:: Sarbanes-Oxley e o Impacto Sobre a Governança de TI

1. Governança Corporativa e Governança em TI Governança é, segundo os dicionários, o ato de governar-se. O conceito de Governança Corporativa surgiu nos Estados Unidos e na Inglaterra no final dos anos 1990 e está relacionado à forma como as empresas são dirigidas e controladas. A governança surgiu visando garantir o componente ético da organização, representado por seus diretores e outros funcionários, na criação e proteção dos benefícios para todos os acionistas. Isto significa dizer que as empresas precisam saber quem toma as decisões e quais os processos pelas quais essas decisões são tomadas. Não vale para qualquer atitude adotada na empresa, deliberações sem grande relevância. Vale para decisões importantes, de grande valor para a organização. Governança em TI (Tecnologia da Informação) é uma derivação de Governança Corporativa, termo que tem hoje grandes aplicações no mundo empresarial. A Governança em TI inclui estruturas de relacionamentos e processos que tem como objetivos dirigir e controlar a organização para que esta alcance seus objetivos mas que, simultaneamente, devem equilibrar os riscos em relação ao retorno da tecnologia de informação e a seus processos. São estruturas e processos que permitem controlar a execução e a qualidade dos serviços, viabilizando o acompanhamento de contratos internos e externos, ou seja, a Governança em TI define as condições para o exercício eficaz da gestão com base em conceitos consolidados de qualidade. 1.1. Desenvolvendo uma estrutura de Governança em TI A Governança em TI visa designar os direitos de decisão nas questões relevantes com o propósito de atingir os objetivos de negócio da organização. Em muitas organizações este processo se inicia pela demonstração dos riscos envolvidos na falta de controle sobre o ambiente de TI. Assim, foram identificadas cinco áreas de domínios relevantes para as decisões de TI: Princípios de TI – regras que norteiam o direcionamento e o controle dos processos dentro da estrutura corporativa; Arquiteturas de TI – capacidade instalada de tecnologia da informação, padrões de tecnologia, modelos de dados etc; Aplicações de negócios de TI – como decide e quem decide em relação às soluções de negócios; Estratégia de infra-estrutura de TI – como vai dispor da capacidade instalada; Investimentos em TI – como priorizar os recursos aplicados em TI. Internamente, a governança deve desenvolver competências e designar os direitos de decisão nas questões de real valor tendo por fim atingir os objetivos de negócio. Neste aspecto, a governança em TI se apresenta como uma estrutura bem definida de relações e processos que controlam e dirigem uma organização dentro de um cenário de extrema competitividade. O foco é permitir que as perspectivas de negócios, de infra-estrutura, de pessoas e de operações sejam levadas em consideração no momento de definição do que mais interessa à empresa, alinhando a tecnologia da informação à essa estratégia. 1.2. Dificuldades na adoção da Governança em TI A adoção acelerada de processos de gestão de infra-estrutura nas empresas, dentro do conceito de Governança em TI, tem como principal motivação, internamente, a cobrança sobre os responsáveis pelas operações de tecnologia da informação quanto à maximização do uso dos investimentos já realizados. Por trás desta iniciativa está a preocupação das empresas com melhorias nos seus processos operacionais, redução de custos, aumento da eficiência de seus colaboradores, aperfeiçoamento de relações com fornecedores, parceiros e clientes. Entretanto, com a contínua evolução da infra-estrutura de TI, incluindo a tarefa de gerenciar soluções heterogêneas de diferentes fornecedores, as organizações têm hoje uma grande dificuldade em manter os custos operacionais sob controle. A elevada complexidade de gerenciamento é uma das principais razões pelas quais as organizações têm sido forçadas a incrementar seus orçamentos e equipes de TI, dedicando entre 70% a 80% dos recursos disponíveis somente para a manutenção dos sistemas e aplicações existentes. 1.3. Motivação para uma Governança em TI Recentemente, a Governança em TI ganhou um novo impulso dentro do contexto das corporações devido as crescentes preocupações com a governança corporativa, como resultado dos escândalos financeiros ocorridos nos Estados Unidos com empresas de grande expressão, o que gerou prejuízos financeiros aos investidores comparáveis ao crack da Bolsa de Valores de Nova York em 1929. Em dezembro de 2001, a empresa norte-americana Enron entrou em falência, dando início a uma série de outros escândalos corporativos envolvendo outras grandes empresas (Tyco, Global Crossing, Qwest, Merck, Halliburton, Lucent, Vivendi, Xerox e Parmalat entre outras), o que colocou na ordem do dia questões como ética nos negócios, transparência, governança corporativa, conflitos de interesse entre acionistas e gestores das corporações, conflitos entre acionistas minoritários e os controladores, conflitos entre as corporações e a sociedade. Por fim, a crise colocou em xeque os sistemas de gestão até então vigentes. O mercado reagiu à esta onda de escândalos adotando várias iniciativas, próprias ou derivadas de leis, que obrigam uma maior transparência da gestão. Podemos citar o Acordo de Basiléia II, em 2001, voltado para os aspectos financeiros e de transparência das empresas e o Ato Sarbanes-Oxley, de 2002, com leis voltadas para definição de critérios de governança. Essas leis criaram regras que se espalharam pelas organizações no mundo todo e chegaram até as áreas de Tecnologia da Informação. 2. O Ato Sarbanes-Oxley Em 30 de julho de 2002, o congresso americano promulgou o Ato Sarbanes-Oxley, elaborado pelos senadores americanos Michael Oxley e Paul Sarbanes. O escopo da legislação federal "The U.S. Public Company Accounting Reform and Investor Protection Act of 2002", mais conhecida como Sarbanes-Oxley Act of 2002, ou simplesmente SOX, contém 11 títulos e foca principalmente a responsabilidade penal da alta administração. Esta lei, que teve como objetivo restabelecer e aumentar a confiança do investidor e a sustentabilidade das corporações, afetou a forma como as empresas de capital aberto passaram a relatar suas operações financeiras. A SOX acabou apresentando um impacto significativo sobre a área de Tecnologia da Informação das organizações ao nível mundial uma vez que se insere no âmbito da governança corporativa e apresenta artigos diretamente voltados para a área de TI. Com a lei, rígidos parâmetros legais foram impostos às companhias de capital aberto e suas respectivas subsidiárias, cujas ações são negociadas em Bolsas (NYSE e Nasdaq), o que inclui também algumas corporações estrangeiras que negociam ADR’s (American Depositary Receipts - recibos de depósito americano de ações de empresas estrangeiras) não negociáveis no país de origem. No Brasil, essa lei se aplica às empresas com ações negociadas nos mercados de capitais dos Estados Unidos, ou seja, multinacionais de capital americano e empresas brasileiras com ações naquele país. No entanto, as responsabilidades criadas pela lei são de interesse de todas as empresas que queiram se atualizar sobre práticas de gestão de riscos, que estão entrando em vigor nos Estados Unidos e que, em curto prazo, terão ressonância mundial. 