Segurança da informação - TI
comentada em 06/01/2021 12:48

Não sei quase nada sobre segurança. Espero que alguém aqui traga boas dicas. Talvez o @FallCWB tenha dicas interessantes.

Em TI Faculdade não serve pra nada, você aprende mais fazendo e lendo que em sala de aula. MAS, MAS e MAS se você não sabe NADA faculdade é o primeiro passo. Na minha sincera opinião o melhor curso é Engenharia da Computação, se você não sabe nada, vai aprender tudo e ainda ter boa noção da eletrônica por detrás de tudo. 

Se você tem noção das coisas e só quer se inserir no mercado do trabalho qualquer curso de TI já é o suficiente.

Pra ir aprendendo corre atrás de cursos da Udemy e Coursera, foca em aprender linux e python e dai dependendo do que for gostando vai aprendendo outras linguagens.
Essa é a resposta mais genérica que poderia ser dada, além disso precisa saber mais das suas afinidades.

@ThiagoDV respondido :D

Vou aproveitar e dizer o que digo pros meus alunos quando eles me perguntam "como vou saber o que tenho afinidade?".
Eu indico entrar no linkedin e procurar por vagas de emprego que tenham como título segurança da informação, ali você vai poder ver o curso de graduação que eles pedem, o que precisaria pra poder trabalhar na empresa (certificados, conhecimentos, plataformas) e principalmente o que irá fazer no dia a dia. Se você gostar do que leu e conseguir se imaginar fazendo isso no seu dia a dia você tem ali o caminho das pedras pra um dia trabalhar com isso.

Segurança precisa saber um pouco de tudo e não tem um cargo de trabalho introdutório. Por isso, é um desafio

Para começar na área, é importante ter uma base boa de programação, então foca em aprender python, shell script
Outro pilar fundamental é ter um bom conhecimento de redes, como funciona o TCP/IP, HTTP e os diversos protocolos
Saber linux também é primordial

@FallCWB para ser mais claro, busco informações sobre segurança da informação na parte de TI  relacionado à implementação da Lei Geral de Proteção de Dados (LGPD). Sei que é um tema vasto, mas nessa parte de TI quero me aprofundar, pelo o que entendi, os cursos online ajudarão, porém prefiro ler livros, você não teria nenhuma recomendação?

@Kyuzo com certeza, é que no momento estou interessado em saber como iniciar um estudo nessa parte de TI dentro do vasto tema da Segurança da Informação.

E não faço questão nenhuma de ter diploma nesta área.

Eu trabalho na área e assim como qualquer área de especialização, tudo é muito amplo. Segurança pode ser em termos físicos, lógicos, processos, investigação forense/perícia, desenvolvimento, infraestrutura, etc etc etc.

Um caminho bacana (não sei se o melhor ou mais fácil) é se orientar pela ISO 27k. Você pode buscar sobre ISO 27k Foundation no Udemy. Tem livros introdutórios também.

Abs

@Brian_Griffin
Entendo, te indicaria livros como: Descobrindo o Linux: Entenda o Sistema Operacional GNU/Linux, um ótimo livro mas que está desatualizado em alguns aspectos tendo em vista as diversas atualizações que tiveram nos últimos anos.
Introdução à Programação com Python: Algoritmos e Lógica de Programação Para Iniciantes, ou qualquer livro de Python, importante é sair do livro e ir para prática o mais rápido possível.
Fundamentos de Segurança da Informação: com Base na ISO 27001 e na ISO 27002,  Segurança da Informação Descomplicada pra começar entender essas áreas que teve interesse.
A partir dai recomendo a minha segunda dica, olhar o que os empregos pedem pra saber onde focar.

@Brian_Griffin

Tá aí um belo desafio. Explico:

Antes da LGPD, as empresas brasileiras que faziam negócio com empresas da Europa, por exemplo, já deveriam se preocupar na adequação à GDPR. A nossa LGPD foi inspirada nesse movimento.

Tem muito advogado falando sobre isso, mas tem que tomar cuidado, nem tudo serve para todo mundo. Muito material foca na interpretação da lei e não no sentido prático da coisa. Se você perceber, mal foram indicados os integrantes da ANPD...acho que ainda tem muita água prá passar debaixo dessa ponte.

Um amigo meu que dá consultoria me explicou que a lei deixou muita coisa aberta para ser regulada depois, e isso dá margem para as empresas (com medo da tal multa de 50milhões) exigirem o que fizer sentido a eles.

