Com mais um projeto confirmado junto a uma empresa de grande porte, a FLIPSIDE vai se estabelecendo no mercado brasileiro como a única empresa especializada em campanhas e palestras de conscientização.
Nosso mais novo cliente é a Nextel, que nos procurou em busca de conteúdo para uma campanha que atingisse seus 5 mil funcionários no Brasil, em iniciativas que ocorrerão em diversas fases ao longo do ano todo. Dessa forma, a empresa junta-se a outras instituições como o TRT da 4ª Região, a ONS e o Bradesco em nosso portfolio de clientes, sendo nosso primeiro grande trabalho para uma empresa do setor de telecomunicações.
Após uma turma de avaliação executada com sucesso em Porto Alegre para cerca de 16 pessoas, estamos finalmente lançando para todo o mercado nosso primeiro treinamento regular: o CSO 2.0
O CSO 2.0 é um curso compacto de três dias, que também pode ser ministrando em formato meio-período ao longo de uma semana, com carga horária de 20 horas em ambos os formatos. Ele foi especialmente desenhado para profissionais de Segurança da Informação em busca de formação ou atualização, mas que possuem tempo ou recursos limitados. Profissionais de TI procurando direcionar a carreira para a área de segurança também vão se sentir em casa.
Depois de uma série de cancelamentos motivados por alguns contratempos pessoais, finalmente estamos colocando nosso calendário de palestras de volta nos trilhos. Por isso, é com prazer que anuncio nossa participação no GRC Meeting Lisboa, que começa no próximo dia 28 de Outubro. Essa é a edição número um da conferência que abordará o tema GRC com exclusividade pela primeira vez em Portugal.
O evento é organizado pela ShadowSec, em cooperação com a ENISA (Agência Européia para Segurança da Informação) e com o PCI Council. Esta jovem empresa tem agitado o mercado português, trazendo alguns dos maiores especialistas mundiais para seus cursos, palestras e conferências, colocando Lisboa em definitivo no circuito internacional da Segurança da Informação.
Eventualmente você já percebeu, mas o aramos.org está de casa nova. O conteúdo foi migrado para dentro do site da FLIPSIDE, empresa da qual sou sócio.
O processo ainda está em andamento, então eventualmente as coisas estão um pouquinho desorganizadas.
Fizemos de tudo para deixar o processo bem transparente, mantendo o RSS via Feedburner pra manter a audiência de quase 400 assinantes que eu tinha por lá.
Read More
Este post é para o pessoal que assistiu minha palestra sobre Segurança da Informação X Economia no YSTS 2.0 e veio atrás de mais informações.
A maior parte da apresentação usou como referêcia alguns problemas básicos que foram adequadamente endereçados pelo Ross Anderson no Why Information Security is Hard - An Economic Perpective. Este texto básico serve bem de ponto de partida (por isso montei a palestra em cima dele).
O principal evento internacional sobre o assunto é o Workshop on the Economics of Information Security.
Outro bem interessante, mas que cobre também o estudo do compartamento humano de uma forma mais ampla, é o Interdisciplinary Workshop on Security and Human Behavior.
Read More
Sempre tive um interesse muito grande pelo design de uma maneira geral. Por conta disso, sempre me incomodou muito o fato da segurança* caminhar muito longe desta disciplina. Embora existam algumas poucas áreas de interação, podemos dizer que quando você pensa em um design de qualidade, dificilmente você verá a segurança bem integrada dentro da coisa toda.
Pense num móvel de design assinado e pense depois num fragmentador de papel e você vai ter uma idéia do que eu estou querendo dizer. Ou então pense num prédio bonito, e depois lembre daquelas câmeras estilo Santa Efigência/Uruguaiana/Feira do Paraguai, com aquelas gambiarras toscas na fiação, e o resultado será o mesmo.
Por isso, sempre que eu vejo um objeto de segurança deliberadamente desenhado levando em consideração aspectos referentes ao uso, técnicas de produção, aparência estética, etc. eu acho que é um fato a ser noticiado.
Nesta semana eu recebi através de um site bem interessante, o Yanko Design, as imagens de um fragmentador de papel inovador e bacanudo. Se você já era um fragmentador de papéis compulsivo, agora é que você não vai mais querer voltar pra tua cadeira no escritório. Dá uma olhada no Paper2Dust:
Read More
O fragmentador além de ser particularmente simpático, ainda é extremamente seguro, pois transforma o papel em pó, ao invés de transformá-lo em pedaços. Isso evita qualquer tentativa de tentar remontar os documentos. Além disso, o usuário vê o resultado da fragmentação, o que tangibiliza o processo todo um pouco mais (além de torná-lo mais viciante ;-) Por hora, é apenas um conceito. O produto ainda não existe, mas sinaliza para um futuro interessante.
