Com o aumento da complexidade dos sistemas, monitorá-los e evitar falhas se tornou uma tarefa cada vez mais difícil e estratégica. Diante disto, era preciso que o modo de monitorar as redes evoluísse. É nesse contexto que nasce o conceito de observabilidade, que entende que se um sistema puder ser observado, será melhor monitorado e gerará mais segurança. Mas não só: esta observação trará também insights importantes para o negócio.

A tendência que pauta esta reportagem vem para ajudar as empresas a se protegerem, melhorando no quesito segurança, mas também apropriando uma nova vertente no monitoramento de aplicações e análise de dados. A observabilidade é um modelo que está passos à frente da antiga APM (application performance monitoring). Lembra como era? Profissionais de TI observando se tinha algum problema de performance ou de desempenho, dentro das aplicações. A evolução desses processos é o que hoje leva o nome de observabilidade. Um dos seus principais avanços é a capacidade de antever e prevenir, mitigando riscos a partir da leitura inteligente de dados e comportamentos.

As soluções de observabilidade permitem que as empresas coletem e analisem dados para entender por inteiro o estado de uma aplicação. Caso alguma falha seja iminente, quem acompanha o sistema perceberá o risco com mais assertividade. Se a falha já aconteceu, é possível rastrear o problema e cortar o mal pela raiz, aumentando a confiabilidade do sistema. O monitoramento também entrega sinais do comportamento do usuário, oferecendo às empresas dados e indicativos que, bem utilizados, podem reforçar a experiência positiva de clientes e usuários.

Se um consumidor abre o aplicativo de seu e-commerce favorito, tenta fechar uma compra, mas não consegue porque o programa apresenta um erro, a varejista que tenha um nível alto de observabilidade conseguirá identificar que um usuário está tentando comprar um carregador para smartphone, mas não consegue porque, na verdade, o produto não existe no estoque. A partir daí, é possível resolver o problema rapidamente, antes que isto gere uma frustração maior no cliente ou até a migração dele para outro e-commerce.

Alex Camargo, especialista em digital, cloud e observabilidade da Yssy & Co, explica que a observabilidade tem três pilares: “a parte da infraestrutura, o computador e servidor que rodam a aplicação, a linha de código e o log, que é um arquivo de texto gigantesco onde estão gravadas todas as ações daquela aplicação”. Com observabilidade, destaca, dá para saber o que está acontecendo em cada um dos pilares para identificar problemas e pontos de melhoria.

É a chamada observabilidade full-stack, ou seja, em tempo real e sobre todas as camadas de tecnologia: aplicativos, computação definida por software, armazenamento, serviços, rede, internet, elementos da cloud etc. É uma ferramenta que oferece às empresas uma visibilidade detalhada do comportamento, desempenho e integridade de seus aplicativos e infraestrutura de suporte por meio de telemetria de alta precisão (métricas, eventos, logs e rastreamentos, também conhecidos como MELT) coletados de todo o seu domínio de TI.

“Por meio da observabilidade full-stack, as equipes de TI têm a capacidade de acessar, explorar e pesquisar facilmente uma infinidade de dados e correlacionar o desempenho do aplicativo aos resultados de negócios”, explica João Valentin, head da Cisco AppDynamics para a América Latina. “Armados com insights acionáveis, eles podem priorizar o que é mais importante, reduzir o tempo médio de identificação (MTTI) e resolução (MTTR), assim como fornecer aos clientes e funcionários as experiências digitais perfeitas que eles exigem”.

## Fazendo o caminho inverso
O novo conceito de acompanhamento de redes e sistemas quebra paradigmas dentro das empresas. Ao falar sobre a cultura reativa da cibersegurança no Brasil, o executivo da AppDynamics afirma que “tudo que existe na internet é passível de ataques, falhas de segurança e vazamentos, e as empresas não podem mais se dar o luxo de pensar na segurança como algo opcional”.

Para o especialista, os novos tempos já não permitem pensar em segurança como uma camada secundária das aplicações, é preciso pensar nisto desde o início da concepção de um projeto. “Trazer a segurança do aplicativo como elemento essencial já em sua concepção permite assumir uma postura proativa, rastrear e diagnosticar problemas e resolvê-los sem que o usuário final sinta”, diz  Valentin.  

“Quando você tem um problema de performance, nem sempre o problema está relacionado a um problema de fato na sua aplicação. Você pode estar sofrendo uma invasão”, complementa Alex Camargo, da Yssy. “Você pode estar sendo exposto externamente, através de um problema de segurança. Só que você não consegue correlacionar os dois mundos, que são a performance e a vulnerabilidade de fato”, esclarece, destacando que a observabilidade permite essa macrovisão.

Ou seja, a observabilidade e segurança devem ser estabelecidas desde o esboço de um projeto. As ferramentas são, claro, muito importantes, mas antes de aplicá-las é preciso que a empresa passe a priorizar o tema da segurança. “A pressão para entregar aplicativos ‘prontos’, sem segurança comprovada, não deve existir; pelo contrário: essa cultura deve ser rechaçada e a mudança de mentalidade deve vir de cima”, comenta o executivo da AppDynamics.

## A observabilidade vai crescer no Brasil
Se a teoria sinaliza que a observabilidade traz muitos benefícios, a adoção da ferramenta já está fazendo diferença nas organizações. Na última rodada da pesquisa Jornada da Observabilidade, feita pela AppDynamics, 34% dos profissionais de Tecnologia da Informação disseram que passavam muito tempo resolvendo problemas urgentes nos sistemas. Após a implementação do modelo de observabilidade, 40% informaram ser capazes de identificar a raiz dos problemas mais rapidamente.

Então se a observabilidade traz tantos benefícios, por que ela não é tão comum nas nossas empresas? É preciso entender que este é um conceito novo, mas as empresas já estão transformando a teoria em realidade. A pesquisa da AppDynamics mostrou que 70% das organizações brasileiras participantes já iniciaram a transição para a observabilidade, enquanto 12% planejam fazer isto nos próximos 12 meses.

Porém, muitas empresas ainda não terminaram o processo de transformação digital e um legado pesado pode atrapalhar – e muito – o desenvolvimento de soluções e transição para o modelo de observabilidade. As ferramentas disponíveis no mercado, dizem os especialistas da Yssy e da Cisco, já permitem a coexistência da agilidade no desenvolvimento, inovação e observabilidade total de dados e da segurança. Ou seja, não é preciso escolher entre agilidade nos lançamentos e segurança nas aplicações.

