O Instituto Nacional de Tecnologia da Informação – ITI disponibilizou uma nova versão do Verificador de Conformidade do Padrão de Assinatura Digital da Infraestrutura de Chaves Públicas Brasileira – ICP-Brasil. Agora, é possível utilizar o serviço, que pode ser acessado gratuitamente na página https://verificador.iti.gov.br, para analisar documentos gerados nos padrões e políticas de assinatura PAdES.

Em sua versão anterior, o Verificador analisava apenas artefatos gerados nas políticas CadES e XadES, com a atualização e inclusão do padrão PAdES, utilizado para assinatura de documentos em formato PDF, o sistema passa a contemplar todos os padrões e políticas previstos no DOC-ICP-15. A nova versão apresenta ainda melhorias na usabilidade do sistema e no relatório de conclusão da verificação realizada.

O Verificador de Conformidade tem por função aferir a conformidade de um arquivo assinado com certificado ICP-Brasil de acordo com o DOC-ICP-15, que traz uma visão geral sobre assinaturas digitais ICP-Brasil, define os principais conceitos e lista os demais documentos que compõem as normas da Infraestrutura sobre o assunto.

Eventuais invalidades verificadas devem ser tratadas com o provedor do assinador digital utilizado. É importante destacar que o verificador analisa as especificações de políticas de assinatura dispostas no DOC-ICP-15, de forma que um relatório gerado com inconformidade atesta que a política não foi respeitada e não necessariamente a invalidade da assinatura.

Fonte: ITI

Presidente da AARB participa de reunião sobre o tema em Brasília

A Comissão Técnica Executiva – Cotec do Comitê Gestor da Infraestrutura de Chaves Pública Brasileira – ICP-Brasil se reuniu nesta segunda-feira 17 no Instituto Nacional de Tecnologia da Informação (ITI), em Brasília, para debater a Lei Geral de Proteção de Dados. O presidente-executivo da AARB Edmar Araújo participou do encontro, onde a questão sobre como a lei pode afetar os normativos da ICP-Brasil foi abordada.

Para Araújo, a ICP-Brasil esta numa posição de vanguarda diante das disposições contidas na Lei Geral. “Basicamente ela fala sobre coleta, armazenamento, tratamento e compartilhamento de dados. A ICP-Brasil esta à frente nestas questões, como na própria biometria e do IDN com chaves simétricas, que já é uma realidade”.

Porém, segundo o dirigente, ainda há pontos a serem esclarecidos, como a do tratamento de dados e como isso afetará as autoridades certificadoras, autoridades de registro e os agentes de registro, cuja Lei Geral coloca todos em um mesmo patamar de responsabilidade.

“É preciso alguns ajustes nas nossas normas, mas estamos muito mais próximos de uma solução do que criarmos mais debates sobre este assunto. Já fizemos boa parte do que a lei determina e ficamos orgulhosos em saber que já havíamos pensado sobre uma série de soluções muito antes deste texto legal. Claro, é importante acolhermos sugestões, mas estamos numa posição de vanguarda”, completou o presidente-executivo da AARB durante a reunião.

Autoridades de registro da ICP-Brasil terão sua representatividade reforçada na capital federal 

A partir desta terça-feira 18 a Associação das Autoridades de Registro do Brasil (AARB) entra em uma nova fase com a transferência de sua sede de São Paulo para Brasília. Com a iniciativa a entidade fortalecerá sua representatividade junto aos órgãos reguladores, governamentais e entidades parceiras, além de maior presença nos debates de políticas públicas no Congresso Nacional que, direta ou indiretamente, impactam o mercado de certificação digital brasileiro. A determinação da mudança foi decidida neste ano pela diretoria da AARB.

