Perguntas frequentes

A Fundação LibreKAT trabalha na segurança da informação aberta, controlável e verificável. A fundação apoia projetos, compartilhamento de conhecimento e colaboração em torno da segurança digital.

Não se trata apenas de software. O LibreKAT também quer contribuir para melhores práticas de trabalho, mais transparência e uma comunidade na qual as pessoas possam melhorar juntas a segurança digital.

Leia mais em Sobre a Fundação LibreKAT.

A segurança digital é demasiado importante para estarmos completamente dependentes de sistemas fechados, processos incontroláveis ​​ou promessas soltas. As organizações precisam ser capazes de compreender, controlar e melhorar o funcionamento da sua segurança.

O LibreKAT existe para promover isso. A fundação incentiva a tecnologia aberta, o compartilhamento de conhecimento e a colaboração entre pessoas que desejam aumentar a resiliência digital.

Leia também Quais são os objetivos da Fundação LibreKAT? e Sobre a Fundação LibreKAT.

Não. LibreKAT é uma fundação e não tem objetivo de lucro. A fundação pode colaborar com empresas, governos, pesquisadores, voluntários e organizações sociais.

O objetivo principal da colaboração é contribuir para uma segurança digital aberta, sustentável e verificável.

Leia mais em Sobre a Fundação LibreKAT.

Livre refere-se à liberdade. Não apenas o uso gratuito, mas sobretudo a liberdade de estudar, controlar, adaptar e compartilhar tecnologia.

Isso é importante para a segurança da informação. Se quiser confiar em um sistema ou método, você deve ser capaz de ver como ele funciona e como as decisões são tomadas.

Isso está de acordo com valores fundamentais da Fundação LibreKAT.

A Fundação LibreKAT deseja melhorar a segurança digital, incentivando a segurança da informação aberta, controlável e verificável.

Em termos concretos, isto inclui:

• desenvolvimento e utilização de software e hardware de código aberto para infraestruturas digitais seguras;
• transparência e reprodutibilidade nos processos de segurança;
• investigação, formação e atividades sobre resiliência digital;
• conexão entre cidadãos, empresas, governo e organizações sociais.

Leia mais em Sobre a Fundação LibreKAT e em página inicial da Fundação LibreKAT.

LibreKAT é a base. OpenKAT é um produto de análise de vulnerabilidade de código aberto.

Os nomes são semelhantes, mas não significam o mesmo. A fundação pode suportar o OpenKAT e o OpenKAT se enquadra na missão do LibreKAT, mas o OpenKAT não é a fundação em si.

Leia mais sobre Fundação LibreKAT e OpenKAT.

O código aberto torna o controle possível. As pessoas podem ver como o software funciona, encontrar erros, sugerir melhorias e reduzir a dependência de um único fornecedor.

O código aberto não é uma garantia automática de segurança. É uma condição importante para a transparência, a cooperação e a restaurabilidade.

Leia mais sobre os princípios em Sobre a Fundação LibreKAT.

Projetos importantes neste site são OpenKAT, MIAUW e OciDeck.

OpenKAT ajuda a tornar visíveis vulnerabilidades e riscos digitais. O MIAUW ajuda a tornar a pesquisa em segurança da informação verificável e digna de auditoria. OciDeck ajuda com apresentações estruturadas, relatórios e compartilhamento seguro de informações.

Leia mais sobre OpenKAT, MIAUW e OciDeck.

O LibreKAT é para todos que desejam tornar a segurança digital aberta, verificável e mais explicável.

Pense em profissionais de segurança, desenvolvedores, administradores, auditores, pesquisadores, governos, empresas, instituições educacionais, organizações sociais e cidadãos envolvidos.

Leia mais em Sobre a Fundação LibreKAT.

Sim. Você pode participar de diversas formas: contribuindo com código, melhorando a documentação, testando, traduzindo, tirando dúvidas, compartilhando experiências ou ajudando em reuniões e atividades comunitárias.

Você não precisa saber tudo tecnicamente para dar uma contribuição valiosa. Boas perguntas, experiência prática e explicações claras também são importantes.

Contate-nos em Contato.

Isto é possível se a colaboração se adequar aos objectivos da fundação. LibreKAT procura colaboração que contribua para uma segurança digital aberta, sustentável e verificável.

Exemplos são a partilha de conhecimento, investigação, desenvolvimento de código aberto, documentação, formação ou aplicações práticas dos projetos.

Consulte também Parceiros e Contato.

Valores importantes são segurança, liberdade, abertura, soberania, integridade, partilha de conhecimento, cooperação, humanidade e continuidade.

Em linguagem simples: o LibreKAT deseja que a segurança digital seja verificável, justa, sustentável e utilizável para as pessoas e organizações que dela dependem.

Leia também o artigo Sobre nossos valores fundamentais.

Use página de contato se tiver alguma dúvida, quiser contribuir ou discutir colaboração.

Tente descrever brevemente do que se trata sua pergunta: fundação, MIAUW, OpenKAT, OciDeck, colaboração, imprensa ou uma contribuição técnica. Assim ficará mais claro e mais rapidamente quem pode responder.

Não. A soberania não é autarquia e não exige independência total. As organizações e os estados dependem sempre do conhecimento, dos fornecedores, das matérias-primas e da cooperação.

O objetivo é que as dependências sejam visíveis, gerenciáveis ​​e substituíveis quando necessário. Você pode terceirizar o trabalho e ainda manter o controle, desde que responsabilidades, direitos, acesso, continuidade e opções de saída estejam devidamente organizados.

Não. Nenhum produto pode garantir a soberania digital por si só. A soberania surge da combinação de governança, contratos, jurisdição, arquitetura, abertura, conhecimento, gestão e alternativas viáveis.

OpenKAT e OciDeck podem fornecer blocos de construção concretos: mais insights, verificabilidade, formatos abertos, autogerenciamento e menos dependência desnecessária. A organização deve projetar conscientemente e continuar a testar essas opções.

Registre uma medição de linha de base e um nível desejado para cada sistema crítico. Em seguida, meça propriedades concretas, como a participação de partes conhecidas da cadeia, exportação de dados testada, chaves gerenciadas pelo cliente, recuperação sem fornecedor, interfaces abertas e o tempo necessário para mudar.

Relate também as dependências restantes e os riscos aceitos. O progresso não significa que toda a dependência desapareça, mas que a organização ganha mais conhecimento, liberdade de escolha e espaço demonstrável para acção.

Faça exigências antes da conclusão do contrato. Pergunte sobre jurisdição, propriedade, localização de dados, subcontratados, gerenciamento remoto, gerenciamento de chaves, padrões abertos, formatos de exportação, direitos de auditoria, continuidade e rescisão.

Registre também como as evidências são fornecidas e como as alterações são relatadas. Uma marca de qualidade ou uma declaração geral de marketing não substitui um acordo verificável. Utilizar os objectivos do ECSF e os níveis do SEAL como linguagem comum, quando apropriado.

Não. O armazenamento de dados europeu é relevante, mas não diz tudo sobre jurisdição, propriedade, gestão, acesso chave, subcontratantes e dependência técnica.

Portanto, avalie toda a estrutura: quais entidades prestam o serviço, quais direitos podem ser invocados, quem pode realizar ações de gestão, quem gerencia as chaves de criptografia e quais opções de saída estão disponíveis?

Sim. A dependência pode afetar a disponibilidade, integridade e confidencialidade das informações. Considere a falha ou encerramento de um serviço, acesso indesejado sob um sistema jurídico diferente ou alterações que a própria organização não pode controlar.

É por isso que a soberania pertence à regulação, à organização e à tecnologia: as três partes inter-relacionadas descritas no livro como ROT. Não é uma questão política separada além da segurança da informação.

Não quando os requisitos visam riscos gerenciáveis ​​e se aplicam de forma igual e verificável a todos os fornecedores. O protecionismo protege principalmente a própria indústria; a política de soberania protege o controle, a continuidade, a integridade e a confidencialidade.

A nacionalidade por si só é, portanto, um critério fraco. Jurisdição, acordos executáveis, isolamento técnico, abertura e opções de saída são mais substantivos.

Não. Um nome ou localização europeu não é uma garantia completa. Um fornecedor europeu também pode ser adquirido, ir à falência, depender fortemente de tecnologia não europeia ou fornecer garantias contratuais deficientes.

Observe as características estruturais controláveis: propriedade e controle, legislação aplicável, gestão e acesso às chaves, dependências da cadeia, padrões abertos e um plano de saída executável.