* Quando eu disse que o design está longe da segurança, eu me referia a security e não a safety, já que este último incluiria as preocupações de segurança com o uso de produtos e serviços em geral.
O WikiCrimes é um projeto de pesquisa da Célula de Engenharia do Conhecimento da Universidade de Fortaleza, sob a coordenação do Professor Vasco Furtado. O sítio é um mashup onde os usuários podem cadastrar crimes que tenham sofrido, gerando estatísticas que podem ser visualizadas de diversas maneiras, incluindo uma visão geo-referenciada através do Google Maps.
Como os índices de notificação de crimes para as autoridades competentes nem sempre representam a realidade por uma série de fatores, a idéia do sítio é criar uma base alternativa que possa ser contrastada com os dados oficiais.
CISSP
Não é exagero dizer que o CISSP (Certified Information Systems Security Professional) é a mais importante, e provavelmente uma das mais cobiçadas, certificações em SI. Principal título do (ISC)², o CISSP possui excelente reconhecimento internacional, sendo muitas vezes mencionado como um diferencial em programas de emissão de vistos de diversos países. Por isso, é a principal certificação para quem quer reconhecimento tanto no Brasil como no exterior, sendo que muitos a vêem como um passaporte internacional de trabalho. Com exceção dos EUA, onde o número de profissionais certificados beira os 40 mil, o CISSP é um título relativamente escasso na maioria dos países. No Brasil, apenas 200 profissionais possuem o título, havendo muito mais demanda do que oferta. Direcionado para profissionais de nível consultivo e gerencial, o CISSP é procurado tanto por técnicos como por gestores/consultores, embora o foco maior seja o último grupo. Se você quer um título de foco mais técnico que o CISSP, você deve procurar o SSCP, mantido também pelo (ISC)², ou o GIAC, mantido pelo SANS.Exame
O (ISC)² aplica exames para todas as suas certificações de maneira unificada. Basta olhar no site do instituto para ver as datas e os locais disponíveis. No Brasil, os exames ocorrem na cidade de São Paulo, cerca de quatro vezes por ano. Há também exames no Rio de Janeiro e em Brasília, cerca de uma vez por ano. O valor da prova, caso o candidato faça a inscrição com pelo menos dezesseis dias de antecedência, é de 499 dólares. Após esse período, o candidato paga 100 dólares adicionais. As provas são aplicadas em papel (uma justificativa está disponível no artigo que fala sobre o SSCP). O exame possui 250 perguntas que devem ser respondidas em 6 horas. A escala de nota vai de 0 a 1000, sendo que são aprovados os candidatos que obtém 700 ou mais. As perguntas são de múltipla escolha e possuem pesos diferentes (quanto mais difícil a pergunta, mais pontos ela dá) embora os candidatos não sejam informados sobre o peso individual das questões. Apenas 225 perguntas entram na pontuação, sendo que as 25 restantes fazem parte de um processo de pesquisa de dificuldade e qualidade, mas o candidato não sabe quais são pontuadas ou não e deve tentar responder todas da melhor forma possível. O (ISC)² autoriza o uso de dicionários de tradução caso o exame seja aplicado em um idioma que não seja o nativo do candidato. O exame está disponível em inglês e em mais alguns idiomas que não incluem o português. Não existe período de carência em caso de reprovação. Os domínios que compõe o CISSP CBK (Common Body of Knowledge) são:- Access Control
- Application Security
- Business Continuity and Disaster Recovery Planning
- Cryptography
- Information Security and Risk Management
- Legal, Regulations, Compliance and Investigations
- Operations Security
- Physical (Environmental) Security
- Security Architecture and Design
- Telecommunications and Network Security
Requisitos
O CISSP demanda requisitos prévios de experiência profissional. O candidato deve comprovar cinco anos de experiência em dois ou mais domínios de conhecimento dos que compõe o CBK. Como muitas vezes esse requisito gera dúvidas em relação a sua interpretação, há uma página especificando exatamente o que é aceito como experiência “direta em tempo integral”. Os candidatos que possuem diploma de mestrado ou graduação (curso de quatro anos) podem abater um ano de experiência. Esse desconto de um ano também é válido caso a pessoa possua uma certificação profissional aprovada pelo (ISC)². Dessa forma, ainda que utilize os descontos, o candidato tem que comprovar pelo menos quatro anos de experiência. Caso o candidato não possua a experiência necessária, existe uma opção chamada Associate of (ISC)², onde é possível prestar o exame sem possuir toda a experiência, recendo um diploma de Associate ao invés do CISSP. Desta forma, o candidato comprova que possui conhecimentos, faltando apenas os requisitos de experiência para obter o certificado completo. Assim que experiência tiver sido acumulada, o diploma de Associate pode ser convertido no CISSP. Como no SSCP, todos os profissionais certificados pelo (ISC)² devem se comprometer com o Código de Ética do instituto e ter o seu formulário de registro endossado por outro profissional certificado. Todos os requisitos aqui apresentados são auditados por amostragem. Quem cai na malha fina deve prover documentação comprovando as informações apresentadas.Validade
