Datacenter Próprio e Serviços em Nuvem Desafios na Segurança

1. Datacenter Próprioe ServiçosemNuvemDesafiosna Segurança Alfredo Deak Junior Diretor de Justiça e Segurança Pública - Microsoft

2. O ambiente de Nuvem está aí. Paradoxalmente o Governo precisa tirar proveito dessa nova era da tecnologia para aumentar sua capacidade computacional sazonal e para isto o ambiente de Nuvem Pública tornou-se a solução, porém deve garantir a proteção de seus ativos digitais bem como proteger a identidade e informações sensíveis do cidadão. A segurança deve ser vista de maneira mais abrangente envolvendo os ativos em Nuvem Privada e os serviços em Nuvem Pública de maneira unificada e monitorada centralizadamente

3. http://www.causabrasil.com.br/

4. Megatendências Tecnológicas Uma nova era de oportunidades para as cidades inovarem e prosperarem Big data Mobilidade Social Nuvem • 70% das organizações estão usando ou estudando soluções de computação em nuvem • O conteúdo digital crescerá para 8ZB até 2015 • crescendo em mais de 300% • desde 2011 A Geração Y representará75% da força de trabalho americana em 2025 • Em 2016, smartphones e tablets estarão nos bolsos de1 bilhão de cidadãos em todo o mundo.

5. Megatendências Tecnológicas NOVOS TIPOS DE QUESTIONAMENTOS • Como possoprevermelhorfuturosresultados? • Como euotimizominhafrota com base no climaounospadrões de tráfego? • Qual a aceitação social da minhagestãoouprojeto? Análiseavançada ANÁLISE SOCIAL & Web Feed real de dados

6. MEGATRENDS Cloud Rupturaconstrutiva On-premises Low-cost computing in the enterprise Cloud computing Big Data analytics Innovation for growth Consumerization of IT

7. Principais tendências que afetam a segurança • Consumerização de TI (BYOD) • Ataques direcionados • Ambiente centrado em identidade • Computação em nuvem • Questões de conformidade/regulamentação

8. Ambiente Próprio x Nuvem VocêGerencia VocêGerencia VocêGerencia VocêGerencia • Infraestrutura • (as a Service) • Em casa • Plataforma • (as a Service) • Software • (as a Service) TerceirosGerenciam TerceirosGerenciam TerceirosGerenciam Aplicações Aplicações Aplicações Aplicações Dados Dados Dados Dados Runtime Runtime Runtime Runtime Middleware Middleware Middleware Middleware O/S O/S O/S O/S Virtualização Virtualização Virtualização Virtualização Servidores Servidores Servidores Servidores Armazenamento Armazenamento Armazenamento Armazenamento Redes Redes Redes Redes

9. Segurança Física Segurança de perímetro Monitoração abrangente Sensores Capacidade de crescimento Supressão de incêndio Autenticação multi-fator

10. Procedimentos Seguros Certificadosconsolidados CERT MERCADO REGIÃO SSAE/SOC Finance Global ISO27001 Global Global EUMC Europe Europe FERPA Education U.S. FISMA Government U.S. PCI CardData Global HIPAA Healthcare U.S. HITECH Healthcare U.S. Start = dense and mature markets SCALE = based on lessons learned ITAR Defense U.S. Certificados específicos FFIEC Finance U.S. HMG IL2 Government UK FISC Japan-Finance U.S. CJIS Law Enforcement U.S. IRS 1075 Tax/Payroll U.S. CNSS1253 Military U.S.

11. Por que ser verificado de forma independente? “Confiança e credibilidade são conquistadas” Alinhamento e adoção de padrões da indústria garantindo um conjunto abrangente de práticas e controles para proteger dados confidenciais As verificações independentes de terceiros sobre controles de segurança, privacidade e continuidade são imprescindíveis para a credibilidade Transparência Isto poupa aos clientes tempo e dinheiro 11

12. Registrado como Service Request Auditável Disponível como relatórios self-service Operações Automatizadas Pedido de acesso Lock Box: Role Based Access Control Rede de gestão e suporte Datacenter Nuvem Concede Privilégios Temporários Concede privilégio mínimo necessário para completar a tarefa. Verifica elegibilidade, checando se: Background checks de funcionário foi concluído Impressões digitais foram coletadas Treinamento de segurança foi concluído

13. Framework de Gerenciamento de Conformidade Política Regras de negócios para proteger informações e sistemas que armazenam e processam informações Framework de Controle Um processo ou sistema para garantir a implementação da política Padrões Sistema ou requisitos procedurais específicos que devem ser atendidos Procedimentos Operacionais Procedimentos passo a passo 13

14. Evitar Violação Nenhuma presença física no ambiente do serviço. Somente no período de elevação do privilégios de acesso Rejeição automática para concessão temporária de privilégios elevados de acesso à funcionários sem background checks validados Análise manual de aprovação para funcionários com background checks realizados Exclusão de Conta Automática Quando o funcionário sai Quando o funcionário se move grupo/função Falta de uso Portscanning e remediação Scanning de Perímetro para identificar Vulnerabilidades Patching do Sistema Operacional Detecção e prevenção de DDoS no nível de rede MFA para acesso ao serviço Auditoria de todo o acesso do operador e suas ações Ferramentas automatizadas para atividades rotineiras Implantação, Debugging, Coleta de diagnósticos, Reiniciar de serviços Senhas são criptografadas noPasswordStore Isolamento entre o ambiente de correio e acesso ao ambiente de produção para todos os funcionários 14