Não. O código aberto fornece direitos importantes para estudar software, modificá-lo e mantê-lo por terceiros. Pode, portanto, apoiar a transparência, a substituibilidade e a construção de conhecimento.

Mas esses direitos só têm valor prático se houver documentação, pessoas, gestão, financiamento, atualizações seguras e acesso aos próprios dados. O código aberto também pode depender de um mantenedor, de um serviço de nuvem fechado ou de uma infraestrutura difícil de substituir.

Não. A soberania depende do contexto. O nível desejado decorre da criticidade do processo, da sensibilidade dos dados, dos requisitos legais, do apetite ao risco e das alternativas disponíveis.

O nível mais alto para todos os sistemas pode ser desnecessariamente caro ou inviável. Uma escolha motivada por sistema é mais forte do que um objectivo geral sem prioridades.

Não é necessário. Os requisitos de interoperabilidade, transparência, segurança e substituibilidade podem, na verdade, estimular a inovação porque os novos fornecedores podem ligar-se mais facilmente e os clientes ficam menos presos.

Existem compensações reais em torno de custo, velocidade e funcionalidade. Estas devem ser explicitadas. O contraste entre “inovação ou soberania” é demasiado simples; trata-se de inovação responsável dentro de um perfil de risco escolhido.

Comece com insights. Crie uma visão geral de processos críticos, dados, sistemas, fornecedores, subcontratados, acesso de gerenciamento, jurisdição aplicável e opções de saída existentes.

Em seguida, vincule as dependências mais importantes à disponibilidade, integridade e confidencialidade. Somente quando estiver claro o que é crítico e do que depende, você poderá escolher uma meta e medidas apropriadas.

O livro Soberania! How? discute o desenvolvimento histórico, a relação com a segurança da informação, o ECSF, os argumentos do debate e um caminho prático de crescimento para as organizações.

A mensagem central é realista: a soberania não é um conceito de tudo ou nada nem um projecto único. É a organização permanente de visão, direção e espaço para ação.

O conceito tomou forma na Europa no final da Idade Média e no início do período moderno. No século XVI, Jean Bodin descreveu um poder estatal supremo e permanente. A Paz de Vestfália de 1648 vinculou fortemente a soberania aos estados territoriais e ao princípio da não interferência.

Mais tarde, a legitimidade passou dos monarcas para o povo e os Estados começaram a exercer poderes conjuntamente, por exemplo, no seio da União Europeia. A história mostra que a soberania gira sempre em torno da mesma questão central: quem tem a palavra final?

Porque a soberania não se trata apenas de probabilidade, mas também de impacto e capacidade de ação. Um evento pode ser improvável e ainda assim ter consequências inaceitáveis ​​para um processo crítico.

Além disso, a dependência já pode ter influência sem realmente bloquear o acesso. A possibilidade de sanções, ordens legais ou rescisão pode alterar a tomada de decisões e o espaço de negociação.

Governos, empresas e organizações sociais tornaram-se altamente dependentes de um pequeno número de fornecedores de nuvem, software de escritório, comunicações e IA. Ao mesmo tempo, a propriedade, a legislação, as sanções, as aquisições e as relações geopolíticas podem mudar.

Como resultado, o controlo formal pode entrar em conflito com a dependência real. A questão urgente não é apenas se um fornecedor é confiável hoje, mas se a organização ainda poderá agir amanhã se as regras, o acesso ou os interesses mudarem.

Distinguir entre funções verdadeiramente indispensáveis ​​e dependências que surgiram devido ao hábito, falta de conhecimento ou escolhas antigas. Mapeie concretamente conexões, formatos de dados, licenças, processos e habilidades.

Depois pratique a exportação, a recuperação e as alternativas antes que haja uma crise. Um plano de saída que nunca foi testado oferece pouca certeza. Às vezes, a migração completa não é imediatamente viável, mas os formatos abertos, a arquitetura modular e uma segunda via de implementação já podem melhorar a situação.

Então, uma abordagem em fases é sensata. Primeiro determine para quais processos a dependência representa o maior risco e quais funções são realmente necessárias. Em seguida, melhore os contratos, a arquitetura e a portabilidade e migre para onde houver uma alternativa adequada disponível.

O facto de uma alternativa estar menos madura hoje é um argumento sobre ritmo e execução, e não automaticamente uma razão para ignorar o risco. O livro, portanto, discute um caminho de crescimento em vez de uma grande transição.

A soberania digital é a medida em que um governo ou organização mantém realmente o controlo sobre as suas funções, dados e dependências digitais. Os direitos formais e as opções reais de ação contam.

As questões específicas são: onde estão localizados os dados, quem pode acessá-los, que lei se aplica, quem gerencia as chaves, o serviço pode continuar em caso de conflito e a mudança é realisticamente possível?

O ECSF é um quadro europeu de avaliação da soberania da nuvem. Ajuda as organizações públicas a descrever os riscos de soberania, definir requisitos para compras e comparar a situação atual e a desejada.

O quadro muda a conversa de reivindicações gerais, tais como “europeias” ou “soberanas”, para propriedades testáveis. Analisa jurisdição, dados, operações, cadeias, tecnologia, segurança e sustentabilidade, entre outras coisas.

A soberania tem a ver com autoridade e direção: quem tem a palavra final e quem assume a responsabilidade? A autonomia tem a ver com a capacidade prática de agir de forma independente e utilizar alternativas.

Uma organização pode ser formalmente autorizada, mas ter pouca autonomia se não puder mudar tecnicamente ou se apenas um fornecedor puder gerir o sistema. A soberania sem espaço suficiente para acção permanece então em grande parte no papel.

Soberania é a autoridade para tomar decisões vinculativas e assumir responsabilidade por elas. Em ambientes digitais, a principal questão é quem decide sobre os dados, a infraestrutura, a tecnologia e o acesso.

Isso não significa que uma organização tenha que construir ou gerenciar tudo sozinha. Contudo, ela deve ser capaz de fazer escolhas conscientes, fazer cumprir acordos e agir quando as circunstâncias mudam. O livro Soberania! Como? Isto funciona como uma questão administrativa prática.

Os níveis SEAL descrevem níveis crescentes de soberania na nuvem. O nível 0 é uma nuvem pública padrão sem medidas adicionais de soberania; O nível 4 representa um ambiente altamente soberano com autonomia demonstrável.

Os níveis não são uma nota para um fornecedor. Eles ajudam uma organização a determinar um nível atual (IST) e um nível desejado (SOLL) apropriados por aplicação. Um sistema crítico pode, portanto, ter um propósito mais elevado do que um serviço público ou facilmente substituível.

O código aberto pode ajudar porque uma organização pode estudar o software, verificá-lo, ajustá-lo e mantê-lo por outra parte. Os direitos abertos apoiam, portanto, a transparência, a substituibilidade e o desenvolvimento do próprio conhecimento.

O código aberto não é uma garantia automática de soberania. O valor prático também depende da documentação, das pessoas, da gestão, do financiamento, das atualizações seguras, dos formatos de dados abertos e da infraestrutura na qual o software é executado.

O ECSF distingue oito objectivos inter-relacionados: soberania estratégica; soberania legal e jurisdicional; soberania de dados e IA; soberania operacional; soberania da cadeia; soberania tecnológica; soberania de segurança e conformidade; e soberania da sustentabilidade.

Esta classificação evita que uma característica, como a localização de um data center, seja erroneamente utilizada como prova de soberania total. Um saque pode marcar forte em um gol e fraco em outro.

OciDeck apoia a soberania da informação e da tecnologia, permitindo que o conteúdo da apresentação permaneça em Markdown legível. Os formatos abertos tornam o conteúdo mais controlável, reutilizável e portátil do que quando está contido apenas num formato de aplicação fechado.

O processamento local, a exportação offline de HTML e os recursos direcionados de compartilhamento e privacidade podem reduzir a dependência de serviços de apresentação de terceiros e distribuição acidental. A soberania final também depende do armazenamento, do gerenciamento e das escolhas do usuário. Leia mais em OciDeck.

O OpenKAT ajuda principalmente na soberania operacional, tecnológica e de segurança. Reúne objetos digitais, relacionamentos, observações e descobertas para que uma organização possa compreender e monitorar melhor seu próprio ambiente e riscos.

Como o OpenKAT é de código aberto e pode ser executado por conta própria, uma organização pode monitorar sua operação e escolher quem gerencia o sistema. O OpenKAT não oferece soberania completa: gerenciamento cuidadoso, escopo, proteção de dados, conhecimento e acompanhamento continuam sendo necessários. Leia mais em OpenKAT.

