Segurança Cibernética x Segurança da Informação

Se você já teve algum envolvimento com segurança, já deve ter encontrado pessoas que usam segurança cibernética e segurança da informação intercambiavelmente , e outros argumentando (em voz alta e apaixonadamente) que são completamente distintos. No estilo típico, eu pesaria com o fato de que ambos estão errados.

Dado que estamos lidando com áreas muito importantes, pois as pessoas correm riscos por não entenderem a segurança, qual é a diferença?

Há muitos pontos de vista diferentes aqui, então, se eu atropelar o seu favorito, lembre-se de que não é nada pessoal. Vou me inclinar para definições acadêmicas claras, em vez de marketing, já que essas coisas realmente importam.

Disciplinas e Domínio

A primeira coisa que precisamos abordar é a diferença entre uma disciplina e um domínio. Isso pode ficar complicado, então vou cortar todos os detalhes desnecessários. Existem diferentes definições, mas essas são as mais úteis para o que estamos falando.

Disciplina: uma abordagem, um conjunto de conhecimentos e habilidades que podem ser aplicados a diferentes ambientes para entender e interagir. Um exemplo de disciplina pode ser biologia, física ou medicina.

Domínio : um ambiente ou área, seguindo a definição militar, são teatros de operação separados. Um exemplo de um domínio mais acadêmico pode ser oceanos, enquanto militarmente terrestre e cibernético são dois dos domínios geralmente reconhecidos.

A própria segurança é uma disciplina, um conjunto de habilidades e abordagens que são projetadas e aprendidas para identificar ameaças e mitigar seu impacto nos ativos. Em última análise, independentemente do tipo de segurança de que estamos falando, as ameaças sempre serão pessoas e os ativos serão mais pessoas. Pode haver algumas ferramentas e tecnologias intermediárias no caminho, mas a segurança diz respeito às pessoas. Se estivéssemos preocupados com as ameaças ambientais, estaríamos chamando isso de segurança.

Se considerarmos a segurança como uma disciplina, isso significa que a segurança cibernética é aquela disciplina aplicada ao domínio cibernético. A segurança da informação é a mesma disciplina aplicada ao domínio da informação. Se quisermos uma metáfora útil, podemos comparar a disciplina, o conhecimento e as habilidades de segurança com o kit de ferramentas padrão. Se ficarmos com a metáfora (e esticá-la até o ponto de ruptura), então o domínio pode ser a diferença entre abordar um trabalho elétrico ou encanamento.

Há claramente uma diferença entre ser um encanador ou um eletricista, mas ambos os tipos de tarefas podem ser realizados por um amador habilidoso (sem garantias de segurança ou sucesso, é claro). E as ferramentas para ambos têm uma sobreposição de 90%, com apenas alguns especialistas fazendo a diferença.

O que é o Domínio da Informação?

O domínio da informação é grande.

Realmente grande.

E velho.

Para ser preciso, os primeiros exemplos conhecidos de segurança da informação remontam a mais de quatro mil anos, a contratos sumérios escritos e depois colocados dentro de um envelope de argila (com outra cópia do contrato escrita nele) para manter a integridade das informações.

Algumas centenas de anos depois, temos o capítulo 12 do Livro dos Juízes que nos conta sobre o primeiro uso (conhecido) de uma senha para identificar pessoas, em uma história que ainda hoje nos dá o termo shibboleth.

Outro exemplo, poucos séculos atrás, eram as bibliotecas acorrentadas da Idade Média, projetadas não para proteger a confidencialidade, como você poderia esperar, mas a disponibilidade - os livros eram alvos tentadores para os ladrões, portanto, garantir que eles estivessem disponíveis na biblioteca envolvia pesadas correntes. .

Hoje em dia, com a tecnologia prevalecendo, a segurança da informação muitas vezes se confunde com o lado da tecnologia, mas é importante reconhecer que, se considerarmos a segurança da informação adequadamente, ela se aplica a todas as informações, não apenas ao que armazenamos em um computador em algum lugar.

