## glossário
O que é Segurança da Informação?
Segurança da informação é o conjunto de práticas, controles e tecnologias voltados a proteger dados e sistemas contra acesso não autorizado, alteração indevida, destruição ou indisponibilidade. Abrange muito mais que ferramentas: envolve processos, políticas e comportamento das pessoas.
Esse último ponto é decisivo. A maior parte dos incidentes bem-sucedidos não explora uma falha técnica sofisticada — explora uma pessoa, por phishing, senha reutilizada ou configuração descuidada.
A tríade CIA
Três propriedades organizam todo o campo:
- Confidencialidade — apenas quem tem autorização acessa a informação.
- Integridade — a informação não é alterada de forma indevida ou não detectada.
- Disponibilidade — quem tem direito de acesso consegue acessá-la quando precisa.
As três frequentemente entram em tensão. Criptografia forte protege a confidencialidade e pode comprometer a disponibilidade se a chave for perdida. Backups aumentam a disponibilidade e ampliam a superfície de exposição. Segurança é gestão de trade-offs, não maximização de uma dimensão.
Ameaças mais comuns em aplicações
- Injeção de SQL — entrada não tratada altera a consulta ao banco. Evitada com consultas parametrizadas.
- XSS — script malicioso injetado numa página executa no navegador de outros usuários.
- CSRF — o navegador autenticado da vítima é induzido a executar uma ação indesejada.
- Credenciais expostas — chaves de API e senhas commitadas no repositório, uma das falhas mais frequentes.
- Dependências vulneráveis — bibliotecas de terceiros com falhas conhecidas e não atualizadas.
- Engenharia social — manipulação de pessoas; contorna qualquer controle técnico.
// VULNERÁVEL — a entrada vira parte do comando
const query = "SELECT * FROM usuarios WHERE email = '" + email + "'";
// entrada maliciosa pode retornar todos os usuários
// SEGURA — parametrizada: a entrada nunca vira comando
const query = 'SELECT * FROM usuarios WHERE email = $1';
await db.query(query, [email]);Princípios de defesa
Alguns princípios orientam decisões melhor que listas de ferramentas. Defesa em profundidade: várias camadas, porque uma sempre falha. Menor privilégio: cada usuário e serviço recebe apenas o acesso estritamente necessário. Falha segura: em caso de erro, o sistema nega em vez de permitir. E nunca confie na entrada: valide no servidor, sempre — validação no cliente é usabilidade, não segurança.
Autenticação e o contexto brasileiro
Senhas devem ser armazenadas com funções de hash próprias para isso, como bcrypt ou Argon2 — nunca em texto claro nem com MD5 ou SHA simples. A autenticação em múltiplos fatores é a medida isolada de maior impacto contra roubo de credenciais, tema tratado em MFA na prática. No Brasil, a LGPD torna a proteção de dados pessoais obrigação legal, com sanções relevantes. Para o lado ofensivo autorizado, veja o que é pentest.
## faq
Perguntas frequentes
Qual a diferença entre segurança da informação e cibersegurança?
Segurança da informação é mais ampla e cobre qualquer forma de informação, inclusive documentos em papel e conversas. Cibersegurança é o recorte que trata de sistemas, redes e dados digitais. Na prática cotidiana os termos são usados de forma intercambiável.
Como armazenar senhas com segurança?
Nunca em texto claro nem com hashes rápidos como MD5 ou SHA-1. Use funções projetadas para senhas, como bcrypt, scrypt ou Argon2, que são deliberadamente lentas e aplicam salt único por usuário — tornando ataques de força bruta inviáveis mesmo se o banco vazar.
Sistema pequeno também é alvo?
Sim. A maior parte dos ataques é automatizada e varre a internet indiscriminadamente em busca de versões vulneráveis e configurações padrão. Não há seleção de alvo por relevância — basta estar exposto e desatualizado.