A cada dia, os ambientes corporativos enfrentam desafios crescentes, especialmente aqueles relacionados à proteção de dados, informações, recursos computacionais e infraestruturas de telecomunicações.
Diante desse cenário, as equipes de segurança da informação devem adaptar-se rapidamente às exigências do mundo dos negócios e estar prontas para enfrentar um ambiente cada vez mais hostil. Profissionais de segurança da informação e cibernética precisam estar atualizados com as últimas tendências tecnológicas para projetar, dimensionar e implementar estratégias e mecanismos eficientes e eficazes de segurança. No entanto, proteger a tecnologia da informação em qualquer ambiente corporativo não é uma tarefa simples, pois envolve processos, tecnologias e pessoas.
Assegurar a segurança da informação em um ambiente corporativo significa proteger os ativos de TI contra a perda de confidencialidade, integridade, disponibilidade e autenticidade. Logo, a segurança da informação não é uma única tecnologia isolada, mas sim um conjunto de ferramentas, estratégias e políticas destinadas a proteger a empresa de vários problemas, como ataques virtuais, vulnerabilidades na área de TI, proteção de dados e informações e prevenção de acessos não autorizados.
Uma das estratégias mais eficientes e eficazes para proteger os ativos de TI em um ambiente corporativo é a Defesa em Profundidade (DiD). Essa abordagem consiste na aplicação de medidas defensivas redundantes em camadas, visando implementar políticas, controles, mecanismos e ferramentas tecnológicas redundantes dispostas em camadas. Esse método de segurança em camadas aumenta a proteção da infraestrutura de TI como um todo e aborda muitos vetores de ataque diferentes. Se um mecanismo de segurança falhar, outro será acionado imediatamente para impedir um ataque.
A Defesa em Profundidade é frequentemente comparada à abordagem de um castelo medieval, que possui várias camadas de defesa. Antes de invadir um castelo, é preciso enfrentar mecanismos de defesa como o fosso, as muralhas, a ponte levadiça, as torres de vigilância e os soldados arqueiros, entre outros.
O mundo digital transformou a maneira como vivemos, trabalhamos e nos divertimos. No entanto, esse mundo está constantemente exposto a ataques, e é necessário garantir a segurança adequada para impedir que a infraestrutura de TI seja comprometida.
Infelizmente, não há um único método capaz de proteger com sucesso contra todos os tipos de ameaças. É nesse contexto que a defesa em profundidade desempenha um papel crucial.
A defesa em profundidade, originária da Agência de Segurança Nacional (NSA), foi concebida como uma abordagem abrangente para a segurança da informação e a segurança cibernética (HARRIS, 2004). Inspirada em uma estratégia militar homônima, a defesa em profundidade na segurança da informação envolve a implementação de sistemas paralelos de contramedidas físicas, técnicas e administrativas que trabalham em conjunto (STALLINGS; BROWN, 2017).
A principal característica da defesa em profundidade é que um ataque em potencial deve ser interrompido por vários métodos independentes (KIM; SOLOMON, 2014). Isso implica que as soluções de segurança devem abordar vulnerabilidades de segurança ao longo do ciclo de vida do sistema, e não em um único momento (SÊMOLA, 2014).
Devido à crescente sofisticação dos ataques cibernéticos, as empresas não podem mais confiar em um único produto de segurança para protegê-las (MACHADO, 2014). Os profissionais de segurança precisam aplicar a defesa em profundidade a todos os ativos de TI, desde laptops de funcionários que precisam de proteção contra ataques intermediários, até a prevenção de sequestro de dados e informações (FREIRE, 2004).
Não existe uma única camada de segurança capaz de proteger contra todas as ameaças cibernéticas (LYRA, 2008). Os criminosos virtuais estão se tornando cada vez mais sofisticados em seus ataques, e as organizações precisam responder aprimorando suas defesas (PEIXOTO, 2006). Nesse contexto, as organizações precisam implementar várias camadas de segurança, cada uma com seu conjunto específico de ferramentas de segurança para tratar vulnerabilidades e ameaças específicas àquela camada (LASTRE; ALBAGLI, 1999).
A estratégia de defesa em profundidade pode ser ilustrada pelo exemplo de um castelo medieval, no qual um invasor enfrenta diversos mecanismos de defesa distribuídos em camadas (STALLINGS, 2008). Cada camada de proteção é responsável por realizar uma proteção específica, dificultando e impedindo o acesso do invasor aos ativos protegidos no interior do castelo (FONTES, 2008). O aumento do nível de dificuldade em cada camada de proteção faz com que o invasor tenha uma maior dificuldade em superá-los ou mesmo desista de invadir o ambiente protegido (ABNT NBR ISO/IEC 27002:2013).
Estratégias de Defesa em Profundidade englobam três componentes principais:
Esses controles físicos, técnicos e administrativos compõem uma estratégia básica de defesa em profundidade. Além disso, muitos profissionais e equipes de segurança utilizam ferramentas que monitoram continuamente a infraestrutura de TI quanto a possíveis falhas em suas defesas.
A defesa em profundidade é composta por camadas de proteção, e cada camada possui controles, mecanismos e ferramentas tecnológicas de segurança projetados para proteger os aspectos físicos, técnicos e administrativos de uma infraestrutura de TI.