Os quatro pilares da segurança da informação
Confidencialidade, integridade, disponibilidade e autenticidade sustentam qualquer política de segurança séria. Veja o que cada pilar exige na prática.
Publicado em Atualizado em 2 min de leitura
Principais pontos
- Confidencialidade garante que o dado só seja lido por quem tem autorização explícita para tanto.
- Integridade assegura que o dado não foi alterado entre a origem e o destino, acidentalmente ou não.
- Disponibilidade trata o acesso no momento necessário como requisito de segurança, não de infraestrutura.
- Autenticidade comprova a identidade de quem originou a informação e sustenta o não repúdio.
A segurança da informação costuma ser tratada como uma lista de ferramentas — firewall, antivírus, criptografia. É uma leitura empobrecida. Ferramenta é meio; o que se busca são propriedades que a informação precisa manter ao longo de todo o seu ciclo de vida.
No setor público brasileiro, e cada vez mais no mercado financeiro, essas propriedades são organizadas em quatro pilares.
Confidencialidade
Confidencialidade assegura que a informação seja acessada apenas por quem tem autorização. Na prática, isso se traduz em três controles que precisam existir juntos:
- Controle de acesso baseado em papéis, não em pessoas — o acesso segue a função, e some quando a função muda.
- Criptografia em trânsito e em repouso, para que o dado interceptado permaneça ilegível.
- Registro de acesso, porque um controle que não deixa rastro não pode ser auditado.
Um sistema em que todos são administradores não tem controle de acesso. Tem uma lista de nomes.
Integridade
Integridade garante que a informação não foi alterada de forma indevida entre a origem e o destino. É o pilar que sustenta a confiança em qualquer registro financeiro: um extrato que pode ter sido editado no caminho não serve para conciliação nem para prestação de contas.
Os mecanismos habituais são funções de hash, assinaturas digitais e trilhas de auditoria imutáveis.
Disponibilidade
Disponibilidade trata o acesso no momento necessário como requisito de segurança. É o pilar mais frequentemente esquecido, porque não envolve um adversário lendo dados — envolve um adversário impedindo que você os leia.
Redundância, plano de continuidade e testes de restauração de backup são o que sustentam este pilar. Backup que nunca foi restaurado é uma hipótese, não um controle.
Autenticidade
Autenticidade comprova que a informação vem de quem diz vir. É o que dá base ao não repúdio: a impossibilidade de alguém negar depois a autoria de uma operação que de fato realizou.
Certificados digitais, autenticação multifator e assinatura eletrônica são as implementações mais comuns.
Os quatro juntos, ou nenhum
O erro mais caro é tratar os pilares como uma escada. Eles são simultâneos: um sistema com criptografia impecável e sem plano de continuidade falha em disponibilidade; um com alta disponibilidade e sem controle de acesso falha em confidencialidade.
A pergunta útil, em qualquer revisão de arquitetura, é sempre a mesma — qual dos quatro este desenho está deixando descoberto?
Perguntas frequentes
- Qual a diferença entre integridade e autenticidade?
- Integridade responde se o conteúdo foi alterado; autenticidade responde quem o originou. Um documento pode chegar íntegro e ainda assim ter origem forjada, e por isso os dois controles são complementares e não substituíveis.
- Disponibilidade é mesmo um pilar de segurança?
- Sim. Informação inacessível no momento em que é necessária tem, na prática, o mesmo efeito de informação perdida. Ataques de negação de serviço exploram exatamente esse pilar, sem precisar ler ou alterar um único dado.
- Como esses pilares se relacionam com a LGPD?
- A LGPD exige medidas técnicas e administrativas aptas a proteger dados pessoais. Os quatro pilares são a forma consagrada de organizar essas medidas e de demonstrar diligência em caso de fiscalização ou incidente.
Referências
- Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais — Presidência da República
