Com o avanço de arquiteturas distribuídas, ambientes multicloud e a proliferação de dispositivos conectados, a superfície de ataque disponível para agentes maliciosos expandiu-se de forma significativa. Jean Pierre Lessa e Santos Ferreira, CTO com expertise em tecnologia, software e inteligência artificial, entende que segurança da informação deixou de ser uma função de conformidade para se tornar um elemento constitutivo da estratégia tecnológica de qualquer organização que opere em ambientes digitais.
A gestão de risco em segurança não consiste mais em proteger um perímetro definido. A lógica do perímetro pressupunha que tudo dentro da rede corporativa era confiável e tudo fora era suspeito. Ambientes modernos derrubaram essa premissa: aplicações rodam em nuvens públicas, colaboradores acessam sistemas de múltiplos dispositivos e localizações, e integrações com terceiros criam vetores de entrada que não estão sob controle direto da equipe de TI.
Zero trust como paradigma de segurança contemporâneo
O modelo zero trust parte do princípio de que nenhuma entidade, interna ou externa, deve ser considerada confiável por padrão. Cada acesso precisa ser verificado, cada identidade autenticada e cada permissão concedida com base no menor privilégio necessário para executar a tarefa em questão. Implementar esse modelo exige mudanças na arquitetura de rede, nas políticas de gerenciamento de identidade e nos processos de auditoria e monitoramento.
Jean Pierre Lessa e Santos Ferreira aponta que a transição para uma arquitetura zero trust raramente acontece de forma abrupta. A maioria das organizações percorre uma jornada incremental, priorizando os sistemas e dados de maior criticidade e expandindo gradualmente a cobertura do modelo. O importante é que a direção seja clara e que as decisões de infraestrutura tomadas ao longo do caminho estejam alinhadas com os princípios do modelo, mesmo que a implementação completa leve anos.
Segurança em pipelines de desenvolvimento e entrega contínua
Com a aceleração dos ciclos de entrega de software, a segurança precisou ser integrada ao próprio pipeline de desenvolvimento, em vez de ser verificada apenas ao final do processo. O conceito de DevSecOps traduz essa necessidade ao incorporar verificações de segurança automatizadas em cada etapa do pipeline: análise estática de código, varredura de dependências, testes de configuração de infraestrutura e validação de políticas antes da entrega ao ambiente de produção.
Na concepção de Jean Pierre Lessa e Santos Ferreira, a integração de segurança ao pipeline não é apenas uma melhoria técnica, mas uma mudança cultural. Ela exige que os desenvolvedores assumam responsabilidade compartilhada pela segurança do que entregam, o que demanda capacitação específica e uma cultura organizacional que não trate vulnerabilidades como falhas individuais, mas como informações valiosas para o aprimoramento contínuo dos processos.
Resposta a incidentes e resiliência operacional
Mesmo com as melhores práticas de prevenção, incidentes de segurança são uma realidade com a qual toda organização precisa estar preparada para lidar. A capacidade de detectar, conter, erradicar e se recuperar de um incidente com o menor impacto possível depende de planos testados regularmente, de papéis claramente definidos e de ferramentas de detecção e resposta que permitam agir com velocidade.
Jean Pierre Lessa e Santos Ferreira frisa que a qualidade de um plano de resposta a incidentes só pode ser avaliada sob condições que simulem a pressão real de um evento. Simulações periódicas, conhecidas como exercícios de mesa ou red team, expõem lacunas nos processos antes que sejam testadas por adversários reais. Organizações que investem nessa prática constroem resiliência operacional que vai além da tecnologia e se reflete na capacidade das pessoas de agir com eficácia sob pressão.
Privacidade de dados como dimensão inseparável da segurança
O debate sobre segurança da informação incorporou com crescente urgência a dimensão da privacidade de dados. Regulações como a LGPD no Brasil e o GDPR na Europa estabelecem obrigações claras sobre como dados pessoais devem ser coletados, armazenados, processados e descartados, com sanções relevantes para organizações que não cumprem os requisitos. A conformidade regulatória deixou de ser opcional e passou a fazer parte do escopo técnico e jurídico de qualquer projeto digital.
Sob o entendimento de Jean Pierre Lessa e Santos Ferreira, privacidade e segurança são disciplinas complementares que se reforçam mutuamente. Sistemas projetados com privacidade desde a concepção, o chamado privacy by design, tendem a ter superfícies de ataque menores, porque coletam apenas os dados estritamente necessários e os mantêm pelo menor tempo possível. Essa abordagem reduz tanto o risco regulatório quanto a atratividade do sistema como alvo para agentes maliciosos.
Autor: Diego Rodríguez Velázquez
