Miguel Bernardes Fialho
2 A Dataprev Data centers DF SP RJ Área Capacidade elétrica (kva) Capacidade de processamento RISC 48 Tflop/s X Tflop/s Mainframe RPM Capacidade de armazenamento 6 Petabytes Sede em Brasília empregados Presente em todas as capitais Cinco Unidades de Desenvolvimento
3 Clientes MPS Ministério da Previdência Social INSS Instituto Nacional do Seguro Social MTE Ministério do Trabalho e Emprego MDS Ministério do Desenvolvimento Social e Combate à Fome MPOG Ministério do Planejamento, Orçamento e Gestão SRFB Secretaria da Receita Federal do Brasil Funpresp Fundação de Previdência Complementar do Servidor Público Federal PGFN Procuradoria-Geral da Fazenda Nacional Previc Superintendência Nacional de Previdência Complementar ANTT Agência Nacional de Transportes Terrestres +instituições financeiras públicas e privadas
4 Cultura da Segurança da Informação
5 Visão de fraudes Antes Fraudes = alterações indevidas de dados Hoje Fraudes = acesso a determinada informação, ataques por DdoS (Distributed Denial of Service) Sistemas legados Não preparados para combate a tipos mais modernos de fraudes
6 Segurança x acesso Reconhecer acessos autorizados ou indevidos Acesso a informação x Proteção de dados CLIENTES POPULAÇÃO DATAPREV DATA CENTER
7 Ações gerais de prevenção contra ameaças à segurança Parcerias estratégicas de segurança CTIR.gov, APEGR/MPS, Cert.br Parceria com a Polícia Federal Grupo especializado em análise de segurança Investimento operacional em uma equipe especializada na detecção, investigação e tomada de ações direcionadas contras invasões avançadas. Conformidade Investimentos na busca contínua do alinhamento com as melhores práticas do mercado. Alinhamento com órgãos de controle e auditoria - CGU, TCU, MPU.
8 Plano de ação de segurança Em 2015 estão sendo implementadas ações relativas a: Continuidade de negócios: clientes e Dataprev Vulnerabilidades nos sistemas Desenvolvimento seguro de software Controle de acesso entre aplicações Cofre de senhas Gestão centralizada de registros de eventos (logs) Sistema de Gestão de Segurança da Informação (SGSI) Gestão de riscos nos ativos de TIC Conscientização e capacitação em Segurança da Informação (PCSIC)
9 Tratamento de incidentes e vulnerabilidades Incidentes de segurança da informação Reportados Fechados Tratamento de riscos e vulnerabilidades técnicas Risco aceito 15,59% 14,56% 0% Tratamento em andamento 29,40% 0% 38,03% Controles de segurança implementados 55,01% 85,44% 61,97% Total 100% 100% 100%
10 Ameaças monitoradas Estratégias de ataque conhecidas Vazamento de informações Direcionado a pessoas, processos e tecnologias. Fraudes eletrônicas Phishing Scam envolvendo o sistema bancário e serviços da Previdência Social. Ataques direcionados Desenvolvidos com foco nos sistemas e serviços oferecidos pela Previdência Social. Ataques com grande volumetria Ataques de negação de serviço com grande capacidade e nível de organização. Ataques até 20% acima da capacidade da rede (1.2 GB). Sequestro de dados Preocupação crescente com ataques focados no sequestro de dados.
11 Ações preventivas Vazamento de informações Conformidade Investimentos na busca contínua do alinhamento com as melhores práticas do mercado. Privacidade dos dados Mascaramento de dados. Controle de acesso aos sistemas Sistema de gestão de acessos de desenvolvimento próprio (GerID). Garantia de confidencialidade de dados em trânsito - Criptografia Entre aplicações e entre a comunicação cliente/servidor. Redes de longa distância (backbone). Grupo especializado em análise de segurança Investimento operacional em uma equipe especializada na detecção, investigação e tomada de ações direcionadas contras invasões avançadas.
12 Ações preventivas Fraudes eletrônicas Anti-Spam Revisão contínua de políticas de detecção e bloqueio. Filtragem de conteúdo Refinamento de regras. Investimentos em soluções mais robustas. Intensificação de ações de conscientização Programa contínuo com foco no eixo Pessoas. Comissão de Tratamento de Incidentes (CTIR) Tratamento de incidentes de segurança. Análise de códigos maliciosos
13 Ações preventivas Ataques direcionados Proteção em camadas Tecnologias de última geração específicas para proteção dos sistemas e das bases de dados. Estudo de tendências Equipe de profissionais dedicada a pesquisas e estudos de tendências e cenários de ataques. Desenvolvimento seguro de software Requisitos de segurança definidos em tempo de projeto de desenvolvimento. Testes de segurança de código.
14 Ações preventivas Ataques com grande volumetria Monitoramento proativo da infraestrutura de rede Centro de Operação da Rede atuando no refinamento de regras e alertas para detecção de incidentes de segurança e na identificação de ataques, não apenas falhas. Parceria com operadoras Tratamento do tráfego para contenção de ataques distribuídos de grande volumetria antes da chegada ao perímetro da rede da Dataprev. Modernização dos data centers Aumento da capacidade de contenção de ataques. Proteção em camadas perímetro de rede Planejamento e investimentos em tecnologias de proteção/detecção de intrusão, como também voltados a firewall de próxima geração para análise de comportamento de aplicações e dos usuários. Diminuição do tempo para recuperação de incidentes
15 Ações preventivas Sequestro de dados Programa de continuidade de negócios Programa contínuo de planejamento e testes de planos de gerenciamento de incidentes graves, recuperação de desastres, entre outros cenários. Processos Processo contínuo de gestão de riscos. Processo contínuo de gestão de vulnerabilidades técnicas. Processo contínuo de avaliação de segurança no ambiente de servidores. Modernização de soluções de proteção de dados Modernização das soluções de backup tradicionais para um modelo robusto, em camadas.
16 Investimentos em Segurança da Informação Solução IPS Evolução da rede Ampliação das soluções de firewall Instalação da sala de monitoramento (NOC) Sala-cofre (DC Distrito Federal) Solução de firewall de banco de dados Sala-cofre (DC São Paulo) Sala-cofre (DC Rio de janeiro) Solução Integrada de Controle de Acesso Físico Firewall de rede Solução de criptografia de backbone Certificados digitais para usuário Certificados digitais para servidores WEB R$ 235 milhões contratados
17 Investimentos em Segurança da Informação Previsão 2015 Firewall de Aplicação (WAF) Em estudo para implantação Cofre de senhas Solução de proteção de dados Solução de proteção de intrusão Solução de análise estática e dinâmica de código Solução de correlacionamento de eventos Solução de monitoramento de segurança Solução de análise de segurança Mascaramento de dados