Segundo o presidente da entidade Edmar Araújo a mudança significa um novo rumo na relação com os associados. “Estamos a poucos metros do Instituto Nacional de Tecnologia da Informação (ITI) e esta proximidade ajudará a representar os interesses dos nossos associados em encontros e reuniões. Brasília é o palco das decisões políticas mais importantes do país e estar aqui fisicamente representa bastante em termos estratégicos”, diz Araújo. “Esta nova fase vai possibilitar a criação de novos serviços para os associados. Nossa relação vai ser melhorada com a presença física na capital federal, gerando novas oportunidades”, completa o dirigente.

A AARB agradece a dedicação de Neide Silva durante todos estes anos no gerenciamento, atendimento e relação com os associados. A partir desta terça,17 de dezembro, a operação da entidade em Brasília ficará a cargo de Rafaela Andrade.

A AARB

A Associação das Autoridades de Registro do Brasil (AARB) nasceu em janeiro de 2014, a partir do esforço de dirigentes de várias Autoridades de Registro para organizar o nosso segmento econômico, permitindo que tenhamos voz própria nas discussões correntes no país, principalmente na questão da Certificação Digital e sua utilização pela sociedade.

A partir da fundação da AARB as Autoridades de Registro começaram a ser ouvidas nos fóruns de discussão e decisão sobre a Certificação Digital. Fomos convidados para participar da Comissão Técnica do Conselho Gestor do ICP-Brasil, onde defendemos as prerrogativas das ARs no exercício da atividade de verificação de certificados. Nossa posição foi francamente apoiada por unanimidade entre os conselheiros presentes, direcionando a decisão do Comitê Gestor sobre o assunto.

Associação das Autoridades de Registro do Brasil

Setor Hoteleiro Norte, quadra 1, Bloco A

Edifício Le Quartier Sala 1414/1314 Asa Norte

(61) 3255-1200

CEP 70701- 010 – Brasília-DF

A estimativa é que, ao final dessa etapa, 70% dos trabalhadores do País já estejam registrados no eSocial

Secretaria da Receita Federal

O Instituto Nacional de Tecnologia da Informação – ITI, Autoridade Certificadora Raiz da Infraestrutura de Chaves Públicas Brasileira – ICP-Brasil, recebeu, pelo segundo ano consecutivo, o selo WebTrust com zero de “não conformidades” apontadas no relatório de auditoria externa realizada pela Ernst & Young Auditores Independentes. O selo Webtrust atesta que a AC Raiz da ICP-Brasil está em conformidade com princípios, normas e critérios estabelecidos internacionalmente.

A manutenção do selo com zero de “não conformidades” atesta o grau de excelência dos trabalhos que o ITI vem realizando, sempre com o objetivo de manter os processos referentes à ICP-Brasil atuais e seguros. Agora, o relatório da auditoria externa realizada na AC Raiz será encaminhado ao Comitê Gestor da ICP-Brasil para apreciação e aprovação.

O selo WebTrust foi desenvolvido para aumentar a confiança dos consumidores na internet como um veículo para a realização de comércio eletrônico e transações seguras. Autoridades Certificadoras de todo mundo, após passarem pelo processo de auditoria, podem receber esse selo, que garante a segurança na aplicação da tecnologia de Infraestrutura de Chaves Públicas, mundialmente reconhecida por PKI (Public Key Infrastructure).

As Autoridades Certificadoras – ACs da ICP-Brasil, conforme Resolução nº 119 do Comitê Gestor da ICP-Brasil, também estão obrigadas a obter o selo WebTrust. A ação garante a conformidade da ICP-Brasil aos requisitos do programa de raízes confiáveis e, por consequência, a manutenção dos certificados da AC Raiz nos repositórios dos navegadores de internet.

Fonte: ITI

Antes eram vários meses até que um Registro Mercantil fosse efetuado, agora, com a Junta Digital, são necessárias 24 horas.

A Junta Comercial de Mato Grosso (Jucemat) concretiza um sonho que é se tornar 100% digital. A partir de agora, a instituição permite ao usuário realizar todas as suas operações como o registro mercantil, a abertura e baixas de empresas, as alterações de dados e cadastros, as assinaturas digitais, dentre outros serviços, por meio da internet, utilizando um arquivo no formato PDF/A e para assinatura eletrônica deverá usar o Certificado A3 (e-CPF). Quem assina o documento eletrônico é a Pessoa Física, por isso, e-CPF e também pode ser efetuado por procuração pública ou particular.

