Seginfocast - Segurança da Informação - podcast

Neste episódio do SegInfocast, recebemos Felipe Negri, CEO e sócio do PinBank, para uma conversa direta sobre os desafios do mercado financeiro em um cenário cada vez mais regulado, digital e exposto a riscos cibernéticos. Ao longo do episódio, falamos sobre: Inovação no setor financeiro e o papel das instituições; Regulação do Banco Central como ponto de partida, não como fim; Banking as a Service e a importância de manter foco no core do negócio; Cibersegurança como ativo estratégico e diferencial competitivo; Inteligência artificial, identidade e novos riscos cibernéticos. Quer entender como preparar sua empresa para as novas exigências do Banco Central sem perder agilidade e inovação? Acesse nosso conteúdo sobre adequação: https://clavis.com.br/lp-ebook-bacen-1/

SegInfocast #90 – OT em pauta- cibersegurança além do digital by SegInfo

A Clavis lançou um novo webinar sobre Gerenciamento da Superfície de Ataque conduzido por Leonardo Pinheiro, CTO da companhia. Durante a apresentação, foi abordado desde o conceito até a aplicação em cases reais. Mais que isso, foram apresentados os diferenciais que a Plataforma de Segurança Clavis pode oferecer para as companhias.

Uma Colaboração do Curso em Vídeo com a Clavis. Gustavo Guanabara, Kaue Linden e Raphael Machado conversam sobre a história da Clavis contada pelos olhos de um de seus Sócios-Fundadores e ainda trazem experiências marcantes, insights exclusivos, os desafios da área de cibersegurança e uma visão única sobre o papel da Clavis para impulsionar a defesa cibernética do Brasil.

SegInfocast #88 - Gerenciamento Contínuo de Vulnerabilidades. Neste episódio do SegInfocast, o entrevistador Raphael Machado (PH), entrevista o especialista em Cloud Security , Rodrigo Montoro

Uma abordagem “baseada em serviço” pode ser muito mais acessível e efetiva para a entrega de soluções de segurança. A Clavis propõe um modelo inovador de Security as a Service onde entrega um pacote de tecnologias e serviços técnicos que atendem aos mais importantes requisitos e controles de segurança previstos nos principais padrões e recomendações. Escute ao nosso SegInfocast com o sócio-fundador da Clavis, Raphael Machado.

A Amazon Web Services (AWS) é a plataforma de nuvem mais adotada e mais abrangente do mundo. De acordo com o Shared Responsability Model (Modelo de Responsabilidade Compartilhada), as empresas também são responsáveis pela segurança destes serviços na nuvem. Neste SegInfocast, Rodrigo Montoro apresenta sua pesquisa sobre as principais ameaças em ambientes AWS. #Seginfocast86

Neste episódio do SegInfocast, Luiz Felipe Ferreira recebe Milena Andrade que nos contará tudo sobre uma das maiores certificadoras mundiais, o EXIN.

SegInfocast #84 - Desenvolvimento Seguro by SegInfo

SegInfocast #83 - Novo Livro SandWorm by SegInfo

SegInfocast #82 - Novo Curso CompTIA Security+ 601 by SegInfo

SegInfocast #81- Top 10 OWASP by SegInfo

SegInfocast #80 - Ransomware by SegInfo

SegInfocast #79 - CIS Controls Versão 8 by SegInfo

SegInfocast #78 - Guia da ANPD para Agentes de Tratamento e Encarregados by SegInfo

Seginfocast-#77 - Tradução do livro The Fifth Domain. by SegInfo

No episódio 76 do SeginfoCast, Luiz Felipe Ferreira conversa com o convidado Tulio Souza sobre Gestão de Segurança e Riscos Cibernéticos no Setor Marítimo, tendo como base documentos e diretrizes da Organização Marítima Internacional.

Neste episódio do Seginfocast, Victor Santos, Davidson Boccardo, Rafael Soares e Ygor Buitrago abordam os principais pontos a respeito da Lei Geral de Privacidade de Dados, indicando os impactos na sociedade e a jornada de adequação das empresas.

Neste episódio do SegInfocast, Luiz Felipe Ferreira conversa com o convidado Raphael Machado sobre o mundo das pesquisas acadêmicas voltadas para temas relacionados a Segurança da Informação.

Neste episódio do SegInfoCast teremos a participação do Victor Santos, Chief Product Owner da Clavis Segurança da Informação. Victor possui 16 anos de experiência na área de Segurança da Informação, Auditor líder da ISO 27001, Certified Ethical Hacker (C|EH), Certified CompTIA Security+, MCSO, ITIL e COBIT. Já palestrou em diversos eventos nacionais e internacionais, entre eles: SegInfo, Mind The Sec RJ, RoadSec, GTS - Nic.br, Elastic Seminar, LatinoWare, entre outros. O tema do episódio de hoje é o SIEM (Security information and Event Management, ou, solução de Gerenciamento de Eventos de eventos de Segurança da Informação) da Clavis, o Octopus SIEM. Tecnologias de SIEM permitem que os eventos gerados por diversas fontes de dados sejam coletados, normalizados e armazenados de forma centralizada; fornecendo assim uma visão ampla sobre o seu parque tecnológico e maior agilidade na identificação de ameaças. Victor se baseia nessa apresentação, cujo áudio foi extraído para o SegInfcast, no Octopus SIEM, que é a solução de SIEM desenvolvida pela Clavis, através da parceria formal com a Elastic na modalidade OEM (Original Equipment Manufacturers) e reconhecida e homologado pelo Ministério da Defesa como Produto Estratégico de Defesa pelo MD. O Octopus SIEM é Capaz de realizar a integração de dados relevantes à segurança da informação, a correlação inteligente de eventos para a identificação de incidentes de segurança e a retenção de dados por questões de conformidade - ferramenta primordial para a operação de SOC (Security Operations center). Esperamos que vocês curtam bastante o episódio. (=

Com a entrada em vigor do GDPR na União Europeia, o tema da privacidade e proteção de dados ganhou uma importância muito grande no mundo inteiro.Para continuar a negociar com o maior bloco comercial do mundo, diversos países criaram as suas próprias leis baseadas no GPDR, como o Japão, Coréia do Sul e também o Brasil, com a Lei Geral de Proteção de Dados (LGPD).Para se adequar as leis, as empresas deverão contratar profissionais especializados no tema de privacidade e proteção de dados.Um desses profissionais será o DPO (Data Protection Officer) ou Encarregado de Proteção de Dados na LGPD.Uma certificação reconhecida internacionalmente emitida por um órgão confiável e com décadas de experiência certamente será um diferencial desse profissional em uma disputa por uma vaga.A certificação do EXIN Data Protection Officer fornece o conhecimento e as competências corretas para aqueles que desejam se tornar ou já são um DPO (Encarregado) ou mesmo um profissional de privacidade e proteção de dados.Mas você sabe quais são os requisitos para obter o título EXIN Data Protection Officer?Esse é o tema do novo webinar Clavis “Como Obter a Certificação EXIN DPO?”, ministrado por Luiz Felipe Ferreira, instrutor oficial EXIN, professor dos cursos de privacidade e proteção de dados na Academia Clavis e apresentador do SegInfocast

Neste episódio do SegInfocast, apresentamos o áudio do Webinar “Livro Clique Aqui Para Matar Todo Mundo: Como sobreviver em um mundo hiperconectado” apresentado por Luiz Felipe Ferreira e com a participação de Luciano Lima. O Webinar traz como assunto principal o tema livro: “Clique Aqui para Matar Todo Mundo” de Bruce Schneier e a tradução para pt-br.

Neste episódio do SegInfocast, apresentamos o áudio do Webinar “O Caminho para a Certificação CompTIA Security+” realizado pela Clavis Segurança da Informação e apresentado por Luiz Felipe Ferreira com os convidados Alberto Oliveira e Luciano Lima. O webinar traz como tema principal a parceria que irá trazer as questões do livro “Simulados para o exame CompTIA Security+ SY0-501” escrito por Luciano Lima no curso online da Clavis Segurança da Informação preparatório para a certificação CompTIA Security+. Além de abordar tudo o que você precisará saber para obter a certificação CompTIA Security+, as novidades da versão mais recente (SY0-501), quais são os requisitos para ser aprovado no exame e o curso CompTIA Security+, ministrado por Alberto Oliveira, na Academia Clavis.

