O Perfil do Novo CSO - APIT
Andre 22 de abril de 2019 Blog 0
Sexta-feira passada me encontrei com o grande amigo que acabara de obter a certificação CISM da ISACA. Ele estava feliz e orgulhoso, me contando que era o único na empresa e que agora possuía um diferencial profissional no mercado. Eu, do meu lado, comentei que agora ele seria reconhecido internacionalmente, e que outras portas poderiam ser abertas.
Depois que voltei para casa, pensando no assunto e, por livre associação de ideias, passei o fim de semana no Jobs do LinkedIn, estudando o que a empresas "pedem" quando resolvem contratar um profissional para ser o responsável pela sua segurança da informação.
Assim como a paisagem de segurança da informação está mudando, o perfil, as habilidades e as capacidades que estes profissionais de segurança precisam manter seguem na mesma toada. Eu mesmo notei que algumas habilidades de segurança faltam em muitas organizações, incluindo:
• Experiência no desenvolvimento de infraestrutura de segurança e a criação de sistemas de gerenciamento, monitoramento e alerta;
• Capacidade de identificar e reagir às ameaças de segurança da informação;
• Conhecimento em sistemas de segurança, além das camadas de rede, sistema e de aplicação
• Familiaridade com a implementação de controles de segurança em torno de dados corporativos e experiência com segurança corporativa, gerenciamento de identidade e sistemas governamentais, tais como LGPD e dados para imposto de renda pessoa jurídica por exemplo.
Sei e conheço profissionais de Segurança da Informação com muito mais conhecimento do que eu apresentei acima; porque o que apresentei é o que a organização não tem ideia de que é necessário, desconsiderando o esforço que este profissional está demandando.
Voltando ao meu passeio pelo LinkedIn: eu incluiria no perfil do profissional a ser contratado mais algumas, vou chamar assim: características:
Um dos melhores conjuntos de habilidades de segurança da informação agora é possuir conhecimentos profundos e aplicados em componentes chave de um projeto de segurança que suporte IaaS (Infrastructure as a Service), Paas (Plataforma as a Service) e Saas (Software as a service). Na medida que mais carga de trabalho se move para a nuvem pública (ou híbrida, ou provada, como queiram), tornou-se um must-have absoluto para uma crescente área de negócios ter alguém (ou uma equipe) com conhecimentos estratégicos e táticos em segurança na nuvem. Os profissionais de segurança devem ter experiência em desenvolver e implementar componentes chave de um sistema de gestão de segurança da Informação para IaaS/PaaS/SaaS, incluindo detecção de intrusão, detecção de malwares, gerenciamento de vulnerabilidades e prevenção de perda de dados. Um rápido passar de olhos na notícias demonstra por que estas são habilidades críticas de segurança para um CSO hoje.
A IOT (Internet of Things) precisa desesperadamente de melhor segurança integrada, tornando-se ponto focal no setor de segurança hoje, e que existe necessidade de profissionais de segurança com habilidades em torno da compreensão de vários sistemas operacionais IoT, plataformas e aplicativos relacionados. Aqueles que entenderem como eles devem ser protegidos, serão mais solicitados na medida em que mais e mais organizações utilizam esses tipos de dispositivos para uso próprio, ou para fazer negócios através deles.
Agora estou pensando em engenharia social: Mais e mais ataques técnicos usados para coletar informações fazem uso de um ataque de engenharia social contra uma organização, para que os empregados inadvertidamente forneçam suas credenciais ou algum tipo de acesso ao atacante externo. Como malwares, ransomwares, e-mails de phishing, sites de login falsos e outras artimanhas do mal continuam a ser usadas cada vez com mais frequência, há uma necessidade de profissionais de segurança que entendam o lado humano dessas façanhas. A capacidade de reconhecer padrões de comportamento na engenharia social é mais que necessária nas organizações, a fim de criar programas de treinamento mais fortes, melhores políticas e procedimentos para os funcionários e fornecedores seguir, e maneiras de capacitar os funcionários para desempenhar suas tarefas diárias de forma mais segura e ética.
A experiência na criação de infraestrutura de registro de logs robusta e resiliente é um grande hiato de habilidades na profissão de segurança da informação. O registro de eventos de segurança e a garantia do tratamento adequado dos dados que são adicionados, sustenta tudo o que acontece nas operações de segurança para detectar, correlacionar e responder a atividades de ameaças. Infelizmente, as empresas não dedicam atenção e nem espaço em disco para esta atividade e olha que eu conheço muito profissionais no mercado que realmente entendem como gerenciar logs, corretamente e em escala; e mais ainda, com as habilidades para – em sistemas instalados -auditar e revisar adequadamente os dados que estão presentes em seus logs. Acho que a grande jogada para meu colegas e conseguir explicar o assunto, mais do que se fazer entender sobre o que está acontecendo, antes que aconteça um ataque:-(
No ambiente de negócios de hoje, em que a frequência e a sofisticação dos ataques estão aumentando rapidamente, existe uma necessidade urgente de conscientização de segurança de informação e habilidades no tratamento de resposta a incidentes. O que eu notei é um grande número de soluções de segurança implantadas em uma empresa típica, em resposta a um número crescente de ameaças, e os analistas de segurança estão inundados com informações e estão tendo dificuldade em gerenciar a postura correta de segurança da sua rede. Não basta depender da automatização e dessas soluções, razão pela qual é incrivelmente importante desenvolver os conjuntos de habilidades necessárias para perseguir agulhas em palheiros e identificar com precisão as reais ameaças no palheiro de falsos positivos.
Agora vou chutar o balde:-) Depois do Galaxy S8 que destrava pelos nossos lindos olhos, as senhas de voz poderão ser um caminho do futuro? Se você concorda, pelo menos um pouquinho, então aqui tem mais uma razão pela qual haverá necessidade de profissionais de segurança com habilidades especificas de interpretação de dados biométricos e autenticação de voz. Isso incluirá a criação de tecnologia de autenticação para impedir hackers contra a tentativa de sintetizar ou clonar a voz de alguém. Daqui a alguns anos (ou meses?)
É isso aí: se esta semana você estiver numa entrevista de emprego ou quer começar com ela um diferencial profissional, pense no que eu pensei este fim de semana. #partiu CSOdiferente.