Um dia na pele de

A segurança de uma healthtech

Você trabalha em segurança numa healthtech que faz agenda, prontuário e entrega de exames para 40 clínicas. O time de segurança são duas pessoas, e hoje a outra está de férias. Nesta quinta-feira, quatro coisas pedem você ao mesmo tempo, e você decide a ordem.

Cada uma está num canto do escritório: a sala de operação, a sala de reunião, a ilha do produto, a sua mesa. Andar entre elas leva tempo, e esse tempo entra no relógio do seu dia.

Proteger sem parar a empresa que você protege.

Profissões com um dia assim: Analista de SOC · Blue Team Analyst · Security Engineer · Especialista em GRC · +1

Ler o dia inteiro (contém os desfechos)

A segurança de uma healthtech: o dia por escrito

Cada uma está num canto do escritório: a sala de operação, a sala de reunião, a ilha do produto, a sua mesa. Andar entre elas leva tempo, e esse tempo entra no relógio do seu dia.

Sua mesa: Quem estava em dois lugares ao mesmo tempo

Um fornecedor de inteligência de ameaças mandou de madrugada: e-mails e senhas da empresa apareceram num vazamento vendido num fórum. Não diz quais funcionam.

Um jeito de achar quem já foi usado: a mesma conta entrando de dois lugares longe demais em pouco tempo. Ninguém viaja mais rápido do que um avião, uns 900 km/h. O sistema de login mostra os pares de hoje de manhã.

Ache as contas cujo segundo login exigiria viajar a mais de 900 km/h. São essas cinco: bruno.s, diego.r, joao.b, leo.f e hugo.p. O Hugo engana: quase cinco horas parece muito, mas 6.000 km nelas dá uns 1.300 km/h. A Gabi entrou de duas cidades em 25 minutos e mesmo assim cabe: 180 km dá 430 km/h. A Karen fez Manaus a São Paulo num voo da madrugada, e a conta fecha. Cada tentativa errada custa 5 minutos.

O que acontece conforme a hora em que você chega

Antes das 11h: Você achou antes das 11h. As cinco sessões caíram ainda de manhã. Nos registros, nenhuma delas tinha baixado nada além da caixa de entrada.
Entre 11h e 15h: Você achou depois das 11h. Quando as sessões caíram, uma das cinco já tinha exportado a lista de contatos de três clínicas. A conversa com elas fica para amanhã.
Depois das 15h: O vazamento ficou para depois das 15h. O fornecedor mandou uma segunda mensagem às 15h: as senhas estavam sendo testadas em massa naquela hora. O que quer que tenha sido feito depois, foi feito com o teste já correndo.

Sala de operação: Alguém listando pastas às 8h

O painel de monitoramento acendeu às 8h10: o servidor que entrega os exames está listando pastas inteiras, rápido, com o usuário de um fornecedor de impressão que não entra ali há um ano. Pode ser um script esquecido. Pode ser alguém se preparando para criptografar tudo.

Desligar o servidor da rede para a entrega de exames das 40 clínicas, no horário em que os pacientes mais buscam resultado. Observar mais um pouco mostra quem é, e o que quer.

Isolar o servidor agora. Você corta o servidor da rede. A entrega de exames fica fora do ar duas horas e as clínicas lotam o suporte. Na análise, o usuário do fornecedor tinha sido usado de fora; o atacante tinha acabado de chegar e não levou nada que se saiba. Também não deu para saber o que ele queria.
Observar e preparar o corte. Por quarenta minutos você vê o atacante listar, copiar uma ferramenta e testar senhas de outros servidores. Você descobre por onde entrou e fecha a porta. No minuto 41 ele começa a criptografar uma pasta; você corta a rede. Três mil exames de uma clínica precisam vir do backup.

