Nesta primeira aula, você vai encontrar alguns dos primeiros conceitos e definições de segurança da informação.
Descubra o que mais você irá fazer, no seu dia-a-dia como profissional de segurança.
Veja a primeira coisa que todo profissional de segurança aprende e está no começo de todos os livros da nossa área.
Material
Transcrição
Olá, eu sou Fábio Sobiecki e bem-vindos à primeira aula do primeiro conteúdo desta formação. Nessa primeira aula eu vou explicar um pouco mais sobre a introdução à Segurança da Informação, principalmente alguns tópicos que são bem importantes que você saiba logo no início desta formação. Bom, o primeiro ponto que a gente vai falar aqui é uma definição do que é a Área de Segurança da Informação ou Cibersegurança.
Então, são palavras que são sinônimos, mas em alguns casos a gente vê mais o uso de Segurança da Informação como o termo mais apropriado. Não existe certo ou errado, você escolhe aquilo que você preferir. Então, se você quiser falar sobre Cibersegurança ou Segurança da Informação, são sinônimos praticamente.
Bom, dentro da Área de Segurança da Informação, é um conjunto de atividades que visam proteger os dados de tanto pessoas físicas quanto pessoas jurídicas. E por que a gente faz essa distinção de pessoas físicas e jurídicas? Porque o objetivo da nossa área não é proteger apenas a empresa, mas também proteger os funcionários, os clientes, as pessoas que estão envolvidas dentro de uma organização. Então, nós vamos ter vários pontos onde a gente vai proteger mais a vida de pessoas do que propriamente somente os dados ou a área de negócio da empresa ao qual está pagando o nosso salário, contratando os nossos serviços.
Mas é bem importante que a gente faça essa distinção que a Área de Segurança deve cobrir tanto pessoas físicas quanto pessoas jurídicas também. Então, dentro de uma empresa, essa Área de Segurança da Informação, inicialmente ela era vinculada à Área de Tecnologia da Informação. Mas conforme o tempo foi passando, a Área de Segurança tinha que monitorar ambientes de tecnologia.
E como é uma área que estava subordinada à Área de Tecnologia, em diversos casos havia um certo conflito de interesses, que é o que a gente chama dentro da nossa área. Então, a Segurança da Informação solicitava, pedia um orçamento ou exigia certos controles de segurança, e aí eu vou explicar um pouco mais sobre isso. E a Área de Tecnologia, como era uma área demandante, ela não executava e não tinha como você cobrar isso.
Você não tem como cobrar o seu chefe de uma ação que ele deixou de fazer. Então, o que passou nos últimos anos é que muitas empresas separaram a Área de Segurança da Informação da Área de Tecnologia para que elas pudessem ser independentes, e uma auxiliar o processo da outra. Você vai ver ainda que existe uma área de Auditoria que anda muito junto com a Área de Segurança, por vezes fazendo um monitoramento ou cobrando a Área de Segurança, mas na maioria dos casos, o time de Auditoria ou o Departamento de Auditoria vai ser um grande aliado durante o seu trabalho dentro da empresa.
Então, por conta disso foi separado tanto essa parte de tecnologia quanto a parte de segurança. Hoje em dia, a gente já vê algumas empresas que também separaram a Área de Gestão de Riscos. Quando uma empresa tem muito envolvimento com riscos, ou os riscos são bem inerentes ao negócio, como bancos, por exemplo, então é separado a Área de Risco também, separado da Área de Segurança.
Em outros casos, existe a cobrança da segurança institucional. Então, a Área de Segurança da Informação não cuida somente dos dados, mas também da instituição, da organização como um todo. Então, cuida da imagem, zela por essa organização no ambiente offline também, não só envolvendo a Área de Tecnologia, mas também na parte de segurança patrimonial ou de proteção à imagem, proteção à imagem no mercado que essa empresa tem.
