Fundamentos de segurança operacional (OPSEC)

Segurança operacional (OPSEC) é o processo de proteger informações sensíveis contra adversários por meio da identificação de informações críticas, da análise de ameaças e da implementação de contramedidas. Originalmente um conceito militar, hoje ela é essencial para profissionais de segurança, jornalistas e ativistas.

O processo formal de OPSEC:

1. Identifique as informações críticas — o que deve ser protegido?
2. Analise as ameaças — quem quer essas informações?
3. Analise as vulnerabilidades — como elas poderiam ser expostas?
4. Avalie o risco — qual é a probabilidade e o impacto?
5. Aplique contramedidas — reduza o risco a um nível aceitável

Peças individuais de informação aparentemente inofensivas podem ser combinadas para revelar detalhes sensíveis. Publicar separadamente sua cafeteria, seu horário de trabalho, seu bairro e o modelo do seu carro cria um perfil de alvo. Adversários agregam dados de fontes abertas para produzir inteligência acionável.

Para reduzir sua pegada digital:

• Utilize pseudônimos e endereços de e-mail separados para finalidades diferentes
• Minimize sua exposição pública nas redes sociais
• Utilize mecanismos de busca que preservem a privacidade (DuckDuckGo, Brave)
• Recuse o compartilhamento de dados com sites de intermediários de dados
• Revise regularmente as permissões dos aplicativos

A compartimentalização separa identidades, ferramentas e atividades para limitar a contaminação cruzada. Um pesquisador de segurança pode utilizar dispositivos, navegadores e contas de e-mail separados para diferentes personas ou trabalhos com clientes.

Escolha canais de comunicação seguros:

• Signal — mensagens com criptografia de ponta a ponta e mensagens que desaparecem
• ProtonMail — e-mail criptografado
• Evite utilizar e-mail para discussões sensíveis quando possível
• Saiba que os metadados (com quem você fala e quando) costumam revelar tanto quanto o conteúdo

Medidas de OPSEC física:

• Utilize filtros de privacidade de tela em laptops em locais públicos
• Desative o microfone e a câmera quando não estiverem em uso
• Esteja atento à observação por cima do ombro em espaços públicos
• Utilize criptografia de disco (BitLocker, FileVault, LUKS)
• Triture documentos sensíveis

Falhas notáveis de OPSEC:

• Sabu (LulzSec): esqueceu de utilizar o Tor uma vez → o IP foi revelado → foi preso
• Ross Ulbricht (Silk Road): utilizou o mesmo nome de usuário em vários sites anos antes de criar o Silk Road
• Grupos de APT: reutilização de código de software malicioso ou de infraestrutura vinculada a operações anteriores

Durante os trabalhos, os testadores de invasão praticam OPSEC para simular adversários reais e evitar expor acidentalmente os sistemas dos clientes a invasores reais:

• Utilize VPNs ou infraestrutura de anonimização
• Alterne as assinaturas das ferramentas
• Limpe os artefatos após os testes
• Documente todas as ações para o relatório

Sua postura de OPSEC depende do seu modelo de ameaças:

• Pessoa comum: boas práticas básicas de senhas + MFA
• Profissional de segurança: compartimentalização + criptografia robusta
• Jornalista/ativista: uso completo do Tor + dispositivos isolados de redes para trabalhos sensíveis

Uma OPSEC excessiva sem um modelo de ameaças compatível cria um atrito contraproducente.

Uma OPSEC eficaz não é uma lista de verificação, mas uma mentalidade: perguntar continuamente "que informação estou revelando, a quem e o que essa pessoa pode fazer com ela?" Essa autoavaliação sob a perspectiva de um adversário se torna um hábito com a prática.

Um analista utiliza em um fórum pessoal de jogos o mesmo nome de usuário que utilizou ao configurar uma operação secreta. Qual princípio de OPSEC ele violou?

A OPSEC protege informações sensíveis por meio de um processo de cinco etapas: identificar informações críticas, analisar ameaças e vulnerabilidades, avaliar riscos e aplicar contramedidas. As principais práticas incluem compartimentalização, redução da pegada digital, comunicações seguras (Signal, ProtonMail) e segurança física. A postura de OPSEC deve corresponder ao modelo de ameaças real.