Três considerações para criar um programa de segurança eficaz

Este é um artigo convidado de Alex Bovee, CEO e cofundador da ConductorOne, uma empresa de segurança de identidade.

No cenário tecnológico atual, acelerado e em constante evolução, criar um programa de segurança eficaz é essencial para qualquer organização. Tive o privilégio de receber Guy Podjarny, CEO e cofundador da Snyk, no All Aboard, um novo podcast produzido pela ConductorOne.

Durante nossa conversa, falamos sobre como ampliar os controles de segurança em um ambiente que prioriza a nuvem, como medir o sucesso do seu programa de segurança e nossas previsões sobre o impacto das atuais condições macroeconômicas no comportamento de compra de soluções de segurança.

A seguir, reunimos alguns destaques da conversa. Para ouvir o episódio completo, acesse aqui (disponível também no Apple Podcasts e no Spotify).

Ampliar os controles de segurança com shift left

A abordagem “shift left” ganhou popularidade por ser eficiente. Encontrar um problema durante o desenvolvimento é cem vezes mais barato e eficiente do que identificá-lo em auditorias posteriores. Na última década, o ritmo de adoção de software mudou drasticamente, e “a capacidade de acompanhar o software, por si só, realmente ficou cada vez mais para trás”, disse Guy.

A adaptação a essa abordagem não foi simples, mas os ganhos prometidos em eficiência e equipes mais ágeis e produtivas compensavam qualquer dificuldade de curto prazo. No fim das contas, desenvolvedores e lideranças querem criar e inovar em um ritmo mais acelerado que o da concorrência. As equipes de segurança precisam considerar suas responsabilidades sob essa perspectiva. “As melhores equipes de segurança se veem como uma plataforma”, afirma Guy. “Elas têm sucesso quando permitem que os desenvolvedores criem aplicações seguras com mais rapidez.”

Em segurança, o desenvolvimento ágil pode ser comparado a aproximar as proteções e os controles do momento em que as pessoas tomam decisões. “Você ajuda a pessoa a tomar uma decisão segura ou impede que ela tome uma decisão insegura”, explica Guy. A segurança precisa encontrar maneiras criativas de incorporar seu conhecimento e sua experiência ao pipeline de desenvolvimento e capacitar as pessoas a gerar valor para o negócio.

Como medir o sucesso do seu programa de segurança

Há três maneiras práticas de medir o sucesso do seu programa de segurança:

1. Por meio de KPIs (indicadores-chave de desempenho) mensuráveis: quanto tempo levamos para responder a um incidente? Quantos problemas identificados em etapas posteriores já haviam sido detectados antes? Quantas pessoas ou equipes de desenvolvimento participaram e realizaram testes com sucesso, em comparação com aquelas que não testaram? Ao criar um programa de segurança adequado à sua organização, você precisa de diferentes formas de medir e verificar se ele está funcionando.

2. Analise os resultados dos controles de segurança: quantas vulnerabilidades temos? Com que rapidez conseguimos corrigi-las? Avaliar os resultados é útil porque é relativamente fácil usá-los como termômetro da sua postura de segurança. Isso também é importante porque, sem resultados, não há KPIs decorrentes do incidente.

3. Eficácia, o indicador mais difícil de medir, mas o melhor: até que ponto o programa de segurança protege contra invasores? Essa é a métrica mais difícil de avaliar, mas a melhor forma de fazer isso é por meio de validação externa. Quantos relatórios de programas de recompensa por bugs foram recebidos? Quantas equipes red team estão sendo contratadas? Quantos problemas elas encontraram? Nunca será uma avaliação completa — isso seria caro demais —, mas é uma verificação adicional eficaz para os ativos mais sensíveis. O objetivo é reduzir riscos, mas também analisamos como aumentar a produtividade dos desenvolvedores: com que rapidez os problemas são corrigidos?

Priorizar produtividade e eficiência

As equipes de segurança estão se tornando desenvolvedoras por direito próprio. O conceito de “caminho pavimentado”, popularizado pela Netflix, consiste em criar, como equipe de plataforma, um caminho com todos os controles necessários e incentivar as equipes a segui-lo. Os desenvolvedores podem sair desse caminho, mas terão de cumprir requisitos adicionais e assumir mais trabalho para demonstrar, por conta própria, a segurança e a conformidade.

Quando existe um caminho pavimentado, é menos provável que as pessoas optem por outra solução. Nas soluções modernas, uma experiência sem atritos é cada vez mais importante. Na segurança de identidade, por exemplo, muitas violações acontecem devido ao excesso de autorizações. Por quê? Porque é difícil acompanhar, auditar e revogar privilégios em toda a organização. Com isso, privilégios e credenciais acabam ficando à deriva. Cofundei a ConductorOne para resolver esse problema, que presenciei de perto ao trabalhar com produtos de segurança na última década.

As condições macroeconômicas atuais também tornam inevitável o conflito entre a busca por consolidação, eficiência e redução de custos, impulsionada de cima para baixo, e a descentralização, que tende naturalmente a favorecer a eficiência. Guy afirma: “Acho que 2023 é um ano de sobriedade para muitos lugares.”

Demonstrar o valor da redução de riscos e mostrar como uma solução ajuda a aumentar a produtividade serão aspectos ainda mais importantes nas decisões de compra. Soluções práticas, capazes de fazer mais ou integrar mais recursos com menos, terão preferência.

Voltando ao tema da mensuração e à falta de referências consolidadas, Guy observa: “O setor de segurança ainda tem muito espaço para subjetividade, mais do que muitos outros. Às vezes, as pessoas acertam; às vezes, não. Mas agora todos somos obrigados a refletir seriamente sobre isso. E essa é uma tendência saudável.”