Segurança Mínima X Mínima Segurança

Eu sei que muitos vão dizer que segurança mínima e mínima segurança na verdade são a mesma coisa, pode até ser que no dicionário ou em outro aspecto considerado, realmente sejam, mas aqui vou postar a minha opinião sobre estes termos. 

Segurança mínima é o estado em que, por vontade própria ou não, um usuário, home ou office, encontra-se quando as ferramentas (firewall, antivírus, etc.) que deveriam lhe fornecer a segurança necessária contra as ameaças virtuais estão desabilitadas, danificadas ou configuradas de forma errada ou insuficiente para permitir a utilização segura de seus dispositivos. 

Em casa, geralmente, utilizamos como ferramenta de segurança apenas um antivírus gratuito, ou alguma ferramenta que tenha vindo pré-instalada quando da compra do PC ou notebook, o que já é uma barreira contra várias ameaças, mas como toda aplicação deste tipo, a licença precisa ser renovada de tempos em tempos, sendo paga ou não, daí que quando a licença expira, a proteção é desabilitada e a partir de então seu dispositivo fica vulnerável. Lógico que a aplicação alerta o usuário disto, mas... por falta de tempo (ou por preguiça) de preencher um cadastro para renovação, muitos preferem deixar pra mais tarde, algumas vezes tarde demais. 

Há vezes (muitas) em que, pensando em levar vantagem, tal como, conseguir um software caro de graça, os próprios usuários aceitam diminuir o nível de proteção de suas ferramentas ou mesmo fechá-las para conseguir aquele serial do "Adobe Photoshop" ou aquele crack do "Corel Draw". Mais uma vez, vulneráveis, ameaças virtuais podem se instalar no PC e daí danificar de maneira séria e definitiva as ferramentas instaladas que estiverem temporariamente desabilitadas ou em nível menor de proteção. 

No trabalho, a maioria dos usuários supõem que, segurança é uma atribuição e responsabilidade da equipe de TI, e apenas dela, não conseguem admitir que seus atos e hábitos podem contribuir seriamente para a disseminação de vírus, malwares e outras ameaças no ambiente corporativo. 

A primeira atitude de alguns usuários é considerar a política de segurança da informação como algo que deve estar programado no computador ou na rede, de forma que se a política decretar que, por exemplo, é proibido o aceso a sites de downloads como o "Pirate Bay", mas ao tentar o acesso o mesmo está liberado, então o que vale é "o que não está bloqueado, é porque é permitido". Isso é uma total e completa inversão dos valores da PSI, pois na verdade, o usuário deveria ser orientado e catequizado de que, "SE NÃO É EXPRESSAMENTE PERMITIDO, ENTÃO É PORQUE DEVE SER PROIBIDO" e mesmo que o acesso esteja liberado, este não deve ser utilizado. 

O mesmo vale para utilização de CDs, pendrives, downloads e outras formas de copiar para o desktop do trabalho, arquivos como vídeos de filmes, músicas em MP3 ou similares, fotos de família, etc. Tudo isso, em algum momento, pode comprometer as ferramentas de segurança da empresa, fazendo com que seus arquivos ou os da empresa, estejam em risco. 

Em todos estes casos, sempre que a segurança está aquém do que realmente é necessária ou abaixo do especificado, entendo como situação de segurança mínima, pois trata-se de uma aparente segurança, que logo pode ser posta em cheque. 

Mínima segurança ao contrário do cenário anterior, convenciono ser a situação em que, o usuário ou a empresa, conhece os riscos envolvidos, as brechas de segurança e as falhas potenciais de seu ambiente (PC, notebook ou rede) e, por uma decisão técnica ou administrativa, necessita manter o nível de segurança de suas ferramentas (proxy, firewall, antivírus, IPS, etc.) a um nível abaixo do máximo possível, seja pela ocorrência de falsos positivos, que bloqueiam sites, apps, scripts e outras funções legítimas indevidamente ou porque há necessidade de que determinados acessos sejam liberados para não prejudicar o processo operacional da empresa. Lógico que, esta situação, deve estar normatizada, documentada e testada, com frequência, para não permitir que o que deveria ser utilizado para um acesso corporativo legítimo, seja utilizado como forma de ataque ou sequestro de informações. 

Sendo assim, seja você da equipe de TI ou apenas um usuário, doméstico ou corporativo, contribua, faça a sua parte, evite uma situação de segurança mínima, use ferramentas de segurança eficientes e atualizadas, desconfie de promoções "ganhe sempre", pense antes de querer levar vantagem indevida, isso tudo pode se voltar contra você. Em uma situação com a mínima segurança recomendável, podemos evitar muitos prejuízos, não só financeiros, mas algumas coisas como ter de explicar para sua esposa que as fotos e vídeos do casamento, lua de mel, nascimento dos filhos, primeiros passos, etc, foram todas apagadas porque você clicou pra ver aquele "nude" e na verdade era um vírus. Ou explicar pro marido que o "banco" enviou um e-mail solicitando sua senha e dados do cartão para lhe conceder um empréstimo que você não solicitou e você forneceu as informações, daí agora não tem mais um tostão na conta. 

Bom senso e um pouco de cautela ajudam muito, mas se no final das contas, se você ainda tiver dúvidas, não faça nada agora porque o tempo da promoção ou da vantagem está acabando, solicite ajuda a alguém que tenha conhecimento sobre segurança e que seja de sua confiança. 

Até a próxima. 

Daniel Fernandes 

danielfernandes.br@gmail.com