__O Fórum Vetores estratégicos da cibersegurança é uma coprodução de MIT Sloan Review Brasil e Yssy & Co.__

[Se você deseja falar com um dos especialistas Yssy, entre em contato aqui.](https://yssy.com.br/tecnologia/)

![logos](//images.ctfassets.net/erznwkq1zetp/5GVwAIbuhQGBEmV4vtuTfP/fc8bff568d2cf5824e8adeaa640cf43b/logos.png)

O novo jogo é o da observabilidade

De todos os riscos que cercam um negócio, um, em particular, tem tirado o sono de diretores e executivos, em razão do rápido poder de destruição financeira e de reputação. É a escalada dos ataques cibernéticos, que se tornaram mais comuns e sofisticados com o correr dos anos – especialmente após a pandemia, no lastro da transformação digital acelerada. Dados do Cyber Tech Report, divulgado pela CISCO em 2021, mostram que no Brasil, entre janeiro e setembro de 2020, foram registradas mais de 3,4 bilhões de tentativas de ataque cibernético.

Enquanto quadrilhas digitais se especializaram em identificar e explorar os pontos fracos das empresas em meio a tantas mudanças tecnológicas, golpistas têm se aproveitado do descuido de funcionários para invadir sistemas e roubar informações corporativas valiosas. E eles não têm poupado esforços para enfileirar vítimas – que, nos últimos doze meses, incluem organizações como CVC, Renner, Toyota, Bridgestone, Mercado Livre, Grupo Fleury, Gafisa, Americanas e até mesmo o Centro Nacional de Pesquisa em Energia e Materiais (CNPEM), que abriga o acelerador de partículas Sirius.

“O agravante deste tipo de ataque é que, diferentemente de um assalto físico, não há barreira geográfica para o agressor. Hackers de qualquer país procuram empresas com sistemas de proteção frágeis e usam técnicas avançadas para capturar informações”, alerta Vagner de Araújo Silva, chefe de segurança da informação (CCIE) na Yssy & Co, consultoria especializada na implementação de soluções tecnológicas e serviços avançados de SI para empresas.

Apenas em 2021, os prejuízos globais decorrentes de ataques cibernéticos chegaram a US$ 6 trilhões, de acordo com um levantamento da consultoria alemã Roland Berger. O montante equivale a quase todo o produto interno bruto (PIB) de Brasil e Alemanha, juntos – cuja projeção era de US$ 6.175,9 trilhões no ano passado. O cálculo também mostra que, considerando os dados de 2020, a conta ficou salgada para quem caiu nas garras dos hackers: nos maiores países europeus, o prejuízo médio para cada empresa foi de US$ 385 mil – além do dano intangível à imagem e à estratégia corporativa.

O Brasil é um dos principais alvos: segundo o mesmo report da CISCO, estima-se que dos 41 bilhões de ataques realizados na América Latina em 2020, mais de 20% tenham ocorrido apenas no Brasil. O documento destaca que dos crimes de ransomware – ataque mais comum, em que o hacker invade o sistema da empresa, sequestra os dados (daí o “ransom”) e exige um pagamento de resgate – também estão se tornando mais frequentes ataques relativos à roubo de criptomoedas, sequestro de e-mails, spyware e phishing.

Um dos fatores que coloca o Brasil na mira dos agressores é a Lei Geral de Proteção de Dados (LGPD). Ao mesmo tempo em que estabeleceu regras claras – e muito bem-vindas – ao ambiente digital, a legislação potencializou o lucro de hackers, por conta das altas multas previstas para empresas que exponham dados dos clientes. “A partir da publicação da LGPD, os ataques aumentaram e passaram a ser mais divulgados pelos hackers, de forma a pressionar as empresas a pagarem pelo resgate das informações”, explica Josiane de Barros Silva, líder de pré-vendas e especialista em segurança cibernética da Yssy.

O Brasil também tem se tornado vítima usual em razão dos baixos investimentos em segurança cibernética. Dados do IDC mostram que o valor gasto em softwares e sistemas de proteção no país cresceu 10% no ano passado. Não é um ritmo que ajude o país a acompanhar a corrida mundial contra os hackers: a consultoria Gartner calcula que os gastos mundiais no setor tenham crescido 12,4% em 2021.

“O Brasil já faz parte de uma base tecnológica mais baixa e não investe o suficiente para reduzir este gap em relação a países mais preparados para ciberataques, como Inglaterra e Estados Unidos”, analisa Fabro Steibel, diretor-executivo do ITS-Rio. “É uma realidade que torna as empresas brasileiras presas mais fáceis para os criminosos digitais”, acrescenta ele, que também é pesquisador e professor de inovação, membro do conselho global do Fórum Econômico Mundial (WEF) e fellow da Organização dos Estados Americanos (OEA).

## Agilidade e treinamento
Mas não basta investir grandes somas de dinheiro para proteger as empresas de ciberataques. Também é necessária uma cultura digital gravada no DNA das organizações. Isso impede que ferramentas de proteção sejam pouco compreendidas e, por vezes, mal implementadas – reduzindo perigosamente sua eficácia, o que coloca as companhias em situação de vulnerabilidade.

Como um time de futebol desentrosado, proteções cibernéticas mal gerenciadas ou incorporadas de maneira aleatória, pouco têm a acrescentar às empresas. “Algumas até investem em tecnologia, mas se esquecem dos processos para monitorar se elas estão sendo bem utilizadas e preenchendo as lacunas de segurança”, observa Josiane, da Yssy.

O primeiro erro está na falta de diagnóstico sobre as necessidades de segurança. É preciso ter uma equipe de tecnologia da informação (TI) treinada para analisar e identificar as possíveis portas de entrada para cibercriminosos. O report do time de TI ajudará a empresa a enxergar riscos e elaborar um plano de resiliência em caso de ataques. O levantamento também indica o perfil das tecnologias vitais ao negócio – será mais eficaz ter uma gestão de e-mails própria, no drive ou contratando um pacote? Qual é o melhor sistema de proteção de senhas de acordo com o perfil da empresa e a distribuição dos colaboradores?

Tão importante quanto administrar as ferramentas digitais é manter os colaboradores alertas, capacitados e cientes de seu papel na proteção da empresa. O [relatório de investigações de violação de dados da Verizon](https://gatefy.com/pt-br/blog/relatorio-verizon-vazamentos-dados-dbir-2021/) descobriu que o fator humano estava envolvido em mais de 85% dos casos em 2021, seja por cair em um ataque de phishing, tomar decisões erradas que levam a infecções por malware ou usar senhas facilmente decifráveis.

A dica é incentivar uma cultura digital entre as equipes, com módulos de segurança incluídos na rotina de treinamentos. As pessoas precisam saber que mudanças simples de comportamento – como não anotar as senhas no drive pessoal ou reportar imediatamente às lideranças uma eventual tentativa de invasão pelo seu login de acesso – podem fazer toda a diferença. “Treinamento é tudo. Se chegar uma URL falsa no e-mail corporativo e o funcionário clicar, todos os processos e tecnologias caem por terra”, afirma Josiane.

Em processos de cibersegurança eficazes, agilidade na resposta é indispensável. Por isso, os treinamentos preparam os colaboradores não só para identificar ameaças, como para agir diante delas. A lógica é que os funcionários saibam identificar uma tentativa de ataque e a quem reportá-lo. Se houver um vazamento de dados, as equipes de TI precisarão de um método eficiente para rastrear por qual porta o golpista entrou – e fechá-la rapidamente.