Emerson Wendt, Diretor de Departamento de Inteligência de Segurança Pública na Secretaria de Estado de Segurança Pública do Rio Grande do Sul é o convidado de Luiz Felipe Ferreira neste episódio do SegInfocast. O Dr. Emerson traz o panorama diário de um delegado especializado em crimes cibernéticos. Qual o panorama das atividades criminosas cibernéticas no Brasil? Nosso entrevistado diz que o Brasil é um campo fértil para os criminosos, sendo o setor bancário como um dos mais visados. Além das fraudes bancárias, os crimes contra a honra tem sido muito utilizados, sem contar a pedofilia, um dos crimes mais denunciados. O Brasil possui leis que amparam as investigações de crimes cibernéticos? Emerson informa que nosso país é muito bem servido de diversas leis que são usadas como base nas condenações tais como a lei "Carolina Dieckmann" e outras, assim como a recente Lei Geral de Proteção de Dados que certamente apoiará as investigações. Como é o processo de investigação de um crime cibernético? Emerson diz que a complexidade do processo é variável, com casos muito simples a outros extremamente complexos que dependem da colaboração de outros órgãos. Nosso convidado também informa que está lançando o seu mais recente livro "Direito e TI Cibercrimes", já disponível para venda. Sobre o entrevistado Emerson Wendt é delegado de Polícia Civil do RS. Formado em Direito pela Faculdade de Direito da Universidade Federal de Santa Maria e Pós-graduado em Direito pela URI-Frederico Westphalen. Mestre em Direito pelo UnilaSalle Canoas-RS. Diretor do Departamento Estadual de Investigações do Narcotráfico e Membro do Conselho Superior de Polícia da Polícia Civil do RS e Professor da Academia de Polícia Civil nas cadeiras de Inteligência Policial e Investigação Criminal. Ex-Diretor do Gabinete de Inteligência e Assuntos Estratégicos. Também é professor dos cursos de pós-graduação e/ou extensão da UNISINOS (São Leopoldo-RS), SENAC-RS (Passo Fundo-RS), IDC (Porto Alegre-RS), Verbo Jurídico (Porto Alegre-RS), Uniritter (Porto Alegre-RS e Canoas-RS), EPD (São Paulo-SP), IMED (Passo Fundo-RS), UNITOLEDO (Porto Alegre-RS), ESMAFE/RS (Porto Alegre), Uninorte (Rio Branco-AC), Unifacs (Salvador-BA). Membro da Associação Internacional de Investigação de Crimes de Alta Tecnologia (HTCIA), do PoaSec e do INASIS, além de ex-integrante do Comitê Gestor de Tecnologia da Informação da Secretaria de Segurança Pública do RS. Já ministrou aula nas Academias das Polícia Civis de Pernambuco, Goiás, Paraná, Acre, Alagoas, Sergipe, Rondônia e Piauí. Também, é Tutor dos cursos EAD e presenciais da Secretaria Nacional de Segurança Pública, especialmente na atividade de Inteligência de Segurança Pública. Autor do livro Inteligência Cibernética (Editora Delfos) e coautor dos livros “Crimes Cibernéticos: ameaças e procedimentos de investigação”, com Higor Vinícius Nogueira Jorge, e “Inteligência Digital”, com Alesandro Gonçalves Barreto. Autor e organizador dos livros “Investigação Criminal: ensaios sobre a arte de investigar crimes” e “Investigação Criminal: Provas”, juntamente com o Fábio Motta Lopes.

Neste episódio do SegInfocast, apresentamos o áudio do Webinar “LGPD: Procuram-se DPOs no Brasil” realizado pela Clavis Segurança da Informação em conjunto com o EXIN e apresentado por Luiz Felipe Ferreira. Neste webinar foram abordados um dos pontos relacionados a conformidade com a LGPD, que em 2020 entrará em vigor no Brasil. Para atender a demanda de adequação, muitas empresas terão que indicar a figura do Data Protection Officer (DPO), o encarregado pela proteção de dados. Será que teremos essa mão de obra disponível? Como se preparar para ingressar nas várias vagas que serão abertas de forma direta e indireta à Lei Geral de Proteção de Dados (LGPD)? Além disso, outros tópicos foram discutidos neste webinar: Em um ano de GDPR, quantos DPO’s já foram registrados? Quando é obrigatória a designação de um DPO? As atribuições de um DPO de acordo com a GDPR. As atribuições de um DPO de acordo com à LGPD. Quais os conhecimentos que um DPO deve ter? Quais outras oportunidades estão diretamente relacionadas à LGPD? Estimativas salariais dos DPOs no mundo. Sobre o apresentador Luiz Felipe Ferreira tem 15 anos de experiência em Tecnologia da Informação e desde 2008 trabalha com Segurança da Informação. Formado em Tecnologia em Informática pela UniverCidade e com MBA em Gestão de Projetos e Negócios em TI pela UERJ. Atualmente é Data Protection Product Owner no Itaú Unibanco. Apresentador do SegInfocast, um podcast focado em Segurança. Membro do comitê PrivacyBR. Palestrante em diversos congressos de Segurança como SegInfo, WorkSec e Congresso de TI. Possui as certificações EXIN Data Privacy and Protection Foundation, ISFS, CompTIA Security+, ITIL, VCP, LPIC-1 e MCP.

Neste episódio do SegInfoCast compartilhamos o áudio do Webinar "Segurança da Informação e Desenvolvimento Seguro na era da Privacidade de Dados" apresentado por Andréa Melo da Clavis Segurança da Informação na rodada de Webinars da EXIN. Os temas abordados no webinar foram a Segurança da Informação, Governança e Gestão de Riscos, Proteção de Dados, a lei brasileira LGPD e também o Desenvolvimento Seguro. Sobre a entrevistada Desde 2005, Andréa Melo trabalha com normas de sistemas de gestão tais como as ISO 9000, 20000, 22031 e 27000, certificando, treinando e palestrando tanto no Brasil quanto no exterior. Formada em Administração de Empresas com Especialização em Gestão de Tecnologia da Informação pela FGV.

Luiz Felipe Ferreira recebe pela primeira vez no SegInfocast a Dra. Ana Cristina Ferreira, advogada especializada em direito digital, para nos ajudar a entender a Lei Geral de Proteção de Dados, conhecida como LGPD, sancionada pelo presidente Temer em agosto de 2018. Do que se trata a LGPD? Segundo a Dra. Ana, a Lei Geral de Proteção de Dados, visa reforçar a segurança jurídica para os dados pessoais dos cidadãos brasileiros e mitigar os abusos. Ela nasceu inspirada na GDPR, lei europeia que também trata da proteção de dados pessoais. O que são dados pessoais e dados pessoais sensíveis? Nossa convidada explica que dados pessoais são informações relacionadas ao indivíduo que sejam capazes de identificá-lo tais como identidade, endereço, CPF, etc.. Já os dados pessoais sensíveis dizem respeito as preferências e convicções do indivíduo, tais como preferências religiosas, sexuais, informações biométricas, entre outros, por isso são tratados de forma especial pela lei. Quais são os direitos dos titulares dos dados? Uma inovação que a lei traz são os direitos dos titulares. Ana cita que quando a lei entrar em vigor (a partir de fevereiro de 2020), será possível ter maior controle sobre o que as empresas estão fazendo com as informações pessoais podendo retificar, eliminar, solicitar portabilidade e revogar o consentimento a qualquer tempo. Qual o impacto nos sistemas que armazenam, transmitem e processam os dados pessoais? Embora seja difícil mensurar o impacto, Ana diz que será proporcional as operações realizadas e o nível de proteção decorrente do tipo dos dados pessoais armazenados. Ela sugere que auditorias internas façam parte do escopo de governança de dados para que as empresas estejam em conformidade legal. Sobre a entrevistada Ana Cristina Ferreira é advogada especializada em direito digital atuando no Brasil e em Portugal. Ana Cristina Ferreira, advogada inscrita na Ordem dos Advogados do Brasil e Na Ordem dos Advogados de Portugal, professora e articulista, idealizadora e fundadora da Digital Legal. Formada pelo Centro Universitário da Cidade Univercidade (Univercidade), com especialização LL.M Master em Direito Corporativo pelo Instituto Brasileiro de Mercado de Capitais - IBMEC. Professora do curso de extensão em Direito Eletrônico da Escola de Magistratura do Estado do Rio de Janeiro – EMERJ desde 2011. Membro da Comissão de Direito e Tecnologia da Informação OABRJ - CDTI e também da Comissão de Direito Digital da OAB São Gonçalo.

