Diferenças entre ISO 27001 e 17799

Primeiro é importante citar o título das devidas normas.
ISO 17799 : Code of practice for information security management
ISO 27001 : Information Security Management Systems - Requirements

Então a primeira é um "códico de práticas" e a segunda é "requirementos (hum!) para sistema de gestão de segurança da informação".
Na primeira, você não é obrigado a seguir as RECOMENDAÇÕES, já na segunda todos os itens do item 4.2 são obrigatórios.

Outra questão que se é comum o erro, é a certificação; Não é possível certificar ISO 17799, apenas ISO 27001.
Há a certificação BS 7799 (part1) que é a versão inglesa (Britanish Standart) e progenitora da ISO 17799.
No entando, não há certificação BS 7799 (part2), mas há a certificação ISO 27001.

em outra oportunidade, se houver interesse, posso falar mais sobre a interação e evolução dessas normas

Com esses conceitos em mente, fica muito fácil entender as diferenças (ou semelhanças) e nuances entre essas normas.

A ISO 27001 é uma norma que gere segurança na corporação, ou seja, cria um sistema de segurança (SGSI) dentro da sua empresa. Isso em nenhum momento garante segurança, eu costumo falar que, com um sistema desses implementado, você consegue "ver" o problema de segurança MUITO mais facilmente. Nesta norma ela contém controles de segurança, apenas cita, por exemplo, o controle A.9.1.1 é Perímetro de Segurança Física, o que isso quer dizer? Que as áreas de segurança que você (security officer, gestor, diretor, etc...) definir que uma determinada área é de segurança devem ser protegidos por meios de barreiras lógicas ou físicas. Essa definição é MUITO abragente,e pode ter várias interpretações. Nesse momento é que entra a ISO 17799, pois nessa ISO contem todos os controles que tem na ISO 27001 só que com explicações e exemplos de implementação. Isso ajuda MUITO na implementação numa corporação.
Interessante acrescentar também que os controles não são co-relacionados, ou seja, um controle que na ISO 27001 é o número 10, não quer dizer que na ISO 17799 seja o mesmo número, até porque as duas normas tem revisão em diferentes times.

Em suma podemos dizer que a ISO 17799 está contida na ISO 27001.
Como é uma norma de sistema de segurança, a ISO 27001 também contem várias pitadas de outras ISO, por exemplo a ISO 15408 (segurança no desenvolvimento), mas não quer dizer que ao atender 100% a ISO 27001 você atenderá a ISO 15408 ou o ITIL, que também dá suas caras dentro dessa ISO, digamos que essas metodologias "emprestam" seus controles.

Por exemplo, na ISO 27001, o controle A.10.3.2 (Aceitação de sistemas), ou seja, HOMOLOGAÇÃO, mesmo na ISO 17799 se você buscar informações sobre esse controle, não será nem de perto as informações que você encontra na ISO 15408. Isso indica uma nova tendencia das normas ISO, que é a convergência em um ponto, resultado de várias interseções (outras ISO).

E na auditoria? Como dito anteriormente, só há a certificação ISO 27001, e não a ISO 17799, portanto... Você audita com base na ISO 27001. MAS isso não quer dizer que um serviço de auditoria não utilize a ISO 17799, pois ela é usada como referência ou "tira-dúvidas" do controle. Mas nada obrigatorio, debaixo do braço obrigação é a ISO 27001, o resto é "material de apoio".

O selo 27001, contem um descritivo do escopo, ou seja quando uma empresa fala que é certificada ISO 27001, leia o selo porque ela pode ser certificada apenas no CPD, ou na sala de xerox. Nada impede que se faça isso, e também não é errado a empresa falar que é certificada 27001 quando se certifica apenas uma máquina ou o cpd - sem problema nenhum, apenas marketing.

