RedCast #43 | O poder do básico bem feito em cibersegurança

[Música] Olá pessoal sejam muito bem-vindos a mais um radcast em seu primeiro podcast de saber segurança do Brasil bom para quem não me conhece Eduardo Lopes se ou aqui da rede belts Security E hoje vamos conversar de um tema muito interessante esse tema ele surgiu talvez acho que de todos os episódios anteriores onde nós somos conversando falando e a cada publicação nós vimos alguns né os nossos ouvintes vocês comentando e dando uma ênfase nesse tema o que que é esse tema né a gente entende que talvez nós frentes mais eficazes quando falamos de segurança que

é o que estamos falando do Poder do básico bem feito então para falar desse assunto aqui comigo trago hoje Carlos minami siso do grupo Unidas e Fernando Bruno gerente de segurança de informação na B3 e sempre comigo também Mateus Borges Obrigado Matheuzinho Fer obrigado por ter vindo Obrigado por ter assistido o convite obrigado eu agradeço aí a ao convite agradeço a redbelt e também agradeço audiência aí que tá sempre presente em nosso podcast com vocês Maravilha show de bola para o pessoal Agradeço o convite também acho que um tema super importante aí para a gente

poder discutir Sem dúvida um tema polêmico também né Muito obrigado é bem polêmico porque nós vamos falar aqui de investimentos da necessidade de investir aqui investir ali mas o que que de fato é eficaz Então antes de começar vou trazer aqui sempre um relatório que é bem interessante e dessa vez um relatório é difícil das skiller de 2023 onde foram analisado bilhões ali de dados tá eles entenderam que houve realmente um aumento no Brasil de 47,2% de tentativas de ficha comparado com 2021 ou seja nós tivemos um quase que 50% a mais de crescimento de

pegar os dados de ataques de 2021 versus os dados de ataques de 2022 e o relatório da IBM deste ano mostra que o Fishing segue com o método mais comum discriminosos obtém acesso as vítimas tá basicamente todos os ataques monitorados pela IBM no mundo inteiro em 2022 41 por cento desenvolver essa tática ou seja quase metade e no direto aqui né para primeira pergunta foi começar com você aqui depois a gente vai evoluindo quando a gente fala desses problemas primeira pergunta acho que é né o básico ali de Cyber segurança também evoluiu ou você entende

que as mesmas práticas talvez utilizadas no passado a gente fala ali do básico bem feito ainda são e podem ser empregadas atualmente Então eu acho que evoluiu sim né a gente tem coisas diferentes hoje principalmente porque a gente tá falando de nuvem a gente está falando de Inteligência Artificial a gente tá falando de automatização automatização automação dessas coisas então tá diferente mas faz 20 anos que eu trabalho na área de segurança da informação e toda vez que eu sinto para tomar uma cerveja com pessoal o pessoal da área fala cara como que vocês estão aplicando

Pet então 20 anos que eu escuto que a gente revisa acesso que a gente eu fui pego na auditoria Adivinha o Quê revisão de acesso então assim a gente sempre vê as mesmas coisas então revisão de acesso conscientização gestão de vulnerabilidade ainda quando bem feita ela ainda vale um harding bem feito ele ainda é um grande uma grande barreira para o atacante toda vez que a gente contrata um teste que a gente vê é muito legal quando o pessoal vem e fala assim cara o seu hardden é muito bem feito então assim quando você escuta

isso você fala assim poxa eu escutei demais é tipo valeu muito a pena né E você tem várias técnicas de fazer a mesma coisa com formas mais eficientes por exemplo você pode fazer um teste de invasão fazendo isso que vocês Fi então assim ó olha o teste custa 100.000 mas olha se você se você chegar nessas joinhas aqui da coroa ou nesses a Dou dois por cento de um assim em cima do meu contrato final eu já tive empresas que Chamaram chamaram os pesquisadores fala assim ó esses 20% desses 10 desafios é de vocês porque

então assim isso é muito justo então aquilo dá atrás demonstra para as empresas que a gente está interessado em fazer diferente então assim a gente continua fazendo as mesmas coisas mas como a forma mais mais eficaz então assim eu tenho muito eu acredito bastante nisso em gestão de vulnerabilidade acreditou bastante instalação de pet hardden controle de acesso acesso privilegiado isso para mim é essencial sem base é o básico a gente tem que fazer não tem jeito Isso daí é é o higiênico vamos dizer é higiênico você acha que isso precisa de dinheiro investimentos altíssimos Cara

eu acho que de fato não precisa de tanta grana assim na mesa né Eu acho que o investimento ele é necessário mas ele precisa ser bem aplicado né Eu acho que é aí com Fernando aí Bruno levantaram Bruno você pode me chamar Fernando Bruno aí acho que quando a gente olha para Pet né a gente sempre vê que óbvio né sempre existe uma dificuldade e aí são de diversos fatores legados não legados ambiente realmente se aplica ali o pet Mas também eu acho que quando a gente olha para a perspectiva ali de atacante ou como

que esses atacantes continuam fazendo esses testes e conseguindo sucesso a gente falou dos Testes de Fishing aqui né da que é realmente a primeira camada ali que o atacante vai tentar utilizar Porém isso também depende do fator humano Então o meu fator humano ele precisa ser bem treinado então precisa ter uma conscientização de segurança da informação e Óbvio que não só a questão do fator humano mas também ter aplicações de pet no meio ambiente ter correções de vulnerabilidade tem um teste de invasão Bem feito porque ainda que eu consiga obter sucesso no Fishing se eu