SegInfoCast #66 - Norma ISO 27001 by SegInfo

Luiz Felipe Ferreira recebe Davidson Boccardo, Diretor no Grupo Clavis Segurança da Informação e CEO na Green Hat para entendermos como equipamentos computacionais são certificados. Avaliação de Conformidade de Produtos computacionais Davidson esclarece que o objetivo da avaliação é proteger o consumidor, pois equipamentos computacionais necessitam de uma certificação que ateste a sua qualidade. Através da acreditação, o Inmetro capacita os laboratórios para terem as qualificações necessárias para verificar, executar e testar a qualidade dos produtos. Qual a relação entre Certificações de Produtos e Segurança da Informação? Davidson nos conta que nos equipamentos de certificação digital (icp-brasil), por exemplo, deve haver uma preocupação muito grande com a confidencialidade, integridade e disponibilidade dos dados através da segurança "by-design", segurança computacional e a segurança lógica. Quem necessita ter seus equipamentos avaliados? Nosso convidado cita que toda empresa que tem a intenção de lançar equipamentos computacionais deve passar por uma avaliação/certificação através de uma OCP (Organismo Certificador de Produtos), que endereçará a solicitação a um laboratório autorizado, como a Green Hat. Inicia-se a avaliação e por volta de um a três meses, um laudo técnico é emitido a OCP, que aprovar (ou não) o equipamento. Sobre o entrevistado Davidson Rodrigo Boccardo é Doutor em Engenharia Elétrica pela Faculdade de Engenharia de Ilha Solteira UNESP (2009), com período parcial na University of Louisiana at Lafayette, na qual trabalhou em engenharia reversa de artefatos maliciosos no Software Research Lab do Computer Advanced Center Studies. Entre 2010 e 2015 coordenou o projeto “Segurança de Software em Medidores Inteligentes” no Instituto Nacional de Metrologia, Qualidade e Tecnologia – Inmetro, com a publicação de mais de 50 artigos científicos e 1 patente. É atualmente Diretor na Clavis Segurança da Informação e CEO na Green Hat – Segurança da Informação. Também é instrutor da Clavis – Segurança da Informação na trilha de Forense Computacional, Testes de Invasão e Desenvolvimento Seguro. Possui certificações CISSP (Certified Information Systems Security Professional), CHFI (Certified Hacker Forensic Investigator), Secure Programming, ISO 27001 e Security+.

Luiz Felipe Ferreira recebe um convidado muito especial pela primeira vez no SegInfocast: FabioAssolini, Analista Sênior de Segurança da Informação na Kaspersky para uma conversa sobre os ataques ao setor financeiro. Ameaças originárias do Brasil Nosso convidado revela que o cibercriminoso brasileiro é bastante imediatista focado no retorno financeiro a curto prazo, justificando o porquê de sermos um dos países com o maior número de trojans bancários e também em ataques de phishing. O foco, claro, tem sido o usuário de internet banking. No exterior, o foco é outro, a fonte do dinheiro, os bancos. Maturidade de Segurança da Informação no sistema financeiro Fabio nos conta que o sistema financeiro brasileiro em comparação com o americano, por exemplo, está mais avançado nas tecnologias de proteção, como é o caso da adoção de plugins em desktops domésticos e também na adoção de cartões com chip. A maturidade varia muito com a intensidade dos ataques. Reações aos ataques Embora o setor tenha uma maturidade, em alguns casos acontecem situações como a negação num caso de um ataque e até mesmo a perseguição a pesquisadores de segurança, quando estes encontram e reportam alguma vulnerabilidade. Fabio citou ainda um caso de um banco chileno que mesmo após um prejuízo enorme, comunicou os seus clientes e contribuiu com empresas de segurança. As motivações dos ataques são sempre financeiras. Quem ataca os bancos, normalmente se utiliza de boas ferramentas. Setor extremamente regulado Assolini cita que o setor financeiro é muito regulado pelo Banco Central, que recentemente emitiu uma nova resolução especialmente focado em segurança na nuvem e resposta a incidentes. Sobre o entrevistado Fabio Assolini é Analista Sênior de Segurança da Informação na Kaspersky trabalhando como pesquisador de malwares. Já participou de um projeto voluntário chamado Linha Defensiva. Ele também é podcaster no Segurança Legal.

Davidson Boccardo, Diretor do Grupo Clavis Segurança da Informação e CEO na GreenHat retorna ao SegInfocast e conversa com Luiz Felipe Ferreira, sobre um novo curso desenvolvido pela Clavis, que prepara o candidato para duas certificações: CompTIA Pentest+ e EXIN Ethical Hacking Foundation. Sobre o curso e as certificações Davidson nos conta que a Clavis formulou um curso pensando nos estudantes e profissionais que desejam adentrar na carreira de pentester preparando-os para duas certificações. É a melhor forma de começar. A certificação da EXIN foca nos fundamentos e atividades básicas de ethical hacking, já a da CompTIA é mais focada na parte prática do teste de invasão. As provas A CompTIA exige que a prova seja realizada em um centro autorizado, já a EXIN pode ser realizada online, no conforto da sua casa. O curso Segundo Davidson, a Clavis optou por atualizar o material do curso, trazendo a abordagem dois em um. As aulas serão online e liberadas gradativamente até o mês de novembro. Diversos temas serão abordados tais como: Planejamento e Preparação, Obtenção de Informações, Varredura, Exploração, Pós-Exploração e Ataques a Aplicações Web, cobrindo os temas que abrangem as duas certificações. Preço de lançamento e desconto exclusivo Aqueles que adquirirem o curso pagarão um preço exclusivo de lançamento. Além disso, todos os cursos da Academia Clavis estão com desconto de 15% com o cupom #CLAVIS15. Sobre o entrevistado Davidson Rodrigo Boccardo é Doutor em Engenharia Elétrica pela Faculdade de Engenharia de Ilha Solteira UNESP (2009), com período parcial na University of Louisiana at Lafayette, na qual trabalhou em engenharia reversa de artefatos maliciosos no Software Research Lab do Computer Advanced Center Studies. Entre 2010 e 2015 coordenou o projeto “Segurança de Software em Medidores Inteligentes” no Instituto Nacional de Metrologia, Qualidade e Tecnologia – Inmetro, com a publicação de mais de 50 artigos científicos e 1 patente. É atualmente Diretor na Clavis Segurança da Informação e CEO na Green Hat – Segurança da Informação. Também é instrutor da Clavis – Segurança da Informação na trilha de Forense Computacional, Testes de Invasão e Desenvolvimento Seguro. Possui certificações CISSP (Certified Information Systems Security Professional), CHFI (Certified Hacker Forensic Investigator), Secure Programming, ISO 27001 e Security+.

Estreando no SegInfocast, Emilio Simoni , Security Director na dfndr Lab, uma divisão da PSafe Brasil, conversa com Luiz Felipe Ferreira sobre suas atividades no combate a fraudes e ameaças cibernéticas. Combate a fraudes Emilio conta que seu foco de proteção principal é a criação de tecnologias heurísticas de proteção para o usuário final, principalmente no ambiente de dispositivos móveis. Malwares para dispositivos móveis A popularização dos dispositivos móveis com acesso a internet fez com que os criminosos migrassem para esse tipo de usuário final, sabendo que eles carregam além de informações pessoais, dados corporativos. Emilio cita que seu trabalho envolve diversas proteções contra páginas maliciosas, páginas falsas e aplicativos maliciosos. Roteadores Domésticos Nosso convidado comenta que está trabalhando em um projeto direcionado a identificar vulnerabilidades que possam ser exploradas nos roteadores domésticos como senhas padrão, protocolos inseguros ativos, vulnerabilidades de firmware etc., sugerindo ao usuário possíveis correções. Relatório de Segurança Digital Emilio diz que trabalha junto a alguns veículos de comunicação com propósito de conscientizar os usuários para que entendam o tipo de riscos que estão expostos na internet. O Relatório de Segurança Digital, criado em 2017 pela PSafe e com uma nova versão liberada a cada três meses possui informações sobre as estatísticas de ataques identificados. Chamou a atenção o aumento do primeiro para o segundo semestre nesse ano de 12% do número de ataques, sendo o principal destaque o "Whishing", o phishing direcionado para o WhatsApp. Sobre o entrevistado Emilio Simoni é Security Director na dfndr Lab, divisão da PSafe.

