Gestão de Segurança da Informação: Da Customização Complexa à Unificação e Centralização Claras

Imagine um mundo onde um engenheiro responsável pela operação de ferramentas de segurança da informação (SI) pode acessar uma única janela de gerenciamento e realizar a maioria de suas tarefas em uma única interface. Ou um mundo onde um engenheiro de suporte, monitorando a funcionalidade das ferramentas de segurança, pode obter todo o contexto necessário "aqui e agora", considerando o período de tempo, tarefas e notificações em suas responsabilidades planejadas e regulamentares – também em uma única janela. E que tal um mundo onde o chefe do departamento de SI pode monitorar todas as métricas necessárias, tarefas atuais e planejadas, ajustar a direção de desenvolvimento e avaliar a situação atual e a cobertura, sem ter que navegar por serviços de e-mail, relatórios e trackers?

E se todos esses mundos pudessem ser implementados em um único produto? Foi com essa pergunta que iniciamos o verão deste ano. Este artigo será dedicado ao conceito de uma plataforma unificada para o gerenciamento de ferramentas de segurança da informação, que não só deve simplificar a vida dos especialistas em SI, mas também reduzir a barreira de entrada na profissão para operadores de diversas ferramentas de segurança, além de fornecer mecanismos para análise situacional e orquestração de ações cotidianas e regulamentares.

Premissas

Vamos começar pelo começo. Nós, da InnoStage, como integradora, fornecedora e provedora de serviços na área de SI, lidamos diariamente com uma ampla gama de tarefas diversas que frequentemente exigem uma abordagem criativa. Mas, na maioria dos casos, essas tarefas se encaixam em um ciclo: análise (necessidades) – proposta (especificações técnicas) – formalização (projeto) – implementação – apresentação (testes de aceitação) + treinamento – suporte técnico e modernização posterior. Em outras palavras, a abordagem padrão GOST, que não surpreende ninguém. No entanto, em projetos complexos, onde são implementadas mais de duas ou três soluções e soluções existentes são modernizadas ou atualizadas, começamos a notar que nas fases de aceitação para operação e durante o trabalho posterior, os Clientes frequentemente enfrentam problemas. O trabalho realizado é grande, os sistemas estão configurados e cada um deles é único. E é preciso saber trabalhar com esses sistemas. Cada sistema tem seu próprio console de gerenciamento, seu próprio conjunto de funções, ações de controle, análises, alertas, tarefas de manutenção e muito mais.

Nas realidades modernas, quando as tendências visam a otimização de processos, uma pequena equipe de engenheiros de SI, no momento da aceitação de tais sistemas, começa a perceber – agora tudo isso é com a gente. Todos esses consoles com um monte de botões, tabelas, visualizações… E agora os tomos de documentação operacional substituem primeiro o livro antes de dormir e depois se tornam uma biblioteca de mesa, ocupando o espaço onde o café costumava ficar.

Agora faremos uma ressalva, importante para a compreensão do contexto deste artigo: não estamos dizendo que os consoles de gerenciamento de ferramentas de segurança da informação são ruins ou insuficientes. Pelo contrário, anos de reflexão dos fabricantes russos e experiência de interação com os Clientes transformaram os sistemas e consoles de gerenciamento das primeiras soluções "rudimentares" em verdadeiras máquinas poderosas, permitindo construir não apenas funções de proteção pontuais na arquitetura de SI, mas também na arquitetura de TI. Mas, ao mesmo tempo, aumentaram significativamente os requisitos para o conjunto de competências e conhecimentos de soluções específicas, para, inclusive, realizar a operação diária.

Após conversar com colegas, chegamos à compreensão de que a complexidade da entrada inicial na funcionalidade dos sistemas recém-entregues não é o único problema que o serviço de SI enfrenta em relação à interação com múltiplos consoles de gerenciamento. Embora as premissas para outros problemas sejam "mais ou menos" as mesmas.