não tenho nenhuma vulnerabilidade por algumas camadas o atacante ele não vai conseguir ser bem sucedido e assim como qualquer prática de investimento Sabe aquele criminoso ele é um investidor se você for avaliar de maneira geral ele vai avaliar o quanto de tempo que ele precisa gastar o quanto que ele precisa investir e ele vai avaliar de fato o retorno se isso não compensar para ele ele não vai prosseguir com isso então de fato não precisa de tanto dinheiro assim na mesa e o básico bem feito se realmente norteia sobre pet sobre aplicações sobre um bom

desenvolvimento algo que já é feito no início Então por que que a gente não faz de maneira um pouco mais eficiente talvez já que a gente está desenvolvendo ali as esquiletes estão desenvolvendo Por que que a gente já nos envolve de maneira mais segura que a gente não utiliza de recursos mais básicos aí para realmente entregar um produto melhor e consequentemente muita acaba trazendo o quanto que eu Gero de Economia se eu já tô corrigindo direto em produção eu tô gerando economia absurda na ponta porque eu não preciso parar diversas outras áreas para poder corrigir

aquele problema que poderia sim ser resolvido em tempo de desenvolvimento então tem diversos pontos aqui em diversas práticas que eu acho que enquanto bem aplicada gera diversas economias para companhia e aí o seu Budget pode ser muito mais bem aproveitado e automatizado Mas a questão do investimento para mim ela é Ela é importante as pessoas colocam que é sempre o dinheiro que a gente vai investir E na verdade a gente quando a gente fala de investimento não é isso o investimento você pode dar o dinheiro que for preciso ele não vai conseguir implementar nada porque

o grande investimento é de tempo das outras equipes porque quem aplica o pet é o cara de infra quem arruma janela para o cara de infraplicar o pet é o cara de negócio que tem que falar assim olha nessa janela eu não vou colocar um novo botãozinho azulzinho aqui porque o meu cliente pediu para fazer a atualização de Pet então quando a gente fala de investimento não é um investimento que segurança vai lá e consegue porque a gente consegue dinheiro lógico cada empresa tem a sua realidade mas assim quando você leva essa essa dificuldade para

o Executivo Eu nunca vejo um executivo assumir o risco Toda vez que você leva o risco ele fala eu pago eu compro agora A grande questão é quanto que eu vou deixar de ganhar com isso porque porque o cara é desenvolvimento tem meta para bater o cara de negócio tem meta para alcançar o cara de infra tem 77 mil mudanças naquele dia então assim é esse investimento que a gente tá falando não é um investimento somente de grana mas é de quanto eu vou deixar de ganhar para fazer o bem feito E aí você tem

que ter o time de infrae o time de negócio o time de desenvolvimento neste investimento porque é eles que é um investimento é de tempo não é só de bug gente a gente fica bué gigante É lógico soluções são caras mesmo porque a gente compra tudo em dólar a gente aqui A gente sabe disso mas a o grande problema não é essa questão esse tipo de Burst é um investimento de tempo dos times eu acho que aí entra uma parte cultural muito forte também né que é tempo é dinheiro mas o siso o papel do

cinza saber e conseguir influenciar essas outras pessoas todas que são pares dele e dividem um risco ou um problema que é garantir a segurança do negócio né ele o siso que vai fazer exatamente mas ele tem um papel de influenciar investiu dinheiro investir o tempo mas mostrar o risco que as outras áreas estão correndo então dividindo esse risco na empresa que precisa ser ajustado né E até pegando um pouquinho gancho né Na minha opinião tudo depende de como você apresenta isso porque de fato quando você for lá pediu o dinheirinho uns milhõeszinhos Depende de que

forma que você apresenta isso por exemplo vão pensar que eu preciso de uma verba específica para o time de Red Team para fazer teste de invasão para cuidar de gestão de vulneidade mas quando você começa a contabilizar isso de fato o quanto que você teria que pagar por uma consultoria fazer ou o quanto que te custaria se você tivesse um comprometimento na verdade no investimento é um investimento não é não é uma grana que você vai utilizar do Budget esse dinheiro vai sumir mas sim eu estou aplicando esse dinheiro para que no fim O resultado

vai ser muito maior por exemplo né você pegar alguns milhões lá vou utilizar sei lá vou dar um exemplo 2 milhões para Redding no fim se você contabilizar isso dos Testes que você executou e do comprometimento que você encontrou que poderia ser explorado vezes multa de lgpd vezes possíveis explorações e fazer um róide disso no fim é um belo investimento Então depende de que forma que você apresenta isso isso vai para reddin isso vale coaching por exemplo quantos ataques nós recebemos durante um mês bloqueando de fato quanto que isso de retorno de fato eu tô

trazendo para o negócio então de fato não tô só utilizando o dinheiro para investir em segurança mas o quanto que eu tô trazendo em benefício para o negócio como um todo segurança não é só apenas tecnologia não é só segurança Mas de fato também é um papel estratégico do negócio Total a gente tem um time de grc aqui né governança compliance e o Clóvis que é o nosso coordenador de gripe ele fala muito nisso que é o retorno não é em receita em custo evitado é você evitar que aquele risco seja efetivado e você Evita

