I Semana de Defesa e Gestão Estratégica Internacional da UFRJ

Maiores Informações: http://www.semanadefesa.com.br/

Segurança e Defesa Cibernética: Recursos Humanos

O maior desafio ao tentar desenvolver capacidades de Segurança e Defesa Cibernética não é técnico, comercial ou processual, e sim humano. Isto é verdade em todos os níveis, desde pequenas empresas, passando por grandes organizações públicas e privadas e incluindo países inteiros.

A diferenciação entre "Segurança" e "Defesa" tem sido definida pela esfera - civil ou militar - das ações de proteção, detecção ou reação executadas. Porém isto é muito dificultado em um cenário como a Internet, em que a dificuldade de atribuição de responsabilidade é imensa (ver final do post).

O problema é global. Ações de espionagem industrial direcionadas à informações estratégicas e infra-estruturas críticas são os acontecimentos mais comuns nesta esfera. Os Estados Unidos recentemente sugeriu oficialmente uma "pressão diplomática" juntamente com seus aliados na Ásia e Europa, para que os chineses assumam responsabilidade por ações que são contínuas - e documentadas em incidentes como GhostNet, Aurora, Shady Rat, Kneber, Night Dragon - entre outros.

Além disto o desafio político é muito grande - como coordenar iniciativas de resposta e troca de informações sobre ameaças entre forças armadas, empresas públicas e privadas (muitas destas coisas concessões de exploração de infraestruturas críticas..)

Uma coisa é certa: mais importante do que adquirir ou desenvolver qualquer tecnologia é conseguir treinar os recursos humanos necessários e priorizar a atenção nas ameaças reais de uma organização. Aos interessados, veja o que mais sobre este tema nestes dois artigos).

Um exemplo da complexidade de se preparar adequadamente para o tema "Segurança Cibernética"
é o documento Identity & Information Assurance Related Policies and Issuances (pdf) - trata-se de um excelente gráfico que organiza e aponta para os inúmeros textos de regulamentações e guias sobre Segurança da Informação no governo federal norteamericano.

Se depois de ver este gráfico você ainda não se convenceu da complexidade do assuinto, gostaria de citar um trecho dito pelo guru Dan Geer - que nos lembrou disto durante sua palestra na Source Boston de '08:
--
Security is perhaps the most difficult intellectual profession on the planet. The core knowledge base has reached the point where new recruits can no longer hope to be competent generalists, serial specialization is the only broad option available to them.
--

Para completar as referências sobre a complexidade e a necessidade de formação de mão de obra adequada para operar CiberSegurança e/ou CiberDefesa: A cerca de um ano, uma comissão responsável por assessorar a presidência norteamericana sobre o tema publicou um interessante documento entitulado "A Human Capital Crisis in CyberSecurity" (pdf)

Uma das conclusões do relatório é a seguinte: incluindo todos os profissionais de áreas governamentais (incluindo militares) e civis nos nos Estados Unidos, existem hoje apenas 1000 (mil) profissionais devidamente treinados e habilitados a trabalhar com "CyberSecurity" por lá. Para uma adequada preparação na área de Defesa Cibernética, o estudo indicou uma necessidade atual de 30.000 (30 mil) pessoas.

Enquanto isto, no Brasil:

Dentre as iniciativas feitas até o momento pelo Centro de Defesa Cibernética (CDCiber) - cujo núcleo está em organização deste Agosto deste ano, está a previsão de criação da Escola Nacional de Defesa Cibernética (pdf).

--

Objetivo: "conceber Instituição de Ensino de presença nacional, que tenha como foco formar e capacitar profissionais para exercerem funções específicas na manutenção da defesa cibernética, contribuindo com a segurança cibernética das infraestruturas críticas nacionais, por meio da inclusão da sociedade nas atividades do Setor Cibernético."

--

Ações Estratégicas: "criar a Escola Nacional de Defesa Cibernética (EsNaDCiber), fomentar a parceria entre a Escola e as instituições de ensino públicas e privadas, fomentar a parceria entre a Escola e entidades públicas e privadas, capacitar profissionais para atuarem na segurança e na defesa cibernética das infraestruturas críticas nacionais, incentivar a participação do MEC e do MCT no aprimoramento do projeto, identificar as melhores práticas no emprego das novas tecnologias de ensino, quantificar as demandas de pessoal a qualificar, identificar competências existentes para atuar no setor, identificar cursos já existentes que atendam às demandas prementes, implementar cursos de demanda premente, visando atender às necessidades de curto prazo, sugerir ao MEC a implementação de ações educacionais de fomento na área de segurança e defesa cibernética."

