ABES lança o programa Uma Empresa Ética
05/12/2018 - O programa visa estimular os associados da entidade a adotarem os mais altos padrões éticos no trato de seus assuntos e criar normas formais para implementá-los; um dos serviços do programa é um Canal de Denúncias gratuito para os associados da ABES, que permite o registro de denúncias sobre corrupção, fraudes, discriminação e outros casos de desvio de conduta
Anúncio foi feito durante jantar de confraternização com os associados em São Paulo por Francisco Camargo, presidente da Abes (foto)
A partir de pesquisa feita pela ABES (Associação Brasileira das Empresas de Software) com seus associados para avaliar o grau de maturidade em relação aos programas de integridade e compliance, a entidade decidiu criar o programa Uma Empresa Ética, que visa estimular seus associados a adotarem, formalmente, os mais altos padrões éticos no trato de seus assuntos, internos ou externos; aprimorar o padrão de comportamento no trato com os clientes, fornecedores, concorrentes, colaboradores e agentes governamentais; e criar normas formais para implementá-los. Essa iniciativa é um desdobramento do Programa de Integridade implantado na ABES no decorrer de 2018.
Uma Empresa Ética é um serviço que visa melhorar os padrões éticos e morais das empresas associadas, e para que adotem um Programa de Integridade, que além de elevar o padrão ético da empresa, permite mitigar as penalidades da Lei Anticorrupção (Lei 12.846/2013). Em uma primeira fase, os associados, além de contarem com o apoio do Compliance Officer e do Jurídico da entidade para desenvolverem seus programas, terão à disposição um Canal de Denúncias, gratuito, conforme previsto no Decreto nº. 8.420/2015.
Um dos serviços que o programa oferece é um Canal de Denúncias que permite aos funcionários das empresas, que se inscreverem no programa, registrarem de forma anônima, denúncias sobre acontecimentos que não condizem com os padrões éticos e morais estabelecidos pelas normas de suas empresas ou pelas leis do País. "O Decreto nº. 8.420/2015 especifica que a existência de um canal de denúncia de irregularidades, aberto e amplamente divulgado a funcionários e terceiros, é um dos parâmetros de avaliação dos programas de integridade, desse modo, decidimos lançar este novo serviço para os associados da ABES, que se orgulha em ser uma das primeiras entidades a se adequar às normas Anticorrupção no Brasil e de ter desenvolvido o próprio programa de integridade", explica Francisco Camargo, presidente da ABES.
Comentário (0) Hits: 5630
Como identificar um potencial agente infiltrado?
26/06/2018 - Roubo de informações por um funcionário ou outros tipos de vazamentos de informações pessoais e confidenciais estão entre os crimes cibernéticos com maior nível de ocultação e menor índice de detecção.
A expressão "agente infiltrado" refere-se ao funcionário que rouba informações de sua empresa e as vende para concorrentes. Há um bom tempo, esse conceito foi introduzido em nosso vocabulário e, sem dúvidas, veio para ficar.
Os ataques de agentes infiltrados - vazamentos de informações pessoais e confidenciais - entre outros crimes cibernéticos são os que possuem o maior nível de ocultação e o menor índice de detecção. Dependendo do grau de preparação anterior ao "vazamento", os ataques de agentes infiltrados podem ser divididos em:
Situacionais: Um novo funcionário recém-contratado tem a oportunidade de realizar um roubo, seus princípios morais o permitem fazê-lo e ele comete a fraude. Outra situação bem comum: o profissional trabalha há um bom tempo na empresa, mas não é devidamente reconhecido. Ou é reconhecido, mas não o quanto acredita merecer. Obviamente, o funcionário não está satisfeito. Ao roubar informações, ele tenta "compensar" o que, em sua opinião, lhe foi negado injustamente.
Como exemplo, podemos citar o caso de um dos clientes da SearchInform. O departamento de segurança de uma loja atacadista de materiais de construção detectou documentos estatutários em uma intercepção do sistema DLP. Descobriu-se que estes documentos foram usados pelo vice-diretor comercial que, sentindo-se desvalorizado, há dois meses se desentendia com a direção da empresa e, por fim, decidiu abrir o seu próprio negócio. A vigilância dos profissionais do departamento de segurança da informação impediu a retirada de informações valiosas, mas não conseguiu evitar outras perdas. O ex vice diretor conseguiu "persuadir" parte do quadro de funcionários e, ao demitir-se, levou os subordinados consigo.
Planejados: O exemplo mais simples é a espionagem industrial, que chega ao conhecimento público por meio de filmes, livros e, menos frequentemente, pela imprensa. Um exemplo comum é o do funcionário que "vaza informações" por motivo de vingança. Ele planeja minuciosamente suas ações, sabe como pode ser pego e está familiarizado com os protocolos internos de segurança.