o custo de resposta incidente de impacto em marca em Bolsa de Valores etc isso mesmo é isso mesmo mantendo essa parte aqui da de investimento de ver várias empresas aí de cortes grandes ou médios ou que já sofreram mais de dois ou três ataques ou seja eles têm o budge eles têm um investimento o que que é no final do dia então essa daí é mais uma prova de que talvez não é o Bullet né não é aonde aplicar talvez é como aplicar é mentalidade do negócio não é o dinheiro não é a tecnologia porque

assim até mesmo a pior das tecnologias que você tem ali ela vai fazer o trabalho dela de alguma maneira é como a gente gerencia isso é como a gente traz visibilidade porque a gente às vezes fica querendo depois que acontece provar as coisas mas A grande questão é dar visibilidade se você tiver se você conseguir medir se você tiver métricas você consegue nenhum mais uma vez nenhum executivo gosta de assumir risco porque lá em cima a palmeira balança muito mais e não quer mesmo analogia são horríveis Essa eu gostei lá em cima mas ele não

quer assumir risco então quando ele vê aquilo incomoda e quando incomoda ele quer tratar ninguém gosta de olhar o seu relatório vermelho então assim visibilidade então a gente esconde as coisas a gente tem medo de falar porque e é isso é grande problema então assim não é somente dinheiro dinheiro é um problema eu tenho certeza que tem muita empresa que não tem Uber a gente que a empresa b a gente sabe que é um problema a gente sabe que tempo qualificação da equipe ferramental também é um problema mas não é só isso é muito complexo

n variáveis para a gente poder resolver o problema Por isso que é difícil por isso que a gente vê o que tá acontecendo agora não é culpa de uma só pessoa não é culpa sua de uma tecnologia não é culpa sua mente de de um de um investimento mal aplicado Não é só isso tem muito mais coisa por trás por isso a gente fala de novo do básico né É isso aí e até complementando aqui acho que no Vale citar nomes aqui né mas eu já posso ir por alguns casos onde eu fui contratado pelo

comitê né de risco ali o conselho etc onde o objetivo era realmente testar segurança né existia um investimento absurdo ali existiam mais de 50 pessoas no time de segurança onde eu fui contratado com o objetivo de testar se realmente a segurança estava aderente né entregar um notebook Como 0 de investimentos sem credenciar o privilegiada onde eu consegui sim comprometer 40% do ambiente então não se trata só de dinheiro sim de que forma que é aplicado né então é de fato o básico ele precisa ser bem feito e às vezes a gente está pensando em diversas

tecnologias mexes pto Crush Inteligência Artificial e às vezes eu não tô olhando para o básico dentro de casa e de Fato né a gente costuma olhar para Nova tendências novas tecnologias mas eu não vou olhar para isso se eu não tô fazendo o básico dentro do espaço é que olhar para as novas tecnologias é legal é muito mais fácil é muito mais sexy do que a gente fica olhando para o Arden Mas é verdade tipo você fala até com vergonha então assim não dá identidade É então assim a gente a gente não é sexy né

então assim a gente tem que valorizar essas questões né então é realmente isso que você trouxe quer ver o que que é menos sexo do que isso ainda vamos criar processos e políticas de segurança cara todo mundo sai na mesa na hora cara na hora e a gente volta tirando talvez mudando viés de básico prações de segurança mas um básico para estratégia de segurança quando a gente fica uma coisa que a gente fala que praticamente todo radcast é o tripé pessoas processos e tecnologia para mim esse é o básico de quem quer criar uma política

uma estratégia de segurança é olhar para esses três essas três vertentes quando a gente fala de investir o dinheiro suado dinheirinho sabemente você comprar só tecnologia você vai se ferrar a gente tá falando aqui mais cedo sobre deve ser copos você comprar uma ferramenta da arte implementar e largar não vai fazer efeito nenhum se você não tiver uma política correta acompanhando as pessoas que sabem usar aquilo e usar aquele site que você tira da ferramenta cara boa boa pegada eu tava aqui pensando que eu tava falando também de outros básico né Aqui tem que fazer

de básico bem feito que também não é sexy e na verdade é um porre olhar para fornecedores olha para terceiros quem em algum momento vocês ouvem falar disso Tipo agora estou analisando ou criando métricas de como que o terceiro irá conectar o meio ambiente é complexo e a gente é uma das coisas que eu vejo a gente é isso daqui é uma grande exemplo de erro é um grande exemplo de investimento mal feito porque você como uma empresa que fornece serviço Você deve receber questionários das empresas mas sim todos aí o pessoal Repassa para gente

tá se você presta serviço para instituições financeiras essa instituições você recebe um questionário quase as mesmas perguntas e aí todo mundo recebe essa informação você é cada empresa vamos supor que você tem 70 clientes eles te mandam 70 questionários você responde 4.499 questões cada um te avalia de uma forma cada um tem um item olha quanto essa 70 empresas gastaram Ou investiram quer gastar mesmo gastou energia gastou dinheiro em avaliar uma mesma Beleza se todo se tivesse uma coisa que valiasse isso de uma forma única você ou alguém que fala eu avaliei já esse cara