Existem diversas Universidades que potencialmente podem auxiliar este projeto relacionado à Segurança das Informações e Comunicações: Unb, Unicamp, USP, UFPel, UFSM, ITA, IME, UECE, UFPE - apenas para citar algumas das mais ativas no setor (* veja update abaixo para uma lista mais completa)

Além disto, diferentes órgãos de governo possuem material humano com expertise para auxiliar a iniciativa: Ministério da Defesa (Exército, Marinha, Aeronáutica), Presidência da República (Secretaria de Assuntos Estratégicos, Agência Brasileira de Inteligência, Gabinete de Segurança Institucional - DSIC/CTIR), Ministério da Justiça (Departamento de Polícia Federal, Procuradoria Geral da República), Ministério do Planejamento, Ministério da Educação (RNP), Ministério de Ciência e Tecnologia (Secretaria de Politica de Informática, Comitê Gestor da Internet no Brasil - CERT.BR).

Listando rapidamente (e não exaustivamente) apenas algumas das diferentes especialidades necessárias para formar um time de cibersegurança, é possível visualizar a dificuldade de contratação (e/ou coordenação) deste grupo de profissionais (aproveito para listar algumas referências profissionais e organizacionais brasileiras com experiência comprovada nas áreas listadas).

Análise de Malware e Engenharia Reversa (Febraban, GAS, Ronaldo Lima, Fábio Assolini, Pedro Bueno, Ranieri Romera, Guilherme Venere, Tiago Assumpção)

Análise de Risco (Módulo, Axur)

Análise de Vulnerabilidades em Hardware (CEPESC, ..)

Conscientização de Segurança (Anderson Ramos, Patrícia Peck, Modulo)

Correlação de Eventos de Segurança (Zanardo, Marcelo Souza, Janilson Correia, Daniel Cid - OSSEC)

Criptografia (Routo Terada, ABIN, Cryptus, eSEC)

Resposta a Incidentes (Jacomo Picolini, Klaus Jessen, Cristine Hoepers)

Forense Computacional (SEPINF, Techbiz, DataSecur, LegalTech, B2T, Tony Rodrigues, Marcelo Caiado)

Pentesting (Wendel Henrique, Rodrigo Rubira, Felipe Balestra, Joaquim Espinhara)

Segurança de Sistemas Embarcados (Alberto Fabiano, ...)

Segurança de Sistemas Operacionais (Fernando Cima, Jeronimo Zucco, Alexandre)

Segurança de Aplicações Web (Wagner Elias, Lucas Ferreira, Thiago Zaninotti)

Segurança de Sistemas SCADA (Marcelo Branquinho, ...)

Segurança de Rede (Aker, Breno Silva, ...)

Segurança de Redes Wireless (Nelson Murilo, ... )

PS: Estas lista de áreas e referências acadêmicas, governamentais e empresariais se iniciou a partir de referências pessoais e aguardo sugestões (especialmente para os tópicos com reticências ...) para atualizar a lista com nomes que os leitores podem incluir nos comentários, abaixo.

Aos interessados em se atualizar no assunto "Segurança e Defesa Cibernética), seguem 10 artigos - recheados de informações e links - publicados recentemente aqui no blog com assuntos relevantes à Segurança e Defesa Cibernética:

http://sseguranca.blogspot.com/2011/02/revista-info-fev2011-quando-bits-viram.html
http://sseguranca.blogspot.com/2011/07/i-jornada-de-trabalho-de-defesa.html
http://sseguranca.blogspot.com/2011/09/diginotar-cassl-e-netnames-dns-ataques.html
http://sseguranca.blogspot.com/2010/07/0day-lnk-infocon-amarelo-senha-default.html
http://sseguranca.blogspot.com/2011/05/empreiteira-militar-americana-atacada.html
http://sseguranca.blogspot.com/2011/04/aprendendo-com-o-ovo-do-cuco-cuckos-egg.html
http://sseguranca.blogspot.com/2010/01/china-vs-google-e-cia-ou-nao-ha-como.html
http://sseguranca.blogspot.com/2009/03/ghostnet-possivel-espionagem.html
http://sseguranca.blogspot.com/2009/01/governo-obama-lista-cybersecurity-como.html
http://sseguranca.blogspot.com/2011/08/timeline-da-cobertura-de-ataques.html
Como contribuição, segue algum material sobre treinamento na área já publicado por aqui:


http://sseguranca.blogspot.com/2009/12/livros-de-seguranca-resposta-incidentes.html
http://sseguranca.blogspot.com/2009/03/material-de-treinamento-para-equipes-de.html
http://sseguranca.blogspot.com/2010/12/preparacao-de-equipes-na-area-de.html

