Segurança da Informação: o que faz quem trabalha protegendo dados e sistemas?

⏱️ Tempo de leitura: 9 minutos

Você abre o aplicativo do banco e precisa confirmar sua identidade. Uma empresa limita quais funcionários podem acessar determinadas informações. Um sistema identifica uma tentativa suspeita de login. Depois de um ataque, uma equipe investiga o que aconteceu e procura evitar que o problema se repita.

Todas essas situações podem envolver Segurança da Informação.

Para quem está escolhendo uma profissão ligada à tecnologia, é comum associar a área imediatamente a hackers, códigos aparecendo em várias telas e ataques pela internet. Esses elementos existem em algumas funções, mas representam apenas uma parte do trabalho.

Há profissionais cuidando de redes e sistemas, enquanto outros trabalham com riscos, auditoria, políticas internas, investigação de incidentes, testes de segurança, proteção de dados ou continuidade das operações de uma empresa.

Resposta rápida: o que faz um profissional de Segurança da Informação?

O profissional de Segurança da Informação trabalha para proteger dados, sistemas e recursos de uma organização contra acessos indevidos, alterações, perdas, interrupções e outros riscos.

Na prática, suas atividades podem incluir:

• identificar vulnerabilidades;
• controlar acessos;
• monitorar sistemas e redes;
• analisar riscos;
• investigar incidentes;
• testar mecanismos de proteção;
• estabelecer políticas de segurança;
• orientar usuários;
• participar de auditorias;
• criar planos para manter ou recuperar operações depois de um problema.

O trabalho muda bastante conforme a especialidade e a organização.

Uma pessoa pode passar boa parte do dia analisando alertas técnicos. Outra pode trabalhar com normas e procedimentos. Há ainda quem teste aplicações, investigue incidentes ou ajude uma empresa a avaliar riscos antes de implantar uma nova tecnologia.

O que exatamente precisa ser protegido?

Informação.

Pode ser o cadastro de clientes de uma loja, o prontuário de pacientes de um hospital, dados financeiros de uma empresa, projetos de uma indústria, senhas de usuários ou informações armazenadas em uma universidade.

Uma maneira bastante utilizada para compreender a Segurança da Informação é pensar em três objetivos:

Confidencialidade: a informação deve ser acessada somente por quem possui autorização.

Integridade: a informação precisa permanecer correta e não pode ser modificada indevidamente.

Disponibilidade: quem possui autorização precisa conseguir acessar a informação e os sistemas quando necessário.

Imagine o sistema de um hospital.

Não seria suficiente impedir que pessoas não autorizadas vissem o prontuário de um paciente. Também seria necessário evitar alterações indevidas nos registros e garantir que médicos e demais profissionais autorizados conseguissem acessar as informações quando precisassem delas.

Segurança envolve essas três preocupações ao mesmo tempo.

Segurança da Informação e cibersegurança são a mesma coisa?

Os termos aparecem muitas vezes como sinônimos, principalmente no mercado de tecnologia, mas existe uma diferença útil para quem está começando a conhecer a área.

A Segurança da Informação parte da proteção da informação e dos sistemas que a armazenam, processam ou utilizam. Isso envolve tecnologia, mas também procedimentos, pessoas, políticas de acesso, gestão de riscos e outras medidas organizacionais.

A cibersegurança costuma concentrar a atenção nos riscos presentes nos ambientes digitais, como redes, aplicações, dispositivos, servidores e serviços conectados.

Na prática profissional, existe bastante sobreposição entre as duas áreas.

Um ataque a um sistema pode ser um problema de cibersegurança e, ao mesmo tempo, comprometer a confidencialidade, a integridade ou a disponibilidade das informações de uma organização.

Segurança da Informação é só combater hackers?

Não.

Ataques externos são apenas um dos riscos que uma organização precisa considerar.

Imagine que um funcionário consiga acessar informações que não são necessárias para o seu trabalho.

Ou que alguém apague acidentalmente um arquivo importante.

Também pode ocorrer uma falha de configuração, um dispositivo ser perdido, uma senha ser compartilhada, um sistema ficar indisponível ou um fornecedor sofrer um incidente que afete outras empresas.

Há ainda situações em que o criminoso sequer precisa encontrar uma falha sofisticada no sistema.

No artigo Fraudes digitais e bancárias: o que mudou com a nova lei, mostramos como muitos golpes utilizam engenharia social para convencer a própria vítima a fornecer informações, clicar em links ou realizar uma ação.

Isso ajuda a entender por que Segurança da Informação envolve também pessoas e processos.