Nesse treinamento, a gente não vai abordar muito essa parte de segurança institucional, mas dentro do módulo de segurança física, a gente vai falar um pouco sobre isso, mas não é intuito desse treinamento que ele aborde segurança institucional, ok? Basicamente, o que a gente precisa conhecer logo de cara? Isso todo profissional de segurança vai precisar saber, e toda literatura, quando você ler livros sobre material de segurança ou livros principalmente em inglês, você vai ouvir falar dos três pilares de segurança. O primeiro pilar de segurança, que é aquilo que a gente tem que proteger, é a confidencialidade da informação. E por confidencialidade, a gente tem que proteger o segredo que está ali.
Então, uma informação tem muito valor para o seu negócio. Só que, uma vez que essa informação sai do contexto do negócio e vai parar na mão de um concorrente ou de pessoas erradas, a empresa tem prejuízos com isso. Então, por conta disso, a confidencialidade é um dos primeiros pilares da área de segurança.
Então, tudo dentro dos sistemas, dentro da tecnologia, você vai ter que avaliar essa parte de confidencialidade. Como que está protegido, como estão protegidos os segredos dessa empresa e como que a gente vai fazer para manter somente os acessos, por exemplo, para pessoas que precisam ter acesso àqueles dados. Então, esse é um dos pontos principais dos pilares de segurança.
O segundo pilar é o pilar da integridade. Isso garante que, por exemplo, uma informação que é passada dentro da organização é uma garantia que essa informação está correta, está íntegra. Uma informação que foi adulterada ou modificada propositalmente, ela também pode causar prejuízos para a empresa.
Vou dar um exemplo bem simples, que fica mais fácil para a gente entender. Uma empresa tem uma lista, ela fez uma venda a prazo, e ela tem uma lista das pessoas que devem para essa empresa. Ou seja, nos próximos 30 dias, eu vou emitir uma cobrança para esses clientes.
Se eu for nessa lista de clientes e remover um registro dessa lista, uma linha que seja, e removendo essa linha, um cliente vai deixar de ser cobrado, ou deixar de pagar a sua conta, a empresa vai ter esse prejuízo. E se essa informação não tiver integridade, a lista dos devedores para a empresa não estiver íntegra, a empresa leva esse prejuízo. Então, esses tipos de prejuízo podem até chegar a quebrar uma empresa.
Então, por isso que a integridade é muito importante nos negócios, e a área de segurança da informação precisa zelar pela integridade das informações. Então, uma organização tem que ter as informações corretas e protegidas. O último pilar aqui é o da disponibilidade.
Isso significa que a informação tem que estar disponível para a empresa durante o horário de trabalho, ou quando a empresa necessitar dessa informação. Então, vamos imaginar um escritório de cobranças, e esse escritório só trabalha de segunda a sexta. Então, se eu tiver uma programação onde o meu servidor de banco de dados fica offline aos finais de semana, eu tenho uma situação onde o sistema está fora do ar, mas a empresa não sofre com a disponibilidade.
Ao passo que se eu estiver atendendo um hospital, que um hospital trabalha 24 horas por dia, 7 dias por semana. Neste caso, os sistemas não podem parar, inclusive nos finais de semana ou de noite, porque uma hora que o médico precisar acessar o prontuário de um paciente, ele precisa ter aquela disponibilidade. Da mesma forma, por exemplo, um comércio eletrônico.
Nem todas as pessoas fazem suas compras em sites de comércio eletrônico ao longo do dia, ou em horário comercial. Então, esse site de comércio eletrônico, para que ele possa oferecer o máximo de retorno financeiro para a empresa, ele também precisa estar disponível 24 horas por dia, 7 dias por semana. Então, essa disponibilidade, que em inglês a palavra vai se chamar availability, ela compõe o terceiro pilar da segurança da informação, ou o que nós chamamos aqui no Brasil de CID, por ter confidencialidade, integridade e disponibilidade.
