O que pensam os auditores de segurança?

O que realmente pensam auditores que garantem o alinhamento de empresas aos requisitos de conformidade? Para começar, as companhias não se preocupam com privacidade e segurança, enquanto a criptografia é pouco utilizada, aplicada somente para atender às exigências legais. Essas são as conclusões de um estudo realizado pelo Ponemon Institute com 505 auditores de segurança.

“As respostas foram, muitas vezes, de desconfiança”, diz Larry Ponemon, fundador do instituto, sobre o levantamento intitulado What Auditors Think about Crypto Technologies.

De acordo com a pesquisa, pouco mais da metade dos auditores de segurança – que trabalham em diferentes indústrias, incluindo bancos, varejo, seguros, tecnologia, energia, farmácia, saúde e automotiva – indicou que os líderes das áreas de negócios direcionam o orçamento para auditorias. Pouco mais da metade afirmou que 50% das auditorias que conduziram “haviam identificado graves gargalos ou não estavam de acordo com os requisitos de segurança”.

As três áreas que mais apresentam falhas de segurança são aplicações, laptops ou desktops e prestadores de serviços externos. Cloud computing, especialmente Software as a Service (SaaS), estão no topo da lista de maior ameaça ou risco para a organização.

Algumas respostas do estudo, que foi patrocinado pela empresa de segurança Thales, revelam ceticismo sobre gestão corporativa de segurança. Apenas 32% dos entrevistados disseram que as organizações que auditaram são “pró-ativas na gestão da privacidade e na proteção dos dados”. Enquanto 60% disseram que as companhias não acreditam que compliance melhora a eficácia em segurança de dados.

Mais da metade afirmou que ferramentas de criptografia só foram usadas para atingir a conformidade e que as empresas não têm recursos suficientes para atingir requisitos de conformidade de dados.

Cerca de 71% dos auditores disseram que os ativos das corporações podem não estar totalmente protegidos dentro de casa sem que se adote soluções de criptografia. Já 81% afirmaram que a melhor prática é realizar a criptografia das informações confidenciais ou sensíveis sempre que possível. Mais da metade disse ainda que a conveniência do usuário final não deve ser levada em consideração ao decidir quais dados devem ser criptografados.

Por outro lado, mais da metade dos ouvidos pelo estudo expressou incerteza sobre a eficácia da criptografia aplicada em algumas tecnologias, como banco de dados e servidores. “Os auditores não estão certos sobre isso”, avalia Ponemon, acrescentando que esse cenário indica que seria fundamental que as entidades do setor, como o PCI Security Standards Council, fornecessem mais informações sobre os benefícios da criptografia para fins de auditoria de conformidade. “É preciso mais orientação”, conclui.

Fonte: ELLEN MESSMER, DA NETWORK WORLD-US, Computerworld