Conformidade

O artigo de Andy Kerr, da Acronis, destaca que muitas organizações acreditam que o Microsoft 365 oferece proteção automática para seus dados, mas isso não é verdade. O modelo de responsabilidade compartilhada da Microsoft implica que a segurança dos dados, incluindo backup e recuperação, é responsabilidade do cliente. Essa lacuna se torna crítica em cenários reais, como ataques de ransomware, exclusões acidentais e ameaças internas. O autor apresenta cinco razões principais pelas quais o backup nativo do Microsoft 365 não é suficiente: 1) Falta de proteção contra ransomware e perda de dados maliciosos; 2) Políticas de retenção nativas inadequadas para conformidade; 3) Recuperação granular limitada; 4) Exposição a phishing e ameaças internas; 5) Escalabilidade de custo ineficiente. Para mitigar esses riscos, a adoção de soluções de terceiros, como a Acronis Cyber Platform, é recomendada, pois oferece armazenamento imutável, detecção de ransomware baseada em IA e recuperação rápida. Assim, as organizações podem garantir a integridade e a segurança de seus dados no Microsoft 365.

O Procurador-Geral da Califórnia, Rob Bonta, anunciou um acordo de liquidação de US$ 12,75 milhões com a General Motors (GM) devido a alegações de violação da Lei de Privacidade do Consumidor da Califórnia (CCPA). As acusações surgiram a partir de investigações que indicaram que a GM coletou e vendeu ilegalmente dados de direção e localização de motoristas californianos para corretores de dados, como Verisk Analytics e LexisNexis Risk Solutions, entre 2020 e 2024. A coleta de dados foi realizada através da subsidiária OnStar da GM e do sistema ‘Smart Driver’, destinado a produtos de pontuação de motoristas relacionados a seguros. Além da multa, a GM deve interromper a venda de dados de direção por cinco anos, excluir dados retidos em 180 dias, solicitar a exclusão dos dados já vendidos e implementar um programa de conformidade de privacidade mais robusto. Este caso é o primeiro a focar em regras de minimização de dados e representa um marco na proteção da privacidade dos consumidores na Califórnia.

O artigo da Cynomi destaca a crescente importância da gestão de riscos de terceiros (TPRM) na cibersegurança moderna. Com a evolução das operações empresariais, a segurança não se limita mais a um perímetro definido, mas se estende a um ecossistema interconectado que inclui fornecedores e ferramentas SaaS. Dados da Verizon indicam que 30% das violações de dados envolvem terceiros, com um custo médio de remediação de US$ 4,91 milhões por incidente. A abordagem tradicional de avaliação de riscos, que se baseava em questionários anuais e análises manuais, já não é suficiente, especialmente com o aumento das exigências regulatórias. A TPRM deve ser vista como uma função central de governança, e não apenas como uma formalidade de conformidade. Para provedores de serviços gerenciados (MSPs) e provedores de serviços de segurança gerenciados (MSSPs), isso representa uma oportunidade significativa para oferecer serviços contínuos e de alto valor, ao invés de projetos pontuais. A construção de uma prática TPRM estruturada e escalável pode não apenas melhorar a retenção de clientes, mas também posicionar esses provedores como parceiros essenciais na segurança e conformidade de seus clientes.

A Varonis anunciou a disponibilidade do Varonis Atlas, uma plataforma de segurança de IA que abrange todo o ciclo de vida da segurança de IA, desde a descoberta até a proteção em tempo real e conformidade. Atlas se conecta a qualquer sistema de IA utilizado pelas organizações, como plataformas de IA hospedadas, modelos de linguagem personalizados e chatbots. A plataforma é construída sobre a Varonis Data Security Platform, oferecendo um contexto de dados que supera as ferramentas de segurança de IA isoladas.

O artigo de Itamar Apelblat discute como a evolução da inteligência artificial (IA) está desafiando os tradicionais frameworks de conformidade, que foram construídos sob a premissa de que humanos são os principais atores em processos de negócios. Com a incorporação de agentes de IA em fluxos de trabalho regulados, surgem novos riscos de identidade, acesso e conformidade. Esses agentes não apenas assistem, mas agem de forma autônoma, o que pode levar a falhas de conformidade, já que suas decisões são baseadas em algoritmos que mudam constantemente. Isso representa um desafio significativo para os Chief Information Security Officers (CISOs), que agora podem ser responsabilizados não apenas por violações de segurança, mas também por falhas de conformidade resultantes do comportamento da IA. O artigo destaca a necessidade de uma governança robusta sobre identidades não humanas e a importância de controles de acesso rigorosos para garantir a integridade dos dados e a conformidade com regulamentações como SOX, GDPR, PCI DSS e HIPAA. À medida que a IA se torna um ator operacional, a linha entre segurança e conformidade se torna cada vez mais tênue, exigindo que os CISOs adaptem suas estratégias de segurança para incluir esses novos desafios.