Pela primeira vez no SegInfocast, Lucila Bento, Diretora Acadêmica na Clavis Segurança da Informação apresenta a Luiz Felipe Ferreira as principais novidades do novo sistema de treinamento online da Academia Clavis. A nova plataforma EAD O sistema foi reformulado visando Segundo Davidson, trata-se de uma "foto" da empresa que mostra não somente as lacunas tecnológicas, mas também nos processos e até nas pessoas, identificando falhas, entendendo os controles aplicados e gerando um plano de ação para corrigir os erros encontrados. Quais as principais mudanças e benefícios para o aluno? Uma das principais novidades é autonomia que os alunos terão na escolha e compra dos cursos, disponíveis em poucos cliques no site da Academia Clavis. É possível adquirir os diversos cursos da Clavis como teste de invasão, análise forense, ou ainda os cursos preparatórios para as certificações internacionais como a CompTIA Security+, EXIN ISFS, entre outros. As aulas são gravadas e estarão disponíveis o tempo todo, facilitando o planejamento e organização dos estudos. Lucila destaca ainda que a compra de cursos ou cursos + vouchers pode ser adquirida em até 3 vezes sem juros no cartão. Quais são os cursos mais vendidos? Lucila cita o curso preparatório para a certificação CompTIA Security+ como o mais procurado pelos alunos, seguido pelo EXIN ISFS, sendo este recomendado como a primeira certificação para quem desejar entrar na área de Segurança da Informação. Há ainda uma procura pelo curso de PCI-DSS, padrão exigido para as empresas que armazenam dados de cartões de crédito, pelo curso de desenvolvimento seguro e de forense. Roadmap Clavis para Certificações em Segurança da Informação Uma dica para quem não sabe qual caminho trilhar é o roadmap de certificações em segurança da informação, disponível no site da Clavis com quatro sugestões de carreira dentro da área. Compra de vouchers para certificações internacionais Os alunos podem adquirir os cursos de forma avulsa, os vouchers avulsos através de boleto ou cartão de crédito. Se optar pelo combo (curso + voucher) ou somente pelo curso é possível parcelar em até 3 vezes no cartão. Lucila Bento é Graduada em Computação pela UFF, Mestre em Informática pela UFRJ e Doutorada em Informática pela UFRJ onde estudou técnicas de proteção de software. Atualmente é Diretora Acadêmica na Clavis Segurança da Informação.

Davidson Boccardo, Diretor do Grupo Clavis Segurança da Informação e CEO na GreenHat retorna ao SegInfocast para uma conversa com Luiz Felipe Ferreira, sobre Gap Analysis - Análise Corporativa de Segurança da Informação O que é uma Gap Analysis em Segurança da Informação? Segundo Davidson, trata-se de uma "foto" da empresa no que tange segurança da informação, que mostra não somente as lacunas tecnológicas, mas também nos processos e até nas pessoas, identificando falhas, entendendo os controles existentes, ausentes ou insuficientes e não aplicáveis no ambiente, e gerando um plano de ação para corrigir os erros encontrados. Qual a importância de executar uma Gap Analysis em Segurança da Informação? Nosso convidado destaca que ela traz uma visão geral, facilitando inclusive futuras aquisições de produtos ou serviços de Segurança da Informação, pois agora com o plano de ação construído, é possível ser mais assertivo na escolha, trazendo um maior retorno do investimento, aproximando a Segurança da Informação ao negócio e agregando mais valor as empresas. Quanto tempo demora, em média, um Gap Analysis? Davidson estima um prazo de dois meses para realizar o Gap Analysis. Já o prazo de acompanhamento da implementação do plano de ação é variável, vai depender de alguns fatores como o tamanho e orçamento disponível da empresa. Algumas normas e frameworks internacionais como a ISO 27001 e PCI-DSS podem ser usados na adequação do plano de ação. Governança da Segurança da Informação Um Gap Analysis ajuda a Governança da Segurança da Informação no alinhamento da estratégia de segurança da informação corporativa trazendo a visibilidade da situação, do quanto a empresa está segura e o que precisa ser feito para melhorar o cenário atual. Sobre o entrevistado Davidson Rodrigo Boccardo é Doutor em Engenharia Elétrica pela Faculdade de Engenharia de Ilha Solteira UNESP (2009), com período parcial na University of Louisiana at Lafayette, na qual trabalhou em engenharia reversa de artefatos maliciosos no Software Research Lab do Computer Advanced Center Studies. Entre 2010 e 2015 coordenou o projeto “Segurança de Software em Medidores Inteligentes” no Instituto Nacional de Metrologia, Qualidade e Tecnologia – Inmetro, com a publicação de mais de 50 artigos científicos e 1 patente. É atualmente Diretor na Clavis Segurança da Informação e CEO na Green Hat – Segurança da Informação. Também é instrutor da Clavis – Segurança da Informação na trilha de Forense Computacional, Testes de Invasão e Desenvolvimento Seguro. Possui certificações CISSP (Certified Information Systems Security Professional), CHFI (Certified Hacker Forensic Investigator), Secure Programming, ISO 27001 e Security+. Mais informações sobre a Clavis em http://clavis.com.br.

O convidado deste episódio, entrevistado por Luiz Felipe Ferreira , é o Rafael Barros, consultor na área de Governança, Risco e Compliance da Clavis Segurança da Informação para esclarecer as dúvidas sobre a lei européia GDPR. O que é a GDPR? Segundo o nosso convidado, trata-se de uma atualização de leis anteriores da união européia visando evitar o vazamento massivo de dados dos cidadãos daquele continente. O objetivo da lei é obrigar as empresas a terem processos de segurança para coibir o mau uso das informações. Escopo da Lei Qualquer empresa européia ou não que possua dados processados ou armazenados (informações pessoais) de clientes que são cidadãos europeus faz parte do escopo da lei, principalmente em grandes quantidades, segundo Rafael. Sanções e Multas Para as empresas que não estiverem em conformidade com a lei até o dia 22 de maio (provavelmente mais de 50%), Rafael informa que multas e sanções dependem da gravidade do vazamento de informações. Oportunidades no mercado de trabalho A lei trouxe minhas oportunidades na Europa para os profissionais de compliance, além da criação da figura do DPO (Data Protection Officer), responsável por garantir que a empresa esteja em conformidade com a GDPR. E as empresas brasileiras? Rafael citou um exemplo de um cliente que faz o processamento de dados de cidadãos europeus e por isso, precisa estar em conformidade com a GDPR, que não fere as leis nacionais. Como sugestão, ele sugeriu o uso dos controles das normas existentes na ISO 27001 e PCI-DSS, além da redução do escopo e armazenamento somente das informações extremamente necessárias. Rafael Barros é consultor na área de Governança, Risco e Compliance do Grupo Clavis Segurança da Informação. Ele também é instrutor dos cursos ISFS e PCI-DSS, ambos disponíveis no portal da Clavis.

