Uma aposta de 250 milhões de dólares em que testar não é um acontecimento
Snehal Antani, que fundou a Horizon3 em 2019 com Anthony Pillitiere depois de ambos terem trabalhado no Joint Special Operations Command, descreveu o marco em termos de autorização merecida e não de tecnologia. A empresa inventou o conceito de piratas informáticos com inteligência artificial, disse, e passou seis anos a merecer o direito de testar autonomamente as redes mais críticas. A 3 de agosto a empresa anunciou uma série E de 250 milhões de dólares com avaliação acima de 2 mil milhões, coliderada pelos investidores já presentes NightDragon e NEA, com a entrada da Acrew, Blue Cloud Ventures, EDBI, Demeter Group, PSG, SAIC e Sapphire, ao lado de apoiantes existentes como Craft Ventures, Prosperity7 Ventures, Qualcomm Ventures, Ridge Ventures e SignalFire.
Os números por detrás da ronda descrevem uma categoria a ser reavaliada e não apenas uma empresa que corre bem. A Horizon3 declara receitas recorrentes anuais próximas de 100 milhões de dólares com um crescimento de 120 por cento em termos homólogos, mais de 7.000 organizações protegidas, quatro clientes da Fortune 10 e 310.000 testes executados dentro de ambientes de produção em funcionamento. Dave DeWalt, fundador da NightDragon e antes responsável máximo da FireEye e da McAfee, entra no conselho juntamente com o diretor executivo da NightDragon, Morgan Kyauk. A empresa abriu um escritório em Amesterdão em junho e estende-se à Austrália e a Singapura.
O que a lei europeia exige de facto, e com que frequência
O regulamento sobre a resiliência operacional digital fixa a cadência precisamente para as entidades com maior probabilidade de comprar este produto. Os artigos 26.º e 27.º obrigam as entidades financeiras designadas a realizar testes avançados de resiliência através de intrusão orientada por ameaças pelo menos de três em três anos. Só ficam abrangidas as entidades consideradas significativas e com sistemas suficientemente maduros, e as normas foram desenvolvidas em consonância com o quadro TIBER-EU, atualizado a 11 de fevereiro de 2025 para corresponder às normas técnicas de regulamentação adotadas ao abrigo do DORA.
Há dois pontos a fixar antes de qualquer conversa orçamental. Primeiro, as entidades financeiras regem-se pelo DORA e não pela NIS2, porque o artigo 4.º da NIS2 cede perante o regime mais específico, e as empresas planeiam com frequência pelo texto errado. Segundo, a cadência é um mínimo e não um alvo. O DORA aplica-se desde janeiro de 2025, pelo que um ciclo de três anos coloca o primeiro teste completo orientado por ameaças por volta de janeiro de 2028 para as entidades abrangidas desde o início, cerca de dezoito meses a partir de agora. O Reino Unido mantém para as grandes instituições um esquema próprio orientado por ameaças, com filosofia comparável.
O documento e a medida estão a afastar-se
Aqui está a tensão que a ronda expõe. Um teste de intrusão orientado por ameaças é conduzido por informação, executado por pessoas competentes contra um alvo delimitado, e produz um documento que satisfaz um supervisor. O teste automatizado contínuo produz outra coisa: uma medição móvel da exposição explorável. Matt Hartley, diretor comercial da Horizon3, sustenta que um trabalho convencional examina apenas dois ou três por cento de uma rede uma vez por ano, ao passo que uma plataforma autónoma consegue cobrir todo o parque de forma contínua sem parar a produção. É a formulação de um fornecedor sobre a sua própria vantagem e assim deve ser lida, mas a observação de fundo sobre amostragem não é controversa entre quem encomenda estes testes.
O contrapeso honesto é que a automatização não substitui aquilo que torna valioso um teste orientado por ameaças. Tais testes assentam em informação sobre quem atacaria plausivelmente aquela instituição concreta e de que modo, e uma boa equipa de ataque inventa caminhos que nenhum verificador enumera. Não são substitutos, e quem dispense a sua equipa humana por ter comprado uma plataforma autónoma percebeu mal as duas coisas. O que muda de facto é o significado do certificado trienal. Passar em 2028 diz que o parque aguentou um ataque delimitado e guiado por informação em certas datas. Nada diz sobre os mil dias de cada lado, e o mercado acaba de colocar 250 milhões de dólares atrás da ideia de que é aí que a exposição vive.
O que mudar no próximo ciclo de testes
Comece por escrever que regime o vincula e em que data vence o próximo teste orientado por ameaças. Parece elementar e é o passo mais vezes saltado, porque a responsabilidade pela resposta costuma ficar entre uma função de conformidade que conhece o prazo e uma função de segurança que conhece o parque. Se a sua instituição está abrangida e o DORA lhe é aplicável desde janeiro de 2025, trabalhe de trás para a frente a partir do início de 2028 e tenha presente que a delimitação e a fase de informação começam muitos meses antes do teste.
Trate depois as duas atividades como rubricas separadas com finalidades separadas. O teste regulado é uma entrega com data, um âmbito acordado com o supervisor e uma fase de informação, e deve ser orçamentado como projeto. O teste contínuo é uma medida operacional, e a pergunta ao fornecedor não é quantos achados produz mas com que rapidez um ativo recém-exposto surge nos seus resultados e como se comporta perante produção em funcionamento. Peça também o histórico de falhas e não apenas a contagem de testes sem perturbação. Uma plataforma que executou centenas de milhares de testes em produção tem um historial de segurança que merece exame detalhado antes de tocar no seu núcleo bancário.
Leia a seguir: 45.601 falhas e só 171 estão a ser usadas | Uma mensagem alcançou as chaves SSH
