A segurança digital, também conhecida como segurança cibernética, é uma disciplina multidimensional que visa proteger ativos, dados e sistemas digitais contra acesso não autorizado, ataques, divulgação ou destruição. Ela abrange um amplo espectro de medidas técnicas, processuais e estratégicas.
Uma combinação de práticas, ferramentas e estratégias é usada para proteger identidades digitais, dados, redes e sistemas. Constituem tipos de segurança digital comumente usados a segurança de aplicativos, a segurança em nuvem, a segurança de endpoints, a segurança da informação e a segurança de rede.
Os principais objetivos da segurança digital podem ser resumidos em três elementos essenciais, comumente denominados tríade CIA. São eles:
Confidencialidade: Impede o acesso de indivíduos não autorizados a informações confidenciais. Essa segurança é normalmente garantida por criptografia, controles de acesso e protocolos de comunicação seguros.
Integridade: Garante a precisão, a integridade e a segurança dos dados durante todo o seu ciclo de vida. As técnicas desta categoria englobam somas de verificação, hashing, assinaturas digitais e sistemas de controle de versão. O blockchain está sendo cada vez mais utilizado para garantir a integridade dos dados.
Disponibilidade: Garante o acesso a dados, serviços e sistemas quando necessário. Isso é alcançado por meio de estratégias de balanceamento de carga, failover, redundância e continuidade de negócios.
Tipos de segurança digital
A segurança digital é complexa, com vários tipos de controles, entre eles:
Controle de acesso
O controle de acesso impõe regras que permitem apenas a indivíduos autorizados a visualização e o uso de aplicativos, dados ou sistemas específicos. Este processo de segurança de dados impõe políticas que verificam se os usuários são quem afirmam ser e garantem a concessão dos níveis de controle de acesso apropriados.
Segurança de aplicativos
A segurança de aplicativos envolve a incorporação de segurança digital em aplicativos durante sua fase de desenvolvimento para evitar o roubo ou o sequestro de dados ou códigos contidos no aplicativo. Uma vez implantados, os aplicativos contam com medidas adicionais de segurança que identificam e corrigem vulnerabilidades em programas de software e interfaces de programação de aplicativos (APIs).
Segurança na nuvem
A segurança na nuvem protege aplicativos, dados e infraestrutura baseados em nuvem. Inclui ferramentas de segurança digital especialmente projetadas para ambientes de software como serviço (SaaS, software-as-a-service), plataforma como serviço (PaaS, platform-as-a-service), e infraestrutura como serviço (IaaS, infrastructure-as-a-service).
Segurança de rede
A segurança da rede protege a infraestrutura da rede e os dados que ela transporta contra acesso não autorizado a fim de preservar sua integridade e usabilidade. Conta com tecnologias de hardware e software, concentrando-se na segurança digital que protege caminhos de comunicação, equipamentos de rede, além de servidores e dispositivos clientes a eles conectados.
Segurança de endpoint
A segurança de endpoint oferece segurança digital em endpoints ou pontos de entrada de dispositivos de usuários finais, como computadores (por exemplo, estações de trabalho, notebooks, servidores de arquivos e servidores web), dispositivos móveis e dispositivos de Internet das Coisas (IoT, Internet of Things). Protege a rede corporativa quando acessada por meio de dispositivos conectados.
Segurança da Internet das Coisas (IoT)
A segurança de IoT oferece segurança digital especializada para proteger a confidencialidade, a integridade e a disponibilidade de dados gerados e trocados por dispositivos conectados, como impressoras, câmeras de segurança, sensores industriais e robôs.
Inteligência e resposta a ameaças
Os programas de inteligência e resposta a ameaças contam com uma combinação de tecnologia, processos e procedimentos que ajudam as organizações a identificar potenciais ameaças, embasar decisões e lançar medidas de mitigação ideais. A inteligência contra ameaças é resultante da coleta e análise de informações sobre potenciais ameaças, com dados provenientes de diversas fontes.
A resposta a incidentes envolve a preparação e a resposta a incidentes de segurança. Ela inclui ter um plano de detecção, análise, contenção, erradicação e recuperação.
