Por Claudio Bannwart
A prevenção de riscos é a prioridade de muitos, tanto em nossa vida pessoal quanto profissional. Atualmente, isso é mais verdadeiro que nunca, e não apenas com a pandemia da COVID-19, mas também com a proliferação de vetores de ataque que visam nossas informações pessoais e de negócios.
A expressão “é melhor prevenir do que remediar” torna-se relevante no que diz respeito à segurança de nossas aplicações. Em geral, a segurança do período de desenvolvimento e de execução envolve a implementação de aplicativos que podem ou não estar em risco, ao mesmo tempo em que executam agentes complexos e onerosos na tentativa de (possivelmente) mitigar os riscos. E se as equipes de segurança e desenvolvimento mudassem suas mentalidades para abordar a possibilidade de implementar aplicativos desenvolvidos para minimizar os riscos? E se configurássemos as aplicações de forma a remover pacotes inválidos e a necessidade de filtragem de pacotes?
Esses conceitos já existem há anos, mas nem todas as empresas foram rápidas em adotá-los. Aqui estão quatro razões pelas quais as organizações devem adotar uma prática de segurança baseada na prevenção no lugar da detecção:
1) Reduzir o nível de risco
O modelo tradicional de “detectar e corrigir” é limitado porque há um atraso inerente entre a implementação de um aplicativo e a correção de quaisquer vulnerabilidades detectadas. Embora muitas equipes e áreas de segurança sejam sofisticadas o suficiente para detectar vulnerabilidades ou violações, é necessário um nível adicional de especialização dispendioso para remediá-las. Com tantas ferramentas no mercado, as organizações geralmente não têm funcionários com proficiência em uma plataforma ou ferramenta específica. Quer a correção implique fornecedores de segurança adicionais ou atenção de partes interessadas internas com conhecimentos específicos, qualquer atraso terá o custo de contratar o especialista certo ou encontrar a ferramenta adequada.
2) Alinhar todas as partes interessadas para entregas oportunas
No modo de prevenção, uma organização não pode implementar um aplicativo sem que ele seja desenvolvido com segurança. A prioridade de todos se torna um código centrado na segurança. Este é um contraste total com a abordagem “detectar e corrigir”, em que, uma vez que um aplicativo tenha sido implementado, é responsabilidade da área de segurança reunir as partes interessadas necessárias para planejar e executar o processo de remediação. A prevenção permite o envolvimento e o alinhamento de todas as partes interessadas (ou seja, segurança, conformidade, desenvolvimento) dentro de uma organização antes da implementação.
3) Reduzir custos
Vamos imaginar a interrupção envolvida em corrigir algo que já foi implementado: deve-se avaliar o tempo e os recursos necessários para testar, implementar novamente e comunicar a correção a seus clientes. No final do dia, a remediação sempre envolve interrupção e isso simplesmente não é bom para os negócios.
Ao reduzir a interrupção geral imposta às organizações e clientes, uma abordagem de prevenção permite que as empresas otimizem todos os seus recursos. Muitas áreas de segurança tiveram que escolher suas batalhas no status quo atual, configurando limites de segurança para manter os níveis de produção. É mais rápido e mais econômico escrever código seguro para começar.
Em vez de ter um desenvolvedor corrigindo algo após a implementação, é muito mais eficiente para a equipe de DevOps ajustar o código para que o aplicativo passe nas verificações de segurança.
4) Reduzir falsos positivos
Quando a lógica é aplicada à aplicação na preparação, os clientes não são afetados. Isso ocorre porque o bloqueio com excesso de zelo cessou, reduzindo o número de alertas falsos (mais conhecidos como “falsos positivos”) e seus custos relacionados. Bloquear com muita veemência um aplicativo ativo significa que muitos clientes serão afetados por interrupções, até que alguém na segurança crie uma exceção às regras.
Com a lógica, a Inteligência Artificial e o aprendizado de máquina são combinados com as exceções do cliente para fornecer melhores resultados e destacar os alertas de segurança e conformidade que importam.
Não é nenhum segredo que em um ambiente de nuvem mais riscos vêm de erros de configuração, como código incorreto ou configurações de rede. Existem muitas vulnerabilidades devido à falta de sinergia e configurações incorretas subsequentes entre DevOps e segurança.
Neste sentido, é importante que essas equipes mudem e desenvolvam ferramentas e modelos que apliquem os parâmetros de segurança e conformidade necessários no início do desenvolvimento, façam a varredura em todo o ciclo de vida e corrijam quaisquer lacunas automaticamente.
A detecção após o fato é uma primeira etapa importante, mas, agora, é o momento de descobrir o quanto a organização pode entender sobre a segurança do seu código e aproveitar as ferramentas, antes de implementar e mudar o código para o pipeline .
*Claudio Bannwart, country manager da Check Point Brasil.