Neste episódio, Luiz Felipe Ferreira recebe Victor Santos, Diretor de Serviços da Clavis para uma conversa sobre a relação entre Investimento/Retorno na Implementação de um SIEM. Os desafios das equipes de segurança da informação Victor lembrou que a realidade das equipes de segurança é completamente diferente de anos atrás quando existia somente o perímetro para proteger. Hoje, há desafios como o ShadowIT, diversos dispositivos conectados na rede, necessidade de resposta ágil a incidentes e de um monitoramento contínuo de ameaças. Sobre o SIEM Victor falou sobre o conceito de SIEM (Gerenciamento de Eventos e Informações de Segurança, em português), que é uma solução que recebe os logs de diversos dispositivos, correlaciona os eventos procurando dados e metadados comuns, também gerando alertas. Por ser muito mais que um centralizador de logs, o SIEM evoluiu, adicionando inteligência, tentando predizer as ameaças. Dificuldades para a implementação de um SIEM Na sua experiência de implementações em diversos clientes, Victor pôde observar quatro fatores traumáticos: o custo, a complexidade, a quantidade de alertas gerados e por ultimo, a resposta por regras e não por comportamento. Além disso, as próprias empresas, em muitos casos, não sabem definir quais são as informações realmente importantes para o negócio. Sobre o Octopus Nosso entrevistado comenta que se percebeu uma oportunidade na criação de uma solução nacional de SIEM para atender empresas de diversos segmentos e tamanhos. Assim, nasceu o Octopus, um SIEM de nova geração, com análise orientada a dados, identificando comportamentos e usando machine learning. O Octopus tem a ousada meta de transformar os centros de operações de segurança em centros de inteligência. Uma das suas vantagens é a sua personalização, para trazer os melhores resultados a cada cliente. Diferenciais do Octopus sobre as demais soluções de SIEM Victor cita que o Octopus é baseado em plataforma de código aberto, editável, modular, de excelente custo-benefício, customizável e sua implementação é muito prática. Benefícios do Octopus A redução da janela de exposição de novas ameaças é citada por Victor como um benefício muito percebido pelos clientes, além do tempo reduzido para implementação, redução do risco e otimização do custo operacional. Victor Santos é Diretor de Serviços do Grupo Clavis Segurança da Informação, certificado Security+, MCSO, CEH, ITIL, COBIT e Auditor Líder da ISO/27001. Possui mais de 10 anos de experiência na prospecção e implantação de projetos de segurança da informação em empresas do setor público e privado. Ministrou treinamentos e palestras relacionadas a Segurança da Informação em diversos eventos entre eles: Mind The Sec, Workshop de Segurança da Informação – SegInfo, GTS – Grupo de Trabalho de Segurança de Redes, EnCSIRTs – Encontro de CSIRTs Acadêmicos, LatinoWare, Elastic Seminar, entre outros….

Luiz Felipe Ferreira recebe mais uma vez Luciano Lima para uma conversa sobre o seu livro: "Simulados para a Certificação CompTIA CySA+ CS0-001". Sobre a certificação CompTIA CySA+ Segundo Luciano, dois fatores contribuíram para a criação da certificação CySA+: a existência de uma lacuna entre a Certificação Security+ (considerada de nível de entrada) e a CASP (nível avançado), e o surgimento de novas tecnologias e nomenclaturas entre os lançamentos dessas certificações. A CySA+ é considerada como uma certificação de nível intermediário, indicada como o próximo passo para quem já possui a Security+. Ela também está presente no Roadmap para Certificações em Segurança da Informação da Clavis. Sobre o livro Luciano comenta que após o sucesso do livro de simulados para a certificação Security+, tema do episódio 44, muitos que foram aprovados neste exame começaram a pressioná-lo para lançar um livro, também de simulados, mas agora para a CySA+. Luciano sugere o treinamento oficial da certificação disponível no site da Clavis, que somado ao livro oficial do Yuri Diógenes e o seu livro de simulado, fazem a combinação mais indicada para a aprovação no exame. No segundo semestre de 2018, dois novos livros serão lançados pelo Luciano, aguarde! Luciano Lima tem 20 anos de experiência profissional com foco em produtos, tecnologias e segurança da informação da Microsoft. Atualmente é Head of Presales LatAm at Kaspersky Lab. Possui diversas certificações: MCP, MCSA, MCSE, Segurança MCSA, Segurança MCSE no Windows 2000 Server e Windows Server 2003, Microsoft Most Valuable Professional no Windows Server (2004 a 2007), Microsoft Most Valuable Professional em Enterprise Security (2007 a 2017), CISSP, csaE (CompTIA Security Analytics Expert), CompTIA CASP, CSA+, Security +, CEH e ITIL V3 Foundation. Tambem é o autor dos livros: - Guia de Certificação MCSE do Windows XP Professional; - Simulados para uma Certificação CompTIA Security + SY0-401; - Simulados para a Certificação CompTIA Analista de Segurança Cibernética (CSA +) - CS0-001.

No epidósio de hoje, Luiz Felipe Ferreira recebe André Serpa para uma conversa sobre o Elastic e o X-Pack. Sobre o Elastic Stack André explicou que trata-se de um conjunto de produtos (Kibana, Elasticsearch, Beats, Logstash) utilizados para diversas soluções como busca e monitoramento de eventos de segurança, entre outros. É uma plataforma altamente escalável, open source e indexa informações em tempo real de qualquer fonte. Sobre o X-Pack Para adicionar novas funcionalidades ao Elastic Stack como segurança, autenticação com LDAP, automação de rotinas, por exemplo, André citou o X-Pack, um conjunto de plugins contidos na assinatura comercial da Elastic juntamente com o suporte. Parcerias André comentou que o Elastic Stack, por ser opensource, já é utilizado como base para diversos outros produtos desenvolvidos por empresas como a Dell, IBM, Microsoft, Salesforce além da própria Clavis, que desenvolveu o Octopus, um SIEM reconhecido até como ferramenta de defesa e já foi tema do SegInfocast no episódio #31. André Serpa tem mais de 17 anos de experiência e já trabalhou em grandes empresas como Microsoft e Google e hoje é Diretor da Elastic para a América Latina.

O SegInfocast agora tem um novo apresentador, Luiz Felipe Ferreira, substituindo Paulo Sant'anna nesta nova temporada. O tema deste podcast é o livro: "Simulados para a Certificação CompTIA Security+ SY0-401" de autoria do entrevistado Luciano Lima. Sobre a certificação CompTIA Security+ Luciano explica que trata-se de uma certificação reconhecida internacionalmente, vendor neutra que aborda os fundamentos de diversas tecnologias e conceitos de Segurança da Informação. Ele também comenta sobre o preço, duração, idiomas disponíveis, local da prova e pontuação necessária para aprovação. A certificação é indicada para todos os profissionais que desejam migrar ou iniciar sua carreira na área de Segurança da Informação. Ela está presente no Roadmap para Certificações em Segurança da Informação da Clavis. Sobre a CompTIA A CompTIA é uma associação internacional com mais de 20 anos com diversas certificações reconhecidas em vários países pelo mundo e solicitada por diversas empresas. Sobre o livro Nosso entrevistado percebeu a carência de simulados da prova em português e visando esse público optou por criar e lançar o seu livro em formato digital de modo a democratizar o acesso a um preço mais acessível. O retorno em vendas e críticas tem sido muito positivo. Luciano o considera como um complemento ao livro oficial da Certificação CompTIA Security+ SY0-401 do Yuri Diógenes, disponível no curso online da Clavis. Yuri foi o nosso entrevistado no episódio #22 do SegInfocast. Por fim, comentamos sobre o novo livro de simulados para a prova CompTIA CySA+, também de autoria do Luciano. Mas, esse será um assunto de um próximo podcast. Luciano Lima tem 20 anos de experiência profissional com foco em produtos, tecnologias e segurança da informação da Microsoft. Atualmente é Head of Presales LatAm at Kaspersky Lab. Possui diversas certificações: MCP, MCSA, MCSE, Segurança MCSA, Segurança MCSE no Windows 2000 Server e Windows Server 2003, Microsoft Most Valuable Professional no Windows Server (2004 a 2007), Microsoft Most Valuable Professional em Enterprise Security (2007 a 2017), CISSP, csaE (CompTIA Security Analytics Expert), CompTIA CASP, CSA+, Security+, CEH e ITIL V3 Foundation. Tambem é o autor dos livros: - Guia de Certificação MCSE do Windows XP Professional; - Simulados para uma Certificação CompTIA Security + SY0-401; - Simulados para a Certificação CompTIA Analista de Segurança Cibernética (CSA+) - CS0-001.

