Edition 18

Tomo isto como uma questão pessoal, porque usei esse vocabulário. Escrevi sobre enxames em julho, em agosto e de novo no mês passado, e a palavra transportava uma narrativa que levava toda a gente a olhar para a máquina em vez do perímetro à sua volta. Os factos não mudam. O enquadramento muda. Um agente com acesso à internet que não deveria ter tido, um registo de pacotes que ninguém monitorizou, credenciais sem data de expiração: cada um destes pontos foi configurado por uma pessoa. Abandono a palavra.

A parte útil é a arquitetura. Jacob Krell, da Suzu Labs, coloca-o bem: os controlos tradicionais são atómicos, inspecionam um único pedido ou uma única permissão, enquanto um agente encadeia várias falhas individualmente toleráveis num caminho funcional. Por isso, construa de forma a que a intenção não tenha relevância. Isolamento robusto, rede com negação por defeito, listas de acesso imutáveis, credenciais com âmbito restrito, uma verificação independente em cada chamada de ferramenta e um interruptor de emergência a correr fora do controlo do agente. Um agente não precisa de intenção maliciosa. Precisa de acesso suficiente e de uma decisão errada.

Existe um humano neste circuito e esse humano não é um controlo de segurança. É um avaliador de qualidade sem mandato para escalar nada, o que significa que o material mais grave passa perante uma pessoa a quem foi dito que a sua função é julgar se os píxeis estão corretos. Toda a gente assume o contrário. Tem a mesma forma que o ponto anterior: o controlo existe, funciona exatamente como foi concebido e nunca esteve orientado para aquilo que se pensava.

Dois pontos para a sua organização. A questão de proteção de dados é óbvia assim que a vê: as pessoas cujos rostos aparecem frequentemente não são o utilizador, não foram informadas de nada, e desfocá-los seria trivial. Pode optar por não participar no treino, mas não em que um estranho os veja. E o ponto prático: quando os colaboradores colocam um documento ou uma fotografia numa ferramenta de IA de consumo, a questão já não é apenas se treina um modelo. É se um colaborador externo num país que nunca avaliou o irá ler.

A verificação era real e foi executada. Validava que uma mensagem estava bem formada e nunca perguntava de onde vinha a mensagem, que é o mesmo padrão de falha sobre o qual escrevi na semana passada a propósito de um processo de assinatura de pagamentos e de um token MFA. E pondere o resto: validação RSA feita à mão, dentro do componente cujo único propósito é comunicar com tokens de segurança por hardware, em banca corporativa. Protegemos a chave em hardware e depois expusemo-la através de uma extensão de browser.

Duas notas práticas. As extensões de browser continuam a ser o ponto cego em quase todos os registos de ativos, e este é o pior cenário possível, porque a extensão é o próprio mecanismo que impõe a autenticação forte. Ao abrigo do DORA, o SConnect é um componente crítico de terceiros integrado na sua cadeia de autenticação, e não consta do registo de ninguém. Verifique quais as extensões de assinatura ou de token que a sua equipa financeira utiliza e em que versão.

Tudo do lado da conformidade tem uma data. A violação, a sanção, os prazos da injunção, a decisão de recurso que está por vir. O lado do subscritor não tem nenhuma. Após uma violação de palavra-passe, muda-se a palavra-passe e a exposição colapsa em minutos. Aqui, o ficheiro contém nomes, datas e locais de nascimento, moradas e IBANs. Um nome não muda. Um IBAN pode tecnicamente ser alterado, mediante pedido ao banco, mas depois é necessário atualizar todos os débitos diretos, pelo que quase ninguém o faz. A meia-vida desse ficheiro mede-se em anos. Esse é o horizonte temporal a apresentar ao conselho de administração, não a coima.

E repare em qual das falhas voltou a emergir. O regulador sancionou a Free Mobile por conservar registos de ex-subscritores que não conseguia justificar, e os advogados que leram a decisão encontraram perto de três milhões de contratos rescindidos há mais de dez anos ainda presentes na base de dados. A cobertura mediática arquivou isto como uma nota de rodapé administrativa ao lado do tema principal, a segurança. É o tema de segurança. Dados apagados não podem ser exfiltrados, revendidos nem usados para tornar uma fatura falsa credível. Escrevi a análise completa, link acima.

Os fundamentos estão corretos. Escrevi sobre eles ao longo do ano e voltarei a fazê-lo. Mas olhe para o que esta edição acabou de mostrar e a questão mudou. Não é "tem autenticação multifator". No mês passado estava ativada e não era aplicada. Na semana passada foi satisfeita sem alguma vez ter sido executada. Ter um controlo é agora a metade fácil. Saber que ainda funciona quando alguém o testa é a metade para a qual ninguém orça.

Eis o que eu faria com a atenção que tem este mês. Em vez de um cartaz, teste um controlo. Coloque um honeytoken numa partilha de ficheiros e veja se um alerta chega a um humano. Execute uma política de segurança de conteúdo em modo report-only durante uma semana e leia o que está efetivamente a executar nos browsers dos seus clientes. Simule uma expulsão e verifique se o atacante foi realmente removido. E dê ao Recover uma execução real, porque é o R que quase ninguém consegue demonstrar, e ao abrigo do NIS2 e do DORA deixou de ser opcional.