Uma abordagem útil é: 1. inventariar processos, dados e dependências; 2. determinar o nível de soberania desejado por sistema; 3. melhorar compras, contratos, arquitetura, conhecimento e alternativas; 4. Verifique periodicamente se as medidas ainda funcionam e faça ajustes.

Trate isso como um ciclo. Fornecedores, propriedade, legislação e mudanças tecnológicas. Uma avaliação única torna-se, portanto, rapidamente obsoleta.

O conselho é o responsável final pela direção, apetite pelo risco e aceitação do risco residual. Compras, assuntos jurídicos, segurança da informação, arquitetura, privacidade, gerenciamento e o proprietário do processo fornecem, cada um, uma parte necessária do quadro.

Como as escolhas muitas vezes têm consequências duradouras, o livro chama a soberania de “chefsache”. O assunto não pode se limitar apenas à tecnologia ou à gestão de contratos.

Código aberto é uma forma de licenciamento. O criador ou detentor dos direitos dá permissão prévia a terceiros para usar, estudar, copiar, distribuir e adaptar a obra.

O direito de fazer ajustes é essencial. Se a modificação não for permitida, não é de código aberto.

O núcleo é legal. O código aberto diz respeito à forma como os direitos autorais são exercidos: por meio de uma licença que concede amplos direitos de uso.

Pode haver ideias técnicas e sociais por trás disso, mas sem uma licença apropriada algo não é open source.

Significa que o detentor dos direitos dá permissão para usar, estudar, copiar, distribuir e modificar o código-fonte através de uma licença de código aberto.

O software permanece protegido por direitos autorais. A licença determina quais direitos e condições se aplicam.

O software de código aberto e o software livre tratam de direitos: usar, estudar, compartilhar e adaptar. Freeware geralmente significa apenas que algo é de uso gratuito.

Domínio público significa que não há mais qualquer restrição de direitos autorais ou que o detentor dos direitos renunciou a ela na medida do legalmente possível. Isso é diferente do código aberto.

Não. O código aberto concede muitos direitos, mas sempre dentro dos termos da licença.

Estas condições podem, por exemplo, dizer respeito à atribuição, à retenção de textos de licença ou à partilha de alterações sob a mesma licença.

O criador ou detentor dos direitos permanece o proprietário dos direitos autorais, a menos que esse direito tenha sido transferido.

Código aberto não significa que não haja proprietário. Isso significa que o proprietário concede amplos direitos a terceiros por meio de uma licença.

Sim. O código aberto não exclui o uso comercial. Uma empresa pode usar código aberto, vender serviços de código aberto ou oferecer ela própria software de código aberto.

O modelo de preço e receita é separado dos direitos de código aberto.

O código aberto diz respeito aos direitos sobre uma obra, geralmente software. Os padrões abertos tratam de acordos, especificações ou protocolos que podem ser usados ​​por múltiplas partes.

Eles podem reforçar um ao outro, mas são coisas diferentes.

Uma licença de código aberto é uma permissão prévia dada pelo detentor dos direitos. Afirma o que outros podem fazer com o trabalho e quais condições se aplicam.

Sem essa licença, os direitos autorais normais continuam a ser aplicados e a reutilização geralmente não é permitida.

Porque os direitos autorais surgem automaticamente. Em princípio, qualquer pessoa que crie um texto, design ou software tem direitos sobre ele.

Uma licença deixa claro qual permissão os outros recebem. Com código aberto, essa permissão é ampla e organizada com antecedência.

O código fica então visível, mas não é automaticamente gratuito para uso. Visibilidade não é consentimento.

Sem uma licença, geralmente outra pessoa não pode copiar, distribuir ou modificar o código, exceto em exceções legais limitadas.

As licenças permissivas proporcionam muita liberdade e geralmente impõem condições limitadas, como atribuição e retenção do texto da licença.

As licenças Copyleft também concedem direitos amplos, mas podem exigir que trabalhos derivados sejam distribuídos sob a mesma licença ou sob uma licença semelhante.

Copyleft é um princípio de licenciamento onde a liberdade deve ser transmitida. Qualquer pessoa que distribua a obra, muitas vezes de forma adaptada, deve conceder aos outros os mesmos direitos.

Não se trata, portanto, de uma renúncia de direitos, mas sim de uma forma activa de utilizar os direitos para manter a abertura.

Isso depende da licença e do que você faz. Algumas licenças copyleft podem exigir divulgação se você distribuir software modificado.

Normalmente, apenas a utilização interna não conduz automaticamente a tal obrigação, mas o resultado preciso depende da situação e da licença.

Sim, muitas licenças de código aberto permitem uso comercial. Essa é precisamente uma característica do código aberto.

No entanto, você deve cumprir as condições da licença. Considere mencionar seu nome, textos de licença ou condições de distribuição.

Sim, o código aberto deve permitir personalização. A venda também é possível, desde que seguidas as condições de licenciamento.

Algumas licenças exigem que você forneça ou disponibilize o código-fonte modificado ao distribuir o trabalho modificado.

Estas são formas de manter o criador original e a licença visíveis. Atribuição geralmente significa atribuição. Um arquivo de aviso contém avisos legais. Um cabeçalho de licença geralmente fica no topo de um arquivo.

Estas obrigações garantem que os direitos e a origem permanecem reconhecíveis.

Uma cláusula de patente garante que os usuários também recebam permissão para patentes relevantes dos contribuidores sob certas condições.

Isto pode ser importante porque o software pode ser afetado não apenas pelos direitos autorais, mas às vezes também pelos direitos de patente.

O principal risco é que as condições da licença não sejam cumpridas. Então você pode estar usando o trabalho sem permissão válida.

Isto pode levar a obrigações de reparação, reclamações legais, danos à reputação ou problemas com vendas, licitações ou auditoria.

A conformidade com o código aberto significa que uma organização sabe qual código aberto utiliza, quais licenças o acompanham e quais obrigações se aplicam.

É principalmente uma gestão jurídica e organizacional normal: registar, verificar, cumprir e poder explicar o que foi utilizado.

Não, não por causa da natureza do código aberto. A segurança depende do projeto, manutenção, controle, uso e monitoramento de vulnerabilidades.

A abertura permite o controle, mas não é uma garantia automática de segurança.

Não. Muitas vezes todos podem fazer propostas, mas isso não significa que todos possam simplesmente fazer alterações.

Para projetos sérios, os administradores avaliam quais contribuições estão incluídas. A confiabilidade depende da governança e da manutenção, não apenas do tipo de licença.

Não. O apoio pode ser voluntário, comunitário ou comercial. Muitas empresas fornecem suporte pago para código aberto.

A licença determina os direitos da obra; o suporte é um serviço separado.

Não. O código aberto tem a ver com direitos de uso, não com preço.

Um produto de código aberto pode ser gratuito para download, mas suporte, hospedagem, certificação, treinamento ou personalização podem ser pagos.

Não. Grátis tem a ver com preço. Grátis tem a ver com direitos.

Um produto gratuito pode ser estritamente fechado. Um produto de código aberto concede direitos de uso, estudo, compartilhamento e modificação.

Não. O código aberto pode ser criado por voluntários, mas também por empresas, governos, universidades e fundações.

A licença não diz nada sobre profissionalismo. Você tem que avaliar isso com base na qualidade, gestão e contexto.

Não. O código aberto pode ser muito profissional e o software comercial pode ser mal mantido. O inverso também é possível.

O profissionalismo é evidente na manutenção, documentação, governança, qualidade e acordos, e não apenas nas licenças abertas ou fechadas.

Abertura significa que todos podem assistir, inclusive partes mal-intencionadas. Mas também significa que é possível o controlo por parte de utilizadores, investigadores e fornecedores.

A segurança não vem apenas do sigilo. Requer manutenção, resposta e uso cuidadoso.

Não. Os direitos legais são relevantes para todos: utilizadores, administradores, compradores, advogados, auditores e decisores políticos.

Os desenvolvedores geralmente trabalham com o código, mas as organizações também se beneficiam da transparência, da liberdade de escolha e da auditabilidade.

Isso pode ser uma compensação, mas não é automaticamente uma desvantagem. Código aberto significa determinar conscientemente quais partes você deseja compartilhar e sob quais condições.

Por vezes, a partilha aberta é estrategicamente útil, por exemplo, para promover a colaboração, a confiança ou a normalização.

Isso varia de acordo com o projeto. O controle pode vir de mantenedores, usuários, pesquisadores de segurança, auditorias, verificações automáticas e organizações que implantam o software.

O código aberto torna esse controle possível, mas não o organiza por si só.

