A quarta da segurança numa cooperativa de crédito

Sua mesa: As chaves esquecidas

Às 15h chega a auditoria externa e vai pedir a lista das chaves de acesso à nuvem que foram revogadas. Cada chave é uma senha que um sistema usa para entrar sozinho nos servidores, e uma chave esquecida é uma porta que ninguém vigia.

A política da cooperativa tem duas regras: revoga a chave que tem mais de 365 dias de vida, e revoga a que está há mais de 90 dias sem uso. Basta uma das duas.

Ache as chaves que quebram pelo menos uma das duas regras. São essas cinco. Backup noturno e migração passam de 365 dias, e as duas abrem todos os bancos de dados. A de relatórios e a do estagiário estão paradas há mais de 90 dias. O CRM antigo quebra as duas regras. Enganam: a do SMS tem 365 exatos, a de monitoramento está parada há 90 exatos, e a de auditoria há 89. Cada tentativa errada custa 5 minutos.

O que acontece conforme a hora em que você chega

• Antes das 11h: Você achou antes das 11h. Deu tempo de criar chaves novas para o backup e a migração antes de revogar as velhas. Nada parou, e a auditoria recebeu a lista às 15h.
• Entre 11h e 15h: Você achou depois das 11h. As cinco foram revogadas antes das 15h, mas sem tempo de trocar a do backup com calma. O backup desta noite falhou, e alguém do time vai passar a quinta refazendo.
• Depois das 15h: As chaves ficaram para depois das 15h. A auditoria chegou às 15h e encontrou cinco chaves fora da política, duas delas com acesso a todos os bancos. O achado entrou no relatório que vai para o Banco Central.

Salão de atendimento: O comprovante que não era

Na baia 41 do salão de atendimento, a Juliana olha para a tela travada. Um cooperado mandou por e-mail um "comprovante.pdf" e ela abriu. O antivírus isolou a máquina da rede, mas um programa desconhecido está rodando na memória.

Desligar e reinstalar a máquina leva meia hora e apaga o programa da memória para sempre. Deixar ligada, isolada, permite copiar a memória e descobrir o que ele faz, de onde veio e se já está em outras máquinas. Leva duas horas.

• Desligar e reinstalar a máquina. A máquina é reinstalada e a Juliana volta a atender em 40 minutos. O e-mail do falso cooperado vai para a lista de bloqueio. Se outras 79 baias receberam o mesmo anexo, ninguém sabe o que procurar nelas.
• Copiar a memória e analisar antes. Você copia a memória e abre o programa num ambiente isolado. É um ladrão de senhas, feito para os sistemas de cooperativas, e tenta mandar o que pega para um endereço na Europa. Esse endereço vai para o bloqueio de todas as máquinas. A Juliana passa a manhã na baia de reserva, sem o fone dela.

O que acontece conforme a hora em que você chega

• Antes das 9h30: Você foi ao salão antes das 9h30. A máquina ainda estava como a Juliana tinha deixado, sem ninguém mexer. Qualquer decisão começava com a evidência intacta.
• Entre 9h30 e 12h: Você foi ao salão depois das 9h30. O suporte já tinha tentado reiniciar a máquina duas vezes, por hábito. O que estava na memória pode ter mudado antes de você chegar.
• Depois das 12h: A baia 41 ficou para depois do meio-dia. O suporte, sem resposta, reinstalou a máquina por conta própria para liberar a baia. O que quer que tenha sido decidido depois, foi decidido sem a máquina como ela estava.

Sala do time do aplicativo: O comprovante dos outros

Na sala do time do aplicativo, o líder de desenvolvimento mostra o relatório do teste de invasão: na tela nova de comprovantes do Pix, que vai ao ar amanhã com campanha de TV, quem troca um número no endereço vê o comprovante de outro cooperado, com nome e valor.

A correção certa mexe no jeito como o aplicativo inteiro checa quem é dono de cada dado: duas semanas. Um remendo, que limita as tentativas e alerta quando alguém tenta números em sequência, fica pronto hoje.

• Segurar o lançamento até a correção certa. A tela nova fica para daqui a duas semanas. O marketing reedita o comercial às pressas, sem a cena dos comprovantes. O time do aplicativo aproveita e corrige a checagem de dono em mais três telas antigas que tinham o mesmo problema.
• Lançar amanhã com o remendo e corrigir depois. O remendo sobe hoje à noite e a tela vai ao ar amanhã com a campanha. Por duas semanas, a falha continua existindo, mais difícil de explorar e com um alarme na frente. Se alguém achar um jeito de contornar o alarme, a cooperativa vai saber pelo alarme ou pelo cooperado.

O que acontece conforme a hora em que você chega

• Antes das 10h30: Você foi ao time do aplicativo antes das 10h30. O time ainda não tinha começado nem o remendo nem a correção. A decisão definiu o dia deles inteiro, não metade.
• Entre 10h30 e 15h: Você foi ao time do aplicativo depois das 10h30. O líder já tinha posto metade do time no remendo, por garantia. Qualquer decisão agora reorganizava gente que já estava no meio de outra coisa.
• Depois das 15h: O time do aplicativo ficou para depois das 15h. O marketing confirmou a campanha às 15h sem ouvir a segurança. O que quer que tenha sido decidido depois, foi para mudar uma coisa já combinada com a TV.