2.1. Responsabilidades da Lei Em suas 1107 seções, o Ato Sarbanes-Oxley imputa responsabilidades nunca vistas perante os diretores de corporações, que vão desde o pagamento de multas ao cumprimento de penas de reclusão e sanções estendidas aos auditores que atestarem balanços com números fraudulentos. As seções 302 e 404 são as mais comentadas, sendo que a seção 302 trata da responsabilidade pessoal dos diretores executivos e diretores financeiros e a seção 404 determina uma avaliação anual dos controles e procedimentos internos para fins de emissão dos relatórios financeiros. É, portanto, a seção que mais impacta a área de TI. Como não é possível separar processos de negócios e tecnologia no panorama corporativo atual, uma avaliação da infra-estrutura operacional e pessoal de TI das empresas é igualmente requerida. A Seção 404 do Ato Sarbanes-Oxley é o principal foco de atenção das empresas neste particular, por trazer as determinações sobre os controles de processos internos e sistemas contábeis da empresa. Esta seção determina uma avaliação anual dos controles e processos internos para a realização de relatórios financeiros, com a obrigação de emissão de relatório a ser encaminhado à SEC (Security Exchange Comission - órgão regulador das empresas de capital aberto dos EUA), uma instituição equivalente à Comissão de Valores Mobilários (CVM) no Brasil, que ateste estes parâmetros. Este relatório deve conter:  Atestado de responsabilidade dos administradores da empresa e manutenção da estrutura dos controles internos e demais procedimentos; Avaliação e relatório de cumprimento de metas, ao final de cada ano fiscal, da eficácia dos procedimentos internos adotados para emissão de relatórios financeiros; Declaração que o auditor independente da companhia atestou a avaliação dos procedimentos elaborada pela administração. É importante salientar que o Ato Sarbanes-Oxley requer mais do que a documentação citada ou o estabelecimento de controles financeiros. Ao regular a atividade de contabilidade e auditoria das empresas de capital aberto, a SOX reflete diretamente seus dispositivos nos sistemas de tecnologia da informação. 2.2. Segurança da Informação e SOX Por força do Ato Sarbanes-Oxley, temos a obrigatoriedade da observância de práticas de segurança em sistemas e redes e critérios rígidos para uso de aplicações terceirizadas por companhias que se encontram ao alcance da lei. Invasão de sistemas, ataques, vírus, acesso indevido a bancos de dados, fraudes de senhas e demais ameaças à segurança da informação de uma corporação podem, se não houver prova suficiente de adoção de medidas preventivas coordenadas com os parâmetros da seção 404, implicar em responsabilidade direta dos administradores, surgindo daí possibilidades concretas de sanções civis e penais. Neste momento, dois pontos devem ser observados cuidadosamente no que se refere ao uso dos sistemas de informação inserido no âmbito do Ato Sarbanes-Oxley: Segurança de sistemas de informação - A adequação do conteúdo da SOX deve ocorrer entre toda a cadeia de comunicação da empresa, principalmente nos recursos concernentes a informações financeiras. Sistemas de gestão - ERP (Enterprise Resource Planning), aplicativos contábeis, sistemas de relacionamento com clientes - CRM (Customer Relationship Management), Sistemas de gerenciamento de cadeia de suprimentos (Supply Chain Management), em conjunto com as demais aplicações de comunicação, banco de dados e armazenamento de informações precisam estar em sintonia com as regras adotadas na legislação. Consequentemente, a atenção do administrador deve se estender à utilização de todo e qualquer recurso tecnológico da empresa por parte dos funcionários e as políticas de segurança da informação adotadas devem ser adaptadas ao teor do Ato Sarbanes-Oxley. Uma atenção especial também deve ser conferida a terceirização (outsourcing) de serviços; Controle de registros - Um arquivo de registros de procedimentos é fundamental para a tranqüilidade dos administradores. Estes registros devem ser tanto tangíveis (em papel) ou intangíveis (arquivos digitais e demais mídias) e a redundância em sistemas de backup é altamente recomendada. No bojo da lei encontram-se disposições que penalizam severamente a falsificação, destruição e perda de documentos e registros, bem como prevêem a observação de prazos para seu armazenamento após o fechamento de cada exercício fiscal.  3. SOX é eficaz? A Lei Sarbanes-Oxley é extensa e detalhada, apresentando diversas regras que devem ser implementadas. No entanto, seu principal objetivo é transformar os princípios de uma boa governança corporativa em leis, evitando assim o surgimento de fraudes nas empresas. Todavia, grande parte da discussão – e das incertezas – em torno da eficácia da SOX está centrada nas seções 302 e 404. Por exemplo, os requisitos da SOX não fazem nenhuma distinção com base no tamanho da receita de uma empresa, ou seja, empresas de tamanho pequeno a médio (departamento de TI) enfrentam os mesmos desafios tanto orçamentários quanto com pessoal, em seus esforços para corresponder a SOX. Isto leva a concluir que empresas de maior porte encontrarão desafios pouco diferentes das de pequeno e médio porte. Entretanto, a proporção da estrutura de controles internos em prática terá influência significativa sobre as atividades de cada uma. Embora a maioria dos profissionais que conhecem os requisitos para a conformidade com o Ato Sarbanes-Oxley reconheça na lei um objetivo interessante, há controvérsia sobre se os requisitos de relatório existentes seriam suficientes para atender todas as necessidades. Entretanto, todos concordam que o mais importante é que a conformidade SOX seja vista como um processo contínuo, não como um evento único. Se executado adequadamente, o processo dará aos CFO’s (Chief Finance Officer), CIO’s (Chief Information Officer) e CEO’s (Chief Executive Officer) a oportunidade para abordar questões importantes para o fluxo de informações na empresa como sistemas desatualizados, questões de falta de pessoal e de documentação e processos obsoletos. Neste caso, a implementação de novos processos, procedimentos ou aplicativos para a conformidade SOX deve beneficiar a empresa como um todo e a Tecnologia da Informação se torna crítica para o sucesso da conformidade SOX, assim como o suporte dos diversos ambientes empresariais será crítico para o sucesso da TI. 4. Padrões de procedimentos e controles internos A conformidade Sarbanes-Oxley apresenta um impacto significativo sobre a estrutura de TI da maioria das empresas. No entanto, um grande problema se apresenta: não existem especificações sobre que controles têm de ser estabelecidos dentro da estrutura de TI para a conformidade com a nova legislação. A seção 404 da SOX determina uma avaliação anual dos controles e procedimentos internos para a emissão de relatórios financeiros. Além disso, o auditor independente da empresa deve emitir um relatório distinto que ateste a asserção da administração sobre a eficácia dos controles internos e dos procedimentos executados para a emissão dos relatórios financeiros. A avaliação fornecida aos auditores independentes deve ser bem documentada e abrangente. Um checklist resumido com essa finalidade inclui: Informações acerca do ambiente de controles gerais da empresa; Descrição do processo adotado pela administração para identificar, classificar e avaliar riscos que possam impedir que a empresa alcance seus objetivos de emissão de relatórios financeiros; Descrição completa dos objetivos de controle criados pela administração para direcionar os riscos identificados e as respectivas atividades de controle; Descrição dos sistemas de informática e procedimentos de comunicação adotados para fornecer suporte ao tópico anterior; Resultados e documentação-suporte da avaliação mais recente feita pela administração sobre a eficácia do desenho e das operações das atividades individuais de controle; Relação de todas as deficiências encontradas no desenho e na implementação das atividades de controle, bem como os procedimentos propostos para sua correção; Descrição do processo adotado para comunicar deficiências significativas e insuficiências materiais aos auditores independentes e ao Comitê de Auditoria; Descrição dos procedimentos de monitoramento executados para assegurar que a estrutura de controles internos está operando conforme planejado e que os resultados dos procedimentos de monitoramento são revisados e executados; Descrição do processo de criação da divulgação e das atividades de controle relacionadas. Para possibilitar agilidade, flexibilidade e inovação para a organização, uma das necessidades que devem ser satisfeitas é o estabelecimento de uma nova arquitetura de sistemas de informação, aliada aos novos recursos de interconexão, Internet, ferramentas de workflow, bancos de dados e algoritmos de datawarehouse, dataming e sistemas de business intelligence. 