“Tão importante quanto prevenir é saber identificar se uma eventual invasão ocorreu por problema de treinamento ou se houve falha na configuração dos mecanismos de proteção”, explica Josiane. “E então, agir rapidamente para evitar o pior”. Na segurança cibernética, o gerenciamento pesa mais do que o orçamento.

__O Fórum Vetores estratégicos da cibersegurança é uma coprodução de MIT Sloan Review Brasil e Yssy & Co.__

[Se você deseja falar com um dos especialistas Yssy, entre em contato aqui.](https://yssy.com.br/tecnologia/)

![yssy](//images.ctfassets.net/erznwkq1zetp/3UusynbzLp2Gor6IjmtBDK/c33dc03593deb2d9ba23af9ff817ec1a/yssy.png)

Na segurança cibernética, dinheiro não é tudo

Ataques cibernéticos estão cada vez mais na ordem do dia. Estamos falando de roubos e vendas de dados corporativos, extorsões, espionagem, fraude de identidades de clientes, e todas as categorias de crimes por meio digital; a lista é longa. Em fevereiro último, por exemplo, a Lojas Americanas reportou um acesso não autorizado aos seus sistemas, e tornou o e-commerce indisponível por quatro dias. Segundo estimativa da corretora XP, o ataque teria gerado à Americanas um prejuízo de R$ 250 milhões. Como chegamos a esse ponto?

Os cibercriminosos se mostram cada vez mais preparados para identificar e aproveitar as vulnerabilidades e as "oportunidades de negócios” emergentes das organizações. Por exemplo, a  expansão do trabalho remoto nos últimos dois anos trouxe vulnerabilidades novas, uma vez que as residências dos funcionários não contam com a mesma proteção de tecnologia da informação (TI) que é oferecida nos escritórios. Já a Lei Geral de Proteção de Dados (LGPD), que entrou em vigor em  2021, ampliou as  oportunidades no “mercado de sequestro de dados como um serviço” – o chamado ransomware as a service. E os criminosos nem precisam mais ter o trabalho de desenvolver um vírus. Basta que “adquiram” um malware pronto em marketplaces clandestinos da dark web para executarem seus golpes.

O cenário torna urgente o investimento em cibersegurança por companhias de todos os portes e setores. Ainda mais no Brasil, considerando que é o quarto alvo preferido dos criminosos virtuais, segundo um levantamento recente da consultoria alemã Roland Berger. Essa estatística tem coerência com o que especialistas da área ouvem de seus interlocutores no dia a dia, e não apenas clientes – há relatos frequentes de amigos ou parentes que caíram num golpe digital.

Isso exige das empresas que tenham tanto abordagens reativas como proativas em relação a cibersegurança. Neste artigo, focamos uma abordagem proativa específica, que consiste em considerar a segurança de um produto digital – como um aplicativo – desde seu design. 

## Reação ou prevenção?
Garantir a segurança digital é estratégico para mitigar riscos, prevenir prejuízos financeiros e atender às expectativas dos clientes. No entanto, quem desenvolve um produto tecnológico não costuma priorizar o assunto; o foco costuma ser na formulação de ofertas elegantes, comercializáveis, amigáveis ao uso e cheias de funcionalidades. Essa foi a conclusão de Keri Pearlson, diretora-executiva do consórcio de pesquisas em cybersecurity da MIT Sloan School, e Keman Huang, professor da Renmin University da China, numa pesquisa em profundidade feita com 44 designers de três grandes empresas globais, ligadas aos setores de telecomunicações, energia e automação digital. E, em um segundo momento, foi validada com executivos de empresas ranqueadas no *Fortune 500* e fornecedores de soluções de cibersegurança.  

A razão para não haver a prioridade desejável? Segundo a pesquisa de Pearlson e Huang, há um temor dos profissionais de que preocupações de cibersegurança possam atrasar o lançamento do produto e ampliar a necessidade de investimentos. 

## Como agir diante dos desafios
As empresas costumam atuar de três maneiras em relação a cibersegurança – todas elas reativas – no desenvolvimento dos produtos. Elas geralmente fazem:

• Correções de vulnerabilidades na segurança após o produto estar pronto.
• Revisão do design e dos processos de desenvolvimento por meio de checkpoints.
• Inclusão de um consultor de segurança no processo de desenvolvimento – nem sempre especialista no assunto e normalmente utilizado por diversas equipes.

Esses não são os melhores caminhos. Adota postura reativa faz com que o trabalho de identificação e resolução de problemas pela equipe de TI (e todas as outras equipes) seja muito mais difícil, lento e custoso. A vulnerabilidade que abre flanco para ataques virtuais muitas vezes está em um software que possui um erro em sua lógica ou algum tipo de erro conhecido que não foi tratado no próprio código, ocasionando um grande esforço para correção e aplicação da correção que está envolvida num grupo em cadeia. 

Um bom caminho, como já mencionado, deve antecipar problemas, utilizando inteligência artificial e machine learning durante a fase de desenvolvimento do produto. Definir a segurança como elemento indispensável na concepção do aplicativo permite rastrear, diagnosticar e resolver problemas nessa área antes que o usuário final possa perceber. Isso minimiza eventuais impactos no negócio. 

Além de a segurança entrar na pauta de qualquer oferta digital desde o início do projeto, é fundamental que as lideranças insiram o assunto como prioridade na cultura corporativa. Explicar a importância da segurança de seu app é equivalente a explicar para qualquer pessoa a importância da saúde de seu corpo. Ambos simplesmente não conseguem funcionar bem se houver algo errado, e sempre estarão à mercê de problemas internos e externos se não se cuidarem.

Ao mesmo tempo, a liderança pode disponibilizar às equipes uma consultoria de especialistas e proporcionar treinamento específico, de modo a adotar protocolos e práticas básicas tanto quanto avançadas de design de segurança, implementar testes e compreender as expectativas dos clientes. Em outras palavras, cabe aos executivos C-level apoiar a cultura de segurança em suas empresas, como comentam Pearlson e Huang.

No Brasil, o mercado financeiro oferece um exemplo virtuoso desse processo: alguns grandes bancos já utilizam alguns passos do modelo de construção de uma cultura de segurança cibernética discutidos aqui, afetando direto o “bolso” de quem não cumpre, dando destaque para quem cumpre, oferecendo treinamento para diminuir esse abismo de conhecimento entre equipes e continuar a transmitir as principais mensagens.

É mais comum, no entanto, que os profissionais de TI brasileiros tenham o comportamento reativo que a pesquisa levantou a partir de operações globais. Eles concentram seus esforços no desenvolvimento de funcionalidades e na lógica interna do app, deixando a segurança como última etapa, por motivos de tempo de entrega ou de limitações orçamentárias. A pressão para entregar aplicativos “prontos”, sem segurança comprovada, não deveria existir. Pelo contrário, essa cultura deveria ser rechaçada. E essa mudança de mentalidade deve vir de cima.


