Você sabe o que dizem: “o diabo não é sábio por ser diabo, é por ser velho.” Pois é… o diabo velho aqui já viu muita coisa em gestão de segurança da informação, entretanto, toda vez que acontece um incidente de grande impacto (como o ataque à C&M Software, que resultou no desvio de centenas de milhões de reais) bate aquela vontade de usar o caso como exercício prático.
E se… ao invés da C&M, a empresa-alvo fosse a XYZ, aquela mesma que usamos nos exemplos em sala de aula?
Ela teria resistido? Teria sido invadida? Aliás, essa é uma oportunidade única de aprendizado sem os riscos reais.
Vamos descobrir juntos, com a vantagem de que aqui ninguém vai para CPI, mas todos saem com aprendizados práticos em segurança da informação aplicada à gestão.
Gestão de segurança da informação: processo, não intuição
Primeiramente, é importante destacar que na disciplina “Gestão de um Processo de Segurança”, trabalhamos com um modelo prático e cíclico que se encaixa perfeitamente em uma estratégia de gestão de segurança da informação madura.
Esse ciclo é o coração da gestão de segurança da informação. Assim sendo, ele inclui etapas como:
- Analisar riscos, vulnerabilidades e recomendações;
- Implantar os controles mais críticos;
- Monitorar os KPIs de segurança;
- Apresentar os resultados e decidir;
- Recomeçar com base em nova análise.
Esse ciclo é o coração da gestão de segurança da informação em ambientes corporativos que não podem se dar ao luxo de confiar somente na sorte.
Contexto simulado: a XYZ
A XYZ é uma empresa de médio porte que atua como integradora de serviços financeiros. Recentemente, passou por uma auditoria de risco. Seguindo normas como ISO 27001 e NIST, foram feitas diversas recomendações alinhadas às boas práticas de gestão de segurança da informação.
A saber, essas recomendações incluem:
- Proteção contra uso indevido de credenciais;
- Controle de acesso a APIs Pix e sistemas integrados ao BACEN;
- Armazenamento seguro de certificados digitais;
- Gestão formal de acessos privilegiados.
Indicadores da XYZ (antes da “tragédia”)
| Indicador de Segurança | Situação Atual da XYZ |
|---|---|
| % de acessos privilegiados com MFA | 0% |
| % de usuários normais com MFA habilitado | 15% |
| % de sistemas críticos com acesso via PAM | 0% |
| % de acessos privilegiados revisados no último trimestre | 12% |
| % de chaves privadas/certificados armazenados em HSM | 0% |
| % de APIs sensíveis auditadas nos últimos 3 meses | 10% |
Decisões com base em indicadores e gestão de segurança da informação
Um relatório desses nas mãos de um conselheiro, investidor ou sócio… já pensou?
Consequentemente, é uma receita para uma reunião tensa. Essa constatação é mais do que um alerta.
É a tradução do risco técnico para a linguagem dos negócios, e nesse ponto, a gestão de segurança da informação se conecta diretamente à governança corporativa.
O conselheiro, CFO ou CEO não quer saber “se a senha está fraca”. Eles querem saber:
- Estamos seguros?
- Temos risco que pare o negócio?
- Estamos fazendo algo a respeito?
- Isso está sendo monitorado?
- Quem é o responsável?
Ações imediatas: quando o alerta toca, não dá para ignorar
Em seguida, apresentamos três ações imediatas baseadas nos aprendizados do caso real:
1. IAM + MFA para administradores e usuários críticos
- Motivo: o principal vetor do ataque à C&M foi uma credencial legítima com acesso elevado.
- Ação: Implantar um sistema IAM e ativar MFA obrigatório.
- Meta: 0% → 100% de admins registrados com MFA em XX dias.
2. HSM para certificados e chaves privadas
- Motivo: certificados são chaves. Precisam estar em HSMs, não em disco.
- Ação: Migrar para HSM (hardware ou cloud).
- Meta: 0% → 100% em XX dias.
3. IAM + MFA para todos os usuários
- Motivo: qualquer usuário pode ser uma porta de entrada.
- Ação: IAM para todos e MFA ativado.
- Meta: 15% → 90% de usuários com MFA em XXX dias.
Essas são medidas fundamentais dentro de qualquer plano de gestão de segurança da informação que queira transformar indicadores vermelhos em ações concretas.
Painel de Gestão proposto após ações corretivas
| Indicador | Meta |
|---|---|
| % de acessos privilegiados com MFA | 100% |
| % de usuários normais com MFA | ≥ 90% |
| % de sistemas críticos com PAM | ≥ 80% |
| % de certificados protegidos por HSM | 100% |
| % de acessos privilegiados revisados por trimestre | 100% |
| % de APIs críticas auditadas | ≥ 90% |
| MTTR (Tempo médio de resposta a alertas) | < 48h |
O ataque já aconteceu (na empresa dos outros)
O ataque à C&M foi real, caro e devastador. Por isso, refletir sobre a maturidade da sua gestão de segurança da informação deixou de ser opcional.
Mesmo que a empresa pareça estar funcionando bem, ainda assim, sempre que os indicadores de gestão de segurança da informação estão no vermelho, estamos somente confiando na sorte.
E como diz o diabo velho:
“Segurança que depende da sorte é só um desastre esperando o melhor momento para acontecer.”
Por Mauro José de Souza | VP da E-TRUST e Professor do MBA de Cibersegurança | Unisinos
Por fim, se você gostou desse artigo sobre gestão de segurança da informação, então não deixe de conferir esses conteúdos:
- Utilize as tecnologias certas no combate aos ataques hackers
- Ataques cibernéticos: como se proteger contra os 5 principais
- Prevenção de ciberataques em sistemas com acesso remoto
E se quiser ficar por dentro das notícias do mundo da cibersegurança, assine nossa newsletter clicando no botão abaixo:
