Os 6 pilares da segurança da informação

Segurança da informação parece um monte de coisa solta: senha, antivírus, firewall, backup, LGPD. Mas tudo isso existe pra proteger seis coisas. São os pilares.

Entendeu os seis, entendeu pra que serve cada ferramenta. Este post explica um por um, com exemplo do dia a dia. Se já é da área, os blocos Pro pessoal técnico são pra você.

Os seis numa olhada

Confidencialidade: só quem pode vê.
Autenticidade: a pessoa é quem diz ser.
Integridade: a informação não foi alterada.
Irretratabilidade: quem fez não consegue negar.
Legalidade: tá dentro da lei.
Disponibilidade: tá acessível quando precisa.

Cada um responde uma pergunta:

Cada pilar é uma pergunta. Embaixo de cada um, exemplos do que protege.

Os três de cima são a tríade CID: Confidencialidade, Integridade e Disponibilidade. É a base, aparece em toda norma e toda prova. Os outros três completam.

Macete de concurso: DICA = Disponibilidade, Integridade, Confidencialidade e Autenticidade. Soma a irretratabilidade e a legalidade e fecha os seis.

Pro pessoal técnico: a ISO/IEC 27000 define segurança da informação como a preservação de confidencialidade, integridade e disponibilidade, e cita autenticidade, responsabilização (accountability), não repúdio e confiabilidade como propriedades que podem entrar junto. A legalidade aparece mais em material brasileiro e de concurso. Na ISO 27001 ela vira os controles de conformidade com requisitos legais e contratuais. Em inglês a tríade é CIA: Confidentiality, Integrity, Availability.

Confidencialidade: só quem pode vê

Pensa em cartão-postal e carta lacrada. Os dois chegam no destino. Só que o cartão-postal, o carteiro, o porteiro e o vizinho podem ler no caminho. A carta lacrada, só quem abre.

Confidencialidade é fazer a informação ser carta lacrada: só quem tem permissão vê.

E "quem pode" não é todo mundo da empresa. O estagiário não precisa ver a folha de pagamento. O RH não precisa da senha do servidor. Cada um vê só o que precisa pro trabalho.

Como quebra:

Senha vazada, ou anotada no post-it do monitor.
Notebook roubado com tudo aberto dentro.
Print de conversa mandado pro grupo errado.
Pasta compartilhada com "qualquer pessoa com o link".

Como protege:

Criptografia: embaralha a informação. Sem a chave, é só lixo.
Senha forte e de uso pessoal.
Controle de acesso: cada um vê só o que precisa.

Pro pessoal técnico: criptografa em dois lugares: em trânsito (TLS, VPN, SSH) e em repouso (BitLocker, LUKS, FileVault, criptografia no banco de dados). A regra do "só o que precisa" é o menor privilégio (least privilege) e o need-to-know. Classificar a informação (pública, interna, confidencial, restrita) ajuda a decidir quanto proteger cada coisa. E vazamento de dado pessoal também é incidente de LGPD, ou seja, cai em legalidade.

Autenticidade: é quem diz ser

É o porteiro do prédio pedindo documento. Não basta dizer "sou o morador do 302". Tem que provar.

E vale pros dois lados:

O banco precisa ter certeza que é você entrando na conta.
Você precisa ter certeza que é o banco do outro lado, e não um site falso igualzinho.

O golpe do falso parente no WhatsApp é ataque à autenticidade: "oi, troquei de número, me faz um Pix?". A foto é do seu primo, o jeito de escrever parece o dele, mas não é ele.

Pra provar quem você é, existem três tipos de prova:

Algo que você sabe: senha, PIN.
Algo que você tem: celular com código, token, cartão.
Algo que você é: digital, rosto.

Usar dois tipos diferentes é o tal do 2FA, autenticação em dois fatores. A senha vazou? Sem o seu celular, o atacante não entra.

Duas senhas não são 2FA. São duas vezes "algo que você sabe".

Como quebra: phishing (site ou e-mail falso), senha vazada, golpe do falso parente, chip clonado pra roubar o código do SMS.

Como protege: 2FA, conferir o endereço do site antes de digitar a senha, desconfiar de pedido urgente e ligar pro número que você já tinha pra confirmar.

Pro pessoal técnico: não confunde autenticação com autorização. Autenticação (AuthN) é provar quem você é. Autorização (AuthZ) é o que você pode fazer depois de entrar. Login certo com permissão errada é falha de autorização. Do lado do servidor, quem prova a identidade do site é o certificado digital (o cadeado do HTTPS), assinado por uma autoridade certificadora. Em e-mail, SPF, DKIM e DMARC dizem se a mensagem veio mesmo daquele domínio. SMS é o 2FA mais fraco por causa do SIM swap: prefere app autenticador (TOTP) ou chave física e passkey (FIDO2).

Integridade: não foi alterado

Pensa no lacre do pote de remédio. Abriu e o lacre tá rompido? Você não toma. Não sabe o que mexeram ali.

Integridade é garantir que a informação chegou igual saiu. Nada trocado, nada apagado, nada a mais.

Exemplo clássico no Brasil: o golpe do boleto. O boleto é real, o valor é real, o logo é real. Só o código de barras foi trocado, e o dinheiro cai na conta de outra pessoa.

E integridade não quebra só por ataque:

Alguém edita a planilha errada sem querer.
O HD começa a falhar e corrompe arquivo.
O download chega pela metade.

Como protege: o hash. É uma impressão digital do arquivo: uma conta que transforma qualquer coisa num código de tamanho fixo. Muda uma vírgula, o código muda inteiro.

Pix de R$ 50,00 para Maria   → 96f04f65bf8de13f0d3b509e...
Pix de R$ 5000,00 para Maria → 4b30f89a020ec189af3d129d...

Dois zeros a mais, código completamente diferente. Quem recebe calcula o hash de novo e compara. Bateu, tá íntegro. Não bateu, alguém mexeu.

Também protegem: assinatura digital, backup (pra voltar a versão certa), histórico de versões e permissão de escrita (quem não precisa editar, só lê).

Pro pessoal técnico: o exemplo é SHA-256, com o código cortado. MD5 e SHA-1 já têm colisão prática: servem pra checar download corrompido, não pra segurança. E hash sozinho não segura atacante: se ele troca a mensagem, troca o hash junto. Por isso existe HMAC (hash com chave secreta) e assinatura digital (hash assinado com chave privada). O TLS faz isso em cada registro, com criptografia e verificação de integridade juntas (AEAD, tipo AES-GCM). Em armazenamento, ZFS e Btrfs guardam checksum de cada bloco e pegam corrupção silenciosa do disco.

Os três no caminho de uma mensagem

Confidencialidade, integridade e autenticidade fecham os três ataques clássicos numa mensagem indo de um lado pro outro:

Ler, alterar e se passar por alguém. Cada ataque quebra um pilar, e cada pilar tem a sua defesa.

Repara no primeiro: o banco recebe tudo certinho. Ninguém percebe nada. Por isso vazamento costuma ser descoberto meses depois.

Irretratabilidade: não dá pra negar

Também chamada de não repúdio. Cai muito em prova com esse nome.

É a assinatura com firma reconhecida em cartório. Assinou, o cartório confirma que foi você. Depois não adianta dizer "não fui eu".

No dia a dia:

O comprovante do Pix. Fez a transferência, não dá pra dizer que não fez.
Contrato assinado com certificado digital ou pelo gov.br.
Log do sistema: quem entrou, quando e o que fez.

Ela depende de dois pilares que já vimos:

Foi você (autenticidade) + foi exatamente isso (integridade) = não dá pra negar (irretratabilidade).

Se um dos dois falha, a pessoa tem como negar. E o jeito mais comum de matar o não repúdio é senha compartilhada. Cinco pessoas usando o mesmo login "admin"? Deu problema, ninguém sabe quem foi. E todo mundo pode dizer "não fui eu".