Uma empresa pode utilizar ferramentas tecnológicas avançadas e ainda enfrentar problemas se seus usuários não souberem reconhecer uma tentativa de fraude ou se os acessos aos sistemas estiverem mal organizados.

O que um profissional de Segurança da Informação faz no dia a dia?

Depende bastante da função.

Em uma empresa, um profissional pode começar o dia verificando alertas gerados durante a madrugada e investigando se algum deles representa um incidente.

Em outra função, pode analisar as permissões de acesso dos funcionários e verificar se alguém possui privilégios que não deveria ter.

Também pode participar da implementação de um novo sistema e perguntar:

Quais dados ele utilizará? Quem terá acesso? Como as informações serão protegidas? O sistema continuará funcionando se algum componente falhar? Como a empresa responderá se ocorrer um incidente?

Em outras áreas, o trabalho pode incluir documentação, reuniões com diferentes departamentos, auditorias, análise de contratos ou definição de procedimentos.

Isso explica por que a profissão não possui uma única rotina.

O que é um SOC?

Quem começa a pesquisar carreiras em cibersegurança provavelmente encontrará essa sigla.

SOC vem de Security Operations Center, ou Centro de Operações de Segurança.

É uma estrutura responsável por acompanhar eventos e alertas relacionados à segurança de uma organização.

Quando um sistema identifica um comportamento suspeito, por exemplo, os profissionais podem analisar o alerta para entender se ocorreu apenas uma atividade normal ou se existe algum risco que precisa ser investigado.

Dependendo da situação, a equipe pode buscar a origem do problema, verificar quais sistemas foram afetados e tomar medidas para reduzir seus impactos.

Trabalhar em um SOC é uma das possibilidades de entrada e desenvolvimento profissional em Segurança da Informação, mas está longe de ser a única.

O que é resposta a incidentes?

Nem todo problema pode ser impedido.

Por isso, organizações também precisam saber o que fazer quando um incidente acontece.

A resposta a incidentes pode envolver identificar o problema, limitar seus efeitos, investigar o que aconteceu, recuperar sistemas e analisar quais mudanças precisam ser adotadas posteriormente.

Imagine que uma empresa perceba que uma conta corporativa foi comprometida.

Não basta simplesmente alterar a senha.

Pode ser necessário descobrir como o acesso ocorreu, verificar quais sistemas foram utilizados, identificar informações que possam ter sido acessadas e avaliar se outras contas também estão em risco.

Dependendo do incidente, diferentes profissionais e áreas da organização participam do processo.

O que faz quem trabalha com vulnerabilidades?

Uma vulnerabilidade é uma fraqueza que pode comprometer a segurança de um sistema.

Ela pode estar relacionada a software desatualizado, configuração inadequada, falha em uma aplicação ou outro problema técnico.

Profissionais que atuam nessa frente procuram identificar essas fragilidades, avaliar os riscos e acompanhar sua correção.

Aqui também aparece uma diferença importante: encontrar uma vulnerabilidade não significa automaticamente invadir um sistema.

No contexto profissional, testes de segurança precisam ser autorizados e seguir regras e limites definidos pela organização responsável pelo ambiente.

E o que é pentest?

O teste de penetração, ou pentest, é uma avaliação autorizada em que profissionais procuram identificar e explorar determinadas vulnerabilidades para verificar até onde uma falha poderia comprometer um ambiente.

O objetivo é encontrar problemas antes que sejam aproveitados de maneira maliciosa e produzir informações que ajudem a corrigi-los.

É uma das áreas que mais se aproxima da imagem popular do chamado “hacker ético”, mas Segurança da Informação possui muitas outras possibilidades profissionais.

Existem áreas menos voltadas à parte técnica?

Sim.

Um exemplo está em Governança, Riscos e Compliance, frequentemente chamada pela sigla GRC.

Profissionais dessa área podem trabalhar com políticas de segurança, avaliação de riscos, controles internos, auditorias, requisitos regulatórios e procedimentos adotados pela organização.

Imagine uma empresa contratando um novo serviço de tecnologia.

Antes de utilizá-lo, pode ser necessário verificar quais dados serão compartilhados, onde ficarão armazenados, quais medidas de segurança o fornecedor utiliza e quais riscos existem caso o serviço fique indisponível.

Esse tipo de decisão também faz parte da Segurança da Informação.

A diversidade da profissão aparece inclusive no NICE Framework, referência internacional utilizada para descrever o trabalho em cibersegurança. O modelo reúne funções relacionadas a governança, desenvolvimento seguro, implementação e operação, proteção e defesa e investigação.

