A gestão de risco no contexto da segurança aplicacional

Hoje podemos afirmar que o software ganhou o dom da ubiquidade. Nesta sociedade digital em que vivemos, desde o momento em que acordamos até que nos deitamos (e por vezes até durante a noite com pulseiras de monitorização), são dezenas, os pequenos programas com os quais interagimos numa base diária. Sem nos apercebermos, por detrás de cada uma destas aplicações, existem milhares de linhas de código com instruções que os computadores executam, para que nos seja apresentada a informação de que precisamos. Dependendo da sua complexidade estas aplicações podem interagir ou integrar com outras para enriquecer ou agregar mais conteúdo para enriquecer a informação.

No domínio das aplicações corporativas desenvolvidas à medida passa-se exatamente o mesmo, independentemente do modelo em que operam (em cloud ou on-premises), mais uma vez milhares de linhas de código traduzidas em instruções, vão tratar grandes conjuntos de dados com diferentes níveis de criticidade onde podem estar dados pessoais ou dados relativos à saúde financeira da organização.

Estatisticamente o número de vulnerabilidades relacionadas com software continua a aumentar de ano para ano e as empresas têm de ganhar a capacidade de gerir os riscos associados a este desenvolvimento para continuarem a inovar de forma rápida e com produtos mais seguros. – Acontece que na sua maioria, o desenvolvimento das aplicações corporativas, não seguem ainda um padrão com base em princípios de segurança desde a conceção (também conhecido por movimento shift left), aumentando assim o risco da existência de vulnerabilidades no código ou na infraestrutura que suporta as aplicações e respetivos processos de negócio. – A União Europeia está a preparar um novo regulamento semelhante ao RGPD para produtos com elementos digitais, conhecido como Cyber Resilience Act (CRA), que tem como objetivo, o reforço das regras de cibersegurança no desenvolvimento de produtos de hardware e software.

A gestão do Risco no desenvolvimento de software é uma ferramenta essencial para identificar, avaliar e mitigar ameaças desde o início ao fim de um projeto. A sua quantificação (Risco = Probabilidade x Impacto), nem sempre é fácil calcular em projetos desta natureza, dada a falta de histórico para o cálculo de probabilidades, e de recursos especializados que ajudem a definir valores que façam sentido para a probabilidade de ocorrência. Neste sentido utilizar no processo de Gestão do Risco valores tangíveis mais fáceis de obter, ajuda a que este seja mais objetivo e fácil de operacionalizar com as diferentes equipas.

Com base na nossa experiência em projetos realizados por exemplo na área da Banca, a Modelação de Cenários de Ameaças (Threat Modeling) tem-se revelado um processo muito eficaz no Levantamento de Riscos (de acordo com a ISO 27005 o Levantamento de Riscos, compreende a Identificação, Análise e Avaliação do Risco) numa fase inicial do desenvolvimento.

Modelação de cenários de ameaças

Este processo é acima de tudo colaborativo e requer o envolvimento de diferentes participantes como o Product Owner que traz a visão e necessidades do negócio, a equipa de Arquitetura, de Desenvolvimento, e de Segurança da Informação (podendo existir outras de acordo com a complexidade do projeto). De acordo com uma das maiores referências na área da modelação de ameaças (Adam Shostack), este processo tem como objetivo responder a quatro questões:

1. O que é que estamos a desenvolver?
   a) Definição do âmbito
   b) Criação de diagramas de arquitetura
2. O que é que pode correr mal?
   a) Criação dos cenários e identificação de ameaças
   b) Identificação do contexto legal e regulamentar
3. O que vamos fazer a esse respeito?
   a) Avaliação de risco
   b) Mitigação e aplicação de controlos de segurança
4. Realizámos um bom trabalho?
   a) Validação das medidas de segurança aplicadas

A realização deste processo fornece um conjunto de dados relevantes, por exemplo a severidade das vulnerabilidades, o nível de ameaça e o nível de exposição às ameaças identificadas, que podem depois ser utilizados em lugar do valor de probabilidade no cálculo do risco.

Para além deste enquadramento sumário, existem outros benefícios, nomeadamente a atribuição de valores concretos aos cenários de ameaças identificados, que envolvam por exemplo uma violação de dados, ou incumprimento de outros requisitos legais ou regulamentares.

Em conclusão, uma organização ao incorporar a modelação de ameaças no Ciclo de Vida do Desenvolvimento de Software, pode tomar de forma proativa decisões informadas sobre os riscos e a postura de segurança geral das suas aplicações.

Conteúdo co-produzido pela MediaNext e pela Balwurk