Governança, gerenciamento de riscos e conformidade
Os programas de governança fornecem estrutura para a seleção, implementação, manutenção e aplicação de políticas e controles para minimizar riscos e auxiliar na conformidade com as leis e regulamentações do setor, por exemplo: o Regulamento Geral sobre a Proteção de Dados (RGPD), a Lei de Privacidade do Consumidor da Califórnia (CCPA, California Consumer Privacy Act), Lei de Portabilidade e Responsabilidade de Seguros de Saúde (HIPAA, Health Insurance Portability and Accountability Act), Padrão de Segurança de Dados do Setor de Cartões de Pagamento (PCI DSS, Payment Card Industry Data Security Standard).
Parte da governança consiste em implantar e gerenciar controles e políticas de segurança digital a fim de atender ao rigor exigido por esses requisitos.
As práticas recomendadas e as soluções de segurança digital também são utilizadas no gerenciamento de riscos a fim de dar suporte contínuo a avaliações de risco e modelagens de ameaças.
Aplicativos de segurança digital
Seguem abaixo os aplicativos de segurança digital comumente utilizados.
Segurança de dados de aplicativos
- Monitore continuamente ameaças emergentes.
- Aplique práticas de codificação seguras, como a adoção de padrões de codificação seguros (por exemplo, o OWASP Top Ten) e revisões regulares de código com análise e avaliação estática e dinâmica a fim de identificar vulnerabilidades.
- Implemente a segurança de aplicativos web, incluindo a proteção contra vulnerabilidades comuns da web, como cross-site scripting (XSS) e cross-site request forgery (CSRF).
- Previna instalações de software não autorizadas.
- Restrinja arquivos executáveis a uma lista aprovada.
- Utilize firewalls de aplicativos web (WAFs, Web Application Firewalls) para detecção e prevenção de ameaças em tempo real.
Autenticação e controle de acesso
- Implemente mecanismos de controle de acesso, como o controle de acesso baseado em função (RBAC, Role-Based Access Control), para a obtenção de precisão nas permissões, e o controle de acesso baseado em atributo (ABAC, Attribute-Based Access Control), visando a políticas de acesso dinâmicas.
- Integre biometria em sistemas de autenticação.
- Exija a autenticação multifator (MFA, Multi-Factor Authentication) e logon único (SSO, Single Sign-On).
Inteligência artificial (IA) e aprendizado de máquina (ML, machine learning)
- Automação de inteligência de ameaças.
- Medidas de segurança digital adaptáveis.
- Análise preditiva para mitigação proativa de ameaças.
- Análise rápida de dados de inteligência de ameaças.
- Ajuste as posturas de segurança com base em avaliações de risco e contexto em tempo real.
- Atualize de modo dinâmico os controles de acesso em resposta a mudanças nos níveis de risco.
- Implemente políticas de acesso adaptáveis que se ajustem com base no comportamento e contexto do usuário.
Blockchain
- Garanta a integridade das informações críticas.
- Forneça a usuários controle sobre os dados de identidade.
- Proteja as tecnologias de registro distribuído contra adulteração.
- Use na rastreabilidade a fim de evitar falsificações.
Proteção de dados
- Reforce a segurança de sistemas de banco de dados contra acesso não autorizado.
- Exija criptografia de ponta a ponta, incluindo criptografia de dados em repouso, criptografia de banco de dados e criptografia de disco completo para dados confidenciais.
- Tokenize dados confidenciais a fim de substituir informações confidenciais por equivalentes que não sejam confidenciais.
- Use mascaramento de dados para ocultar informações específicas em bancos de dados.
Arquiteturas de nuvem
- Segurança em contêineres para ambientes como Docker e Kubernetes.
- Gerenciamento de identidade e acesso (IAM, Identity and Access Management).
- Modelo zero trust.
- Criptografe dados em repouso em volumes persistentes.
- Integre eventos de segurança de contêineres ao sistema de gerenciamento de eventos e informações de segurança (SIEM, security information and event management) da organização.
- Aproveite os controles de acesso para restringir privilégios e permissões de contêineres ao mínimo necessário.
- Use políticas de segurança de rede para controlar o tráfego entre pods.
- Aplique controles de acesso por tempo para permissões temporárias ou para acesso a projetos.
- Exija a autenticação multifator para aumentar a segurança durante o login.
- Utilize a federação de identidades para garantir identidades de usuários consistentes em ambientes locais e na nuvem.
