A segurança mede-se em hábitos, não em declarações

Uma auditoria de segurança só cria valor quando cada descoberta gera uma correção verificável e reduz a probabilidade de a falha regressar.

Todos os sites de software têm a mesma frase algures: “os seus dados estão seguros connosco”. A frase não custa nada a escrever, não compromete ninguém e não informa nada — segurança declarada é indistinguível de segurança inexistente, porque as duas se anunciam com as mesmas palavras. O que distingue uma da outra não se lê na página inicial; lê-se nos hábitos. Este artigo descreve os nossos, para que saiba o que pode exigir — a nós e a qualquer fornecedor.

Quatro hábitos de segurança

1. Procurar as próprias falhas: Este ano conduzimos uma auditoria de segurança interna ao produto, sistemática e feita para incomodar: em vez de confirmar o que funciona, o exercício consistiu em tentar quebrar o que julgávamos sólido — pensar como intruso, não como autor. Encontrou fragilidades? Encontrou; é para isso que se faz. Uma auditoria que não encontra nada não prova um produto perfeito, prova um exercício mal feito.
2. Transformar correções em aprendizagem: Cada fragilidade identificada não foi apenas corrigida — ganhou um teste automático que reproduz o ataque e que passou a correr a cada alteração ao software, para sempre. A falha corrigida sem teste pode regressar em silêncio na versão seguinte; a falha convertida em teste fica de guarda contra o seu próprio regresso. Com o tempo, esta prática acumula uma coleção crescente de sentinelas: cada versão nova da plataforma tem de provar, automaticamente, que nenhum problema antigo voltou — incluindo o teste que tenta ver dados de uma entidade a partir de outra.
3. Desenhar em camadas: Cada proteção da plataforma — a identidade, a pertença à entidade, as permissões, o filtro na base de dados, os cofres de segredos, as cópias — foi construída no pressuposto de que as outras podem falhar, e cada uma está desenhada para, na dúvida, negar. Não porque esperemos que falhem em conjunto, mas porque a história do software ensina que a pergunta nunca é se uma camada falha; é o que acontece quando falha.
4. Documentar: A segurança da plataforma está documentada num manual interno vivo — o modelo de proteção, os procedimentos de resposta, o estado de cada controlo — que se atualiza quando a realidade muda. Parece burocracia e é o contrário dela: segurança que vive na cabeça de uma pessoa desaparece com as férias dessa pessoa; segurança escrita sobrevive à equipa que a escreveu e pode ser mostrada, verificada e criticada.

Termina-se com a honestidade que estrutura esta série: nada disto nos torna invulneráveis, e desconfie ativamente de quem use essa palavra. A segurança não se atinge de uma vez — mantém-se todas as semanas, e o trabalho não tem linha de chegada. Mas há uma consequência prática para si, leitor que compra software para uma entidade formadora: passe a avaliar fornecedores pela prática e não pela declaração. Quando foi a vossa última auditoria? O que mudou por causa dela? Que testes de segurança correm a cada alteração? Onde está isso escrito? Um fornecedor com hábitos responde com datas, exemplos e documentos. Um fornecedor com declarações responde com adjetivos — e adjetivos, como se sabe, não protegem dados nenhuns.

Auditoria de segurança: testar, corrigir e aprender

A auditoria de segurança deve ser regular, independente do entusiasmo do momento e ligada a um registo de ações. Uma falha corrigida sem teste pode voltar na próxima versão; uma auditoria de segurança madura transforma-a num teste automático e atualiza o manual operacional. O guia de testes de segurança da OWASP organiza práticas verificáveis para aplicações web. Consulte também os limites aplicados a acessos privilegiados. Auditoria de segurança não é uma declaração anual; auditoria de segurança é um hábito com evidência.

Sobre o autor

Nuno Nogueira

Empreendedor e Fundador da Training App

Trabalha em gestão de formação e automação de processos. Fundou a Training App para simplificar a forma como as entidades formadoras certificadas pela DGERT gerem a sua operação, e acompanha cada cliente desde a implementação até à evolução contínua da plataforma.