Proteger o ecossistema de identidade na Clarios

A minha função na Clarios é a de Diretor de Segurança da Informação. Também sou responsável pela infraestrutura de TI. Estou na Clarios há cerca de seis anos. A Clarios é a maior empresa fabricante de baterias do mundo — e quando digo «bateria», refiro-me à bateria de baixa tensão que é utilizada em todos os automóveis. Somos uma empresa global. Temos mais de 50 instalações em todo o mundo a fabricar estas baterias e produzimos cerca de 155 milhões de baterias por ano. Portanto, temos esta empresa principal que se dedica ao fabrico das baterias. O fundamental é que temos de proteger esse negócio. Temos de garantir a continuidade das operações e do fabrico, porque toda a indústria automóvel depende das baterias que recebemos. Caso contrário, como sabem, as grandes empresas automóveis não conseguem fazer sair os seus carros das linhas de montagem. Estamos a entrar no sistema de gestão de baterias, que é um software que pode ser integrado nessas baterias e torná-las mais inteligentes, certo? Essas exigências ou pedidos vêm dessas mesmas empresas fabricantes de automóveis. Assim, estamos a passar da produção para nos tornarmos uma empresa de software, o que poderá resultar na prestação de serviços também. Pense nisso como se geríssemos o ecossistema de todas as baterias em frotas e coisas do género, e isso é um importante negócio de serviços. Portanto, o meu desafio é equilibrar isto, proteger o núcleo da empresa — que ainda representa 80% da nossa receita hoje — e também preparar a organização, preparar a infraestrutura e a segurança para estas novas áreas que estão a surgir. E esse é o meu desafio diário. Qual é o impacto se a Clarios ficar inoperacional? Os carros não saem das linhas de montagem. Porque todos os veículos que saem da linha de montagem — carros, camiões, sabe, camiões grandes e coisas do género — precisam de ter a sua bateria de baixa tensão para funcionar. Portanto, se ficarmos inoperacionais, eles também ficam, e isso não é bom. Porquê a Semperis? Quando estávamos a desenvolver as nossas iniciativas para o nosso programa de cibersegurança e afins, tínhamos um lema que dizia: «Queremos ser bons e proteger», seguindo o modelo do NIST. Mas depois dissemos: «Queremos ser bons e proteger, mas queremos ser excelentes na deteção, resposta e recuperação.» A lógica por trás disso é que só podemos proteger até certo ponto. E penso que as organizações mais inteligentes são aquelas que têm boas capacidades de resposta e recuperação. Assim, à medida que analisávamos algumas dessas questões, tornou-se rapidamente claro que a maior parte desse esforço se centrava nas aplicações, e a redundância, outros fornecedores de SaaS e questões como a forma de fazer cópias de segurança e coisas do género foram todas discutidas. Mas depois, quando fizemos um exercício, ao percorrermos o processo passo a passo durante um ensaio real, percebemos que estávamos a partir de muitos pressupostos no que diz respeito ao Active Directory, certo? O meu chefe perguntou: «O que fazem quando o Active Directory está em baixo?» O cenário muda quando os atacantes se apoderam do vosso Active Directory e o tornam inutilizável, ou quando já não se pode confiar em nenhuma das identidades. Foi aí que a conversa começou e começámos a procurar soluções. A Semperis surgiu da nossa pesquisa e iniciámos a discussão. Hoje, utilizamos a Semperis para a recuperação da nossa floresta, para a nossa ferramenta « DSP », que se encarrega da deteção, e também para o DRET. Não sei se utilizamos o portfólio completo da Semperis, mas temos uma parte significativa, a maioria dos seus produtos. Também estamos interessados no produto « Ready1 », principalmente porque, como disse, a resiliência é fundamental. Estamos a fazer alguns investimentos em gestão de crises e continuidade de negócios, por isso não queremos ter de reinventar a roda durante uma crise. Então, como garantimos que temos um conjunto de procedimentos que as pessoas sabem seguir e que são testados periodicamente? Por isso, também estamos muito interessados nessa capacidade. Nunca é demais realçar a capacidade técnica que a equipa da Semperis traz para a mesa. Sabem, consideramos que a AD é uma pequena parte de uma estratégia de recuperação mais ampla, mas acho que muitas vezes nos esquecemos de que é uma parte muito, muito crítica dessa estratégia, e se conseguirmos facilitar isso, é isso mesmo. Portanto, quer seja participando nos eventos deles, quer seja trazendo alguém da Semperis à nossa organização para realizar uma discussão em formato de workshop ou uma demonstração do produto, tenho ficado muito impressionado com as suas capacidades. A minha equipa tem ficado muito satisfeita não só com a perspicácia técnica, mas também com o conhecimento mais abrangente que eles trazem para a mesa, certo? Por mais que falemos do Active Directory, é o ecossistema de identidade mais abrangente que precisa de ser tido em conta. Muitas organizações têm não só o Active Directory, mas também outras ferramentas de IGA (Identity Governance and Administration) e de gestão de acesso privilegiado, entre outras. Por isso, a amplitude de visão que a equipa da Semperis traz para a mesa numa vertente crítica da segurança de identidade é muito apreciada, e temos sempre tido uma boa experiência com eles.