eu não preciso avaliar porque Fulano já avaliou tá aqui você economizaria muito dinheiro então assim esse é um processo de que a gente tem uma grande oportunidade para quem conseguir capitalizar isso que não é só uma questão discórdia empresa mas é uma questão de governança de produto quando alguém conseguir trazer essa visão ele vai economizar um dinheiro de todas essas empresas porque essa 70 empresas que eu tenho lá 400 500 fornecedores Imagina eu mando todo ano lá uma avaliação Para ele eu gasto muita energia aqui só que todo mundo faz a mesma coisa com esses

mesmos fornecedores é um absurdo o quanto que a gente gasta de energia para mesma coisa então eu bato muito nessa tecla e eu acho que tem que ter um selo tem que ter alguma instituição que fala assim olha por exemplo olha eu tenho a ISO hoje vamos eu tenho a ISO não quer dizer nada o cara te mando questionário ainda do mesmo jeito é Talvez um menorzinho talvez menorzinho com menos questões mas ele continua mandando um questionário então assim Precisa ter um selo falando ó Essa empresa é autenticada pelo Framework ou pela Org x e

aí a gente vai ter que essa ordem vai ter que ter um seguro bem caro porque se tem algum vai fazer mas ela vai ter que demonstrar isso porque do jeito que a gente tá fazendo não é eficaz a gente só tá fazendo e cumprindo metodologias cumprindo processos e a gente faz eu sei que a gente faz muito forte isso a gente trabalha a gente leva com muita seriedade mas a gente tá gastando um dinheiro lá e outra empresa está gastando o mesmo dinheiro e aí Isso aqui é investir errado total porque assim realmente eu

juro e é sempre na mesma época geralmente avaliação de auditoria que é para bônus e tudo mais é meio que ali no primeiro quarto a hora que vem vem muito parecido então geralmente a gente pega a mais top né que a gente preenche tirar foto faz tudo mais e vai assim cara controla tem pergunta para Cida tem usa mesmo sabe porque eu falo isso porque eu respondo também esses questionários porque o mundo inteiro me manda questionário para avaliar Então chega questionários da Suíça lá de com 440 questões então vocês fala Poxa o cara tá me

mandando eu quero Estados Unidos tá me mandando no Brasil tá me mandando porque a gente também é cliente fornecedor a gente tem quando então assim eu respondo cerca de 140 questionários por ano Olha o gasto de energia se eu tivesse um selo alguma coisa que falasse assim ó a partir desse selo eu não preciso eu economizaria dinheiro economia eu poderia estar investindo sem tempo é o tempo em outras coisas eu eu assim pego bem pesado ali com os fornecedores com os parceiros justamente para saber se eles estão a ver a gente da forma que eu

gostaria né Eu concordo com o Bruno aí que realmente tem um esforço absurdo ali em cima do questionário para você ter ideia a gente avalia 34 disciplinas né de segurança mais privacidade um pouco o cara precisa preencher lá além de ele preencher ele precisa mandar a evidência é a gente não se contenta só com a resposta então e aí o que que acontece eu acho que pegando um pouco desse gancho né que o Bruno comentou Pô eu acho que um selo seria ideal mas aí eu acho que levanta algumas dúvidas aqui na minha cabeça por

exemplo pô Como que seria integridade dessas informações como que eu saberia se realmente aquela resposta ali ou aquele resultado aquela avaliação ela tá realmente integra de certa forma Será que ela não foi manipulada porque pelo menos assim quando eu olho internamente eu sei que eu avaliei e eu fui criterioso ao máximo ali e aí pegando que assim tem diversas startups no mercado né Sabe tem diversas empresas nascendo todos os dias pô Será que realmente essas empresas elas nascem já com segurança ou não realmente elas são mais com negócio mais em tentar rentabilizar ali monetizar De

certa forma né por isso que a sua avaliação tem que ter sabores sabores para quem tem governança sabores para quem tem postura então dá para você vai avaliar isso eu também acho difícil mas você falou assim ah eu pego evidência cara eu me sinto super mal eu tento abolir evidência porque eu tô pegando uma informação que não é da minha empresa e ponto dentro da minha empresa se aquilo vazar da minha empresa eu ferrei o cara Então olha o tamanho da responsabilidade eu pegar uma console do antivírus de uma outra empresa então assim eu acho

isso tudo Eu sei que não é fácil por isso que eu não consegui montar essa empresa né mas é eu acho que tem uma tem uma provocação aqui de Poxa temos um problema que todo mundo tá fazendo a mesma coisa e mesmo assim eu sendo critrioso eu buscando informação eu faço Walker eu eu visito a empresa eu mesmo eu vou lá na empresa visitar conheço eu converso com o cara sendo histórico mesmo assim ele pode fazer um produto amanhã ruim que vai ter uma vulnerabilidade que vai expor o dado isso tudo que a gente está

fazendo Não garante isso me tira o risco e traz uma tranquilidade mas não garante que amanhã um desenvolvedor só precisa um desenvolvedor vai colocar uma aplicação com injection habilitado que o cara vai fazer um acesso remoto e pegar os dados não garante nada e aí até por exemplo né você pega por exemplo empresa super grandes né globais e etc então a gente vê igual você comentou Pô a empresa tem um ISO a empresa tem um só que nível dois nível três etc etc etc pronto mas será que de fato isso é suficiente porque o que