Isso depende da situação. Os administradores do projeto podem criar uma atualização, mas o usuário ou organização também deve aplicar essa atualização.

O código aberto não altera o fato de que qualquer pessoa que utilize software continua responsável por um gerenciamento cuidadoso.

Isso varia muito. Projetos ativos podem responder rapidamente; não abandone projetos. O mesmo também se aplica ao software fechado.

Portanto, não olhe apenas para a licença, mas também para a manutenção, o processo de geração de relatórios e as práticas de liberação.

Os riscos da cadeia de suprimentos surgem quando você depende de peças de terceiros. Se tal parte for vulnerável, maliciosa ou mal conservada, isso pode ter consequências para o seu próprio produto.

Este risco não é exclusivo do código aberto, mas o código aberto muitas vezes torna as dependências mais visíveis.

Dependências são partes nas quais um produto se baseia. Com software, geralmente são bibliotecas ou pacotes de terceiros.

Eles são importantes porque os direitos, vulnerabilidades e manutenção dessas partes também influenciam o seu próprio uso.

Observe a licença, a manutenção, a documentação, como as alterações são revisadas e como os alertas de segurança são tratados.

A fiabilidade é uma combinação de clareza jurídica, qualidade e gestão.

Sinais saudáveis ​​são informações claras sobre licenciamento, atualizações recentes, documentação compreensível, um processo de relatórios ativo e tomada de decisão visível.

Também ajuda se várias pessoas ou organizações contribuírem, para que o projeto não fique completamente dependente de uma pessoa.

Procure lançamentos antigos, notificações sem resposta, informações de licenciamento ausentes, mantenedores pouco claros ou nenhuma resposta a problemas de segurança.

Esses são riscos do projeto. Eles ocorrem em software aberto e fechado, mas em código aberto são frequentemente mais visíveis.

Durante uma auditoria de segurança, alguém avalia especificamente se existem vulnerabilidades ou pontos fracos. Com código aberto, o código-fonte pode ser examinado diretamente.

Uma auditoria é um instantâneo. A manutenção e o acompanhamento continuarão a ser necessários.

Um SBOM é uma lista de materiais de software: uma visão geral dos componentes de software usados.

Essa visão geral ajuda a gerenciar licenças, vulnerabilidades e dependências. É especialmente útil para organizações que precisam explicar o que estão usando.

Um projeto de código aberto é criado quando um detentor de direitos publica um trabalho sob uma licença de código aberto. Isto muitas vezes inclui documentação, um local para contribuições e uma forma de tomada de decisões.

A licença é a base legal; a comunidade e o método de trabalho determinam como o projeto continua a crescer.

Isso geralmente é feito pelos mantenedores ou administradores do projeto. Eles avaliam se uma contribuição está em conformidade com a qualidade, a direção e os acordos do projeto.

Código aberto não significa que cada mudança se torne automaticamente parte do projeto oficial.

Um mantenedor é alguém que gerencia um projeto. Essa pessoa ou grupo analisa as contribuições, faz liberações, monitora a direção e mantém documentação ou processos.

No código aberto, esse papel é importante porque os direitos são amplos, mas a colaboração ainda requer organização.

Um contribuidor é alguém que contribui para um projeto. Pode ser código, mas também documentação, tradução, teste, design, explicação ou relato de problemas.

As contribuições de código aberto são, portanto, mais amplas do que a programação.

Um fork é a sua própria cópia de um projeto no qual alguém pode continuar trabalhando de forma independente. Isso é possível porque o código aberto permite modificação e distribuição.

Às vezes, uma melhoria é refletida posteriormente no projeto original. Às vezes, um garfo cresce em sua própria direção.

Essa é uma proposta para incluir uma mudança em um projeto. O administrador pode revisar, discutir, ajustar ou rejeitar a alteração.

É uma maneira prática de organizar a colaboração em torno do código aberto.

A governação comunitária diz respeito aos acordos com os quais um projecto toma decisões. Considere quem pode participar na tomada de decisões, como os conflitos são resolvidos e como os novos administradores são nomeados.

A licença dá direitos; a governança regula a cooperação.

Em projetos liderados pela comunidade, o controle recai principalmente sobre uma comunidade de participantes. Em projetos liderados por empresas, a empresa geralmente desempenha um papel importante ou decisivo.

Ambas as formas podem funcionar bem, desde que fique claro quem decide e em que condições.

Isso depende da governança. Alguns projetos têm regras de decisão, códigos de conduta ou fundamentos claros. Outros projetos são mais informais.

Bons acordos são importantes porque direitos abertos não significam automaticamente que todos concordem.

Os projetos param quando os mantenedores ficam sem tempo, falta financiamento, a necessidade desaparece ou surge uma solução melhor.

Isso não é exclusivo do código aberto. A diferença é que com o código aberto, outros às vezes podem continuar com um fork.

As empresas não ganham necessariamente dinheiro vendendo exclusivamente o código, mas sim com os serviços que o envolvem. Considere hospedagem, suporte, implementação, gerenciamento, treinamento, certificação ou personalização.

A licença aberta e o modelo de negócios são duas camadas diferentes.

Os modelos comuns incluem suporte pago, hospedagem gerenciada, consultoria, certificação, treinamento, licenciamento duplo e núcleo aberto.

O ponto de partida é muitas vezes: os direitos básicos estão abertos, mas a conveniência, a segurança ou os serviços adicionais podem ser pagos.

Núcleo aberto significa que o núcleo de um produto é de código aberto, enquanto alguns recursos adicionais são fechados ou pagos.

Isso pode funcionar, mas requer uma comunicação clara. Os usuários precisam saber qual parte está aberta e qual não está.

Licenciamento duplo significa que a mesma obra está disponível sob duas licenças diferentes. Por exemplo, uma licença de código aberto e uma licença comercial.

Isto pode dar às organizações uma escolha, mas só é possível se o detentor dos direitos tiver o direito de oferecer ambas as licenças.

Hospedagem gerenciada ou SaaS significa que alguém oferece software de código aberto como serviço. O usuário não precisa instalar e gerenciar o software sozinho.

O software pode ser de código aberto, enquanto o serviço que o envolve é pago.

As empresas podem fazer isto para aumentar a confiança, estimular a colaboração, estabelecer um padrão ou acelerar a adoção.

O código aberto também pode ajudar a reduzir a dependência de um único fornecedor e a construir um ecossistema.

Porque outros podem desenvolver o trabalho existente. Eles não precisam começar tudo de novo e podem compartilhar melhorias.

A licença torna essa colaboração legalmente possível.

O código aberto pode reduzir a dependência de um fornecedor porque os usuários têm o direito de estudar o software, modificá-lo e gerenciá-lo em outro lugar.

Isto não significa que a mudança seja sempre fácil, mas a base jurídica é menos fechada.

O código aberto é interessante quando colaboração, transparência, verificabilidade, reutilização ou independência são importantes.

É especialmente forte em infraestruturas partilhadas, valores públicos e situações em que a confiança exige mais do que uma promessa do fornecedor.

O código aberto é menos adequado quando o detentor dos direitos deseja limitar a distribuição, o acesso ou a modificação. Essa é uma escolha estratégica sobre controle.

Também é menos apropriado se uma organização quiser conceder direitos sem estar preparada para registar claramente as condições de licenciamento e a gestão.

As startups podem desenvolver componentes existentes mais rapidamente e ganhar confiança mais facilmente por meio da abertura. Eles também podem desenvolver uma comunidade ou mercado em torno de um projeto aberto.

Eles devem estar conscientes do licenciamento, do posicionamento e do seu modelo de receita.

Para os governos, o código aberto pode contribuir para a transparência, auditabilidade, reutilização e menor dependência de um fornecedor.

Isto enquadra-se bem na responsabilidade pública, desde que a gestão, a segurança e a conformidade legal sejam devidamente organizadas.

A educação pode usar código aberto para aprender com exemplos reais, compartilhar materiais e permitir que os alunos contribuam para projetos existentes.

Como o ajuste é permitido, os materiais didáticos ou softwares podem ser melhor alinhados à prática educacional.

O código aberto pode ajudar porque as organizações não dependem completamente do conhecimento fechado ou de um fornecedor. Eles podem verificar como algo funciona e ajustá-lo.

A soberania exige mais do que apenas código aberto, mas os direitos abertos são um importante alicerce.

O código aberto torna visíveis as condições em que uma obra pode ser utilizada e, no caso do software, a aparência do código-fonte.

Isso facilita o controle e a explicação. A transparência só surge realmente quando a documentação e a governação também são claras.