O CISSP é válido por três anos, renováveis infinitamente, desde que o candidato participe de um programa de educação continuada. Neste programa, os candidatos submetem anualmente evidências de que participaram de atividades de atualização profissional e o título vai sendo renovado a cada período de 3 anos. Verifique no site do (ISC)² as regras de funcionamento do programa. Como muitos outros institutos de certificação, o (ISC)² cobra uma anualidade dos profissionais certificados, que volta para os mesmos na forma de benefícios, e serve também para financiar as pessoas que cuidam da verificação do programa de educação continuada, evitando assim que você tenha que fazer provas novamente de tempos em tempos. Para o CISSP, a anuidade custa 85 dólares.Preparação
Existem muitos livros disponíveis que podem ser usados na preparação para o exame, mas a melhor referência é sempre a oficial, embora ela nem sempre seja a mais didática. O Official (ISC)² Guide to the CISSP CBK é a literatura mais recomendada. Além disso, o (ISC)² mantém uma lista de livros sugeridos caso o candidato necessite de mais informação do que o livro oficial provê para complementar seus estudos. Outro livro bastante utilizado em virtude da sua didática é o CISSP All-in-one Exam Guide, 4th Ed., escrito pela autora Shon Harris. Se você puder comprar os dois, eu recomendo. Se você quiser comprar apenas um, a literatura oficial é a melhor opção. Porém, encare o livro como uma literatura de referência ao invés de tentar lê-lo de capa a capa. Além dos materiais, o (ISC)² também provê seminários oficiais preparatórios para a certificação, que no Brasil são representados pela Módulo e pela Etek. O seminário tem duração de cinco dias e inclui um simulado oficial de 100 perguntas ao final.Veredicto
O CISSP é de longe o título mais reconhecido e demandado na área de SI, tanto no Brasil como no exterior. Ele é procurado por consultores e gerentes, além de técnicos querendo direcionar sua carreira para gerência/consultoria. Se você quer um título puramente técnico, o Security+, o SSCP e o GIAC são as opções mais adequadas em ordem de dificuldade e reconhecimento. A opção Associate do CISSP permite que mesmo candidatos com conhecimento, mas sem experiência, possam obter um título intermediário. A prova está disponível apenas em inglês. Se isso for um problema para você, a única opção é o MCSO, pois esta é a única certificação cujo exame está disponível em português.Maiores informações
CISSP® - The International Gold StandardMCSO
O MCSO (Módulo Certified Security Officer) é a mais popular certificação em SI do mercado brasileiro, contando hoje com 800 profissionais certificados. Criada em 2000, usando como inspiração outros títulos disponíveis no mercado, incluindo o próprio CISSP, o MCSO é uma certificação gerencial, voltada para o Gestor de Segurança da Informação. De todas as certificações aqui apresentadas, essa é a única que se encontra em português, o que acaba sendo um fator determinante para muitas pessoas. Embora a dificuldade de obter a certificação não seja tão grande quanto a do CISSP ou do CISM, sua penetração é maior, havendo profissionais certificados em vários estados brasileiros, enquanto que no CISSP há uma forte concentração no eixo São Paulo, Rio e Brasília.Exame
A prova é composta de cerca de 200 questões de múltipla escolha, sendo que 60% são relacionadas à gestão e 40% relacionadas à tecnologia. As perguntas de gestão têm peso 2 e as de tecnologia têm peso 1. A nota de aprovação é 70% dos pontos possíveis. Os exames são aplicados pela Módulo, em geral, duas vezes por ano (cerca de Julho e Dezembro). O exame custa 499 reais, porém é gratuito para aqueles que fazem os dois cursos de formação da empresa. Existe um curso para a parte gerencial e outro para a parte técnica do exame. Caso o candidato não consiga passar, não existe período de carência para tentar novamente. Na prática, porém, ele terá que esperar cerca de seis meses, que é o tempo que normalmente transcorre entre um exame e outro. O conteúdo da prova está dividido entre assuntos gerenciais e tecnológicos:- Gestão
- Conceitos Gerais de Segurança da Informação
- Gestão de Riscos
- Legislação, Regulamentação, Normas, Investigação e Ética
- Política de Segurança da Informação
- Classificação de Informações
- Gestão de Continuidade de Negócios
- Gestão de Pessoas em Segurança da Informação
- Segurança Física e Operacional
- Organização da Segurança da Informação
- Tecnologia
- Criptografia
- Controle de Acesso
- Segurança em Redes e Telecomunicações
- Segurança em Hosts