Um caso assim ocorreu em uma empresa panificadora. Com o auxílio do sistema DLP, descobriu-se que o recém-contratado gerente de redes comerciais era, na verdade, um "agente infiltrado". Ele se estabeleceu na função para ter acesso aos programas da empresa e obter informações sobre as contrapartes. Se essas informações chegassem aos concorrentes, a empresa sofreria danos consideráveis – haveria perda de clientes e os prejuízos financeiros anuais totalizariam pelo menos US$ 5 milhões.
Como identificar funcionários com inclinação à prática de ataques internos?
Como observado por Christopher Barnes, a predisposição de uma pessoa para práticas fraudulentas, pode ser identificada através da análise de seus valores morais, particularidades durante a tomada de decisões morais, auto regulação, determinação de suas relações consigo mesmo, com outras pessoas, com o trabalho, com o dinheiro e com as normas legais.
As pessoas com inclinação para fraudes podem ser identificadas através:
- do predomínio de valores universais baseados no individualismo e pragmatismo
- atitude gananciosa em relação ao dinheiro
- desvalorização do trabalho honesto e produtivo
- descaso para com as normas morais tradicionais
- auto regulação moral sem escrúpulos
- cinismo destrutivo
- impulsividade e inclinação ao risco na tomada de decisões
O alto desenvolvimento desses sinais indica a prontidão psicológica da pessoa para a fraude. Mas é importante lembrar, também, a atmosfera saudável dentro da empresa
De acordo com Roger Martin, "o mundo dos negócios exerce uma pressão terrível, nos forçando a agir contrariamente às regras de uma sociedade saudável e genuína e, gradualmente, a base moral do ser humano é corroída. Ele se acostuma a viver mentindo, acreditando em uma coisa, mas fazendo outra coisa. Ele entende a importância dos relacionamentos de longo prazo com o cliente, mas age como se o mundo inteiro só precisasse de uma coisa: um relatório trimestral".
"Infelizmente, a suposição de que o comportamento antiético no local de trabalho é o produto de algumas maçãs podres cegou muitas organizações para o fato de que todos nós podemos ser influenciados negativamente por forças situacionais, mesmo quando nos importamos muito com a honestidade. No entanto, as abordagens para afastar o problema deste campo escorregadio não precisam ser drásticas" - observa Francesca Gino em sua pesquisa.
O que é necessário para evitar fraudes e ataques internos no trabalho?
Ao realizar testes, os departamentos de RH utilizam programas especializados que analisam e interpretam dados automaticamente, o que simplifica bastante o processo de diagnóstico. Em geral, o trabalho pode ser feito de acordo com o seguinte algoritmo:
- o departamento de RH realiza testes para a admissão no trabalho ou processo de certificação regular;
- os resultados do teste são repassados para o serviço de segurança da informação;
- o funcionário do departamento de SI identifica os funcionários propensos a cometer ataques internos;
- caso o funcionário seja detentor de algum tipo acentuado, enquadrando-se no "grupo de risco", é assegurado o controle primário de suas atividades.
1. Determine claramente as funções atribuídas ao grupo de risco: quem trabalha com informações confidenciais, dados pessoais, documentos com segredos comerciais, etc.
2. Desenvolva documentos normativos que expliquem como os funcionários dessas funções devem trabalhar com os dados confidenciais.
3. Defina o perfil do cargo: que competências o departamento de RH gostaria ou não de encontrar no profissional para a função determinada.
4. Selecione métodos para a identificação de qualidades morais e psicológicas.
5. Tome medidas preventivas: use soluções para evitar vazamentos de dados, como sistemas DLP.
6. Implemente uma política de proteção de dados, monitorando o uso não autorizado de informações confidenciais. Informe os funcionários sobre violações, pois isso ajuda a aumentar a conscientização da equipe, impedindo o roubo de dados.
7. Realize um trabalho informativo constante: apenas a existência de uma política, sem sua compreensão e aplicação efetiva por parte dos funcionários, não produzirá resultados.
8. Lembre-se de que o roubo é precedido por algumas condições fundamentais: os principais problemas associados à motivação do agente infiltrado surgem antes mesmo que ele cometa o roubo.
9. Tenha em mente que o funcionário pode "induzir a ação" de outros trabalhadores. Isso geralmente acontece em caso de rebaixamento de cargo ou quando as expectativas sobre a carreira não são correspondidas.
10. Informe à gerência, ao departamento de RH e ao pessoal responsável pela segurança da informação, todos os casos em que um funcionário, durante o desempenho de sua função ou após sua demissão, acessa dados críticos importantes, realizando o seu carregamento de maneira atípica e assim por diante.
Seguindo essas regras sua empresa poderá proteger-se da transformação de pessoas potencialmente inclinadas a prática de ataques internos, agindo como verdadeiros agentes infiltrados. Afinal, é melhor prevenir o incidente do que lidar com suas consequências. Um manual de proteção contra ameaças internas pode ajudar a identificar riscos e a planejar o trabalho com antecipação.
