Há uma crença perigosa espalhada pelos departamentos de TI do país: a de que, se nada de estranho aconteceu, a empresa está segura. Por Anne Rocha
Nenhum sistema fora do ar, nenhum resgate cobrado, nenhum vazamento na imprensa — logo, tudo em ordem. O problema é que essa tranquilidade pode ser apenas aparência. Em boa parte dos casos, organizações não escaparam de um ataque; elas simplesmente ainda não descobriram que foram invadidas.
Esse fenômeno tem nome no jargão da segurança da informação: dwell time, o tempo em que um invasor permanece dentro da rede sem ser percebido. Relatórios da Mandiant, referência global em resposta a incidentes, mostram que esse período historicamente se estende por semanas, às vezes meses, antes que a intrusão seja identificada. O silêncio, nesse sentido, nem sempre é sinônimo de proteção. Muitas vezes é só o intervalo entre a entrada do invasor e o momento em que a empresa finalmente percebe o estrago.
Parte da explicação está na forma como os ataques modernos são conduzidos. Segundo o modelo descrito por Eric Hutchins, Michael Cloppert e Rohan Amin em artigo de 2011 que se tornou referência no setor — o chamado Cyber Kill Chain —, invasões sofisticadas raramente acontecem de forma abrupta. Elas seguem etapas: acesso inicial, estabelecimento de persistência, movimentação lateral pela rede e, só então, a ação final, seja ela um sequestro de dados ou o roubo de informações sigilosas. Um ataque bem-sucedido pode passar semanas se infiltrando silenciosamente antes de dar as caras.
Por décadas, a lógica da segurança corporativa foi essencialmente perimetral: erguer firewalls e antivírus na borda da rede e confiar que, protegida essa fronteira, o que estava dentro permaneceria seguro. Esse modelo já não dá conta da realidade. Invasores de hoje exploram tanto vulnerabilidades técnicas quanto falhas humanas — phishing direcionado, credenciais roubadas, brechas em aplicações web, fornecedores terceirizados com acesso mal controlado —, e nenhuma dessas portas de entrada costuma disparar um alarme óbvio. A migração para a nuvem, o trabalho remoto e a multiplicação de dispositivos móveis só aprofundaram o problema, borrando os limites do que antes era um perímetro bem definido. Proteger a borda da rede, hoje, é como tentar vigiar uma casa que ganhou portas novas em todas as paredes.
A dificuldade de detecção tem raízes bem identificadas. Faltam, na maioria das organizações, mecanismos de monitoramento contínuo: ferramentas de registro de eventos até existem, mas nem sempre são analisadas em tempo real. A complexidade dos ambientes tecnológicos — sistemas locais, nuvem, aplicações SaaS, dispositivos móveis, tudo coexistindo — cria pontos cegos difíceis de eliminar. E soma-se a isso um problema estrutural do setor: a escassez de profissionais especializados em monitoramento, resposta a incidentes e análise forense, capazes de reconhecer um comportamento anômalo antes que ele vire manchete.
Diante desse cenário, ganhou força entre especialistas o conceito de assume breach, a ideia de que toda organização deve operar partindo do princípio de que já foi, ou ainda será, comprometida. Não se trata de pessimismo, mas de realismo operacional. Na prática, essa mentalidade se traduz em investimentos concretos: centros de operação de segurança monitorando eventos em tempo integral, plataformas de SIEM cruzando registros de diferentes sistemas para identificar padrões suspeitos, e programas de inteligência de ameaças acompanhando indicadores de comprometimento associados a campanhas de ataque conhecidas. Para o NIST, instituto americano de referência em segurança cibernética, a capacidade de detectar e responder rapidamente é hoje tão central quanto a capacidade de prevenir.
No Brasil, esse amadurecimento ainda caminha a passos desiguais. Há mais consciência sobre o tema do que havia cinco anos atrás, mas a implementação prática de capacidades avançadas de monitoramento segue limitada em boa parte das empresas, sobretudo pela combinação de orçamento apertado, equipes de resposta a incidentes inexistentes e ferramentas de segurança que não conversam entre si.
Esse é o cenário que profissionais como Andrey Guedes Oliveira, CEO da ESCS – Esyner Cyber Security, têm alertado em análises voltadas ao mercado brasileiro: a pergunta que toda empresa deveria se fazer não é apenas “fomos atacados?”, mas “quando fomos atacados, e quanto tempo levamos para perceber?”. Segundo ele, é justamente essa mudança de pergunta — de prevenção absoluta para detecção e resposta constantes — que separa organizações que tratam segurança como projeto pontual daquelas que a tratam como capacidade permanente, um princípio que orienta o próprio trabalho da ESCS – Esyner Cyber Security junto a clientes no país.
No fim, a segurança da informação deixou de ser uma questão puramente técnica para se tornar um problema de governança. Pesquisadores como Rossouw e Basie Von Solms já argumentavam, ainda em 2004, que a proteção digital precisa ser tratada como parte da governança corporativa, já que seus impactos afetam diretamente a continuidade dos negócios, não apenas o departamento de TI. Em um ambiente de ameaças cada vez mais persistentes, talvez a pergunta mais desconfortável, e mais necessária, que uma diretoria possa fazer seja simples: sua empresa realmente não foi invadida, ou apenas ainda não descobriu que foi?
Fontes consultadas: Hutchins, E. M.; Cloppert, M. J.; Amin, R. M. — Intelligence-driven computer network defense informed by analysis of adversary campaigns and intrusion kill chains, Leading Issues in Information Warfare & Security Research, 2011; Romanosky, S. — Examining the costs and causes of cyber incidents, Journal of Cybersecurity, Oxford University Press, 2016; Von Solms, R.; Von Solms, B. — From information security to corporate governance, Computers & Security, 2004; NIST — Framework for Improving Critical Infrastructure Cybersecurity; Mandiant — M-Trends Report, diversas edições; e entrevista com Andrey Guedes Oliveira, CEO e CISO da ESCS.
