Jean Pierre Lessa e Santos Ferreira, diretor de tecnologia com atuação em infraestrutura e segurança de sistemas, acompanha um cenário que não para de se agravar: mesmo com investimentos crescentes em cibersegurança, o número de incidentes relevantes nas organizações continua alto. O problema não é falta de consciência sobre o tema. É que a maioria das empresas ainda aborda a segurança da informação com uma lógica que o ambiente atual tornou insuficiente.
O modelo tradicional de segurança foi construído sobre uma premissa simples: proteja o perímetro e tudo dentro dele estará seguro. Essa premissa era questionável quando os sistemas corporativos eram predominantemente locais. Em um ambiente onde dados trafegam entre nuvens, dispositivos móveis, fornecedores externos e times remotos, ela é simplesmente inviável. E as organizações que ainda operam com essa mentalidade estão expostas de formas que frequentemente só descobrem quando o incidente já aconteceu.
Por que o modelo de segurança baseado em perímetro já não protege ninguém?
A superfície de ataque de uma organização moderna é radicalmente diferente da que existia há dez anos. Cada colaborador remoto com acesso a sistemas corporativos é um ponto de entrada potencial. Cada integração com fornecedores e parceiros representa uma extensão do perímetro que precisa ser gerenciada. Cada serviço em nuvem contratado sem um processo formal de avaliação de segurança introduz variáveis que o time interno frequentemente não controla.
O modelo Zero Trust surgiu como resposta a essa realidade. Em vez de confiar automaticamente em qualquer dispositivo ou usuário dentro da rede corporativa, ele parte da premissa de que nenhuma conexão deve ser considerada segura por padrão. Cada acesso precisa ser verificado, cada sessão precisa ser autenticada e os privilégios precisam ser concedidos com o princípio do menor acesso necessário. Jean Pierre Lessa e Santos Ferreira está entre os profissionais que lidam com a implementação prática desse modelo em ambientes corporativos complexos, onde a teoria precisa ser traduzida em políticas e controles que não inviabilizem a operação.
Os vetores de ataque que mais crescem e que menos recebem atenção
Quando as organizações pensam em cibersegurança, tendem a focar em ameaças externas sofisticadas: ransomware, ataques de estados-nação, exploração de vulnerabilidades zero-day. Essas ameaças são reais e merecem atenção. Mas os vetores que mais frequentemente resultam em incidentes graves são consideravelmente mais mundanos: phishing, credenciais comprometidas e configurações incorretas de serviços em nuvem.
Estudos recentes do setor indicam que uma parcela expressiva dos incidentes de segurança começa com credenciais válidas obtidas por phishing ou vazamentos de dados. Isso significa que investir apenas em tecnologia de defesa perimetral, sem um programa robusto de conscientização de usuários e gestão de identidade, é uma estratégia com lacunas significativas. Jean Pierre Lessa e Santos Ferreira atua em um contexto onde equilibrar investimento em tecnologia e em processos humanos é parte central da gestão de segurança da informação.
Por que a maioria das empresas ainda não consegue realizar uma gestão eficaz de vulnerabilidades?
Identificar vulnerabilidades é a parte mais fácil da segurança da informação. O que revela a maturidade de um programa de segurança é o que acontece depois da identificação. A maioria das organizações acumula listas de vulnerabilidades conhecidas que nunca são completamente remediadas, porque não existe um processo claro de priorização, responsabilidade e acompanhamento.
A priorização baseada em risco real, e não apenas em scores de severidade genéricos, é o que separa programas de gestão de vulnerabilidades eficazes dos que existem apenas para fins de conformidade. Uma vulnerabilidade crítica em um sistema interno sem exposição à internet pode ser menos urgente do que uma vulnerabilidade média em um serviço diretamente acessível por clientes. Esse raciocínio contextual, que parece óbvio quando enunciado, é frequentemente ausente nos processos de segurança das organizações. Jean Pierre Lessa e Santos Ferreira está estabelecido em um ambiente onde esse tipo de decisão precisa ser tomada de forma consistente e documentada.
Conformidade não é segurança: uma distinção que ainda confunde muitas empresas
Um dos equívocos mais persistentes no universo da segurança da informação é tratar a conformidade regulatória como sinônimo de segurança efetiva. Estar em conformidade com a LGPD, ISO 27001 ou PCI DSS significa atender a um conjunto de requisitos mínimos definidos por normas que, por sua natureza, são escritas para o passado. Elas descrevem o que era considerado necessário quando foram criadas, não o que é necessário para enfrentar as ameaças do momento presente.
Organizações maduras tratam conformidade como piso, não como teto. Atendem aos requisitos regulatórios como obrigação básica e constroem sobre eles um programa de segurança orientado por risco real. Para um especialista em tecnologia e segurança da informação, como Jean Pierre Lessa e Santos Ferreira, essa distinção é fundamental para orientar investimentos e prioridades de forma que gerem proteção efetiva, e não apenas documentação adequada para uma auditoria.
Segurança como capacidade organizacional contínua
A segurança da informação efetiva não é um estado que se atinge com um projeto bem-sucedido. É uma capacidade organizacional que precisa ser desenvolvida, exercitada e atualizada continuamente. As ameaças evoluem, os ambientes mudam e as organizações que tratam segurança como iniciativa pontual sempre estarão reagindo a incidentes em vez de antecipá-los. O investimento nessa capacidade é o que determina se uma empresa chega a um incidente com respostas preparadas ou com improviso.
Autor: Diego Rodríguez Velázquez
