrador(a), você também pode gerenciar quem tem acesso a quais senhas na organização, para garantir que contas confidenciais estejam disponíveis apenas para a equipe apropriada.

Backup de dados

Faça backup de seus dados de forma consistente e garanta que eles sejam seguros e separados em caso de ataque de malware ou físico aos seus servidores principais.

Atualizações de software

Manter todos(as) os(as) usuários(as) da sua rede com o software mais recente é inestimável para garantir seus pontos de acesso. Você pode impor atualizações de software manualmente ou pode usar um software específico para manter suas contas confidenciais bloqueadas para funcionários(as) cujo software não está atualizado.

Quando ela deve ser feita?

A segurança da informação não deve ser encarada apenas como um requisito para o departamento de TI da empresa: ela é responsabilidade de todos(as) os(as) funcionários(as). Porém, muitas empresas assumem que seus sistemas são plenamente seguros, mas isso é difícil de saber sem realizar auditorias aprofundadas regulares de sua segurança. Em geral, existem dois tipos de auditoria, que são realizadas com frequências distintas.

Auditoria de rotina

Uma auditoria de rotina é um método automático que as equipes de TI usam para executar atividades de auditoria. Ela é feita com mais frequência e de forma regular. A decisão sobre quando executar uma auditoria de rotina é da gerência de TI.

Você pode optar por executá-los mensalmente, trimestralmente ou semestralmente. No entanto, recomenda-se que, no mínimo, essas auditorias sejam realizadas duas vezes por ano.

Auditoria especial

Uma auditoria especial ocorre em uma organização sob uma determinada circunstância e usa tecnologia avançada para se concentrar em uma área específica, depois que um evento ocorre, como uma violação de dados.

Por fim, sua primeira auditoria de segurança em TI deve ser usada como base para todas as auditorias futuras - medir seu sucesso e falhas ao longo do tempo é a única maneira de avaliar verdadeiramente o desempenho. Ao continuar aprimorando seus métodos e processos, você criará uma atmosfera de análise de segurança consistente e terá sempre a melhor posição para proteger seus negócios contra qualquer tipo de ameaça à segurança.

Gostou do artigo e quer receber outros conteúdos sobre segurança da informação, diretamente no seu e-mail? Assine agora a nossa newsletter!

TEM ALGUMA DÚVIDA?
NÃO SE PREOCUPE.

Agende um bate-papo com os especialistas da CCM.

Falar com a CCM

# data[].attributes.attachment_link.title
Como funciona a auditoria de segurança em TI? Descubra! - Blog da CCM - O melhor conteúdo para profissionais de TI

# data[].attributes.attachment_link.description
Uma Auditoria De Segurança Em Ti É Uma Forma De Prevenir Incidentes, Além De Avaliar Com Profundidade A Infraestrutura De Ti, Aplicações, Serviços, Acessos E Funções De Pessoal De Uma Empresa. Confira, Neste Artigo, Como Funciona Esse Processo E Saiba Como Aplicá-Lo Na Sua Empresa!

# data[].attributes.body
Kevin Mitnick hoje, trabalha como consultor de segurança na Web, mas já ficou 5 anos preso por hackear sistemas

# data[].attributes.attachment_link.readable_text
Kevin David Mitnick ( Van Nuys, Califórnia, 6 de agosto de 1963 - Las Vegas, Nevada, 16 de julho de 2023) foi um programador e hacker estadunidense, conhecido mundialmente a partir da década de 1990. Até 2023 trabalhava como gerente de uma empresa de segurança.

Desde muito cedo Mitnick gostava de hackear jogos simples, e mais tarde, passou a cometer delitos mais graves. Dentre outros feitos, invadiu computadores de operadora de celulares, empresas de tecnologia e provedores de internet. Foi preso em 1995 e obteve sua liberdade condicional em 2000, com a restrição de não poder se conectar à internet durante três anos. Findo esse período, passou a atuar como consultor de segurança na Web.

Sua história como hacker começou na sua adolescência em Los Angeles, durante os anos 70, quando invadiu o computador da sua escola e alterou algumas notas. Pouco tempo depois, passou a interessar-se pela pirataria de sistemas telefônicos. Para isso, chegou a invadir as instalações da Pacific Bell para furtar manuais técnicos. Tendo sido flagrado, não foi condenado por ter apenas 17 anos de idade.