15. Wargame Exercises Mitigação de violação • Monitor Emerging Threats • Red Teaming Detectar atividades inesperadas no servidor Alertas sobre processos fora da whitelist Alertas sobre as alterações de configuração/regkey Patternanalysisofattacks (exAPTs) Análise de dados em larga escala para procurar padrões estranhos em andamento Prática regular de resposta a incidentes Simulação (Policia-Ladrão) regulares no qual testadores de invasão agem como insiders desonestos e já com acesso Melhoria contínua dos playbooks, contenção, evacuação, MTTD, MTTR Todo acesso ao serviço é auditado Cmdlets, Logins, Ações tomadas, Elevações, Criações de conta • Insider Attack Simulation • Invest in Reactive Security Needs • Execute Post Breach • Blue Teaming 15

16. Impede que dados confidenciais deixem a organização Fornece um Alerta quando dados tais como o número de CPF/CNPJ & cartão de crédito seja enviado por e-mail. Alertas podem ser personalizadas pelo administrador para pegar Propriedade Intelectual sendo enviada para fora Data LossPrevention (DLP) Capacitar os usuários a gerenciar sua conformidade • Educação das politicas de DLP por contexto • Não interromper o fluxo de trabalho do usuário • Funciona mesmo quando desconectado • Configurável e personalizável • Ações e texto personalizáveis pelo admin • Modelos internos com base em normas comuns • Importe modelos de politicas para DLP de parceiros de segurança ou construa o seu próprio 16

17. Dados de Clientes Isolados Ambiente Multi-tenant projetado para suportar o isolamento lógico de dados que vários clientes armazenam no mesmo hardware físico Acesso intencional ou não de dados pertencentes a um cliente/tenant diferente é impedido pelo isolamento de dados. Unidades organizacionais do Serviço de Diretório deve manter dados de clientes A isolados de dados do cliente B DATA in Server

18. Dados Criptografados Dados ilegíveis para partes não autorizadas. Criptografia de Dados em Repouso Encryptionem todos os conteúdos Inclui mailbox database files, mailbox transaction log files, searchcontent index files, transportdatabase files, transporttransaction log files e Page File no disco de sistema do Sistema Operacional. RMS – Right Management System Criptografia de Dados em Trânsito TransportLayer Security (TLS)/ Secure Sockets Layer (SSL), S/MIME e tecnologias de terceiros como PGP ONDE ARMAZENAR CHAVES PÚBLICAS E PRIVADAS?

19. Desenvolvimento Seguro (Security DevelopmentLifecycle) Reduzir as vulnerabilidades, limitar a gravidade de exploração Educação Processo Controles Treinamento emsegurança Conduzir o time no uso das melhorespráticas Controles de entrega Respostas a incidentes Treinamento Requerimentos Desenho Implementação Verificação Liberação Resposta Treinamentosbásicos Entender padrões Qualidade Gestão de riscos. Definirmodelos Vulnerabilidades Ameaças Controle de ferramentas Corrigir vulnerabilidades Análiseestática Análisedinâmica Testes Revisar vulnerabilidades Plano de Respostas a Incidentes Liberação Executar o plano de respostas a incidentes Melhorias de Processo Contínuo 19

20. COMMON ServiçosemNuvem PUBLIC Development Identity Virtualization Management PRIVATE Highly Virtualized Datacenter Traditional Datacenter

21. Rede global de sensoresemconsumidores, empresas, and serviçosemnuvem– Bilhões de devices Cyber Inteligência contra Ameaças • More than 250 million users worldwide • More than 35 billion messages scanned monthly • Daily tracking of 600,000 addresses sending spam • Millionsof users worldwide using enterprise anti-malware solutions • Billionsof web-page scans per month Malicious SoftwareRemoval Tool • Millions of consumers • protected worldwide • Performs billions of malware removals per year worldwide • 700 million computers • reporting monthly • More than 40 billion • executions since 2005 • More than 420 million active users Microsoft Confidential

22. Microsoft CityNext ENVOLVA Cidadãos e Empresas TRANSFORME Operações e Infraestrutura ACELERE Inovação e Oportunidade Por que Microsoft? Amplo portfólio de softwares, dispositivos e serviços familiares e seguros para consumidores e empresas Ecossistema diversificado e vasto de parceiros que escalam e replicam as ofertas em todo o mundo Programas educacionais e sociais centrados no cidadão, com uma história de entrega de impacto real para um futuro melhor Edifícios, Infraestrutura, Planejamento Turismo, Lazer, Cultura Segurança Pública e Justiça Serviços de Saúde e Sociais Energia e Água Transporte Governo Admin. Educação Cidadãos Empresas Governo Abordagem Centrada em Pessoas Plataforma de Dispositivos e Serviços Análise e Big Data Social Nuvem Mobilidade