Com o apoio do governo do Estado, por meio da secretaria de Desenvolvimento Econômico, o feito só foi possível com o esforço de todos, sobretudo, da dedicação da sua presidente Gercimira Rezende que conseguiu mobilizar parceiros e fez de uma ideia, a realidade. Ela explica que a concretização do projeto é um marco para alinhar a Jucemat ao que o mercado hoje exige.

“Estamos na era da globalização, precisamos estar conectados com a tecnologia de ponta para podermos oferecer ao público um serviço de qualidade, eficiente. Antes demoravam meses até que um Registro Mercantil fosse efetuado, agora, com a Junta Digital, fazemos em 24 horas. Acredito que isso é contribuir para o desenvolvimento local porque para quem sonha em abrir um negócio, todo o tempo é precioso, por isso, precisamos dar um retorno o mais breve possível, sem dificultar”.

Outra vantagem destacada pela presidente, é sobre a questão dos deslocamentos que precisavam ser feitos para concluir todo o processo mercantil, entre cartórios e órgãos públicos e que agora, não serão mais necessários, o que acaba ajudando, sobretudo, aos que moram no interior.

Para finalizar, a gestora destaca que com as operações sendo realizadas em ambiente virtual, além de mais celeridade, são mais seguras porque os dados ficam armazenados em um sistema totalmente informatizado com acesso restrito.

“Estamos cada vez mais distantes da ‘era do papel’, da burocracia de tantos documentos. Quem estiver do outro lado do mundo e tem ou quer ter negócios em Mato Grosso poderá acessar o nosso sistema e fazer as suas operações com mais comodidade e menos tempo”, pontua a presidente que também faz questão de destacar que todo o arquivo da Jucemat está em processo de digitalização, graças ao apoio do Sebrae/MT que bancou o serviço. A previsão é que os trabalhos sejam concluídos até março de 2019.

24HorasNews

Convenhamos: segurança cibernética não é um jogo justo. As empresas precisam defender cada aplicação e informação dos seus negócios, enquanto os hackers só precisam de uma única brecha para atacar. Os hackers podem inovar rapidamente, livres das restrições de fatores comerciais e reguladores; já as empresas têm de correr atrás das novas ameaças e vetores de risco que emergem todos os dias, adicionando complexidade e sobrecarga à organização a cada ferramenta adotada. O resultado é uma visão fragmentada ou mesmo parcial da segurança das aplicações.

Tenho visto muitas empresas que também acabam indo ao extremo oposto, acreditando que podem proteger toda a infraestrutura de TI com apenas uma única solução. Colocar um IPS (Intrusion Prevention System) e achar que suas aplicações estão seguras é o mesmo que jogar futebol só com o goleiro. Segurança não é apenas um firewall de última geração. É todo um ecossistema que permite não apenas controlar várias camadas, mas também proporcionar acesso seguro e visibilidade total através de análises inteligente. Ou seja: é preciso uma verdadeira equipe para jogar.

Vários chutes e um só gol

A ineficácia de apenas um IPS ou de um firewall diante das ameaças atuais é óbvia. Com as mudanças dinâmicas da indústria em torno da computação em nuvem e do software como serviço (SaaS), hoje o perímetro de segurança de uma empresa vai muito além de suas instalações. Esse perímetro engloba também as aplicações, onde se concentram grande parte dos ataques. Segundo a Cloud Security Alliance, 77% das empresas que adotam SaaS sofreram incidentes de segurança específicos nas aplicações web. Como barrar ataques de DDoS ou injeções de SQL com apenas um firewall?

