O que aconteceu de facto, e porque é que isto lhe interessa?

Os relatos indicam que um dos laboratórios de IA mais avançados expôs o seu próprio código-fonte através de um único ficheiro mal configurado. O detalhe que merece a sua atenção não é a empresa. É quão vulgar foi a falha. Não foi um ataque brilhante a derrotar defesas brilhantes. Foi uma definição deixada errada, e essa mesma definição existe na maioria das organizações que nunca olharam.

Porque é que o básico continua a vencer o brilhante?

Porque o incidente comum não é um zero-day. É um bucket público, uma chave exposta, uma dependência que ninguém reviu, ou um ficheiro de configuração que entrou em produção com a flag errada. A sofisticação do seu produto não o protege de uma caixa que ficou por assinalar na sua infraestrutura. A organização de engenharia mais capaz de uma área pode ainda assim perder as suas joias da coroa por uma configuração errada de rotina, e é precisamente esse o ponto.

Como é que a disciplina de configuração se traduz na prática?

É pouco vistosa e repetível. A configuração é revista antes de entrar em produção, não depois de um incidente. O acesso segue o privilégio mínimo, de modo que um único erro expõe pouco. Existe um inventário atualizado do que é público face ao que é privado. O controlo de alterações é real, e uma pessoa designada pelo nome presta contas pelo que sai. Nada disto é entusiasmante. Tudo isto é a diferença entre um trimestre tranquilo e uma violação que tem de explicar ao seu conselho de administração.

Por onde deve uma empresa começar?

Parta do princípio de que a exposição já existe e vá à procura dela. Audite o que está acessível publicamente, quem pode alterar a configuração, e se alguém assume de facto essa responsabilidade. A maioria das organizações descobre que a resposta à última pergunta é ninguém em particular, e essa é a verdadeira conclusão. Corrija isso, e a maior parte do risco vem atrás. Aqui, a disciplina não é um custo. É o seguro mais barato que alguma vez irá comprar.

Leia a seguir: Qual e a linha mais perigosa no seu balanço?  ·  A Alphabet está a captar 80 mil milhões de dólares para IA. Esse é o seu sinal para parar de competir em infraestrutura.