Parceria Editorial
O conceito de Security by Design prioriza a segurança dos usuários como um requisito comercial, em vez de tratá-la meramente como um recurso técnico. Na prática, a aplicação da metodologia no desenvolvimento de softwares pode diminuir drasticamente o número de falhas exploráveis antes de disponibilizar os produtos para uso geral.
O alvo principal da metodologia são as empresas que criam softwares corporativos, incluindo serviços locais, em nuvem e ofertas de software como serviço (SaaS). As empresas que fabricam produtos físicos, como dispositivos IoT, também são encorajadas a adotar um comprometimento com princípios de Security by Design.
Dados da empresa australiana Secure Code Warrior mostram que melhores práticas de segurança cibernética podem reduzir em mais de 50% as vulnerabilidades em produtos de software. A estimativa está baseada no acompanhamento de 600 clientes corporativos, durante nove anos.
Os especialistas citam a Cibersecurity and Infrastructure Security Agency (Cisa), agência oficial dos Estados Unidos na área de segurança cibernética, como referência de aplicação do conceito.
Desde 2023, a entidade lidera uma iniciativa voluntária para evangelizar as empresas a adotar o Security by Design como metodologia. As práticas indicadas pela Cisa, por exemplo, já seriam adotadas por 4% dos desenvolvedores de software em todo o mundo (informação de outubro de 2024).
Veja o que você vai encontrar nessa matéria. Clique nos links para ir diretamente ao tópico de seu interesse.
- Importância de integrar segurança no desenvolvimento de software
- Entenda o conceito de Security by Design
- Benefícios do Security by Design
- Como implantar o Security by Design
- 1. Planejamento
- 2. Desenvolvimento e teste
- 3. Distribuição interna
- 4. Implantação e testes
- 5. Implementação controlada
- 5. Feedback no planejamento
- Security by design precisa estar em conformidade com LGPD
- Design de segurança vai além da IoT
- E quanto aos testes de penetração?
- Security by Design integrado ao DevOps
- Melhoria da reputação corporativa
Importância de integrar segurança no desenvolvimento de software
Garantir a proteção dos dados desde o design não é uma tarefa simples. E as estatísticas explicam porque a avaliação de riscos cibernéticos é um tema que precisa ser considerado sempre.
Em 2020, o EY Global Information Security Survey, pesquisa realizada com 1,3 mil líderes de segurança cibernética, mostrava que 65% das empresas só consideram a segurança depois que um incidente acontece. Dois anos depois, considerando todos os processos de transformação digital que ocorreram durante a pandemia, muitas organizações ainda apontam a falta de segurança como um entrave ao crescimento.
E mais: a EY apontou que a preocupação avança entre as gerações mais jovens e que a IA é considerada um tema bastante relevante. Segundo o levantamento sobre risco humano em segurança cibernética (2024) realizado pela consultoria, 53% dos colaboradores das gerações Z e Y estariam preocupados que suas corporações fossem alvo de ataque cibernético. Para 85% deles, a IA tornou as ameaças mais sofisticadas.
Para efeito de comparação, no final de junho de 2024 a Fortinet divulgou o Relatório de Lacunas de Habilidades em Segurança Cibernética de 2022. O documento, que avaliou opiniões de mais de 1,8 mil tomadores de decisão de TI e Cibersegurança de diversos segmentos, em 29 países – incluindo Brasil –, destaca que as organizações estão cada vez mais atribuindo violações à lacuna de habilidades cibernéticas. As violações continuam a ter repercussões significativas para as empresas, e os líderes executivos são frequentemente penalizados quando elas acontecem.
O mesmo documento aponta que a maioria (87%) das organizações afirma ter sofrido uma ou mais violações de segurança em 2023, com mais da metade (53%) relatando mais de US$ 1 milhão em receitas perdidas, multas e outras despesas, alta em relação a 48% em 2022 e 38% em 2021
Diante desse risco, que pode comprometer todos os resultados de investimento da empresa, como considerar o fator segurança desde o início do projeto? É aí que entra o Security by Design. Nos próximos tópicos você vai entender o porquê.
Entenda o conceito de Security by Design
A segurança, tanto do hardware quanto do software, deve ser prioridade em todo projeto de uma empresa. Mas, ao invés de projetá-la somente quando uma solução estiver pronta, a ideia do Security by Design é assumir os desafios de segurança ainda nos estágios iniciais de projeto.