Aqui estão exemplos desses problemas:

• Ajuste (tuning) adiado ou ausente, porque "no momento" era preciso entender, e havia outras tarefas suficientes.
• Análise de eventos é adiada: "Farei a análise dos dados de alertas das SI quando solicitarem. Precisa ser compilado."
• Busca por funções necessárias: "Em qual aba está essa ou aquela operação? – "Ah, não importa, não está pegando fogo."
• Restrição de acesso para novatos: "Não dar acesso aos novatos – eu mesmo farei, senão eles quebram algo."
• Execução de regulamentos de memória: "Então, o que temos no playbook – clicar aqui, enviar e-mail, acompanhar prazos e depois clicar aqui – não esquecer de algo e não perder."
• Monitoramento de cobertura: "Como está nossa cobertura alvo de SI?" "Preciso abrir o Excel, está tudo anotado lá. E também conectamos 3 agentes na semana passada. Precisa levar em conta…"
• Verificação de eventos: "Houve alertas?" - "Vou lá ver agora."

E muito, muito mais… Parece familiar, não é?

Da Ideia ao Conceito

Vamos passar para a descrição do que inventamos. Mas antes, um pouco sobre os objetivos que buscamos:

• Reduzir o número de painéis de SI utilizados na atividade diária;
• Diminuir a barreira de entrada na administração de SI para iniciantes em segurança da informação;
• Unificar os parâmetros de funcionamento (health check) das SI em uma única janela para resposta operacional a desvios;
• Automatizar processos rotineiros usando scripts de ação prontos;
• Unificar acessos para funcionários que realizam operações típicas;
• Aumentar a maturidade da operação das SI atuais e a identificação da "Cobertura Alvo".

É importante notar que, além dos objetivos, formulamos uma série de restrições que permitirão criar algo útil, mas ao mesmo tempo não muito complexo de entender (afinal, estamos falando de simplificação):

• Não criamos duplicatas dos consoles de gerenciamento existentes. Nosso objetivo não é replicar as soluções dos fornecedores. Precisamos criar aquilo que é usado com frequência e traz utilidade diária clara.
• Não desenvolvemos segundos SOAR, VM, SIEM e outras siglas que possuem funcionalidade e processamento completos. Mas pegamos o melhor deles em termos de funcionalidade e integração com eles.
• Se tivermos que inventar uma funcionalidade – significa que ela é complexa e não nos serve nas fases iniciais. Ela deve vir "do coração", das dores que tiram o sono, e ser formulada de forma simples.

Nossa plataforma é vista como um bolo em camadas, onde cada camada é um conjunto de funções. Elas são formadas pelo princípio: pegamos o melhor das capacidades de diferentes sistemas e consoles de gerenciamento. Em seguida, complementamos isso com cenários de uso baseados em anos de experiência em implementação, operação e suporte. Ao mesmo tempo, tentamos nos colocar no lugar do usuário. E o resultado é algo que deve simplificar a vida e ajudar a construir processos e controle.

Vamos percorrer rapidamente de baixo para cima. Na base, encontramos a camada de integração, cuja tarefa é coletar dados, executar ações, entregar dados. Essencialmente, um conjunto de comandos para interagir com os sistemas de destino, baseado em certos tipos de transporte (conectores).

Acima dela, há duas camadas principais. A operacional – tudo o que um engenheiro de SI faz diariamente nas ferramentas de segurança, e tudo o que pode ajudá-lo nisso. A camada regulamentar é necessária para construir todos os controles, formar planos e, a partir deles, tarefas que permitirão garantir o funcionamento normal tanto do ponto de vista técnico quanto do ponto de vista do regulador e licenciamento.

O topo do nosso bolo é a camada analítica. Esta é toda a informação que permitirá ao engenheiro, no momento, entender onde suas mãos são necessárias aqui e agora, e ao gestor, entender a eficácia e as áreas de crescimento.

Podemos discutir infinitamente quais funcionalidades adicionar a cada bloco funcional, bem como expandir o número de blocos e seu conteúdo. No entanto, no início, aderimos a um princípio simples: "Frequente" + "Útil".

