O que é security by design
Security by Design é uma abordagem proativa no desenvolvimento de software, onde a cibersegurança é integrada desde o início do projeto. Ao invés de ser um adendo posterior, a segurança é tratada como uma parte intrínseca do processo de desenvolvimento, andando lado a lado com a funcionalidade. O objetivo principal é prevenir e minimizar potenciais impactos de incidentes de segurança, sendo esta abordagem não apenas mais eficiente, mas também mais econômica, pois lidar com vulnerabilidades depois de manifestadas pode sair muito mais caro.
Em um cenário onde os dados e sua análise desempenham um papel central nas decisões corporativas, a importância do Security by Design aumenta exponencialmente. Os dados, muitas vezes gerados por dispositivos conectados, são fundamentais para estratégias de negócios e inovações tecnológicas, que buscam otimizar a experiência do cliente e a colaboração interna. Portanto, garantir a segurança das informações, não apenas contra ameaças externas, mas também contra acessos internos não autorizados, seja por negligência ou má intenção, é essencial para a integridade e sucesso das empresas modernas.
Os pilares do security by design
O OWASP (Projeto Aberto de Segurança em Aplicações Web) é uma instituição sem fins lucrativos que desempenha um papel fundamental em direcionar o desenvolvimento seguro através de diretrizes detalhadas e práticas recomendadas. De acordo com o OWASP, há três pilares da segurança da informação que devem ser considerados desde o começo do desenvolvimento:
- Confidencialidade: permitir o acesso a informações somente aos indivíduos autorizados;
- Integridade: assegurar que as informações não sejam alteradas ou distorcidas por indivíduos não autorizados;
- Disponibilidade: garantir que os sistemas e as informações estejam sempre disponíveis para aqueles que possuem as devidas permissões, quando necessário.
Princípios do security by design
Reduzir a exposição ao risco
O objetivo é restringir o acesso dos usuários a recursos, diminuindo assim os riscos associados a possíveis vulnerabilidades.
Adotar configurações seguras
Os sistemas devem ser configurados, por padrão, para proporcionar o máximo de segurança, evitando que o usuário tenha que fazer ajustes específicos.
Acesso estritamente necessário
O acesso de um usuário deve ser limitado apenas ao essencial para cumprir suas funções.
Múltiplas camadas de defesa
A segurança deve ser garantida por meio de abordagens variadas e complementares, criando várias barreiras contra ameaças em potencial.
Respostas a prova de falhas
Embora os softwares possam ter imperfeições, os desenvolvedores precisam assegurar que eventuais falhas não comprometam a integridade do sistema ou revelem dados sensíveis.
Preocupação com serviços externos
Ao agregar serviços de terceiros, é fundamental verificar a integridade dos dados e controlar as permissões, a fim de prevenir potenciais brechas de segurança.
Divisão de responsabilidades
As operações devem ser designadas de modo que não possam ser concluídas por um único indivíduo, garantindo que atos maliciosos sejam detectados. Por exemplo, em plataformas de vendas online, compradores não devem ter permissões administrativas que lhes permitam modificar preços.
Transparência na segurança
Se uma funcionalidade só é segura quando oculta, ela não é genuinamente segura. O sistema deve ser protegido sem que seja preciso esconder seu código ou recursos.
Soluções de segurança simples
Embora soluções de segurança elaboradas possam ser tentadoras, o excesso de complexidade pode introduzir falhas. A simplicidade é a chave.
Abordagem holística na correção de falhas
Ao identificar falhas de segurança, é essencial analisar a amplitude do problema e garantir soluções abrangentes, lembrando que sistemas aparentemente desconectados podem compartilhar vulnerabilidades.
Não perca! Ouça agora o 8º episódio do podcast Itshow.
9 passos para aplicar o security by design
1. Escolha tecnologias confiáveis
Optar por plataformas de programação modernas e confiáveis é o primeiro passo para implementar o security by design com sucesso. Uma grande parcela das vulnerabilidades surge devido a tentativas falhas de inovação. Portanto, mantenha-se informado sobre falhas nas tecnologias escolhidas e atualize-as constantemente.
2. Eduque e informe
É muito importante educar os desenvolvedores sobre as ameaças e exigências específicas do projeto. Utilizar exemplos práticos e envolvê-los em simulações de ameaças amplia a perspectiva deles, levando a soluções mais seguras.
3. Dissemine o conhecimento
A expertise em segurança não deve ser monopolizada. Dissemine o conhecimento entre a equipe, evitando a centralização da informação só entre poucos membros. O foco deve ser na capacitação ampla, sobretudo em times diversificados.
4. Priorize a manutenção
A segurança está diretamente ligada à manutenção do código. Um código facilmente ajustável minimiza riscos. Portanto, estabeleça padrões de manutenção e use ferramentas para monitorá-los.
5. Use automação
Com a disponibilidade de ferramentas para identificar vulnerabilidades, é essencial incorporar verificações automáticas, otimizando o processo de controle de segurança.