Como outros podem usar e adaptar o trabalho existente, nem todos precisam recriar a mesma coisa.

Isto pode reduzir o desperdício e partilhar a manutenção, especialmente quando várias partes têm o mesmo problema.

O código aberto mostra como uma organização funciona, que qualidade ela busca e o que ela representa. As pessoas podem facilmente contribuir ou saber o que está acontecendo.

Isso pode ser atraente para profissionais que valorizam a abertura e o trabalho artesanal.

Os concorrentes podem colaborar em peças que são necessárias a todos, sem que essas peças tenham que ser o produto diferenciador.

A licença proporciona clareza antecipada sobre os direitos, para que a colaboração seja menos dependente de acordos separados.

A infraestrutura pública requer confiança, continuidade e verificabilidade. O código aberto pode ajudar porque a base não está completamente a portas fechadas.

Isto torna mais possível o controle independente e a manutenção conjunta.

Nessas áreas, o código aberto pode contribuir para a verificabilidade, reutilização e pesquisa independente.

Ao mesmo tempo, continuam a ser necessárias boa governação, gestão de dados, segurança e avaliação jurídica. O código aberto é um requisito básico para certas formas de controle, e não uma solução total.

Comece pela licença: o uso que você tem em mente é permitido? Em seguida, observe manutenção, documentação, qualidade e dependências.

Um pacote popular não é automaticamente adequado. A escolha deve adequar-se ao propósito, ao risco e à gestão.

Verifique a licença, origem, status de manutenção, vulnerabilidades e necessidade. Pergunte também se a peça é realmente necessária.

Cada dependência acrescenta direitos, obrigações e gestão.

Registre quais componentes são usados, qual versão, qual licença e em que o componente está incluído.

Certifique-se também de que está claro quem é o responsável pelas atualizações e pelo cumprimento das condições.

Use uma combinação de ferramentas de registro, verificação periódica e verificação de dependências.

Mais importante ainda: chegue a um acordo sobre quem analisará as notificações e quem decidirá sobre atualizações ou substituições.

Existem muitas ferramentas que mapeiam dependências, licenças e vulnerabilidades. Os exemplos incluem scanners em plataformas de desenvolvimento, gerenciadores de pacotes e ferramentas especializadas de conformidade.

A ferramenta é apenas uma ferramenta. A organização ainda precisa fazer escolhas e organizar o acompanhamento.

Por favor, leia as instruções de contribuição e a licença primeiro. Descreva claramente o que você deseja melhorar e por quê.

Uma boa contribuição pode ser código, mas também documentação, testes, tradução ou um problema claramente descrito.

Isso faz sentido se você deseja que outras pessoas possam usar, monitorar, compartilhar e modificar o trabalho.

Faça essa escolha de forma consciente: determine o propósito, a licença, a manutenção, a governança e o que você espera ou não das contribuições.

Primeiro decida o que você deseja permitir e proteger. Se você deseja ampla capacidade de reutilização, consulte licenças permissivas. Se você quer que a liberdade seja transmitida, dê uma olhada no copyleft.

De preferência, use licenças existentes e conhecidas em vez de escrever você mesmo o texto.

Forneça documentação clara, uma maneira amigável de fazer perguntas, tomadas de decisão claras e expectativas realistas.

Uma comunidade não é criada apenas colocando código online. Requer atenção, confiança e manutenção.

Divida direitos e responsabilidades. Documente processos, torne as liberações portáteis e conceda direitos de gerenciamento a múltiplas pessoas confiáveis.

Isto aumenta a continuidade e torna o projeto menos vulnerável.

Um Escritório de Programa de Código Aberto, geralmente chamado de OSPO, é uma equipe ou função que organiza o uso e as contribuições de código aberto dentro de uma organização.

Ajuda com políticas, licenciamento, colaboração, comunidades e publicação responsável.

No mínimo, são necessárias políticas para uso, contribuição, publicação, controle de licenças e rastreamento de segurança.

A política deve ser prática: as pessoas devem saber o que é permitido, quando pedir conselhos e quem decide.

Explique em linguagem simples o que significam direitos autorais, licenças e obrigações. Use exemplos de seu próprio trabalho.

A formação não deve ser apenas legal, mas também prática: o que se inscreve, o que verifica e onde pede ajuda?

Tudo, dependendo da escolha. Legal analisa direitos e obrigações. A segurança analisa vulnerabilidades e gerenciamento. A engenharia olha para a qualidade e a aplicação. Aquisição analisa contratos e fornecedores.

O código aberto geralmente afeta múltiplas responsabilidades ao mesmo tempo.

Certifique-se de que está claro quais peças foram utilizadas, quais licenças se aplicam, quais verificações foram realizadas e quais decisões foram tomadas.

Auditável significa principalmente: ser capaz de explicar depois o que aconteceu e porquê.

Incluir conscientemente o código aberto nos requisitos, critérios de avaliação e condições contratuais. Não pergunte apenas sobre um produto, mas também sobre direitos, portabilidade e gestão.

Dessa forma você evita que a abertura fique apenas um desejo e não acabe na tarefa.

Veja o suporte como um complemento aos direitos de código aberto. O contrato pode conter acordos sobre tempos de resposta, atualizações, responsabilidade, hospedagem ou gerenciamento.

O software pode ser aberto, enquanto o suporte é profissional e pago.

Não olhe apenas para os custos de licenciamento. Inclui também gerenciamento, suporte, treinamento, integração, migração, conformidade e manutenção.

O código aberto pode ser mais barato, mas o valor real geralmente reside no controle, na flexibilidade e na menor dependência.

Trate o código aberto como parte do gerenciamento normal de riscos. Observe licenciamento, manutenção, segurança, dependências e continuidade.

O risco não é que algo seja de código aberto, mas que o uso ocorra de forma inconsciente ou desacompanhada.

Não meça apenas os custos economizados. Observe também a reutilização, a velocidade, a transparência, a dependência evitada, a colaboração e a qualidade do controle.

Algum valor é financeiro, outro valor está na autonomia e na confiança.

Não. O código aberto proporciona liberdades importantes, mas não diz nada automaticamente sobre todas as escolhas éticas relativas ao uso, impacto ou governança.

A abertura pode ajudar a permitir a discussão, o controlo e a responsabilização.

Não completamente. Licenças de código aberto permitem amplo uso e geralmente não restringem a finalidade de uso do trabalho.

Qualquer pessoa que queira limitar o abuso rapidamente acaba indo além do código aberto clássico e tem que pensar em outros meios legais ou organizacionais.

As licenças clássicas de código aberto não restringem os propósitos de uso. Eles dão direitos a todos, mesmo que o criador considere alguns aplicativos indesejáveis.

Existem licenças com restrições éticas de uso, mas geralmente não são consideradas código aberto em sentido estrito.

O código aberto dá aos outros controle sobre seu próprio uso: eles podem estudar, adaptar e compartilhar. O criador original, portanto, abre mão de algum controle exclusivo sobre distribuição e modificação.

Isso não é um erro, mas exatamente a escolha que torna o código aberto especial.

O código aberto pode apoiar valores públicos como transparência, auditabilidade, reutilização e independência.

Mas os valores públicos também exigem boa governação, acessibilidade, segurança, financiamento e responsabilidade.

Isso varia muito por projeto. Algumas comunidades são abertas e prestativas, outras são de difícil acesso ou dependem de redes informais.

A inclusão requer atenção ativa à linguagem, ao comportamento, à documentação, à tomada de decisões e à participação segura.

Essa é uma questão importante. Muitas infraestruturas digitais são amplamente utilizadas, mas nem sempre amplamente financiadas.

O código aberto torna o uso possível, mas a manutenção exige tempo, dinheiro e responsabilidade das partes que dele dependem.

O código aberto pode espalhar poder porque os usuários têm mais direitos do que apenas comprar o que um fornecedor oferece. Eles podem verificá-lo, ajustá-lo ou trocá-lo.

Isto fortalece a autonomia, mas apenas se houver conhecimento, capacidade e governação para utilizar esses direitos.

A prevenção completa geralmente não é possível no código aberto clássico. No entanto, os projetos podem optar por licenças adequadas, governança, acordos comerciais e uma cultura em que as contribuições sejam normais.

Os usuários também podem assumir a responsabilidade devolvendo manutenção, dinheiro ou conhecimento.

O código aberto continua importante para infraestrutura digital, governo, educação, nuvem, IA e segurança. O núcleo permanece legal: conceder direitos de uso, estudo, compartilhamento e adaptação.

O grande desafio é a gestão sustentável: garantir que os projetos abertos não sejam apenas utilizados, mas também mantidos e geridos de forma responsável.

