Política de segurança: É classificada como uma infraestrutura vital, indispensável para o futuro.

Nos setores bancário e de serviços públicos, os reguladores definem certos sistemas como críticos. Um sistema crítico é aquele cuja falha poderia causar danos intoleráveis ​​aos clientes, aos mercados ou à segurança pública. Por exemplo, uma plataforma de pagamentos em um banco de compensação ou uma rede SCADA em uma distribuidora de energia elétrica possui as mais altas obrigações de governança, incluindo monitoramento contínuo, gerenciamento de mudanças documentado e resiliência demonstrável.

O ambiente de políticas — um conjunto de regras acumuladas em firewalls, controles de nuvem e microsegmentação — determina quais sistemas podem acessar uns aos outros, quais comunicações são bloqueadas e quais exceções permanecem em vigor. Essas regras, em conjunto, constituem a camada de controle de políticas de segurança: a camada de governança que traduz os objetivos de negócios em decisões de acesso em pontos de execução distribuídos.

Uma regra de hash mal configurada durante uma migração para a nuvem pode desconectar um serviço de pagamento de sua plataforma de liquidação; da mesma forma, uma regra temporária que concede amplo acesso de uma sub-rede de desenvolvimento ao ambiente de produção pode permanecer em vigor por meses após a entrada em operação devido à falta de um responsável por removê-la.

As regras de firewall, as políticas de segmentação e as decisões de acesso afetam diretamente os riscos operacionais e, quando o ambiente de políticas falha, os serviços vitais que o governam também falham.

Isso faz do ambiente político uma infraestrutura vital em si mesma.

Elas ainda estão sendo gerenciadas como tarefas de rotina.

Apesar disso, muitas organizações regulamentadas ainda gerenciam seus ambientes de políticas como tarefas puramente operacionais. As regras são adicionadas por meio de solicitações de alteração, e o efeito cumulativo raramente é examinado em relação à intenção original. A responsabilidade se fragmenta à medida que os papéis dos líderes mudam, e a razão para a existência de uma regra específica só pode ser encontrada em uma solicitação de alteração, se é que existe alguma.

Um Diretor de Segurança da Informação (CISO), que jamais permitiria que uma plataforma de pagamentos operasse sem monitoramento contínuo ou dependências documentadas, pode aceitar a ausência de ambos no ambiente de políticas que determina se uma plataforma é acessível. Podemos descrever essa situação como tendo consequências de grande escala em infraestrutura, mesmo com governança de rotina.

No setor bancário, uma falha de política que interrompa a comunicação entre os sistemas de liquidação causaria uma interrupção em serviços essenciais para os negócios. A Autoridade de Conduta Financeira (FCA) acompanharia de perto essas falhas, pois a perda de tal serviço poderia acarretar prejuízos significativos.

Nos setores de saúde e energia, as consequências são diferentes, mas o mecanismo é o mesmo: uma configuração incorreta que permita o acesso de uma rede corporativa aos sistemas clínicos de uma instituição do NHS (Serviço Nacional de Saúde do Reino Unido) ou à tecnologia operacional de uma distribuidora de energia cria vulnerabilidades na prestação de serviços essenciais. Esses não são riscos hipotéticos, mas consequências operacionais reais de tratar a governança de infraestruturas críticas como uma tarefa rotineira. Para uma compreensão mais aprofundada da importância do planejamento proativo, consulte nosso artigo "Antes de Começar: Questões Essenciais de Infraestrutura".

As previsões regulatórias confirmam a mesma tendência.

As expectativas regulatórias no Reino Unido estão aumentando, corroborando a mesma conclusão: as políticas de segurança que regem o acesso a serviços críticos devem ser gerenciadas com um nível de rigor compatível com a infraestrutura. O programa de resiliência operacional da Autoridade de Conduta Financeira (FCA) exige que as empresas regulamentadas identifiquem os serviços críticos de seus negócios e demonstrem, continuamente, que a infraestrutura de suporte permanece dentro dos limites de tolerância de impacto estabelecidos.

A Ofgem (Reguladora do Mercado de Gás e Eletricidade) está avaliando os provedores de serviços essenciais com base na Estrutura de Avaliação Cibernética do Centro Nacional de Segurança Cibernética (NCSC), questionando se os resultados de segurança específicos estão sendo alcançados de forma contínua. O Projeto de Lei de Segurança Cibernética e Resiliência, que deverá ser aprovado ainda este ano, estenderá obrigações semelhantes a centros de dados , provedores de serviços gerenciados e fornecedores críticos.