Prevenção é fator-chave na segurança digital

Uma estagiária acessando sua conta de e-mail de Gana, no continente africano, acendeu um alerta numa empresa durante a pandemia. Consultoria de soluções tecnológicas especializada em segurança cibernética, a empresa brasileira percebeu o ataque potencial e agiu rapidamente para impedir a ação de criminosos. Para isso, observou e bem compreendeu um comportamento inusual e incoerente: se sua equipe está toda no Brasil e suas contas de email funcionais também; como sua estagiária, que não é designada para viagens, poderia estar logando a caixa de mensagens no país africano?

Quem conta essa história é Frederico Samartini, CEO da Yssy & Co, empresa focada em conectividade e transformação digital, que oferece soluções em segurança cibernética, cloud e digital applications, dados e analytics e outros – e a história é real; aconteceu com eles. “Observar comportamentos atípicos é uma medida essencial para todas as empresas: os funcionários devem ser preparados para observar e perceber, inclusive, seus próprios vícios de comportamento”, afirma. Na estreia do __Fórum: O vetor estratégico da cibersegurança__, uma coprodução __MIT Sloan Review Brasil__ e __Yssy & CO__, fazemos essa excepcionalmente longa entrevista de especialista, para mapear a vulnerabilidade digital brasileira e, mais ainda, mostrar o que poderia ser feito e não é, e o que vem sendo feito e não deveria. 

Tudo começa, segundo Samartini, por executivos mudarem a mentalidade em relação à cibersegurança. Cada vez mais gestores entendem que cibersegurança é aspecto decisivo da experiência satisfatória do usuário no mundo digital. Mas uma quantidade menor entendeu que cibersegurança não depende só do aporte de tecnologia. E uma quantidade menor ainda se libertou da velha ideia de ter ferramentas de prevenção ou reação a ataques virtuais. 

Sim, as ameaças de hackers são cada vez mais frequentes e cada vez menos previsíveis, mas a nova fronteira tema inclui a segurança como vetor de negócios, com impacto no design de aplicações, produtos e serviços e insights preciosos para o negócio. Leia, a seguir, os principais pontos da entrevista:

### Adotamos na MIT Sloan Management Review uma máxima da nova economia: toda empresa é uma empresa de tecnologia. Você concorda com isso? Se sim, o que significa ser uma empresa de tecnologia? E como sê-lo? 
Eu concordo com a premissa, sim. Até porque, hoje, para aumentar o volume de vendas, preciso ser mais rápido e acessar mais clientes ao mesmo tempo. Esse acesso exponencial só é possível por meio de tecnologia. Dessa forma, é fundamental que os CEOs comecem por conduzir o planejamento estratégico dando muita ênfase na implantação de tecnologias disruptivas. 

Eu penso que ser uma empresa de tecnologia significa compreender a necessidade e importância de dispor e fazer o melhor uso possível da tecnologia disponível para atender a expectativa daquele que está no centro de todo negócio: o cliente ou usuário. 

Ou seja, a tecnologia é o caminho para chegar ao cliente, desde a concepção de uma aplicação, produto ou serviço, até a garantia de uma experiência excelente. E isso inclui proporcionar segurança ao cliente, seja na loja física, seja no ambiente digital.

### Por onde começar a ser uma empresa de tecnologia?
Eu diria: conscientização da empresa toda e assessment.

Em matéria de conscientização, a empresa tem que desdobrar essa estratégia de forma que fique claro para os funcionários, inclusive para o profissional de TI [tecnologia da informação], que entende de tecnologia, mas nem sempre está alinhado com a estratégia do negócio. Time de TI sem visão sistêmica de negócio tem dificuldade de defender para o CEO um investimento que é necessário, ou dizer quando é necessário, e aí os problemas escalam. 

É uma dor tão grande o fato de CIOs (executivos-chefe de informação, na sigla em inglês) e profissionais de TI não terem foco na estratégia corporativa e no resultado (DRE), olhando só para produtos específicos de TI, que percebemos aí uma oportunidade de negócio: a Yssy & Co criou um serviço para ajudar no planejamento estratégico e no desdobramento de metas estratégicas de forma alinhada à tecnologia e à TI das empresas.

### E agora vamos falar de cibersegurança propriamente. Como ela conversa com planejamento estratégico?
Se você me perguntasse como a transformação digital conversa com o planejamento estratégico, seria mais fácil responder. As áreas de TI simplesmente não podem mais adquirir e aplicar tecnologia de forma pontual, avaliando apenas a qualidade do software ou hardware adquiridos. Toda a transformação digital precisa estar regida pelo plano estratégico da empresa e não por decisões unilaterais. Agora, no caso da segurança cibernética, complica um pouco, pois o investimento está mais voltado a um seguro de proteção do que a algo que aumente receita ou reduza custos de operação – que são os objetos do planejamento estratégico. Mas, no fundo, é como a decisão de contratar seguro de automóvel ou não.

### Imagino uma reunião do board olhando para o cálculo da consultoria alemã Roland Berger que saiu em março de 2022: esse cálculo mostra que, a cada segundo, uma empresa brasileira recebe uma tentativa de ataque hacker. Com essa exposição das companhias, o País já ocupa o 4º lugar em volume de tentativas de ataques de ransomwares no mundo; vem subindo, em 2020, estava na 9.ª posição. Essa estatística não seria argumento suficiente para a cibersegurança ser prevista em estratégia? O que ela significa?
Significa principalmente que as empresas brasileiras estão em um momento difícil, pois a concentração econômica é alta, ou seja, poucas empresas detêm os recursos para se proteger de modo mais abrangente – em comparação aos EUA, por exemplo. A grande maioria das empresas de médio e pequeno porte no Brasil estão lutando para manter ou crescer suas operações. A combinação de pouca flexibilidade para investimento, moeda desvalorizada, dependência de tecnologia importada e pouca mão de obra especializada faz com que tais empresas fiquem sem recursos para se proteger. No mundo do cibercrime, é tido como muito lucrativo atacar pequenas e médias empresas, sabia?

### O que as PMEs podem fazer?
Posso dizer o conselho que a Yssy oferece a essas empresas menores: se você não tem recursos para investir de forma abrangente em segurança cibernética, ao menos, invista para “cortar o mato alto”. É preciso priorizar e investir nas ferramentas que custam 20% do total, mas que garantam 80% de redução em riscos.

### Terrível. E mesmo empresas grandes sofrem... Basta olhar para o caso recente da Americanas.com, que teria perdido R$ 250 milhões por ficar fora do ar, segundo a XP. O que nossas empresas podem fazer para se proteger desses pelo menos 17 grupos de ataques hackers atuando no Brasil, de acordo com a Roland Berger? Por onde começar?
A primeira coisa que as empresas precisam fazer é investir em autoconhecimento, conhecimento das próprias vulnerabilidades. A maioria dos CEOs não sabe dizer qual é o nível de maturidade da proteção de suas empresas e nem qual o impacto teria um possível ataque. 

