Como o pensamento de sistemas cria uma segurança integrada

É uma pena que o termo "pensamento de sistemas" soe um pouco aborrecido, não é? Até porque é uma expressão bastante inteligente e sucinta para descrever algo que os seres humanos têm tentado fazer há milénios: entender o mundo à nossa volta ao olhar para as suas partes e relações, observar como as coisas estão interligadas e, mais importante ainda, melhorar o funcionamento das mesmas. Muitas vezes, fazemos isso sem nos apercebermos de que o estamos a fazer, mas, quando é de forma consciente e ponderada, é algo realmente muito poderoso.

Vejamos, por exemplo, o mundo de Dinesh Dilip Panjwani. Ele é o nosso responsável por vulnerabilidades na PSIRT (Equipa de resposta a incidentes de segurança de produtos da Canon EMEA) e, como o nome sugere, desempenha um papel fundamental para garantir que os nossos produtos são seguros. "Todos os problemas são comunicados e, em seguida, avaliamos se são, ou não, genuínos. Se forem, procedemos à sua correção, publicamos correções ou firmware e divulgamos informações aos nossos clientes, juntamente com a publicação da CVE [Common Vulnerabilities and Exposures]", explica. À primeira vista, pode parecer que Dinesh opera num circuito fechado na Canon, trabalhando numa área de negócio muito específica num conjunto de circunstâncias totalmente de nicho. No entanto, isto não poderia estar mais longe da verdade. Ele e os seus colegas fazem parte de um ecossistema muito mais amplo, com uma dinâmica de equipa que não é observada tão habitualmente como deveria. Contudo, é muito valorizada no mundo da segurança da informação.

Frequentemente, os mundos da segurança do produto e da segurança empresarial divergem. Há esta visão de que um está mais virado para o exterior (trabalha com produtos adquiridos pelos clientes e oferece suporte aos mesmos) e o outro é mais interno (garante que os sistemas usados por uma organização para fazer o seu trabalho diário são seguros). Contudo, a nossa abordagem e a equipa onde Dinesh trabalha encara-os da mesma forma: como dois lados da mesma moeda. Na verdade, e evocando novamente o pensamento de sistemas, acreditamos que a sociedade, em geral, seria mais segura se a segurança dos produtos fosse sempre concomitante com a segurança empresarial. Porquê? Porque uma fraqueza em qualquer uma delas deixa uma organização, assim como os seus parceiros, fornecedores e clientes, vulnerável em todos os sentidos.

"A nossa função CSIRT [Corporate Security Incident Response Team] mitiga ou resolve os problemas de segurança relacionados com os sistemas que utilizamos para servir os nossos clientes", explica Dinesh. "Tal como muitos outros, somos fornecedores e clientes, trabalhando para a segurança global da nossa empresa e, por extensão, para a segurança de um grande número de outras empresas. Por isso, a segurança empresarial e a segurança dos produtos devem partilhar uma linguagem comum. Os nossos objetivos são os mesmos." Isto também significa que podem partilhar recursos, informar-se e apoiar-se mutuamente, e até criar os ciclos de feedback que são a imagem de marca de equipas eficazes.

No entanto, esta explicação não faz justiça ao papel desta equipa de segurança integrada. Especialmente quando se olha para tal a partir de uma perspetiva mais ampla de pensamento de sistemas. Dinesh e os seus colegas estão ligados em toda a organização de muitas formas que podem não saltar imediatamente à vista. Numa empresa tão próxima dos clientes como a nossa, existem várias áreas onde a experiência em segurança não é apenas necessária: é essencial.

Isto significa que a equipa estará ativamente envolvida em concursos e contratos: desde o fornecimento de estruturas e garantias de cibersegurança até ser a voz especializada em privacidade de dados, regulamentação, questões legais e conformidade. Da mesma forma, desempenha um papel importante no desenvolvimento empresarial, participando regularmente nas visitas aos clientes, marcando presença nos nossos salões de exposições e, em suma, contribuindo igualmente para o sucesso nas vendas. O homólogo de Dinesh no CSIRT, Wouter van Gils, mantém relações estreitas com as nossas empresas subsidiárias, apoiando-as através de auditorias e em candidaturas a certificações, como a ISO. Mais uma vez, criando união e continuidade na Canon.

Ainda assim, há também uma ênfase incrivelmente grande na formação. De facto, é um dos princípios fundamentais da segurança digital na Canon. "Temos responsáveis pela formação encarregues de aumentar a consciencialização para a segurança de produtos e a segurança de aplicações", explica Dinesh. Este trabalho está, do mesmo modo, entre as responsabilidades da equipa de segurança e está a criar com sucesso uma forte cultura de segurança digital em toda a organização EMEA, o que reforça ainda mais a nossa reputação de excelência e o valor do pensamento interligado.

Isto desafia certamente quaisquer conceções erradas sobre os profissionais de segurança da informação tidos como introvertidos que nunca se afastam dos seus computadores. Dinesh e os seus colegas estão o mais longe possível deste estereótipo. Participam regularmente em eventos da indústria e Dinesh faz parte de uma rede valiosa de investigadores de segurança e hackers éticos: uma comunidade generosa que partilha conhecimento e recursos, contribuindo mais uma vez para a segurança digital em toda a organização.

Tudo isto comprova um ponto óbvio, mas ainda assim significativo: é importante dar um passo atrás e olhar para o panorama geral. Duas equipas a funcionar em paralelo seria algo simples e até fácil. No entanto, será que seria realmente eficaz? A resposta do nosso Diretor Sénior de Segurança da Informação, Segurança dos Produtos e Resposta Global, Quentyn Taylor, é simplesmente: "Não. Caso contrário, vemos apenas parte da realidade: a integração desta forma permite que as equipas vejam o reverso da moeda, proporcionando uma melhor visibilidade da gestão de vulnerabilidades."

Assim, o ponto em que estamos atualmente é o resultado de alguns anos de observação para compreender o que funciona sem problemas. Aprender que os locais nem sempre se interligam perfeitamente, conforme necessário. Trata-se de criar uma equipa que tenha em consideração o funcionamento da organização como um todo e de que forma pode acrescentar o máximo valor. É por isto que o pensamento de sistemas é realmente inteligente e nada aborrecido: pode resultar no tipo de reorganizações ponderadas e em formas novas e surpreendentes de trabalhar que não só ajudam os Diretores de Segurança da Informação a dormir descansados, como também nos devem trazer tranquilidade.

Saiba mais sobre as carreiras na Canon.