- Arquitetura e Modelos de Segurança
Requisitos
O MCSO possui requisitos de experiência profissional mais baixos que certificações similares como o CISSP e o CISM. Apenas dois anos de experiência profissional são demandados. Se o candidato participa de um curso de formação da Módulo, não há a necessidade de se comprovar experiência. Isso torna o MCSO um título atrativo para quem não tem muita vivência profissional, embora o custo se torne mais elevado, já que o profissional será obrigado a fazer os cursos preparatórios nesse caso.Validade
O certificado MCSO é válido por 4 anos e renovável por períodos de quatro anos adicionais desde que o profissional participe de um programa de educação continuada similar ao do (ISC)². No geral, 160 horas de atividades são demandadas para cada ciclo. Um detalhamento completo do funcionamento do programa pode ser encontrado aqui.Preparação
A melhor forma de se preparar para o MCSO é fazendo os cursos oficiais da Módulo. São dois curso de uma semana, cobrindo assuntos de gestão e tecnologias. Uma alternativa é tentar adquirir os livros e prestar a prova por conta própria. O problema é que os livros neste exato momento estão esgotados, havendo apenas a possibilidade de compra de segunda mão. Uma nova edição está sendo planejada para breve.Veredicto
O MCSO é um título bastante reconhecido no mercado brasileiro, embora não conte com o mesmo prestígio de certificações como o CISSP ou o CISM. Entretanto, seu exame é o único aplicado em português, o que o torna a única opção para aqueles que têm dificuldade com outros idiomas. Seus requisitos de experiência profissional são mais baixos e podem ser descontados caso o candidato faça os cursos oficiais de formação da Módulo, embora os custos envolvidos devam ser avaliados. Seu foco é gerencial, portanto, se você procura uma certificação de nível técnico, você deve avaliar o Security+, o SSCP ou o GIAC em seu lugar (em ordem de dificuldade e reconhecimento).Mais informações
Certificação MCSOCISM
O CISM (Certified Information Security Manager) é um título mantido pela ISACA, instituição mundialmente reconhecida por ser a principal associação profissional voltada para o mercado de auditoria de sistemas. Entretanto, seu título de maior prestígio é o CISA (Certified Information Systems Auditor). O CISM foi criado para ser um título exclusivamente destinado a gestores de segurança da informação, ou seja, os profissionais que possuem o título devem, obrigatoriamente, possuir experiência gerencial. Isso não implica necessariamente que a pessoa deva ter coordenado equipes, mas que ela tenha trabalhado em uma posição administrativa responsável por gerir a SI dentro de uma organização. O lançamento do CISM em 2003 gerou reclamações por parte do (ISC)², que não via na certificação, segundo notas de imprensa publicadas, nada de novo sendo trazido. Argumentava que o efeito prático de uma nova certificação tão similar ao CISSP seria forçar os profissionais a longo prazo a tirarem mais de um título, o que traria custos sem muito valor agregado. A ISACA refutou essas alegações, dizendo que o título é focado apenas em gerentes, enquanto que o CISSP, apesar de ter esse foco, era muito procurado também por técnicos querendo mudar a carreira. Comparado ao CISSP, o CISM contém um escopo um pouco menor, por priorizar assuntos relacionados à gestão, enquanto que o CISSP busca prover uma formação mais abrangente. Há cerca de 50 profissionais no Brasil que possuem a certificação CISM, um número quatro vezes menor que o de CISSPs e quinze vezes menor que o de MCSOs.Exame
A prova é feita duas vezes por ano, de maneira sincronizada, em diversas cidades do mundo, incluindo São Paulo, Rio de Janeiro e Brasília. O exame possui 200 questões e é feito em papel. O valor do exame é 505 dólares. Candidatos que se registram com antecedência recebem desconto de 50 dólares. O ISACA divulga anualmente os calendários com as datas e prazos limite para inscrição. Membros da associação também recebem desconto nas inscrições e é uma boa opção associar-se caso você pretenda fazer a prova. Caso o candidato não passe no exame ele pode fazê-lo novamente na data seguinte, embora normalmente esse espaço de tempo seja de pelo menos seis meses. A escala de nota da prova vai de 200 a 800 pontos, sendo que o candidato necessita de pelo menos 450 para ser aprovado. O exame está disponível em diversas línguas, sendo que a mais próxima do português é o espanhol. Entretanto os candidatos não podem usar dicionário de tradução como acontece no CISSP. Diferente do (ISC)², a ISACA divulga quais os percentuais de questões que são extraídos de cada um dos assuntos exigidos, o que facilita os estudos e a preparação dos candidatos:- Information Security Governance (23%)
- Information Risk Management (22%)
- Information Security Program Development (17%)
- Information Security Program Management (24%)
- Incident Management and Response (14%)