[ Update 2011-10-11 ]

(*)

Através da COMSIC, o José Eduardo Brandão, do IPEA, colaborou com a lista de outras universidades ainda não citadas, a partir de um levantamente feito em dezembro de 2010:

Centro Universitário do Pará, Faculdade de Tecnologia e Ciências, Faculdade Estácio, Faculdade Paraíso do Ceará, Faculdades Integradas Rio Branco, FURB - Universidade Regional de Blumenau, IFES, IFPR, IFRS, IFSC, IME, Instituto Federal Catarinense Campus Videira, Instituto Federal de Goiás, Instituto Federal de Mato Grosso, IPEA, IPT, ITA, PUCPR, PUCRS, SENAC, SENAC/RS, UDESC, UECE, UENP, UESPI, UFABC, UFAM, UFBA, UFCG, UFF, UFMA, UFMG, UFMT, UFPI, UFPR, UFRGS, UFRN, UFRJ, UFPE, UFSC, UFSE, UFSM, UFU, UnB, UNESP, UniCEUB, Unibalsas, Unicamp, UNIFACS , UNIJORGE, UNIMEP/FATEC, Uninove, UNISINOS, Unisul, UNIVALI, Universidade Católica de Brasília, Universidade Cruzeiro do Sul, Universidade do Estado de Mato Grosso, Universidade Estadual de Maringá, USP e UTFPR.

A FONTE: http://sseguranca.blogspot.com/2011/10/seguranca-e-defesa-cibernetica-recursos.html?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed%3A+Sseguranca+%28SSeguran%C3%A7a%29

Escola do Exército terá curso para civis

Quarta, 11 de Outubro de 2011, 03h06
RIO
O Instituto General Carlos de Meira Mattos, inaugurado pela Escola de Comando e Estado Maior do Exército (Eceme) no último dia 2 de outubro, vai oferecer a partir do próximo ano cursos de pós-graduação lato sensu nas áreas de Ciências Militares e Defesa. Embora a instituição seja subordinada ao Exército, os cursos serão abertos a alunos civis.

As regras do processo seletivo, assim como data das provas e número de vagas disponíveis, serão definidas até o final deste ano e anunciadas por meio do site da Eceme (www.eceme.ensino.eb.br).

Reformulação. O instituto foi criado a partir do Centro de Estudos Estratégicos, que era mantido pela Eceme desde 2000, com o objetivo de estudar problemas de segurança nacionais e internacionais e estimular discussões sobre defesa e segurança.

Agora o centro foi reformulado e recebeu novo nome em homenagem ao general Meira Mattos (1913-2007). Segundo a direção do instituto, a reformulação é fruto da aproximação dos militares com a rotina e as necessidades dos civis.

Atualmente a unidade está selecionando os professores civis - o corpo docente militar já está definido - e tratando de oficializar o novo instituto perante a Capes (Coordenação de Aperfeiçoamento de Pessoal de Nível Superior), órgão federal que concede bolsas de estudo, avalia os cursos de pós-graduação e divulga a produção científica brasileira.

A direção do instituto tem 90 dias, contados a partir de sua criação, para inscrever seu regulamento na Capes.

Veterano de guerra. Carlos de Meira Mattos participou da 2.ª Guerra Mundial como capitão da Força Expedicionária Brasileira (FEB). Ao passar à reserva, dedicou-se a atividades acadêmicas e ao jornalismo.

Ele foi comandante da Academia Militar das Agulhas Negras (Aman), interventor federal no Estado de Goiás, vice-chefe do Gabinete Militar durante o governo do presidente Humberto Castello Branco, entre 1964 e 67), adido militar na Bolívia e vice-diretor do Colégio Interamericano de Defesa, em Washington, nos Estados Unidos.

O general morreu no dia 26 de janeiro de 2007, aos 93 anos, depois de ficar internado mais de um mês após se submeter a uma cirurgia no abdômen, da qual não se recuperou. / FÁBIO GRELLET


Fonte: Estadao

AINDA HÁ TEMPO DE SALVAR AS FORÇAS ARMADAS DA CILADA DA MILITARIZAÇÃO DA SEGURANÇA PÚBLICA

Por Nilo Batista, 03.10.2011

Recordemos a chacina do Pan, aquelas dezenove execuções no Alemão antes dos Jogos. Recordemos especialmente as capas das revistas semanais, que saudavam a operação como alvissareira “novidade” nas técnicas policiais. Na foto da capa, um inspetor da Polícia Civil conhecido por Trovão, em trajes de expedicionário norte-americano no Iraque, degustava um charuto caminhando numa viela sobre o corpo de algumas das vítimas da operação.

