Introdução
Esta Live 01 amplia a lente para além do código. Aplicações dependem de pessoas, edifícios, documentos, fornecedores, energia, refrigeração, redes, dispositivos e processos de decisão.
O OWASP Top 10 continua útil como contexto para aplicações web, mas não cobre sozinho toda a segurança organizacional. Um endpoint protegido não impede a entrada de um terceiro em uma área restrita, o uso de uma mídia removível desconhecida ou a parada física de um equipamento industrial.
Objetivos de aprendizagem
- Relacionar o papel do CISO à gestão de riscos, equipes e investimentos.
- Comparar segurança física, documental, lógica e de ambientes IoT/OT.
- Reconhecer cultura e responsabilidade compartilhada como controles operacionais.
- Analisar disponibilidade e segurança física em serviços críticos.
O OWASP Top 10 como uma das lentes
O OWASP Top 10:2021 organiza riscos de aplicações web, como controle de acesso, criptografia, injeção, design inseguro e falhas de monitoramento. Ele não substitui análise de segurança física, tecnologia operacional, contratos, privacidade, continuidade ou cultura.
Essa distinção evita dois extremos: tratar AppSec como se cobrisse toda a organização ou separar a aplicação do ambiente do qual ela depende. O aprofundamento das categorias está em OWASP Top 10: vulnerabilidades, exemplos e controles.
O papel do CISO
O Chief Information Security Officer (CISO) lidera ou coordena a estratégia de segurança da informação de acordo com a estrutura da organização. O papel conecta risco, tecnologia, operação, pessoas, requisitos legais e objetivos de negócio.
Entre suas responsabilidades podem estar:
- Traduzir riscos técnicos para consequências de negócio.
- Coordenar equipes e responsabilidades de segurança.
- Definir prioridades e patrocinar capacidades essenciais.
- Integrar desenvolvimento, infraestrutura, operações e áreas executivas.
- Acompanhar incidentes, métricas e risco residual.
- Sustentar políticas, conscientização e melhoria contínua.
O CISO não “possui” sozinho toda a segurança. Desenvolvimento continua responsável por controles no código; infraestrutura, por configurações sob sua gestão; liderança, por decisões de risco e recursos; cada pessoa, por seguir e questionar práticas relevantes.
Segurança como investimento
Apresentar segurança apenas como despesa esconde o que ela protege. Um investimento pode reduzir interrupções, preservar dados, apoiar confiança, evitar retrabalho e permitir que um produto opere em contextos críticos ou regulados.
Isso não justifica qualquer gasto. A proposta precisa indicar cenário de risco, benefício esperado, custo, dependências, responsável e forma de comprovar o resultado.
Segurança como cultura
Cultura é o conjunto de comportamentos reforçados por decisões, incentivos e exemplos cotidianos. Uma política ignorada pela liderança ensina mais do que uma apresentação anual.
Conscientização explica riscos e comportamentos esperados. Treinamento desenvolve habilidade para uma função. Simulação verifica se o comportamento acontece sob pressão.
Uma simulação autorizada de phishing pode avaliar reconhecimento, canal de denúncia e resposta. O resultado deve melhorar o sistema: mensagens mais claras, processo de reporte simples e apoio a quem precisa de treinamento. Humilhação reduz confiança e desencoraja comunicação.
Responsabilidade compartilhada percorre toda a organização. A recepção controla acesso físico e identifica situações incomuns; facilities protege energia e ambiente; pessoas de RH e jurídico sustentam documentos; desenvolvimento cria código e evidências; operações monitora e responde.
Segurança física
Controles físicos protegem pessoas, instalações e equipamentos. Acesso a prédios pode combinar recepção, catracas, crachás, biometria, vigilância e zonas restritas.
Cada mecanismo tem limites. Crachás podem ser emprestados; biometria exige proteção e processo alternativo; câmeras apoiam investigação, mas não impedem sozinhas uma entrada; catracas falham quando pessoas autorizam passagem por cortesia sem verificar contexto.
Identificar atitude suspeita não significa fazer julgamento por aparência. Significa reconhecer comportamento incompatível com o processo: tentativa de seguir outra pessoa pela catraca, recusa em exibir identificação, fotografia de área restrita ou manipulação não autorizada de equipamento.
Ambiente também é disponibilidade
Servidores e equipamentos dependem de energia, refrigeração, umidade, proteção contra incêndio e manutenção. Uma aplicação com redundância lógica pode ficar indisponível se todos os componentes compartilham a mesma condição ambiental.
Segurança documental
Documentos tornam expectativas e responsabilidades explícitas. Eles precisam refletir a operação real, possuir responsáveis, revisão e meios de aplicação.
Exemplos incluem contratos de funcionários e fornecedores, termos de responsabilidade, Política de Segurança da Informação, política de privacidade e termos de uso.
Cada documento possui finalidade diferente. Contrato define obrigações entre partes; termo de responsabilidade registra deveres específicos; política orienta decisões internas; política de privacidade comunica tratamento de dados; termos de uso organizam a relação com usuários.
Textos genéricos não eliminam risco jurídico ou de conformidade. A organização precisa alinhar documento, base legal aplicável, arquitetura, processo e evidência. Mudanças de produto podem tornar uma política antiga incompatível com o tratamento real.
Segurança lógica e mídias removíveis
Segurança lógica inclui identidade, autorização, segmentação, hardening, criptografia, atualização, proteção de endpoints, logs e resposta.
Pen-drives e outras mídias removíveis atravessam fronteiras entre ambientes. Uma mídia encontrada pode conter software malicioso, dados sensíveis ou simplesmente material de outra pessoa. Conectá-la para “descobrir o dono” executa um risco desnecessário.