E quando você estiver lendo livros em inglês, no idioma inglês, você vai ver comumente a tríade CIA, de Confidentiality, Integrity e Availability. Por isso que eu coloquei essa menção ali de availability como disponibilidade. Então, esses são os três pilares mais importantes, e ao longo de toda a sua carreira da área de segurança, você sempre vai estar avaliando sistemas, pessoas, processos, em cima desses três pilares.
Então, guarde muito bem essa informação, e você vai ver que você vai analisar esse ponto diretamente em todos os sistemas. Existe aí um quarto pilar, e aí há uma discussão entre empresas e profissionais, que a gente já considera essa quarta informação como o nosso quarto pilar dentro da área de segurança. Isso porque a privacidade ganhou um papel principal nos últimos dias com a entrada da legislação LGPD aqui no Brasil.
Então, essa lei entrou em vigor no Brasil, e tanto as empresas brasileiras, ou as empresas que fazem negócios com cidadãos brasileiros, eles devem seguir a Lei Geral de Proteção de Dados. Então, a LGPD é uma cópia, ela é similar à GDPR, que é a Lei de Privacidade da Europa, que surgiu antes, e também em alguns estados americanos, você vai encontrar várias legislações de privacidade, como, por exemplo, o ato de privacidade do estado da Califórnia. Então, essa questão da privacidade, e também a importância que os usuários estão dando, principalmente em suas informações em redes sociais, abriu para nós um novo mercado.
Então, por isso, a gente considera a privacidade como o quarto pilar da área de segurança da informação. Além desses quatro pilares que a gente comentou aqui, uma outra coisa que você sempre vai fazer dentro do seu trabalho na área de gestão de segurança, ou na operação da segurança, você sempre vai fazer uma análise de risco, ou gestão de risco. E, basicamente, o que é risco? Risco é a chance de alguma coisa acontecer.
Então, por exemplo, quando eu tenho dentro da tecnologia, eu subi um servidor, eu corro o risco desse servidor ficar offline, e aí ele vai estar indisponível, as informações ali podem estar em risco, e esse serviço deixa de cumprir o seu papel dentro da empresa, da organização, que é fomentar ou gerar receita para a empresa. Então, isso é algo que a gente não quer, então temos que analisar os riscos que isso aconteça. Mas também existem alguns riscos bons, que a gente pode dizer, não só riscos ruins, mas, por exemplo, quando um usuário faz uma troca de senha e ele coloca uma senha forte, isso é um risco bom, é algo que eu quero que aconteça com maior frequência dentro da empresa.
Na área de segurança, infelizmente, você não vai ficar analisando riscos bons, porque isso já é benéfico para a empresa, para nós não importa. A sua preocupação vai se tratar em cima dos riscos ruins. Então, tudo que há possibilidade de dar errado dentro da área de tecnologia, você deve estabelecer um plano, avaliar se isso é um risco para a sua segurança, a segurança dessa empresa, e você deve avaliar controles de segurança para mitigar ou eliminar esse risco.
Então, essa chance de acontecer é o risco que nós vamos avaliar e gerenciar durante esse tempo todo. Além da análise de risco, descobrir aquilo que pode dar errado dentro da empresa, eu também tenho que descobrir o impacto desses riscos. Então, se aquela situação desagradável que eu pensei vier a se tornar uma realidade dentro da empresa, qual é o impacto para o meu negócio? Então, se um cliente compra um produto e não leva esse produto para casa ou esse produto fica perdido ou danificado, qual é o impacto para a empresa? Se uma loja tem um comércio eletrônico e esse site de comércio eletrônico para aos finais de semana ou ele tem um problema e ele não funciona de noite, qual é o impacto disso para a empresa? Então, esses impactos a gente vai medir dependendo se o impacto for muito grande ou a chance disso acontecer for muito grande também, a gente classifica esses riscos entre baixo risco, médio risco e alto risco.
Eu vou explicar um pouco melhor isso quando a gente for fazer a disciplina de gestão de risco. Então, não se preocupe por enquanto. Aqui eu deixo aqui um exemplo que é o risco da perda de arquivos ou o risco de um acesso não autorizado.
