Segurança na Web: Uma janela de oportunidades Lucas C. Ferreira Câmara dos Deputados OWASP GCC Member Líder do Capítulo de Brasília lucas.ferreira@owasp.org OWASP Copyright 2007 © The OWASP Foundation Permission is granted to copy, distribute and/or modify this document under the terms of the OWASP License. The OWASP Foundation http://www.owasp.org

O manifesto e seus objetivos O que pode ser feito? Agenda OWASP - apresentação O manifesto e seus objetivos O que pode ser feito? Por legisladores Por órgãos de defesa do consumidor Por órgãos de controle Por instituto de ensino e pesquisa Por todas os órgãos de governo OWASP

Open Web Application Security Project OWASP Open Web Application Security Project Comunidade aberta Segurança de aplicações Voluntários 8 capítulos no Brasil Materiais disponíveis Sistemas Documentos Apresentações Conferências AppSec OWASP

O Manifesto e seus Objetivos Baseado em conversas e idéias de vários especialistas Objetivos Sugerir ações de governo para melhorar a segurança na web Usar o poder de compra do estado para influir positivamente Proteger os consumidores Permitir a inovação e a criação de negócios na área OWASP

O que pode ser feito? Por legisladores Permitir e incentivar pesquisas sobre ataques cibernéticos Punir criminosos sem criminalizar atividades legítimas e benéficas Focar na intenção Requerer a publicação de avaliações de segurança Permitir amplo acesso a informações sobre vulnerabilidades Criar agência para tratar os aspectos de divulgação de falhas de segurança garantir uma postura ética e responsável de todas as partes Exigir requisitos de segurança em contratos governamentais OWASP

O que pode ser feito? Por legisladores Responsabilizar organizações que não tratem com diligência os aspectos de segurança de aplicações Organizações são responsáveis por sistemas que vendem e usam Fornecedores co-responsáveis nos moldes do CDC Exigir que o governo tenha acesso às atualizações de segurança durante toda a vida útil do software Aplicar patches é o mínimo em termos de segurança Exigir a abertura do código após o termino da vida útil Softwares usados pelo governo Apenas para o desenvolvimento de patches Eliminar necessidade de compra de novas versões OWASP

O que pode ser feito? Por legisladores Eliminar as licenças de software que isentam os fabricantes da responsabilidade com a segurança de seus produtos Responsabilidade igual aos fabricantes de qualquer produto (CDC) Limitada ao valor pago OWASP

Por órgãos de defesa do consumidor O que pode ser feito? Por órgãos de defesa do consumidor Restringir o uso de licenças de abusivas Exigir a divulgação de informações inteligíveis Nos moldes dos eletro-eletrônicos, carros, etc Atendimento ao art. 31 do CDC Necessidade de pesquisas na área Exigir nível adequado de segurança de sistemas que afetem a privacidade dos consumidores ou cidadãos Proteger os dados Avisar em caso de vazamento OWASP

Por órgãos de defesa do consumidor O que pode ser feito? Por órgãos de defesa do consumidor Definir que os consumidores devem ser informados dos possíveis usos dos dados inseridos em sistemas ou sites Consumidor deve aprovar os usos previstos Comunicar alterações de políticas Estabelecer campanhas de conscientização de segurança para os consumidores OWASP

O que pode ser feito? Por órgãos de controle Definir claramente as responsabilidades com relação à segurança de aplicações Verificar e auditar que práticas adequadas de segurança são adotadas Inserir os aspectos de segurança de aplicações em seus regulamentos e/ou recomendações setoriais Facilitar a criação de um mercado de seguros Tendência a aumentar a segurança para diminuir os custos com seguros Requerer o uso de conexões criptografadas (SSL) para aplicações web OWASP

Por órgãos de ensino e pesquisa O que pode ser feito? Por órgãos de ensino e pesquisa Inclusão das boas práticas de segurança de aplicações no conteúdo dos cursos Em todos os níveis de ensino Definição de cursos avançados para formação de mão- de-obra Fomentar e financiar pesquisas sobre segurança de aplicações Em universidades e empresas Promover a formação de profissionais capazes de atuar com ética e responsabilidade OWASP

Por todos os órgãos públicos O que pode ser feito? Por todos os órgãos públicos Financiar validações e segurança para sistemas de código aberto Produzir avaliações e correções de segurança para a sociedade Promover o uso de tecnologias e metodologias de segurança de aplicações Internamente e por fornecedores Promover e permitir testes de segurança de forma responsável mas aberta Permitir acesso aos pesquisadores éticos Procedimentos definidos Promover treinamento e conscientização dos gestores para os desafios da segurança na web OWASP

Área em crescimento em todo o mundo Desenvolvimento tecnológico Vantagens para o país Área em crescimento em todo o mundo Desenvolvimento tecnológico Desenvolvimento de mão-de-obra altamente capacitada Crescimento de áreas afins e-commerce e-gov Atração de investimentos Criação de negócios e empresas OWASP

AppSec Latam 2011 4 a 7 de outubro de 2011 www.appseclatam.org OWASP

Segurança na Web: Uma janela de oportunidades Lucas C. Ferreira Câmara dos Deputados OWASP GCC Member Líder do Capítulo de Brasília lucas.ferreira@owasp.org OWASP Copyright 2007 © The OWASP Foundation Permission is granted to copy, distribute and/or modify this document under the terms of the OWASP License. The OWASP Foundation http://www.owasp.org