- Use o logon único (SSO) para permitir que usuários acessem vários serviços com um único conjunto de credenciais.
- Por padrão, não confie em nenhum usuário, independentemente da localização dos usuários, dispositivos ou recursos.
- Verifique continuamente a identidade do usuário e do dispositivo.
- Revise e atualize regularmente os direitos de acesso com base no princípio do privilégio mínimo.
Segurança de dados de endpoint
- Implante soluções avançadas de antivírus e antimalwares.
- Implemente políticas para controlar o acesso a dispositivos periféricos.
- Previna transferências não autorizadas de dados por meio de dispositivos externos.
- Atualize regularmente as definições de vírus para garantir proteção em tempo real.
- Use detecção e resposta de endpoints (EDR, endpoint detection and response) para o monitoramento contínuo das atividades de endpoint e recursos de resposta imediata a incidentes de endpoint.
Internet das Coisas (IoT)
- Criptografe os canais de comunicação em ecossistemas de IoT para proteger dados transmitidos entre dispositivos e servidores de IoT.
- Implemente atualizações seguras over-the-air (OTA) para firmwares e softwares.
- Proteja dispositivos, redes e dados interconectados associados aos ecossistemas de IoT.
Segurança de rede
- Configure firewalls com estado e de camada de aplicação.
- Implemente sistemas de detecção e prevenção de intrusão (IDS/IPS) com:
- Redes privadas virtuais (VPNs) e tunelamento seguro para comunicação remota.
- Análise comportamental, com detecção de anomalias e monitoramento em tempo real de desvios do comportamento normal.
- Detecção de anomalias com base em assinatura.
Tipos de riscos à segurança digital
Os riscos à segurança digital são numerosos e estão em constante evolução, à medida que agentes de ameaças procuram tirar proveito de vulnerabilidades e se mantêm à frente dos avanços da segurança cibernética. Constituem riscos de segurança digital mais comuns:
- Ameaças avançadas persistentes (APTs, advanced persistent threats): APTs são ataques prolongados e direcionados, normalmente conduzidos por adversários sofisticados, como agentes estatais. Seu objetivo é a infiltração em redes sem serem detectados e manter o acesso com o intuito de roubar dados ou interromper operações ao longo do tempo.
- Riscos de segurança na nuvem: Entre os riscos associados a ambientes de nuvem estão o vazamento de dados, APIs não seguras e buckets de armazenamento mal configurados. Esses riscos podem expor dados confidenciais ou permitir que invasores comprometam recursos da nuvem.
- Vulnerabilidades da Internet das Coisas (IoT): Muitos dispositivos de IoT contam com recursos de segurança limitados, tornando-os alvos fáceis dos invasores. São vulnerabilidades de IoT: o gerenciamento inadequado de patches, senhas-padrão fracas, transmissão de dados sem criptografia, firmwares desatualizados e APIs não seguras. Dispositivos de IoT comprometidos podem servir como pontos de entrada em redes maiores e ser utilizados em ataques de botnets.
- Ataques de preenchimento de credenciais e senhas: Esses ataques usam credenciais roubadas ou vazadas para a obtenção de acesso não autorizado às contas de usuários. Frequentemente, scripts automatizados testam grandes volumes de credenciais em diversos sites, explorando senhas fracas e reutilizadas.
- Violações de dados: Uma violação de dados ocorre quando há exposição ou roubo de dados confidenciais, geralmente decorrente da fragilidade dos controles de segurança, configurações incorretas ou ações internas. As violações de dados podem acarretar prejuízos financeiros, danos à reputação e multas regulatórias.
- Ataques de negação de serviço (DoS, denial-of-service) e negação de serviço distribuída (DDoS, distributed denial-of-service): Esses ataques inundam um sistema ou rede alvo com tráfego, sobrecarregando recursos e tornando serviços indisponíveis para usuários legítimos. Ataques DDoS são usados com frequência para gerar distrações, enquanto outros vetores de ataque são explorados.
- Ameaças internas: Ameaças internas vêm de funcionários, contratados ou parceiros que fazem mau uso de seu acesso, intencional ou acidentalmente. Essas ameaças costumam ser difíceis de detectar, uma vez que os infiltrados usam acesso legítimo a sistemas e dados e se aproveitam do conhecimento interno para expandir o acesso.