O que acontece conforme a hora em que você chega

Antes das 9h15: Você foi à sala de operação antes das 9h15. O comportamento ainda estava no começo, e o suporte ainda não tinha nenhuma ligação de clínica. Qualquer caminho começou do zero.
Entre 9h15 e 10h30: Você foi à sala de operação depois das 9h15. O painel já tinha disparado três alertas a mais, e o analista do suporte tinha reiniciado o serviço achando que era lentidão, apagando parte dos registros.
Depois das 10h30: A sala de operação ficou para depois das 10h30. O diretor de tecnologia viu os alertas sozinho e mandou o time de infraestrutura olhar o servidor. O que quer que tenha sido decidido depois, foi decidido com outras mãos já mexendo nele.

Sala de reunião: Trocar um número na barra de endereço

A empresa contratada para o teste de invasão entregou o relatório. Uma falha é crítica: no portal novo do paciente, quem troca o número do exame no endereço vê o exame de outra pessoa. O portal estreia amanhã, para o primeiro hospital grande que a empresa fechou; o contrato tem multa por atraso.

O diretor de produto está na sala. Corrigir direito leva duas semanas. Uma regra no firewall bloqueia o padrão que o teste usou, hoje mesmo, mas não fecha a falha.

Segurar a estreia até a correção. Você escreve o parecer recomendando adiar. O diretor de produto lê em silêncio e liga para o comercial. O hospital aceita o adiamento com uma condição: a multa de R$ 60 mil fica de crédito para o próximo contrato.
Estrear com a regra no firewall e corrigir depois. Você escreve a regra e um registro de risco aceito, que o diretor de produto assina. O portal estreia no prazo. A correção entra na fila para daqui a duas semanas, e você passa a olhar os registros do firewall todo dia de manhã.

O que acontece conforme a hora em que você chega

Antes das 12h: Você foi à reunião antes do meio-dia. O comercial ainda não tinha confirmado nada ao hospital. A decisão saiu da sala antes de virar promessa.
Entre 12h e 15h: Você foi à reunião depois do meio-dia. O comercial já tinha mandado ao hospital o e-mail de "tudo pronto para amanhã". Qualquer caminho agora começava respondendo àquele e-mail.
Depois das 15h: A reunião ficou para depois das 15h. O diretor de produto esperou até as 15h e foi para a próxima reunião, deixando o relatório aberto na mesa. O que quer que tenha sido decidido depois, foi decidido por mensagem, sem ninguém na sala.

Ilha do produto: Só até sexta que vem

O Rafael saiu da empresa na sexta passada. Hoje ele é freelancer e está terminando, de casa, a tela de agendamento que estreia no portal. A líder do produto, Tati, pede que você não desligue o acesso dele: "é só até sexta que vem, ele tem tudo configurado".

A regra diz: quem sai perde o acesso no dia. Uma conta de prestador nova, com só o que ele precisa, leva dois dias para aprovar.

Desligar a conta e abrir uma de prestador. Você desliga a conta antiga e abre o pedido da nova, com acesso só ao repositório da tela. A Tati avisa ao time que a entrega atrasa "por causa da segurança". O Rafael volta a trabalhar no sábado, sem acesso a mais nada.
Manter até sexta, com prazo e monitoramento. Você registra uma exceção com data de fim e liga um alerta para tudo que a conta fizer fora do repositório. A tela sai a tempo. A conta do Rafael ainda abre o painel de administração, o e-mail e as pastas do RH, que ele não usa, mas poderia.

O que acontece conforme a hora em que você chega

Antes das 10h: Você foi à ilha do produto antes das 10h. A Tati ainda estava na reunião diária do time. Deu para conversar antes de ela prometer a tela a alguém.
Entre 10h e 13h: Você foi à ilha do produto depois das 10h. A Tati já tinha dito na reunião diária que o Rafael entregava na sexta. Agora mudar o plano era desdizer na frente do time.
Depois das 13h: A ilha do produto ficou para depois das 13h. A Tati mandou um e-mail às 13h com cópia para o diretor, pedindo a exceção por escrito. O que quer que tenha sido decidido depois, foi decidido com o pedido já registrado e o diretor esperando resposta.

Copa: Café, e a segurança vista da copa

Dois do suporte esquentam o almoço e falam baixo, mas não muito.