Neste episódio, Paulo Sant’anna recebe Alan Oliveira, que é um dos tradutores do livro Countdown to Zero Day: Stuxnet and the Launch of the World’s First Digital Weapon de Kim Zetter. Além disso, ele comenta sobre a relevância do Stuxnet como a primeira arma digital, e como essa primeira arma pode levar à criação de outras e o que podemos esperar deste novo cenário. Em adição, correlaciona os fatos ocorridos com a maneira como o ataque foi realizado e o que ele representa no contexto da segurança da informação de sistema cibernéticos. No livro, a jornalista especializada em cibersegurança conta a história por traz do vírus que sabotou os esforços iranianos para criação de um programa nuclear, mostrando como sua criação inaugurou um novo tipo de guerra, em que ataques digitais podem ter o mesmo poder destrutivo de uma bomba física. Sobre o livro O livro Countdown to Zero Day: Stuxnet and the Launch of the World’s First Digital Weapon descreve o funcionamento do malware Stuxnet, que atacou centrífugas de enriquecimento de urânio do Programa Nuclear Iraniano, mas também discute todos os aspectos táticos e estratégicos associados àquela que é considerada a primeira arma digital de guerra já usada numa ação contra um Estado nacional. O livro contém todos os elementos de um thriller que captura a atenção do leitor desde a primeira página. O livro trata do surgimento da primeira arma digital do mundo, o Stuxnet, desde suas origens nos corredores da Casa Branca até a execução do ataque a uma usina atômica no Irã. Sua existência começou a se tornar pública em 2010, após inspetores da Agência Internacional de Energia Atômica (IAEA) perceberem que as centrífugas de uma usina iraniana de enriquecimento de urânio estavam falhando em um ritmo sem precedentes por razões absolutamente desconhecidas. Cinco meses depois – em um evento aparentemente não relacionado -, uma empresa de segurança em Belarus foi chamada para solucionar problemas em computadores no Irã. Nesses computadores eles encontraram um malware que, inicialmente, pensaram se tratar de uma ameaça simples e rotineira; mas análises mostraram se tratar de algo misterioso, e de complexidade sem precedentes. O livro cita em detalhes o trabalho realizado por analistas de segurança da informação e analistas de sistemas de controle industrial (SCADA) para dissecar e desvendar esse malware. Além disso, “Countdown” fala sobre a Guerra Cibernética, seu desenvolvimento e o mercado de compra e venda de códigos maliciosos. Sobre o entrevistado Alan Oliveira é Engenheiro, mestre em Engenharia Eletrônica na área de sistemas inteligentes e doutorando na UFRJ. Atuou por 7 anos como oficial da marinha nas áreas de sistemas de armas e comunicações. Atualmente é professor na Marinha do Brasil, onde ministra as disciplinas de controle de sistemas, guerra eletrônica e sistemas de comunicação. Desenvolve em seu doutorado uma pesquisa voltada para a segurança de sistemas de controle e automação.

Nesse episódio, Alan Oliveira, que é o responsável pela tradução do livro, comenta sobre a abordagem abrangente quanto à Segurança da Informação adotada na obra, detalhando uma série de conceitos sobre segurança, como confidencialidade, criptografia, controle de acesso, integridade de dados, riscos, ameaças (BOTNET, worms, trojans) e as possíveis contramedidas que devem ser utilizadas para proteção contra tais ameaças. Além disso, o livro discute como a segurança da informação tem sido uma grande preocupação, sobretudo no ambiente corporativo, onde a perda, o vazamento ou o comprometimento da integridade de informações pode gerar um grande impacto no negócio. Sobre o livro A obra é uma tradução para o português do livro Foundations of Information Security: Based on ISO27001 and ISO27002 escrito por Jule Hintzbergen, Kees Hintzbergen, André Smulders e Hans Baars. Trata-se de um guia preparatório altamente recomendado para os interessados em realizar o exame de certificação EXIN Information Security Foundation e para aqueles que pretendem iniciar na área de Segurança da Informação. O livro Fundamentos de Segurança da Informação compõe o material didático do curso Curso Oficial EXIN Information Security Foundation oferecido pela Clavis e direcionado aos profissionais interessados em se preparar para o exame de certificação homônimo. Sobre o Entrevistado Alan Oliveira é Engenheiro, mestre em Engenharia Eletrônica na área de sistemas inteligentes e doutorando na UFRJ na área de Guerra Cibernética. Atuou por 7 anos como oficial da marinha nas áreas de sistemas de armas e comunicações. Atualmente é professor na Marinha do Brasil, onde ministra as disciplinas de controle de sistemas, guerra eletrônica e sistemas de comunicação. Desenvolve em seu doutorado uma pesquisa voltada para a segurança de sistemas de controle e automação.

Neste episódio, Paulo e Rafael Barros, instrutor da Clavis, analisam uma boa ideia: A certificação EXIN Information Security Foundation baseada na ISO/IEC 27001. Esta certificação é a base para as demais certificações em Segurança da Informação, pois, apresenta os processos operacionais de SI listados nas ISO/IEC 27001 e ISO/IEC 27002. Eles analisam o conteúdo do curso, incluindo o livro recomendado pela EXIN e os benefícios da certificação para os profissionais da área, destacando: Diferenças entre as ISO e como elas se complementam; Foco na implantação dos controles sugeridos para um SGSI (Sistema de Gestão da SI); Uso de experiências reais para apresentação dos controles. Sobre o curso Rafael explica que durante o treinamento preparatório para a certificação Information Security Foundation (based on ISO/IEC 27002), o aluno vai se familiarizar com um conjunto de termos comuns à área de Segurança da Informação e que fazem parte do escopo do exame, além de receber capacitação em tópicos correspondentes aos requisitos do exame, como conceito e valor da informação, aspectos de confidencialidade, definição de ameaça e risco, e o relacionamento entre ameaças, riscos e confiabilidade da informação, entendimento sobre política de segurança e organização de segurança, gerenciamento de incidentes, medidas de segurança física, técnica e organizacional, leis e regulamentos. Qual é o público-alvo dessa certificação ? A certificação é indicada para todos os profissionais que trabalham com informações sensíveis, desde o pessoal administrativo até o CEO. Sendo esta certificação, portanto, um excelente ponto de partida para pessoas que queiram começar a atuar na área de Segurança da Informação. Sobre o entrevistado Rafael Luiz de Barros é tecnólogo em Gestão de TI, pós-graduado em Gestão de Negócios pelo IBMEC, certificado PMP desde 2012, profissional de segurança da informação desde 2006. Auditor Líder ISO 27001 pela Modulo Security. Instrutor ISO 27001, CoBIT 5 e ITIL V3. Foi o analista responsável pela auditoria interna de segurança da informação da Contax de 2007 a 2009 e atuou nos planos de ação de diversos produtos, incluindo operações de bancos, cartões de crédito, planos de saúde e telefônicas. Como consultor e gerente de projetos na Cipher S/A atuou em projetos de mapeamento de riscos do programa KM de Vantagens da Ipiranga, em projetos de certificação PCI DSS e em projetos de implantação de tecnologias, incluindo Petrobras, Eletrobrás, MRS e CSN. Atuou também com projetos de Privacy e FATCA na Prudential do Brasil. Áreas de atuação: Gestão de Segurança, Continuidade de Negócios, Gestão de Riscos, Governança de TI e Gestão de Projetos.

