A regulamentação de cibersegurança muda. A sua arquitetura de segurança não tem de mudar.
Se é um prestador de serviços geridos (MSP) ou de serviços de segurança geridos (MSSP), provavelmente já teve uma conversa deste género com um cliente: «Acabámos de descobrir que temos de cumprir a NIS2, o DORA, a HIPAA, o PCI DSS... O que precisamos de comprar?»
É uma pergunta legítima. Mas, geralmente, não é a primeira pergunta que deve ser feita — e saber responder-lhe é uma oportunidade para criar verdadeiro valor para os seus clientes.
Quem trabalha em cibersegurança ou em tecnologias de informação pode, por vezes, ter a sensação de que há sempre uma nova lei, um novo regulamento, um novo referencial ou um novo requisito de conformidade à espera.
A NIS2. O Regulamento de Ciber-Resiliência. O DORA. Os requisitos específicos de cada setor. A regulamentação regional e nacional. E estes são apenas alguns dos requisitos que os seus clientes poderão ter de compreender, dependendo dos locais onde operam e da atividade que desenvolvem.
Acompanhar todos estes requisitos já é, por si só, difícil. Perceber o que significam, na prática, para a tecnologia que gere em nome dos seus clientes pode ser ainda mais complicado.
Mas há um ponto importante que pode perder-se nesta discussão:
Os requisitos de conformidade podem ser diferentes, mas muitas das práticas de segurança necessárias para os cumprir são bastante semelhantes.
Regulamentação diferente, questões de segurança familiares
Um regulamento pode exigir que uma organização demonstre que dispõe de controlos de acesso adequados. Outro pode dar maior destaque à proteção das redes e dos sistemas de informação. Outro pode exigir que as organizações façam a gestão do risco, detetem e respondam a incidentes ou protejam a sua cadeia de abastecimento.
Analisados individualmente, parecem requisitos diferentes.
No entanto, do ponto de vista das TI ou da cibersegurança, tendem a conduzir ao mesmo conjunto de perguntas:
- Estamos a controlar quem pode aceder aos nossos sistemas?
- Estamos a limitar os sistemas e recursos com os quais os utilizadores e as aplicações podem comunicar?
- Estamos a proteger a nossa rede contra ameaças conhecidas e emergentes?
- Estamos a monitorizar o que acontece?
- Conseguimos identificar atividades suspeitas?
- Temos controlos implementados para reduzir a probabilidade e o impacto de um incidente?
Estas perguntas não são novas. As boas equipas de cibersegurança — e os bons MSP — fazem-nas há anos.
A evolução do panorama regulamentar torna ainda mais importante responder a estas perguntas e demonstrar aos seus clientes que essas questões estão a ser devidamente tratadas.
É aqui que os pontos em comum se tornam úteis
Um dos erros que as organizações podem cometer — e para o qual aconselharia os seus clientes a estarem atentos — é tratar cada regulamento como um projeto de segurança totalmente separado.
Esta abordagem dá origem a uma longa lista de iniciativas de conformidade isoladas, cada uma com os seus próprios controlos, documentação e requisitos tecnológicos. É dispendiosa, difícil de manter e não permite acompanhar o crescimento das necessidades.
Em vez disso, é mais útil identificar as capacidades de segurança comuns a esses requisitos.
Os controlos de segurança da rede, por exemplo, podem contribuir para vários objetivos de segurança em simultâneo. A prevenção de intrusões pode ajudar a detetar e bloquear atividades maliciosas. O controlo de aplicações pode restringir aplicações potencialmente arriscadas. A filtragem Web e de DNS pode reduzir a exposição a destinos maliciosos ou inadequados. O antivírus e a proteção avançada contra software malicioso podem proporcionar camadas adicionais de defesa.
Não se trata de tecnologia «para a NIS2» ou «para o regulamento X».
Trata-se de tecnologia que implementa controlos de segurança para ajudar uma organização a cumprir requisitos de vários regulamentos e referenciais — precisamente o tipo de eficiência que os seus clientes esperam de si.
A firewall pode fazer parte dessa base
Quando se fala de conformidade e de firewalls, é tentador concentrar a atenção nos serviços de segurança disponíveis por subscrição. Esses serviços são valiosos, mas representam apenas parte da solução.
As funcionalidades de rede de base de uma firewall podem ser igualmente importantes.
Uma Firebox, por exemplo, permite utilizar zonas de segurança e VLAN para segmentar redes e controlar a forma como os sistemas comunicam entre si. Em vez de permitir que todos os dispositivos de uma rede comuniquem livremente, pode ajudar os seus clientes a criar separações entre utilizadores, servidores, redes de convidados, dispositivos IoT, sistemas de gestão e outros recursos.
Esta segmentação ajuda a aplicar um princípio fundamental de segurança: nem todos os sistemas precisam de comunicar com todos os outros.
O controlo de acesso é outro exemplo. As políticas da firewall determinam que tráfego é permitido entre redes e serviços, enquanto as proteções integradas, como a prevenção de ataques de força bruta, ajudam a impedir tentativas de acesso não autorizado.
Nada disto exige que um cliente adquira uma subscrição separada para cada objetivo de segurança. São controlos de segurança fundamentais que podem ser integrados na arquitetura da rede desde o primeiro dia.