4.1. Adoção de padrões de documentação e controle Como não há menção específica sobre o que a TI precisa fazer para atender a conformidade SOX, existe a possibilidade de utilizar um dos vários padrões disponíveis para definir e documentar os controles internos da empresa. Esta tarefa tem sido facilitada pela adoção de ferramentas, indicadores e metodologias que auxiliam os profissionais no dimensionamento e uso efetivo dos sistemas. Segundo a seção 404 da SOX, os aplicativos e correspondente infra-estrutura que sustentam processos-chave, objetivos do controle e afirmações relevantes relacionadas a contas e divulgações significativas nas demonstrações financeiras devem ser incluídos no escopo do processo de avaliação dos controles internos da administração. Considerando que os aplicativos de TI freqüentemente suportam o início, a autorização, o registro, o processamento e a divulgação de transações financeiras, os controles de TI devem representar uma parte integrante do controle interno sobre os relatórios financeiros (ICOFR – Internal Control Over Financial Reporting). Convém ressaltar que aplicativos de TI voltados ao usuário final, tais como planilhas eletrônicas e relatórios, podem apresentar uma empresa com um conjunto exclusivo de necessidades de controles gerais de TI. Isso porque ao disponibilizar para o usuário final tais tipos de ferramentas mais flexíveis, aumenta o risco de erros nas demonstrações financeiras derivados de dados incompletos ou incorretos. Uma vez que o resultado proveniente desses aplicativos freqüentemente toma o caráter de documento oficial, no qual a administração irá confiar no processo de preparação dos seus relatórios financeiros, eles deverão ter os seus controles internos identificados e incluídos no processo de documentação e testes. Atualmente, somam-se às soluções conhecidas e tradicionais, como BSC (Balanced ScoreCard), ROI (Return on Investment), TCO (Total Cost of Ownership), EVA (Economic Value Added), outros modelos que começam a ser empregados pelo setor corporativo, como o COBIT (Control Objectives for Information and Related Technology), ITIL (IT Infrastructure Library), e CMM (Capability Maturity Model). A seguir será feita uma breve descrição das principais características das metodologias BSC, COBIT, ITIL E CMM: 4.1.1. BSC A metodologia BSC foi criada no início da década de 1990 por Robert Kaplan e David Norton, professores da Harvard University (EUA). Ela permite a uma empresa obter uma base mais ampla para a tomada de decisão, considerando quatro perspectivas: a financeira (segundo a visão dos acionistas), a dos clientes, a de processos internos de negócios e a de inovação. Ela permite mostrar o que é mais crítico, possibilitando direcionar os recursos para os processos que de fato adicionarão valor à empresa. A tecnologia é uma peça importante para colocar o BSC em funcionamento, mas não é suficiente porque a metodologia interage com a cultura da corporação. Por ser complexa e envolver toda a estrutura empresarial, a adoção desse modelo deve partir da alta direção ou mesmo do próprio presidente da empresa. Trata-se de um modelo flexível, que permite ajustes ao longo do tempo. O emprego dessa metodologia possibilita uma visão ampla, geral e integrada da empresa, através de diversos painéis e o seu projeto de construção se aplica a qualquer empresa, independente do ramo de atividade e porte. O BSC permite ainda: Visão dos negócios a partir de perspectivas diferentes; Melhor elaboração e monitoramento das estratégias; Análise das relações de causa e efeito a partir de um macro indicador; Alinhamento e compartilhamento da visão e metas desde o nível estratégico até o tático e operacional; Melhor definição dos planos de ações; Agilidade no processo de decisão; Colaboração por meio de mecanismos para compartilhar a informação analítica. Tendo a metodologia BSC como uma opção de gestão na Governança em TI pode-se realizar a avaliação e a gestão de uma organização não apenas de forma restrita às medidas tradicionais de resultados e desempenho financeiro, mas, complementá-la com medidas de outras três dimensões: a atenção na satisfação dos clientes, nos processos internos e na capacidade de inovação e aprendizado. Essas dimensões adicionais garantem, quando integradas, resultados futuros e não simplesmente uma visão dos resultados passados, obtidos dentro de uma perspectiva de gestão puramente financeira. 4.1.2. COBIT Desenvolvida em 1996 nos Estados Unidos, a metodologia COBIT foi criada pelo Information System Audit and Control Association (ISACA) a partir de ferramentas de auditoria, funcionando como uma espécie de guia para a gestão da TI nas empresas. A metodologia apresenta padrões independentes de plataforma com aproximadamente 300 objetivos genéricos agrupados sob um conjunto de componentes: sumário executivo, framework, controle de objetivos, mapas de auditoria e um conjunto de processos de trabalho já estabelecidos e empregados pelo mercado entre os quais se inclui o CMM, a ISO 9000 (para qualidade), BS7799/ISO 17799 (normas para segurança da informação) e o ITIL (para gestão do departamento de TI). O COBIT independe das plataformas de TI adotadas pelas empresas e seu uso é orientado a negócios, no sentido de fornecer informações detalhadas para gerenciar processos. Ao examinar e aplicar as diretrizes e práticas do COBIT é necessário personalizar esses objetivos de acordo com as necessidades específicas do ambiente. A maioria dos auditores para a conformidade SOX adotou o COBIT com uma quantidade reduzida de controles visando melhor atender o ambiente. A metodologia é voltada para três níveis distintos: para gerentes que necessitam avaliar os riscos e controlar os investimentos de TI; para os usuários que precisam assegurar a qualidade dos serviços prestados para clientes internos e externos; e para auditores que necessitam avaliar o trabalho de gestão da TI e aconselhar o controle interno da organização. O foco principal é apontar onde devem ser feitas melhorias. Nos casos onde é necessário o exame, desenvolvimento e implementação de novos procedimentos e controles manter uma política de revisão constante com o objetivo de manter a eficácia os mesmos é muito importante. Cabe aqui apresentar algumas recomendações práticas sobre os controles: A freqüência da revisão dos itens de controle pode ser semanal, mensal, trimestral etc, conforme as necessidades; Os objetivos de controle devem ser tão simples quanto possível; As atualizações da revisão devem ser devidamente documentadas e armazenadas; O processo de revisão deve perturbar o mínimo possível as funções rotineiras; Preferencialmente o processo de revisão deve ser automatizado e as atualizações produzidas sistematicamente. 