Custos; Hoje a obtenção do selo 27001 varia de acordo com o orgão certificador, mas sempre são caros. Não há nada tabelado e tudo é acordado, por exemplo, a empresa certificadora (a qual emite o selo) pode nao arcar com nenhum custo de viajem ou hospedagem do auditor. Mas se acordado, as coisas podem mudar. (Bem Vindo ao capitalismo)

Bom, em um primeiro momento, a intenção realmente é explanar a diferença entre essas normas.
Este post foi copiado do FORUM da www.istf.com.br

LePhone, o SmartPhone com Android da Lenovo

A Lenovo irá lançar em breve um interessante SmartPhone para disputar o mercado. Trata-se do LePhone. O aparelho será fabricado na China inicialmente. Este modelo possui especificações até semelhantes as do Nexus One, o SmartPhone da Google.
Entre as especificações encontram-se tela touchscreen de 3,7″ com resolução de 480 x 800 pixels, teclado QWERTY completo e duas câmeras de 3 megapixels. O aparelho ainda virá com rádio WCDMA, Wireless, Bluetooth (tudo fica melhor com Bluetooth), 3G, GPS e um processador Qualcomm de 1Ghz.
Ainda não há previsão de lançamento na Europa, EUA ou em outras localidades.

Criminosos aproveitam falha no Adobe Reader

SÃO PAULO – Criminosos passaram a utilizar técnicas avançadas para tirar proveito das falhas no Adobe Reder antes do dia 12, quando a empresa fará uma atualização de segurança.

O procedimento consiste na criação de um PDF com malware e reduzir o tamanho do arquivo para 38 bytes ou menos, o que torna difícil a detecção da ameaça.

Segundo a Total Virus informou que apenas quatro dos 41 principais antivírus conseguiram identificar o código malicioso. O processo de reconhecimento demorou seis dias para ser realizado, mesmo com os sistemas que avaliam a reputação de arquivos e sites.

Segundo a empresa, entre as empresas que conseguiram detectar o malware estão a Sophos, TrendMicro, F-Secure e BitDefender.

A Adobe planejou uma atualização geral em sua linha de produtos que deve corrigir diversas falhas de segurança em seus produtos. A companhia recomenda que os usuários evitem abrir documentos de procedência duvidosa em suas máquinas.

Lente Óptica Eletrônica, O Formato das Coisas que Virão?

A tecnologia imaginada nas séries/filmes e nos grandes clássicos da Sci-Fi cada vez mais se aproxima da realidade, e uma prova disto é este protótipo para uma lente óptica eletrônica, uma espécie de “tela” semi-transparente com luz LED integrado em uma lente de contato que recebe 330 microwatts sem fio através de um transmissor de rádio frequência. No futuro, este tipo de lente poderia ser usada em outras coisas como binóculos digitais, visão noturna ou até mesmo sensores que informariam o nível de glicose no sangue, por exemplo.
A ideia é que no futuro, uma lente de contato tenha centenas de LEDs que formariam imagens na frente do seu olho, uma visão biônica como a de Steve Austin. Difícil também não lembrar do Exterminador do Futuro e do Iron Man (lembra do Jarvis?). Segundo o pesquisador Dr. Babak Parvis (sem trocadilhos, por favor) da Universidade de Washington (em Seattle), “já é possível imaginar um futuro no qual uma simples lente de contato pode se tornar uma plataforma de verdade, como o iPhone é hoje, no qual seria possível rodar diferentes programas”.
É claro que ainda existe um imenso caminho a ser percorrido, mas é difícil não ficar empolgado. O Dr. Parvis fala em colocar um transmissor em um próximo protótipo. Agora imagine uma lente de contato com uma câmera para tirarmos fotos e enviá-las sem fio para um celular ou notebook?

Proteja seu Backup de Terremotos, Terroristas e Tsunamis!

O seu backup está bem protegido? Tem certeza? Para proteger seu backup de maneira profissional você precisa do sistema Axxana Phoenix System, uma caixa preta praticamente indestrutível.
O Axxana Phoenix System é um disk array de estado sólido criado para resistir a qualquer eventualidade. O Phoenix System pode resistir a terremotos com choques até 40Gs e 2.200 quilos de pressão (para o caso de ser soterrado por entulho)
Em caso de fogo o Phoenix System pode aguentar chamas diretas e uma temperatura de até 1.100 graus Celsius durante 1 hora ou 232 graus Celsius por até 6 horas.
E se o seu escritório for submergido por uma Tsunami o Phoenix System é capaz de sobreviver até 9 metros em baixo d’água. O sistema também vem com wi-fi e antena 3G para que você possa acessar os seus dados de qualquer lugar.

