Automação de controles de segurança em ambientes de computação na nuvem: abordagem para conformidade contínua no gerenciamento de vulnerabilidades. - SILVA, Raiff dos Santos (2024)
O atual cenário de segurança exige processos eficientes que correspondam ao avanço das técnicas empenhadas em ataques cibernéticos. Partindo desta perspectiva, a automação de processos é vista como alternativa para suprir a necessidade de segurança requerida nos sistemas de informação, beneficiando atividades manuais com otimizações e provendo escalabilidade. Observados os padrões de segurança ou muitas vezes legislações que exigem moldar uma postura de segurança para manutenção da privacidade de dados ou áreas específicas de atuação, a conformidade se vê presente como meio de comprovação das boas práticas implementadas. A conformidade, muitas vezes é obtida por processos de auditoria de órgãos certificadores, também pode ser alcançada pelo uso de frameworks de segurança. Dessa forma, CIS Controls V8 e NIST Cybersecurity Framework possuem controles de segurança amplamente utilizados. Definimos neste estudo como utilizar estes frameworks de segurança como base de recomendações de segurança para prover conformidade para processos de gerenciamento de vulnerabilidades. Utilizamos CIS Controls V8 para extrair palavras-chave relevantes com uso de algoritmos de aprendizado de máquina que viabilizam a descoberta de ferramentas de segurança, assim obtendo suporte a nossas implementações técnicas de cibersegurança. Operacionalizamos a conformidade com uso de métodos para mensurar a conformidade usando métricas de verificação de vulnerabilidades e cobertura de recomendações de segurança. Finalmente, agrupamos todo nosso aprendizado da operacionalização da conformidade para propor um modelo de conformidade contínua. Este modelo considera automação de processos para execução de ferramentas de verificação de vulnerabilidades para coleta de evidências de segurança sobre a arquitetura do sistema. Também são executadas as análises de vulnerabilidades nocivas à segurança com uso de nossa métrica de verificação que define a explorabilidade e o impacto relacionado aos ativos verificados em nossos processos.