Então, esses são riscos que nós vamos tratar no nosso dia a dia e constantemente você vai para cada sistema que a empresa coloca no ar, você vai fazer uma avaliação como essa. Então, como eu comentei, depois que você faz a gestão do risco, você avalia aquilo que pode dar errado, você pensa em soluções para aquilo e essas soluções nós chamamos de controles de segurança. Então, uma vez que eu identifiquei esse risco, eu devo sempre estabelecer um controle de segurança.
Então, se eu tenho uma bicicleta e essa bicicleta corre o risco de ser roubada, eu vou comprar uma corrente ou um cadeado, uma trava e vou prender essa bicicleta a um poste quando eu tiver que estacionar essa bicicleta em algum lugar. Então, eu tenho o meu risco e eu tenho o meu controle de segurança, que é a trava da bicicleta. Então, esse controle pode ser tanto uma ferramenta quanto um processo.
Uma ferramenta, nesse caso, é a trava ou o cadeado ou a corrente. São ferramentas que vão me auxiliar a cumprir aquele meu objetivo que é evitar o roubo da minha bicicleta. Mas ela pode ser um processo.
Eu posso simplesmente chegar até o local onde eu vou estacionar minha bicicleta e pedir para um amigo meu cuidar da bicicleta. Então, não estou usando nenhuma ferramenta extra, eu estaciono a minha bicicleta, mas eu tenho um processo que é uma pessoa vigiando o bem, a bicicleta, para que ela não seja roubada. Então, dentro dos controles de segurança, a gente pode implementar tanto ferramentas quanto processos.
Então, um exemplo desse caso aqui são os crachás para acesso à empresa. Então, é uma ferramenta que o funcionário tem para se identificar e poder entrar dentro da empresa. As senhas para abrir um computador.
Então, é um controle que eu tenho, uma ferramenta também, podemos dizer assim, mas é um controle de segurança para evitar que pessoas não autorizadas façam uso do meu computador. Ou mesmo, no seu computador aí, você provavelmente tem um firewall ou um antivírus instalado. Se você também tiver no seu laptop ou no seu celular, assistindo esse vídeo, provavelmente você pode ter um antivírus também no seu celular ou ferramentas como uma VPN.
Então, estes são controles de segurança para evitar que certos riscos para a sua segurança, eles venham a acontecer. Ou se ocorrer, você tem uma remediação mais rápida para esse tipo de problema. Além de gestão de risco e controles de segurança, outra coisa que você vai muito fazer dentro da área de segurança é o monitoramento.
Então, uma vez que eu estabeleci, eu sei o que pode acontecer com os meus ativos dentro da empresa, eu estabeleci meus controles, eu vou monitorar, vou verificar se aquele risco que eu imagino que aconteça, ele efetivamente ocorreu dentro do curso da empresa ou não. Então, nós devemos olhar para toda a área de tecnologia e buscar por problemas que estejam acontecendo. Porque em muitos casos, você vai ver que o monitoramento de segurança vai detectar coisas que você não tinha avaliado durante a gestão de risco.
Quando você pensou em todos os problemas que poderiam acontecer, por exemplo, você esqueceu ou você nunca imaginou que um certo tipo de problema pudesse acontecer. Então, o monitoramento é importante também para isso. Existe o monitoramento em tempo real, onde você vai olhar os sistemas, a tecnologia, todo o tempo, e na medida que acontece alguma coisa, você toma decisões, executa ações, e também nós temos a avaliação, o monitoramento passivo.
Quando um evento já ocorreu, você não estava monitorando ali no momento exato que ocorreu, por exemplo, uma invasão ou alguma coisa assim, e você notou, você verificou isso através dos logs ou dos registros ou de evidências da tecnologia. Então, eu vou também explicar melhor um pouco mais isso, como que funciona esse monitoramento, mas é o que você precisa saber por enquanto nesse primeiro conteúdo que você está tendo acesso. Também, dentro desse monitoramento, a gente deve buscar, então, por atitudes suspeitas, falhas em processos e, por que não, verificar a disponibilidade dos sistemas, dos computadores que estão servindo a empresa.
