A contratação de um provedor de serviços gerenciados de segurança não transfere ao prestador a responsabilidade pelos riscos do negócio. Embora o MSSP possa monitorar ambientes, identificar ameaças e responder tecnicamente aos incidentes, cabe à empresa contratante avaliar o impacto das medidas sobre seus sistemas e operações.
“A empresa não deve terceirizar para o MSSP a responsabilidade sobre o risco”, afirmou Marcelo Kiraly, executivo de Segurança da Informação, Cybersecurity, Privacidade e Proteção de Dados da Q13.
Ele participoi nesta terça-feira, 11, do painel “Serviços gerenciados: o novo modelo de proteção digital”, realizado no evento Segurança Digital e Serviços Gerenciados, promovido pelo Tele.Síntese, em São Paulo.
Segundo Kiraly, o prestador pode reunir informações sobre ameaças, correlacionar eventos e recomendar medidas de contenção. O cliente, contudo, conhece a relevância de cada aplicação e os efeitos que um bloqueio, desligamento ou isolamento pode provocar em sua atividade.
Essa divisão de responsabilidades também deve orientar o uso de IA. A automação pode executar respostas previamente definidas para eventos conhecidos e de baixo impacto. Ações capazes de interromper sistemas críticos, por sua vez, precisam permanecer sujeitas à avaliação humana. “O que a gente não pode deixar é simplesmente entregar toda autonomia para a IA”, disse Kiraly.
Métricas precisam refletir segurança
Gabriel Raposo, head de Tecnologia da TSData, afirmou que os contratos de serviços gerenciados não devem ser avaliados somente pela disponibilidade dos sistemas ou pelo tempo de atendimento. “Você pode ter um ambiente 100% disponível, porém estar completamente comprometido”, alertou.
Entre as métricas mencionadas por Raposo estão o tempo necessário para detectar uma ocorrência, responder ao incidente, conter a ameaça e recuperar o ambiente. O executivo também citou a necessidade de medir o percentual da infraestrutura efetivamente coberto pelo serviço contratado.
Raposo defendeu o uso de playbooks para automatizar procedimentos previamente estabelecidos, sobretudo em ocorrências recorrentes e com impactos conhecidos. Incidentes inéditos, exceções ou situações com potencial de afetar operações essenciais devem ser encaminhados aos profissionais de segurança. “A IA não substitui o analista”, afirmou.
A quantidade de informações encaminhadas ao prestador também foi discutida. Kiraly defendeu que a coleta seja definida de acordo com os incidentes que a empresa pretende identificar. O envio indiscriminado de registros aumenta os custos de armazenamento e processamento, além de criar novas bases que também precisam ser protegidas.
ISPs podem começar com parceiros
Erick Nascimento Santos, coordenador de Segurança da Informação da Algar, afirmou que os provedores de internet não precisam construir imediatamente um centro próprio de operações de segurança para ingressar nesse mercado.
Plataformas em nuvem e modelos white label permitem que o ISP comece a oferecer serviços por meio de parceiros, reduzindo a necessidade de investimento inicial em infraestrutura e grandes equipes especializadas. O provedor, no entanto, precisa estabelecer responsabilidades, canais de atendimento e acordos de nível de serviço.
Outra exigência é a capacitação das equipes comerciais e técnicas. De acordo com Erick, profissionais que já trabalham com conectividade podem ser preparados para prestar o primeiro nível de atendimento em segurança, nuvem e outros serviços gerenciados. Os casos mais complexos seriam encaminhados aos especialistas.
Nilson Primo, Cyber Security Pre-Sales Engineer da WDC Networks, afirmou que a atuação da distribuição também se ampliou. Além de fornecer equipamentos e plataformas, o distribuidor pode participar da integração das soluções, do treinamento, da pré-venda e do apoio à implantação. “Hoje, o distribuidor tem um papel muito maior, de orquestrador de soluções”, finalizou.
O post Risco de negócio não pode ser terceirizado ao MSSP apareceu primeiro em TeleSíntese.
