A partir da publicação deste editorial, a Linha Defensiva passará a dar prioridade aos valores jornalísticos em (aparente) detrimento da preocupação com a segurança dos usuários de serviços do Google, como Orkut, Gmail, YouTube, entre outros, mas que busca justamente o oposto: forçar a empresa a dar a devida atenção às questões de segurança e proteger seus usuários.
Na prática, a mudança significa que a Linha Defensiva irá revelar publicamente qualquer vulnerabilidade com a qual tiver contato, imediatamente, sem comunicar a empresa pelos canais corretos para este fim. A Linha Defensiva também convida aqueles que compartilham do mesmo sentimento para entrar em contato com o site e compartilhar informações para serem expostas publicamente. Detalhes técnicos serão resguardados na publicação, de modo que o Google não tenha acesso às informações técnicas sem investigação própria, quando a falha for divulgada – exceto se o descobrir da falha desejar o contrário.
Desde a sua criação, a Linha Defensiva encontra-se em um conflito de valores entre segurança e jornalismo. No gerenciamento de informações sobre falhas de segurança, o site adotou o princípio de agir como um conhecedor das questões de segurança e avisar a equipe responsável das empresas, ignorando o “protocolo padrão” de entrar em contato com a assessoria de imprensa, deixando isso em segundo lugar.
Antes de se preocupar com a publicação de notícias sobre certos eventos, a primeira preocupação da Linha Defensiva era comunicar o responsável. Essa política do site rendeu inclusive presentes: dois membros da coordenação do site receberam camisetas do Google, vindas diretamente de Mountain View, Califórnia, como agradecimento pela colaboração.
A Linha Defensiva entendia ser desnecessária a publicação ou exploração de falhas sem comunicar, primeiro, a equipe responsável e como forma de “punição” a quem pensasse diferente, omitia nomes de quem o fazia – omitindo também informação ao leitor, em nome da ética de segurança que o site valorizava.
No entanto, o total descaso do Google para com as informações cedidas pela Linha Defensiva à empresa, recentemente, levam a uma reversão dessa política. Segundo informou a assessoria, a empresa não compreende ser necessário responder cada colaborador que avisa a empresa sobre uma falha de segurança, caso outros já o tenham feito. Isso é um erro porque cada um que tenta compartilhar informação dessa forma pode ser o próximo a saber de uma falha, e é necessário cultivar cada colaborador -e esse deve ser um esforço contínuo que “brinde” nenhum compensa.
“Nos plantões de monitoramento e de emergências, o foco é para a identificação e solução do problema e não é possível responder individualmente para cada ticket”, afirmou a assessoria de imprensa à Linha Defensiva. É louvável essa priorização, mas deixar o colaborador sem qualquer resposta – sem pelo menos um aviso de que “já estamos sabendo por outro ticket, agradecemos” – é descaso demais.
O pesquisador do Google Tavis Ormandy soltou informações técnicas de uma falha no Windows que expôs usuários por acreditar que a Microsoft não estava fazendo o suficiente pelos seus usuários. A Linha Defensiva hoje toma a mesma posição perante o Google.
Vale lembrar que até empresas muito menores “acertam” mais do que o Google nesse sentido. O Google Security Blog é basicamente um veículo de propaganda da empresa para seus recursos de segurança. O @safety do Twitter pelo menos informa cada vulnerabilidade corrigida no site. Não que o Twitter seja um exemplo – pelo contrário, há muitos problemas com a segurança do Twitter. Mas o Twitter é um site que não lucra nada e conta com apenas 140 funcionários. O Google, por outro lado, tem condições de fazer mais.
Não informar dados a respeito das correções de falhas, nem por meio da equipe de segurança, nem pela assessoria da imprensa, e ainda não manter uma página atualizada sobre os ataques recentes — sinais de uma política de segurança que precisa ser melhorada. Aparentemente, a imprensa é que precisa informar os usuários a respeito de como proceder e tentar fazer sentido do caos. Se esse é o caso, devem valer, pois, as regras da imprensa e não da segurança.
O atual “limite” proposto pelo Google para aguardar que o time de segurança conserte uma falha é de 60 dias. Independentemente do tipo de falha que a Linha Defensiva tiver conhecimento, respostas serão esperadas somente pela assessoria de imprensa que, de praxe, deve responder um pedido de informação urgente em algumas poucas horas.
Concluindo, o Google não é o único a adotar posições equivocadas e lidar de forma precária com a questão da segurança. Mas é uma empresa que pode fazer certo e influenciar outros com essa ideia.
O departamento comercial da Linha Defensiva, que gosta muito mesmo do Google AdSense e do Google Analytics, votou contra essa posição, mas foi voto vencido.
17/05 - Ladrão de senhas usa truque para tentar burlar ‘Guardião’ do Itaú
16/05 - Ataque ‘misterioso’ envolve arquivo falso em endereços legítimos
16/05 - E-mail com ‘notificação do Facebook’ distribui ladrão de senhas
15/05 - Golpe prometendo fotos de Carolina Dieckmann já afetou 3000 usuários
04/05 - Parceiro chinês vazou dados de falha de segurança, diz Microsoft
04/05 - Criminosos transformam milhas aéreas roubadas em gasolina
01/05 - Fraude por e-mail: ‘você teve uma foto marcada no Messenger’
01/05 - Fraude por e-mail: ‘Delegacia Eletrônica – Registro de ocorrência’
28/04 - Em SP, concurso convida ‘hackers’ a melhorar transparência pública
27/04 - Provedores devem descontar horas perdidas por rompimento de fibra
Cadastre-se e receba em seu e-mail
Anuncie | Termos de Uso | Politica de Privacidade | WP | ASAP
Editado por Altieres Rohr. Mantido pelo Staff Linha Defensiva
Apoio: Revenda de hospedagem de sites em datacenter no Brasil, dominios ilimitados