Sala da diretoria: Trinta pessoas que ninguém conhece

Na sala da diretoria, o diretor de atendimento mostra no telão o contrato com a empresa que vai reforçar a central na campanha do Pix: 30 atendentes terceirizados, trabalhando de casa, a partir de amanhã. Ele pede uma conexão de rede para cada um, como a dos funcionários.

A política da cooperativa diz que ninguém de fora entra na rede inteira: cada pessoa acessa só o sistema de que precisa, de um computador verificado. Montar isso para 30 pessoas leva uma semana.

• Liberar a conexão completa por uma semana. As 30 conexões saem hoje, com prazo de sete dias e senha com código no celular. Os terceirizados começam amanhã. Por uma semana, 30 computadores pessoais que ninguém da cooperativa viu enxergam a rede inteira, inclusive os servidores do aplicativo.
• Manter a regra e liberar só o sistema de atendimento. Você libera, até amanhã, só o sistema de atendimento pelo navegador, com verificação do computador. O resto vem em uma semana. O diretor aceita e avisa que a fila da campanha vai ser maior, e que vai dizer à diretoria por quê.

O que acontece conforme a hora em que você chega

• Antes das 10h: Você entrou antes das 10h. O diretor ainda não tinha prometido nada à empresa terceirizada. A conversa aconteceu antes do compromisso.
• Entre 10h e 14h: Você entrou depois das 10h. O diretor já tinha dito à terceirizada que o acesso sairia hoje. Você chegou para discutir uma promessa feita.
• Depois das 14h: A diretoria ficou para depois das 14h. O diretor pediu o acesso direto ao suporte, que abriu um chamado esperando a segurança. O que quer que tenha sido decidido depois, foi decidido com 30 pessoas esperando um e-mail.

Copa: Café, e a segurança vista da baia

Duas atendentes estão na copa, com o crachá virado e o fone no pescoço.

“…a segurança manda trocar a senha todo mês e bloqueia o pendrive. Mas o golpe chega pelo e-mail do cliente, e o cliente a gente tem que atender.”

Uma delas conta que recebeu três comprovantes estranhos esta semana e não abriu nenhum. A outra pergunta se é para avisar alguém quando isso acontece. Quinze minutos depois, você volta à mesa sabendo que a resposta devia ser óbvia, e não é.

O que se ouve de passagem

Atravessar a empresa não é só deslocamento. No corredor as pessoas continuam falando, e o que elas dizem depende da hora e do que você ainda não resolveu. Nada disso custa tempo nem muda o dia.

• …a auditoria chega às três. Vão pedir a lista das chaves da nuvem.
• …a tela da Juliana travou depois de um comprovante. O suporte quer reiniciar.
• …o comercial do Pix vai ao ar amanhã. O pessoal do app tá com uma cara.
• …o diretor de atendimento quer acesso pra 30 terceirizados até amanhã.

O que vem depois das escolhas

• Se você escolheu “Desligar e reinstalar a máquina” e “Liberar a conexão completa por uma semana”: Você apagou a máquina da baia 41 sem saber o que rodava nela e abriu a rede para 30 computadores de fora no mesmo dia. Se alguma coisa aparecer na semana que vem, vai ser difícil dizer de onde veio.
• Se você escolheu “Lançar amanhã com o remendo e corrigir depois” e “Liberar a conexão completa por uma semana”: Uma falha conhecida no aplicativo, vigiada por um alarme, e uma rede aberta a 30 estranhos por uma semana. As duas tinham prazo de validade, e os dois prazos correm juntos durante a campanha.
• Se você escolheu “Copiar a memória e analisar antes” e “Segurar o lançamento até a correção certa”: A baia 41 parou a manhã inteira e a tela nova do Pix saiu da campanha. No mesmo dia, o atendimento e o marketing sentiram a segurança no próprio trabalho.
• Se você escolheu “Segurar o lançamento até a correção certa” e “Manter a regra e liberar só o sistema de atendimento”: Você segurou a tela nova do Pix e segurou o acesso dos terceirizados. Na reunião de sexta, a diretoria vai chamar a segurança de departamento do não, e você vai precisar mostrar o que cada não evitou.

Como o dia termina

As quatro portas da segurança

Segurança da informação não é uma profissão só, são várias, e elas se separam pelo tipo de problema, não pela ferramenta.

• Segurança em nuvem. Chaves, permissões e configurações: proteger o que roda nos servidores dos outros.
• Análise de malware. Desmontar o programa do atacante para saber o que ele faz e como pará-lo.
• Segurança de aplicações. Achar e corrigir a falha no código antes que ela vá ao ar.
• Zero trust e identidade. Decidir quem acessa o quê, de onde e com que verificação, sem exceção que dure para sempre.