Como protege: login individual pra cada pessoa, assinatura digital e log guardado num lugar onde quem fez não consegue apagar.

Pro pessoal técnico: o não repúdio vem da criptografia assimétrica. Você assina com a chave privada, que só você tem, e qualquer um confere com a chave pública. HMAC não dá não repúdio: os dois lados têm a mesma chave, então qualquer um dos dois poderia ter gerado. No Brasil, documento assinado com certificado ICP-Brasil tem presunção de veracidade em relação a quem assinou (MP 2.200-2/2001). Pra log valer como prova: relógio sincronizado (NTP), envio pra um servidor central (syslog, SIEM) e armazenamento que não deixa editar nem apagar (WORM). Conta genérica compartilhada é a primeira coisa que auditoria aponta.

Legalidade: dentro da lei

Esse é diferente dos outros. Não é técnica, é regra.

Tudo que você faz com a informação tem que respeitar a lei e os contratos: coletar, guardar, usar, compartilhar e apagar.

Um sistema pode ser super seguro e mesmo assim ilegal:

Pedir CPF pra liberar o Wi-Fi da loja e guardar pra sempre, sem dizer pra quê.
Ler o e-mail corporativo do funcionário sem existir uma política que avise.
Vender a lista de clientes pra outra empresa.

Ninguém invadiu nada. Mesmo assim, problema.

As leis que mais aparecem no Brasil:

LGPD: como empresa pode usar dado pessoal. Precisa de um motivo, tem que avisar o dono do dado e cuidar dele.
Marco Civil da Internet: regras da internet no Brasil. Provedor de internet, por exemplo, é obrigado a guardar os registros de conexão por 1 ano. É por isso que o log do CGNAT existe, aquele do post de sub-rede.
Lei Carolina Dieckmann: invadir o computador ou o celular dos outros é crime.

Pro pessoal técnico: a LGPD é a Lei 13.709/2018, fiscalizada pela ANPD. Todo tratamento de dado pessoal precisa de uma base legal (consentimento é só uma das dez) e segue princípios como finalidade e necessidade: coletar só o que precisa, pra um motivo declarado. Incidente que possa trazer risco ou dano relevante aos titulares tem que ser comunicado à ANPD e aos titulares em 3 dias úteis, pelo regulamento de 2024. O Marco Civil é a Lei 12.965/2014: o art. 13 manda o provedor de conexão guardar registro de conexão por 1 ano, sob sigilo, e o art. 15 manda o provedor de aplicação guardar registro de acesso por 6 meses. A Lei Carolina Dieckmann (12.737/2012) criou o crime de invasão de dispositivo (art. 154-A do Código Penal). Por isso pentest é só com autorização por escrito e escopo definido.

Disponibilidade: tá lá quando precisa

Pensa num cofre perfeito: ninguém abre, ninguém mexe. Só que você também não consegue abrir na hora de pagar o aluguel. Seguro? Sim. Útil? Não.

Informação que ninguém acessa não serve pra nada. Disponibilidade é a informação estar lá quando quem pode precisar dela.

App do banco fora do ar na sexta à noite. Sistema da loja travado no meio do expediente. Internet caiu e a empresa parou. Tudo isso é disponibilidade.

Como quebra:

Ransomware: sequestra os arquivos, criptografa tudo e pede resgate.
DDoS: milhares de aparelhos acessando ao mesmo tempo até o servidor cair.
Coisa física: queda de energia, HD queimado, fibra rompida por obra na rua.
Erro humano: apagou a pasta errada, esqueceu a senha do único admin.

Como protege:

Backup, e testado. Backup que nunca foi restaurado é só esperança.
Redundância: dois links de internet, nobreak, gerador, dois servidores.
Monitoramento: saber que caiu antes do cliente ligar.

