O vazamento ou uso indevido de credenciais está relacionado a 90% dos incidentes tratados pelo Centro de Operações de Segurança (SOC) da Dataprev. O dado foi apresentado por Antonio Hobmeir Neto, diretor de Gestão de Infraestrutura de TIC da estatal, durante o evento TS Segurança Digital e Serviços Gerenciados, realizado em São Paulo.

O executivo apontou o compartilhamento de senhas do Gov.br com contadores, despachantes e outros prestadores de serviços como uma das fragilidades identificadas nos sistemas públicos. Em alguns casos, as credenciais são usadas por sistemas automatizados para consultar periodicamente processos ou extratos em nome dos usuários.

“No nosso SOC, 90% dos incidentes são com vazamento de credencial. É uma credencial sendo utilizada de uma maneira não correta”, afirmou Hobmeir Neto. “Hoje, com uma senha Gov.br Ouro, por exemplo, o cara pode abrir uma empresa no seu nome. Não é um negócio em que talvez ele vá pegar apenas um extrato. Ele consegue fazer operações importantes”, acrescentou.

O diretor da Dataprev ressaltou que o desafio consiste em bloquear acessos indevidos sem dificultar a utilização legítima dos serviços. A imposição de sucessivas barreiras de autenticação, observou, também pode levar o cidadão a recorrer a intermediários, ampliando novamente a circulação de suas credenciais.

Sistemas públicos como infraestrutura crítica

A Dataprev processa os dados de serviços como Meu INSS, Carteira de Trabalho Digital e Cadastro Único. De 6 milhões a 7 milhões de pessoas acessam diariamente pelo menos uma dessas plataformas. A estatal também participa dos processos responsáveis pelo pagamento mensal de benefícios previdenciários a 38 milhões de pessoas.

Hobmeir Neto afirmou que 90% dos atendimentos do INSS já são feitos pelo aplicativo Meu INSS, enquanto as cerca de 2 mil agências físicas respondem pelos 10% restantes. Metade dos requerimentos digitais, conforme os números apresentados, é processada automaticamente, sem intervenção humana.

“O governo hoje está rodando dentro dos data centers. A gente tem que começar a entender que data centers e sistemas são os ativos críticos de governo”, disse.

A estrutura da Dataprev inclui três data centers próprios, localizados em São Paulo, Rio de Janeiro e Brasília. Uma quarta instalação está prevista para Brasília. Os centros são interligados por backbone próprio e utilizam conexões de diferentes operadoras, proteção anti-DDoS, controles de perímetro, distribuição de conteúdo e monitoramento ininterrupto pelo SOC.

Serpro mede grau de soberania

No mesmo painel, Tiago Sell Iahn, superintendente de Segurança da Informação e CISO do Serpro, afirmou que a estatal adota um “gradiente de soberania” composto por 17 aspectos para avaliar tecnologias. Entre os critérios estão hospedagem, operação, processamento e domínio sobre a tecnologia.

Iahn ressaltou que a localização física dos dados no Brasil, isoladamente, não caracteriza uma infraestrutura como soberana. A avaliação também considera quem opera e atualiza o ambiente e se uma decisão tomada no exterior poderia afetar a disponibilidade dos serviços.

O Serpro mantém uma nuvem própria e estruturas fornecidas por Google e Huawei que, conforme o executivo, operam de forma isolada das respectivas nuvens públicas. Nessas estruturas, cabe ao Serpro executar as atualizações e controlar o processamento.

“Não adianta só estar no Brasil. Isso não é soberania”, afirmou. “Quem opera é o Serpro, quem atualiza é o Serpro, quem recebe o update e executa é o Serpro. Os pares externos não colocam mais a mão.”

O CISO também diferenciou soberania de segurança. Na sua avaliação, um ambiente pode ser operado de forma soberana e ainda apresentar vulnerabilidades. Da mesma forma, uma nuvem pública pode ter controles de segurança, mas continuar sujeita à operação ou interferência de uma empresa estrangeira.

“Eu não colocaria segurança e soberania exatamente na mesma frase. Elas devem andar juntas”, concluiu.

O post Vazamento de credenciais está por trás da maioria dos incidentes digitais, aponta Dataprev apareceu primeiro em TeleSíntese.