que eu percebo tá pro mercado as empresas de médio a grande porte eles investem sim em segurança da informação mas as empresas um pouco menores elas não investem em segurança e de fato o que que a gente acaba fazendo a gente acaba abrindo a porta da nossa casa para qualquer pessoa né a gente não faz isso [Música] legal mas as mesmas vulnerabilidades tem na nuvem você vai ter um Price dance E aí de novo do básico Você concorda assim pô a gente fala de Fish abrimos aqui foi difícil também desde 1990 negócio é evolui a

quantidade de ataques segurança evoluir para caramba ferramentas e ainda de cair em ficha Ah ainda a gente cai pra caramba beleza vamos falar se é ingenuidade da pessoa se não é Sabe aquele negócio estão cada vez melhores ou mexe com ego mexe com eu querer uma televisão que não custa aquele valor mas vamos lá de novo você tiver fazendo básico ali Talvez um pouco bem feito o básico para um Fish cara talvez não é fiar talvez vai treinamentos básicos dentro de casa conscientização que você não gasta dinheiro direto essas empresas podem fazer isso Podem sim

de fato de que é uma empresa sem conscientização ela tem um risco absurdo de realmente ser comprometido através do Fish em seu óbvio né Então existe um trabalho né onde a minha perspectiva você tem que cobrir todas as áreas de segurança todos os básicos que você poderia fazer em diversas frentes Como que você pode incentivar ali para começar a tirar ou mitigar esses tipos de possíveis problemas Quando a gente fala de fator humano todo mundo está suscetível é o patrono ele gera curiosidade né sim o Fishing ele é ele é muito eficaz porque ele é

emocional Total então às vezes a gente que trabalha eu trabalho com segurança há muito tempo e aí vou contar um caos aqui né Tava eu sempre pego a estrada tô andando com meu carro então não sei o que eu tenho aquele que passa direto no pedágio e tal não sei o quê beleza e chegou uma multa para meu e-mail com uma multa falando assim você passou acima de 40 por 40 por hora no pedágio e tal não sei o quê e veio eu falei assim caramba certeza que eu passei acima de 40 né eu tinha

tinha certeza e tal com pressa e tal não sei o quê não foi 40 certinho né eu passei ali né Falei pô mas não sabia que tinha muda aí eu falei e clica aqui eu falei pô vou ver o dia e hora né Na hora que eu fui clicar na onde que falaram que tão montando agora teria que avisar aí eu fui pesquisar era um ficha eu não fiz então assim ele era totalmente emocional né o Fish ele não é um problema de tecnologia que a gente tem que chamar neurocientistas porque é tem gente eu

faço campanhas o tempo inteiro e eu acredito que a gente joga como a gente treina Então a gente tem que treinar treinar treinar treinar treinar pra gente jogar bem essa essa é uma máxima mas existem pessoas que fala assim cara eu não consigo eu clico é então assim tem uma questão de tem uma questão que é e técnicas tudo isso tem uma questão que é visceral assim tipo a pessoa tá naquele momento ruim tá naquele momento que ela que aconteceu aquilo com ela e ela vai clicar então é muito difícil você tem que trazer o

neurocientista e falar assim cara como que eu mexo com essa questão e eu sou contra já a concentração eu acho que a gente tem que não existe mais essa palavra é cultura e é diferente de conscientização vou trazer um exemplo depois eu passo a palavra para você eu vou falar a diferença de cultura e conscientização que meu filho de 8 anos me ensinou Eu tava no parque um clube você é bem rapidinho aqui e a gente toma um sorvete e eu peguei o papel no meu sorvete Eu terminei sou maior que ele né então tomei

mais rápido né e olhei em volta e não tinha lixo seletivo naquele coleta seletiva tinha um lixo normal eu fui lá joguei o meu ainda e eu tava andando e meu filho terminou o sorvete e ficou segurando o papel e eu percebi e ele continua andando a gente andou uns cinco minutinhos ele falou para pai um minutinho Ele atravessou a rua e eu quero um clube ali e tinha um lixo de coleta seletiva ele jogou lá ali eu entendi o que é a diferença de cultura e concentração Eu sabia que eu tinha feito mas se

não tá na minha cara eu não vou fazer quem tem a cultura não importa Ele vai esperar eu sei mas é isso porque a gente meu filho ele já nasceu no mundo de coleta seletiva eu aprendi depois de adulto ele já ele já sabe que na minha casa já é tudo assim na escola é tudo assim ah na empresa faz cinco anos que tiraram o lixo que ficava no nosso pé e colocaram lixo comum então assim isso é a linha é muito tênue entre conscientização e cultura o que meu filho tem é cultura o que

eu tenho é conscientização eu sabia o que tinha que fazer eu sei o que é certo se checar isso na prova tirava 10 mas na prática ele tirou 10 eu não é outra coisa cultura é diferente de conscientização por isso que a gente tem que trabalhar para cultura e assim do dia pra noite não não não não não eu sabia quantos anos não escuta falar de qualquer importante separar o lixo mas meu filho já nasceu sabendo oito anos ele já vai ser executivo né não tem como você aplicar e falar não pô eu vou sair

de nível sei lá 40 de risco aqui perante os meus colaboradores e parceiros e vou chegar lá no nível 20 em três meses é um processo que realmente leva um tempo é a questão da cultura realmente bater ali na tecla todo dia forçar a campanhas difícil para que de fato isso comecem entrar cada vez mais enraizar a cultura para que de fato ele preste atenção eu acho que esse e-mail aqui pô tá faltando algumas algumas siglas aqui no domínio que eu cuido acho que não faz sentido então e sabe qual que é uma grande questão

