Segurança digital é ilusão?

Eu acho que toda vez que é dada atenção ao tema de segurança digital, em especial a doméstica, ganhamos muito. Então parabéns pela iniciativa de trazer o assunto.

Pode ser que eu viva numa bolha, mas nunca vi alguém de cybersecurity prometer proteção total. Tem algum exemplo dessa promessa?

E me parece senso comum que segurança tem muito mais relação com hábitos do que com ferramentas.

Mas de fato ainda precisamos nos adaptar ao mundo onde tudo é digital. Acho que os profissionais de T.I. são os principais responsáveis por difundir esse tipo de conhecimento para o público mais leigo.

E, diante dessa realidade, a indústria da cibersegurança promete o impossível: proteção total.
Pelo contrário, A indústria de infosec não promete nada, somos os primeiros a dizer que os sistemas são 0 seguros, e hoje em dia é bom adotarmos o modelo security by design e 0 trust. Não existe sistema seguro, eu como profissional, eu pessoalmente nunca vou dizer isso.

Absolutamente ninguém de cybersec vai prometer isso daí. Não apenas coloco minha mão no fogo, mas também o corpo inteiro. Duvido! Nem o estagiário diria isso.

Muito pelo contrário, geralmente é o pessoal que não entende de cybersec que acredita nisso e o pessoal de cybersec aponta exatamente o oposto: não existe sistema 100% seguro. Isso é praticamente "frase popular" entre o pessoal de cybersec, de tão repetida que é.

E esse negócio de achar que segurança é "tudo ou não" é erro de definição, segurança não é uma dicotomia. Não existe isso de "ou é 100% seguro ou é uma ilusão".

Segurança sempre foi, até mesmo antes dos computadores existirem, sobre reduzir riscos e ameaças. Não tem nada a ver com perfeição ou um ideal inalcançável, é sobre diminuir o número de pessoas no mundo que conseguiriam quebrar a segurança do sistema. E aí tem várias estratégias para isso:

1. Tornar o ataque tecnicamente mais complexo. Assim menos pessoas seriam tecnicamente capazes de fazer isso.
2. Tornar o ataque mais caro. Assim menos pessoas teriam dinheiro suficiente para isso.
3. Tornar o ataque mais demorado. Assim menos pessoas conseguiriam ser bem sucedidas antes de serem pegas.
4. Tornar o ataque rastreável e auditável. Assim menos pessoas conseguiriam evitar serem descobertas e presas.
5. Tornar o ataque mais necessário de inteligência prévia. Assim menos pessoas teriam as informações necessárias para conseguirem fazer um ataque bem sucedido.
6. etc.

Sempre é sobre reduzir riscos e ameaças, nunca é sobre perfeição.

E é ilusão esse negócio de que as pessoas são a parte mais importante da segurança da informação. Conscientização de segurança é importante, mas sem investir pesado na parte técnica é como ensinar uma pessoa a nadar e depois jogar ela em uma água cheia de tubarões: não vai adiantar de nada.

Primeiro você constrói um ambiente seguro para a pessoa nadar, depois você ensina ela a nadar. Sem construir a segurança técnica primeiro, você está ensinando a pessoa à se proteger em um ambiente onde é impossível se proteger.