A persistência em burlar sistemas o levou à prisão pela primeira vez aos 32 anos de idade, quando ele foi condenado a um ano de prisão por invasão de sistema e furto de software da DEC. Quando ele saiu da prisão, seu telefone passou a ser monitorado, assim como suas atividades. Haydan S.A foi o que ajudou Kevin a atualizar-se sobre os conceitos de informática.

Sem autorização, Kevin viajou a Israel para encontrar amigos crackers, violando sua condicional. Como a polícia suspeitava que ele continuava invadindo sistemas, Mitnick resolveu desaparecer. Para isso, utilizou uma identidade falsa.

Então, como fugitivo da polícia, sua atividade cracker continuou cada vez mais intensa. Invasões em sistemas de telefonia celular e furto online de softwares foram atribuídos a Mitnick, aumentando o interesse pela sua captura.

Em 1994, Tsutomu Shimomura era um grande especialista em segurança do Centro Nacional de Supercomputação em San Diego, Califórnia. Durante suas férias, seu computador pessoal - que estava conectado via Internet com aquele centro - fora invadido. Além disso, em 27 de dezembro daquele ano, uma pessoa deixou uma mensagem na caixa postal do telefone de Shimomura.

Tsutomu Shimomura, com sua reputação técnica abalada, preparou uma armadilha para Kevin Mitnick. Em primeiro lugar, colocou a mensagem da secretária eletrônica na Internet, tornado-a pública. Ele imaginou que, dessa forma, Kevin entraria novamente em contato.

Algum tempo depois, uma outra mensagem atribuída a Mitnick foi deixada na caixa postal de Tsutomu Shimomura. Ela dizia mais ou menos o seguinte: "Ah, Tsutomu, meu discípulo aprendiz. Você pôs minha voz na Internet. Estou muito desgostoso com isso."

Com o FBI acionado e com a colaboração da National Security Agency, o computador de Shimomura passou a ser monitorado 24 horas por dia em busca de qualquer indício de invasão na tentativa de pegar Mitnick. Da mesma forma, o seu telefone passou a ser rastreado.

Algum tempo depois, uma outra mensagem atribuída a Mitnick foi deixada na caixa postal de Shimomura.

A ligação foi rastreada e em 15 de fevereiro de 1995. As autoridades com a colaboração de técnicos da Sprint Cellular concluíram que o suspeito operava na Carolina do Norte. Com scanners de frequência, eles verificaram um sinal suspeito vindo de um edifício de apartamentos em Players Court. Com uma ordem judicial, Kevin Mitnick enfim foi preso.

Após cinco anos preso, Mitnick foi libertado em 2000 com a condição de manter-se longe de computadores, celulares e telefones portáteis por três anos.

Após passar o período em que deveria manter-se longe dos computadores, Kevin Mitnick escreveu livros e artigos sobre segurança de informações, proferiu palestras em diversos países e trabalhou como consultor em segurança de sistemas.

Mitnick é coautor, com William L. Simon e Robert Vamosi, de quatro livros, três sobre segurança de computadores e sua autobiografia:

(1996) The Fugitive Game: Online with Kevin Mitnick, Jonathan Littman

Referências

Ligações externas

# data[].attributes.attachment_link.title
Kevin Mitnick - Wikipédia, a enciclopédia livre

# data[].attributes.attachment_link.description
Kevin David Mitnick ( Van Nuys, Califórnia, 6 de agosto de 1963 - Las Vegas, Nevada, 16 de julho de 2023) foi um programador e hacker estadunidense, conhecido mundialmente a partir da década de 1990. Até 2023 trabalhava como gerente de uma empresa de segurança.

# data[].attributes.body
Este livro mostra como é possível invadir usando pessoas, usando engenharia social!

# data[].attributes.attachment_link.readable_text
Com a nova modalidade de pagamento sendo cada vez mais utilizada (o Pix), os golpistas estão sempre buscando novas maneiras de driblar a confiança dos usuários para roubar. É preciso aumentar o cuidado com as transações, SMS, e-mail, mensagens de WhatsApp e segurança com aplicativos de celular. Mas se mesmo assim, você acabar caindo em algum dos golpes, é preciso saber o que fazer o mais rápido possível.