a gente quer que as pessoas tenham um comportamento na empresa diferente que elas têm na casa isso é um grande erro a gente falou de erros eu adoro falar de erros porque com erro que eu aprendo então eu gosto de falar dos meus fracassos e eu vejo é isso muito a gente chega na empresa e fala assim olha na sua empresa você tem que olhar algo domínio tal não sei o quê mas o cara na casa dele ele não tem um copo minha filha com 12 anos minha filha tem um copo de senhas ela tem

um copo de senhas pessoal porque ela já sabe disso eles avaliam a permissão do aplicativo com oito com 12 anos para ele me convencer deu liberar o joguinho para ele e fala assim papai esse aqui nem pega o carinha do lado ó tá vendo esse aqui não pega meus contatos Ele já sabe o que que é então assim a gente tá fazendo totalmente inverso a gente tá treinando a pessoa não corporativo de um comportamento que a gente que ela não tem na casa dela é lógico que ela vai falhar uma hora porque o comportamento tem

que vir de casa para trabalho você contrata a pessoa por esse tipo de comportamento quando você faz a entrevista você não pega o comportamento corporativo você tá atrás daquele comportamento que tem a câmera exatamente que ele tá lá para entender isso E aí você gosta de fazer ficou como resolver tal esse problemas exatamente então a gente exige que ele seja diferente na empresa do que ali na casa dele quando a gente tiver uma cultura as crianças tiverem essa disciplina de eu sou da época da educação moral e cívica né quando a gente tiver uma cultura

de aula de segurança cibernética de fazer tudo isso lá na base que nem eu falei do coleta seletiva você vai ter profissionais que vão chegar lá e vão dar aula de virgem aí a gente tá aumentando o nível de dificuldade do atacante mas a gente quer que o cara que não tem cofre de senha que a nota 100 atrás do caderno na casa dele que é reproduz a mesma senha que não habilita o segundo fator de autenticação que que passa fake News sem avaliar vai no condomínio grupo de condomínio aquela que delícia aí você fala

para ele Ó Você tem todos esses Comporta errado mas quando você passar nessa porta aqui Ah agora você vai ter o comportamento certo é impossível isso a gente está fazendo momento errado instala aplicativo Aí você olha o WhatsApp dele não tem Instagram não tenho e-mail pessoal seja o Gmail Hotmail não tem isso é verdade é isso a gente está fazendo o caminho inverno e eu falo é nós já fomos aqui diversas convidados somos pelas Nossas clientes para fazer uma conscientização né Vamos aqui fazer uma conscientização e eu reparei que quando eu fazia olhando para ficha

e olhando para não sei o que lá meu galera assim você percebia que por sete minutos começava 10 já perdi o interesse agora que você leva a mesma conscientização só que para a vida pessoal falou não vou falar nada incorporativo a galera Sorrisão aqui né WhatsApp será que eles gostam de WhatsApp mostra golpe meu não é para você se proteger você tá protegido mas ensina a sua mãe sua voz sua tia né seu pai quer quem for a pessoa falou tá me tornando melhor aqui que mais e você percebe que o cara fica olhando assim

e você ensinando não corporativo mas o pessoal é isso a gente faz o caminho inverso a gente quer que ele tem um comportamento na empresa que ele não tem na casa dele ele a gente tem que brigar para ele ter um comportamento na casa dele e esse comportamento refletir também na empresa e aí a gente tá falhando como a sociedade Como o governo como tudo a gente tem que fazer esse trabalho com as nossas crianças a gente tem que fazer esse trabalho com os mais vulneráveis é aí que a gente tem que atuar porque esse

cara que vai entrar no mercado de trabalho e aí ele vai a gente tá pegando um cara e potencializando ele colocando ele ali no nosso trabalho e a gente quer que ele muda o comportamento e aí por mais consciência que ele tenha e ele é consciente sobre aquilo ele não tem a cultura e aí a gente aí uma hora ele vai cair na falha porque eu acredito que o ser humano ele é Odeio quando as pessoas ah eu era mais fraco Ele é o mais importante quando alguém olha para você falar assim e aí seu

fraco você gosta bom a gente fala isso Agora vejo meus colegas falando não eu elo mais fraco não não é o elo mais importante o elo mais fraco é pejorativo O Elo mais importante o ser humano quando tudo falhar quando tudo falhar quando a tecnologia falhar quando o processo falhar Eu ainda acredito que vai ter um humano que vai tomar decisão correta caso do Boechat tinha caiu helicóptero tava lá tinha um monte de gente filmando aquilo teve uma mulher que foi lá abriu a porta tinha um monte de gente que falhou o processo falhou tudo

falhou mas é aquela mulher mas aquela Mas aquela mulher fez a diferença e é um ser humano e você chama aquilo de fraco ela é o mais importante então quando a tecnologia falhar quando o processo falhar Eu ainda acredito que vai ter um ser humano que vai fazer a coisa certa por isso que eu acredito no ser humano Esse é meu ponto bom ficou todo mundo quieto parei parei parei demais porque é é a gente olhar de como que nós conseguimos nos ajudar ajudar ao próximo em qualquer âmbito mas assim tecnologia dá para fazer isso

