As relações sociais, comerciais e profissionais são cada vez mais mediadas pela tecnologia. Nesse contexto, impulsionado pela adoção aos regimes de trabalho híbridos, a segurança da informação se torna um cuidado ainda mais crucial. Para lidar melhor com esse cenário desafiador, nasce o conceito de security by design.
A filosofia de engenharia de software security by design visa trazer para dentro do processo de desenvolvimento as melhores práticas de segurança. O objetivo é minimizar riscos que podem ser altamente prejudiciais, tanto para os negócios quanto para o usuário final.
Entenda a seguir como funciona essa ideia na prática e suas aplicações.
O que é security by design?
Security by design é um conjunto de recomendações para incorporar ao processo de desenvolvimento de software a preocupação com segurança.
Essas recomendações são aplicadas desde o princípio de um projeto. Dessa forma, a segurança caminha ao lado da funcionalidade, em vez de ser um pensamento secundário, muitas vezes implementada como um “puxadinho”.
No centro da abordagem está a ideia de que agir de forma proativa para evitar o perigo e buscar formas de minimizar impactos em caso de incidentes de segurança é mais eficiente e barato do que lidar com os riscos apenas quando eles se manifestarem.
Exemplo na prática
Essa é uma abordagem central marcante no CX.1, ecossistema de soluções criado pela Neoway e pela B3 que une serviços, dados e aplicações para oferecer a empresas a possibilidade de resolver todos os seus problemas de negócio em um só lugar, com um único contrato. Tudo com segurança e governança como premissas básicas de sua operação.
Os pilares do security by design
A atuação preventiva pode parecer nebulosa diante da dificuldade de identificação prévia de possíveis ameaças.
O Projeto Aberto de Segurança em Aplicações Web (OWASP, na sigla em inglês), uma fundação sem fins lucrativos que lidera esforços pelo desenvolvimento seguro, documentou uma série de orientações e boas práticas.
Conheça os pilares e princípios fundamentais listados pela organização.
Pilares
O OWASP recomenda que sejam levados em consideração desde o início três pilares para a segurança da informação:
- Confidencialidade: dar acesso a dados somente aos usuários com permissão;
- Integridade: garantir que os dados não sejam adulterados ou modificados de qualquer forma por um usuário não autorizado;
- Disponibilidade: certificar-se de que os sistemas e os dados estejam acessíveis aos usuários com permissão sempre que eles precisarem.
Princípios
A fundação também divulgou dez princípios publicados em seu Guia de Desenvolvimento.
Minimizar superfície de ataque
O princípio visa limitar os recursos a que os usuários têm acesso para minimizar o impacto de vulnerabilidades em potencial.
Estabelecer padrões seguros
Um usuário não deve ser forçado a fazer ajustes para obter o máximo de proteção. Assim, as configurações padrões do sistema já devem oferecer o nível mais alto de segurança.
Princípio do menor privilégio
Este conceito determina que um usuário deve ter acesso apenas ao mínimo de recursos necessários para executar suas tarefas.
Princípio da defesa em profundidade
A estratégia de segurança prevê o uso de produtos e práticas diferentes e complementares para o controle, com múltiplas camadas de proteção para dificultar o trabalho de alguém mal-intencionado.
Falhar de forma segura
Nenhum software é perfeito, e erros acontecem. No entanto, é responsabilidade dos desenvolvedores garantir que essas falhas não se transformem em ameaça à segurança do sistema. Nenhum bug pode dar acesso não autorizado a um usuário ou mostrar a ele informações sensíveis.
Não confie em serviços
Muitas aplicações se utilizam de serviços desenvolvidos por terceiros para diferentes funcionalidades. Apesar de conveniente, a prática pode criar vulnerabilidades. Então é necessário checar a validade dos dados e restringir suas permissões.
Separação de funções
O conceito determina que uma tarefa seja dividida de forma que não possa ser completada por somente uma pessoa. Assim, um indivíduo não pode agir de forma maliciosa sem que sua ação passe despercebida.
Um exemplo é um site de e-commerce, no qual um comprador não pode ter o privilégio de administrador para que não altere preços dos itens e possa recebê-los gratuitamente.
Evitar a segurança por obscurantismo
Se você precisa ocultar algum recurso para que ele se mantenha seguro, ele não está seguro. Os controles de segurança precisam ser robustos o suficiente para proteger a aplicação sem a necessidade de esconder o código-fonte ou funcionalidades.
Segurança simples
A utilização de soluções complexas e refinadas de segurança pode parecer atraente, mas quanto mais mecanismos, maior a chance de erro.
Corrija erros do jeito certo
Ao identificar um problema de segurança, os desenvolvedores devem fazer uma inspeção cuidadosa da ameaça para garantir uma solução adequada. Isso envolve, por exemplo, considerar que outros sistemas aparentemente não-relacionados podem apresentar a mesma vulnerabilidade.
Conclusão
Segurança não pode ser mais um pensamento secundário. Nos dias atuais, em que pessoas e empresas lidam diariamente com tentativas de ataques virtuais, ela deve ser uma prioridade para qualquer iniciativa.
O ideal de security by design oferece uma visão clara de como agir para colocar boas práticas de segurança como preocupação máxima desde o princípio.
Conheça tudo sobre o ecossistema CX.1 e o que ele pode fazer pelo seu negócio, com eficiência, praticidade e segurança.
