Os recentes conflitos entre Rússia e Ucrânia têm despertado as organizações para os ataques massivos, tanto pelo lado russo quanto pelo lado ocidental. Grupos como anonymous têm se unido liberalmente contra o governo russo atacando serviços essenciais como TV, radio, energia, entre outros. Enquanto o mundo caminha para um cenário desconhecido ou era apocalíptica, é hora de os profissionais de Segurança gerenciarem bem suas posições nas organizações.
O medo e pavor nesta guerra geopolítica, consequentemente, gerou em paralelo uma cyber-war. O próprio governo norte-americano junto com a CISA tem aconselhado as organizações americanas a monitorarem de perto seus ambientes tecnológicos. Visto que instituições financeiras trabalham em prol da conformidade com as regulamentações e enfrentam eventualmente dificuldades no caminho da certificação, enquanto que software companies fortalecem com mais robustez o processo de compliance em cibersegurança, seja on-premises ou cloud para aprovação perante os clientes assegurando que seus dados estarão seguros no uso do produto.
Por outro lado, escolas especializadas e instituições de ensino oferecem a rodo cursos especializados, e mesmo assim, a escassez de profissionais de cibersegurança continua alta em direção ao alto do Evereste. Não há dúvida que a cibersegurança se tornou a área mais em evidência nesta era pré-apocalíptica.
Sou professor para um curso de cibersegurança onde compartilho as boas práticas e experiências que tenho vivenciado nestes últimos 20 anos, tenho visto ciclos se mudarem nesta metamorfose tecnológica e a minha percepção é que o caminho para resistir é manter a alma hacker. Existem hackers por todas as partes, nas salas de aulas, na engenharia de software e engenharia de rede ou até mesmo aquele executivo que lê e acompanha alguns feeds sobre tendências de ameaças. Mas no fundo, ele tem uma raiz.
Acho que estamos vivendo em um momento confuso, são tantas soluções de segurança, uma avalanche de requerimentos para proteção de dados na perspectiva de privacidade, soluções de compliance em cloud e automatização e orquestração em cloud. São tantos papers, guias e certificações que, se não tivemos um norte, ficaremos confusos e perdidos na visão e missão que nos foi designada como profissionais de infosec.
Recentemente, o Gartner anunciou que algumas funções do CISO serão migradas para TI e, de fato, é visível que a forma de gerenciamento em cloud muda quanto ao ambiente tradicional. Literalmente, o desafio dos profissionais de infosec é saber como gerir a transição nesta mudança, seja a forma de gerir OPEX e CAPEX em cloud, a gestão de identidades para evitar o blast radius, ou a maneira como se aplica as políticas em cloud e aplicação de patches em imagens. É evidente que há muitos ambientes complexos, legados em on-premisses e vejo que este tem sido, talvez, o maior desafio.
Por exemplo, a velocidade para publicação de um código alterado em produção via Infra-as-Code (IaC) CI/CD pipelines muda relativamente com ambiente tradicional de datacenter. Enfim, tenho notado que chegou o tempo de melhor atenção com os aspectos de atualização e capacitação profissional entendendo o modelo de negócio da organização e como este resultado irá alavancar o business. E para entender isso, primeiro precisamos ter convicção que somos capazes de gerenciar diante do caos.
Temos que ser parte chave para garantir que nossos parceiros na organização de TI e negócios possam realizar suas atividades e suportar os projetos com segurança para um caminho seguro sem expor a organização para riscos desnecessários. Logo, acredito que este ano de 2022 teremos que ser aptos para expandir nossos papel e responsabilidades diante desta batalha e transição que estamos vivendo.
Creio que o sucesso do profissional de segurança requer consistência na entrega de resultados para o desempenho das metas, conformidade com os standards, medindo e gerando um impacto positivo com os clientes e negócio. Além disso, dependendo do papel, precisamos demonstrar um comportamento de liderança esperado com as melhores práticas de segurança para o sucesso da organização.
Que este artigo sirva para refletir para qual caminho a cibersegurança está seguindo, seja para um momento de crise, para superar os desafios ou para demonstrar maior resiliência e articulação neste momento de ventos fortes versus a transformação digital.
*Rangel Rodrigues (csocyber) é advisor em Segurança da Informação, CISSP, CCSK, e pós-graduado em Redes de Internet e Segurança da Informação pela FIAP e IBTA. Tem MBA em Gestão de TI pela FIA-USP e é professor de cibersegurança na FIA. Atualmente, é Sênior Security Engineer para uma empresa financeira nos Estados Unidos.