Por isso, dois profissionais que dizem trabalhar com Segurança da Informação podem exercer atividades bastante diferentes.

Segurança da Informação e LGPD são a mesma coisa?

Não.

A Lei Geral de Proteção de Dados, LGPD, estabelece regras para o tratamento de dados pessoais.

Segurança da Informação possui um escopo próprio e não se limita aos dados pessoais protegidos pela legislação.

As duas áreas, porém, se encontram.

A LGPD determina que organizações responsáveis pelo tratamento de dados pessoais adotem medidas técnicas e administrativas capazes de protegê-los contra acessos não autorizados e situações acidentais ou ilícitas.

Por isso, profissionais de Segurança da Informação podem trabalhar ao lado de equipes jurídicas, responsáveis pela proteção de dados, compliance e outras áreas.

No blog da FSA, o conteúdo Golpes com dados pessoais: como se proteger segundo a LGPD aprofunda justamente a relação entre privacidade, dados pessoais e cuidados no ambiente digital.

É preciso saber programar para trabalhar com Segurança da Informação?

Depende da área escolhida.

Programação pode ser bastante útil em funções relacionadas à segurança de aplicações, automação, análise técnica e testes de segurança.

Mas não significa que todas as pessoas que trabalham com Segurança da Informação passem o dia desenvolvendo software.

Quem atua com governança, riscos, compliance ou auditoria, por exemplo, pode trabalhar muito mais com controles, processos, legislação, documentação e análise.

Ainda assim, mesmo nessas áreas, compreender como sistemas, redes e aplicações funcionam ajuda a conversar com equipes técnicas e avaliar riscos.

Para quem está no começo, conhecimentos de lógica, redes, sistemas operacionais e funcionamento da internet formam uma base bastante útil.

Preciso ser muito bom em matemática?

Não existe uma única resposta, porque a área possui especialidades bastante diferentes.

Alguns temas, como criptografia, podem envolver matemática de forma mais intensa.

Em muitas outras atividades, aparecem com frequência raciocínio lógico, análise de problemas, organização e capacidade de investigar informações.

Também existe um componente que às vezes surpreende quem imagina a profissão como um trabalho solitário: comunicação.

Um profissional pode precisar explicar um risco técnico para alguém da diretoria, escrever um relatório sobre um incidente, orientar funcionários ou conversar com desenvolvedores sobre uma vulnerabilidade.

Saber explicar um problema com clareza pode ser tão importante quanto encontrá-lo.

Quais habilidades combinam com a área?

Não existe um perfil obrigatório, mas alguns interesses podem ajudar.

Gostar de descobrir como sistemas funcionam é um deles.

Também aparecem características como:

• raciocínio lógico;
• atenção aos detalhes;
• curiosidade;
• capacidade de investigação;
• organização;
• disposição para aprender continuamente;
• comunicação;
• resolução de problemas;
• responsabilidade no uso de informações e ferramentas.

A ética também ocupa um espaço importante.

Um profissional de Segurança da Informação pode ter acesso a sistemas, dados e ferramentas que exigem responsabilidade e respeito às autorizações estabelecidas.

Em quais áreas um profissional pode trabalhar?

Algumas possibilidades são:

Segurança de redes

Envolve proteção da infraestrutura utilizada para conectar sistemas, equipamentos e usuários.

Segurança de aplicações

Procura identificar e reduzir riscos em softwares, sites e aplicativos ao longo de seu desenvolvimento e utilização.

Segurança em nuvem

Trabalha com ambientes e serviços de computação em nuvem, incluindo acessos, configurações, dados e infraestrutura.

Monitoramento e operações de segurança

Inclui atividades relacionadas a SOCs, análise de alertas e identificação de comportamentos suspeitos.

Resposta a incidentes

Atua na investigação, contenção e recuperação depois de eventos de segurança.

Análise de vulnerabilidades

Identifica fragilidades e ajuda a priorizar sua correção.

Pentest

Realiza testes autorizados para verificar como determinadas vulnerabilidades poderiam ser exploradas.

Forense digital

Analisa evidências digitais relacionadas a incidentes, investigações ou outros eventos.

Governança, riscos e compliance

Trabalha com políticas, controles, riscos, requisitos e processos organizacionais.

Auditoria de segurança

Avalia se práticas, sistemas e controles estão de acordo com critérios e requisitos estabelecidos.