Na prática, o conceito envolve o desenvolvimento de um hardware ou software, a ponto de torná-lo um sistema livre de vulnerabilidades, trabalhando os requisitos desde as primeiras etapas do projeto. Resumidamente, as iniciativas envolveriam:
- realização de testes contínuos de segurança da solução;
- adoção de medidas mais seguras de autenticação (limitar quem pode mexer no projeto);
- adoção das melhores práticas de programação para evitar vulnerabilidades.
Assim, quando uma empresa adota essa abordagem, consegue minimizar as falhas de segurança que podem comprometer a sua solução e, consequentemente, evita perdas financeiras e de reputação.
Vale destacar que esse conceito pode ser chamado por vários nomes, como “design de segurança”, “garantido por design”ou “construir em segurança”. Porém, todos remetem à mesma abordagem: projetar um produto pensando, desde o início, na sua conformidade com as melhores práticas de segurança.
Benefícios do Security by Design
Os ganhos na utilização da metodologia podem ser medidos de várias formas, segundo o especialista Suraj Gyawali, cofundador da Simplified Solutions. A lista inclui:
- defesa proativa: a criação de medidas de segurança desde o início permite que as organizações previnam ameaças potenciais antes que elas possam causar danos;
- economia de custos: abordar os riscos de segurança no início do processo de desenvolvimento ajuda a evitar as repercussões, muitas vezes custosas, de violações de segurança no futuro;
- maior confiança: os membros estão mais propensos a confiar em organizações que demonstram um forte comprometimento em proteger seus dados por meio de software seguro;
- impacto de violação reduzido: mesmo que ocorra um incidente de segurança, os sistemas projetados com a metodologia estão mais bem equipados para limitar os danos e se recuperar mais rapidamente;
- melhoria contínua: o Security by Design incentiva o monitoramento e os testes contínuos, ajudando as organizações a melhorar consistentemente as defesas de seus sistemas;
- conformidade regulatória: implementar a segurança desde o início simplifica o atendimento aos requisitos regulatórios.
Como implantar o Security by Design
Como referência internacional no tema, a agência americana Cisa criou um manual para indicar os passos de implementação do Security by Design na prática. A lista inclui cinco passos.
1. Planejamento
Antes de escrever qualquer código, um plano claro deve ser estabelecido para definir metas e construir requisitos, entender as necessidades do cliente, escopo de ameaças potenciais e especificar critérios de sucesso. A fase de planejamento define a base para todo o processo de implantação, ajudando a garantir que as equipes estejam cientes do escopo, riscos potenciais e custos, antes de passar para o desenvolvimento
2. Desenvolvimento e teste
Esta fase envolve codificação e teste contínuo. O teste, nesta fase, normalmente inclui testes unitários, de integração e automatizados (incluindo estáticos e dinâmicos), para detectar problemas antecipadamente. O código deve ser testado em um ambiente que espelhe de perto os ambientes típicos do cliente para ajudar a garantir precisão e confiabilidade. As organizações devem considerar dedicar recursos para tentar ativamente fazer com que o processo de implantação falhe em circunstâncias controladas para evitar uma falha no campo.
3. Distribuição interna
Quando apropriado, com base no tipo de software e nas necessidades corporativas internas, as equipes internas devem ser as primeiras a usar novas versões de software. Esta fase permite que as organizações detectem problemas antes que o software chegue aos usuários externos. Ao testar o produto em cenários do mundo real, os usuários internos fornecem feedback valioso que ajuda a melhorar a estabilidade e o desempenho do produto.
4. Implantação e testes
A implantação para os clientes deve ser concluída de forma controlada. As opções de implantação podem incluir implantações em pequena escala para um número limitado de clientes ou sistemas, permitindo que as equipes monitorem o desempenho e resolvam problemas antes de uma implementação mais ampla.
5. Implementação controlada
Após verificar que as implantações em pequena escala foram bem-sucedidas, a equipe de implantação pode lançar a nova versão para mais usuários. À medida que a confiança na nova versão aumenta, a implantação pode se expandir gradualmente para mais dispositivos ou sistemas. Essa implementação controlada evita falhas repentinas e generalizadas.
5. Feedback no planejamento
O feedback contínuo é crítico durante todo o processo, mas particularmente após o lançamento. Insights de clientes, equipes de desenvolvimento e qualidade, logs do sistema, exemplos de comportamento inesperado ou anormal do sistema e métricas de desempenho devem retornar diretamente para a fase de planejamento do próximo ciclo de desenvolvimento. Esse feedback permitirá melhoria contínua e uma resposta mais rápida a problemas
Security by design precisa estar em conformidade com LGPD
Para colocar em prática o conceito de Security by Design, é imperativo que as organizações criem estruturas que possam garantir a segurança das informações.
