Ao descobrir que uma empresa conhecida foi hackeada, um gerente diz: “Chamem o pessoal de segurança da informação! Eu quero um Pentest em nossa aplicação! Para ontem!”
(Pentest é um teste de penetração, explicaremos com mais detalhes em uma próxima seção).
Essa situação, apesar de comum, é muito grave. No entanto, não é nada incomum nas empresas de tecnologia nos dias atuais. Com a migração massiva dos negócios do mundo real para o mundo virtual, não migraram somente os benefícios, mas também os problemas.
Ataques no mundo digital
Geralmente, no mundo físico, o agente malicioso precisa estar presente no local do crime que vai executar. No mundo virtual, porém, este agente pode estar em qualquer lugar. Então, é natural que, junto com a expansão de negócios para o meio digital, venha a expansão dos cibercrimes.
Segurança da informação é essencial para todo tipo de empresas
Com isso, as empresas que antes desenvolviam sistemas mais focados nas regras de negócios de um determinado segmento passaram a ter que se preocupar mais com a segurança desses sistemas. Além disso, eles devem focar não só a segurança dos sistemas em si, mas toda a segurança da própria empresa e dos processos de desenvolvimento, já que qualquer brecha pode ser usada para um possível ciberataque.
É comum que, ao ficar sabendo que seus produtos podem sofrer ataques, a gerência dessas empresas decida tomar uma atitude. Geralmente, começam chamando o pessoal da segurança da informação para um relatório. Mas aí existe um problema: quem é o pessoal da segurança da informação?
Cenário das empresas
Dependendo do tamanho da empresa e do nível de maturidade no desenvolvimento de sistemas, o pessoal de segurança nem existe ou é uma ou duas pessoas responsáveis por garantir o desenvolvimento seguro executado por algumas centenas de desenvolvedores. Isso quando também não são responsáveis pela segurança do ambiente de desenvolvimento e de produção dessas aplicações.
As empresas não podem ser culpadas por isso. A cibersegurança não era uma demanda tão grande há uns dois anos e, agora, passou a ser emergencial. Além disso, com o aumento da demanda, o valor desse pessoal disparou e são mais raros que unicórnios no mercado!
Além do Pentest
Outro problema é que, no mercado de segurança atual, a buzzword Pentest virou garantia de segurança de um sistema. Sentimos em informar que não é.
O Pentest (teste de penetração) é, em bem alto nível, uma tentativa de ataque controlado. Ou seja, ele permite que sejam descobertas áreas de vulnerabilidade não previamente identificadas no sistema. Por isso, ele é, sim, muito importante para o ciclo de segurança de uma aplicação.
Contudo, ele representa só uma parte desse ciclo. Antes de se fazer um Pentest, existe uma infinidade de outras coisas que devem ser executadas.
A seguir, descrevemos alguns procedimentos anteriores ao Pentest que ajudarão a elevar o nível de segurança dos sistemas desenvolvidos pela sua empresa.
1. Time de segurança de dados
O primeiro passo é ter o time de segurança. Esse pessoal pode ser interno ou não, mas deve ser qualificado e em quantidade suficiente para dar conta da demanda.
Uma sugestão é: caso a empresa não tenha esse pessoal, é bom começar com um corpo externo. Se houver interesse de internalizar os processos de segurança, procure contratar e treinar uma equipe para isso.
Nesse caso, considere que esse processo levará tempo. A cibersegurança é um campo muito amplo e complexo da computação.
2. Avaliação de Vulnerabilidades
Com um time formado, deve-se fazer uma avaliação/modelagem de vulnerabilidades. Este processo pode ser longo e deve ser repetido durante todo o ciclo de vida de um sistema, desde a construção até depois da desativação.
A frequência com que essa avaliação deve ser executada depende muito do ritmo de desenvolvimento do sistema e do seu grau de maturidade.
Geralmente, sistemas que estão com desenvolvimento muito ativo devem ser avaliados com maior frequência. Sistemas mais maduros, por sua vez, podem ser testados esporadicamente.
Nesta etapa, é interessante usar uma metodologia já existente no mercado, tipo o LINDDUN, STRIDE, CVSS ou PASTA. Esses modelos já se provaram eficientes quando testados em diversas empresas.
A criação de um modelo próprio é algo complexo e demora tempo para se provar eficiente. Nesse intervalo, ele pode apresentar inconsistências que deixarão passar brechas de segurança graves até que o modelo seja devidamente testado e adequado.
3. Plano de Mitigação
Depois de montada uma equipe e mapeadas as possíveis vulnerabilidades, deve-se montar um plano de mitigação das vulnerabilidades encontradas e um plano de ação em caso de ataques bem-sucedidos ou em andamento. Tudo isso recai sobre uma equipe de governança de segurança da informação.
Treinamento da equipe de desenvolvimento
Concomitantemente a esses três processos iniciais, é necessário realizar o treinamento dos desenvolvedores para que eles entendam como produzir código e aplicações seguras. Existem diversas fontes para isso, mas a mais utilizada são as boas práticas pregadas pelo OWASP.