O preço do Axxana Phoenix System não é informado, mas já dá para imaginar que não custa barato. Mais informações no site da Axxana.

Nota fiscal eletrônica: certificados expõem empresas a riscos

Segundo especialista, cerca de 95% das companhias que adotaram o sistema estão desprotegidas por vulnerabilidades.

Após período de implantação nas empresas, a nota fiscal eletrônica (NF-e) é realidade na maioria das transações que antes se valia de documentos em papel. O mercado de tecnologia da informação se apressou em oferecer diversas soluções, desde o fornecimento de módulos para sistemas de gerenciamento de negócios já existentes até a terceirização da emissão das notas.

Para a emissão de notas, as empresas precisam comprar certificados digitais que validarão a assinatura dos documentos. No entanto, muitas companhias podem se deparar com problemas, já que o tipo de certificado mais adotado, o A1, traz vulnerabilidades. Se chegarem às mãos de pessoas mal intencionadas, correm o risco de serem usados para emissão de notas em nome da empresa.

Segundo o especialista em segurança de informação da consultoria Epsec, Denny Roger, já existem vários casos de empresas que sofreram com algum tipo de fraude. E investigações que correm em segredo de justiça mostram que os problemas foram causados por certificados digitais utilizados indevidamente.

Roger faz uma analogia entre o início do Internet Banking no Brasil, quando as empresas tinham somente uma senha simples de acesso à conta com a situação do certificado A1. “Depois que as fraudes nas contas correntes explodiram, as instituições foram atrás de soluções. O mesmo deve acontecer com os certificados digitais para emissão das notas eletrônicas", diz.

De acordo com o especialista, há grupos que defendem a substituição dos certificados A1 por certificados A3, instalados em um hardware ou smartcard; em tese, invioláveis. O presidente da NFe do Brasil, Marco Zanini, afirma que não há a necessidade de eliminar o certificado do tipo A1, pois ele pode ser mantido em segurança.

Bastaria, para isso, implantar, nas operações da empresa, módulos de segurança conhecidos por HSM (Hardware Security Module). Eles podem ser instalados diretamente na estrutura de servidores para assinar digitalmente e com segurança todas as notas.

Apesar disso, Zanini concorda que a maioria das corporações estão expostas a riscos. “Eu diria que, se hoje houver 10 mil empresas emitindo nota fiscal eletrônica, no Brasil, somente 500 estão seguras e utilizam a proteção adequada”, afirma.

O executivo acrescenta que seria inviável manter um certificado A3 para altos volumes de transação, já que esta versão exige senha de acesso cada vez que é utilizada. Já o gerente de certificação digital da Serasa Experian, Igor Ramos, acredita que o risco com o certificado digital A1 está muito mais relacionado à corrupção do arquivo do que à existência de fraudes. “Hoje as companhias já contam com formas eficazes de proteção”, diz.

Por outro lado, destaca, se o arquivo sofrer algum dano, causado ou não por terceiros, e não houver plano de contingência, a companhia pode ficar algum tempo sem emitir notas e deixará de fazer negócios.

Programa do Bradesco Ganha Versões para Windows Mobile 6.5 e Android

Clientes do Bradesco agora foi o primeiro banco brasileiro a lançar uma versão para o novo sistema operacional da Microsoft para celulares, o Windows Mobile 6.5, e que o programa já está disponível para download na loja Windows Marketplace for Mobile. Com este aplicativo eu posso consultar o saldo da minha conta, fazer transferências e também fazer pagamentos de contas usando o código de barras em qualquer lugar.
Além da versão para Windows Mobile 6.5, o Bradesco também está lançando uma versão para celulares com o sistema Android do Google, que está sendo lançado no Brasil em aparelhos como o HTC Touch 2 e o Samsung Omnia 2, entre outros. Assim que testar cada uma destas versões eu farei uma atualização neste post com mais imagens e outras informações.