Então, também é uma responsabilidade nossa e quando um sistema cai, por mais que não seja um problema de segurança, no mínimo, a área de segurança que vai estar monitorando isso daí vai notificar a área de tecnologia, abre um chamado no suporte para que seja verificado e restabelecido aquele serviço. Por fim, acabando essa primeira aula, esse primeiro conteúdo, eu vou falar para vocês aqui sobre as áreas de segurança onde futuramente você pode trabalhar. Então, esse treinamento é focado em cobrir essas áreas, mas não vai se aprofundar muito nessas áreas, não vai se tornar um especialista em todas essas áreas.
Isso porque, para se tornar um especialista, você vai precisar de mais tempo, de mais experiência, mas é interessante que você conheça todas as áreas, as disciplinas de segurança da informação para que você possa, ao longo desse treinamento ou também quando você começar a trabalhar na área de segurança, você já avaliar aquilo que você mais tem aptidão ou que você tem habilidades para poder se desenvolver nessa área em específico. Bom, uma das primeiras disciplinas da área de segurança da informação que você pode trabalhar é em governança, risco e conformidade. O que faz essa área, esse departamento? Governança é o ato de gestão, de governar a área da segurança.
Então, nesse departamento, nós vamos trabalhar os roadmaps de segurança, aquilo que a área de segurança quer ser no futuro, baseado também nos propósitos da empresa, aquilo que a empresa pensa nos próximos anos, onde a empresa quer estar nos próximos anos, que tipo de produto essa empresa vai lançar nos próximos anos. Então, a área de governança está totalmente focada na gestão de toda a área da segurança da informação, definindo os próximos projetos, as soluções que nós vamos implementar e os rumos para onde nós vamos seguir. Ela é apoiada também pela parte de gestão de risco, então tem essa área de risco, então pessoas especializadas em levantar os riscos da empresa e acionar tudo aquilo que eu acabei de explicar, controles de segurança e o monitoramento.
E a parte de conformidade é a área que vai trabalhar junto com o jurídico para garantir que a empresa está cobrindo todas as legislações que exigem controles de segurança e também normas. A gente vai ver também isso a fundo quando a gente cobrir essa parte aí de GRC. O próximo departamento aqui da minha lista é o de segurança de dados.
Segurança de dados vai agir junto com todas as outras áreas de segurança e também áreas de tecnologia visando sempre proteger os dados da empresa. Então, essa área de gestão de dados, segurança de dados, ela vai fazer também mapeamentos, classificação de dados e vai implementar ferramentas para que haja um certo controle, prevenção de vazamento de dados, que algumas informações estejam protegidas por criptografia, visando aí a confidencialidade ou mesmo a integridade. Então, você vai ver ao longo das disciplinas de segurança de dados o que que faz exatamente essa área e que tipo de ferramentas trabalham.
Mas, de maneira geral, você já sabe aqui que em segurança de dados, você vai sempre estar trabalhando junto com uma outra área em específico, porque, por exemplo, a parte de software, nós temos aí gestão de dados. Na parte de redes, nós temos gestão de dados. Na parte dos endpoints, nós temos segurança de dados.
Então, por isso que a gente diz que a área de segurança de dados, ela trabalha com todas as outras áreas de segurança também. Em controle de acesso, e aí é a área onde eu me especializei como primeira área dentro da área de segurança, controle de acesso, ela vai cuidar da gestão de usuários, contas de usuários nos sistemas. O que que o usuário pode ter acesso dentro dos sistemas? Então, você pensa um sistema de ERP, um sistema de CRM, que vai controlar o cadastro de clientes, os processos de venda de uma empresa, um sistema de produção.
Existem ali informações que são confidenciais e que precisam ser visualizadas somente pelas pessoas corretas. Então, a área de controle de acesso vai se encarregar de fazer o mapeamento de usuários, os mapeamentos dos direitos de cada sistema e fazer essa correlação entre usuários e sistemas, para ver a criação dessas contas, proteção de senha, autenticação. Então, isso tudo controla a parte de controle de acesso.