Uma política prática define se mídias são permitidas, como dispositivos corporativos são protegidos, qual canal recebe uma mídia encontrada e como a análise é feita em ambiente controlado por equipe autorizada.
Decisão por cenário
Cenário: pen-drive encontrado no estacionamento
O dispositivo possui uma etiqueta com o nome da empresa. Qual é a ação mais segura?
IoT, OT e ambientes corporativos
Internet of Things (IoT) reúne dispositivos conectados que coletam dados ou atuam no ambiente, como sensores, câmeras e controladores prediais.
Operational Technology (OT) monitora ou controla processos físicos, máquinas e infraestrutura. Hospitais, usinas e serviços essenciais podem depender de OT para manter funções cuja falha produz consequência material.
Ambientes corporativos de tecnologia da informação (TI) priorizam dados e serviços de negócio. IoT combina software, conectividade e restrições de dispositivo. OT enfatiza processo físico, segurança de pessoas, disponibilidade e vida útil longa.
| Ambiente | Prioridade frequente | Restrições relevantes | Exemplo de controle |
|---|---|---|---|
| TI corporativa | Confidencialidade, integridade e disponibilidade | Mudanças e atualizações regulares | Identidade, hardening e gestão de vulnerabilidades |
| IoT | Integridade do dispositivo e comunicação | Recursos limitados e inventário heterogêneo | Credencial única, atualização assinada e segmentação |
| OT | Disponibilidade e segurança do processo físico | Janelas restritas e equipamentos longevos | Segmentação, acesso controlado e mudança testada |
Aplicar uma atualização imediatamente pode ser correto em uma estação corporativa e perigoso em um equipamento hospitalar sem validação de compatibilidade. Adiar indefinidamente também mantém exposição. O trade-off exige inventário, análise de risco, ambiente de teste, compensações e plano de contingência.
Infraestruturas críticas e segurança física
Em um hospital, indisponibilidade de um equipamento pode interromper atendimento. Em uma usina, comando indevido pode afetar processo e pessoas. Em serviços essenciais, recuperação precisa considerar operação degradada, coordenação e segurança física.
Disponibilidade não significa manter qualquer sistema ligado a qualquer custo. Um estado seguro pode exigir parada controlada. Arquitetura precisa distinguir continuidade do serviço, integridade do processo e proteção de pessoas.
Verifique seu entendimento
Em um equipamento hospitalar, disponibilidade sempre exige impedir qualquer desligamento.
Resposta: Falso. A resposta depende do processo e da segurança física; em certos cenários, uma parada controlada é mais segura do que operação incorreta.
Ransomware e WannaCry
Ransomware busca impedir acesso a sistemas ou dados e pode combinar criptografia maliciosa, interrupção e extorsão. A preparação inclui atualização, segmentação, controle de privilégios, detecção, resposta, comunicação e recuperação testada.
Backup é uma camada, não a estratégia inteira. Cópias precisam estar protegidas contra alteração indevida, possuir retenção adequada e ser restauradas em testes. O negócio também precisa saber quais serviços recuperar primeiro e como operar durante a contingência.
O ataque global do WannaCry ocorreu em 12 de maio de 2017. A Microsoft registrou naquela data a detecção do ransomware com propagação semelhante a worm e destacou que ele explorava vulnerabilidades já corrigidas em sistemas sem a atualização aplicável.
A lição não se resume a “instalar patches”. Inventário, compatibilidade, implantação, sistemas legados, segmentação e capacidade de resposta determinam se uma correção disponível realmente reduz o risco.
Matriz das dimensões de segurança
| Dimensão | Ativos | Ameaças | Controles |
|---|---|---|---|
| Física | Pessoas, prédios, servidores e energia | Entrada indevida, furto, incêndio e falha ambiental | Recepção, zonas, crachás, catracas, câmeras e refrigeração |
| Documental | Contratos, políticas e registros | Ambiguidade, desatualização e acesso indevido | Responsável, revisão, controle de acesso e evidências |
| Lógica | Contas, aplicações, dados e redes | Abuso de privilégio, malware e configuração insegura | Menor privilégio, hardening, criptografia, logs e resposta |
| IoT/OT | Sensores, controladores e processos físicos | Comando indevido, falha de atualização e indisponibilidade | Inventário, segmentação, acesso controlado e contingência |
Referências
- NIST Cybersecurity Framework 2.0 — gestão de riscos aplicável a TI, IoT e OT.
- CISA — Foundations for OT Cybersecurity — orientação para inventário e proteção de tecnologia operacional.
- Microsoft — WannaCrypt ransomware worm targets out-of-date systems — registro oficial de 12 de maio de 2017.
- OWASP Security Culture — recursos para incorporar segurança à cultura organizacional.
Conclusão
Segurança não termina no repositório. Ela conecta liderança, recepção, instalações, documentos, desenvolvimento, operação e resposta. O CISO coordena estratégia e risco, mas a execução depende de papéis distribuídos e explícitos.
Ambientes corporativos, IoT e OT compartilham princípios, porém possuem restrições diferentes. Em hospitais, usinas e serviços críticos, disponibilidade, integridade do processo e segurança física precisam ser decididas em conjunto.
Revisão do artigo
Pontos principais
- — Segurança organizacional inclui pessoas, instalações, documentos e tecnologia.
- — Cultura e responsabilidade compartilhada precisam de papéis e prática.
- — IoT e OT combinam risco cibernético com disponibilidade e consequência física.