Comentário (0) Hits: 5772
Fortinet inclui machine learning no software WAF
11/06/2018 - A Fortinet anunciou nessa segunda-feira, (11) a versão mais recente do seu software FortiWeb Web Application Firewall (WAF), versão 6.0, tornando-se o único fornecedor de segurança WAF a usar aprendizado de máquina para detectar ameaças baseadas em comportamento nos aplicativos da web.
Os aplicativos da web desprotegidos se tornaram alvos de cibercriminosos que buscam pontos de entrada fáceis em redes corporativas. As vulnerabilidades de aplicativos da web podem levar a violações de dados ou desligar sistemas indispensáveis; por isso muitas organizações decidem usar os firewalls de aplicativos da web (WAFs) para proteger suas redes. Antes, os WAFs contavam com aprendizado de aplicativos (AL) para detectar anomalias e ameaças, mas no cenário atual de ameaças dinâmicas, o AL mostrou ter limitações que levam a detecções de ataques falsos positivos e exigem muito tempo das equipes de segurança já muito ocupadas.
De acordo com a empresa, os recursos recentemente introduzidos no FortiWeb Web Application Firewall abordam esses problemas, introduzindo recursos de aprendizado de máquina para melhorar a detecção de ameaças, reduzir os tempos de resposta e facilitar o gerenciamento. Ao contrário do AL, que usa abordagem de uma camada para detectar anomalias correlacionando informações com as observações e considerando as variações como ameaças, o FortiWeb agora usa uma abordagem de duas camadas de aprendizado de máquina baseado em IA e probabilidades estatísticas para detectar anomalias e ameaças separadamente. A primeira camada cria o modelo matemático para cada parâmetro aprendido e, em seguida, aciona anomalias no caso de solicitações anormais. A segunda verifica se a anomalia é uma ameaça real ou se é uma variação benigna (falso positivo). Essas inovações permitem que o FortiWeb forneça precisão de detecção de ameaças de aplicativos de quase 100% e, ao mesmo tempo, não requer a instalação de recursos nem ajuste de configurações.
Para aumentar ainda mais a robustez da solução WAF da Fortinet, o FortiWeb usa seu conhecimento de IA e aprendizado de máquina do FortiGuard Labs, que opera há quase seis anos, em seus serviços de detecção de ameaças, integrando essa inteligência ao Fortinet Security Fabric para proteção contra ameaças sofisticadas que não são detectadas por outras tecnologias ou que passam por falhas nas soluções baseadas em pontos. O FortiWeb está disponível em quatro fatores de forma convenientes, incluindo itens de hardware, máquinas virtuais para todas as principais plataformas de hipervisor, opções de nuvem pública para AWS e Azure e uma solução baseada na nuvem.
"Com impressionantes 48% de violações de dados causadas pela exploração de vulnerabilidades de aplicativos da web, está claro que os cibercriminosos estão cada vez mais direcionados aos aplicativos da web públicos e internos. As tecnologias atuais, como os sistemas de prevenção de invasão e as atuais soluções de segurança de aplicativos da web, fornecem apenas proteção básica contra essas ameaças. A Fortinet inseriu recursos avançados de aprendizado de máquina baseados em IA no FortiWeb WAF para proteger aplicativos apoiados na web contra os ataques direcionados a explorações conhecidas e desconhecidas, com precisão de detecção de ameaça de quase 100%. Além disso, oferece gerenciamento automatizado e integração perfeita com o Fortinet Security Fabric," de acordo com John Maddison, vice-presidente sênior de produtos e soluções da Fortinet.
Comentário (0) Hits: 6137
06/06/2018 - Pesquisa global da BSA | The Software Alliance indica que 46% dos softwares instalados em computadores brasileiros não estão devidamente licenciados, o que representa um valor comercial de 1,7 bilhões de dólares. O número é um ponto percentual mais baixo do que o registrado na edição de 2016 do estudo.
"O Brasil progrediu e registrou a menor taxa da América Latina, contudo a queda do índice, em um ponto percentual, foi mais baixa do que a registrada em 2015, de 3 pontos, em comparação com 2013", explica o country manager da BSA para o Brasil, Antonio Eduardo Mendes da Silva, conhecido no mercado como Pitanga. "O resultado é positivo, mas ainda há muito a ser feito", completa.
Na América Latina, o país é seguido por Colômbia e México, que registraram taxas de uso de software não licenciados de 48% e 49%, respectivamente. Os países com os percentuais mais altos foram Venezuela, com 89%, e Paraguai, com 83%. A taxa global aponta 37% de uso de softwares que não estão devidamente licenciados. O índice mais baixo é dos Estados Unidos, 15%, e o mais alto é o da Líbia, com 90% de softwares irregulares.
O uso de softwares não licenciados, embora tenha tido uma leve queda, ainda é muito abrangente. Os softwares não licenciados ainda são usados em todo o mundo a taxas alarmantes, representando 37% dos softwares instalados em computadores pessoais - uma queda de apenas 2% em relação a 2015.