A primeira medida a se tomar quando perceber que caiu em uma fraude é entrar em contato com o banco para tentar bloquear a transação ou reaver o valor perdido.

Portanto, se você caiu em um dos golpes, é preciso analisar com certa rapidez e entrar em contato com o banco para fazer um pedido de bloqueio preventivo em até 30 minutos durante o dia e uma hora durante a noite. Assim, o dinheiro fica retido por até 72 horas e as duas partes são notificadas.

Com as medidas cautelares, aumenta a probabilidade de recuperação dos recursos pelos usuários pagadores, vítimas de algum crime. Sempre que o bloqueio cautelar for acionado, a instituição deverá notificar imediatamente ao usuário recebedor e pagador. A notificação de infração era facultativa, mas já é obrigatória, além de ter o seu uso ampliado para transações em que pagador e recebedor possuem conta na mesma instituição e para transações rejeitadas por fundada suspeita de fraude.

Morais conta que uma nova funcionalidade que permite a consulta de informações vinculadas às chaves Pix para fins de segurança pode ser criada. O objetivo é que essa consulta seja feita para alimentar os mecanismos de análise de fraude dos participantes, inclusive em processos que não estejam diretamente relacionados ao Pix.

Assim, informações de notificação de fraudes vinculadas a usuários finais estarão disponíveis para todos os participantes do Pix, que poderão utilizá-las para a prevenção de fraudes e para as instituições financeiras terem um prejuízo menor quando ocorrer alguma fraude e terem de ressarcir os clientes.

O advogado também explica que o Banco Central deixa claro que as instituições que ofertam o Pix a seus clientes têm o dever de responsabilizar-se por fraudes decorrentes de falhas nos próprios mecanismos de gerenciamento de riscos. E mais, foi determinado que as instituições devem obrigatoriamente utilizar as informações vinculadas às chaves Pix como um dos fatores a serem considerados para fins de autorização e de rejeição de transações.

Pix - Foto: Agência Brasil

# data[].attributes.attachment_link.title
O que fazer quando cair em algum golpe com o Pix?

# data[].attributes.attachment_link.description
Com a nova modalidade de pagamento sendo cada vez mais utilizada (o Pix), os golpistas estão sempre buscando novas maneiras de driblar a confiança dos usuários para roubar. É preciso aumentar o cuidado com as transações, SMS, e-mail, mensagens de WhatsApp e segurança com aplicativos de celular.

# data[].attributes.attachment_link.readable_text
O Pix, novo meio de pagamentos do Banco Central, começa a funcionar no dia 16 de novembro. A partir dessa data, será possível fazer transferências e pagamentos em 10 segundos, em qualquer hora e dia da semana-. Essa facilidade toda fez com que algumas pessoas questionassem se o Pix é seguro - seus dados pessoais não serão expostos? A transação será feita com segurança?

O Banco Central esclarece e reforça que sim, o Pix é seguro. Abaixo, veja as respostas para algumas dessas dúvidas e questionamentos.
Ganhe controle sobre suas finanças: assine nossa newsletter para receber conteúdo exclusivo.
Afinal, o Pix é seguro?

Sim. O Banco Central esclarece que segurança foi um fator importante desde o início da construção do Pix e que ela é priorizada em todos os aspectos do ecossistema, "inclusive em relação às transações, às informações pessoais e ao combate à fraude e lavagem de dinheiro".

O BC também explica: "Todas as transações [via Pix] ocorrerão por meio de mensagens assinadas digitalmente e que trafegam de forma criptografada, em uma rede protegida e apartada da Internet. Além disso, No Diretório de Identificadores de Contas Transacionais (DICT), componente que armazenará as informações das chaves Pix, as informações dos usuários também são criptografadas e existem mecanismos de proteção que impedem varreduras das informações pessoais, além de indicadores que auxiliam os participantes do ecossistema na prevenção contra fraudes e lavagem de dinheiro."

Quais são as camadas e mecanismos de segurança que o Pix adota?

Alguns dos mecanismos de segurança do Pix foram desenvolvidos exclusivamente para o novo meio de pagamentos, segundo o BC. São eles:

Motores antifraude

As instituições que oferecem o Pix operam os tais motores que identificam, se ocorrerem, transações atípicas e que não condizem com o perfil do usuário. Esses motores bloqueiam as transações suspeitas feitas durante o dia por até 30 minutos e, no caso das transações feitas à noite, por 60 minutos; as transações que não se mostrarem seguras são rejeitadas.

