Construindo resiliência operacional para serviços financeiros: seu navio está em condições de navegar?

Recentemente, Shelby Flora fez uma pergunta simples a vários diretores não executivos de conselhos de administração de empresas de serviços financeiros dos EUA e do Reino Unido.

Alguma das instituições deles havia solicitado ao conselho verbas para testar ambientes de recuperação com mais frequência ou para melhorar a visibilidade em suas redes?

Todos eles disseram não.

Flora, diretora administrativa e líder de segurança de serviços financeiros da Accenture Security no Reino Unido, compartilhou essa conversa perto do final de um webinar recente do Grupo de Interesse Especial em Conscientização de Segurança (SASIG) para líderes de segurança de serviços financeiros. Ela também perguntou aos diretores se eles estavam preocupados com a rapidez com que o cenário de ameaças está mudando. Todos disseram que sim. Quando ela perguntou se eles apoiariam uma iniciativa de resiliência liderada pelo diretor de operações, eles disseram que sim novamente.

Essa troca de informações reflete a situação atual de grande parte do setor financeiro. Bancos e seguradoras passaram anos construindo estruturas de resiliência operacional, e pelo menos alguns de seus conselhos parecem prontos para financiar a próxima etapa. O que falta é o pedido, acompanhado de provas de que esses planos se manterão válidos uma vez que o invasor esteja dentro do sistema. Essa comprovação vem de três hábitos: mapear as dependências de forma suficientemente precisa para conter um ataque, executar testes de resiliência cibernética como uma prática rotineira e apresentar ao conselho um plano claro com o apoio do diretor de operações (COO).

Uma boa documentação não mantém os bancos à tona.

A documentação é importante. É a base para todas as estruturas às quais os bancos devem prestar contas, desde testes orientados por ameaças até as expectativas da Autoridade de Regulação Prudencial (PRA) para serviços comerciais importantes.

O problema é que os documentos descrevem o ambiente que alguém projetou, enquanto os atacantes se movem pelo ambiente que existe hoje.

Essas duas imagens se distanciam com o tempo. A maioria dos ambientes bancários cresceu ao longo de décadas de projetos, aquisições e soluções alternativas, e cada mudança adiciona complexidade.

A complexidade cria brechas, e é nessas brechas que os atacantes encontram maneiras de se mover para cima ou através dos ambientes. As conclusões temáticas do CBEST do Banco da Inglaterra têm destacado os mesmos pontos fracos ano após ano, um padrão que a Illumio analisou em sua análise do relatório CBEST de 2025.

A complexidade também influencia o que acontece no pior dia. Durante um incidente real, as equipes trabalham em uma "névoa de guerra", onde as dependências não são totalmente compreendidas, a visibilidade é parcial e o manual de procedimentos pode não corresponder ao que está na rede. Essa incerteza gera hesitação, pois os responsáveis pela resposta temem que uma ação de contenção possa causar mais transtornos do que o próprio ataque.

Em retrospectiva, com a calma necessária, a decisão correta muitas vezes parece óbvia. Nesse momento, um atraso pode dar ao atacante o tempo necessário para se espalhar.

Uma estrutura robusta para a resiliência cibernética dos serviços financeiros.

Quando o moderador perguntou quais investimentos deveriam vir primeiro, Flora relembrou sua infância no Missouri, quando os fins de semana significavam passeios de barco no lago. Aprender a pilotar um barco, disse ela, começa com verificações de segurança e nunca termina de verdade, porque um bom capitão está sempre inspecionando, reparando e aprimorando a embarcação.

Sua analogia também serve como um guia para os CISOs.

Faça as verificações de segurança antes de sair da doca.

Toda viagem começa com uma busca por vazamentos óbvios. Em termos de segurança, isso significa controles essenciais robustos e aplicação constante de patches, sem deixar vulnerabilidades críticas ou de alto risco expostas. Significa também manter uma posição firme em relação à tecnologia em fim de vida útil.

Flora observou que os atacantes ainda se aproveitam muito de falhas antigas em softwares legados, porque falhas antigas e não corrigidas são mais fáceis de explorar do que as novas. Qualquer sistema sem suporte deveria ter um plano de aposentadoria financiado.

Inspecione o casco em busca de vazamentos ocultos.

Uma boa manutenção começa por identificar os pontos fracos. Isso significa mapear quais sistemas se comunicam entre si e o que depende do quê. Os sistemas críticos geralmente são bem conhecidos, mas dependências surpreendentes costumam estar por trás deles.

Terceiros merecem o mesmo escrutínio. Ao saber que tipo de acesso um fornecedor possui, onde esse acesso se estende e o que depende desses sistemas, é possível modelar o impacto de uma violação de segurança por parte do fornecedor antes que ela ocorra. Esse mesmo mapa mostra como é o tráfego normal, permitindo que as equipes identifiquem movimentos laterais com antecedência.

Tampe os buracos com materiais modernos

A fita adesiva só mantém o casco unido por um tempo limitado. Muitos bancos criaram segmentações com base na topologia da rede, forçando o tráfego a passar por firewalls colocados entre as zonas. Os firewalls ainda desempenham um papel valioso em fronteiras importantes, mas estendê-los a uma ampla segmentação interna aumenta rapidamente os custos de capital e operacionais.

A microsegmentação aplica políticas onde são necessárias, perto das próprias cargas de trabalho, o que torna prático limitar o alcance de um atacante. Também se adequa ao desenvolvimento moderno. As equipes podem escrever políticas de segmentação como código e implantá-las por meio de seus pipelines de CI/CD, para que os novos aplicativos sejam lançados com segurança integrada desde o primeiro dia.