MIAUW significa Metodologia para Pesquisa em Segurança da Informação com Valor de Auditoria. É uma forma de conduzir pesquisas de segurança, como um pen test, de maneira estruturada e verificável.

O objetivo é que uma organização não apenas receba um relatório, mas também possa demonstrar melhor o que foi pesquisado, como foi feito e quais conclusões daí decorrem.

Leia mais em MIAUW.

Muitas investigações de segurança produzem resultados úteis, mas são difíceis de avaliar posteriormente. Por vezes não é claro o que exatamente se enquadra no âmbito, que passos foram executados ou que provas apoiam uma conclusão.

O MIAUW ajuda a registrar melhor esses componentes antes e durante a pesquisa. Isto torna a investigação mais útil para recuperação, responsabilização e auditorias.

Leia mais em MIAUW e em O que significa valor de auditoria?.

Não. Um pen test é uma forma de pesquisa de segurança. MIAUW é uma metodologia para melhor estruturar, registrar e tornar essas pesquisas mais controláveis.

Um pen test pode, portanto, ser realizado de acordo com o MIAUW, mas o MIAUW é mais amplo do que apenas a realização de testes técnicos.

Leia também O que é um teste de caneta? e MIAUW.

O valor da auditoria significa que uma investigação pode ser adequadamente avaliada posteriormente. Um auditor ou outro avaliador deve ser capaz de ver o que foi acordado, o que foi testado, que provas existem e como foram alcançadas as conclusões.

Isto torna uma investigação útil não só para a tecnologia, mas também para a governação, conformidade e responsabilização.

Leia mais em MIAUW e O que é um relatório de auditor no MIAUW?.

O MIAUW é destinado a clientes, testadores de penetração, auditores, especialistas em compliance e diretores.

O cliente ganha mais controle sobre a pesquisa. O pesquisador recebe uma estrutura clara. O auditor recebe informações mais verificáveis. Os diretores ganham mais certeza sobre o que um relatório diz e o que não diz.

Leia mais em MIAUW.

Não. Nenhuma metodologia pode garantir que um sistema seja seguro.

O MIAUW ajuda a conduzir melhor pesquisas de segurança, documentá-las melhor e utilizá-las melhor para melhorias. Assim, aumenta a qualidade e a utilidade da investigação, mas não substitui uma boa gestão da segurança.

Leia também O que é fundamental para um estudo MIAUW?.

O foco está em acordos claros, num âmbito claro, em evidências imitáveis, em resultados reprodutíveis e em relatórios que sejam úteis para diferentes grupos-alvo.

Uma equipe técnica quer detalhes para resolver problemas. A administração quer saber o que significa o risco. Um auditor deseja ser capaz de avaliar se a investigação foi realizada com cuidado.

Leia mais em MIAUW.

Escopo significa: o que faz e o que não faz parte da pesquisa. Pense em sistemas, domínios, aplicações, contas, redes, períodos e questões de pesquisa.

Um escopo claro evita mal-entendidos. Sem um escopo, é difícil dizer posteriormente se algo foi deliberadamente deixado de fora da vista ou acidentalmente não examinado.

Consulte também Como o OpenKAT lida com escopo e permissão?.

As evidências tornam as descobertas verificáveis. Um relatório não deve apenas dizer que algo está errado, mas também mostrar em que se baseia essa conclusão.

As evidências podem incluir logs, capturas de tela, saída de comando, dados de configuração ou outros registros. Naturalmente, as informações confidenciais devem ser tratadas com cuidado.

Leia também O que significa segurança baseada em evidências?.

Uma descoberta é um problema, risco ou ponto de atenção identificado na pesquisa.

Uma boa descoberta descreve o que foi encontrado, por que é importante, que provas estão envolvidas, qual poderia ser o impacto e que medida ajuda a reduzir ou resolver o problema.

Leia também Qual é a diferença entre um risco e uma vulnerabilidade?.

Uma vulnerabilidade é um ponto fraco. Um risco diz respeito ao que essa fraqueza pode significar para a organização.

Uma vulnerabilidade em um sistema de teste sem dados confidenciais geralmente apresenta um risco diferente da mesma vulnerabilidade em um sistema público com dados pessoais. Portanto, o contexto é importante.

Leia também O que é uma descoberta?.

Não. As grandes organizações têm frequentemente requisitos mais formais de auditoria e conformidade, mas as organizações mais pequenas também beneficiam de acordos claros, melhores evidências e relatórios úteis.

O MIAUW pode realmente ajudar a tornar a investigação em segurança mais compreensível e transferível.

Leia mais em MIAUW.

A declaração de um auditor pode ajudar a demonstrar que uma investigação foi realizada de acordo com os acordos, sem que todos os detalhes técnicos tenham de ser amplamente partilhados.

Isto é útil quando um relatório completo é demasiado sensível para ser amplamente distribuído, mas uma organização deve demonstrar que foi realizada uma investigação séria e verificável.

Leia também Se eu fizer um pentest com o MIAUW, terei que torná-lo público?.

Um pen test, ou teste de penetração completo, é uma investigação de segurança controlada. Os pesquisadores tentam encontrar vulnerabilidades antes que as partes mal-intencionadas o façam.

Um pen test não é um ataque aleatório. Existem acordos sobre escopo, permissão, abordagem, relatórios e devidos cuidados. Os pesquisadores utilizam técnicas que os invasores também podem utilizar, mas com o objetivo de melhorar a segurança.

Na Metodologia para Pesquisa em Segurança da Informação com Valor de Auditoria (MIAUW), discutimos extensivamente uma definição liderada pelo Sr. o Pous. Isso resultou nesta definição:

‘Uma investigação ofensiva de segurança a ser realizada por nosso próprio pessoal ou por terceiros, que envolve uma busca controlada de vulnerabilidades em uma ou mais redes seguras e sistemas de informação ou partes deles, que podem ser usadas para invadir esses sistemas e/ou que podem, sem intenção ou de forma autônoma, interromper o processamento de dados da organização sob investigação ou de outra forma ter consequências adversas.’

Leia também O que é MIAUW?.

Não, isso não é necessário. O objetivo do MIAUW é colocar o cliente em primeiro lugar. Se você paga por um relatório, faz sentido ter controle sobre o produto que compra. É por isso que o MIAUW diz algo sobre o fornecedor: ele não pode impor restrições à distribuição ao cliente. É descrito assim:

Não são impostas restrições ao cliente no que diz respeito à divulgação, publicação ou armazenamento do relatório e dos documentos subjacentes. Excluem-se disto os dados financeiros relativos à condução da pesquisa, tais como taxas horárias, preços e faturas.

O objetivo maior é que, com um pen test, você também possa demonstrar que os assuntos importantes foram devidamente organizados. Isso é difícil se você não tiver permissão para mostrar ou fornecer a pesquisa a outras pessoas. As informações financeiras sobre a investigação não precisam de ser partilhadas, porque não dizem nada sobre o estado de segurança.

Há muita informação sensível no relatório para ser amplamente divulgada? Então o relatório de um auditor pode ajudar. Isso permite demonstrar que o estudo foi realizado e qual foi o principal resultado, sem distribuir todos os detalhes técnicos.

Resumindo: o cliente determina qual o nível de informação que é partilhado com parceiros, reguladores ou outros, sem ser prejudicado pelo fornecedor.

Leia também O que é um relatório de auditor no MIAUW?.

OpenKAT é a ferramenta aberta de análise de vulnerabilidades. É um software de código aberto que ajuda as organizações a mapear seu cenário digital e tornar visíveis vulnerabilidades, configurações incorretas e riscos.

OpenKAT tem tudo a ver com insights: o que temos, o que é visível, o que está mudando e com o que precisamos fazer alguma coisa?

Leia mais em OpenKAT.

OpenKAT ajuda a entender melhor o seu digital por fora e por dentro. Ele coleta informações sobre sistemas, domínios, software e configurações e as converte em insights acionáveis.

Em linguagem simples: o OpenKAT ajuda a ver onde estão localizadas portas, janelas e fechaduras digitais e quais delas precisam de atenção.

Leia mais em OpenKAT.

A superfície de ataque é tudo o que um invasor pode tentar usar para obter acesso ou causar danos.

Pense em sites, servidores de e-mail, ambientes em nuvem, APIs, VPNs, domínios antigos, ambientes de teste esquecidos e serviços configurados incorretamente. Quanto melhor você conhecer essa superfície, mais proteção direcionada poderá fornecer.

Leia também Por que o insight contínuo é importante?.