- Ataques de malwares: Malware é um software malicioso projetado para se infiltrar, danificar ou interromper sistemas. Inclui vírus, ransomwares, spywares e worms, que podem roubar dados, bloquear arquivos ou interromper operações.
- Ataques indiretos (Man-in-the-middle, MitM): Em um ataque MitM, um invasor secretamente intercepta as comunicações entre duas partes. Isso permite que os invasores roubem dados confidenciais, como credenciais de login, ou manipulem transações sem que nenhuma das partes perceba. São vetores de ataque MitM comuns Wi-Fis desprotegidos, phishing e spoofing de DNS.
- Shadow IT: Quando usuários instalam aplicativos ou serviços não autorizados sem a autorização ou o conhecimento das equipes de TI, cria-se a shadow IT, ou seja ferramentas não aprovadas pela equipe de TI, cujo uso pode introduzir vulnerabilidades que comprometem a segurança cibernética ao contornarem as políticas de segurança corporativas.
- Engenharia social: A engenharia social manipula indivíduos para que contornem protocolos de segurança, muitas vezes acarretando roubo de credenciais ou prejuízos financeiros. Uma modalidade amplamente utilizada de engenharia social é o phishing, pelo qual o invasor engana usuários para que revelem informações confidenciais por meio de e-mails, sites ou mensagens falsas.
- Ataques à cadeia de fornecedores: Os invasores violam a segurança de fornecedores, softwares ou prestadores de serviços terceirizados e infiltram-se em uma organização-alvo. Ataques à cadeia de fornecedores exploram relacionamentos de confiança, sendo normalmente de difícil detecção até que o dano se concretize.
- Explorações de dia zero: Explorações de dia zero têm como alvo vulnerabilidades de software desconhecidas e sem patches. Esses ataques são especialmente perigosos porque ocorrem antes que as equipes de segurança tenham conhecimento do novo vetor de ataque.
Ferramentas de segurança digital
Antivírus e antimalware
Detecta, bloqueia e remove softwares maliciosos, como vírus, ransomwares, spywares e cavalos de troia.
Teste de segurança de aplicativos (DAST/SAST/IAST)
Identifica vulnerabilidades em aplicativos de software durante o desenvolvimento (SAST), execução (DAST) ou interativamente (IAST).
Isolamento do navegador
Isola as atividades de navegação na web da rede ou endpoint para evitar infecções por malwares de sites perigosos.
Gerenciamento de certificados
Automatiza a emissão, renovação e revogação de certificados digitais para manter a segurança das comunicações.
Gerenciamento de postura de segurança em nuvem (CSPM, cloud security posture management)
Monitora continuamente os ambientes de nuvem a fim de detectar e corrigir configurações incorretas e violações de conformidade.
Prevenção contra perda de dados (DLP, data loss prevention)
Evita que dados confidenciais sejam vazados, extraviados ou acessados por usuários não autorizados.
Mascaramento e tokenização de dados
Protegem dados confidenciais substituindo-os por versões mascaradas ou tokenizadas, reduzindo o risco de exposição.
Tecnologia de detecção de atividade enganosa
Implanta armadilhas digitais (iscas), também conhecidas como “honeypots”, para atrair e detectar invasores no início do processo de intrusão.
Perícia digital e resposta a Incidentes (DFIR, digital forensics and incident response)
Auxilia na investigação de violações, coleta evidências e atende às necessidades legais ou de conformidade pós-incidente.
Criptografia
Protege a confidencialidade dos dados, convertendo-os em um formato seguro, tanto para dados em repouso quanto em trânsito.
Detecção e resposta de endpoints (EDR, endpoint detection and response)
Monitora e responde continuamente a ameaças direcionadas a endpoints, como notebooks e dispositivos móveis.
Firewalls
Monitora e controla o tráfego de entrada e saída da rede com base em regras de segurança predefinidas voltadas para o bloqueio de acesso não autorizado.
Segurança de identidade
Os três principais tipos de ferramentas usadas para proteger as identidades dos usuários e os privilégios de acesso relacionados são:
Gerenciamento de identidade para controle do ciclo de vida da identidade digital dos usuários.
Gerenciamento de Identidade e Acesso(IAM) para garantir acesso seguro e apropriado aos recursos com medidas de controle de acesso.
