Trilha: Software Security

André Barreto

Especialista em Segurança Cibernética

Propósito da palestra

TCD Innovation

• Inovar

​

• Fazer diferente

​

• Se desafiar

Segurança

Como mensurar o valor de algo abstrato e conseguir o tão almejado "orçamento"

Motivação

• Minha empresa não investe em segurança como deveria.

​

• Minha empresa não prioriza questões de segurança no desenvolvimento das aplicações.

Faz sentido?

É familiar?

C-Levels

C-Levels não são monstros

Responsabilidade

https://www.cisoadvisor.com.br/ex-ciso-da-uber-e-condenado-por-encobrir-violacao-de-dados/

https://industriasa.com.br/ex-chefe-de-seguranca-do-uber-e-condenado-por-encobrir-hack/

Dilema de responsabilidade

Responsabilidade com do negócio

​

VS

​

Responsabilidade regulatória e criminal

O outro lado

Invasões, vazamentos de dados e ransomware estão entre os assuntos que mais tem “tirado o sono” dos executivos em todo o mundo!

Pesquisa anual da IIA (Institute of Internal Auditors) - RISK IN FOCUS - Hot topics for internal auditors�CAE (Chief Audit Executives) de 15 países na Europa��Guia para os comitês de auditoria, governança, compliance, gerenciamento de risco e membros do board.��Austria, Belgium, Bulgaria, France, Germany, Greece, Ireland, Italy, Luxembourg, The Netherlands, Slovenia, Spain, Sweden, Switzerland and the UK.

Abril/2022 - Censuswide em parceria com a Cybereason - Pesquisa sobre ransomware�1.456 profissionais de segurança de organizações com 700+ funcionários.�United States (24%), United Kingdom (17%), Germany (10%), France (10%), Japan (10%), Italy, (7%), South Africa (7%), United Arab Emirates (7%), and Singapore (7%).

37% foram forçadas a demitir funcionários após o incidente.�35% reportaram demissões/renúncias de executivos (c-level)

Maiores riscos corporativos

⬆️ Capital humano: 5 -> 4 -> 2

⬆️ Macroeconomia e geopolitica: 7 -> 7 -> 3

🏆

🏆

🏆 Segurança cibernética e dos dados: 1 -> 1 -> 1

Oportunidade

Como?

Técnicas de Venda

Decisões sobre investimos

• Segurança é uma das áreas de tecnologia mais abstratas
• C-levels e conselho: decisões de investimentos com embasamento (números, estatísticas, previsões, estimativas)
• Nesse ponto, historicamente a área de segurança deixa a desejar
• Como medir a segurança? Como medir hipóteses que você trabalha para nunca acontecerem?
• Sistemas e infraestruturas são mais mensuráveis (funcionalidade existe ou não existe, x usuários, x tempo de resposta)
• Apresentar as ameaças, de modo concreto, alinhado com as consequências para o negócio, ajuda a mostrar a importância da área e a receber mais investimentos

Como fazer isso?

• Estar informado sobre assuntos, notícias e acontecimentos no Brasil e no mundo.

​

• Saber que problema querem resolver. Como solucionar um problema que não existe?

​

• Relacionar questões técnicas com o negócio. Qual o impacto?

​

• Não ficar no abstrato, no vago.

​

• Falar uma linguagem que todos entendam.

Estar informado

• https://www.cisoadvisor.com.br

​

• https://www.incyber.net.br

​

• https://olhardigital.com.br/editorias/seguranca/

​

• https://www1.folha.uol.com.br/folha-topicos/ciberseguranca/

Qual problema quer resolver?

• Identificar pontos de melhoria.

​

• Buscar possíveis falhas de segurança (processos, pessoas e tecnologia)

Qual a importância para o negócio?

• Identificar qual a criticidade para o negócio.

​

• Descobrir se existem formas de reverter e contornar.

​

• Saber qual impacto a curto, médio e longo prazo.

Claro e compreensível

• Falar uma linguagem que seja compreensível, que o público alvo consiga entender

​

• Use uma abordagem que faça sentido dentro do negócio.

​

• Correlacione com atividades que façam parte do cotidiano daquele negócio.

Segurança é responsabilidade de todos 🤝

Identificar riscos e aumentar a segurança

Entender as necessidades do negócio

Bom senso: Fazer o melhor para o negócio

Super

Cybersecurity

Man

Obrigado!