A pergunta que incomoda
Pergunte a qualquer organização se os seus sistemas são seguros e quase sempre dirá que sim. Pergunte a seguir como o sabe, e a resposta costuma mudar: «temos uma firewall», «passámos uma auditoria no ano passado», «nunca nos aconteceu nada».
Nenhuma dessas respostas demonstra nada. Uma firewall mal configurada protege pouco. Uma auditoria anual retrata um só dia. E não ter acontecido nada pode significar simplesmente que ninguém o viu.
Declarar face a demonstrar
A segurança declarada descreve intenções e ferramentas. A segurança demonstrada responde, para cada risco importante, a quatro perguntas:
- Que controlo o cobre? Algo concreto: «todo o acesso administrativo exige segundo fator».
- Quem é responsável por que funcione?
- Quando foi verificado pela última vez?
- Que evidência há do resultado? Um relatório, um registo, uma captura com data.
Quando essas respostas existem e estão em dia, a conversa com um auditor, um cliente ou a direção muda de tom: já não se discutem opiniões, revêem-se provas.
O que percorre esta série
Começa por saber o que há que proteger (a superfície exposta). Continua por como se passa dos referenciais a controlos próprios com evidência, e como essa evidência se recolhe sozinha. Desce depois às camadas de proteção que mais falham na prática: permissões, código e dependências, cifra e acesso híbrido. Termina no que acontece quando algo falha: registar, detetar, responder, e fazer com que a segurança ajude em vez de travar.
Várias peças já foram tratadas noutras séries e aqui apenas se citam: a identidade única (Governo), os segredos (Plataforma), as regras como código e as linhas de base (IaC) e o desenho por zonas (Arquitetura).
O primeiro, antes de qualquer controlo, é saber o que vê um atacante.
Como o aplicamos: Cibersegurança.