Dezenove execuções não eram em si qualquer novidade. Afinal, a polícia carioca está matando anualmente uns mil e duzentos suspeitos, e esta cifra espantosa, este récorde mundial, alcançado gota a gota – dois traficantes aqui, um assaltante acolá etc – jamais despertou maior comoção na mídia. Se todos fossem mortos num dia só, teríamos em perdas humanas mais do que na tragédia das chuvas na região serrana, incluindo desaparecidos – na serra como nos registros policiais. Diluídas porém no noticiário cotidiano, essas mortes oferecem a base para a disseminação de um conformismo perigoso para o Estado de direito. A “novidade” em uníssono saudada pela mídia não residia, por certo, em ter aquela operação policial obtido num só dia o produto funesto de três ou quatro. A “novidade” era a própria legitimação da brutalidade policial. É isso aí. Vamos mostrar-lhes quem tem mais fuzis. Quem com ferro fere… Não apenas tolerância, mas também culpa zero. E, por que não, cumprida a tarefa, por que não saborear um purito pisando o sangue ainda quente dos inimigos?

Nos jornais de 12 de fevereiro de 2011, estampou-se a prisão do inspetor Trovão, suspeito “de ter participado da garimpagem no Complexo do Alemão”, dentro da prática alcunhada “espólio de guerra” (O Globo, p. 21). Pobre Trovão. Ele não só se vestia e se sentia como um soldado em plena batalha dentro de território inimigo, mas sobretudo confirmava seus figurinos e sentimentos lendo os jornais. Guerra é guerra.

Essa pilhagem teria ocorrido no que poderíamos chamar de segunda tomada do Alemão, com o apoio de equipamentos bélicos e pessoal militar. Enquanto embaixo um tanque, que poderia estar sendo pilotado por Marcílio Dias ou por João Cândido, dissuadia toda resistência, lá em cima era Serra Pelada, mangueiras e bateias a mil.

Recordemos duas cenas daquela cobertura ufanista, do que foi chamado de “Tropa de Elite 3”. A primeira se deu quando aquele magote de favelados armados fugia por uma estrada de terra. De repente, um deles foi alvejado. Não é recente a criminalização desse fato, a execução de um suspeito que esteja fugindo, que Sérgio Verani estudou pioneiramente entre nós; quer perante o direito internacional, quer perante nosso direito interno, aquilo foi um crime. No século XV, uma ordenação determinava que o oficial de Justiça “nom o (o suspeito) deva matar por fogir, ainda que d’outra guisa prender nom possa; e matando-o, averá pena de Justiça, segundo no caso couber” (Ord. Afo. II, VIII, 10). Temos algo a aprender com Afonso V, pois ninguém se interessou por aquele homicídio a sangue frio, visto por mais de cem milhões de pessoas. Ninguém se interessou. Nenhum jornalista, nenhum membro do Ministério Público, nenhuma autoridade do Executivo, nenhum parlamentar, silêncio obsequioso da OAB-RJ. Ao contrário, soube que uma repórter indagou a um constrangido oficial da PM por que a polícia não tinha resolvido tudo naqueles instantes de fuga.

A segunda cena deve ser antecedida por um esclarecimento. Bens adquiridos com o produto de práticas ilícitas serão perdidos para o Estado – este é um dos mais conhecidos efeitos da condenação (art. 91, inc. II, al. b CP). O patrimônio dos infratores – quando e apenas quando comprovadamente oriundo da atividade criminosa – deve ser apreendido e preservado, para que sobre sua guarda, posse ou depósito decida o Juiz. Pois no Alemão, sob as vistas complacentes de policiais-militares fardados, alguns moradores saqueavam móveis, utensílios e materiais da casa que pertenceria ao chefe local do comércio ilícito. Hoje, desvelada a “garimpagem”, o “espólio de guerra”, compreende-se melhor a utilidade desta cena: num arroubo, explicável pelos anos de tirania, os vizinhos saquearam a casa do suspeito. Aquele saque popular, televisionado com simpatia – dos PM’s e dos âncoras – era um excelente álibi para outros saques, mais bem direcionados às economias do comércio ilegal. Nenhum programa de tevê deu maior importância, e era um flagrante delito (de quem saqueava e de quem deixava saquear) no ar! Compreende-se; afinal, era o Dia da Vitória.

