Gestão de vulnerabilidades: a importância de mapear riscos e estabelecer estratégias

Por Marcelo Mendes Santos, gerente de TI CISO da NEO

Divulgação/NEO

Como um movimento natural que surge para auxiliar no equilíbrio entre inovação tecnológica e proteção de dados, a legislação atual apresenta um passo necessário para a evolução das formas de compartilhamento e processamento de informações pessoais, em que o epicentro é o próprio indivíduo, o dono desses dados.

A Lei Geral de Proteção de Dados Pessoais, ou simplesmente LGPD, estabelece regras para a coleta e o tratamento de dados pessoais, bem como responsabilidades para os agentes envolvidos, responsáveis por proteger o cidadão dos inúmeros excessos ocorridos nos últimos anos.

E como trata a lei em seus artigos que estabelece medidas técnicas razoáveis em segurança da informação, uma das técnicas que deve fazer parte é a gestão de vulnerabilidades técnicas, assim como a proteção das estações de trabalho e servidores (endpoints). Com  as crescentes ameaças de ataques virtuais que exploram as falhas dos sistemas operacionais e sistemas da informação, faz-se necessário o estabelecimento de um calendário robusto, que seja voltado à gestão de vulnerabilidades, com ciclos contínuos de tratamento e mitigação das falhas de segurança destes sistemas. E uma das maneiras de se tratar estas vulnerabilidades é a execução de pentest semestrais/anuais, não só da infraestrutura, mas também a adoção de técnicas seguras no seu desenvolvimento de sistemas.

Além da execução do pentest, o uso de ferramenta de scan de vulnerabilidade aliado a um calendário de scanning e mitigação em conformidade com o calendário de atualização dos players de mercado utilizados na organização ajuda a estabelecer um controle mais efetivo, minimizando os possíveis impactos ao ambiente digital. Tendo uma vigilância constante dos ativos de informação, é possível mantê-los mais protegidos. E, como suporte a este tipo de iniciativa, temos as boas práticas de mercado – como, por exemplo, o uso de OpenVAS para mitigação de vulnerabilidades e os princípios de desenvolvimento seguro OWASP.

O OpenVAS é considerado um completo scanner de vulnerabilidades. Seus recursos incluem testes não autenticados, testes autenticados, diversos protocolos industriais e de Internet de alto e baixo nível, ajuste de desempenho para verificações em larga escala e uma poderosa linguagem de programação interna que permite implementar qualquer tipo de teste de vulnerabilidade. E os princípios de desenvolvimento seguro OWASP (Open Web Application Security Project) buscam mitigar os 10 principais problemas de segurança:

1 – Minimizar a superfície de área de ataque;
2 – Estabelecimento de Padrões;
3 – Princípio do Menor Privilégio:
4 – Princípio da Defesa em Profundidade;
5 – Falhar com Segurança
6 – Não confiar nos Serviços;
7 – Separação de deveres;
8 – Evitar a segurança por obscuridade;
9 – Manutenção de segurança simples;
10 – Correção de Problemas de Segurança da maneira correta.

A lista acima é baseada no consenso entre a comunidade de desenvolvedores sobre os principais riscos de segurança, e atualizada de tempos em tempos à medida que os riscos mudam e novos surgem. Como você pode ver, a lista explica as falhas de segurança de aplicativos da Web mais perigosas, fornecendo às empresas recomendações para lidar com elas.

Com muitos avanços acontecendo nesta era de digitalização, precisamos dar um foco considerável no preenchimento de lacunas de vulnerabilidade, minimizando os riscos de hackers e, assim, protegendo os ativos digitais. Cabe à cada organização investir e dedicar tempo e recursos a isto, de forma a garantir a segurança de todos.