Na base do nosso produto, planeja-se uma combinação de:

• Entidades (aquilo com que o usuário interage),
• Fluxos de trabalho (aquilo que forma os dados necessários nos campos corretos e fornece mecanismos de interação),
• Dados e sua visualização (dashboards e widgets),
• Funcionalidades que são formadas a partir de histórias de usuário,
• Conectores, pois o valor principal é a interação com sistemas de terceiros, sem eles não há como ir adiante.

Tudo isso se assemelha muito a sistemas das classes ERP, ITSM, SOAR.

Como somos integradores de SI e sabemos como funciona uma classe de tais soluções, e nossa tarefa é resolver problemas, decidimos construir o produto com base em uma plataforma no-code/low-code. A decisão veio instantaneamente, assim como a escolha de um fornecedor específico, a saber, nosso parceiro Security Vision. Os colegas, na base de seus produtos, desenvolveram uma plataforma flexível e conveniente que permite formar rapidamente as funcionalidades necessárias e, ao mesmo tempo, já é voltada para SI.

O Que Estamos Fazendo Agora

Tudo o que foi mencionado acima requer um ciclo de desenvolvimento clássico completo, mas levando em conta as capacidades no-code/low-code.

Vamos delinear os principais marcos do que estamos fazendo agora e para onde estamos indo:

• Coletamos histórias de usuário (User story). Pegamos tudo o que queríamos, mas por várias razões é ou complexo, ou ausente.
• Criamos conectores – analisamos quais operações de interação com as ferramentas de segurança finais precisamos e através de quais transportes elas podem ser entregues e o resultado obtido.
• Formamos entidades – analisamos e descrevemos quais visualizações, quais campos, quais botões e quais conexões entre eles devem existir.
• Construímos fluxos de trabalho – como, a partir de conectores, entidades e tarefas, obter o processamento de funcionalidades que garante as histórias de usuário.
• E, claro, conversamos muito. Conversamos dentro do grupo de desenvolvimento e análise – e estes são predominantemente engenheiros que têm vasta experiência em implementação de sistemas de automação de processos de SI. Conversamos com engenheiros de áreas que implementam ferramentas de segurança de destino e conhecem as dores na entrega de ferramentas de segurança para operação na prática. Conversamos com suporte técnico e nossa própria operação, aquelas pessoas cujo navegador se parece com uma árvore de Natal por causa de botões coloridos e notificações. E o mais importante: tentamos tornar tudo conveniente e útil.

Nosso objetivo é criar um MVP que seja capaz de mostrar o visual e o mínimo necessário, permitindo entender: "O que é isso", "Para que serve" e "Isso é útil!"

Em vez de Conclusão

Descrevemos apenas brevemente o trabalho atual. O objetivo deste artigo é não apenas apresentar o conceito de "como abordar a centralização de funções", mas também, com base na ideia, definir uma certa tendência para o mercado de consumidores e o mercado de fornecedores.

Já nas fases iniciais, vemos que os mecanismos de gerenciamento são excelentes e maduros, mas os mecanismos de interação com sistemas de terceiros estão longe de ser sempre transparentes ou totalmente ausentes.

Todos os dias, a automação penetra mais fundo e de forma mais complexa:

• Do simples: "o que era feito manualmente, agora é feito automaticamente";
• Para o mais sistêmico: "o que era organizado por um processo manual constante, agora é organizado por processamento automatizado";
• Para o tendência: "o que era analisado e gerado por um analista, agora é gerado por meio de automação, incluindo o uso de IA."

E é para lá que vamos, para aliviar a rotina e nos dedicarmos a coisas verdadeiramente interessantes e importantes.

Partimos do princípio de abertura e feedback saudável. Portanto, se você encontrou na artigo uma parte de suas dores, desejos e necessidades, ou se o conceito lhe interessa em geral, venha. Estamos abertos a novas ideias e sugestões, testes e interações.

Em vez de conclusão, gostaria de acrescentar que este é o nosso primeiro artigo. Nos planos futuros, com periodicidade de um a dois meses, contaremos sobre o caminho para alcançar o objetivo, além de compartilhar nossos problemas e sucessos.