Segurança da Informação e Tecnologia
Durante a entrevista com o Paulo T., o Fucs fez a pergunta de um milhão de dólares:
Há certa tendência por sua parte de tratar segurança de forma levemente tecnicista, freqüentemente profissionais com essa abordagem costumam ser criticados por falta de uma "visão do negócio das empresa". Em sua opinião, segurança da informação pode ser dissociada da tecnologia?
Curiosamente no seu podcast deste mês Gary McGraw faz a mesmíssima pergunta ao Bruce Schneier, e ele responde diretamente que não. Segundo Schneier, um profissional de segurança tem sem dúvida que enxergar a big picture e entender os fatores sociais e econômicos envolvidos. Mas fundamentalmente o profissional tem que conhecer tecnologia - "security is all about technology".
Acho que o Schneier acerta na mosca aqui. Se um profissional não entende como a tecnologia funciona ele não tem como entender os riscos envolvidos, e muito menos identificar os controles necessários para mitigá-los. Também não tem como ter uma visão sistêmica de segurança, e tende a enxergar soluções sem levar em conta todos os impactos que ela pode causar.
UPDATE: Augusto aborda o mesmo tema aqui.
