A maioria das empresas tem firewalls, MFA, backups e planos de resposta a incidentes. Mas o que existe no papel e o que funciona sob pressão são realidades diferentes, alerta Scott Alldridge, CEO da IP Services e autor de VisibleOps.
Visibilidade de sistemas, dados, identidades e agentes de IA é o primeiro pilar
MFA não substitui estratégia de identidade: autorize estreito e revogue rápido
Leia também
Cloudflare libera IA para migração de Zero Trust: veja como funciona
Segmentação e zero trust reduzem o raio de impacto de uma invasão
Priorize vulnerabilidades exploráveis, não o número total
Backup nunca restaurado e plano nunca exercitado são promessas vazias
A suposição que enfraquece a defesa
A maioria das empresas tem firewalls, proteção de endpoint, autenticação multifator, backups, scanners de vulnerabilidade, treinamento de conscientização e planos de resposta a incidentes. No papel, isso parece suficiente.
Mas, segundo Scott Alldridge, CEO da IP Services e autor do best-seller VisibleOps, o que existe documentado e o que funciona sob pressão são realidades distintas. Depois de anos em cibersegurança e operações de TI, ele recomenda trocar as perguntas convencionais por um conjunto mais incisivo.
Quando foi a última vez que você restaurou um sistema crítico a partir de um backup? O ransomware consegue se mover de um laptop comprometido para um servidor de produção? Existem contas privilegiadas com mais acesso do que precisam? A equipe saberia exatamente o que fazer se um ataque começasse às 2h de um domingo?
É nesse ponto que está a verdadeira ponta da lança da cibersegurança. Não na ferramenta mais nova, em outro dashboard ou em um certificado de conformidade. Mas no pequeno conjunto de capacidades entre um comprometimento inicial e um incidente grave de negócio.
Conhecer o que existe e tratar identidade como perímetro
Você não protege o que não enxerga. Organizações precisam de visibilidade sobre sistemas, aplicações, recursos de nuvem, dados, usuários, contas privilegiadas, contas de serviço e, cada vez mais, agentes de IA.
Alldridge relata avaliações em que a maior surpresa foi descobrir dados confidenciais ou caminhos de acesso que a liderança nem sabia que existiam. Em um caso, uma quantidade significativa de dados confidenciais estava em locais fora do perfil de risco primário da organização. Isso mudou imediatamente a conversa sobre segurança.
A autenticação multifator, sozinha, não é uma estratégia de identidade. Funcionários, contratados, administradores, contas de serviço, aplicações e identidades de máquina acessam sistemas sensíveis todos os dias.
O princípio operacional é simples: autentique com força, autorize com critério, monitore continuamente e revogue rapidamente. Contas dormentes, permissões herdadas e direitos administrativos excessivos transformam uma identidade comprometida em acesso amplo.
Visibilidade de sistemas, dados e agentes de IA
Identidade como perímetro de segurança
Autorização estreita e revogação rápida
Suponha que alguém vai entrar
Durante décadas, a cibersegurança focou em manter invasores fora. A prevenção continua essencial, mas a pergunta melhor hoje é: se um atacante entrar, até onde ele consegue ir?
É por isso que zero trust, segmentação e microssegmentação importam. O valor real está em reduzir o raio de impacto. Comprometer um laptop não deveria abrir caminho para o negócio inteiro.
Alldridge já viu ambientes onde todos acreditavam que a segmentação existia porque firewalls, VLANs e políticas pareciam corretos. Ao testar os caminhos reais de comunicação, descobriu sistemas conversando de formas que ninguém pretendia. A documentação parecia segura; o ambiente contava outra história.
Corrigir o que o atacante usa e detectar comportamento
A gestão de vulnerabilidades frequentemente vira jogo de números. Um executivo ouve que existem quatro mil vulnerabilidades. Esse número isolado diz muito pouco.
A pergunta melhor é: quais vulnerabilidades criam caminhos realistas para sistemas críticos e dados sensíveis? A priorização precisa considerar exposição, explorabilidade, impacto no negócio e relações entre sistemas.