Existem ainda serviços de segurança adicionais que acrescentam outras camadas de proteção. Consoante o modelo da Firebox e o licenciamento, funcionalidades como Intrusion Prevention Service, Gateway AntiVirus, APT Blocker, Application Control, WebBlocker, DNSWatch, Botnet Detection, Geolocation e Data Loss Prevention proporcionam proteção adicional contra ameaças e técnicas de ataque específicas.
O essencial é perceber que estas capacidades funcionam em conjunto. Uma rede segura resulta de várias camadas de controlos que trabalham em conjunto para reduzir o risco.
É também por isso que, perante um novo regulamento, não começaria por perguntar: «De que produto de segurança preciso para estar em conformidade?»
Começaria por perguntar: «Que controlos de segurança pressupõe este requisito, que riscos se destinam a mitigar e de que capacidades já dispomos?»
Esta mudança de perspetiva torna a adaptação a novos regulamentos consideravelmente mais simples — e é uma conversa que está bem posicionado para liderar. Ativar um serviço de segurança não é o mesmo que utilizá-lo bem. Para isso, é necessário configurá-lo de forma adequada ao perfil de risco e aos requisitos de segurança específicos do cliente.
O DNSWatch, por exemplo, pode ajudar a proteger os utilizadores contra domínios maliciosos, enquanto o WebBlocker permite uma filtragem mais detalhada dos conteúdos Web. As funcionalidades de prevenção de intrusões e de controlo de aplicações proporcionam uma inspeção e um controlo adicionais sobre o tráfego de rede e o comportamento das aplicações.
Estas capacidades constituem os elementos de base de uma estratégia de segurança mais abrangente, que pode adaptar a cada cliente, em vez de revender o mesmo pacote a todos.
A conformidade não se resume a assinalar uma caixa
Há outra distinção que deve deixar clara aos seus clientes: ter uma funcionalidade de segurança ativada não coloca automaticamente uma organização em conformidade.
A conformidade depende da regulamentação aplicável, das circunstâncias da organização, da forma como os controlos são implementados e das evidências disponíveis para demonstrar que funcionam eficazmente.
Uma firewall com todos os serviços de segurança ativados não garante necessariamente um maior grau de conformidade do que outra configurada de forma criteriosa em função dos riscos reais da organização. Na verdade, por vezes pode acontecer o contrário: o excesso de alertas e os erros de configuração podem comprometer os próprios controlos cujo funcionamento eficaz é exigido pela regulamentação.
Os seus clientes precisam de compreender por que razão existe um controlo, que risco procura mitigar, como está configurado e de que forma a sua eficácia é monitorizada. É aqui que o seu papel, enquanto MSP ou MSSP, se torna particularmente valioso.
Transformar a regulamentação numa oportunidade de prestação de serviços
Para os prestadores de serviços, a crescente complexidade do panorama regulamentar representa simultaneamente um desafio e uma oportunidade.
Os clientes podem procurá-lo com a pergunta: «Consegue garantir que estamos em conformidade?»
Geralmente, a conversa mais útil é esta:
«Vamos perceber quais são os vossos requisitos, identificar os riscos e os controlos aplicáveis e determinar de que forma a arquitetura de segurança existente pode dar resposta a essas necessidades.»
Esta abordagem revela frequentemente que o cliente já dispõe de muitas das capacidades necessárias. Poderá precisar de as configurar de outra forma, colmatar lacunas, melhorar a monitorização, documentar os controlos ou estabelecer processos operacionais mais eficazes — serviços que pode estruturar em ofertas comerciais e faturar.
Para si e para as suas equipas técnicas, isto significa que a capacidade de traduzir a regulamentação em controlos técnicos concretos é cada vez mais valiosa. Não precisa necessariamente de memorizar todos os parágrafos de todos os regulamentos. Precisa, sim, de compreender os resultados de segurança que esses requisitos procuram alcançar e de saber relacioná-los com as capacidades já existentes na rede do cliente.
A regulamentação vai continuar a mudar
Não antevejo que o panorama regulamentar se torne mais simples num futuro próximo. Surgirão novas leis. Os regulamentos existentes serão alterados. Diferentes jurisdições introduzirão requisitos distintos. E os seus clientes continuarão a perguntar o que significa tudo isto para eles.
Tudo isto pode parecer difícil de gerir.
Mas a melhor forma de abordar o tema é começar pelos fundamentos da segurança.
Proteger o acesso. Segmentar redes. Controlar aplicações. Prevenir e detetar ameaças. Proteger os utilizadores contra destinos maliciosos. Monitorizar a atividade. Preparar a resposta a incidentes. Gerir o risco. Documentar o que faz e porquê.
Depois, associar essas capacidades aos requisitos aplicáveis a cada cliente.
Os regulamentos específicos podem mudar, mas estas práticas fundamentais de segurança vão continuar a ser necessárias. E, quando uma plataforma como a Firebox reúne várias capacidades num único sistema, torna-se uma base duradoura para implementar e manter esses controlos num contexto de requisitos de conformidade em constante evolução — para cada cliente e perante cada novo regulamento.
O objetivo deve ser construir uma arquitetura de segurança sólida, capaz de se adaptar à evolução da regulamentação, sem ser necessário criar uma arquitetura diferente para cada novo regulamento.