Pro pessoal técnico: backup na regra 3-2-1: 3 cópias, em 2 mídias diferentes, 1 fora do local. Contra ransomware, uma delas tem que ser offline ou imutável, senão ele criptografa o backup junto. Duas métricas pra combinar antes do desastre: RPO (quanto dado dá pra perder, ou seja, de quanto em quanto tempo roda o backup) e RTO (em quanto tempo tem que voltar). Em SLA, 99,9% são cerca de 8h45min fora do ar por ano, e 99,99%, cerca de 52 minutos. No provedor, redundância é anel de fibra, dois upstreams com BGP e OLT com fonte e uplink duplicados.

Um Pix passando pelos seis

Tudo junto, num Pix de R$ 50 pra Maria:

Confidencialidade: só você e o banco veem seu saldo e seu extrato.
Autenticidade: o banco confere que é você (senha, digital). E você confere o nome que aparece antes de confirmar, pra ter certeza que é a Maria.
Integridade: os R$ 50 chegam como R$ 50, não como R$ 5.000.
Irretratabilidade: fica o comprovante. Ninguém pode dizer que não aconteceu.
Legalidade: o banco segue as regras do Banco Central e a LGPD com os seus dados.
Disponibilidade: o Pix funciona às 23h de domingo. Essa é a graça dele.

Um ataque, vários pilares

Na vida real, quase nenhum ataque quebra um pilar só.

O ransomware é o exemplo perfeito. Criptografa tudo e a empresa para (disponibilidade). Hoje ele também copia os dados antes e ameaça publicar (confidencialidade). Se tinha dado de cliente ali, vira caso de LGPD (legalidade). E muitas vezes começou com uma senha roubada num e-mail falso (autenticidade).

Por isso não existe "a" ferramenta de segurança. Cada controle segura um pedaço.

Os pilares brigam entre si

Proteger demais um pilar pode derrubar outro.

Senha de 20 caracteres trocada toda semana. Mais confidencialidade, né? Na prática, a pessoa anota no post-it. E quando esquece, fica sem acesso (disponibilidade).
Backup em cinco lugares. Ótimo pra disponibilidade. Mas são cinco lugares pra vazar (confidencialidade).
Tudo bloqueado por padrão. Seguro, até o sistema que a empresa precisa parar de funcionar.

Segurança é equilíbrio. A pergunta certa não é "como deixo isso 100% seguro?". É "quanto vale essa informação, e o que acontece se ela vazar, mudar ou sumir?".

Pro pessoal técnico: essa pergunta é a análise de risco: risco = probabilidade × impacto. A ISO 27005 e o NIST SP 800-30 descrevem o processo. O resultado decide entre mitigar (colocar controle), transferir (seguro, terceirizar), aceitar (e documentar) ou evitar (parar de fazer aquilo). E o próprio guia de senhas do NIST (SP 800-63B) hoje proíbe exigir troca periódica: só manda trocar quando há sinal de que a senha vazou.

Tabela de cola

Pilar	A pergunta	Exemplo de quebra	O que protege
Confidencialidade	Quem pode ver?	Senha vazada, notebook roubado	Criptografia, controle de acesso
Autenticidade	É quem diz ser?	Phishing, golpe do falso parente	2FA, certificado digital
Integridade	Foi alterado?	Golpe do boleto, arquivo corrompido	Hash, assinatura digital, backup
Irretratabilidade	Dá pra negar?	Login compartilhado	Assinatura digital, log, login individual
Legalidade	Tá dentro da lei?	Dado coletado sem motivo	LGPD, Marco Civil, política interna
Disponibilidade	Tá lá quando precisa?	Ransomware, DDoS, queda de energia	Backup, redundância, monitoramento

Fechamento

Seis perguntas: quem pode ver? É quem diz ser? Foi alterado? Dá pra negar? Tá dentro da lei? Tá lá quando precisa?

Toda ferramenta de segurança responde pelo menos uma delas. Da próxima vez que alguém falar de firewall, backup ou 2FA, pergunta: qual pilar isso protege? Sabendo responder, você entende pra que ela serve e o que ainda tá descoberto.