3SW : um modelo adaptado do CIS Controls v8.1 para mitigação de ameaças a servidores Web

Abstract

A crescente dependência tecnológica e expansão dos serviços digitais, aliada ao aumento expressivo das ameaças cibernéticas, exige que a Administração Pública eleve sua maturidade em segurança da informação, especialmente em relação aos ativos críticos, como os servidores web. Dessa forma, há a necessidade de reduzir riscos imediatos e fortalecer a segurança cibernética por meio de ações práticas, aplicáveis e priorizadas. Esta dissertação propõe o modelo 3SW (Subconjunto de Salvaguardas para Servidores Web), um conjunto específico de medidas de segurança derivadas do CIS Controls v8.1, voltado à proteção de servidores web em ambientes institucionais. A metodologia da pesquisa para a construção do 3SW baseou-se em uma adaptação da análise de conteúdo proposta por Bardin, estruturada em três fases: Pré-análise, Aplicação de Critérios e Análise dos Resultados. A partir de critérios qualitativos, foram selecionadas 93 medidas de segurança distribuídas em 17 dos 18 controles do CIS Controls v8.1, com foco exclusivo em servidores web. O modelo foi então validado por meio de um estudo de caso. Inicialmente foi realizado um diagnóstico na organização no qual o modelo seria aplicado utilizando-se de análise documental e entrevistas. O modelo 3SW foi então aplicado ao Sistema Alpaca, enquanto o modelo de referência WAH (Web Application Hacking do Commmunity Defense Model) foi utilizado no Sistema Lhama. Finalmente, os resultados obtidos foram comparados com objetivo de concluir sobre a efetividade do 3SW. O diagnóstico apontou que, embora o CIS Controls já fosse adotado na organização por meio do Programa de Privacidade e Segurança da Informação (PPSI), sua aplicação generalista não atendia com precisão as demandas dos servidores web. Dentre as limitações observadas estão a ausência de foco por ativo e a baixa granularidade nas escalas de avaliação. A comparação dos resultados de aplicação dos modelos nos dois sistemas indicou que o modelo 3SW alcançou 82% de efetividade (76 de 93 medidas implementadas) e 97% de cobertura de mitigações ativas (baseadas no MITRE ATT&CK). Já o modelo WAH alcançou 74% de efetividade e 95% de cobertura. Além disso, o 3SW apresentou maior completude por controle (59% dos controles com implementação total, contra 38% do WAH), demonstrando seu alinhamento técnico aos servidores web e a realidade operacional do órgão público que participou do estudo de caso. O 3SW representa uma proposta aplicável, com potencial de impacto direto na segurança cibernética da Administração Pública, atuando de forma sinérgica ao já existente PPSI. Além disso, por sua abordagem metodológica rigorosa, resultados práticos e relevância institucional, espera-se que esta pesquisa contribua para o debate acadêmico e técnico em torno da aplicação contextualizada de frameworks de segurança e da proteção de ativos estratégicos em ambientes públicos.