Em segurança de redes e infra, essa é uma das maiores áreas que nós temos, abrange muitas tecnologias diferentes e vai cuidar tanto da parte de rede, parte de telecomunicações das empresas, parte de acesso à internet ou mesmo de telefonia. Isso também, a telefonia migrou muito para a área de redes, com os telefones IP e por conta disso, essa área de segurança de redes e infra cuida dos servidores, das máquinas centrais, que nós temos da empresa e de toda a telecomunicação dessa empresa, falar com filiais, transmitir dados através de links de fibra ótica, links de internet, VPN. Então, isso tudo cuida a parte de segurança de redes e infraestrutura.
Dentro de segurança de software, o que nós vamos abordar? A gestão dos softwares que são desenvolvidos dentro da empresa e também os softwares que são comprados, adquiridos. Então, quando a empresa compra um lote de sistemas operacionais Windows 10 ou Office 365 ou qualquer outro software, Adobe e outros, você vai fazer a gestão, tanto de licenciamento, como também a gestão de segurança desses aplicativos, desses softwares, no uso diário da empresa. E quando for um software desenvolvido, aí o trabalho aumenta um monte, porque você tem que fazer toda a parte de desenho desse software, a parte de avaliação de segurança e da comunicação desse software com outros componentes.
Então, nós vamos aí abordar dentro dessa área de segurança de software, tem bastante conteúdo também para você poder conhecer. Dentro de segurança de endpoints, nós vamos administrar os computadores que ficam na mão dos usuários. E aí, não só computadores, mas hoje em dia, nós temos tablets, celulares e outros dispositivos como os IoT’s.
Tudo isso trafega na nossa rede, o usuário, por vezes, leva dados da empresa dentro desses dispositivos e, por conta disso, precisa ter uma segurança extra, uma segurança planejada pela empresa, para que não ocorram vazamentos de dados ou quando, por exemplo, um laptop, um dispositivo desse é furtado na rua, que se possa ter proteções para que se recupere esse hardware ou mesmo que se possa remover as informações que estão ali em risco para a companhia. Então, a área de segurança de endpoints é que vai fazer essa gestão, tanto dos dispositivos que estão lá com os usuários, como os dispositivos IoT’s e aí a gente vai abordar um pouco mais sobre isso. Cloud Security é uma área praticamente nova, não são todas as empresas que têm um departamento ou profissionais dedicados à segurança na nuvem, isso porque não são todas as empresas que fazem uso de serviços de provedores de nuvem, como AWS, Azure ou Google Cloud ou Oracle.
Se a empresa faz um uso mais intensivo ou tem uma arquitetura mais complexa, que está hospedada em serviços de nuvem, nesses provedores, aí sim faz sentido que a empresa tenha um departamento para cuidar da segurança de Cloud Security. Em segurança física, nós vamos abordar também a parte de segurança de datacenters, como que pode funcionar para evitar roubos e furtos de equipamentos, recursos que você pode adotar, background check de funcionários e outros aspectos aí. Vai passar um pouco aí, arranhar um pouco a parte de segurança institucional, nós vamos ver alguma coisa de vigilância patrimonial, que vai cuidar dos bens da empresa, mas de maneira geral segurança física já tem bastante assunto para tratar dentro da área de tecnologia.
O departamento de inteligência de segurança, ele é responsável por monitorar a parte da empresa, monitorar os recursos para verificar se ocorre um ataque ou identificar o ataque quanto antes se possa identificar, para evitar e acionar os nossos planos de contingência, os planos de resposta. Então, essa área de inteligência de segurança, normalmente é onde trabalham os pentesters. Então, se você quer ser aquele profissional que é o hacker ético ou hacker do bem, gosta de tecnologia ao ponto aí de explorar vulnerabilidades e tudo mais, provavelmente a área que você vai mais gostar de atuar ou que você vai ter mais interesse é a parte de inteligência de segurança, que também cuida da parte de forense.