Marcadores de fraude

Na base de dados do Diretório de Identificadores de Contas Transacionais (DICT), o arranjo que permite que as transações sejam feitas de forma tão rápida e usando apenas uma chave do Pix, existem mecanismos de proteção que "impedem varreduras das informações pessoais e 'marcadores de fraude'", segundo o BC.

Como assim?

O Banco Central diz que esses marcadores identificam transações e o fraudador, usuário que a realizou, e as marcam como "fraude" - seja na suspeita ou na fraude já consumada. A partir disso, toda a rede de instituições que oferecem o Pix e participam do sistema é alertada. Assim, todos ficam a par dessa tentativa e podem acionar seus próprios mecanismos de defesa para as transações e usuários que tenham essa marcação.

Dados criptografados

Todos os dados de transações do Pix transitam criptografados na Rede do Sistema Financeiro Nacional; essa rede é operada pelo Banco Central, que garante a sua segurança.

Autenticação

O pagador deve, obrigatoriamente, autenticar sua identidade ao fazer uma transação usando o Pix. Seja por senha, token, reconhecimento biométrico ou outros meios que a instituição desejar adotar, isso deverá ser feito. Somente o pagador pode autorizar e realizar pagamentos ou transferências - assim como já acontecia com TEDs, por exemplo.

Limites de cada instituição

O BC não estabelece um valor máximo ou mínimo de transferências ou pagamentos do Pix, mas as instituições que o oferecem podem estabelecer limites máximos de valores para as transações de forma preventiva - prevenir possíveis fraudes, por exemplo.

Minhas informações pessoais estão seguras?

Sim. Segundo o Banco Central, todas as informações pessoais envolvidas em transações de Pix estão protegidas segundo a lei de sigilo bancário e também a Lei Geral de Proteção de Dados (LGPD) .

No geral, todas as informações que são disponibilizadas ao fazer um Pix contam com as mesmas camadas de segurança de TED e DOC - como autenticação e criptografia. Ou seja: neste sentido, o Pix é tão seguro quanto os meios de pagamentos que já existem.

As chaves do Pix são seguras?

Sim. A chave é apenas um apelido que você dá para a sua conta. Ela não substitui a senha ou a biometria do seu banco. Com ou sem chaves cadastradas, você ainda precisa usar todas as camadas de segurança do app ou site da sua instituição financeira para finalizar uma transferência.

A única diferença é que, em vez de passar todos os dados bancários para receber dinheiro, você pode passar apenas um dado: a chave Pix. Ela pode ser seu CPF, CNPJ, e-mail, telefone ou chave aleatória (uma sequência gerada pelo sistema da sua instituição).

Na prática, se você cadastrar seu CPF como chave do Pix, por exemplo, isso significa que seu CPF está atrelado à uma conta específica em uma instituição. A pessoa que vai te passar dinheiro precisa apenas inserir o CPF no campo "destinatário" - não precisa colocar todos os dados da conta porque você, ao fazer o cadastro, já atrelou sua chave (no caso, o CPF) àquela conta específica.

Mas não se preocupe: antes de confirmar, o sistema mostra o nome e parte do número do CPF do destinatário para você ter certeza que está fazendo a transferência para a pessoa certa.
Veja mais sobre a segurança do Pix. Ainda tem dúvidas sobre o Pix? Saiba tudo sobre o novo meio de pagamentos.

# data[].attributes.attachment_link.title
Segurança no Pix: entenda as camadas de proteção do novo meio de pagamentos - Fala, Nubank

# data[].attributes.attachment_link.description
O Pix, novo meio de pagamentos do Banco Central, começa a funcionar no dia 16 de novembro. A partir dessa data, será possível fazer transferências e pagamentos em 10 segundos, em qualquer hora e dia da semana-. Essa facilidade toda fez com que algumas pessoas questionassem se o Pix é seguro - seus dados pessoais não serão expostos?

# data[].attributes.attachment_link.description
O ditado diz que, todo dia, levantam da cama um malandro e um otário. E os especialistas em fraudes e segurança digital parecem corroborar a sabedoria popular. Até hoje, não é possível dizer que exista um método totalmente seguro de fazer transações financeiras - seja no mundo real, ou no digital. E…