Os ambientes digitais estão em constante mudança. Sistemas são adicionados, software é atualizado, configurações são alteradas e novas vulnerabilidades são descobertas.

Uma verificação única é, portanto, um instantâneo. A percepção contínua ajuda a ver as mudanças e a responder mais rapidamente quando algo se deteriora ou se torna vulnerável novamente.

Leia também O OpenKAT pode mostrar mudanças ao longo do tempo?.

O OpenKAT e o pentest se complementam.

OpenKAT fornece visão técnica contínua e pode coletar muitos sinais. Um pen test é uma investigação direcionada por pessoas, com contexto, criatividade e profundidade. O OpenKAT pode ajudar a direcionar melhor os testes de penetração e rastrear melhor os resultados.

Leia também O que é um teste de caneta? e OpenKAT.

Não. Nenhum produto de segurança encontra tudo automaticamente.

OpenKAT ajuda a coletar e avaliar muitas informações de forma estruturada. Mas continuam a ser necessários um bom âmbito, interpretação, gestão e acompanhamento. O contexto humano continua importante.

Leia também Como o OpenKAT ajuda na priorização?.

No OpenKAT, um ladino é uma pequena tarefa de pesquisa ou scanner que coleta informações específicas. Por exemplo, pode verificar algo sobre DNS, TLS, versões de software ou outras propriedades técnicas.

A ideia é modular: muitas pequenas tarefas juntas proporcionam uma imagem mais rica do ambiente digital.

Leia também O que é normalização no OpenKAT?.

Uma descoberta é um sinal que requer atenção. Isto pode ser uma vulnerabilidade, mas também uma configuração incorreta, falta de medidas de segurança ou desvio da política.

Uma descoberta nem sempre é imediatamente um incidente. É principalmente uma razão para avaliar o que significa e que acompanhamento é necessário.

Leia também Como o OpenKAT ajuda na priorização?.

Segurança baseada em evidências significa que as conclusões são baseadas em dados registrados e não apenas em sentimentos ou suposições vagas.

O OpenKAT ajuda salvando observações e vinculando-as às descobertas. Isto torna mais fácil ver em que se baseia uma conclusão e como a situação muda ao longo do tempo.

Leia também Por que as evidências são importantes no MIAUW?.

Compliance consiste em demonstrar que você cumpre regras, padrões ou acordos. O OpenKAT pode vincular observações técnicas a políticas ou padrões.

Isto torna mais claro quais conclusões técnicas também são administrativa ou juridicamente relevantes. Isso ajuda com auditorias, relatórios e priorização.

Leia também O OpenKAT pode ajudar com o NIS2?.

Não. Os especialistas em segurança precisam de detalhes técnicos, mas o OpenKAT também é útil para administradores, auditores, equipes de conformidade e diretores.

Cada função olha de forma diferente para a mesma realidade: detalhes técnicos para resolução, visões gerais para orientação e evidências para responsabilização.

Leia mais em OpenKAT.

Sim. OpenKAT é de código aberto e pode ser usado por você mesmo. Isso requer conhecimento técnico, gerenciamento e design cuidadoso.

Algumas organizações optam, portanto, pela autogestão. Outras organizações preferem trabalhar com um parceiro para hospedagem, design, gerenciamento ou suporte.

Consulte também Parceiros e OpenKAT.

OpenKAT é uma ferramenta de segurança e deve ser usada com cuidado. A digitalização só é feita dentro de um escopo acordado e com permissão.

Os resultados podem ser sensíveis porque dizem algo sobre vulnerabilidades e instituições. Portanto, proteja bem essas informações e dê acesso apenas às pessoas que precisam dessas informações.

Leia também Como o OpenKAT lida com a privacidade?.

OpenKAT funciona com objetos que podem ser examinados. Pode ser, por exemplo, um nome de domínio, endereço IP, site, servidor, certificado ou outro componente técnico.

Ao registrar esses objetos separadamente, o OpenKAT pode estabelecer relacionamentos: qual site pertence a qual domínio, qual certificado pertence a qual serviço e qual descoberta pertence a qual componente.

Leia mais em OpenKAT.

Os scanners geralmente produzem resultados brutos. Normalizar significa converter essa saída em dados que o OpenKAT possa compreender e comparar de forma fixa.

Isto é importante porque o OpenKAT deseja combinar informações de diferentes fontes. Somente quando os dados estão bem estruturados é que você pode vinculá-los a objetos, descobertas, padrões e cronogramas.

Leia também O que significa segurança baseada em evidências?.

Um scanner de vulnerabilidades geralmente procura vulnerabilidades técnicas específicas. O OpenKAT é mais amplo: pode combinar dados de múltiplas fontes, estabelecer relacionamentos, mostrar mudanças ao longo do tempo e vincular descobertas a políticas ou padrões.

O OpenKAT pode, portanto, usar scanners, mas é principalmente uma plataforma para reunir observações, contexto e acompanhamento.

Leia mais em OpenKAT.

O OpenKAT destina-se à pesquisa dentro de um escopo acordado. Portanto, você verifica apenas sistemas para os quais tem permissão e para os quais está claro o que pode ser examinado.

Isto é importante por razões legais, técnicas e organizacionais. A pesquisa de segurança sem um escopo claro pode causar riscos e prejudicar a confiança.

Consulte também Qual é o escopo de uma investigação MIAUW?.

Sim. Uma ideia importante por trás do OpenKAT é que você não quer apenas um instantâneo, você também quer ver como a situação está mudando.

Isso ajuda em questões como: um problema foi resolvido, ele voltou, surgiu algo novo e a situação de segurança está melhorando ou piorando?

Leia também Por que o insight contínuo é importante?.

Nem todas as descobertas têm a mesma urgência. Um problema técnico num sistema de teste sem importância é muitas vezes menos grave do que o mesmo problema num sistema público com dados sensíveis.

O OpenKAT ajuda vinculando sinais técnicos ao contexto, políticas e padrões. Isso permite que uma organização determine melhor o que precisa ser abordado primeiro.

Leia também Como o OpenKAT ajuda na conformidade?.

O OpenKAT pode ajudar no lado prático da resiliência digital demonstrável: obter insights sobre sistemas, vulnerabilidades, configurações incorretas e mudanças ao longo do tempo.

A NIS2 não diz respeito apenas à tecnologia, mas também à governação, aos riscos e à demonstrabilidade. O OpenKAT pode fornecer suporte técnico para isso, mas não substitui um programa NIS2 completo.

Leia também Como o OpenKAT ajuda na conformidade?.

O OpenKAT examina principalmente dados técnicos, mas os resultados podem ser sensíveis. Um relatório de vulnerabilidade ou erro de configuração pode ser mal utilizado se acabar no lugar errado.

É por isso que é importante limitar o acesso, proteger bem os resultados e digitalizar apenas dentro de um escopo claro.

Leia também política de privacidade deste site e O OpenKAT é seguro para uso?.

Os resultados individuais da verificação são muitas vezes difíceis de interpretar. Os relacionamentos deixam claro como os componentes estão relacionados: qual domínio pertence a qual site, qual serviço é executado em qual sistema e qual descoberta pertence a qual objeto.

Esses relacionamentos tornam o OpenKAT mais do que uma lista de notificações. Torna-se um modelo do ambiente digital que ajuda a compreender melhor as causas, o impacto e o acompanhamento.

Leia mais em OpenKAT.

Sim. OpenKAT é interessante porque pode combinar informações de diferentes fontes. Considere scanners, fontes de dados externas, verificações de configuração e tarefas de pesquisa próprias.

O objectivo não é substituir todas as ferramentas, mas sim reunir melhor os resultados e torná-los úteis para análise, monitorização e responsabilização.

Leia mais em OpenKAT.

OciDeck é um programa de apresentação com foco no conteúdo. Você cria slides a partir de formas, dados e texto claros, em vez de deslizar objetos manualmente em uma tela.

Leia mais em OciDeck.

OciDeck é destinado a pessoas que veem as apresentações como portadoras de conhecimento. Pense em treinadores, pesquisadores, profissionais de segurança, desenvolvedores, auditores, formuladores de políticas e organizações que desejam manter o controle de suas informações.

É especialmente interessante quando o conteúdo, a reutilização, a verificabilidade e o compartilhamento seguro são importantes.

Leia mais em OciDeck e Recursos do OciDeck.

Muitos softwares de apresentação começam com uma tela em branco. Você arrasta caixas de texto, imagens e formas para o lugar.

OciDeck começa com o conteúdo. Você escolhe o tipo de slide, preenche o conteúdo e deixa a apresentação surgir a partir dele. Isso torna os slides mais fáceis de verificar, reutilizar e exportar.