Então, depois que a empresa foi atacada, é necessário fazer uma avaliação para ver por onde que o atacante entrou, qual foi o vetor de ataque que ocorreu. Então, essa área também cuida da parte forense, quando é necessário fazer uma investigação posterior a um ataque ou posterior a um crime digital. Então, nós vamos abordar esses temas lá também em inteligência de segurança.
E o último aqui da minha lista é o time de resposta a incidentes. Então, ele é o último, mas também não é o mais simples. Em resposta a incidentes, é uma turma que é preparada, junto com o time de riscos, a levantar os problemas que existem dentro da companhia e preparar a companhia para o pior.
Então, se uma empresa sofre um incêndio, é o time de resposta a incidentes que vai planejar tudo aquilo que nós funcionários temos que seguir quando for detectado um incêndio. E aí, aqui eu dei um exemplo que é bem notório, o incêndio. Mas, poderia ser um ataque cibernético ou um crime digital ou alguma coisa assim, uma perda de dados, um vazamento de dados.
Então, o time de resposta a incidentes, ele vai cuidar, junto com o time de gestão de risco, de planejar tudo aquilo que a gente deve fazer quando ocorrer uma situação desagradável. Então, esse é o time que vai fazer a empresa voltar a funcionar o mais rápido possível, para que ela possa começar a gerar receita, porque, como eu expliquei, uma empresa sem receita, ela vai à falência. Então, veja que é bem importante todas essas áreas de segurança.
Nós vamos trabalhar muito em conjunto com outras áreas. Vai ter muito o que a gente chama de overlapping, que é quando duas áreas diferentes tratam às vezes do mesmo assunto, mas a gente vai tentar desmistificar aqui com você, tudo aquilo que você precisa saber para trabalhar em uma dessas áreas aqui. E já fica o meu recado aqui, se você já tem interesse ou já tem uma aptidão numa certa informação aqui, ah, eu gosto bastante de cloud ou eu tenho conhecimento de infra, gostaria de trabalhar nessa área, normalmente as pessoas mais bem sucedidas na área de segurança são aquelas que trabalham em uma área que já tem conhecimento prévio.
Então, eu fui um caso desses, eu já tinha conhecimento prévio na área de redes, de infraestrutura, então eu comecei a trabalhar na área de segurança com essa parte de redes e infraestrutura. Depois eu acabei migrando para a área de controle de acesso e você pode fazer esse mesmo caminho também. Então, você pode começar numa área onde você já atua, já tem mais experiência e depois migrar para uma outra área que você tem maior interesse.
Então, resumindo aqui essa primeira aula, nós falamos aqui sobre o que é segurança, os quatro pilares de segurança que você sempre tem que estar pensando o tempo todo, incluindo ali privacidade, gestão de risco, algo que você sempre vai estar fazendo, elaborando ou analisando o risco de problemas acontecerem dentro da empresa, os controles de segurança, então a gente não pensa somente nas desgraças, mas também nas soluções para esses problemas. Então, eu sempre penso em algo ruim que pode acontecer e como evitar ou como amenizar, resolver aquele problema se aquele algo ruim é inevitável, não é mesmo? E também o monitoramento. Então, além de eu avaliar o que pode acontecer, o que eu devo fazer, eu tenho que monitorar para ver se isso acontece.
E comentei aqui mais no final as áreas de segurança onde você pode trabalhar. Era isso que eu tinha para falar sobre a parte de introdução à segurança. E para a próxima aula, já deixo o gancho aqui, nós vamos verificar como as empresas fazem a gestão da segurança.
Então, como que você pode gerenciar segurança, né? Agora que você já aprendeu que você precisa proteger, como que essa empresa gerencia isso tudo? Então, engata agora já na próxima aula se você gosta de maratonar, se não, você pode encerrar por aqui e continuamos a nos ver na próxima aula. Obrigado!