Gestão contínua da postura versus avaliações pontuais

Sair na frente em segurança começa com uma mudança de mentalidade

A maior parte do trabalho de segurança começa com uma cutucada. Um auditor envia uma lista de solicitações ou um alerta cai na caixa de entrada de alguém, e a equipe larga tudo para investigar e responder. Sair na frente exige outra mentalidade. Defina como é uma boa postura, verifique-a em um ritmo constante e corrija o que se desvia antes que alguém precise cutucá-lo. Isso é segurança proativa, e você nunca precisa investigar o incidente que evitou.

O ciclo de cutucada, investigação e reação

Muitas das equipes com as quais converso tocam a segurança como um ciclo com dois gatilhos.

O primeiro é a auditoria. Ninguém olha de perto a postura até o auditor chegar. Aí a equipe passa semanas extraindo relatórios, reconstruindo linhas do tempo e correndo atrás de capturas de tela para provar que atendeu aos critérios o ano todo. Isso pode marcar a caixa da conformidade. Como prática de segurança, deixa muito a desejar, porque a evidência mostra o que era verdade na semana em que foi coletada e muito pouco sobre os meses anteriores.

O segundo é o alerta. Equipes mais maduras escolhem os cenários que importam, criam alertas em torno deles e investigam quando um dispara. É um avanço real. O problema é que muitos alertas descrevem uma política que já foi quebrada. Quando você descobre que alguém foi adicionado ao Domain Admins, ou que uma pasta de arquivos sensíveis foi aberta para Everyone, você está investigando uma violação que preferiria ter evitado. Nos dois casos, o auditor ou o incidente define a agenda da sua equipe.

Os frameworks já esperam melhoria contínua

Os auditores deixaram os instantâneos para trás há algum tempo. Um relatório SOC 2 Tipo I verifica se os controles estão projetados corretamente em uma única data. Um relatório Tipo II testa se eles operaram com eficácia ao longo de um período, normalmente de 3 a 12 meses. A ISO/IEC 27001:2022 exige que você monitore e meça seus controles de segurança (cláusula 9.1) e melhore continuamente seu sistema de gestão de segurança (cláusula 10.1). O NIST CSF 2.0 inclui tanto o monitoramento contínuo quanto a melhoria como categorias. Cada framework pede que você mostre que age sobre sua postura ao longo do tempo, e a correria pré-auditoria é a forma mais difícil de provar isso.

Como é a segurança proativa na prática

Segurança proativa é principalmente um ritmo construído em torno de políticas, e você pode começar pequeno.

• Defina suas primeiras políticas a partir de um benchmark. Você não precisa inventar uma definição de bom. Comece com o framework ou benchmark que importa para o seu negócio, seja CIS Benchmarks, NIST CSF ou os critérios SOC 2 que seu auditor testa. Transforme um punhado de seus controles em políticas. Bons pontos de partida incluem contas habilitadas sem login recente, contas que não exigem senha, grupos privilegiados com membros que ninguém sabe explicar e arquivos sensíveis compartilhados com Everyone ou com usuários externos.
• Conheça seus cenários e obtenha os dados. Para cada política, decida o que você precisa ver para saber se ela está sendo cumprida. Depois implante uma ferramenta que monitore essa informação continuamente, para não reconstruí-la manualmente todo trimestre.
• Torne os achados claros e acionáveis. Sua linha de base só é útil se a equipe conseguir lê-la rapidamente e saber o que corrigir primeiro. Se for preciso um especialista para interpretar os resultados, ninguém vai agir sobre eles.
• Revise os riscos proativos toda semana. Reserve 30 minutos para analisar os riscos mais importantes que ainda não viraram alerta ou incidente. Para cada um, decida se é razoável. Se não for, corrija. Se você continua aceitando o mesmo achado, talvez sua política precise ser ajustada para refletir como o negócio realmente funciona.
• Acompanhe a tendência. Uma única pontuação mostra onde você está hoje. Como ela se move ao longo do tempo mostra à liderança, e ao seu auditor, se a prática está funcionando. Melhorias pequenas e constantes facilitam as auditorias e continuam reduzindo o risco, afastando você de uma possível violação.

Veja um exemplo comum. Um prestador termina um projeto e a conta dele continua habilitada. Em um modelo guiado por alertas, você descobre quando essa conta faz login de um lugar inesperado. Em um ritmo proativo, ela aparece na sua revisão semanal como uma conta habilitada sem atividade recente, e você a desabilita antes que outra pessoa possa usá-la.

O trabalho de postura não vai impedir todo ataque, e você ainda precisa de alertas para comportamento suspeito. Ele reduz as configurações incorretas nas quais os atacantes se apoiam, de modo que os alertas que você recebe têm mais chance de apontar algo novo.

Por que a maioria das equipes continua reativa

O tamanho da equipe importa menos que a maturidade da prática. Uma equipe de três pessoas pode manter um programa maduro, e uma grande empresa pode continuar correndo de auditoria em auditoria. As equipes que mais sofrem são as que tentam melhorar, ou as empurradas a isso por um novo requisito de conformidade, uma revisão de segurança de cliente ou um questionário de seguro cibernético.

O que as segura é o atrito. Elas não têm uma definição de bom pronta. Não sabem quais entre centenas de configurações mais importam, e ninguém tem tempo de montar um framework do zero. Organizações maiores costumam contratar consultores para entregar um. Isso é caro e geralmente produz mais uma avaliação congelada em uma única data. A maioria das pequenas e médias empresas não consegue nem orçar isso.

Acredito que remover esse atrito é trabalho do produto. Uma boa ferramenta de postura deve oferecer uma linha de base embutida, uma visão em linguagem simples do que impulsiona seu risco e uma noção clara do que corrigir primeiro. Se ela espera que a equipe traga o próprio framework, a maioria das equipes nunca passa do primeiro passo.

Comece pelo ritmo

Você não precisa de um programa maduro para começar. Comece com algumas políticas de um benchmark, obtenha uma linha de base e proteja 30 minutos por semana. Alguns meses depois, as cutucadas deixam de definir sua agenda e a próxima auditoria vira um relatório que você gera em uma tarde.

É esse tipo de prática que estamos construindo o Netwrix 1Secure para apoiar, com avaliações de risco integradas que dão às equipes um ponto de partida para sua postura.

Veja como está sua postura hoje. Inicie uma avaliação gratuita do Netwrix 1Secure.