Identificando essa dor, nós desenvolvemos uma solução chamada Cyber Diagnosys para isso, nosso propósito é mapear a maturidade da empresa em relação ao digital e fazer um mapa com o caminho para a proteção. Nesse mapa é entregue a priorização do que precisa ser comprado e implantado, relacionando volume de investimento e criticidade de risco de exposição. É importante ter diversas alternativas de tecnologias para não ficar refém apenas de um só fabricante, por exemplo. A gente, por exemplo, tem mais de cem contratos com diferentes fabricantes internacionais – ovos em várias cestas.

Em segundo lugar, precisam ter mão de obra de qualidade no Brasil, o que anda especialmente difícil, por isso muitos acabam terceirizando. E, mais que tudo, é preciso aumentar o entendimento dos decisores hoje sobre o assunto. A meu ver, a maior fonte do problema talvez seja o fato de os executivos não terem as noções de tecnologia necessárias para tomar decisões. Eles não conseguem nem contratar a pessoa certa, porque não entendem de tecnologia, mesmo que de maneira generalista. 

Todo mundo parece correr atrás da transformação digital, mas se esquece de correr atrás da cibersegurança. Sendo que, quanto mais digitalmente transformado um negócio, mais exposto ele está. Como esse é um dinheiro gasto para não te deixar perder, mas não para te fazer crescer, às vezes é deixado em segundo plano.

### Falta inteligência digital ao executivo brasileiro? Temos falado disso na MIT Sloan Review. Aliás, falta em outros países também...
Sim e, por isso, ele deixa tudo na mão do profissional de TI, o CIO. Sabe qual é o problema do CIO? Não tem o respaldo necessário. Então o CIO, às vezes, escolhe a solução que ele conhece mais, o que está ali mais perto dele. Ele não tem, ao escolher tecnologia, uma visão de negócios para ajudar o CEO a priorizar. E é comum CIO e o CEO não falarem a mesma língua. 

### Como superar isso?
Não vejo um caminho melhor do que o de transmitir conhecimento. Essa é uma dor e tanto. Por isso, inclusive, estamos montando uma universidade de tecnologia e negócio. Ensinar negócios aos profissionais de tecnologia e tecnologia aos profissionais de negócios. Este é um projeto estratégico da Yssy. 

### O aprendizado em cibersegurança tem de ser tão constante quanto o aprendizado de um médico, por exemplo? 
Sim, tanto que nós mesmos estudamos muito, o tempo todo. Corremos atrás das certificações. Somos a empresa mais certificada do Brasil – aproximadamente 850 certificações ativas. E é bom estudar a tecnologia, a gestão de processos, a gestão de pessoas. É o que fazemos aqui, trabalhamos com o pacote completo.

### Globalmente vemos que os CISOs (executivos que focam tecnologia da informação e cibersegurança) têm crescido. E no Brasil? As empresas devem ter adicionalmente especialistas internos em segurança?
As empresas precisam ter mais pessoas aptas para implantar e manter as ferramentas de segurança da informação nas companhias do Brasil. Pode ser com pessoal interno ou terceirizando. É inegável que a terceirização oferece como vantagem evitar a dificuldade de atrair e reter pessoas especializadas, e o esforço de mantê-los treinados e atualizados em relação aos riscos emergentes. 

### Por que tantas empresas priorizam reagir a prevenir?
Acho que os brasileiros são bem otimistas e sempre acham que o risco de serem atacados não vai se materializar. 

### Tem também a questão de não querer gastar dinheiro “à toa”, caso o ataque não venha? Aquele pensamento “dava para uma loja nova em vez de investir em cibersegurança”....
Todo investimento precisa ser analisado na base de risco versus retorno. No caso, o retorno é quanto de risco teremos mitigado para aquele investimento. Obviamente, quanto mais investimento mais o risco é reduzido, porém não acho que seja para sair investindo loucamente, não. 

É interessante entender que, quando falamos de cyber, falamos de três momentos de prevenção: antes, durante e depois de um ataque. Não é só antes do ataque.  As empresas precisam investir considerando todos esses momentos. 

### Se o executivo decide sem saber o suficiente, o que dizer de uma cultura de cibersegurança? Inexiste?
Posso dizer que sim, inexiste na maioria dos casos.

### Qual o impacto do regime de trabalho híbrido nisso?
Aumenta, mas é possível gerenciar isso, no espírito do custo-benefício. É fundamental o trabalho de conscientização de todos os funcionários da empresa para riscos cibernéticos – primeiro com o management sênior, em seguida com nível gerencial e, por fim, com os demais colaboradores da empresa. Nós testamos a maturidade dos colaboradores, por exemplo, mandando e-mails phishing – preparados por nós e sem risco para a empresa – apenas para pegá-los distraídos e, a partir de algo concreto, começar a deixá-los atentos. 

Dá para fazer também os pentests (testes de penetração) – quando o nosso time ataca a empresa cliente a pedido dele, com o objetivo de descobrir brechas. 

### Que orientação você daria especificamente para os CEOs nessa área?
Nas reuniões de acompanhamento de diretoria, ele ou ela sempre deve fazer duas perguntas: “quão expostos nós estamos ao risco de um ataque cibernético?” e “Se houver um ataque, estamos preparados para voltar ao ar?”. Sempre tem de haver respostas para essas perguntas.

A nova fronteira da cibersegurança

Hoje, os líderes de todas as unidades de negócios devem ser capazes de responder a uma pergunta crucial: quão seguros estamos? Esta série examina como os gestores podem construir a resiliência tecnológica para competir na nova economia digital, na qual as empresas precisam se proteger não apenas de ataques cibernéticos, mas também da obsolescência técnica e pontos fracos digitais dentro de sua infraestrutura e equipes.

Um funcionário da Maersk, o maior conglomerado de transporte marítimo do mundo, viu as telas de computador de repente ficarem pretas e irreversivelmente bloqueadas no final de junho de 2017. Um vírus altamente sofisticado explorou os computadores da empresa na Ucrânia sem os recursos de segurança mais recentes do Microsoft Windows. Com essa pequena brecha, o vírus invadiu os sistemas da empresa e bloqueou o acesso a todos os computadores e servidores em todo o mundo, parando as operações de transporte por vários dias. O [incidente custou à Maersk](https://www.forbes.com/sites/leemathews/2017/08/16/notpetya-ransomware-attack-cost-shipping-giant-maersk-over-200-million/#657388ed4f9a) mais de US$ 200 milhões em receitas perdidas, causou custos não quantificados em produtos degradados e esforços de recuperação, e gerou uma série de clientes insatisfeitos.

A história de Maersk não é incomum. Em 2015, 80 milhões de registros de clientes foram roubados do Anthem porque um funcionário desavisado respondeu a um e-mail de phishing. Em 2017, o Serviço Nacional de Saúde do Reino Unido sofreu um ataque de ransomware que resultou em 19.000 consultas canceladas devido ao uso, mais uma vez, de uma versão desatualizada e não reparada do Microsoft Windows. Em 2019, dados de 106 milhões de clientes da Capital One foram roubados através de um firewall de Serviços Web da Amazon desconfigurado. E a lista [continua](https://www.csoonline.com/article/2130877/the-biggest-data-breaches-of-the-21st-century.html).

