Início/Entenda
// Glossário de segurança da informação
Se você chegou até aqui e não entendeu metade das palavras dos outros fornecedores, o problema não é seu. Esta página traduz os termos que você vai ouvir em toda conversa sobre segurança — e responde as perguntas que ninguém gosta de fazer em reunião.
// O dicionário
À esquerda, como o mercado costuma falar. À direita, o que aquilo realmente significa para a sua empresa.
Avaliação ofensiva autorizada da superfície de ataque com exploração controlada de vulnerabilidades.
A gente tenta invadir a sua empresa de propósito, com autorização, do jeito que um criminoso tentaria — e depois conta exatamente por onde conseguiu entrar.
Falha em software, configuração ou processo que pode ser explorada por um agente malicioso.
Uma porta que ficou destrancada. Pode ser um erro de programação, uma senha fraca ou uma configuração que veio assim de fábrica e ninguém trocou.
Ausência de verificação de autorização em nível de objeto ou função no lado servidor.
O sistema pergunta quem você é, mas esquece de perguntar se você pode ver aquilo. É como um cofre que confere sua identidade e depois abre todas as gavetas, inclusive as dos outros.
Malware que cifra dados e exige pagamento para restabelecer o acesso, frequentemente com dupla extorsão.
Um sequestro. Trancam os seus arquivos e pedem dinheiro para devolver. Na versão moderna, também ameaçam publicar tudo se você não pagar.
Conjunto de pontos de entrada expostos a agentes não autorizados.
Tudo que sua empresa deixa visível para a internet: site, aplicativo, e-mail, sistema do RH, aquele servidor antigo que ninguém desligou. Cada um é uma porta possível.
Manipulação psicológica para induzir divulgação de credenciais ou execução de ação indevida.
Enganar gente em vez de enganar máquina. O e-mail que parece do banco, a ligação que parece do TI. É como a maioria dos ataques começa.
Verificação de identidade por múltiplos fatores independentes.
Além da senha, pede uma segunda prova — código no celular, digital, chave física. Se roubarem só a senha, não entram.
Cópia de segurança protegida contra alteração ou exclusão durante o período de retenção.
Um backup que nem o administrador consegue apagar. É o que salva no dia do sequestro, porque o criminoso apaga o backup normal antes de trancar tudo.
Plataforma de correlação de eventos com detecção baseada em regras e comportamento.
Um sistema que fica olhando tudo que acontece e avisa quando algo foge do normal. Só funciona se tiver alguém do outro lado lendo o aviso.
Lei Geral de Proteção de Dados Pessoais — Lei nº 13.709/2018.
A lei que diz o que você pode e não pode fazer com dado de pessoa. Vale para cadastro de cliente, ficha de funcionário e até câmera de segurança.
Pessoa indicada para atuar como canal entre controlador, titulares e a autoridade nacional.
A pessoa responsável por proteção de dados na empresa. Quem o cliente procura para pedir os dados dele de volta e quem responde ao governo se algo vazar.
Chief Information Security Officer em regime fracionado ou terceirizado.
Um diretor de segurança alugado. Você tem alguém sênior decidindo o que fazer e respondendo pela decisão, sem pagar o salário de um executivo em tempo integral.
// Como tudo se conecta
Se você juntar os termos acima, dá para entender o ciclo inteiro em quatro frases:
É literalmente isso que a Praetor faz: chegar primeiro, com autorização, e deixar o mapa nas suas mãos.
// Perguntas sem vergonha
Nenhuma dessas é pergunta boba. São as que mais aparecem — e as que mais mudam a decisão.
Duas hipóteses: ou você teve sorte, ou foi atacado e não percebeu. A segunda é mais comum do que parece — o tempo médio entre uma invasão e a descoberta costuma ser de meses. E o ataque de hoje é automatizado: não escolhe empresa, varre a internet inteira procurando porta aberta.
Contratualmente, parte pode ser. Perante a lei e perante o seu cliente, não: quem responde pelo dado é quem coletou. Se vazar, o titular processa você, e a ANPD cobra de você. Depois você discute com o fornecedor — mas o prejuízo já aconteceu.
Não. Antivírus tenta impedir programa malicioso de rodar na máquina. A maior parte dos vazamentos graves não usa vírus nenhum: usa um acesso legítimo de um jeito que ninguém previu. O antivírus não vê, porque tecnicamente nada de errado aconteceu.
Segurança não é um estado que se atinge — é uma rotina. Mas dá para sair da faixa de risco mais grave em semanas: o diagnóstico leva de 5 a 10 dias e a correção do que é crítico costuma levar mais duas a três semanas.
Não. O teste roda com a empresa funcionando normalmente, dentro de uma janela combinada. Correção sensível vai para homologação antes, com plano de retorno definido.
Empresa grande tem time interno de segurança. Empresa pequena tem os mesmos dados valiosos e ninguém olhando — por isso vira alvo preferencial. O ataque automatizado não consulta o seu faturamento antes de tentar.
Ficou alguma dúvida de fora?
Manda a pergunta por e-mail que a gente responde — e, se for boa, ela entra nesta página.
Perguntar →
// Sem pressão
Uma conversa para entender o seu cenário, sem jargão e sem compromisso. Se não for a hora de contratar nada, a gente também fala isso.