Continuidade de negócios

Ajuda a planejar como atividades importantes poderão continuar ou ser recuperadas diante de falhas, incidentes ou indisponibilidade de sistemas.

A lista também mostra como a área pode reunir perfis bastante diferentes.

Onde esse profissional pode trabalhar?

Praticamente qualquer organização que dependa de sistemas e informações precisa pensar em segurança.

Isso inclui:

• bancos e fintechs;
• hospitais e laboratórios;
• indústrias;
• empresas de tecnologia;
• comércio eletrônico;
• universidades;
• empresas de telecomunicações;
• consultorias;
• seguradoras;
• órgãos públicos;
• empresas de logística;
• varejo.

Até organizações que não vendem tecnologia podem possuir equipes próprias ou contratar empresas especializadas para cuidar de parte dessas atividades.

Um hospital precisa proteger informações e manter sistemas disponíveis.

Uma indústria precisa cuidar de seus ambientes tecnológicos.

Um banco precisa controlar acessos, monitorar transações e responder a incidentes.

Uma loja virtual precisa proteger contas de clientes e sistemas de pagamento.

A tecnologia muda, mas a necessidade de avaliar riscos acompanha todos esses setores.

Inteligência Artificial também entrou na Segurança da Informação?

Sim, em diferentes direções.

Ferramentas de Inteligência Artificial podem ajudar profissionais a analisar grandes volumes de informações, encontrar comportamentos suspeitos e automatizar algumas tarefas.

Ao mesmo tempo, sistemas baseados em IA também precisam ser protegidos.

Há ainda criminosos utilizando recursos de IA para tornar mensagens, imagens, áudios e abordagens fraudulentas mais convincentes.

Isso cria novas questões para quem trabalha na área: como proteger modelos e dados? Como avaliar o uso seguro de ferramentas de IA dentro de uma organização? Como identificar atividades suspeitas em ambientes que utilizam essas tecnologias?

O próprio NICE Framework já incorpora segurança de Inteligência Artificial entre as áreas de competência relacionadas ao trabalho em cibersegurança.

Como começar a conhecer Segurança da Informação?

Se você ainda está no Ensino Médio, não precisa esperar a faculdade para descobrir se gosta da área.

Algumas formas de começar são entender melhor:

• como computadores e sistemas operacionais funcionam;
• conceitos básicos de redes;
• lógica de programação;
• proteção de contas e senhas;
• funcionamento da internet;
• noções de privacidade e proteção de dados;
• princípios de Segurança da Informação.

Laboratórios educativos e ambientes próprios para aprendizagem também permitem praticar sem testar técnicas em sistemas reais sem autorização.

Outra possibilidade é acompanhar conteúdos sobre diferentes carreiras em tecnologia.

No artigo Por que cursos de TI e Engenharia de Software estão em alta, mostramos como cibersegurança aparece ao lado de desenvolvimento, dados, nuvem e Inteligência Artificial entre as diferentes frentes da tecnologia.

Segurança da Informação é curso de bacharelado ou tecnólogo?

Existem diferentes formações que podem levar à área.

Na Fundação Santo André, Segurança da Informação é um curso superior de tecnologia, o tecnólogo, com duração de quatro semestres.

Isso significa que é uma graduação de nível superior, assim como bacharelados e licenciaturas, mas possui uma proposta curricular mais direcionada à área profissional.

Na formação da FSA aparecem conteúdos como Fundamentos de Segurança, Criptografia, Protocolos Seguros, Administração de Sistemas Seguros, Redes e Firewall, Auditoria de Sistemas, Gestão de Riscos, Continuidade de Negócios, Legislação e Ética em Segurança da Informação.

São conhecimentos que ajudam a entender por que trabalhar com segurança não significa conhecer apenas uma ferramenta ou saber impedir um único tipo de ataque.

Como saber se Segurança da Informação combina comigo?

Talvez você já tenha se perguntado por que um aplicativo exige autenticação em duas etapas, como uma empresa percebe que sofreu um ataque ou o que acontece depois que uma vulnerabilidade é descoberta.

Esse tipo de curiosidade é um bom ponto de partida.

A profissão reúne tecnologia, análise, investigação, prevenção e tomada de decisão. Dependendo da especialidade, também pode envolver legislação, processos empresariais e gestão.

Conhecer as diferentes áreas ajuda a perceber que não existe um único caminho dentro da Segurança da Informação.

Se você está escolhendo uma graduação e se interessa por tecnologia, sistemas, investigação e proteção de dados, conheça os cursos de graduação da Fundação Santo André e veja como funciona a formação em Segurança da Informação.