Com a segurança cibernética no topo da agenda corporativa, ser vítima de uma violação catastrófica é o temido cenário de pesadelo. Em meio à crise do covid-19 e a um aumento repentino nos arranjos de trabalho remoto, o cibercrime aumentou. Os conselhos estão procurando os CEOs para evitar incidentes cibernéticos — mas como?

"Tecnologia mais avançada" é uma resposta comum, mas mesmo isso não teria evitado o incidente da Maersk, onde um pequeno descuido humano –  não instalar uma atualização de software – levou a consequências catastróficas. A tecnologia é claramente o [foco do investimento do setor](https://techcrunch.com/2019/10/03/cybersecurity-is-a-bubble-but-its-not-ready-to-burst/) e esses gastos devem ser de US$ 133 bilhões por ano até 2022. Mas, embora a escolha da tecnologia certa seja essencial, a maioria dos incidentes se relaciona com lacunas no desempenho humano, um problema persistente e muitas vezes negligenciado de cibersegurança na maioria das organizações.

Sem se abordar essa questão do desempenho humano, um ciclo vicioso se instala. (Veja "Um ciclo liderado por tecnologia leva ao aumento de incidentes de cibersegurança.") À medida que as empresas trazem a bordo novas tecnologias — cada uma potencialmente enfrentando uma ameaça emergente — elas também adicionam mais pessoas e processos correspondentes. À medida que isso continua, as interações entre tecnologia, processos e pessoas se multiplicam, e o nível de [complexidade aumenta](https://www.wilsonperumal.com/insights/complexity) geometricamente. Em algum momento, essa complexidade sobrecarrega a infraestrutura de cibersegurança e obscurece ameaças emergentes — até que, sobrecarregada pelas próprias ações, a empresa se encontra menos ágil do que os cibercriminosos, e um ataque ocorre. Em resposta, o negócio busca a solução tecnológica para essa ameaça específica, e o ciclo se repete.

## Um ciclo guiado pela tecnologia leva ao aumento de incidentes de cibersegurança
Adicionar processos e tecnologias não integrados entre si pode criar uma carga esmagadora de complexidade e diminuir a eficácia da segurança cibernética.

![Figura 1](//images.ctfassets.net/erznwkq1zetp/4yaLxjQUeobgSoJyYOhVQz/24d917d6c2c3b8b4f36488be777c6ab2/Figura.png)

## Introduza a operação de cibersegurança de alta confiabilidade
Fechar a lacuna de desempenho humano — incorporando novos comportamentos e compreensão compartilhada como parte da cultura e do curso normal dos negócios — não é uma pequena empreitada, mas é, em última análise, a melhor defesa contra ataques cibernéticos. E, felizmente, existe um recurso analógico para abordar esse tipo de risco e alavancar o desempenho humano como uma camada crítica de defesa: a organização de alta confiabilidade (high reliability organization, ou HRO), que definimos como uma organização que atravessa um número notavelmente baixo de percalços consistentemente durante um período sustentado de tempo, mas realiza tarefas altamente complexas e inerentemente perigosas.

O conceito HRO surgiu de práticas que se originaram há mais de 60 anos com o Programa de [Propulsão Nuclear Naval](https://www.wilsonperumal.com/blog/blog/the-pillars-of-the-program-operational-discipline-in-the-u-s-navy-nuclear-propulsion-program) dos Estados Unidos, que reconheceu que eram necessárias práticas organizacionais específicas para colocar um reator nuclear altamente complexo em um submarino, sob o oceano, e operá-lo com segurança com uma tripulação de jovens marinheiros. Isso significava evitar a cultura militar tradicional que existia há séculos: seguir ordens, fazer o que lhe mandam e não fazer perguntas. Após a perda do ônibus espacial *Columbia* pela NASA, o Conselho de Investigação de Acidentes de *Columbia* olhou para a marinha nuclear dos Estados Unidos como o modelo mais adequado para uma organização de alta confiabilidade. As ideias de HRO mais tarde ganharam destaque como parte da resposta da indústria de energia à crescente complexidade e catástrofes, como o desastre do *Deepwater Horizon* e, em seguida, se espalharam para os campos de saúde, manufatura e agora segurança cibernética.

Os HROs são diferentes dos não-HROs de três maneiras específicas:
- __Atenção plena.__ Os HROs exibem desconforto crônico — um estado de hipervigilância e atenção para sinais iniciais de perigo.
- __Responsividade.__ Os HROs identificam problemas emergentes precocemente e respondem com rapidez para impedir seu crescimento.
- __Capacidade de aprendizagem.__ Os HROs aprendem com cada evento e rapidamente disseminam conhecimento para melhorar rapidamente o sistema. (Na marinha nuclear dos EUA, isso significa que cada submarino que vai para o mar equivale às lições cumulativas de mais de 6.200 anos de operações de usinas de reatores.)

Essas características de um HRO têm sido bem estudadas e bem caracterizadas [na academia](https://www.amazon.com/Managing-Unexpected-Sustained-Performance-Complex-ebook/dp/B014T25A5O/ref=sr_1_1?dchild=1&keywords=managing+the+unexpected&qid=1588091149&s=books&sr=1-1), mas menos bem compreendidos são os *pilares do programa* — os pilares operacionais individuais que, quando são adotados, resultam coletivamente no desempenho superior de um HRO. Esses pilares são *formalidade, nível de conhecimento, integridade, atitude de questionamento e backup ativo da equipe*. Nossa pesquisa foi dedicada a eles para desenvolver um mecanismo capaz de medir o alinhamento de uma empresa com características de HRO.

As operações de cibersegurança de alta confiabilidade (HRCOs) empregam esses mesmos pilares HRO para fechar a lacuna de desempenho humano e adicionar uma instância fundamental de segurança. Ficaram no passado os dias em que a segurança dos sistemas era responsabilidade exclusiva do departamento de TI — agora ela  é assunto de todos. A tabela "Pilares HRO e sua aplicação em cibersegurança" descreve ainda cada pilar HRO e como ele pode ser aplicado em HRCOs.

## Pilares HRO e sua aplicação em cibersegurança
A aplicação dos cinco pilares das organizações de alta confiabilidade pode ajudar uma organização a se tornar uma operação de segurança cibernética de alta confiabilidade.

