A equipa que diz que não
Em muitas organizações, segurança é a área que bloqueia: revê no fim, encontra problemas quando já é tarde para os mudar e responde «não» ao que não conhece. As equipas aprendem a evitá-la, a pedir perdão em vez de autorização, e a segurança acaba a saber menos do que se passa justamente onde mais falta faria.
Não é um problema de pessoas. É um problema de onde se coloca a segurança no ciclo de trabalho.
Mover a segurança para o início e para dentro
A segurança que não trava está incluída no caminho por onde as equipas já passam:
- No modelo: as aplicações nascem com cifra, registos e configuração segura por omissão (começar sempre igual).
- Nas regras: o que não se pode fazer para automaticamente no plano, com uma mensagem clara (regras como código).
- Na construção: dependências analisadas e artefactos assinados sem que ninguém tenha de o pedir (o código também é superfície).
- Na arquitetura: as zonas e os requisitos de segurança decidem-se ao desenhar, não ao revisar (desenhar por zonas).
Com tudo isso automático, a revisão humana centra-se no que de verdade exige critério: desenhos novos, riscos que não encaixam em nenhuma regra, exceções.
O papel que muda
A área de segurança deixa de ser quem revê no fim para ser quem define as regras, constrói os controlos automáticos e ajuda a desenhar. O seu sucesso já não se mede por quantos problemas encontra, mas por quantos param sozinhos e quanto tempo as equipas levam a fazer as coisas bem.
Fecho da série
A segurança demonstra-se com evidência. Começa por conhecer o que vê um atacante; organiza-se num catálogo de controlos que satisfaz vários referenciais ao mesmo tempo; cada controlo produz evidência, e a maior parte recolhe-se sozinha. Protege-se por camadas (privilégio mínimo medido, software com o seu inventário e a sua assinatura, dados classificados com chaves sob controlo, acesso por aplicação), registra-se o que importa, deteta-se com poucos alertas bons e responde-se com um guião ensaiado. E tudo isso funciona melhor quando o seguro é, além disso, o mais fácil.
Como o aplicamos: Cibersegurança.