4.1.3. ITIL Criado no final dos anos 1980 pela Central Computing and Telecommunications Agency para o governo britânico, o ITIL reúne um conjunto de recomendações, sendo dividido em dois blocos: suporte de serviços (service support), que inclui cinco disciplinas e uma função e entrega de serviços (service delivery), com mais cinco disciplinas. Complementar ao COBIT, o ITIL é uma série internacional de documentos usados como auxílio à implementação de uma estrutura de gerenciamento de serviços de TI. Trata-se de uma biblioteca que descreve as melhores práticas de gestão, especificamente elaborada para a área de Tecnologia da Informação. Os pontos focados apresentam as melhores práticas para a central de atendimento, gerenciamento de incidentes, gerenciamento de problemas e gerenciamento financeiro para serviços de TI. O objetivo da estrutura é definir como o gerenciamento de serviços será aplicado dentro de empresas específicas e, como a estrutura é composta por diretrizes, independe de qualquer aplicativo ou plataforma e, portanto, pode ser aplicada em qualquer empresa. 4.1.4. CMM O CMM destina-se a auxiliar as empresas a melhorar a produtividade dos processos de desenvolvimento de software e a organizar o funcionamento de seus ambientes de tecnologia da informação. É uma metodologia que mostra as metas a serem alcançadas, atuando como um modelo de orientação e qualificação dos estágios de maturidade. O CMM define cinco níveis de maturidade para os ambientes de desenvolvimento de software (inicial, repetível, definido, gerenciado e otimizado), sendo que cada um deles é composto por um conjunto de áreas-chave de processo (KPA - Key Process Areas) que descrevem as questões e grandes temas que devem ser abordados e resolvidos para se atingir um determinado nível. 5. Por que se adequar a SOX? O primeiro reflexo para uma empresa que não se adequar ao Ato Sarbanes-Oxley é a possibilidade de se expor a processos legais e pesadas multas para a gerência executiva, além de publicidade negativa. As corporações que se negam a instituir os controles exigidos podem se colocar em situações similares àquelas que levaram à promulgação da SOX, o que poderá vir a acarretar: Maior exposição à fraude; Penalidades impostas pela SEC; Publicidade desfavorável; Impacto negativo sobre o valor do acionista; Queixas ou outras ações judiciais impetradas por acionistas. Por outro lado, uma estrutura de TI que conta com pouco pessoal, onde não se executam políticas e procedimentos de avaliação ou atualização tecnológica (aplicativos / hardware) periódicos e a documentação é colocada em segundo plano, uma adequação a SOX pode ser altamente positiva, uma vez que surgirão oportunidades para resolver as deficiências quanto à própria necessidade de conformidade a Lei, bem como aplicar as boas práticas da Governança Corporativa. Segundo Souza & Fraga (2003): As regras contidas na SOX visam, em última análise: (i) transparência na divulgação de informações – full and fair disclosure; (ii) prestação de contas – assegurar a adequada e eficiente laboração e divulgação das demonstrações financeiras e demais informações da companhia e (iii) tratamento justo, e equânime às partes interessadas. Estas indicações representam os princípios fundamentais de boas práticas de Governança Corporativa. 6. Resistência à mudança Apesar do entendimento da gerência executiva sobre a necessidade de se adequar a SOX, podemos encontrar dentro da estrutura da organização certa resistência à mudança por parte de outros membros e até mesmo a equipe de TI pode não abraçar abertamente a mudança. De acordo com Lahti & Peterson (2005): Você pode ter as melhores políticas, aplicativos, ferramentas e controles, no entanto, nunca conseguirá eliminar completamente o "Fator Humano". Logo, se não conseguir incorporar a área de gerenciamento de mudança, talvez não consiga se adequar ao Ato Sarbanes-Oxley independente de seus outros esforços. Algumas das principais razões desta resistência à mudança incluem: Medo do desconhecido; A crença de que as coisas estão boas e não é preciso mudar; O desconhecimento dos motivos que levam à mudança; A idéia de que a mudança é mais outra prática que pode ser ignorada; A clássica pergunta: "O que eu ganho com isso?". Devido a esses fatos, para que o processo de mudança seja bem-sucedido, a comunicação entre os membros da organização é fundamental. Neste ponto é preciso conhecer e gerenciar os processos pessoais para que a comunicação ocorra com facilidade e de várias formas, sejam através de memorandos, e-mails, reuniões presenciais, conversas individuais, etc. O objetivo é produzir um efeito consistente demonstrando a necessidade da conformidade SOX e, principalmente, as conseqüências da não-conformidade. 7. Conclusões A Lei Sarbanes-Oxley de 2002 reescreveu as regras para a governança corporativa, relativas à divulgação e à emissão de relatórios financeiros. Sob suas páginas encontramos uma premissa muito simples: a boa governança corporativa e as práticas éticas do negócio não são mais requintes – são leis. Na mesma medida, a Governança em TI traz para as empresas uma nova cultura de gestão baseada em medições que consideram aspectos não só financeiros, mas outros que controlam fatores que apontam para o futuro, através de outros indicadores, como a criação e manutenção de capital intelectual, que permitirão garantir a perenidade da corporação. O cumprimento da Lei Sarbanes-Oxley pode ser uma tarefa difícil, mas com pesquisa e planejamento adequados ela pode ser usada para corrigir deficiências adicionais na estrutura de TI das empresas adequando-as à nova realidade que se apresenta. A partir da promulgação do Ato Sarbanes-Oxley, o que era recomendável passa a ser obrigação legal: uma boa governança corporativa e a ética nos negócios das corporações com presença no mercado financeiro de capital aberto. 8. Referências Bibliográficas DELOITTE. Lei Sarbanes-Oxley: Guia para melhorar a governança corporativa através de eficazes controles internos. Disponível em http://deloitte.com.br>. Acesso em 08 out. 2005. FAGUNDES, Eduardo Mayer. A lei Sarbanes-Oxley e seu impacto em TI. Artigo disponível em: <http://www.efagundes.com/artigos/Sox_e_o_impacto_em_TI.htm>. Acesso em: 08 set. 2006. lahti, Christian b., PETERSON, Roderick. Sarbanes-Oxley – Conformidade TI usando COBIT e ferramentas open source; tradução de Aldir José Coelho. AltaBooks, Rio de Janeiro, 2005. NEXT GENERATION CENTER. Módulo Governança de TI. Disponível em: <http://www.nextg.com.br/br/modulo.aspx>. Acesso em: 18 set. 2005. PEIXOTO, Rodney de Castro. Implicações da Lei Sarbanes-Oxley na Tecnologia da Informação. Disponível em: <http://www.wirelessbrasil.org/wirelessbr/colaboradores/rodney_peixoto/sarbanes_oxley.html>. Acesso em 08 set. 2006. SARBANES, P., OXLEY, M. Sarbanes-Oxley Act of 2002. Disponível em <http://www.findlaw.com>. Acesso em 08 jul. 2006. SOUZA, Almir Ferreira, FRAGA, Rodrigo Mariti. Governança Corporativa: Efeitos decorrentes da vigência da Sarbanes-Oxley Act nas empresas brasileiras. Artigo disponível em <http://www. > . Acesso em 07 set. 2006. WEILL, Peter, ROSS, Jeanne W., Governança de TI, Tecnologia da Informação; tradução de Roger Maioli dos Santos. M Books do Brasil, São Paulo, 2006 Materia do Professor  - José Mauricio Santos Pinheiro em 29/01/2007

E-mails sobre Viagra acabaram: Microsoft anuncia fim de rede de spams

AFP – sex, 18 de mar de 2011 14:08 BRT

Conteúdo relacionado

• O grupo de informática Microsoft anunciou o desmantelamento de uma complexa rede …

O grupo de informática Microsoft anunciou o desmantelamento de uma complexa rede de envio de e-mails "spam" (lixo eletrônico) que ofertavam medicamentos falsos, entre eles um suposto Viagra.
A rede Rustock usava cerca de um milhão de computadores infectados, organizados em "botnet" (rede de computadores invadidos) e controlados a distância por hackers, informou na quinta-feira a Microsoft.
Neste tipo de ataque, os proprietários ignoram que seus computadores estão infectados e são utilizados com fins ilegais. O vírus invade a máquina quando, por exemplo, "um internauta visita um site infectado e clica em uma publicidade falsa ou quando abre um documento anexado em seu correio eletrônico", explicou um dos advogados da Microsoft, Richard Boscovich.
Assim, o computador infectado passa a fazer parte de uma rede de "computadores zumbis" controlados à distância, prática conhecida como botnet.
A rede Rustock era considerada uma das maiores do mundo, com capacidade de enviar até 30 bilhões de lixos eletrônicos por dia, a maioria oferecendo versões falsas de remédios como o Viagra, prescrito para a disfunção erétil, ou para enviar falsos anúncios de loteria.
Para desmantelar a rede, a Microsoft trabalhou durante vários meses com a fabricante do Viagra, o laboratório americano Pfizer, e a empresa de segurança informática FireEye.
A investigação terminou com a intervenção das autoridades, que tomaram o controle dos serviços informáticos localizados no estado de Washington (noroeste dos Estados Unidos).
Na quarta-feira, a conexão entre os servidores e os computadores infectados foi cortada, disse Boscovich.

Lutar contra botnets é como dar soco em fumaça, diz executivo de TI Por CSO / EUA Publicada em 11 de março de 2011 às 08h00

Entre na conversa Oferta fácil desse tipo de ataque ameaça empresas; estratégias de defesa incluem aumentar o nível geral de segurança e educar usuários.  Um relatório de conteúdo assustador, publicado no início do ano pela empresa de segurança Panda Security, revela como as técnicas de cibercriminosos andam sofisticadas.  Entre os achados: uma botnet que pode ser alugado para agir como disseminador das pragas virtuais, como vírus e malwares. O aluguel de uma base virtual de ataques custa a partir de 15 dólares ao mês por servidor SMTP (central de envio de e-mails).  As botnets são formadas por programas que infectam diferentes máquinas e as transformam em participantes de uma rede formada com o intuito de responder às instruções de um servidor. Uma vez sequestrados, os sistemas começam a enviar e-mails e a criar contas fantasma em servidores de webmail para perpetrar suas ações.  Algumas tentativas de combate às botnets tiveram razoável sucesso, o que não impede que continuem sendo a arma de preferência de hackers e de outros anarquistas digitais. Essa predileção por botnets faz de sua detecção a prioridade número um em qualquer rotina de administradores de sistemas e de redes.  E qual seria uma estratégia apropriada para minimizar a ameaça imposta por esses kbytes sanguessugas? A redação da CSO/EUA conversou com Todd Ferguson, gerente de segurança da Raymond James Financial, companhia de serviços financeiros. De acordo com o executivo, entrar na briga contra os botnets é a mesma coisa que dar socos em fumaça.  CSO: Como avalia a atual situação quando o assunto são os botnets?  Todd Ferguson: Em meu departamento estamos cientes do fato de que as botnets não representam ameaça a uma determinada máquina ou somente aos servidores. Elas são o maior pesadelo de todo tipo de ligação e de cliente de rede que existe. Então, quando fazemos a varredura e tomamos cuidados com a prevenção contra esse tipo de ameaça, todos os clientes são tradados da mesma forma.  CSO: E como funciona a insepção?  TF: Nossa arquitetura é de camada de serviços; é nesse tipo de construção que acreditamos. Para vigiar o sistema, lançamos mão de um híbrido de ferramentas e de soluções desenvolvidas dentro da empresa. A fim de detectar máquinas comprometidas, usamos um componente de nome Damball Failsafe, que inspeciona o tráfego entre os clientes. Além disso, há diferentes antivírus rodando no sistema.  O objetivo é de aumentar o nível de segurança de forma geral e usar a inteligência disponível. Não há antídoto 100% eficaz, pois a velocidade de evolução das botnets é infinitamente superior à das contramedidas. O que também surge em ritmo acelerado são inovações no combate às quais, internamente, nos referimos por “técniucas de identificação de malware”.  Queremos encontrar indícios de atividade suspeita, nem que sejam traços. Sabemos dos esforços das empresas de antivirus em manter seus produtos atualizados então procuramos por outro tipo de sinal. Assim que percebemos qualquer sinal estranho, tomamos uma atitude.  CSO: A empresa procura educar os funcionários sobre os riscos da rede e de e-mails estranhos?  TF: Acredito que esse seja um ponto crítico no combate às botnets. Inclusive, um colega de meu departamento exerce a função de educador dos colaboradores nas questões sobre o uso seguro da Internet corporativa. Periodicamente ele publica artigos para os funcionários lerem. Também oferecemos treinamentos e palestras internas, além de uma assembleia anual para revisão das polítcas internas de uso da web.  Acontece que os criminosos atacam sempre com armas comuns, como campanhas de spam com promessas de prazer e de diversão para disfarçar um clique fatal.  CSO: E como mensurar o sucesso das campanhas internas?  TF: É outro desafio constante. Assim como as ameaças, o sucesso é um elemento volátil. O cenário muda a cada segundo, então é absolutamente necessário estar o mais adiantado possível com a segurança. (Joan Goodchild)

Tenha controle absoluto sobre o Windows 7

Security

Tony Bradley, PC World / EUA

02-03-2011

“GodMode” dá acesso fácil e em um só lugar a quase todas as ferramentas e ajustes disponíveis no sistema operacional.

Quem leu esta matéria também leu:

• Corte os supérfluos e deixe o Windows mais rápido
• Ferramentas úteis para o Windows
• LG mostra celular com tela 3D e tablet Android no Brasil
• NT Drive Recovery - Recupere arquivos de HD formatado no sistema NTFS

Desenvolvido por:

A Microsoft lutou para tornar o Windows um sistema operacional intuitivo, amigável e fácil de usar. Mas para alguns “amigável” é apenas uma outra forma de dizer “simplório”, uma tentativa de forçar todos os usuários em um sistema limitado e pré-fabricado.
Mas usuários avançados e administradores de TI precisam ser capazes de se enfiar por detrás das cortinas e ajustar e personalizar o sistema de acordo com suas necessidades. É aí que entra o “GodMode” (algo como “modo Deus”) do Windows 7.
É difícil achar um nome mais apropriado que “GodMode” para um Easter Egg (recurso ou mensagem oculta em um programa) que lhe dá controle absoluto sobre o sistema operacional. Ele não é realmente necessário: as opções expostas pelo GodMode já existem em outros lugares, mas o truque as torna muito mais acessíveis. Vamos ver o que é o GodMode, como acessá-lo e o que você pode conseguir “brincando de Deus” com o Windows 7.
O que é o GodMode?
Ele na verdade é um atalho oculto (ou pelo menos era oculto) para os desenvolvedores do Windows 7 que dá acesso mais direto aos recursos e funções do sistema. O GodMode não adiciona nenhum novo recurso ao Windows, mas ajuda os administradores a serem mais eficientes ao agrupar todas as opções e controles em um só lugar.
Acessando o GodMode no Windows 7
Crie uma nova pasta onde quiser. No desktop, por exemplo: clique sobre uma área vazia e selecione a opção “Novo / Pasta” no menu. Você pode dar a ela o nome que quiser, desde que termine em um ponto seguido por exatamente este texto: {ED7BA470-8E54-465E-825C-99712043E01C}.
Pronto. O ícone da pasta será substituído pelo do Painel de Controle, e ela será preenchida com toda uma variedade de ferramentas e ajustes.
Mas espere, tem mais! A verdade é que não há apenas um “GodMode”. O Windows 7 tem um panteão deles, com uma variedade de pastas secretas que podem ser acessadas com comandos únicos, incluindo pastas especiais para ajustes de biometria, impressoras, credenciais e logins, firewall e segurança e muitos outros recursos e funções do Windows 7.
Auri Rahimzadeh publicou em um post num fórum da Microsoft um script que rapidamente cria várias pastas do GodMode. Copie e cole o bloco de texto abaixo no bloco de notas e salve-o com o nome godmodes.bat no local onde você quer que as pastas sejam criadas. Rode este arquivo (basta dar dois cliques sobre seu ícone) para criar uma nova pasta chamada “Pastas Especiais” que irá conter todas as pastas de atalho.