Neste quinquagésimo e comemorativo episódio, Paulo Sant’anna recebe novamente Carlos Botelho, Gerente Técnico de Contas da MarkMonitor, para uma conversa bastante interessante a respeito dos Serviços de Proteção de marcas. Carlos explicou que o Serviço de Proteção de marcas foi criado pela própria MarkMonitor no ano 2000, tornando-se líder mundial no que tange ao monitoramento do uso de marca de terceiros na Internet. O serviço atua na identificação de infrações e situações com determinada marca de uma empresa sendo utilizada indevidamente por outros como, por exemplo, em registro de domínios, logotipos utilizados no conteúdo de sites, páginas e anúncios falsos. entre outros exemplos. Durante o podcast, Carlos apresentou cada módulo que compõe o Serviço de proteção de marcas. São eles: Módulo Websites - Módulo criado para a monitoração do uso da marca em registro de domínios, em conteúdo de sites e logotipos sendo utilizados indevidamente. Módulo MarketPlace - Responsável por realizar a monitoração de 98% dos sites de comércio eletrônico com mais tráfego no mundo e identificar anúncios de vendas de produtos falsificados e indevidos. Módulo Social Media - Realiza o monitoramento das redes sociais como blogs, fóruns de discussão e as principais redes sociais do mundo no intuito de identificar páginas falsas e que estejam utilizando as marcas de forma indevida. Módulo Paid Search - Módulo desenvolvido para monitoração de anúncios pagos nos buscadores que utilizam marcas de forma indevida e redirecionam tráfego para páginas falsas ou para um site competidor, por exemplo. Módulo Mobile Apps - Realiza a monitoração as lojas de aplicações móveis para celulares e tablets em busca de apps que estejam utilizando indevidamente a marca ou que sejam falsas. Ao final, Carlos explicou a respeito da implementação da solução, que é baseada em Software como Serviço (SaaS), não sendo necessária qualquer instalação no ambiente do cliente. A Clavis Segurança da Informação é parceira oficial da MarkMonitor e a principal representante no Brasil. Para saber mais sobre o serviço de proteção de marcas oferecido pela Clavis, clique aqui. Carlos Botelho é Gerente Técnico de Contas da MarkMonitor, Inc., parte da Clarivate Analytics, baseado em Boise, estado de Idaho, nos Estados Unidos. Pelos últimos 7 anos, ele vem trabalhando na área de proteção de marcas, antifraude e gestão de domínios, além de já ter atuado como Analista de Proteção de Marcas, Gerente de Serviços de Anti-Fraude e Gerente de Serviços de Domínios. Carlos também é advogado desde o ano 2000 e possui mestrado em Direito (LL.M) obtido na Faculdade de Direito J. Reuben Clark da Brigham Young University, em Provo, estado de Utah, no Estados Unidos.

Neste episódio, Paulo Sant'anna recebe Carlos Botelho, Gerente Técnico de Contas da MarkMonitor para uma conversa a respeito das Soluções de Anti-fraude e proteção de marca para grandes empresas. Inicialmente Carlos explicou a respeito de fraudes, as principais ações que podem caracterizar uma e os tipos mais comuns. As industrias financeiras, comércio e prestação de serviços foram citadas como alvos constantes das tentativas de fraudes e o Phishing, técnica utilizada por cibercriminosos para tentar obter dados e informações por meio de e-mails e páginas falsas utilizando marcas famosas, o meio mais utilizado atualmente. Durante o podcast, Carlos apresentou a solução da MarkMonitor de anti-fraude, que faz a detecção de ataques de Phishing e Malware e de proteção de marca, que oferece acompanhamento de vários ambientes na internet, tendo uma abrangência multicanal, monitorando o uso da marca por terceiros não somente na gestão do registro de domínios bem como em anúncios pagos em motores de busca e nas redes sociais. A Clavis Segurança da Informação é parceira oficial da Markmonitor e a principal representante no Brasil. Carlos Botelho é Gerente Técnico de Contas da MarkMonitor, Inc., parte da Clarivate Analytics, baseado em Boise, estado de Idaho, nos Estados Unidos. Pelos últimos 7 anos, ele vem trabalhando na área de proteção de marcas, anti-fraude e gestão de domínios e já atuou como Analista de Proteção de Marcas, Gerente de Serviços de Anti-Fraude e Gerente de Serviços de Domínios. Carlos também é advogado desde o ano 2000 e possui mestrado em Direito (LL.M) obtido na Faculdade de Direito J. Reuben Clark da Brigham Young University, em Provo, estado de Utah, no Estados Unidos.

Neste episódio Paulo Santanna recebe mais uma vez o Prof. Alan Oliveira, tradutor do livro Fundamentos da Segurança da Informação que se encontra na sua 3ª edição. O livro aborda como a segurança da informação tem sido uma grande preocupação, sobretudo no ambiente empresarial, onde a perda ou vazamento de informações pode gerar um grande impacto no negócio. O livro é referência para o curso de Fundamentos da Segurança da Informação promovido pela Clavis, que visa preparar o aluno para o exame de certificação ISO 27001 e 27002. Qual é o público alvo do livro/curso ? Inicialmente quando foi publicado, o livro era direcionado para profissionais interessados em se preparar para o exame de certificação ISFS da Exin, utilizando as normas da ISO 27001 e 27002. Porém o livro também se tornou referência e adequado para todos os profissionais que almejam aprender sobre segurança da informação pois o livro fornece um entendimento básico sobre os fundamentos de segurança em TI. O que o leitor pode esperar encontrar no livro ? O livro aborda a segurança da informação de uma forma abrangente, detalhando uma série de conceitos sobre segurança, como confidencialidade, criptografia, controle de acesso, integridade de dados, riscos, ameaças(BOTNET, worms, trojans) e as possíveis contramedidas que devem ser utilizadas para proteção contra tais ameaças. Quando o livro/curso será lançado? O lançamento do livro/curso está previsto para o segundo semestre de 2017. Alan Oliveira é Engenheiro, mestre em Engenharia Eletrônica na área de sistemas inteligentes. Atuou por 7 anos como oficial da marinha nas áreas de sistemas de armas e comunicações. Atualmente é professor na Marinha do Brasil, onde ministra as disciplinas de controle de sistemas, guerra eletrônica e sistemas de comunicação. Desenvolve em seu doutorado pesquisas voltadas para a segurança de sistemas de controle e automação.

Willian Caprino recebe Carlos Caetano, Diretor regional do PCI Council no Brasil e América Latina, para uma conversa sobre o PCI-DSS, tema também abordado no SegInfocast #38. Ao longo da conversa foi possível discutir diversos aspectos dos padrões de Segurança da Indústria de Pagamentos no mercado brasileiro. O que é o PCI Security Standards e quando foi criado? Carlos explica que não existia nenhum padrão de segurança para a indústria de meios de pagamento, Cada bandeira possuía as suas próprias regras, muito semelhantes umas com as outras. Então em 2006, Visa, Mastercard, American Express, JCB e Discover decidiram fundar o PCI Council, criando o padrão único de segurança para meios de pagamento, conhecido popularmente como PCI-DSS. Como o PCI Council pode ajudar o mercado brasileiro de cartões de pagamentos ? O PCI Council vem trabalhando com o objetivo de promover treinamento e certificações de segurança para que possa ajudar as empresas de cartões nacionais na luta constante contra o crime nos meios de pagamento. Carlos reitera a importância do mercado de cartões brasileiros em padronizar as suas regras de segurança conforme os requisitos estabelecidos pelo PCI. E as pequenas e médias empresas, como o PCI pode auxiliá-las ? Carlos relata que os atacantes têm tido como alvo não só as grandes empresas mas também os pequenos e médios negócios e, da mesma forma, o PCI se preocupa em assessorar essa grande fatia do mercado, trazendo uma linguagem simples que permita o fácil entendimento para o empreendedor, de modo a alertá-lo sobre os riscos de segurança que envolvem o seu negócio em relação aos meios de pagamento. Para ajudar as empresas a atenderem os requisitos do PCI, a Clavis oferece uma série de serviços e produtos como o Octopus, que acompanha e monitora os acessos aos recursos de rede; o BART, que trata de gerenciamento contínuo de vulnerabilidades; Testes de invasão; Treinamentos, Análise de Gap, Análise de Riscos, Construção de documentos e outros serviços, que atendem a diversos requerimentos do PCI.