A lente padrão através da qual as pessoas olham para a segurança da informação é a tríade da CIA - e embora definitivamente tenha suas falhas, é amplamente reconhecida e bem estabelecida, então vou continuar com ela. Neste caso, os padrões da CIA para três atributos que a segurança da informação foi projetada para proteger:

• Confidencialidade: as informações devem estar disponíveis apenas para quem está autorizado a acessá-las
• Integridade: as informações não devem ser adulteradas por pessoas não autorizadas
• Disponibilidade: as informações devem estar disponíveis quando necessário

Existem outros modelos, mas qualquer pessoa que tenha feito algum trabalho em segurança da informação saberá de cor a tríade da CIA - ela está praticamente tatuada em nossos cérebros pela repetição neste momento.

O que é o Domínio Cibernético?

Então, temos informações, e o lado cibernético das coisas?

A definição acadêmica agradável e limpa fala sobre 'um domínio de processamento de informações eletrônicas que compreende uma ou várias infra-estruturas de tecnologia da informação'. A chave aqui é a peça de tecnologia, então o domínio cibernético fala sobre tecnologia (e vamos assumir tecnologia baseada em eletrônica, em vez de tabuletas de argila sumérias) processamento de informações.

Em grande parte, isso significa que a segurança cibernética é um subconjunto da segurança da informação, mas fica um pouco confuso na periferia, pois a mesma tecnologia também pode ser funcional - seja em termos industriais ou mesmo em coisas como controle de acesso. Para simplificar, podemos dizer que o domínio cibernético é sobre tecnologia que pode ser conectada a outra tecnologia vinculada ao domínio da informação.

O problema é que precisamos de algo mais do que a tríade da CIA como lente para olhar este mundo. Confidencialidade, integridade e disponibilidade estão um pouco mais distantes do que precisamos se estivermos falando no nível da tecnologia. Quando entramos na tecnologia temos que lidar com ideias mais detalhadas, mais concretas do que quando estamos lidando com o domínio da informação.

Até agora não há realmente uma lente adequada que tenha sido desenvolvida. Há um argumento para o hexágono parkeriano , que adiciona os elementos Posse/Controle, Usabilidade e Autenticidade à tríade, mas eles ainda estão fortemente acoplados ao nível conceitual da informação. Em vez disso, a segurança cibernética é simultaneamente uma implementação mais concreta da disciplina de segurança dentro do domínio e mais difícil de definir devido ao grande número de partes móveis e à complexidade envolvida.

Em última análise, você provavelmente está bem em usar os termos de forma intercambiável, porque quase todo mundo faz isso. Se você quiser se aprofundar na teoria, é importante reconhecer que há uma sobreposição significativa entre segurança cibernética e segurança da informação, mas elas não são a mesma coisa.

Em vez disso, a segurança cibernética se inclina fortemente para a implementação técnica da segurança da informação em sistemas tecnológicos, enquanto a segurança da informação é uma implementação mais conceitual.

A diferença entre segurança cibernética e segurança da informação é importante?

Muitas pessoas dirão que a diferença é irrelevante e não estão completamente erradas. Vale a pena estar ciente e reconhecer, já que a segurança é realmente importante. Dependendo da área específica em que você está trabalhando, não seria exagero chamá-lo de uma questão de vida ou morte.

Se você estiver trabalhando apenas com segurança cibernética, segurança puramente da informação ou até mesmo em um domínio diferente, como segurança física, não há problema em fazer exatamente isso - mas estar ciente da existência de outros domínios e como eles interagem com o seu é absolutamente vital. o que realmente importa em segurança - proteger ativos (pessoas) de ameaças (também pessoas, às vezes as mesmas).

Domine sua área e reconheça onde você tem lacunas que exigem mestres de outros domínios. O lado cibernético só vai ficar mais complexo e interagir com mais domínios à medida que avançamos para o futuro .