![Tabela](//images.ctfassets.net/erznwkq1zetp/4PcKiHnxROduoFZl03W9Bp/92e41858b0b8875cea26cf91d397d547/Tabela.png)

Vamos observar como é um HRCO na prática. Todos em um HRCO têm um alto *nível de conhecimento*. Eles entendem como as senhas podem ser comprometidas facilmente e os riscos de acesso não autorizado; porque eles reconhecem que a segurança dos sistemas é trabalho de todos, eles leem e levam a sério os avisos que o departamento de cibersegurança envia periodicamente. Há um nível de *formalidade* na maneira como os processos de segurança são gerenciados — um protocolo claro para gerenciar contas e informações privilegiadas, que só funciona quando aliada à *integridade*, à disposição de operar dentro dos protocolos de segurança, mesmo que seja inconveniente de um ponto de vista pessoal. Essa formalidade também destaca quando algo está fora do lugar ou fora do comum, permitindo uma *atitude de questionamento* que impede os funcionários de clicar em um e-mail ou URL que aparente ser um ataque de phishing. Finalmente, as pessoas em um HRCO sempre apoiam umas às outras — *backup ativo da equipe* — então, ao configurar novos acessos a firewall, os membros da equipe cruzam e testam as atualizações, não por desconfiança, mas para garantir que tudo está de acordo com as normas.

Esses pilares podem ser realizados por cada indivíduo na organização e, portanto, servem de base para ajudá-la a se transformar em um HRCO. Embora as culturas sejam frequentemente descritas em termos agregados ou descritivos, impactar comportamentos individuais é a única maneira de *realmente modificar* uma cultura.

O primeiro passo é desenvolver uma compreensão básica de como os indivíduos veem a cultura ao seu redor e o que eles consideram *ser a cultura que se deseja*. Se há lacunas perceptíveis como uma cultura atualmente se comporta, mas existe um forte alinhamento organizacional sobre o modelo que se quer implantar, então a batalha já foi vencida pela metade. Por outro lado, se os trabalhadores de linha de frente e a alta administração tiverem visões muito diferentes do que é ideal, então será difícil passar para as práticas de HRCO até que essa dissonância seja resolvida.

Em nossa pesquisa, avaliamos o alinhamento de uma empresa com os pilares da HRCO, fazendo com que indivíduos classifiquem um grupo de 40 itens que descrevem sua cultura da forma mais precisa. Cada um desses itens — "faça o que lhe mandam", "antecipe problemas", "preste atenção à hierarquia" — é uma frase simples que corresponde a um dos cinco pilares e foi ajustada para identificar até que ponto uma organização age como uma HRCO. Essa análise produz uma avaliação quantitativa de seu alinhamento cultural com esses pilares — uma visão crítica de uma área sobre a qual não temos dados. Tal análise ajuda a entender os comportamentos que representam a maior fonte de risco potencial, as partes do negócio que originam esses riscos potenciais e o alinhamento da organização aos princípios da HRCO de acordo com cargos e níveis.

Vale a pena notar que alguns dos comportamentos descritos refletem posições que parecem "certos" à primeira vista, mas podem afetar negativamente o resultado. Por exemplo, quando se espera que os funcionários "sejam orientados para resultados" e/ou "façam o que for preciso", eles têm por objetivo entregar ótimos resultados e serem recompensados por isso. Mas esses comportamentos podem levar a soluções inadequadas (contra a formalidade) e ir "fora do sistema" (contra a integridade). Da mesma forma, os superiores que dizem às suas equipes para "trazer soluções, não problemas" podem pretender incentivar os funcionários a resolver problemas proativamente e assumir a autoria, mas na prática essa mentalidade focada em soluções os desencoraja de alertar rapidamente os outros para um problema (contrariando ter uma atitude questionadora).

A comunidade de cibersegurança está despertando para a lacuna gerada pelo desempenho humano. Em fevereiro de 2020, "o elemento humano" foi o tema central de uma [grande conferência sobre o tema](https://www.rsaconference.com/usa). As principais ideias que surgiram eram conhecidas: só a tecnologia é insuficiente; as coisas estão mudando muito rapidamente; precisamos usar as práticas organizacionais como uma linha de defesa que é chave para o sucesso.

Mesmo a melhor tecnologia falhará ou se tornará obsoleta diante de hacks cada vez mais sofisticados. Os bilhões gastos em tecnologia de segurança dos sistemas não resolveram e não resolverão o problema. Protocolos e procedimentos fortes são imperativos, mas não podem explicar todos os cenários. Recomendamos que os gestores se voltem para as lições dos HROs — organizações que foram capazes de operar em ambientes descentralizados e de alto risco, com um número notavelmente baixo de incidentes — e comecem sua jornada para se tornar um HRCO.

Em última análise, inculcar comportamentos de HRCO oferece um benefício insubstituível: quando a tecnologia e o processo falham, o desempenho humano é tudo o que está entre você e um ataque cibernético.


A questão ignorada pela cibersegurança: desempenho humano

Não há dúvidas quanto aos desafios da proteção de sistemas computacionais. Quase que semanalmente temos a divulgação de casos de vazamento de dados e de extorsões (ramsomware) pela mídia. A impressão que temos é que estamos perdendo esta guerra.

Grande parte das brechas que ocorrem são fruto de ataques tradicionais como abuso de privilégios, comprometimento de contas de acesso, patches não aplicados, falta de monitoração entre outros. Os ataques às aplicações WEB têm aumentado consideravelmente nos últimos anos. Primeiro na pandemia e mais recentemente por conta da guerra entre Rússia e Ucrânia. Segundo o [CyberThreat Defense Report](https://www.imperva.com/resources/resource-library/reports/cyberedge-2022-cdr-report/), publicado em 2022, 44,6% dos entrevistados estimaram que a rede de sua organização havia sido comprometida entre uma e cinco vezes nos últimos 12 meses, enquanto 27.9% estimavam entre 6 e 10 vezes. Estamos falando de mais de 70%!

Este artigo não tem a pretensão de abordar toda e qualquer possibilidade de comprometimento de sistemas, mas sim, chamar a atenção para três temas que têm tirado o sono dos gestores de TI e de segurança por conta do risco inerente de comprometimento e vazamento de informações: a) o crescimento vertiginoso do uso de APIs; b) a necessidade de inclusão da segurança durante o ciclo de desenvolvimento de aplicações; c) o desafio de monitorar os acessos aos bancos de dados, tanto em ambientes on premises quanto na nuvem.

## Proteção de APIs
A melhor forma de viabilizar a integração entre sistemas e empresas é através do uso de APIs. Nos últimos anos temos experimentado um aumento exponencial no uso de APIs. Aliado à necessidade crescente do uso desta funcionalidade, há uma certa complexidade devido ao uso de microserviços, containers, ambientes on premises e multi clouds. Muitas empresas sequer possuem um inventário atualizado de suas APIs e isto aumenta consideravelmente o risco de comprometimento do ambiente.

Tradicionalmente, uma das formas de proteção de APIs é através do uso de arquivo OAS ([OpenAPI specification](https://swagger.io/resources/open-api/)). O arquivo OAS, basicamente, possui a descrição de como uma API funciona, quais métodos para acessar os API endpoints, URLs, tipos de campos e obrigatoriedade ou não de uso destes. Uma vez disponibilizado o arquivo, o cliente pode utilizá-lo nas plataformas de CloudWAF (WEB Application firewall em ambiente SaaS) e com isso criar um modelo positivo de segurança, isto é, aquilo que não for o correto será bloqueado.

