Ameaças internas (maliciosas, negligentes, comprometidas) causam 30%+ das violações. Estratégia defense-in-depth:
1. Identidade e Controle de Acesso
- Zero Trust: Nunca confie, sempre verifique. Exija MFA em todo lugar (resistente a phishing: FIDO2/WebAuthn).
- RBAC + Menor Privilégio: Acesso baseado em função; revisões trimestrais de acesso; elevação just-in-time (PIM/PAM).
- Autenticação Forte: Passwordless onde possível; senhas 12+ chars únicas + gerenciador; rotacione contas de serviço.
2. Higiene de Endpoint e Software
- Patch automatizado (SO, apps, firmware) via MDM/Intune/WSUS.
- EDR/XDR em todos endpoints; proteção contra adulteração ativada.
- Allowlisting de aplicações (AppLocker, WDAC) para servidores de alto valor.
3. Segmentação e Monitoramento de Rede
- Micro-segmentação (VLANs, zonas de firewall, Zero Trust Network Access).
- Inspeção tráfego leste-oeste (NGFW, IDS/IPS, Zeek/Suricata).
- NetFlow/IPFIX + SIEM (Splunk, Sentinel, Elastic) para detecção de anomalias.
4. Proteção de Dados
- DLP (endpoint + rede + nuvem) para PII, PI, dados regulados.
- Criptografia em repouso (BitLocker, LUKS, S3 SSE) e em trânsito (TLS 1.3, IPsec).
- Backups imutáveis (regra 3-2-1-1-0); testes de restauração trimestrais.
5. Pessoas e Processos
- Conscientização de segurança trimestral (simulações de phishing, tailgating, testes USB drop).
- Políticas claras de uso aceitável, relato de incidentes, offboarding.
- Programa de ameaça interna: UEBA (User Entity Behavior Analytics) para logins anômalos, exfiltração de dados, escalação de privilégios.
6. Resiliência
- Plano de resposta a incidentes com playbooks (ransomware, roubo de dados por insider, comprometimento de credenciais).
- Exercícios de mesa 2×/ano; red-team/pen-test anualmente.
A mitigação de ameaça interna é um programa, não um produto. Camadas de controles, meça cobertura, itere.