Governança e Administração de Identidade(IGA) para gerenciar e controlar as identidades dos usuários e seus direitos de acesso em uma organização.
Sistema de detecção e prevenção de intrusão (IDS/IPS)
Identifica e responde a tentativas não autorizadas de acesso ou exploração de recursos de rede.
Autenticação multifator (MFA)
Reforça a segurança do login, exigindo vários métodos de verificação, tais como:
- Algo que você sabe (fatores de conhecimento).
- Algo que você tem (fatores de posse).
- Algo que você é (fatores de pertinência).
Gerenciamento de dispositivos móveis (MDM, mobile device management)
Protege e gerencia dispositivos móveis dentro de uma organização a fim de fazer valer políticas de segurança e apagar dados remotamente, se necessário.
Controle de acesso à rede (NAC, network access control)
Restringe o acesso a uma rede, fazendo valer políticas de segurança para dispositivos que tentam se conectar.
Gerenciador de senhas
Armazena e gerencia com segurança senhas fortes para usuários e sistemas, reduzindo os riscos relacionados a senhas.
Gerenciamento de patches
Automatiza o processo de aplicação de patches e atualizações de segurança em softwares e sistemas.
Gerenciamento de acesso privilegiado (PAM, privileged access management)
Protege, gerencia e monitora o acesso de usuários com privilégios elevados, visando reduzir ao máximo ameaças internas e externas.
Gateway de e-mail seguro (SEG, secure email gateway)
Filtra e-mails maliciosos, tentativas de phishing e spam a fim de evitar ataques por e-mail.
Gateway web seguro (SWG, secure web gateway)
Protege os usuários contra tráfego web mal-intencionado, reforçando a conformidade com as políticas de internet.
Gerenciamento de informações e eventos de segurança (SIEM, Security information and event management)
Agrega e analisa dados de segurança de toda a rede visando detectar atividades suspeitas em tempo real.
Redes virtuais privadas (VPNs, virtual private networks)
Roteia com segurança o tráfego da internet por meio de túneis criptografados, protegendo a privacidade do usuário e a integridade dos dados.
Orquestração, automação e resposta de segurança (SOAR, security orchestration, automation, and response)
Integra e automatiza os fluxos de trabalho das operações de segurança visando o aumento da rapidez de resposta a incidentes.
Plataforma de inteligência de ameaças (TIP, threat intelligence platform)
Agrega, analisa e compartilha dados de ameaças internas e de terceiros com o objetivo de melhorar as defesas proativas.
Firewall de aplicativos web (WAF, web application firewall)
Protege aplicativos web, filtrando e monitorando o tráfego HTTP, com o objetivo de bloquear exploits, como injeção de SQL e cross-site scripting (XSS).
Acesso à rede zero trust (ZTNA, zero trust network access)
Aplica controles de acesso rigorosos, verificando continuamente cada usuário e dispositivo antes de conceder acesso à rede, mesmo dentro do perímetro.
Segurança digital: uma obrigação corporativa
A maioria das organizações concorda que uma segurança digital negligente não é uma opção e que uma segurança digital de alto nível é vital para todas as empresas, pois garante operações de TI bem-sucedidas, resilientes e confiáveis diante do rápido aumento do volume de dados gerados, armazenados e transmitidos, aliado a um cenário de ameaças e vulnerabilidades em constante evolução.
Profissionais de segurança e outras partes interessadas na organização podem colaborar para implementar uma estratégia abrangente que integre medidas técnicas avançadas, governança rigorosa e gerenciamento proativo de riscos. Essa abordagem holística geralmente é o uso mais eficaz da segurança digital e garante a melhor defesa contra agentes de ameaças sofisticadas e persistentes.
AVISO LEGAL: AS INFORMAÇÕES CONTIDAS NESTE DOCUMENTO TÊM FINALIDADE MERAMENTE INFORMATIVA. NADA AQUI APRESENTADO CONSTITUI OU TEM A INTENÇÃO DE CONSTITUIR CONSULTORIA OU ACONSELHAMENTO JURÍDICO DE QUALQUER NATUREZA. NÃO CABE À SAILPOINT OFERECER TAL ASSESSORIA, SENDO, PORTANTO, RECOMENDADA A CONSULTA A UM ADVOGADO QUANTO A QUAISQUER QUESTÕES LEGAIS APLICÁVEIS.