Substitua a madeira apodrecida por aço.

Algumas reparações exigem uma reconstrução. O Banco da Inglaterra passou vários anos renovando seu serviço de liquidação bruta em tempo real, que liquida pagamentos de alto valor em libras esterlinas. Isso mostra como é uma atualização deliberada da infraestrutura principal.

Projetos como esse demandam tempo e dinheiro, e fortalecem todo o sistema. Cada instituição deve decidir quais plataformas obsoletas, que sustentam suas transações principais, estão prontas para receber o mesmo tratamento.

Pratique o uso do bote salva-vidas até que se torne algo natural.

Mesmo um barco bem conservado pode começar a entrar água, por isso o bote salva-vidas tem que funcionar. Para os bancos, os botes salva-vidas são ambientes de recuperação, e só são úteis se entrarem em operação rapidamente após um período de inatividade.

É aqui que os testes de resiliência cibernética mostram sua importância. Flora descreveu o aconselhamento que deu a uma grande instituição multinacional para que realizasse testes de contenção e recuperação a cada duas semanas, quando a instituição havia solicitado testes a cada dois meses.

Seu raciocínio era simples: o cenário tecnológico muda todos os dias, e o panorama de ameaças muda com ele. Ela também estimou que o tempo entre a detecção de uma nova vulnerabilidade e sua primeira exploração confirmada diminuiu de mais de dois anos em 2018 para apenas alguns dias.

Os testes costumam parecer complexos, mas grande parte deles pode ser automatizada. As verificações que confirmam se os controles disparam quando deveriam podem ser executadas automaticamente, o que permite que as pessoas ensaiem as decisões.

Esses ensaios devem ir além da equipe de segurança, abrangendo executivos e, cada vez mais, membros do conselho que desejam participar dos exercícios de simulação. O objetivo é criar memória muscular, para que ninguém precise ler o plano de resposta a incidentes pela primeira vez no pior dia do ano.

Decidam quem vai pilotar quando o nível da água subir.

O confinamento automatizado, em que um sistema isola ativos críticos sem esperar por aprovação, é um objetivo atraente.

As recomendações baseadas em IA continuam a melhorar, e os índices de confiança ajudam os respondentes a tomar decisões mais rápidas e bem informadas. Mas, por enquanto, a presença humana no processo ainda é importante, especialmente em um setor onde um dia ruim pode ter um efeito cascata em toda a economia.

A transição para a automação exige trabalho em duas frentes:

• O trabalho técnico. O confinamento só pode ocorrer onde você tem controle sobre as políticas. Os ambientes criados por meio de aquisições muitas vezes carecem de pontos de fiscalização nos locais adequados.
• O trabalho de governança. O diretor de operações, o diretor de riscos, os comitês de risco e os órgãos reguladores devem chegar a um acordo prévio sobre qual resposta é apropriada e quem tomará a decisão.

Começar com uma mentalidade de "presumir violação de dados" também ajuda. Como disse Russell Goodwin, um renomado arquiteto de soluções da Illumio, até mesmo um sistema crítico pode ser comprometido, portanto, todo plano deve levar em conta para onde um invasor poderia ir em seguida.

Segundo a experiência de Flora, as instituições que se mobilizam mais rapidamente para se preparar para ataques acelerados por IA são aquelas em que o diretor de operações (COO) lidera o esforço. Os COOs supervisionam os riscos, a tecnologia e a segurança em conjunto, abrindo caminho para que os CIOs, CTOs, CISOs e líderes de comunicação trabalhem como uma única equipe.

Flora acrescentou que, durante um incidente, não existe comunicação em excesso. Os piores resultados geralmente decorrem da confusão sobre quais decisões precisam ser tomadas e a quem cabem a responsabilidade por elas.

O pragmatismo mantém essa equipe em movimento. Comece pelos serviços essenciais da sua empresa e, em seguida, adicione uma visão orientada por ameaças sobre como grupos criminosos e atores estatais têm maior probabilidade de atacar.

As equipes de arquitetura podem ser cautelosas em relação a uma nova abordagem, portanto, um projeto piloto em um ambiente limitado permite que elas validem os controles e as obrigações antes de expandi-lo. Tentar proteger tudo ao mesmo tempo é o que leva os programas à paralisia por análise.

A resiliência operacional não pode esperar por águas mais calmas.

Os modelos de IA de ponta estão mudando a economia dos ataques cibernéticos. O tempo e a habilidade necessários para encontrar e explorar uma vulnerabilidade estão diminuindo cada vez mais, portanto, as intrusões serão mais rápidas. A recuperação em velocidade de máquina está rapidamente se tornando o padrão ao qual as instituições financeiras serão submetidas.

Os diretores com quem Flora conversou já estão preocupados e prontos para apoiar um plano liderado pelo diretor de operações (COO). Eles estão esperando que alguém pergunte. Os CISOs que apresentarem um mapa claro de suas dependências e um histórico de testes frequentes e realistas podem fazer essa solicitação com evidências em mãos. Quanto mais cedo o fizerem, mais cedo um plano no papel se transformará em um navio que se mantém à tona quando a água começar a entrar.

Assista ao Webinar completo da SASIG Sob demanda. Aprenda como instituições financeiras O Illumio permite conter violações de dados e fortalecer a resiliência operacional.