6. Teste manualmente
Embora a automação seja essencial, a revisão manual ainda é insubstituível. Expertises internas ou externas podem descobrir falhas que ferramentas automáticas não detectam. Permita a flexibilidade e criatividade nessas revisões.
7. Incorpore a privacidade
O conceito de ‘Privacidade por Design’ se relaciona diretamente com a segurança de dados pessoais, pois é uma extensão natural e deve ser integrada ao processo de segurança digital.
8. Busque uma evolução constante
Estabeleça um roteiro de aprimoramento contínuo, utilizando frameworks como o OWASP SAMM, que oferece uma estrutura para garantir a segurança em todos os estágios do ciclo de vida do software.
9. Universalize a abordagem
Não restrinja práticas de segurança apenas a novos projetos, pois sistemas preexistentes também necessitam de revisões e ajustes. O mantra deve ser: sempre é o momento certo para priorizar a arquitetura de segurança.
Security by design e a IoT
Frequentemente, a abordagem de Security by Design é relacionada à Internet das Coisas (IoT), visto que dispositivos conectados de baixo custo podem ter brechas na segurança durante a coleta de dados. Contudo, com o crescente uso da Inteligência Artificial (IA) e da Machine Learning nos negócios, tanto de forma autônoma quanto sob supervisão humana, a integridade dos dados torna-se primordial. Uma falha de segurança pode permitir que cibercriminosos manipulem algoritmos, comprometendo, por exemplo, diagnósticos de IA em campos médicos. Logo, ao priorizar a um ambiente seguro desde o início, as empresas podem implantar protocolos robustos que protegem os dados e algoritmos de tais ameaças.
Security by design e a segurança da informação
Os desafios da conscientização da segurança
A abordagem de “Security by Design” é fundamental para a integração segura de software e hardware desde o início do desenvolvimento, e sua importância tem sido enfatizada por profissionais de destaque no setor de TI. A CIO da TOTVS, Mara Maehara, destaca essa necessidade quando afirma: “a segurança sempre foi extremamente importante e sempre esteve no portfólio de assuntos de um CIO, devido aos impactos que pode ter na operação”. De fato, no ambiente de negócios de hoje, onde a tecnologia desempenha um papel tão importante, a segurança precisa ser uma consideração essencial.
Entretanto, o desafio atual não é apenas a adoção da segurança, mas também a conscientização em toda a empresa. Como Maehara observa: “mas, com a aceleração da adoção de novas tecnologias e modelos de negócio, o desafio é a conscientização da empresa inteira”. Isso reflete o dilema que muitas organizações enfrentam, onde novas soluções tecnológicas são adotadas rapidamente, mas a consideração da segurança nem sempre acompanha o mesmo ritmo.
As empresas devem se responsabilizar
Quando diferentes áreas de negócio implementam novas soluções, a expertise em segurança pode não estar presente, levando a decisões potencialmente arriscadas. Ela acrescenta que muitas vezes “a segurança embutida na adoção dessas soluções nem sempre é avaliada, pois não é a expertise de quem está contratando. Isso aumenta a possibilidade de termos configurações inadequadas e análises não realizadas no momento correto”.
Recentemente, a administração do presidente Biden, juntamente com os principais especialistas, pediu às empresas de tecnologia que priorizem a “Security by Design” em seus produtos. A diretora da Agência de Segurança Cibernética e Infraestrutura (CISA), Jen Easterly, destacou que a segurança não deve ser uma responsabilidade apenas dos clientes e que a indústria de tecnologia precisa ser transparente sobre os desafios da segurança.
Ela estabeleceu três princípios para um ethos de design seguro: a indústria deve se responsabilizar pela segurança, adotar transparência radical e focar na criação de produtos seguros. A CISA visa mudar a perspectiva de culpar os clientes para responsabilizar as empresas de tecnologia.
Proteção dos dados é essencial
Essa abordagem integrada da segurança, que abrange todas as áreas de um negócio, é essencial, especialmente em um cenário onde a proteção dos dados se torna cada vez mais vital. A Lei Geral de Proteção de Dados Pessoais (LGPD) é um testemunho dessa necessidade crescente de garantir a privacidade dos dados. Refletindo essa conexão entre privacidade e segurança, Maehara reitera: “há uma conexão estreita entre privacidade e segurança, e esse é um tema que ocupa grande parte da nossa agenda”.
De fato, ao tratar do ‘Security by Design’, não se trata apenas de adotar medidas técnicas, mas de garantir uma conscientização geral. A chave, de acordo com Maehara, é que “a segurança tem que ser um assunto da empresa, não apenas de TI”. O ‘Security by Design’, portanto, não deve ser uma reflexão tardia, mas uma consideração fundamental desde o início. Para atingir esse objetivo, é necessário conscientizar.
Assine nossa Newsletter para receber os melhores conteúdos do Itshow direto no seu email.