Leia também Por que o Marp é importante para a OciDeck.

Marp é uma forma de criar apresentações com Markdown. Markdown é uma notação de texto simples.

Marp é importante para a OciDeck porque significa que a apresentação permanece em texto simples. Isso torna as alterações controláveis ​​e garante que o conteúdo não seja bloqueado em um formato de arquivo fechado.

Leia mais em Por que o Marp é importante para a OciDeck.

Não necessariamente. OciDeck oferece editores estruturados por tipo de slide. Assim você pode trabalhar sem escrever Markdown o tempo todo.

Markdown é principalmente a base aberta para a apresentação. Qualquer pessoa que conheça o Markdown pode se beneficiar com isso, mas não é um requisito estrito para todos os usos.

Leia também O que é Marp?.

As apresentações geralmente contêm mais informações confidenciais do que as pessoas imaginam: nomes, endereços de e-mail, detalhes de clientes, tokens, capturas de tela, notas do palestrante ou detalhes técnicos.

O OciDeck ajuda a tornar essas informações visíveis mais cedo, antes de uma apresentação ser compartilhada ou exportada.

Leia mais em Recursos de privacidade no OciDeck.

O OciWacht pesquisa localmente dados potencialmente confidenciais em uma apresentação. Pense em números de identificação, endereços de e-mail, números de telefone, tokens, chaves ou outros padrões confidenciais.

Para cada achado, o criador pode escolher o que fazer com ele: aceitar, marcar ou omitir na apresentação e exportar.

Leia mais em Recursos de privacidade no OciDeck.

Não, não para o processamento normal da apresentação. OciDeck web funciona no navegador: a aplicação Flutter web é carregada a partir do servidor e depois a edição, a pré-visualização em direto, o OciWacht, a exportação para PDF/PPTX/HTML e o construtor CVSS acontecem no lado do cliente. O conteúdo da apresentação não é enviado para um backend para ser processado.

Também não há telemetria nem analytics integrados. O servidor de alojamento do OciDeck não obtém, portanto, visibilidade aplicacional sobre a sua apresentação, edições, resultados de privacidade ou exportações.

Há nuances. Como qualquer webhost, o servidor pode ter logs de acesso normais, por exemplo endereço IP, hora, ficheiros pedidos e user-agent. Isso mostra que alguém carregou a aplicação, mas não o que essa pessoa faz no OciDeck.

Existe também um fetch proxy opcional para importação por URL quando uma origem não permite acesso CORS. Só quando abre um URL non-CORS através desse proxy é que o servidor vê o URL introduzido e retransmite os bytes.

Outras ligações de saída são iniciadas pelo utilizador e vão para destinos que escolhe ou configura, como assistência de IA opcional, WebDAV/Nextcloud, uma base de dados CVE, provisioning de secmodule ou um URL que importa.

Se quiser usar o OciDeck no navegador, aceda a ocideck.nl.

Leia mais em Recursos de privacidade no OciDeck.

Não. Nenhuma varredura encontra tudo.

OciWacht é uma ferramenta para identificar riscos antecipadamente e compartilhá-los de forma mais consciente. O criador permanece responsável pelo conteúdo e deve sempre pensar por si mesmo em apresentações delicadas.

Leia também Por que os recursos de privacidade do OciDeck são importantes?.

Nem todo slide é destinado a todos os públicos. A OciDeck pode ajudar a determinar, por apresentação e por slide, até que ponto as informações podem ser compartilhadas.

O OciDeck pode, portanto, ajudar a evitar que um slide interno acabe acidentalmente em uma apresentação ou exportação mais ampla.

Leia mais em Compartilhe no nível certo.

TLP significa Protocolo de Semáforo. É um sistema de cores para indicar o quão confidenciais são as informações e com quem essas informações podem ser compartilhadas.

Você não precisa saber a abreviatura para entender o princípio. A questão prática é: quem tem permissão para ver esta informação?

Leia mais em Compartilhe no nível certo.

Sim. Os gráficos no OciDeck permanecem conectados aos dados. Isso os torna mais controláveis ​​e menos dependentes de capturas de tela ou imagens criadas manualmente.

Isto é útil para pesquisas, relatórios, painéis e apresentações onde os números devem permanecer corretos.

Leia mais em Recursos do OciDeck.

Sim. As listas de verificação podem ser marcadas durante a apresentação.

Isto é útil para treinamentos, workshops, demonstrações, análises de segurança e relatórios nos quais o progresso deve ser visível. A lista de verificação torna-se então parte da história, e não algo adicional à apresentação.

Leia mais em Recursos do OciDeck.

Sim. OciDeck se concentra em trabalhar a partir de uma única fonte e exportar para formatos utilizáveis, como PDF, PPTX e HTML offline independente.

A vantagem é que o mesmo conteúdo pode ser utilizado para diferentes finalidades, sem a necessidade de construir manualmente novas cópias a cada vez.

Leia mais em Recursos do OciDeck.

Sim. OciDeck é de código aberto. O código fonte está em Forgejo:

https://pawprint.vigilis.online/LibreKAT/Ocideck

Leia também OciDeck.

As formas de slide são tipos fixos de slides, como título, lista, tabela, gráfico, exemplo de código, pergunta, linha do tempo ou painel.

Ao trabalhar com formas de slide, o criador precisa rolar menos manualmente. O conteúdo é central e a OciDeck pode exibir, controlar e exportar esse conteúdo de forma mais consistente.

Leia mais em Recursos do OciDeck.

Sim. OciDeck oferece suporte a slides com código-fonte e realce de sintaxe. O código permanece como texto real em vez de uma captura de tela.

Isto é útil para apresentações técnicas, treinamentos e relatórios de segurança nos quais o código deve permanecer legível e auditável.

Leia mais em Recursos do OciDeck.

Sim. OciDeck pode usar slides Markdown gratuitos, incluindo diagramas Mermaid e matemática LaTeX.

Isso significa que gráficos e fórmulas podem ser salvos como conteúdo de origem, em vez de como uma imagem separada que é difícil de alterar posteriormente.

Leia mais sobre o que torna possível o Marp Markdown.

O modo Markdown é destinado a usuários que desejam trabalhar diretamente na fonte de texto de um deck. Isso pode ser útil para pesquisar e substituir, alterações rápidas de texto ou verificação técnica.

Você nem sempre precisa usar o modo Markdown. Os editores estruturados permanecem lá para quem prefere trabalhar por slide.

Leia também O que é Marp?.

OciDeck inclui um módulo de teste de caneta MIAUW opcional. Este módulo é destinado a relatórios conforme Metodologia de Pesquisa em Segurança da Informação com Valor de Auditoria.

Pense em encontrar slides, resumos, listas de verificação, visões gerais de escopo e suporte para relatórios. O módulo está desativado por padrão e é destinado a situações onde o MIAUW é realmente relevante.

Leia mais em Recursos do OciDeck e O que é MIAUW?.

A exportação de HTML offline significa que uma apresentação pode ser transportada ou compartilhada como uma versão HTML independente, sem a necessidade de acesso à rede durante a exibição.

Isso é útil para treinamentos, demonstrações e ambientes onde você não deseja depender de apresentações na nuvem ou de serviços externos.

Leia mais em Recursos do OciDeck.

Sim. OciDeck suporta apresentações, entre outras coisas, exibição em tela cheia, navegação por teclado, cronômetro, notas, modo de ensaio e apresentador em tela dupla.

Isso faz do OciDeck não apenas um editor, mas também uma ferramenta para fazer apresentações.

Leia mais em Recursos do OciDeck.

Sim. OciDeck pode trabalhar com notas do palestrante e notas separadas para os participantes.

Isso é útil porque nem todas as informações precisam estar no próprio slide. Um palestrante pode precisar de contexto extra, enquanto os participantes precisam de um resumo ou referência simples.

Leia mais em Recursos do OciDeck.

Sim. OciDeck pode usar Nextcloud/WebDAV como fonte para pacotes OciDeck e decks Marp Markdown.

Isto é adequado para organizações que preferem manter os documentos sob sua própria gestão ou em seu próprio ambiente colaborativo.

Leia mais em Recursos do OciDeck.

OciDeck se concentra em uma interface acessível, incluindo controles de teclado, rótulos de leitores de tela, escala de texto e anúncios de mudança de slide.

Acessibilidade também tem a ver com estrutura. Como os slides consistem em conteúdo real, é mais fácil manter esse conteúdo compreensível e verificável.

Leia mais em Recursos do OciDeck.