Guia Técnico
CISA Secure by Design: Segurança desde o Projeto.
Como a iniciativa global liderada pela CISA propõe mudar a responsabilidade da segurança dos ombros do cliente final para os fabricantes de software corporativo.
A tese central: Historicamente, a indústria de tecnologia transferiu o risco cibernético para os compradores de software, exigindo configurações complexas e aplicação infinita de correções (patches). O modelo "Secure by Design" exige que os produtos sajam de fábrica seguros e que a diretoria dos fabricantes assuma essa responsabilidade como um dever fiduciário de qualidade.
Organizações de todos os portes gastam milhões de dólares anualmente gerenciando incidentes causados por falhas de design de softwares corporativos de terceiros. A filosofia da CISA (Cybersecurity and Infrastructure Security Agency) e de seus parceiros internacionais visa redesenhar esse cenário por meio de três pilares de engenharia e governança.
Os Três Princípios Fundamentais do Secure by Design
1. Assumir a Responsabilidade pelo Resultado de Segurança do Cliente
Os fabricantes não devem se eximir de responsabilidade alegando configurações incorretas por parte dos usuários. A segurança deve vir configurada de fábrica por padrão (Secure by Default). Isso significa fornecer:
- Autenticação multifatorial (MFA) obrigatória ou pronta para habilitar sem custos adicionais.
- Eliminação completa de senhas padrões estáticas para todos os dispositivos e consoles de administração.
- Logs de auditoria e segurança ativados por padrão e acessíveis a qualquer cliente, sem cobrança de "taxas de proteção" ou planos premium para acesso a telemetria básica de intrusão.
- Integração nativa com Single Sign-On (SSO) sem cobrança de taxas adicionais pelo protocolo de segurança.
2. Abraçar a Transparência Radical e a Responsabilidade
Fabricantes devem agir de forma ética e aberta sobre suas práticas de codificação, vulnerabilidades encontradas e incidentes sofridos. Isso compreende:
- Publicar claras políticas de divulgação de vulnerabilidades (VDP - Vulnerability Disclosure Policy) que apoiem pesquisadores de segurança terceiros.
- Manter registros de CVEs (Common Vulnerabilities and Exposures) corretos, documentando a verdadeira causa raiz em vez de descrições genéricas.
- Publicar informações analíticas e estatísticas sobre melhorias contínuas no ciclo de vida de desenvolvimento seguro do produto (SDLC).
3. Liderar com Foco Executivo (Lead from the Top)
A segurança de software não é um problema exclusivo do departamento de TI ou de engenharia, mas sim uma prioridade corporativa ligada à qualidade básica do produto. O framework exige que as decisões de investimento e as metas de segurança corporativa sejam reportadas e revisadas diretamente pelo Conselho de Administração e pela C-Suite dos fabricantes.
Secure by Design vs. Secure by Default
Embora pareçam sinônimos, os conceitos atacam duas frentes diferentes no ciclo do software:
| Conceito | Foco de Ação | Exemplo Prático |
|---|---|---|
| Secure by Design | Processo de engenharia e modelagem de ameaças (Evitar classes inteiras de bugs no código) | Uso de linguagens de programação seguras em relação à memória (Rust, Go, Java) para evitar buffer overflows. |
| Secure by Default | Interface e configurações nativas out-of-the-box (Uso imediato sem fricção ou ajustes) | MFA já exigido e ativado no primeiro login; nenhuma porta de rede desnecessária exposta na instalação inicial. |
O Compromisso: Secure by Design Pledge
Lançado pela CISA em 2024, o Pledge é uma carta pública e voluntária para fabricantes de software se comprometerem com metas de progresso mensuráveis em 7 áreas específicas dentro de 1 ano:
- Adoção de MFA: Elevar o uso ativo de MFA em contas de privilégios elevados.
- Redução de Credenciais Padrões: Extinguir senhas universais de fábrica.
- Redução de Classes de Vulnerabilidade: Substituir trechos de código por construções seguras (ex: mitigar SQL Injection ou falhas de memória).
- Atualizações Seguras: Facilitar a instalação automatizada e confiável de patches de segurança.
- Políticas de Divulgação de Vulnerabilidades (VDP): Oferecer portais seguros e transparentes de reporte para pesquisadores.
- Transparência em CVEs: Preencher campos de causa raiz nas notas de versão (CWEs - Common Weakness Enumeration).
Impacto da Iniciativa na Governança LATAM
Mesmo sendo liderada por agências dos EUA e Europa, a filosofia do Secure by Design afeta diretamente empresas brasileiras e latino-americanas em termos de governança, conformidade e risco corporativo:
- Mudança no Sourcing de TI: Organizações estão inserindo cláusulas do Secure by Design e exigências de conformidade com o CISA Pledge em seus contratos de compras de tecnologia e RFPs, reduzindo o risco de terceiros (Third-Party Risk).
- Conformidade e Responsabilidade Civil: Conforme o mercado internacional caminha para punir judicialmente fabricantes que vendem softwares inseguros de forma negligente, os conselhos locais tendem a exigir salvaguardas contratuais semelhantes, alinhando a responsabilidade de perdas de dados à integridade do produto comprado.
- Diretrizes de Auditoria e GRC: Frameworks locais e matrizes de risco começam a incorporar as diretrizes para auditar se os softwares que gerenciam informações críticas de clientes atendem aos pré-requisitos mínimos de Default Security da CISA.
Checklist de Avaliação de Fornecedores para o Board
Para conselheiros de empresas que realizam aquisições tecnológicas críticas, esta tabela serve como filtro de tomada de decisão de risco de fornecedores:
- O fornecedor cobra taxas extras para integração de Single Sign-On (SSO)? Forçar o uso de logins isolados por motivos comerciais é uma falha contra a segurança por padrão.
- Qual a causa raiz técnica de seus CVEs recentes? Se a empresa repete os mesmos tipos de falhas de injeção de código ou estouro de buffer, a engenharia de desenvolvimento seguro de software está defasada.
- O fornecedor assinou o CISA Secure by Design Pledge? A assinatura voluntária demonstra alinhamento estratégico com os padrões de transparência internacionais recomendados.