dá de novo nós falamos de investimentos Pô olha por tudo onde você passou Bruno você também né lugares Fantástico onde vocês estão hoje e parece que é o básico né Assim vocês nem conseguem mais falar de gestão de ativos de hardware de acesso os NFA já foi essa época mas sem brincadeira nós somos uma consultoria Então se vocês estão olhando para o mundo de vocês e conversando com alguns sisos que às vezes não abre a verdade e olha que a gente olha para esse mundo de empresas que a gente conversa troca ideia bate-papo ajuda não

ajuda é impressionante ainda quando a gente vê que a fishen da cultura ou conscientização são poucas que fazem olhar para garantir que aos hemefs estão todos ativos legal quando foi que checarmos de novo demora muito gente então assim até avaliação de terceiro mesmo de parceiro ali um acesso a gente não são todas as empresas fazem é são raras as empresas que fazem de fato E aí onde o Bruno comentou também pô de fato seria Será que eu sei quem eu tô colocando dentro de casa aqui porque assim qual que é o ponto né E até

pegando um gancho né porque que normalmente a gente costuma fazer toda todo trabalho de conscientização ali do nosso colaborador que é o nosso perímetro que até onde vai Talvez a nossa esfera mas eu concordo que o trabalho inverso seria muito mais efetivo então assim pô Será que eu tô colocando aqui um parceiro dentro de casa será que ele tem um mínimo de diligência frente aos riscos cibernético para realmente proteger as minhas informações eu acho que esse é uma das principais preocupações das companhias Será que realmente se acontecer algum incidente cibernético Será que ele vai ter

capacidade de se recuperar restabelecer a operação que eu contratei ou da parceria que nós temos então pô de fato o básico ele precisa ser bem feito né mas quer ver uma coisa quando eu fui contratado o eu recebi uma pergunta foi muito legal que fizeram assim ó como você configurar a Rede da sua casa a internet da sua casa e hoje eu faço essa pergunta para todo mundo que eu entrevistei porque ali fala para mim se o cara é de Cyber não porque quando o cara fala assim ó essa é ótima mas assim ó quando

o cara fala que tem uma rede de visitante que ele libera a senha que ele controla dispositivo porque cara e você eu falo para você dez que você entrevista cinco fala não do jeito que veio você veio aqui da Claro lá então não sei o quê mesmo exatamente então assim você tem essa questão que aí você vê como a gente a gente não faz isso na nossa casa então assim na época da pandemia eu arrumei muita discussão e ame muita discussão eh no meu condomínio Eu acho que eu sou odiado no condomé eu tinha que

saber que transcender do corporativo né para o pessoal porque a pessoa mandava mensagem falava é fake é fato fake botas.org loucura eu não sei o quê Olha isso olha essa informação que você tá falando não é assim que configura olha aqui ó que tá no site da Polícia assim que configura 2fa tá não sei porque não sou eu que tô falando aqui tá o site então assim você vira o chato né E aí você não quer mais gastar essa energia e aí o que eu falo não eu quero gastar eu vou nas escolas eu vou

nas palestras eu ajudo a comunidade eu eu eu eu eu escuto no condomínio eu tenho que levantar essa Bandeira né Eu acho que isso aqui que você tá fazendo que vocês estão dando isso é levantar a bandeira porque eu lembro que no passado uma pessoa fala para mim a gente fazia teatro aí ele falou assim se um bater palma você ganhou cara você ganhou você precisa então aqui se a gente mudar a concepção de uma pessoa de uma pessoa que tá ouvindo a gente falar assim poxa essa audiência incrível que vocês tem aqui falar assim

poxa eu vou fazer diferente isso foi isso tocou criminal me falou Putz É verdade pois cara é meu herói agora tal meu quando você fizer isso um aí daqui a pouco ele vai fazer mais um mais um mais um E aí a gente olhar a foto tá sendo feia mas ele é o filme é bonito demais vai ficar legal então eu gosto muito desse modelo eu acho que a gente tem que levantar a bandeira isso aqui levantar a bandeira e esse é o nosso objetivo né cara é trazer gente de mercado com experiência para agregar

para comunidade já levantaram a plaquinha ali a gente tá com tempo acabando mas eu queria puxar um negócio e é uma história de vida minha vai morei na Austrália por muito tempo e não é novidade para muita gente morena quase 10 anos né 2010 o Ministério do defesa da Austrália criou um top 35 estratégias para mitigar riscos de segurança 35 2010 2012 deram um tapa deram uma melhorada revisitaram 2017 reduziram de Top 35 para que ele chama de santiawate Então são oito estratégias de segurança e eu tava com ele aberto aqui meu celular já fechou

Vamos abrir de novo porque a gente discutiu vários dos pontos e cara se Austrália que tem parceria com Estados Unidos Inglaterra Nova Zelândia são uns que eles chamam de 5 horas né elas chegaram esse modelo para mim é o básico do básico que a gente deveria pelo menos compartilhar com a turma tá eu não vou compartilhar tudo não porque a gente já falou a maioria mas alguns deles a gente repete eles para primeiro aplication fazer uma whitelist naquilo que você conhece então essa aplicação tá conectando ao meu servidor Eu conheço ela eu libero se eu

não conheço tá fora número 2 peting de application número 3 configuração de macro e ele tá falando de Word arquivos Word a gente deveria bloquear os macros tá esse número 3 Número 4 hardden número 5 que a gente não tocou aqui é restringir privilégios de admin essencial a gente vê muitas empresas que é enfim da do administrador ali ou do cara que tem o cara service desce que tá em diante admin usa o mesmo usuário para gerenciar para acessar e para ler e-mail parece né então se ele se torna administrador dando Privilégio para o mesmo

