Principais Ameaças
- Acesso não autorizado
- Vazamento de dados (intencional/acidental)
- Perda de dados (falha hardware, desastre, erro)
- Malware (ransomware, spyware, vírus)
- Engenharia social (phishing, pretexting)
- Autenticação fraca (senhas ruins, sem MFA)
Principais Controles
- Controle de acesso: MFA, menor privilégio, RBAC
- Criptografia: AES-256 em repouso, TLS 1.2+ em trânsito
- Backup e recuperação: Regra 3-2-1, restaurações testadas
- Segurança de rede: Firewalls, IDS/IPS, VPN, segmentação zero-trust
- Treinamento de conscientização: Simulações phishing, reciclagem de políticas
- Gestão de vulnerabilidades: Ciclos de patch, scans, pentests
- Segurança física: Acesso por badge, câmeras, monitoramento ambiental
- Resposta a incidentes: Playbooks, exercícios de mesa, prontidão forense
- Auditorias regulares: Internas/externas, verificações de conformidade
Defesa em camadas (defense-in-depth) é essencial; nenhum controle isolado basta.