O problema do uso de um arquivo estático como o OAS é que as APIs são muito dinâmicas, sofrendo modificações ao longo do tempo e levando à necessidade de constantes atualizações na plataforma de WAF (embora isto possa ser automatizado de alguma forma). Além disso, em muitos casos não há um arquivo OAS associado às APIs e a equipe de segurança/TI pode não ter visibilidade de todas as APIs.

Desta forma, soluções que se proponham a proteger as APIs devem ter, no mínimo, as seguintes características/funcionalidades:
- Levantar o inventário das APIs através do uso de aprendizado, que se atualize automaticamente à medida que as APIs mudem;
- Identificação destas APIs não somente no ambiente diretamente exposto à internet, mas também em sistemas internos que se integram com empresas parceiras como broakers, gateways de pagamento, chatbots, etc. E este acesso normalmente não é coberto pelo CloudWAF, por isso precisa também ser contemplado sob risco de perda de visibilidade do processo inteiro.

Não há dúvidas de que o uso crescente de APIs cria uma grande superfície de ataques e isso deve ser endereçado. Temos um exemplo do que pode acontecer devido a uma falha na proteção de APIs: em 2018, a operadora de telefonia móvel T-Mobile notificou os 2,3 milhões de assinantes de sua base que as informações de suas contas pessoais poderiam ter sido expostas. ([Veja mais aqui](https://threatpost.com/t-mobile-alerts-2-3-million-customers-of-data-breach-tied-to-leaky-api/136896/))

## Segurança no ciclo de desenvolvimento de aplicações
Tradicionalmente o desenvolvimento de aplicações era feito por uma equipe de desenvolvedores, que depois entregavam o código pronto para ser implementado pelas equipes de TI, e uma vez com os sistemas em produção era feita uma revisão de segurança (normalmente uma análise de vulnerabilidades ou pentest). Não é preciso dizer que isso é bastante ineficiente, especialmente em ambientes de nuvem devido à constante necessidade de agilidade na implementação. Descobrir uma vulnerabilidade depois de implantado um sistema é infinitamente mais custoso do que se isso tivesse sido feito ainda na fase inicial de desenvolvimento.

A implementação de segurança como parte do CI/CD (Continuous Integration/Continuous Delivery) de ambientes DevOps permite uma otimização deste processo, incluindo segurança em todas as etapas do pipeline de DevOps.

Uma das alternativas interessantes de segurança para este tipo de situação é o uso de ferramentas de monitoração/bloqueio de ataques que afetem a integridade destas aplicações. Como a proteção é feita na ponta, existe uma vantagem adicional que é a proteção leste-oeste. Ferramentas tradicionais de segurança como Firewalls, IPS, WAF, etc, são muito eficientes na proteção norte-sul, isto é, ataques originados na Internet, mas possuem maior dificuldade de proteção no sentido leste-oeste, também conhecido como movimentação lateral. Um ataque pode vir de um parceiro de negócios que esteja conectado via VPN e que não passe por estas ferramentas de segurança tradicionais.

Há um controle recomendado pelo NIST 800-53, na seção “System and Information Integrity Family”, Controle SI-7(17) Runtime Application Self-Protection, que é focado neste tipo de proteção. Um trecho interessante da descrição deste controle: “Runtime application self-protection employs runtime instrumentation to detect and block the exploitation of software vulnerabilities by taking advantage of information from the software in execution. Runtime exploit prevention differs from traditional perimeter-based protections such as guards and firewalls which can only detect and block attacks by using network information without contextual awareness.”

Para este tipo de solução é altamente recomendável:
- Integrar a ferramenta de proteção com as novas aplicações (via CI/CD pipeline) e também com aplicações legadas;
- Solução deve permitir a proteção, mesmo sem a necessidade de alterar o código-fonte das aplicações;
- Permitir identificar em qual parte da aplicação um determinado ataque aconteceu. Isso ajuda muito a equipe de desenvolvimento caso haja necessidade de mudar algo no código-fonte para correção da vulnerabilidade.

## Monitoração e proteção de bancos de dados
A proteção de bancos de dados já foi algo mais fácil de se realizar! A quantidade de Bases de Dados era menor (Oracle, MS SQL, DB2 e algumas outras) e o conceito de perímetro era muito mais fácil de definir. Hoje temos mais de sessenta tipos diferentes! Além disso, ainda existe o desafio de atender às diversas normativas de mercado. Apenas para citar algumas, podemos lembrar de PCI, LGPD, SOX, HIPAA etc.

A tecnologia utilizada por este tipo de solução sempre envolveu a instalação de agentes que tinham por objetivo monitorar todos os acessos às bases/tabelas. Hoje, com o uso cada vez maior de bases de dados na modalidade PaaS, onde não é possível instalar agentes, torna-se necessário utilizar outras técnicas para sua efetiva monitoração. Isto normalmente é feito através da integração com os sistemas de Logs destas bases como o CloudWatch, o EventHub e Pubsub.

É fundamental que a solução escolhida possa centralizar a monitoração de logs de auditoria, originadas tanto no on premises, quanto na nuvem. Deve permitir também a retenção destas informações por vários anos, normalmente uma necessidade de conformidade.

E para finalizar, este tipo de solução deve permitir a integração com vários tipos de sistemas diferentes, não somente para enriquecimento de dados (exemplo: integração com informações provenientes de um CMDB) mas também com sistemas de tickets (ex: ServiceNow) e de SIEMs (ex: Splunk, QRadar etc).

Não há dúvidas de que a superfície de ataque é muito grande e isso certamente gera dificuldades, mas a proteção de componentes chave da infraestrutura, apoiada por uma boa análise de riscos, permite mitigar boa parte destas questões e proteger o ativo mais importante da empresa: a informação!

### Segue uma lista de relatórios altamente recomendáveis que complementam o conteúdo deste artigo:

- [CyberEdge 2022 CDR Report](https://www.imperva.com/resources/resource-library/reports/cyberedge-2022-cdr-report/)
- [Gartner® Magic Quadrant™ for WAAP 2021 (Full Report)](https://www.imperva.com/resources/resource-library/reports/magic-quadrant-for-web-application-api-protection-waap/)
- [The Forrester Wave™: Bot Management, Q2 2022](https://www.imperva.com/resources/resource-library/reports/the-forrester-wave-bot-management/)
- [Forrester Insider Threats Drive Data Protection Improvements (Full Report)](https://www.imperva.com/resources/resource-library/white-papers/forrester-insider-threats-drive-data-protection-improvements-full-report-wp-ty?lang=EN&asset_id=5104)
- [NIST Special Publication 800-53 - Revision 5](https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-53r5.pdf)

Vetores estratégicos de cibersegurança

Sobre este fórum

Conteúdos do fórum

Segurança cibernética: como fechar flancos

A questão ignorada pela cibersegurança: desempenho humano

A nova fronteira da cibersegurança

Prevenção é fator-chave na segurança digital

Na segurança cibernética, dinheiro não é tudo

O novo jogo é o da observabilidade