mkdir "Pastas Especiais
cd ".\Pastas Especiais
mkdir "God Mode.{ED7BA470-8E54-465E-825C-99712043E01C}
mkdir "Location Settings.{00C6D95F-329C-409a-81D7-C46C66EA7F33}
mkdir "Biometric Settings.{0142e4d0-fb7a-11dc-ba4a-000ffe7ab428}
mkdir "Power Settings.{025A5937-A6BE-4686-A844-36FE4BEC8B6D}
mkdir "Icons And Notifications.{05d7b0f4-2121-4eff-bf6b-ed3f69b894d9}
mkdir "Credentials and Logins.{1206F5F1-0569-412C-8FEC-3204630DFB70}
mkdir "Programs and Features.{15eae92e-f17a-4431-9f28-805e482dafd4}
mkdir "Default Programs.{17cd9488-1228-4b2f-88ce-4298e93e0966}
mkdir "All NET Frameworks and COM Libraries.{1D2680C9-0E2A-469d-B787-065558BC7D43}
mkdir "All Networks For Current Connection.{1FA9085F-25A2-489B-85D4-86326EEDCD87}
mkdir "Network.{208D2C60-3AEA-1069-A2D7-08002B30309D}
mkdir "My Computer.{20D04FE0-3AEA-1069-A2D8-08002B30309D}
mkdir "Printers.{2227A280-3AEA-1069-A2DE-08002B30309D}
mkdir "Application Connections.{241D7C96-F8BF-4F85-B01F-E2B043341A4B}
mkdir "Firewall and Security.{4026492F-2F69-46B8-B9BF-5654FC07E423}
mkdir "Performance.{78F3955E-3B90-4184-BD14-5397C15F1EFC}

E uso isso pra que?
Agora você tem um punhado de pastas cheias de ferramentas e ajustes aos quais você já tinha acesso. Mas pra que elas servem? Elas tornam mais fácil o uso e configuração do sistema? Facilitam a vida do administrador? Vamos ver.
Digamos que você quer desgragmentar o HD. Você pode fazer o caminho normal clicando em Iniciar/Todos os Programas/Acessórios/Ferramentas do Sistema/Desfragmentador de Disco. É um caminho comprido demais! Abrir a pasta do GodMode e ir em Ferramentas Administrativas/Desfragmentar o Disco rígido é muito mais rápido.

^{As pastas do GodMode}

Outro exemplo é ajustar as configurações do monitor - talvez para espelhar o monitor interno ou expandí-lo com um segundo monitor. Você pode clicar em Iniciar/Painel de Controle/Vídeo e clicar em Alterar Configurações de Video no painel esquerdo da janela, ou simplesmente escolher a opção de mesmo nome sob o item “Vídeo” na pasta com o GodMode.
Em ambos os exemplos, não é necessário habilitar o GodMode para ter acesso aos recursos mencionados. Eles já existem, mas o GodMode fornece uma forma mais eficiente de acessá-los.
Além de reagrupar recursos que já existem, o que o GodMode faz é organizá-los em categorias lógicas de acordo com os tipos de tarefas que um administrador de sistema poderia querer executar. E eles são nomeados de acordo com a forma como tais administradores pensam na hora de executá-las. É possível acessar a ferramenta BitLocker para criptografia de disco através do painel de controle, mas no GodMode a função é listada como uma tarefa que faz sentido: “Proteja seu computador criptografando os arquivos no disco”.
O GodMode pode não ser tão mágico ou onipotente quanto o nome sugere, mas é uma ferramenta valiosa que pode facilitar sua vida em frente ao computador.

Segurança e privacidade preocupam usuários do Google e do Facebook - DA UOL

Por IDG News Service

Publicada em 11 de fevereiro de 2011 às 11h00

Segundo estudo, 65% dos usuários do Facebook e 54% do Google estão preocupados em serem vítimas de malware ao navegar nos sites.

Cada vez mais usuários do Facebook e do Google estão preocupados com questões de segurança e privacidade,  de acordo com uma pesquisa da Gallup Poll e da USA Today, divulgada na quarta-feira (9/2).
Entre os entrevistados, 70% dos usuários do Facebook e de 52% dos internautas que utilizam o motor de buscas da Google disseram que estão "pouco" ou "muito" preocupados com questões relacionadas a privacidade destes serviços. Além disso, 65% se mostraram preocupados de serem vítimas de malware ao acessar a rede social, enquanto outros 54% demonstraram a mesma preocupação ao utilizar o Google.com.
Por outro lado, estas preocupações não parecem impedi-los de usar os sites, já que apenas nos Estados Unidos, o número de visitantes únicos do Facebook foi de 153,9 milhões em dezembro, um crescimento de 38% em relação a 2009. O tempo gasto navegando no site e o número total de page views também cresceram, respectivamente, 79% e 71%.
Enquanto isso, o Google continua sendo o principal motor de busca dos Estados Unidos, com 66,6% de todas as pesquisas realizadas em dezembro, enquanto a parceria entre Bing e Yahoo somou 29%, segundo a comScore.
A pesquisa do Gallup Poll do USA Today surge pouco depois do CEO do Facebook, Mark Zuckerberg, ser assediado na rede social por um perseguidor e por hackers.
Esta semana, o Facebook confirmou que CEO obteve um mandado de restrição contra um homem de 31 anos, sob a alegação que está sendo perseguido por ele. De acordo com o blog TMZ, o jovem Pradeep Manukonda tentou contatar Zuckerberg repetidas vezes através do seu perfil no Facebook, além de ir aos escritórios da empresa e até à residência do fundador da rede social.
No final de janeiro, Zuckerberg  teve sua própria conta invadida por hackers que postaram uma mensagem que dizia: "Vamos começar o 'hacking': se o Facebook precisa de dinheiro, em vez de ir aos bancos, por que não deixa seus usuários investirem no Facebook de uma forma social?"
À época, a mensagem foi rapidamente retirada do ar, juntamente com as centenas de comentários e mais de 1,8 mil cliques em "Curtir".