Como a LGPD atiçou essa questão de privacidade, muita gente tem levantado a bandeira da Segurança da Informação como um todo. Antes de pedir evidências sobre a própria privacidade em si, muitos já tem englobado evidências da própria ISO 27k e seus controles.

Tanto é que uma das certificações que existem: o selo de DPO da Exin, você passa tanto pelos módulos de Privacidade (Foundation e Practitioner) quando pelo Foundation da própria ISO 27k.

Uma sugestão é você trabalhar na parceria com seu jurídico. Na Udemy também tem cursos interessantes a respeito e tem um livro que é recomendado pela própria Exin que já foi traduzido para o português.

Fundamentos de Segurança da Informação (Jules e Kees Hintzbergen e outros)
Regulamento Geral de Proteção de Dados da União Europeia
LGPD - Lei Geral De Proteção De Dados Pessoais - Manual De Implementação. 


Espero ter ajudado.

@ffigaro Exato, inclusive, já estudei a ISO 27001, porém, na parte de TI, essa norma padrão não aprofunda MUITO nos detalhes técnicos, principalmente com relação à implementação.

@ffigaro muito boas suas colocações, trabalho na área jurídica, inclusive já tirei as certificações da EXIN para receber o título de DPO, porém, agora quero me aprofundar mais especificamente na área de TI/implementação.

@Brian_Griffin um bom livro para você começar a aprofundar, ainda mais sendo DPO, é o do Semola, "Gestão da Segurança da Informação" ou algo assim.

Uma norma mais técnica que pode te ajudar é a norma CIS ela é mais prática (e menor) que a 27k e a do NIST (essas três são as padrão de mercado atualmente).

Mesmo que não pretenda tirar a certificação eu recomendo seguir os domínios do CISSP (Certified Information Systems Security Professional) para estudar. Pode escolher um e focar ou aprender um pouco de cada.



Certified Information System Security Professional – Wikipédia, a enciclopédia livre

@Brian_Griffin Olá, tudo bem? Você poderia me recomendar cursos/livros para a obtenção da certificação DPO? Estou interessado nisso.

Oi, eu fiz engenharia da computação. Na faculdade não estudamos praticamente nada de segurança. 



Claro que as bases em computação e eletrônica ajudam demais, mas se o objetivo é esse em específico, você vai precisar correr atrás sozinho.

Uma coisa não impede a outra 

@tomhagen Se for certificação EXIN, recomendo estudar por conta mesmo. Lendo os livros que constam no edital da prova (no site você encontra) . Recomendo tb, comprar os simulados/exercícios na udemy para treinar, ajuda muito.

Os cursos, acho muito caro, é são baseados no livros então... 

Num dos certificados, é obrigatório fazer um curso, sinceramente, achei caro, e o instrutor basicamente leu os slides. 

Resumo da obra: escutar por conta com base no edital e fazer os exercícios na udemy. 

@FlyCavok obrigado, é basicamente o que estou fazendo. No Brasil, pequenas e médias empresas não estão muito preocupadas com SI, mas acredito que é uma área que crescerá muito. 

@Brian_Griffin Sim, pelo que me informei até aqui, para a realização de um dos exames - Privacy & Data Protection Practitioner (PDPP) - é necessário a conclusão de um curso, ao contrário dos demais, para os quais não há tal exigência.

Obrigado pela resposta. Vi que você era da área jurídica e queria ter esse feedback.

Eu aconselho conhecer mais sobre a máquina para entender os conceitos de segurança.

Por ex, quando você for estudar a parte de exploits, vai precisar conhecer um pouco de assembly, conhecer a estrutura da pilha de execuções, saber programar em C também será essencial.

na parte de rede, tem que aprender bastante sobre os protocolos mais comuns em cada camada do OSI

A maioria dos ataques se dá por engenharia sONcial, falha em algum protocolo ou falha em algum programa (sendo uma das mais comuns o overflow)

Conhecer Linux é essencial também. Utilize Linux no dia a dia.

conhecer outros SOs também ajuda, tipo FreeBSD, NetBSD, Solaris. 

Mas o básico mesmo é Linux. 



nem falo do inglês né ! Mas isso aí eu já assumo que você domina a leitura. 


É uma área que tem pouca gente pq é muito complexa. Pra ficar bom mesmo nela é bem difícil 

Nao sei se um curso do Udemy ajuda. Eu não segui essa área por que eu acho um trabalho “bucha” (quando dá merfa, a culpa é toda sua hehehe, sendo que você não tem controle sobre o código dos outros).