Um vazamento de dados representa não apenas a perda de informações estratégicas para o negócio, mas também o risco de autuação, conforme as penalidades previstas na Lei Geral de Proteção de Dados Pessoais (LGPD), além de comprometer a imagem da empresa perante seus clientes, fornecedores e toda a comunidade.
Design de segurança vai além da IoT
É bem comum que se associe essa abordagem à Internet das Coisas (IoT). Como alguns dispositivos conectados têm o custo baixo, pode não haver muitas camadas de segurança quando eles estão coletando dados.
No entanto, estamos em um momento em que muitas empresas apostam também em Inteligência Artificial (IA) e Machine Learning (ML) para alavancar seus negócios. São tecnologias emergentes utilizadas de duas formas: com e sem supervisão de um agente humano.
O problema é que muitos líderes não se atentam à integridade dos dados que alimentam esses sistemas. Isso pode abrir uma brecha para cibercriminosos manipularem os algoritmos, corrompendo os resultados.
Imagine uma solução de IA utilizada para detectar câncer. Em caso de vulnerabilidade, cibercriminosos podem adulterar o algoritmo para que ele ignore sinais da doença. Por isso, uma abordagem por design pode evitar essa manipulação dos dados, já que a TI pode implantar protocolos de gestão de dados, identidade e acesso na base do sistema de IA utilizado.
E quanto aos testes de penetração?
Os pentests (testes de penetração) são ataques simulados e autorizados em um sistema de computador. Esse tipo de ação ocorre para avaliar a segurança dos sistemas de uma empresa e descobrir se há vulnerabilidades.
Embora seja um ataque ético, que pode ser feito de forma manual, automática ou combinada, ele é realizado quando o sistema de uma empresa já está no ar. Em outras palavras, ao realizá-lo, as empresas podem descobrir que há muitas vulnerabilidades que precisam de atenção.
Porém, quando uma solução já está disponível e é preciso gerar atualizações para consertar as vulnerabilidades encontradas, há uma grande chance de que inviabilizar eventuais brechas de segurança possa criar outras.
Assim, pentests devem ser vistos como um complemento da Security by Design e estão entre as melhores práticas de cibersegurança. Talvez um jeito mais fácil seja deixar a equipe de TI responsável pelas práticas contínuas de segurança, enquanto empresas especializadas em testes de penetração façam essa avaliação periodicamente.
Security by Design integrado ao DevOps
As práticas de DevOps são uma tendência nas empresas e o objetivo é um só: aprimorar o desenvolvimento de software e a eficiência de entrega. Simplificadamente, estamos falando da integração entre os desenvolvedores de software (Dev) e os operadores ou administradores de sistema (Ops). Ou seja, a meta é melhorar a comunicação dos dois papéis dentro de um projeto e defender a automação e monitoramento em todas as fases da construção de um software. O Software by Design vem para aperfeiçoar ainda mais esse modelo e quando isso acontece temos a sigla DevSecOps. Essa abordagem garante que a segurança seja incorporada ao longo do ciclo de vida de desenvolvimento de software (SDLC), tornando-a um componente fundamental em vez de uma consideração secundária. Ao priorizar a proteção dos dados desde o design e conformidade com leis de proteção de dados, as organizações podem proteger melhor seus aplicativos e reduzir a probabilidade de violações.
Melhoria da reputação corporativa
O cenário atual pede atenção redobrada com a segurança dos dispositivos e soluções de uma empresa. O Brasil é um exemplo disso: no final de outubro de 2024, o relatório Panorama de Ameaças para a América Latina indicava que o país era o vice-campeão mundial em ataques cibernéticos. Em 12 meses, teriam sido mais de 700 milhões de ataques, o que daria uma média de 1.379 por minuto.
Os ataques do tipo phishing, focados em roubar informações, teriam sido 90% desse volume. Além de numerosas, as ameaças também custam alto. Na reportagem da CNN que apontou os dados citados, há também a informação sobre os rombos financeiros: o custo médio de uma violação de dados no Brasil é de R$ 6,75 milhões.
Fora do Brasil, casos clássicos da Equifax, em 2017, e da Target e Yahoo, em 2014, deixaram lições de como ataques cibernéticos podem comprometer seriamente a reputação das corporações. No caso da Equifax uma vulnerabilidade em aplicativo da web expôs dados pessoais de 147 milhões de pessoas.
Na Target, a invasão aconteceu pelo acesso à rede da empresa por meio de um prestador de serviço de ar-condicionado. Já o Yahoo sofreu várias violações devido à criptografia fraca e práticas de segurança inadequadas, comprometendo bilhões de contas de usuários.