(Juan Carlos Perez)

DO IG - Videogame pode fazer bem à saúde

Ano após ano, os videogames surpreendem seus novos e antigos fãs com consoles altamente desenvolvidos, gráficos mais próximos da realidade e tramas para todos os gostos. Mas eles têm também um “recurso” que poucos conhecem – eles já permitem que você diga: “Mãe, jogar videogame faz bem à saúde!”
Qual é o milagre? Trata-se do grande número de estudos lançados nos últimos anos que mostram os benefícios do uso de videogames tanto para a educação de adolescentes, quanto para o auxílio em tratamentos de doenças de diversos tipos. Parece que cai aquela velha história de que os únicos efeitos que jogar videogame traz são fazer mal para vista, formar jovens violentos, sedentárias e distraídos.
Uma boa nova recente vem do instituto de pesquisas e desenvolvimento de técnicas para o uso terapêutico dos videogames, Health Games Research. De acordo com o estudo “Game Changer: Investing in Digital Play to Advance Children's Learning and Health”, feito pela organização, jogar durante a infância pode ser extremamente positivo para o desenvolvimento de habilidades que a criança levará para sempre em sua vida.
Exemplo: prestar atenção na história de cada jogo contribui para aumentar o vocabulário do jogador e sua habilidade de compreensão e comunicação; passar de fase em fase ajuda a criar um pensamento sistêmico na cabeça do gamer, que começa a considerar o impacto de cada ação na complexidade do todo; e, além disso, jogar videogame estimula a criatividade como poucas coisas conseguem. A despeito do que “os adultos” imaginam, mandar bem num jogo não é tarefa fácil, e para se dar bem nos desafios é preciso ser bastante inteligente.
Controle dos sonhosExercitar a reflexão e a criatividade é bacana. Mas a história começa a ficar interessante mesmo quando pesquisadores ao redor do mundo passam a utilizar os consoles, por exemplo, para recuperar pacientes diagnosticados com transtornos mentais, auxiliar no tratamento de doenças da visão e traumas físicos, inspirar professores a dar aulas mais interessantes e até para ajudar você a ter mais controle sob sua mente e seus sonhos.
Isso mesmo. Segundo estudo realizado pela Grant MacEwan University, gamers de alta freqüência – tipo, os mais viciados – têm capacidade de relatar seus sonhos com lucidez e detalhamento, bem como de controlar suas ações dentro do mundo fantástico do sono, conseguindo tanto participar ativamente quanto apenas vislumbrar seus sonhos como mero observador. Entre as pessoas que não jogam videogame frequentemente, a capacidade de detalhamento e controle dos sonhos é muito menor.
Como são muitos estudos (e para que você tenha argumentos o suficiente quando quiser bater uma lutinha no seu UFC, ou quem sabe golear naquela partidinha de Winning Eleven antes da janta), separamos 14 pesquisas que mostram que os consoles podem trazer, sim, benefícios para a saúde – ou que dá para inventar games muito úteis à humanidade. Embora continue valendo aquela regra preciosa, que se aplica a quase qualquer coisa na vida: em exagero, tudo faz mal.

DA UOL - Senhas mais usadas no Gawker eram “123456” e “password”. Sério!

Pois bem, que a senha “123456” deve ser evitada, todo mundo sabe (nós já tentamos avisar!). O blog do Wall Street Journal fez o ranking das 50 senhas mais utilizadas pelos leitores do Gizmodo, LifeHacker e outros sites do grupo Gawker, depois de quase 200 mil perfis terem sido invadidos por hackers na última segunda (13).

Originalmente, as senhas tinham sido encriptadas, mas 188.279 foram decodificadas e publicadas como parte do ataque dos hackers. A partir dessa lista, o Wall Street Journal criou a tabela abaixo.

Repare nas senhas mais usadas. Alguns de vocês sentirão aquela “vergonhazinha alheia”. E outros vão correr para trocar de senha. Corre!
Lá do Wall Street Journal.
Imagem: Reprodução/Wall Street Journal.
Tags: gawker, hackers, senhas

por Ana Ikeda às 13:54

Battling Cyber Threats

By Siri Carpenter
December 03, 2010

"If you're good, you're going to have dozens of job offers." -- Sujeet Shenoi

Today, virtually every area of life depends on a cyber infrastructure that is vulnerable to attack. According to a recent report by the Center for Strategic & International Studies, sensitive U.S. military and civilian networks have been "deeply penetrated, multiple times, by other nation-states," and hackers employed by terrorist and criminal organizations are a constant and serious menace. In an August 2010 survey by Symantec, of 1580 private businesses in industries such as energy, banking, health care, and other areas of critical infrastructure, more than half reported politically motivated cyber attacks, averaging 10 attacks in the past 5 years.
Computer security experts say the United States faces a radical shortage of highly skilled cybersecurity professionals who can prevent and combat such attacks. One federal official has estimated that there are only 1000 cybersecurity experts in the United States who have the deep technical knowledge required to safeguard national security; tens of thousands are needed, he believes.

Careers in Cybersecurity

Cybersecurity is one of a handful of areas scientists can work in where job opportunities far outnumber the number of job seekers. For a profile of one cybersecurity training program, see the companion article Becoming 'MacGyvers.'

"This is a scourge that is going to kill us," says Alan Paller, director of research at the SANS Institute in Bethesda, Maryland, and a leading expert on computer security workforce issues. "It would be like going into World War II and having no pilots. It's actually a very bad problem. The bad guys are spending tens of billions of dollars developing these attack tools. They get through our defenses, carried along on e-mail and on other traffic, and we have to have people who can find them."

Alan Paller (Courtesy of Alan Paller)

Content and context

The need for cybersecurity professionals has grown rapidly, along with the growth in data networks in banking, telecommunications, health care, transportation, law enforcement, energy, emergency response systems, and national defense, among other areas. Meanwhile, the number of American students entering science and engineering has declined. In most fields of science, that decline has been offset by an influx of foreign scientists. But the decline is especially troublesome in cybersecurity because so many high-level cybersecurity jobs require American citizenship and an ability to obtain security clearance.
What's needed most, Paller says, is people with sophisticated technical skills and experience in areas such as system design, software security, digital forensics, computer engineering, and cryptography. "We have way too many people who call themselves cybersecurity people, people who might have written a report about cybersecurity, or done a risk assessment, or passed a test," he says. "We need the people who can actually reset the firewall settings so that they block attacks; the people who can configure software safely; the people who can find errors in software; people who can do the forensics to find evidence of malicious activity. It's like the difference between a hospital administrator and a doctor: they're all in health care, but they're not all doctors."
Agnes Chan, co-director of Northeastern University's Institute for Information Assurance, says there is an equally strong need for people who combine technical expertise with training in risk management and policy. She notes that many cybersecurity positions, especially those that involve risk analysis and policy work, require both a computer scientist's technical proficiency and a social scientist's understanding of human behavior and how it can affect security. "It is not easy to find students that are strong in both," Chan says.

Agnes Chan (Courtesy of Agnes Chan)

Others echo that emphasis on cybersecurity's human component. "You can think about cybersecurity as being like the lock on the door," says Eugene Spafford, director of Purdue University's Center for Education and Research in Information Assurance and Security in West Lafayette, Indiana. "If I use a cheap lock, somebody's going to be able to get into the office real quickly. But if I forget to lock the door regularly or I leave the key sitting on the desk, that's just as bad. So training people is critically important. It's just as important as technology. The field is larger than simply understanding the bits and the wires."