O relatório ‘The State of Trusted Open Source’, elaborado pela Chainguard, oferece uma visão abrangente sobre o uso de software livre nas organizações modernas e os riscos associados. A análise de mais de 1800 projetos de imagens de contêiner e 10.100 instâncias de vulnerabilidades revelou que a popularidade de um projeto não necessariamente se correlaciona com o risco. Por exemplo, 98% das vulnerabilidades encontradas estavam fora dos 20 projetos mais populares, indicando que a maior parte da carga de segurança está em imagens menos visíveis. Além disso, a conformidade com regulamentações, como o FIPS, tem impulsionado a adoção de software seguro, com 44% dos clientes da Chainguard utilizando imagens FIPS em produção. O relatório também destaca que a velocidade de remediação é crucial para construir confiança, com a Chainguard resolvendo vulnerabilidades críticas em menos de 20 horas, o que é significativamente mais rápido do que os padrões do setor. Esses dados são essenciais para que as empresas brasileiras compreendam a importância de manter a segurança em toda a sua infraestrutura de software livre, especialmente em um cenário onde a conformidade e a segurança são cada vez mais exigidas.

A Comissão de Valores Mobiliários dos EUA (SEC) decidiu abandonar o processo judicial contra a SolarWinds e seu diretor de segurança da informação, Timothy G. Brown, que alegavam que a empresa havia enganado investidores sobre suas práticas de segurança cibernética, levando ao ataque à cadeia de suprimentos em 2020. A SEC havia acusado a SolarWinds de ‘fraude e falhas de controle interno’, afirmando que a empresa exagerou suas práticas de cibersegurança e não divulgou adequadamente os riscos conhecidos. O ataque, atribuído ao grupo APT29, patrocinado pelo Estado russo, expôs vulnerabilidades significativas. Em julho de 2024, o tribunal descartou várias alegações, afirmando que não havia evidências suficientes para sustentar as acusações. O CEO da SolarWinds, Sudhakar Ramakrishna, declarou que a empresa emerge mais forte e preparada após esse desafio. A decisão da SEC não reflete sua posição em outros casos relacionados, e a empresa continua a ser um ponto focal em discussões sobre segurança cibernética e conformidade regulatória.

Os Provedores de Serviços Gerenciados (MSPs) enfrentam um aumento nas expectativas dos clientes por resultados robustos em cibersegurança e conformidade, enquanto as ameaças se tornam mais complexas e as exigências regulatórias evoluem. Os clientes buscam proteção abrangente sem a necessidade de gerenciar a segurança por conta própria, o que representa uma oportunidade significativa de crescimento para os MSPs. Para se destacar no mercado competitivo, é crucial que os MSPs adotem uma mentalidade de segurança que vá além da execução técnica, integrando a gestão de riscos e a resiliência como componentes essenciais da estratégia de negócios dos clientes. O guia “Transformando a Segurança em Crescimento” oferece um checklist estruturado para avaliar a prontidão estratégica e operacional dos MSPs. A mudança de uma abordagem de conformidade pontual para uma gestão de riscos contínua é fundamental, assim como a capacidade de conectar as iniciativas de segurança aos resultados de negócios. O guia também aborda a definição de serviços, a alocação de pessoal e a documentação de processos, ajudando os MSPs a escalar seus serviços de segurança de forma eficaz e lucrativa.

Em 2025, a conformidade em cibersegurança se torna uma prioridade crítica para as organizações, que buscam alinhar suas operações a padrões regulatórios em constante evolução. Com a crescente aplicação de frameworks como SOC 2, ISO 27001, GDPR e HIPAA, as empresas necessitam de soluções robustas de gestão de conformidade que automatizem controles, simplifiquem auditorias e reduzam o risco de penalidades regulatórias. O artigo apresenta uma análise dos 10 melhores softwares de gestão de conformidade em cibersegurança, destacando suas capacidades principais, usabilidade e eficiência para empresas de médio e grande porte.