usuário faz de tudo com é impressionante que você vê isso aí vamos lá número 6 Pet de sistemas operacionais tá dentro de pet número 7 autenticação de multifador e número 8 a gente bate nessa tecla que muito Edu adora esse que é backup diário então é a oitava estratégia do Ministério da Defesa da Austrália para mitigação de Cyber e exige tempo pessoas e assim conhecimento como que funciona o processo dependendo do tamanho da companhia você vai levar o mundo inteiro para poder fazer tudo isso entendeu então quem saiu da companhia ou como que a gente

está diligência ali do nosso parceiro que tem uma credencial uma credencial de um serviço específico a gente faz toda essa revisão e a gente vê que esses pontos que você comentou é realmente de fato é aplicado para vida real no corporativo pessoal e etc a gente tem que mais eu concordo com tudo isso que você falou e a gente tem que só colocar uma ponderação a empresa é como é um é uma entidade ela é um ser um ser vivo ela tem alma as empresas Você sabe a alma da empresa vocês que tá com 13

anos é ela tem alma e isso é super importante porque a partir daquele que a gente entende isso a gente consegue entender que tem uma evolução não adianta a gente querer que uma menina de dois anos três anos cinco anos tem uma maturidade igual uma de 40 50 anos a gente tem que parar de fazer julgamentos a gente tem que a maturidade de cada empresa cada empresa tem uma alma cada empresa é uma entidade que a gente tem que respeitar isso então a gente tem que parar de julgar a gente tem que parar de apontar

o dedo e a gente tem que começar a falar vem vem com a gente vamos fazer diferente me ajuda porque a gente pode muito como entidades fazer a diferença para uma sociedade né então a gente tem que ter muito respeito acho que a palavra eu acho que assim né pessoal sendo bem sincero e bem transparente Ninguém é perfeito é todo mundo tem quintal às vezes um pouquinho feio ali todo mundo sabe que precisa fazer né ninguém tá 100% seguro isso não existe pô realmente todo mundo está suscetível a realmente ser comprometido a ter um vazamento

de informação porque isso norteia por diversas disciplinas no ambiente não é tão fácil e nem é tão simples não existe bala de prata pra segurança empatia tá bom empatia compartilhar dados entender o que está acontecendo é normal e olhar para o próximo fazer que que você estava fazendo Como eu posso ajudar e aquilo nós como até consultoria a hora que tiver alguns ataques algumas coisas a gente não quer ser aquela é consultoria que bateu na porta para tentar vender algo Olha você conhece o rapaz ali ou conheço avisa que nós estamos à disposição é isso

recado não é nós bater uma porta para já tem 10 empresas batendo na porta avisa que nós passamos isso diariamente com empresa e que nós podemos ajudar de alguma forma sem valores sem nada vamos entender o que tá acontecendo sim eu acho que assim eu acho que enquanto o segurança a gente também precisa evoluir um dos pontos que eu pego bastante assim os atacantes eles se ajudam muito uma vez que alguém descobre uma vulnerabilidade em alguma companhia ele replica esse conhecimento para que os próximos atacantes também consigam fazer o ataque agora nós enquanto segurança acho

que não é tão unido assim porque uma vez que uma empresa ela é comprometida não é aberto ali de fato e óbvio né existe questão de governança compliance jurídica etc mas o quanto que eu poderia talvez abrir para ajudar o meu amigo o meu colega meu siso gerente etc para que ele também se previnisse ali e realmente ele não passasse pelos mesmos Desafios que talvez determinadas empresas passaram então a medida que a gente começar a mudar essa cultura esse medo ou esse ego talvez de fato a gente vai começar a evoluir muito de novo a

palavra cultura senhor eles passamos dos 45 minutos tava me olhando bravo ali já pessoal então geralmente faz ali uns 40 43 falei né para apoia voar tempo então nem se vê papo gostoso e aquilo de novo passando conteúdo A ideia é compartilhar com vocês que estamos assistindo obrigado novamente e a ideia é de fato falar de como que vocês fazem o básico podem se ajudar ajudar o próximo e garantir pelo menos ali uma noite de sono mais tranquila de novo não obrigado obrigado pelo seu tempo agradece pelo por ter vindo bom demais te agradeço ótimo

acho que muito bom aqui compartilhar poder bater esse papo legal de Fato né Quanto mais a gente conseguir alcançar propagar conhecimento fato os novos jovens aí vão estar cada vez mais pesquisando sobre o assunto muito bom Matheuzinho gostei desse daí viu e você que não tá assistindo caso a dica bem rápida tá não sei por onde começar como começar acho que você pode dividir básico talvez por dois grandes Pilares né o básico interno e o básico externo que que é o externo bom imagina alguém acessando sua casa dentro para fora que que você poderia fazer

são acessos são segundo fator de dedicação é o que que tá exposto baita formação interno é hardware é gestão de peting é o updates mesma coisa e o backup né então assim são coisinhas básicas que você olhando dividindo nesses dois grandes Pilares vai ter um norte da onde começar de novo agradeço muito participação de vocês agradeço vocês estão nos assistindo de novo isso é feito para vocês é conteúdo caso queiram ver outros episódios temos todos lá e obrigado novamente