Eugene Spafford (Credit: Purdue University News Service)

Ample jobs

Such shortages translate into abundant opportunity for computer scientists, engineers, mathematicians, and other scientists who pursue a career in cybersecurity. The National Security Agency (NSA) plans to hire 1000 cybersecurity professionals in the next year. The Department of Homeland Security (DHS) has more than tripled its cybersecurity workforce in the past 2 years. The Department of Defense (DOD), which employs more cybersecurity professionals than any other federal body, is hiring aggressively, as are many other federal and state agencies.
There is at least as much demand for high-level cybersecurity professionals in the private sector, which controls almost 85% of the United States's critical infrastructure. "There's a bubble that's going to hit, and the need for cybersecurity people is going to really escalate in the future," says Richard "Dickie" George, technical director of NSA's Information Assurance Directorate. "More and more, industry is going to realize that the long-term viability of the country depends on this protection."
"If you're good, you're going to have dozens of job offers," says Sujeet Shenoi, director of the University of Tulsa's Cyber Corps Program, which is widely regarded as one of the strongest and most intense in the United States. "I can't produce the students fast enough. I graduate about 35 students a year, and even if I were to quadruple it, I wouldn't be able to fill the demand." Lance Hoffman, director of George Washington University's (GW's) Partnership in Securing Cyberspace through Education and Service (PISCES) program, says students there have fared equally well, enjoying 100% job placement since 2002.
Cybersecurity professionals who work in operational settings -- that is, who actually battle cyber attacks -- spend their days writing secure software and designing networks. Some do "penetration testing," hacking into their own organization's defenses to expose weaknesses an enemy might exploit. Others specialize in digital forensics, deconstructing cyber attacks to understand their origins and purpose. Still others create educational programs or work on policy questions, such as how to balance security and privacy, and how to address security breaches in the context of international law.
Research opportunities, too, are growing. All the federal security agencies and many large companies have research arms devoted to developing cybersecurity technologies and finding more effective ways to educate users so that they don't compromise computer systems. Appreciation -- and funding -- for basic research on information security is expanding, says Benjamin Cook, cyber-enterprise capabilities manager at Sandia National Laboratories in Albuquerque, New Mexico. He notes, however, that blue-sky research positions are "few and far between."
In recent meetings, cybersecurity experts identified a number of research priorities. One is the development of mathematically rigorous ways of establishing that hardware or software, or a computer system, is trustworthy. "In the industrialized world, we've kind of bet the bank on this technology," Cook says. "If we can't develop a rigorous and fundamental ability to establish trust in these systems, we're inching out onto thin ice." Other priorities include understanding phenomena of complex networks such as malware propagation and new models of cybersecurity based on biological concepts such as biodiversity and immunity. Some promising areas of research, Cook notes, may be especially suited to scientists with a multidisciplinary bent.

Getting your hands dirty

The main routes into high-level operational and research positions in cybersecurity are the 125 university-based cybersecurity training programs designated by NSA and DHS as Centers of Academic Excellence (CAEs) in information assurance education and research. These programs are eligible to apply for scholarship funding for undergraduates and graduate students through two federal programs: the National Science Foundation's Federal Cyber Service: Scholarship for Service (SFS) program and DOD's Information Assurance Scholarship Program (IASP). The SFS and IASP programs fund students for up to 2 years of undergraduate or graduate training in cybersecurity in return for an equivalent period of government service, either to DOD (for IASP awardees) or to other federal agencies (for SFS awardees). "It's like ROTC for geeks," says Hoffman.
Like other cybersecurity training programs around the country, the CAE programs draw students from computer science, engineering, math, statistics, forensic sciences, criminal justice, business administration, public policy, law, education, and the social sciences. Although computer science is fundamental to cybersecurity research and practice, there is plenty of opportunity for scientists in other fields to apply their interests to cybersecurity issues -- and no need to start over. Graduate students or postdocs in fields such as math, physics, and biology tend to be competitive applicants to CAE programs, although they may have to spend some time developing their computer science knowledge. To understand whether their career goals require taking a couple of courses or spending a few years getting more training, scientists should first figure out what aspect of cybersecurity they're interested in, says Diana Burley, a professor of human and organizational learning who teaches in GW's PISCES program.

Diana Burley (Courtesy of Diana Burley and George Washington University)

"It may be a matter of figuring out how what you already know fits in," Purdue's Spafford suggests. A math degree, for example, provides an excellent grounding for work in cryptography. A mechanical engineer's systems-oriented thinking is an asset for designing and analyzing network defenses. A biologist might study the use of biometric technologies for computer security. A cognitive scientist might use aspects of artificial intelligence to develop protocols for recognizing who is at a keyboard.
Different cybersecurity training programs have different emphases, as a listing of SFS-funded programs reveals. Some concentrate on policy and risk management, some on forensic investigation, others on behavioral aspects of cybersecurity, and still others on research and interdisciplinary training. The best programs combine deep training in core subjects such as computer security, network protocols, or cryptography with significant hands-on experience. "Just being able to solve today's problem isn't enough," says NSA's George. "You need to be able to train yourself to solve the problems that will come 5 or 10 years from now. Then you also need enough hands-on laboratory work doing things like reverse engineering, forensic investigation, and penetration testing that will enable you to solve today's problems. That's a very difficult balancing act."
"This stuff can't be done completely in an abstract setting," agrees Ernest McDuffie, who leads the National Initiative for Cybersecurity Education, a multiagency effort coordinated by the National Institute of Standards and Technology. "You can't do it with a chalkboard -- you need to get your hands dirty."
For those with useful skills but without the specific degree, Paller suggests a "back door" into the field: Volunteer or get a part-time job with your university's computer support service; then, after a semester or two, migrate to doing security support. "That's where you'll learn the skills that will put you in line for the jobs that most need filling," Paller says. Doing cutting-edge work in cybersecurity requires knowing three things: programming, networks and protocols, and operating systems. Academic credentials aren't what's needed, he says. What's needed are people with the skills the best scientists possess: "It's people who are extraordinarily good at taking things apart and seeing how they're made. It takes being hungry to get to the bottom of things."

Revendas da Apple abrirão a partir da meia-noite de sexta para vender iPad

DO IG

 

Confira a lista das 11 lojas em todo o Brasil que começarão a vender o tablet durante a madrugada de 3 de dezembro

Claudia Tozetto, iG São Paulo

Depois de confirmar que o tablet iPad chegará às lojas brasileiras, a Apple informou que onze revendas abrirão estarão abertas a partir da meia-noite de 3 de dezembro, dia em que ocorre o lançamento oficial do produto no Brasil.
Versão mais barata do iPad custará R$ 1.649

Getty Images

Em abril de 2010, americanos enfrentaram fila para comprar iPad no dia do lançamento

Em São Paulo, quatro lojas abrirão à meia-noite. A Fnac do Shopping Morumbi, por exemplo, planeja um evento com DJ e coquetel aberto ao público na virada entre 2 e 3 de dezembro. As vendas, segundo a assessoria da Fnac, começarão pontualmente à meia-noite.
Além da Fnac, as lojas Fast Shop e A2You (do Shopping Iguatemi), além da MyStore (do Shopping Villa-Lobos) e a Saraiva (Shopping Higienópolis), também estarão abertas para vender o aparelho no mesmo horário.
Em outras cidades, também haverá lojas abertas no horário especial para vender o tablet. É o caso da iPlace, presente em Belo Horizonte (MG), Florianópolis (SC) e Porto Alegre (RS); da iTown em Salvador (BA) e no Rio de Janeiro (RJ); e da CTIS em Brasília (DF).
Os interessados no iPad também poderão comprar o aparelho em outras revendas autorizadas e lojas de varejo a partir de 3 de dezembro. O produto também estará disponível para compra pela internet, na loja online da Apple