Nesse ponto, a disciplina tradicional de TI importa. Gestão de mudanças ruim, desvio de configuração e sistemas não gerenciados corroem a cibersegurança silenciosamente. Ferramentas avançadas não compensam indefinidamente práticas operacionais fracas.
Invasores usam cada vez mais ferramentas legítimas e credenciais válidas. Em vez de perguntar apenas se um malware foi detectado, pergunte se o comportamento de um usuário mudou, se uma carga está se comunicando com destino incomum, se grandes volumes de dados estão se movendo ou se um agente de IA está operando fora do escopo.
IA pode amplificar operações disciplinadas, mas não substituí-las. Um tolo com ferramenta de IA continua tolo. Boa cibersegurança pede contexto, julgamento e pessoas que entendem como é o normal.
Provar recuperação e testar humanos
Backups dão sensação de segurança aos executivos. Recuperação bem-sucedida deveria dar. Não é a mesma coisa. Um backup nunca restaurado é uma estratégia de recuperação não comprovada.
Alldridge já viu organizações com dashboards mostrando jobs de backup com sucesso toda noite, mas ninguém sabia dizer quando um sistema crítico tinha sido totalmente restaurado e testado pela última vez. O objetivo não é provar que os dados foram copiados. É provar que a organização consegue operar de novo.
Teste backups protegidos ou imutáveis, sequência de recuperação, credenciais, dependências e objetivos de tempo de recuperação. No conselho, faça uma pergunta: quando provamos que conseguimos restaurar os sistemas que geram receita, entregam serviços ou operam esta organização?
Muitas empresas fazem simulações de phishing, mas poucas simulam a crise real. O que acontece quando o ransomware é descoberto? Quem tem autoridade para isolar sistemas? Quem aciona o jurídico? Quem fala com clientes? Quem liga para a seguradora? E se o CEO ou o CIO estiver indisponível?
Exercícios de mesa expõem essas lacunas antes dos atacantes. Funcionários treinados e apoiados viram primeira linha de defesa.
Governança como prova, não checklist
Conselhos e executivos não deveriam gerenciar cibersegurança admirando dashboards. As perguntas certas são: o que sabemos? O que testamos? O que falhou? O que mudou? O que estamos fazendo a respeito?
É o princípio confiar, mas verificar sempre. Conformidade importa, mas é o piso, não a linha de chegada. Uma organização em conformidade ainda pode ser violada. Tecnologia excelente ainda pode falhar operacionalmente. Um plano de resposta bem escrito ainda pode colapsar se ninguém o exercitou.
As organizações mais fortes não têm necessariamente mais produtos de segurança. Elas sabem o que importa, limitam o movimento do atacante, reconhecem comportamento anormal rapidamente, recuperam com confiabilidade e provam continuamente que suas defesas funcionam.
| Capacidade | Pergunta-chave | Falha comum |
|---|---|---|
| Visibilidade | O que temos e quem alcança o quê? | Dados sensíveis fora do perfil de risco |
| Identidade | Autenticamos forte e revogamos rápido? | Contas dormentes e privilégios herdados |
| Segmentação | Até onde um invasor consegue ir? | Políticas corretas no papel, tráfego livre na prática |
| Vulnerabilidades | Quais caminhos são exploráveis? | Foco no número total, não no impacto real |
| Recuperação | Provamos que voltamos a operar? | Backups nunca restaurados nem testados |
Arraste para o lado para ver toda a tabela.
Essa é a verdadeira ponta da lança na visão de Alldridge. Cibersegurança não se constrói sobre esperança, suposições ou dashboards. Monitore, valide, teste, melhore e teste de novo.
Leia também:
Zero Trust Para Agentes De Ia Quando O Acesso Valido Não Basta
Migração De Sistemas Legados Com Ia Como Reduzir Anos De Trabalho Para Semanas
Ia Já E Usada Para Criar Ataques Zero Day Inéditos Alerta Google
Fonte: Forbes Technology Council