O teste de penetração interna é uma parte essencial da estratégia de cibersegurança, simulando uma violação a partir de dentro da rede. Em 2025, com o aumento do trabalho híbrido e ambientes complexos, a importância desse tipo de teste se intensifica. O objetivo principal é entender o que um atacante pode fazer uma vez que já está dentro da rede, uma vez que as defesas tradicionais, como firewalls, podem ser contornadas por ataques sofisticados. As dez melhores empresas de testes de penetração interna foram selecionadas com base em critérios como experiência, confiabilidade e riqueza de recursos. Entre elas, destacam-se a Rapid7, que combina inteligência de ameaças com testes manuais, e a Coalfire, que foca em conformidade com normas de segurança. Outras empresas, como Synack e CrowdStrike, oferecem abordagens inovadoras, como o modelo de Teste de Penetração como Serviço (PTaaS) e emulação de adversários, respectivamente. A escolha do serviço adequado pode ajudar as organizações a identificar e corrigir vulnerabilidades críticas, garantindo a proteção de dados sensíveis e a conformidade com regulamentações como a LGPD.

Os provedores de serviços gerenciados (MSPs) e provedores de serviços de segurança gerenciados (MSSPs) enfrentam uma crescente pressão para oferecer resultados robustos em cibersegurança, em um cenário de ameaças em ascensão e requisitos de conformidade em evolução. Os clientes buscam proteção eficaz sem a necessidade de gerenciar a cibersegurança por conta própria, o que exige que os provedores equilibrem essas demandas crescentes com a eficiência operacional. Muitas vezes, esses provedores ainda dependem de processos manuais que dificultam a consistência e a escalabilidade dos serviços. A automação surge como uma solução viável, permitindo a otimização de tarefas repetitivas e a melhoria da eficiência. O artigo destaca que a automação pode reduzir em até 70% o tempo gasto em tarefas como avaliações de risco, desenvolvimento de políticas e relatórios de progresso. Além disso, apresenta um guia prático para a implementação da automação, que inclui a avaliação de processos atuais, definição de metas, seleção de modelos de implantação e treinamento das equipes. A automação não apenas melhora a eficiência, mas também permite que os provedores entreguem serviços de alta qualidade de forma consistente, aumentando a satisfação do cliente e a capacidade de crescimento.

Com a chegada da temporada orçamentária, a cibersegurança frequentemente enfrenta questionamentos e despriorização nas empresas. Um estudo da Gartner revela que 88% dos conselhos administrativos veem a cibersegurança como um risco de negócios, não apenas uma questão de TI. Para que os líderes de segurança consigam elevar o perfil da cibersegurança, é crucial que comuniquem sua importância em termos de continuidade de negócios, conformidade e impacto financeiro. Estratégias como alinhar a segurança com os objetivos empresariais, construir um framework focado em riscos e utilizar padrões da indústria são essenciais. Além disso, a validação contínua da segurança, através de testes automatizados, ajuda a identificar vulnerabilidades antes que se tornem problemas. A comunicação clara e adaptada para diferentes públicos dentro da organização é fundamental para demonstrar como as decisões de segurança impactam diretamente a receita e a reputação da empresa. Em um cenário de ameaças cibernéticas em constante evolução, a cibersegurança deve ser vista como um facilitador de negócios, e não apenas como um centro de custo.

Organizações que lidam com dados sensíveis ou informações pessoais identificáveis (PII) devem seguir padrões de conformidade regulatória, especialmente em setores regulados como saúde, finanças e educação. Padrões como PCI DSS, GDPR e HIPAA são cruciais para proteger contra riscos cibernéticos e evitar multas. Para atender a esses requisitos, as empresas devem revisar regularmente as normas aplicáveis, designar um responsável pela conformidade e treinar funcionários. O Wazuh, uma plataforma de segurança de código aberto, oferece suporte na implementação dessas normas, com recursos como monitoramento de eventos de conformidade, visualização de alertas e documentação atualizada. A conformidade não apenas protege as organizações, mas também facilita processos de licenciamento e reduz riscos financeiros. O artigo destaca a importância de plataformas como o Wazuh para garantir que as empresas permaneçam em conformidade com as regulamentações, ajudando a mitigar riscos e a melhorar a postura de segurança.