Há também o vetor de risco do acesso do usuário, que acaba multiplicando as vulnerabilidades com seus diferentes dispositivos e aplicativos. Como dar conta de milhares de atualizações e patches que surgem a cada dia? O segredo para virar esse jogo é mudar o foco da estratégia: ao invés de tentar proteger milhares de aplicações e acessos individuais, é preciso criar um perímetro digital seguroque proteja a entrega dessas aplicações e acessos. Você precisa de – pelo menos – um firewall de aplicações da web (ou WAF – Web Application Firewall), de acesso contextual com múltiplos fatores de autenticação e de monitorização com analytics.

WAF – Web Application Firewall: a zaga

Um WAF é um sistema que protege sites e aplicações contra ataques conhecidos e desconhecidos, incluindo as ameaças de camada e de dia zero. Desenvolvido no começo dos anos 90, o Web Application Firewall foi uma nova espécie de firewall criada inicialmente para responder às ameaças que estavam além do escopo dos firewalls tradicionais. Enquanto estes defendem o perímetro da rede (o “gol”), o WAF fica entre o cliente web e o servidor web, analisando o tráfego da camada das aplicações para verificar se há violações na política de segurança programada. São os “zagueiros”.

Ao escolher um Web Application Firewall, é importante verificar se o sistema possui todas os certificados e funções reconhecidas no mercado de segurança (ICSA, Common Criteria, certificado FIPS), sendo capaz de analisar todo o tráfego bidirecional (inclusive as comunicações SSL criptografadas), sem exigir nenhuma modificação nas aplicações. Além disso, um WAF de qualidade tem de oferecer proteção abrangente sem degradar o throughput ou os tempos de resposta das aplicações. Ou seja: tem que proteger o goleiro e o gol sem prejudicar a “saída de jogo”.

Single Sign-On: o meio-campo

Não é apenas a zaga que desempenha papel fundamental na defesa da meta. O meio-campo também ajuda nesse sentido e no jogo da segurança esse papel é do acesso contextual seguro. Isso pode ser conseguido com uma solução inteligente de SSO (single sign-on), que ofereça acesso remoto através de um gateway web. A solução também deve oferecer controle granular de segurança, com autenticação multifatorial (MFA) e acesso a dados confidenciais com base no cargo do usuário, da localização e do estado do dispositivo, para realmente fornecer informações de contexto do acesso.

Um ponto importantíssimo aqui é a experiência. O acesso a diferentes aplicações, VPNs e aplicativos móveis frequentemente resulta em má experiência para o usuário final, com interfaces inconsistentes e várias senhas e URLs perdidas. É preciso que a solução de single sign-on realmente reúna em um único login e URL todas as aplicações que o funcionário precisa, facilitando tanto o seu trabalho quanto o da TI, que não pode se matar para configurar e proteger todos os pontos de acesso. Ou seja: deve literalmente fazer o meio de campo entre defesa e ataque.

Monitorização e Analytics: o ataque

Por fim, o ataque. Mas…o ataque também defende? Sim, no futebol muitas vezes o centroavante tem de voltar todo o campo para proteger o arco e na segurança não é diferente. Esse é o papel da segurança preditiva, que ao dispor de ferramentas de monitorização pode detectar ameaças antes que elas aconteçam. É necessário um sistema capaz de oferecer análises avançadas além da análise-padrão, fornecendo insights difíceis de detectar e que podem melhorar não apenas a segurança, mas também a performance e a lucratividade dos seus negócios.

Na escolha da solução, é preciso adotar tecnologias sofisticadas que contem com inteligência artificial (AI) e machine learning (MA) para aumentar a qualidade da tomada de decisões, aprofundando as descobertas e elevando a velocidade com a qual o time de TI ou o sistema reagem. Deve-se aplicar o aprendizado de máquina a dados do tráfego de rede, dos usuários, dos arquivos e dos endpoints para identificar e agir sobre comportamentos mal-intencionados e nas anomalias de desempenho das aplicações. Isto é: deve atacar!

* Nuno Silveiro é Principal Sales Specialist – Delivery Networks

Fonte: Convergência Digital

O documento composto por 29 artigos foi organizado pela SPGG em parceria com outros órgãos estaduais