Eu acho uma área extremamente interessante, mas pessoalmente passo para outros mais corajosos

Só complementando....

Realmente não conheço muito desse mercado. Acredito que existam profissionais para diversas áreas dentro da SI

O pouco que sei é que quem faz Pen-testing é em geral um cara que já crackeou muito sistemas por aí. Tem que ser alguém muito bem pago. Esse cara tem que ter conhecimentos profundos no sistema que será analisado. Conhecimentos profundos em C, asm do sistema (x86, ARM etc), Unix em geral e sabe muito sobre protocolos de rede e serviços mais usados. Tem que ficar ligado nas "nutiça" da área. Saber de todos os bug reports das aplicações mais comuns... enfim é um cara afiado.

Hoje em dia tem pen-test pra tudo, inclusive celulares.

Sei que tem os ISO da vida que as empresas tiram. Se o objetivo é ser consultor de ISO, selos etc, deve ter alguma formação oficial. Daí você pode procurar se informar melhor, eu realmente desconheço como é o processo.

Veja que isso não é Segurança! É só um selo que atesta a adoção de algumas medidas básicas. De qq forma, existe um grande mercado pra isso. Esse selo acaba funcionando como uma espécie de propaganda, pro cliente se sentir seguro.

Enfim. Dentro da SI tem muita área de atuação, mas é um mercado bem complexo.

Te desejo boa sorte, é um assunto bem legal.

@FlyCavok obrigado novamente pelas informações, então, entrei nessa aérea há pouco tempo, mas a ideia inicial é montar um projeto de implementação da Lei Geral de Proteção de Dados (LGDP) dentre das possibilidades de pequenas e médias empresas. E pelo pouco que vi, são poucas pessoas que de fato, pelo menos no Brasil, que estão se aprofundando neste   tempo.

E como você bem disse, se você não saber ler em inglês, será muito difícil atuar nessa área, nós praticamente importamos a lei das Europa, diga-se de passagem.

Também não descarto uma eventual parceria entre jurídico e TI. 

Acabei de fazer os exames ISFS e PDPF que são da trilha para DPO.

Tem uma trilogia bem legal da "Viviane Nóbrega Maldonado" com as tratativas tanto do GDPR quando da LGPD (comentários da lei e manual de implementação). É importante estudar o GDPR porque as provas são baseados nela, enquanto não temos exames específicos para a lei brasileira (e sei lá se teremos,kkk).

No mais, a própria Exin disponibiliza um material muito bom como preparatório para a prova:

https://dam.exin.com/api/&request=asset.permadownload&id=3813&type=this&token=b919a584f9c26623c236268316de989f

Sobre adoção da lei pelas empresas, é algo que ainda depois de 2 anos de carência, menos de 30% das empresas estão preparadas. A coisa começou mais pelas maiores, agora as médias estão se movimentando um pouco, mas a adoção por parte das pequenas empresas vai levar um tempo, com certeza.

Att,
Fernando

@ffigaro Obrigado, Fernando! Você acredita que com esse material da Exin + o livro da Viviane Nóbrega Maldonado ("LGPD: Lei Geral de Proteção de Dados comentada") dá para estar bem preparado para essas duas provas (ISFS e PDPF)?

É que no edital são apresentados mais alguns livros (o da Patricia Peck Pinheiro e do Márcio Cots), mas penso que, se eu optar pelo da Viviane, comprar os outros seria desnecessário, já que todos os três são comentários à LGPD.

@tomhagen Eu acho que o melhor seria o seguinte:

- ISFS: a bibliografia recomendada é o "Fundamentos de Segurança da Informação"  do Jule Hintzbergen. Ele passa por todos os pontos de exigência da prova. É bom procurar alguns simulados também para se acostumar com o tipo de pergunta (como o @Brian_Griffin citou, no Udemy tem alguns).

- PDPF: Sugiro aqui o livro da Viviane: "Comentários ao GDPR" e o whitepaper da Exin. Isso porque, apesar de no Brasil vigorar a LGPD, a prova de certificação é sobre o GDPR. Neste livro tem também diversas notas de rodapé que indicam outros materiais para consulta online.

Espero ter ajudado.

Abs,
Fernando

Para a prova de PDPF eu recomendo a leitura do GDPR, tem em português de Portugal: EUR-Lex - 32016R0679 - EN - EUR-Lex

Além dos artigos da GDPR, existem o recitais (1/173), vale a pena a leitura também (também pode ser lindo no link acima).

Boa sorte na prova. 

 @Brian_Griffin @ffigaro Obrigado a ambos!