Cultura, métricas e mentalidade: sustentando a segurança da informação no longo prazo

Depois de governança, risco e controles, um programa de segurança se sustenta com ferramentas que conversam entre si, uma cultura de segurança compartilhada, métricas rigorosas e a mentalidade do atacante. Juntos, esses pilares transformam a segurança de um esforço pontual em uma capacidade de longo prazo.

Ferramentas que conversam valem mais que as "melhores"

Organizações são bombardeadas por ofertas de produtos que prometem resolver todos os problemas — e, quanto maior o orçamento, maior o assédio. A lição prática é preferir poucas soluções, ainda que medianas, que se consiga operar por completo, e um conjunto mínimo de ferramentas que conversem entre si. Em segurança, integrar é mais importante do que ter as ferramentas mais bem posicionadas do mercado, porque segurança hoje é correlação de eventos: as soluções precisam trocar dados entre si, e muito rápido.

Os fornecedores garantem integração com tudo, mas, na produção, essa integração costuma exigir um processo longo, que pode levar um ano e nunca ficar perfeito. Por isso vale olhar o portfólio de forma sistêmica, buscando soluções já pré-integradas — muitas vezes de um mesmo fabricante. Não à toa, grandes empresas vêm adquirindo companhias menores para vender um portfólio único, de ponta a ponta, da proteção do código do desenvolvedor à proteção da aplicação em produção.

Cultura: a responsabilidade é de todos

A cultura de segurança é um dos maiores desafios. A equipe de segurança pensa em segurança o tempo todo, mas não é ela que implementa a maioria dos controles: quem desenvolve, quem cuida de redes e quem configura a nuvem é que precisa aplicá-los. Quando essas áreas não têm cultura de segurança, entregam de forma insegura — priorizando a velocidade de entrega — e depois é preciso detectar e remendar. Há uma máxima conhecida: a cultura devora qualquer estratégia no café da manhã, inclusive a tecnologia e os esforços de segurança.

Com uma cultura de segurança instalada, a responsabilidade passa a ser compartilhada, e não apenas da área de segurança ou da TI. E ela não se limita à TI: alcança o usuário final, o servidor que, ao abrir um e-mail, clica em um phishing por falta dessa cultura. Muda-se esse cenário com treinamento, ações de conscientização e, sobretudo, simulações — uma das formas mais eficazes de convencer as pessoas, porque elas percebem, na prática, as consequências das falhas.

Métricas: rigor porque o atacante só precisa de 1%

Um programa de segurança precisa de métricas: definir aonde se quer chegar e medir o progresso. Se uma ação é atualizar sistemas operacionais para que fiquem dentro do suporte de correções, é preciso saber quantos estão fora hoje e qual a meta em seis meses, para então avaliar com honestidade o resultado. E a avaliação não pode ser leniente. Em um plano de entregas comum, concluir 80% e empurrar 20% para o próximo ciclo costuma ser aceitável; em segurança, entregar 80% significa deixar 20% de exposição — e o atacante precisa de apenas 1%.

Por isso o nível de cobrança precisa ser mais rigoroso, entendendo os porquês de uma meta não atingida. Se a entrega de um sistema foi priorizada em detrimento da segurança, isso gera um risco que deve ser comunicado à alta gestão — sem ignorar, maquiar ou "passar o pano". Deve ficar claro o que não foi feito e o quanto faltou.

Ciclo de vida e mentalidade do atacante

O Cybersecurity Framework do NIST ajuda a enquadrar os controles em um ciclo de vida, em vez de tratá-los soltos. A segurança passa a ser vista como uma sequência de funções — identificar, proteger, detectar, responder e recuperar —, com a governança permeando todas elas. Olhar as fases, e não apenas os controles, mostra onde agir primeiro: se o ambiente não é resiliente e não se consegue recompô-lo, é preciso investir em proteger e identificar rápido para evitar o incidente.

O último pilar é a mentalidade do atacante. Quem não conhece o mínimo sobre ataque tende a se tornar um "burocrata da segurança", que apenas segue checklist. Sem saber quais vulnerabilidades são exploráveis, não se sabe o quanto se está exposto; e, sem simular ataques à própria infraestrutura, não há garantia de que as proteções funcionam. É comum um fornecedor entregar um relatório afirmando que todas as regras foram implementadas e, em um teste de penetração, descobrir-se que foi possível invadir sem que nenhum alerta fosse gerado. Exercitar essa mentalidade, com um Red Team ou treinamento, é essencial para validar os controles.

Segurança é uma maratona, não uma corrida de 100 metros

A visão de proteção total caiu: a única certeza é que, em algum momento, haverá um ataque bem-sucedido, e por isso a resiliência toma o lugar dela. O perímetro também mudou — com nuvem e teletrabalho, a segurança de identidade passou a ser o "último perímetro", sem que a proteção de perímetro deixe de importar. E o risco é o que norteia todo o planejamento. A mensagem final é que segurança nunca é um projeto: é um exercício de longo prazo, uma maratona, que exige conter a ansiedade, admitir as fraquezas e manter, acima de tudo, persistência e foco — sem trocar de framework a cada ciclo.

Principais pontos

• Ferramentas que se integram valem mais que as "melhores": segurança é correlação de eventos.
• A cultura de segurança torna a responsabilidade compartilhada e alcança o usuário final.
• Métricas exigem rigor: 80% entregue é 20% de exposição, e o atacante precisa de 1%.
• O NIST CSF enquadra os controles num ciclo: identificar, proteger, detectar, responder e recuperar.
• Sem mentalidade do atacante não há boa defesa; resiliência e foco de longo prazo sustentam a segurança.

Quer construir um programa de segurança da informação que traga proteção real, e não apenas papel? Conheça nossa formação em segurança da informação no setor público e capacite a sua equipe para focar no que protege de verdade.