A maior praga de 2016 vem com mais força em 2017

Não há dúvidas que o tema “fake news”, ou notícias falsas ganhou uma dimensão estratosférica em 2016, ao ponto de Mark Zuckerberg ter que vir à público falar sobre o assunto, e explicar como o Facebook planeja criar contramedidas que diminuam a quantidade de fake news. Fake news nada mais é que a evolução do velho hoax, que inclusive é um tema que cai na prova de Security+ e está documentado no meu livro de Security+ da Nova Terra. Mas hoje em dia a coisa ganhou uma dimensão muito maior, ao ponto de haver inclusive gente matando outra devido a boatos em rede social, como foi o caso da mulher que foi espancada até a morte em 2014 no Brasil, depois de um boato que se alastrou via rede social ou no recente caso em Washington DC, onde um homen matou outras pessoas em uma pizzaria após ler notícias falsas em rede social.

A Internet não perdoa, e vai capitalizar aonde quer, pois vai sempre ter gente compartilhando e rindo com a desgraça do outro. Isso vai desde uma foto específica de um movimento comprometedor, mas que no fundo não parece ser o que é, até a intolerância de uma ação onde um Pai é espancado ao abraçar o filho pois alguns pensavam que era um abraço homosexual. A intolerância física e virtual vem trazendo efeitos desastrosos, recentemente uma menina aqui no Texas cometeu suicídio após ser vítima de cyberbullying. As pessoas que faziam isso chegaram até a criar um perfil falso em rede social e colocar as fotos desta menina, na página ela oferecia sexo de graça. Simplesmente incrível o nível de crueldadade.

Esse ano escrevi um artigo para o ISSA Journal sobre os cuidados em rede social, você pode baixar aqui, e tive um feedback muito positivo, inclusive de alguns policias aqui do Texas que distribuiram o artigo no departamento de TI da polícia justamente para trazer ao conhecimento de todos a importância da validação da notícia. Assim como segurança da informação de uma forma geral NÃO PODE ser apenas endereçada com tecnologia, fake news também não pode. Pois existe a questão do fator humano, que é o principal meio de proliferação da notícia.

Por este motivo não é fácil controlar a notícia falsa, pois existem duas coisas que o ser humano peca na hora que compartilha uma noticía falsa:

  • Falta de validação: infelizmente o cidadão não valida a informação antes de compartilhar. Não procura outros meios confiáveis de notícia para saber se o que ele leu é real ou não. Isso chama-se ausência de pensamento crítico (lack of critical thinking). Quando fiz meu mestrado em Cybersecurity na UTICA College, tive uma cadeira de Critical Thinking, justamente por que estavamos tratando de coleta de inteligência para uso em defesa contra ataques. Para você obter Intel (inteligência) sobre algo, você tem que validar a informação múltiplas vezes, diferentes origens até chegar a uma conclusão. Infelizmente isso NÃO ocorre no dia a dia na Internet, pois o botão “Compartilhar” está ali e é bem mais fácil um clique do que pensar de forma crítica.
  • Bias: o cidadão quando compartilha uma notícia (falsa ou não), ele o faz por que ele se identifica de alguma forma com aquela notícia. Exemplo clássico: você já viu alguém compartilhar uma matéria onde o time da pessoa levou uma goleada? Claro que não, pra que? Aquilo não faz bem ao ego. O bias de uma pessoa é o que leva ela a compartilhar algo, e muitas vezes quando o bias é mais alto que a razão, o ítem anterior acima sofre com isso, pois a pergunta que se faz é: “caramba, tenho que compartilhar isso, essa matéria fala justamente o que eu penso e o que eu sempre disse!!” Existe uma identificação pessoal e isso traz uma satisfação grande. Também estudamos isso no mestrado, onde tivemos palestra com ex agente da CIA que explicou que os agentes passam por vários treinamentos na tentativa de eliminar todo e qualquer bias antes de receber uma missão.

Infelizmente essa batalha contra notícias falsas não tem uma solução técnica fácil e do ponto de vista do usuário ainda é mais complicado pelos fatores acima citados. Então a pergunta que fica é, o que fazer? Pessoas estudadas, e principalmente profissionais da área de tecnologia deveriam usar pensamento crítico para todas tomadas de decisões (ler o livro Emotional Intelligence: Guide to Mastering Your Emotion- Critical Thinking, Raising EQ for Life Mastery é um bom começo). E lembre-se que antes de compartilhar algo, é seu dever fazer pelo menos duas coisas:

  • Validar se a notícia é válida (múltiplas origens, e se possível de diferentes nacionalidades)
  • Validar se as origens que você está utilizando não tem uma agenda pré-estabelecida onde ela vai SEMPRE enfatizar a visão dela (aqui é onde temos que colocar o bias de ladoe agir com razão e evidência concreta)

Além disso, é importante educar outras pessoas quando a isso, inclusive considere a inclusão do tema “fake news” no Security Awareness Training da sua empresa.