“…o fornecedor da impressora pediu a senha do servidor ano passado pra instalar um driver. A gente passou por telefone. Nunca trocaram.”

Você não perguntou nada. Saiu sabendo de onde talvez venha o usuário de hoje de manhã, e quinze minutos mais tarde.

O que se ouve de passagem

Atravessar a empresa não é só deslocamento. No corredor as pessoas continuam falando, e o que elas dizem depende da hora e do que você ainda não resolveu. Nada disso custa tempo nem muda o dia.

…o pessoal da infra disse que o servidor de exames tá lento desde cedo. Ninguém sabe por quê.
…recebi um aviso de login de um lugar estranho hoje cedo. Ignorei, deve ser a VPN.
…o comercial já comprou bolo pra estreia do portal amanhã.
…a Tati falou que o Rafael continua no projeto até sexta. De casa.

O que vem depois das escolhas

Se você escolheu “Isolar o servidor agora” e “Segurar a estreia até a correção”: Na mesma quinta, a entrega de exames ficou fora do ar duas horas e o portal novo foi adiado. No fim do dia, o diretor de produto perguntou se a segurança "tinha mais alguma coisa para parar".
Se você escolheu “Observar e preparar o corte” e “Estrear com a regra no firewall e corrigir depois”: O atacante que você observou testou, entre outras coisas, endereços do portal novo. Na sexta, os registros do firewall mostram a regra que você escreveu bloqueando o mesmo padrão do teste de invasão, vindo de fora.
Se você escolheu “Manter até sexta, com prazo e monitoramento” e “Observar e preparar o corte”: Enquanto você observava um atacante entrar pela conta esquecida de um fornecedor, a conta do Rafael, de quem já saiu, continuava aberta por uma exceção sua. O alerta dela não disparou nenhuma vez.
Se você escolheu “Desligar a conta e abrir uma de prestador” e “Segurar a estreia até a correção”: A tela do Rafael atrasou dois dias e o portal duas semanas. Para o time de produto, a semana teve um assunto só, e ele tinha o seu nome.

Como o dia termina

Você foi para o vazamento primeiro.

Havia um servidor com comportamento de ataque, uma falha crítica antes de uma estreia e um acesso que alguém queria manter, e você abriu a lista de logins. Passou 55 min dividindo quilômetro por minuto.

Isso não é bom nem ruim. É informação: você foi atrás do sinal escondido no meio do normal. Detecção é isso: olhar mil coisas comuns para achar a que não podia ter acontecido.

Você foi para o servidor primeiro.

Você começou pela sala de operação, com alguém listando pastas no servidor de exames. Passou 50 min entre cortar logo e entender o que estava acontecendo.

Resposta a incidentes é isso: decidir com metade da informação, sabendo que esperar também é uma decisão, e que as duas custam.

Você foi para o teste de invasão primeiro.

Você começou pela sala de reunião, com uma falha crítica e uma estreia marcada. Passou 40 min entre o contrato da empresa e os exames dos pacientes.

Risco e conformidade são isso: a segurança não decide sozinha o que a empresa aceita, mas escreve com clareza o que ela está aceitando, e quem assina.

Você foi para o acesso do Rafael primeiro.

Você começou pela ilha do produto, com uma líder pedindo uma exceção para alguém de confiança. Passou 35 min entre a regra de desligamento e a entrega do time.

Identidade e acesso é isso: cada permissão é pequena e tem um bom motivo. O problema é a soma delas, e quem lembra de tirar.

As quatro portas da segurança

Segurança da informação não é uma profissão só, são várias, e elas se separam pelo tipo de problema, não pela ferramenta.

Detecção e monitoramento. Achar no meio do normal a coisa que não podia ter acontecido.
Resposta a incidentes. Agir com o ataque em andamento, sabendo que esperar também custa.
Risco e conformidade. Escrever o que a empresa está aceitando, e fazer alguém assinar.
Identidade e acesso. Dar a cada pessoa só o que ela precisa, e lembrar de tirar depois.