As APIs e as aplicações seguem como um dos grandes desafios enfrentados pelos CISOs, tanto por sua criticidade para os negócios quanto pelas dificuldades em coordenar estratégias eficazes de proteção. No geral, as lideranças percebem como obstáculos a falta de visibilidade de todo o conjunto de APIs e a insuficiente conscientização dos times de desenvolvimento e negócios sobre os riscos de aplicações sem segurança by design.
Conforme explica Leonardo Ovídio, Global Director de Cyber and Risk Management da Brookfield, os times de cibersegurança precisam equilibrar as exigências de tempo e eficiência do negócio com a mitigação de vulnerabilidades nas aplicações. “Os CISOs devem ter bastante maturidade para entender quando é possível apenas coordenar os riscos da aplicação e quando ela representa uma ameaça real para a continuidade do negócio”, afirmou Ovídio.
Ele também destacou a importância de proteger aplicações legadas, que muitas vezes operam sem os controles adequados. “É preciso avaliar o risco real dessas aplicações. Se o impacto potencial for muito alto, a melhor decisão pode ser tirá-las do ar temporariamente para realizar as correções necessárias,” enfatizou.
Para enfrentar esse cenário desafiador, o CISO do Grupo Moura, Tiago Macedo, recomenda que a segurança atue o mais próximo possível do negócio, dos desenvolvedores e até mesmo de parceiros. “Isso permite manter atenção sobre possíveis exposições e controlar as vias de acesso à estrutura corporativa. Precisamos monitorar sempre, pois o ambiente está mudando a todo instante”, acrescenta Macedo.
Outras medidas de segurança envolvem agir diretamente sobre as APIs. Andres Moore Muñoz, Senior Sales Engineer da Imperva, reforça a necessidade de práticas como restringir o acesso a regiões específicas, realizar testes contínuos de resistência contra usos maliciosos e aplicar ferramentas automatizadas para detecção de brechas em códigos e recursos.
O painel, mediado por Graça Sermoud, Diretora Executiva do Security Leaders, foi encerrado com Daniel Aragão, Head de Cyber Security Business Line da NEC Brasil, destacando que proteger APIs é, essencialmente, proteger o próprio negócio. “Apenas medidas direcionadas poderão formular uma resposta adequada para cada cenário corporativo,” concluiu.
