Cibersegurança que vira rotina, não projeto

Não é preciso ter sofrido incidente para precisar. Alguns sinais são bastante objetivos e aparecem bem antes do problema — e quase sempre o primeiro deles é não conseguir responder de cabeça quem tem acesso a quê.

Também vale quando a segurança virou requisito comercial: cada vez mais empresas grandes pedem laudo de segurança dos fornecedores antes de assinar contrato, e chegar nessa conversa sem nada documentado costuma custar o negócio.

Começamos por um levantamento do que existe: superfície exposta, quem tem acesso a quê, como os dados entram e saem. Esse mapa quase sempre revela pelo menos um acesso ativo que já deveria ter sido removido.

Em seguida priorizamos por risco de negócio — não por severidade técnica isolada. Uma falha média no sistema que processa pagamento é mais urgente que uma crítica num ambiente interno de cinco pessoas. O que sai disso é um plano com ordem, responsável e prazo.

Hardening de nuvem e servidores, gestão de identidade com acesso por pessoa e revogação imediata na saída, varredura contínua de vulnerabilidade nas dependências e nas imagens de container, e monitoramento com alerta que chega em alguém antes de chegar no cliente.

A varredura roda dentro do pipeline, não como relatório mensal que alguém lê quando sobra tempo: vulnerabilidade crítica bloqueia o deploy. É a diferença entre saber que existe um problema e não conseguir publicá-lo em produção.

A LGPD não exige ferramenta específica: exige medida técnica adequada ao risco (art. 46) e capacidade de demonstrar o que foi feito, caso haja incidente. Ter varredura periódica documentada, plano de resposta escrito e histórico de correção executada é a forma mais direta de sustentar isso.

Entregamos também o plano de resposta a incidente em uma página — quem decide, quem comunica, qual o texto base e em que ordem acionar. Documento de cinquenta páginas que ninguém leu não ajuda às três da manhã, quando a decisão precisa sair em minutos.