Saber exatamente onde estão os riscos de segurança da sua empresa é o primeiro passo para protegê-la. O Raio-X de Segurança da Informação da ConexTI é um serviço especializado que mede, mensura e diagnostica os aspectos de segurança da informação e privacidade de dados de empresas de qualquer porte e segmento.
Neste artigo, você vai entender o que é o Raio-X, em quais metodologias ele se baseia, o que é analisado no seu ambiente e quais documentos a sua empresa recebe ao final do trabalho.
Assista: o Raio-X explicado em 7 minutos
No vídeo, Jackson Laskoski, diretor técnico da ConexTI, apresenta o serviço passo a passo, da coleta de informações à entrega da documentação.
O que é o Raio-X de Segurança da Informação?
O Raio-X é um trabalho de diagnóstico conduzido por um time multidisciplinar de especialistas da ConexTI. Ele tem três objetivos:
- Levantar os principais grupos de recursos ligados à tecnologia da informação da empresa, computacionais ou não.
- Diagnosticar, de forma técnica e holística, o nível de saúde do ambiente em cibersegurança e privacidade de dados, com base em pentests, testes e análises manuais.
- Documentar, revisando ou produzindo do zero as políticas de segurança da informação e o plano de resposta a incidentes. Esse trabalho é feito a quatro mãos: duas dos especialistas da ConexTI e duas do próprio cliente.
Em que metodologia o Raio-X se baseia?
Nada no Raio-X foi inventado do zero. A metodologia foi construída sobre frameworks globais e consagrados de segurança da informação e sobre a regulação brasileira:
- Frameworks de segurança: NIST, ISO 27001, ISO 27002, CIS Controls, COSO e OWASP ASVS (para aplicações web).
- Marcos regulatórios do Brasil: Lei Geral de Proteção de Dados (LGPD) e Marco Civil da Internet.
- Governança e gestão de serviços de TI: ITIL e COBIT.
Assim, cada recomendação do Raio-X está ancorada em boas práticas reconhecidas internacionalmente.
Como o Raio-X funciona na prática
O trabalho é dividido em três fases: assessment, diagnóstico e documentação.
Fase 1: assessment do ambiente
Na primeira fase, a ConexTI examina com lupa toda a infraestrutura de TI e os processos que a cercam.
Infraestrutura de TI
- Servidores on-premises e em cloud.
- Endpoints: notebooks, PCs, smartphones, tablets, TVs inteligentes e outros gadgets.
- Ativos de rede: central telefônica, NAS, storage, roteadores, switches gerenciáveis e demais equipamentos.
- Topologia lógica: como a empresa se conecta internamente, com filiais e com a nuvem.
- Backup: política de backup e continuidade de negócio.
- Serviços de internet: DNS, sites, portais e e-mail.
- Recursos de cibersegurança: proteção da rede local, de endpoints e de servidores.
- Recursos humanos de TI: as pessoas ligadas à tecnologia da informação.
Pentests black box e gray box
Além de testes automatizados com ferramentas consagradas, a equipe faz exploração manual em duas modalidades:
- Black box: simula o comportamento de um hacker na internet.
- Gray box: simula um colaborador mal-intencionado ou com o equipamento infectado por uma praga virtual.
Os ataques são feitos de forma programada, sem derrubar serviços nem comprometer a infraestrutura, para medir as vulnerabilidades e os riscos reais do ambiente.
Análise de dark web
A ConexTI busca credenciais vazadas e mede a reputação dos domínios da empresa na dark web, verificando, por exemplo, se há dados da empresa sendo vendidos no mercado negro.
Documentação, fornecedores, treinamentos e monitoramento
- Documentação existente: políticas de segurança, plano de resposta a incidentes e termos de conduta, quando a empresa já os possui.
- Fornecedores e contratos: ERP, APIs integradas aos sistemas, fornecedores de alarme e CFTV, entre outros. O objetivo é entender o nível de criticidade e de envolvimento de cada terceiro no ambiente.
- Treinamentos: verificação dos treinamentos de segurança da informação e privacidade de dados já realizados, para apontar lacunas e sugerir melhorias de curto prazo.
- Serviços monitorados: quais métricas e alertas existem, e quais são as ações e responsabilidades definidas.
Fase 2: diagnóstico e entregáveis
Com o assessment concluído, a ConexTI faz o diagnóstico holístico do ambiente e entrega três documentos:
- Relatório de Divergências em InfoSec: um relatório denso que compila todos os achados, ou seja, os riscos e as oportunidades de melhoria em segurança e privacidade de dados.
- Matriz de risco com mapa de calor: todos os riscos encontrados, categorizados para que a empresa saiba o que atacar primeiro, em ordem de criticidade e de impacto no ambiente.
- Relatórios de pentest: documentos técnicos que detalham o que foi encontrado nos testes black box e gray box, a severidade de cada achado, o impacto para o negócio e como corrigir.
Fase 3: políticas e plano de resposta a incidentes
O trabalho termina na documentação de segurança, desenvolvida do zero ou revisada a partir do que a empresa já tem:
- Políticas de Segurança da Informação (PSI): as dez principais políticas de acordo com a ISO 27001 e a ISO 27002.
- Termos de aceite e termos de conduta de RH.
- Modelo de plano de resposta a incidentes: inclui sugestões para a criação de uma central de denúncia, modelo de tratamento de incidentes, modelo de comunicação com autoridades reguladoras e registro de aprendizado.
- Estratégias de privacidade e proteção para os principais ativos tecnológicos: servidores, estruturas serverless (como containers), infraestruturas em cloud, endpoints e plano de continuidade de negócio (BCP).
Todas as entregas são integradas e seguem um cronograma acordado com o cliente na reunião de kick-off do projeto.
Perguntas frequentes sobre o Raio-X de Segurança da Informação
1. Para que tipo de empresa o Raio-X é indicado?
Para empresas de qualquer porte e segmento. Toda empresa de pequeno, médio ou grande porte tem uma infraestrutura de TI, e é ela que o Raio-X analisa.
2. Os pentests podem derrubar algum sistema da minha empresa?
Não. Os testes são programados e executados sem derrubar serviços nem comprometer a infraestrutura.
3. Minha empresa já tem uma política de segurança. Ainda vale a pena fazer o Raio-X?
Sim. Se a empresa já tem documentação, a ConexTI a avalia no assessment e a revisa na fase de documentação, em vez de produzir tudo do zero.
4. O Raio-X ajuda na adequação à LGPD?
A metodologia do Raio-X considera a Lei Geral de Proteção de Dados e o Marco Civil da Internet, e o diagnóstico cobre a privacidade de dados ao lado da segurança da informação.
5. Quanto tempo leva o Raio-X?
O cronograma é definido em conjunto com cada cliente na reunião de kick-off do projeto.
Quer fazer o Raio-X na sua empresa?
Fale com o time de especialistas da ConexTI e descubra o nível de maturidade em segurança da informação do seu ambiente.