O OWASP, Open Web Application Security Project® (Projeto Aberto de Segurança em Aplicações Web), é uma fundação sem fins lucrativos, que procura melhorar a segurança de software em geral por meio de projetos de código aberto espalhados em todo o mundo.
O projeto lança documentos voltados a educar pessoas desenvolvedoras acerca dos riscos mais relevantes no momento em aplicações web, assim como boas práticas de proteção de dados.
Sistemas desenvolvidos considerando o OWASP Top 10 Web Security Risks (um desses documentos) já possuem vantagem no quesito segurança em relação a sistemas que não o consideraram.
Nesses casos, o interessante é que os desenvolvedores podem colocar na esteira de desenvolvimento testes que verificam se o sistema desenvolvido está de acordo com as recomendações do OWASP Top 10.
Com tudo isso a postos, começa a ser interessante a execução de um Pentest, pois ele será o ajuste fino das medidas de segurança já implantadas tanto na empresa quanto na aplicação a ser testada.
Cultura de segurança
A principal dica deste artigo é que segurança não é algo que se implanta em um sistema ou em uma empresa do dia para a noite. Segurança tem mais a ver com cultura do que com produção. Então, se sua empresa ou seu projeto ainda não possui essa cultura, já está mais do que na hora de plantar a sementinha de segurança por aí.
Está interessado em começar ou quer melhorar a cibersegurança de sua empresa? Venha conversar com os especialistas do Venturus. Temos mais de 25 anos de experiência no desenvolvimento de sistemas e contamos com projetos inovadores e adaptáveis, sempre prezando pela segurança da informação em nossas soluções.
Daniel de Haro Moraes
AnteriorAnteriorTestes de QA: 3 erros para evitar no processo
PróximoGestão remota das equipes: como fazemos?Próximo
Veja mais
Carreiras
Como fazer um bom perfil no LinkedIn?
Descobrir como fazer um bom perfil no LinkedIn é muito mais fácil do que você imagina. Existem algumas ações básicas que você pode tomar e
Leia mais »
novembro 29, 2022 Nenhum comentário
Inovação
Lean Digital como diferencial para negócios
A Transformação Digital (TD) se intensificou bastante desde o início da Pandemia de Covid-19. Devido ao distanciamento social, as soluções digitais ganharam protagonismo para a
Leia mais »
novembro 23, 2022 Nenhum comentário
Carreiras
Como criar uma rotina de estudos?
Manter o ritmo de estudos pode ser bem desafiador, principalmente quando você está buscando dar aquele upgrade nos seus conhecimentos e técnicas para o mercado
Leia mais »
novembro 8, 2022 Nenhum comentário
Entre em contato
+55 (19) 3755-8600
contato@venturus.org.br
Facebook
LinkedIn
Instagram
Nome
Email
Cargo
Assunto
Comercial Recursos Humanos Marketing Parcerias Dúvidas Outro
Mensagem
This site is protected by reCAPTCHA and the Google Privacy Policy and Terms of Service apply.
Enviar
Início
Atuação
Serviços Prestados
Segmentos de Negócio
P&D e Inovação
Soluções
Blog
Sobre
Carreiras
Jornada Venturus
Contato
Política de dados
Política de Cookies
Termos de uso
Menu
Início
Atuação
Serviços Prestados
Segmentos de Negócio
P&D e Inovação
Soluções
Blog
Sobre
Carreiras
Jornada Venturus
Contato
Política de dados
Política de Cookies
Termos de uso
Campinas / SP - Brasil
Estrada Giuseppina Vianelli di Napolli, nº 1.185
Condomínio GlobalTech Campinas
Polo II de Alta Tecnologia
CEP 13086-530 – Campinas – SP
+55 (19) 3755-8600
Facebook Linkedin Instagram Youtube
+55 (19) 3755-8600
contato@venturus.org.br
"Este site coleta Cookies para melhorar sua experiência de navegação. Caso concorde com o uso de Cookies da forma apresentada, vocês poderá: (II) ajustar as configurações de seu navegador de internet para não permitir o uso de Cookies ou (III) não acessar o site. Lembramos que desabilitar o uso de Cookies poderá impactar sua experiência ao navegar no site. Ao clicar em "CONCORDO", vocês está aceitando o uso de todos os Cookies.
Cookie settingsCONCORDO
READ MORE
Manage consent
Fechar
Privacy Overview
This website uses cookies to improve your experience while you navigate through the website. Out of these, the cookies that are categorized as necessary are stored on your browser as they are essential for the working of basic functionalities of the website. We also use third-party cookies that help us analyze and understand how you use this website. These cookies will be stored in your browser only with your consent. You also have the option to opt-out of these cookies. But opting out of some of these cookies may affect your browsing experience.
Necessary
Necessary
Sempre ativado
Necessary cookies are absolutely essential for the website to function properly. This category only includes cookies that ensures basic functionalities and security features of the website. These cookies do not store any personal information.
Non-necessary
Non-necessary
Any cookies that may not be particularly necessary for the website to function and is used specifically to collect user personal data via analytics, ads, other embedded contents are termed as non-necessary cookies. It is mandatory to procure user consent prior to running these cookies on your website.