Posted in Uncategorized | Leave a comment

Certificação CompTIA CSA+

Hoje a CompTIA Brasil e a Nova Terra anunciaram a capa do meu novo livro que está previsto para ser lançado no Brasil em Maio de 2017 sobre a certificação CSA+.

csa2

Para saber um pouco mais sobre esta certificação aconselho ouvir o PodCast que gravei em parceria com a Clavia Segurança da Informação, neste PodCast explico mais sobre esta certificação e o objetivo da mesma.

E agora repassando uma mensagem da Nova Terra Editora:

“Você que comprou o livro Certificação Security, seja de qualquer edição, terá um desconto especial, na pré-venda do livro em Abril de 2017. Envie-nos um email para promocao@editoranovaterra.com.br para saber mais sobre este desconto.”

Já temos um grupo de estudo em formação no Facebook, junte-se a ele para ficar a par das novidades da prova, que deverá ser lançada no Brasil por volta de Fevereiro/Março de 2017.

Posted in Uncategorized | Leave a comment

Monitoramento de Segurança em Ambiente Híbrido com OMS Security

Semana passada tive a oportunidade de trabalhar no estande do time de Azure Security Center e OMS Security por boa parte do Ignite. Foi muito interessante receber o feedback dos clientes e poder demonstrar o produto para todos. Abaixo uma foto no estande de Azure Security Center com o colega AJ (PM do time de Azure Security e um antigo amigo da época do Forefront TMG – quando palestramos juntos no TechReady 2010).

wp_20160926_016

Durante o Ignite também entreguei uma sessão onde explico como usar o OMS Security durante o processo de resposta à incidente. Você poderá assistir a sessão completa abaixo:

Logo após a palestra fui diretamente para a sessão de autógrafos dos três livros lançados nos últimos 18 meses pela Microsoft Press, entre eles o mais recente de Azure Security:

20160929_130910

Veio até amigos com livros em Português (Alcance seu Melhor) para assinal (obrigado André pela presença):

20160929_130809

Sem sombra de dúvida foi um grande evento e já começamos a contagem regressiva para o ano que vem em Orlando.

 

Posted in apresentação, Azure, ignite, incidente, segurança, segurança da informação, Uncategorized | Leave a comment

Entrevista para o novo eBook da CompTIA

Hoje a CompTIA Brasil lançou o eBook que traz minha entrevista que cobre a importância do profissional certificado na área de segurança da informação.

comptia

Para baixar o eBook siga os passos abaixo:

  1. Acesse http://www.mylanderpages.com/CompTIA/CompTIA-Brasil
  2. Faça um pequeno cadastro (ignore o campo Código Promocional) e escolha a certificação que tem interesse. Em seguida clique em Enivar.
  3. Você vai ser redirecionada para uma página que tem vários eBooks (ícones sobre vários ebooks), porém o que contém minha entrevista é o que aparece na lista logo abaixo. Clique em Segurança da Informação: o caminho para ser um profissional de destaque, e vai baixar o PDF.

Boa leitura!!

 

Posted in Uncategorized | Leave a comment

Uma Nova Certificação no Mercado

Olá Pessoal,

Em Março deste ano fui convidado para fazer uma prova Beta de Segurança que estava sendo lançada pela empresa Logical Operations, o nome da prova é: CyberSec First Responder. Confesso que em Março sabia pouco sobre essa empresa, mas como recebi o convite de uma fonte confiável e gostei do assunto da prova (que era primariamente acerca de Incident Response), resolvi fazer (ora mais, por que não tentar e ver como é, já que não tinha custo?). Pois bem, ontem recebi o email com o resultado, e fui aprovado:

CyberSec

Com isso o título que recebo é o seguinte:

LO_FirstResponder

Fiquei super feliz principalmente pelo fato de que não estudei nada para prova, usei os conhecimentos que tinha para passar, e foram suficientes. Não que a prova foi fácil, mas é que já faz um bom tempo que venho trabalhando com isso, e quando estava escrevendo o livro de Security+, existe um capítulo dedicado a isso, então na época pesquisei muito e estudei muito para fazer aquele capítulo. Mas e aí Yuri, vale a pena fazer a prova? Então, isso ainda é uma aposta, acho que a Logical Operations tem uma grande base aqui nos EUA, cerca de 30 anos de experiência no mercado e tem tudo para decolar. A prova é muito boa do ponto de vista técnico, agora é preciso ver como o mercado vai abraçar essa certificação. Pois não se trata apenas de ser uma certificação boa, o mercado tem que responder positivamente a ela e valorizar o profissional que tem esta certificação. Para mim foi interessante por fazer parte do Beta e também como uma forma de validar meus conhecimentos.

Será que devo fazer? Bem, se você mora no Brasil então acho que ainda é prematuro fazer, pois provavelmente aí nimguém conhece essa empresa. Agora, se você quer apenas obter os conhecimentos de Incident Response, essa pode ser uma boa. Agora se você quer obter os conhecimentos de Incident Response e ter a garantia que o mercado reconhece a certificação, então faça a prova GIAC Certified Incident Handler (GCIH) da GIAC.

Tu tem essa prova de GIAC, Yuri?
Cara, tenho não.

Por que macho?
Bem, por que o investimento para tê-la é alto, não me traz um retorno imediato e no momento não é minha prioridade.Como disse, fiz a CyberSec First Responder pois foi free, era Beta e era uma chance única de participar.

Essa semana recebi um e-mail de um leitor sobre esta questão de onde investir (CISSP ou CEH), e minha resposta foi:

Tudo neste momento é uma questão de você escolher baseado em um plano futuro e uma realidade atual, se pergunte:
– Aonde você quer chegar nessa área?
– Se você investir 6 meses estudando para CISSP, terá um retorno em 6 meses ou terás que amadurecer ainda como profissional para ter retorno? Baseado nesta resposta se pergunte: vale a pena o investimento?

Isso é o que chamamos de self assessment, somente você tem a capacidade de fazer este self assessment e olhar para os planos atuais, como executar e qual a visão de futuro (aonde quer chegar). Pode parecer uma resposta vaga, mas como eu disse, neste momento é preciso que você avalie o custo benefício do investimento e o quão está disposto a investir em algo que potencialmente não terá o retorno desejável em 1 ou 2 anos.

É por aí pessoal, estou aqui hoje apenas compartihando o fato do nascimento desta nova certificação, não estou vendendo ou recomendando que você faça, trata nada mais nada mesmo que um post de “awareness” acerca de algo que pode vir a ser um grande certificação no futuro…..ou não🙂

Abraços e sempre façam este “self assessment”!

 

Posted in Uncategorized | 1 Comment

Redes Sociais e Segurança

IoT, BYOD, Big Data, e mais outros jargões que temos no mercado hoje tem algo em comum: o uso excessivo de dados que podem ser obtidos nas redes sociais. No caso recente em que um jovem alemão matou vários em um cinema, ele fez uso do Facebook para atrair jovens para o local do massacre espalhando um “hoax” de que haveria algo gratuito no mall onde tinha o cinema. Técnicas de engenharia social, notícias falsas (hoax), hoje em dia os usuários de redes sociais são presas fáceis de criminosos e eles estam ficando cada vez mais inteligentes no uso desta ferramenta.

No mês passado escrevi um artigo para o ISSA Journal aqui dos Estados Unidos falando sobre os riscos das redes sociais e como manter-se seguro no uso delas. Para membros do ISSA, o download da revista é gratuito aqui. Para não membros, você pode baixar o PDF do artigo abaixo:

social

Boa leitura e mantenha-se seguro!

Posted in Uncategorized | 1 Comment

Ignite 2016

Nem acredito que estamos quase a um mês do Ignite em Atlanta, como dizemos em Fortaleza: o tempo passa avuado!!! Pois bem, se você planeja ir para o Ignite eu estarei no stand de Enterprise Mobility + Security durante boa parte da semana. Também irei ter uma sessão de autógrafos para o novo livro de Azure Security e para os livros de Enterprise Mobility (BYOD e Beyond BYOD). Na quinta, para fechar a semana irei palestrar sobre OMS Security, na sessão chamada “Mitigate datacenter security threats with guided investigation and remediation“.

Espero lhe ver por lá!

Posted in Uncategorized | Tagged | Leave a comment