A militarização da segurança pública constitui um enorme equívoco no qual levianamente se insiste entre nós. Recentemente, Raúl Zaffaroni recordava que todos os genocídios do século XX foram praticados por forças policiais, e quando forças armadas institucionalizadas neles se envolveram, estavam exercendo funções policiais (como essas que recentemente lhes foram atribuídas para as fronteiras). O núcleo desse equívoco provém da confusão, comum nas ciências sociais – veja-se, por exemplo, Elias – entre poder militar e poder punitivo. No Estado de direito, esses dois poderes não podem se aproximar sem riscos gravíssimos. Mas essa aproximação foi muito dinamizada por um projeto, gestado no hemisfério norte, de converter as Forças Armadas latino-americanas em grandes milícias, a perder sua higidez e sua orientação estratégica no incontestável fracasso da “guerra contra as drogas”. Onde há guerra não pode haver direito. O militar é adestrado para o inimigo, o policial para o cidadão. Na estrutura militar, a obediência integra a legalidade; na policial, a legalidade é condição prévia da obediência. São formações distintas, dirigidas a realidades também distintas. O sistema de responsabilização é também diferente: não há ordens vinculantes para um policial, adstrito a aferir a legalidade de todas elas (num teatro de guerra, iniciativa similar significaria derrota certa).

Na economia, o arrogante discurso neoliberal levou um tranco. Sabemos agora o que é que a mão invisível do mercado fazia depois do expediente. Mas a política criminal genocida do neoliberalismo parece sobreviver a ele. A indústria do controle do crime responde um pouco por essa permanência. De outro lado, nunca o sistema penal acolitou tão visivelmente a acumulação capitalista. Ainda há tempo de salvar as Forças Armadas da cilada que é a militarização da segurança pública. O jovem tenente, suspeito de furtar um aparelho de ar condicionado, e o inspetor Trovão acreditaram que estavam participando de batalha em território inimigo. Foram muito incentivados a acreditar nisso pela mídia.

É claro que exércitos regulares impedem o quanto podem a arrecadação de butim por seus integrantes. O roubo e a extorsão “em zona de operações militares ou em território militarmente ocupado” pode ser punido, em tempo de guerra, com a pena de morte (art. 405 CPM). Mas basta olhar, no cenário internacional, as frentes de conflitos bélicos para constatar a frequência de abusos que tais situações extremas fomentam.

Recentíssimo episódio, no qual soldados do Exército oriundos de comunidades pobres com presença de grupos rivais do chamado Comando Vermelho (CV) – o alvo preferencial e quase exclusivo da política de UPP’s – declinavam desafiadoramente sua procedência para moradores do Alemão é especialmente preocupante. Não pela emergência de um suposto “Comando Verde”, como desafortunadamente sugeriu um próspero ongueiro de origem popular, mas sim porque essas rivalidades – fenômeno urbano frequente – começam, por efeito da atividade de patrulhamento policial, a introduzir-se na tropa. Como os recrutas oriundos de favelas com presença do CV reagirão às insolências ou chistes que seus camaradas, provindos de favelas com presença por exemplo do ADA ou de milícias, porventura dirijam a moradores ou mesmo a infratores? Este conflito, que jamais havia transposto de forma significativa o portão dos quartéis das Forças Armadas, pode sorrateiramente introduzir-se agora neles.

Certas funções policiais são brutalizantes e produzem efeitos deteriorantes sobre aqueles que as realizam. Trata-se do fenômeno denominado “policização”, que pode acontecer também com outros operadores do sistema penal, carcereiros, advogados, promotores de Justiça e magistrados. Quem não conhece a policização passará o resto da vida reclamando do pouco rigor na admissão e adestramento dos policiais, quando o problema não está na seleção e sim na prática. Quem está disposto a correr o risco de policização de algumas unidades de nossas Forças Armadas?

Guerra é uma coisa muito séria, como o é a soberania e a integridade do território nacional. Precisamos de Forças Armadas bem adestradas para aquelas tarefas constitucionais em que elas são únicas e insubstituíveis. Já passou da hora de brincar de guerra nas ruas da cidade.

(*) Nilo Batista é professor Titular de Direito Penal da Universidade Federal do Rio de Janeiro (UFRJ) e da Universidade do Estado do Rio de Janeiro (UERJ).