Esses modelos não são prescritivos nem detalhados; nenhum deles define as regras de firewall que uma organização deve ter ou como configurar suas políticas de varejo. O que eles exigem é comprovação: que o que o ambiente de políticas permite é o que foi pretendido e que a organização possa demonstrar isso de forma consistente, em vez de reconstruir as evidências para cada avaliação.

Por que o sistema atual não consegue atender a esse padrão?

A maioria dos ambientes de políticas nunca foi construída para atender a esse padrão. Na verdade, a maioria dos ambientes de políticas nem sequer foi construída de forma consciente ou intencional. Em vez disso, as políticas tendem a se acumular como um subproduto dos processos de implementação. Cada projeto e migração adiciona novas regras, e muito poucas são removidas.

Com o tempo, a "superfície de política" – todo o conjunto de regras e decisões de acesso em todas as camadas de implementação – torna-se maior do que o grupo de pessoas que a compreende consegue gerir, e o sistema chega a um ponto em que pode ser operado, mas não pode ser explicado.

Em setores regulamentados como o bancário, o energético e o da saúde, isso era sustentável sob as estruturas regulatórias anteriores: avaliações periódicas, auditorias baseadas em controles e estruturas de conformidade que questionavam a existência dos controles, em vez de sua eficácia. Mas isso não é mais suficiente. O novo padrão exige evidências contínuas de que o acesso é intencional.

As conclusões da Autoridade de Conduta Financeira (FCA, na sigla em inglês), após um ano de autoavaliações de resiliência operacional, ilustram como isso se traduz na prática. Nos casos em que as empresas regulamentadas relataram poucas ou nenhuma vulnerabilidade de segurança pendente na infraestrutura que suporta seus serviços críticos de negócios, a FCA frequentemente considerou as evidências insuficientes para determinar se as vulnerabilidades realmente não existiam ou simplesmente não haviam sido descobertas.

Esta lição aplica-se diretamente à governança de políticas de segurança: nenhuma organização pode afirmar com segurança que as vulnerabilidades de acesso estão controladas sem fornecer evidências do que suas políticas permitem, como foram testadas e se as vulnerabilidades foram corrigidas.

Requisitos de governança em nível de infraestrutura

Frequentemente, a resposta é buscar mais transparência e documentação. Mas a documentação só registra um momento específico; ela não pode fornecer a garantia contínua que os órgãos reguladores esperam.

Um CISO em uma empresa regulamentada precisa de mais do que apenas um registro do que o ambiente de políticas permite. Configuração e acesso efetivo não são a mesma coisa. As equipes de segurança precisam entender como regras, caminhos, objetos e camadas de implementação interagem para determinar o que realmente pode se comunicar.

Atender a esse padrão significa conciliar duas coisas: demonstrar que o que o ambiente realmente permite é o que ele foi projetado para permitir e ser capaz de provar isso sem aviso prévio.

Separamos o local onde a intenção da política é definida do local onde ela é aplicada. A intenção é armazenada e mantida centralmente, enquanto a aplicação permanece distribuída entre firewalls, controles de nuvem e microsegmentação em ambientes híbridos, multicloud e multivendor.

Essa intenção é verificada continuamente, em vez de ser conferida apenas em pontos de revisão: as alterações propostas são testadas em relação às políticas antes de serem implementadas, e o acesso efetivo é avaliado continuamente para detectar exposição desnecessária, inconsistências entre as camadas de implementação e desvios da intenção do negócio. O que foi permitido e o que foi alterado é registrado como evidência.

O mesmo responsável pela segurança da informação que jamais aceitaria uma plataforma de pagamentos operando sem monitoramento contínuo, controle de alterações verificado e dependências documentadas, deve aplicar esse padrão ao ambiente de políticas que determina se uma plataforma é acessível ou não.

A Autoridade de Conduta Financeira (FCA), a Estrutura de Avaliação Cibernética do Centro Nacional de Segurança Cibernética (NCSC) e o Projeto de Lei de Segurança Cibernética e Resiliência apontam para a mesma questão fundamental: esta organização consegue demonstrar de forma consistente que a infraestrutura que suporta seus serviços críticos é gerenciada de acordo com os padrões exigidos por esses serviços?

Responder a esta pergunta significa saber (conhecimento real — não suposições, nem reconstruções após análise minuciosa) o que o ambiente político permite em qualquer momento dado e se o que ele permite é o que se pretendia. Essas questões indispensáveis ​​de infraestrutura são um ponto de partida crucial neste contexto.