As 10 frases que apavoram profissionais de segurança

6. Nossos executivos têm cópias de todas as senhas
Apesar da idéia fazer um jovem estudante desmaiar, existem de fato gerentes que demandam que seus funcionários diretos revelem suas senhas individuais. A explicação para isso é sempre: “E se alguém é demitido ou está doente? Como nós poderíamos encontrar os seus documentos?”.
Quando isso acontece, a única estratégia efetiva é dizer a quem pede tal coisa: “Se você fizer isso, então você é um suspeito em qualquer situação negativa que surgir. Você nunca estará apto a demitir ninguém porque você também será um suspeito”. Ou então sempre se pode resumir isso tudo em um simples: "Cresce, amigo!".

7. As aplicações web somente rodam se nós...
É possível navegar na internet de forma segura usando o IE ou mesmo acessando uma aplicação cliente/servidor desenvolvida internamente. Mas encontrar uma aplicação desenvolvida e configurada para apenas um tipo de cliente em geral denota princípios de segurança que foram considerados os últimos numa lista de processos atropelados – e isso no melhor dos casos. A maior parte das aplicações de web bem feitas são simplesmente multiplataforma por que passaram por testes exaustivos em busca de possíveis brechas.
Encontrar aplicações de web com capacidades de segurança de baixa qualidade é motivo de grande preocupação porque a “zona de segurança” Windows para browsers, em ambiente corporativo, normalmente é definida em um  grau menor que o apropriado, somente para fazer funcionar aplicações internas.
O que acontece quando os usuários enchem seus browsers de add-ons do MySpace ou passam algum tempo nos webmails infestados de malwares? Trate essas aplicações como um legado que são e trabalhe com a equipe qualidade do departamento de segurança para incluir os padrões básicos nos processos de testes.

8. A marca X é nosso padrão
Eu não tenho nada contra os principais fornecedores de hardware do mercado, mas quando o pessoal de compras de empresas diz: “Nosso padrão é a Dell” (ou qualquer outra marca), o que eles realmente estão dizendo é: “Nós jogamos nossos padrões de segurança pela janela em troca de descontos e agora nós compramos qualquer coisa que o fornecedor oferece”. É o equivalente às compras daquela sua tia-avó em uma loja com preços superfaturados, ficando contente porque “um produto está com desconto de 75%”.
A ponto é que, tanto aquela sua tia-avó quando o pessoal de TI no mundo real têm outras decisões a tomar e os PCs são commodity. Está tudo certo escolher o produto de um vendedor e manter os pedidos com ele por um tempo. Mas um fabricante ainda não é um padrão técnico e existe um problema em misturar isso se ninguém fizer a lição de casa.
Quando um fabricante faz mudanças na linha de software ou de produto – especialmente quando isso parte de um fabricante de equipamentos de rede e segurança como a Cisco Systems –, é importante ter requerimentos funcionais claramente definidos para avaliar se os produtos ainda funcionarão como desejado. Quando os clientes não sabem o que querem, qualquer barganha parece ser o que você precisa.

9. Ei, de onde veio isso?
É concebível que aqueles usuários altamente técnicos deveriam organizar seus próprios equipamentos bem como dar suporte a eles. Por outro lado, isso significa que a área de TI e o pessoal de suporte foram nocauteados por fabricantes de hardware que fornecem apenas um número 0800 que nunca funciona. Políticas de segurança devem estar presentes em todo lugar, inclusive afixadas na parede dos banheiros, atrás do papel higiênico de uma organização.  A política de segurança na companhia pode também estar exposta ao lado das toalhas do banheiro. O importante é que sejam claras e do conhecimento de todos.
Resolver isso é um problema fundamental de respeito. Começar pela governança básica e deixando claro que há regras, com muito esforço e comunicação, isto vai pelo menos tornar a “cultura da segurança” uma questão resolvida.

10. Nós enviamos as regras do firewall para...
A maioria dos administradores de rede se encolhe de medo com as palavras mencionadas acima. Ainda assim, muitos ainda vão enviar, gratuitamente, emails com cópia das regras de firewall. Pior ainda, eles têm um fabricante de equipamentos ou um consultor freelancer que configura o firewall para eles e mantêm para si a única cópia das regras. Essas regras, se elas apresentam complexidade, provêem um mapa detalhado do esquema de segurança da companhia, com informações importantes a respeito da identidade das redes internas e serviços e como torná-los um alvo.
Nenhum profissional sério de segurança sairia com uma cópia das regras de firewall de alguém sem uma requerimento específico para fazer isto. Um competente auditor de sistemas da informação certificado ou outro auditor vai revisar as regras de firewall diretamente no sistema do administrador e não levar consigo. Se você vir uma cópia de suas regras corporativas de firewall colocadas em um relatório de auditoria, especialmente um público, prepare-se para refazer o projeto de IP... e chame seus advogados.