Neste episódio, Paulo Sant’anna recebe novamente o especialista em Segurança da Informação Rodrigo "Sp0oKeR" Montoro, pesquisador e desenvolvedor da Clavis para compartilhar a sua experiência em Análise de Dados para Big Data. Big Data nos dias atuais Rodrigo explica que Big Data é o resultado do imenso volume de dados gerados no dia a dia, seja através de compras online, mensagens em redes sociais ou até mesmo pequenos cliques na web, porém, o mais importante não é a quantidade de informações e sim como esses eventos são tratados. Isso vem se tornando um grande desafio para as empresas visto que a análise e triagem dos dados requer muito tempo e trabalho. Este cenário têm um papel fundamental na estratégia de segurança da informação das organizações. Para mais informações sobre segurança em Big Data conheça a solução Octopus tema do seginfocast #31. Jornada de Geração de Evento A jornada de geração de eventos se inicia pela definição da superfície de ataque, quais tipos de eventos serão captados e como isso será efetuado. O próximo passo está relacionado ao enriquecimento dos dados, isso se dá através da estruturação e agregação dos eventos. Em seguida temos a etapa o onde analista SOC dispara um script que define prioridades para alertas de eventos baseados em pesquisas básicas, regras de negócio e muito mais. Se você quer saber mais detalhes sobre a solução SOC , visite o site da Clavis! Onde entraria a automação ? O processo de triagem de eventos pode ser uma tarefa extremamente prolongada e custosa para os analistas, pois com Big Data a geração de alertas tende a ser bastante numerosa, e é nesse momento que a automação pode nos beneficiar com agilidade, processos multitask, e eliminação de eventos de baixa relevância. Qual o funcionamento de um bot nessa jornada ? O bot atuará como um auxiliador do analista, uma das possibilidades de uso é operá-lo como um filtro extra, que irá retornar metadados para serem melhor aproveitados. Outra possibilidade é fazer com que o bot interaja com os usuários do sistema, para que desta forma possa resolver processos mais simples sem qualquer intervenção humana.

Neste episódio, Paulo Sant’anna recebe novamente Geraldo Bravo, engenheiro de pre-vendas da Cyberark para continuar a conversa sobre Ransomware, assunto já abordado no SegInfocast #41 com Carolina Bozza. O que é o Ransomware? Geraldo explica que é o ransomware, também conhecido como vírus de resgate, é uma ameaça cujo objetivo é o sequestro de dados criptografando de forma não autorizada arquivos da vítima (sistemas, documentos, entre outros) exigindo um pagamento para que se tenha acesso as informações com a revelação da chave usada para decriptar os arquivos. Quais são as principais famílias do Ransomware? Nosso entrevistado cita algumas famílias: CryptoLocker, uma das mais ativas atualmente. CryptedXXX, que além de criptografar arquivos também busca por credenciais e bitcoins, a razão que permitiu que os criminosos possam cobrar resgates sem serem identificados. Crisis, que tem a capacidade de criptografar arquivos de sistema. Um ponto interessante é o fato que o alvo dos ransomware não são somente máquinas Windows, mas também outros sistemas operacionais como o Mac e Android. Os vetores de ataque do Ransomware Mesmo com várias tecnologias de proteção, o e-mail (phishing) ainda é a forma mais utilizada para os ataques. E são utilizados executáveis e também documentos e scripts infectados. Quais são as medidas para frear a ação desses ataques? A primeira medida é a prevenção através de controle de e-mail e conscientização. O segundo passo é a contenção para evitar a propagação da ameaça na rede, impedindo a comunicação com o servidor na internet, para a criação das chaves de criptografia, porém alguns ransomwares já possuem uma chave padrão. Outras ações recomendadas são o monitoramento a nível de arquivos e também o conceito de privilégio mínimo necessário, para evitar uma infecção altere outros processos importantes no sistema. O que podemos esperar para o futuro? Geraldo acredita que a Internet das Coisas aumentará ainda mais as possibilidades de infecção. Já existe um ransomware chamado Flocker, que consegue infectar uma smartTV, por exemplo. Uma outra novidade é o RaaS (Ransomware-As-A-Service), onde você pode escolher a ameaça mais adequada ao seu objetivo, criando uma variante exclusiva para o comprador. Geraldo Bravo é engenheiro de pré-vendas da Cyberark com experiência de mais de 10 anos na área de redes e segurança da informação. Atuou em outras áreas como Gestão de Projetos e Gestão de Equipes e possui diversas certificações de segurança da informação.

Nesta nova edição do SegInfocast, o entrevistador convidado Willian Caprino bate um papo pela primeira vez com Davidson Boccardo, Coordenador da Green Hat Labs, profissional com mais de 10 anos de experiência em análise e proteção de software e engenharia reversa para uma conversa sobre Análise de Código e Segurança de Software. Qual a importância da análise de código e segurança de software"? Davidson sinaliza que embora haja treinamento e conscientização em segurança da informação, é muito fácil encontrar softwares desenvolvidos de forma insegura, sem seguir as melhores práticas como as o OWASP. Para cobrir essa lacuna, a Clavis Segurança da Informação lançou o serviço de análise de código e segurança de software com o objetivo de identificar vulnerabilidades em aplicações nas suas diversas fases, desde a arquitetura de segurança do software, análise dos códigos, identificação de vulnerabilidades associadas a falhas de implantação, configuração e operação do software e por ultimo avaliação da aplicação em seu ambiente de operação e a utilização de ferramentas de proteção de software. Qual a relação entre este serviço e o desenvolvimento de aplicações seguras? O serviço visa identificar as vulnerabilidades em um software desenvolvido para fins de compliance ou verificação, já o desenvolvimento seguro exige que os princípios da segurança sejam aplicados desde a concepção do software, com a correta especificação de requisitos de segurança e a correta concepção de uma arquitetura de segurança. Após a concepção do software seguro, é importante que a implementação do código siga as boas práticas de codificação segura, garantindo que falhas típicas de programação não ocorram. Dependendo do contexto da aplicação, além da concepção e codificação segura, é importante avaliar o ambiente na qual a aplicação estará exposta, de modo a protegê-la contra situações atípicas ou adversas, e ao mesmo tempo garantir o correto comportamento da aplicação. Relembre os outros episódios apresentados por Davidson Boccardo: Seginfocast #19 – Análise Forense Computacional SegInfocast #21 – Lançamento do livro Guerra Cibernética SegInfocast #23 – Análise Forense Computacional II SegInfocast #32 – A importância de desenvolver sistemas seguros, do projeto à produção Sobre o entrevistado Davidson Rodrigo Boccardo é Doutor em Engenharia Elétrica pela Faculdade de Engenharia de Ilha Solteira UNESP (2009), com período parcial na University of Louisiana at Lafayette, na qual trabalhou em engenharia reversa de artefatos maliciosos no Software Research Lab do Computer Advanced Center Studies. Entre 2010 e 2015 coordenou o projeto "Segurança de Software em Medidores Inteligentes" no Instituto Nacional de Metrologia, Qualidade e Tecnologia - Inmetro, com a publicação de mais de 50 artigos científicos. É atualmente o Coordenador do Laboratório de Análise de Código e Segurança de Código da Green Hat - Segurança da Informação. Também é instrutor da Clavis - Segurança da Informação na trilha de Forense Computacional, Testes de Invasão e Desenvolvimento Seguro. Possui certificações CHFI (Certified Hacker Forensic Investigator) pela Ec-Council e Secure Programming pela EXIN.

Nesta nova edição do SegInfocast, Paulo Sant'anna recebe pela quarta vez, Yuri Diógenes, Mestre em CyberSecurity e instrutor do curso oficial CompTIA Security+ pela Clavis Segurança da Informação para um bate-papo sobre as novas certificações de Segurança da Informação do mercado. Quais são as novas certificações de Segurança da Informação? Yuri comenta sobre uma nova certificação chamada CyberSec First Responder, criada para atender uma demanda crescente das empresas, antes focadas somente na prevenção, que é a resposta efetiva aos incidentes de segurança da informação. Ele cita ainda a novíssima certificação da CompTIA CSA+ (que será lançada no primeiro semestre de 2017), cujo foco é cibersegurança, indicada como sendo um segundo passo após a CompTIA Security+ . Se desejar, poderá prosseguir com a CompTIA CASP. A prova prática, com simulações, possui 4 domínios (gerenciamento de ameaças, gerenciamento de vulnerabilidades, resposta a incidentes de segurança e arquitetura de segurança e ferramentas. Recentemente Yuri foi entrevistado pela CompTIA para o eBook que cobre a importância do profissional certificado na área de segurança da informação. Para acesso ao e-book, clique aqui. Livro e curso oficial do CompTIA CSA+ no Brasil? Ano que vem, Yuri pretende lançar mais um livro, desta vez relacionado a nova certificação CompTIA CSA+, que será usado como base para mais um curso oficial CompTIA, pela Clavis. Sobre o entrevistado Yuri Diógenes é Mestre em CyberSecurity, possui MBA pela FGV, pós graduado em Gestão de TI e atualmente ministra o curso oficial CompTIA Security+ na Clavis Segurança da Informação.