Segurança Física e de Informação

Nota da pasta de CI Defensiva (Deter e Detectar) do Capítulo 13 que trata da fronteira físico-informacional:
controles físicos que protegem informação, risco de executivos em viagem e convergência com a cibersegurança.
Mostra que reconhecimento e acesso adversários combinam os dois mundos. Dialoga com Vetting e Hardening.

1. Contexto e Posicionamento na Biblioteca

A biblioteca é fortemente digital, e essa é sua natureza, mas a doutrina de contra-inteligência registra desde
antes do computador que a informação circula pelo mundo físico: em papéis, em conversas, em salas, em equipamentos,
em pessoas em movimento. Esta nota trata a fronteira físico-informacional como espaço próprio de CI defensiva, onde
a organização protege a informação por meio de controles físicos e onde o adversário reconhece, coleta e acessa por
meio do mundo tangible. A premissa do capítulo é que casos maduros de espionagem e de acesso inicial raramente são
puramente digitais: eles combinam observação de instalações, descarte indevido, acesso a salas, dispositivos
conectados e, só então, exploração técnica.

O posicionamento na pasta é o de salvaguarda de terreno: a matriz de gestão de risco da nota 01 desta pasta
identifica adversários que usam reconhecimento físico e acesso tangível; esta nota fornece os controles que fecham
esse elo da cadeia. A nota também prepara a leitura do hardening da nota 04, que reduz a superfície técnica sobre a
qual o acesso físico explorado se converte em comprometimento digital.

2. A Fronteira Físico-Informacional

Chamamos de fronteira físico-informacional o conjunto de pontos em que o mundo físico determina o que é possível
fazer com informação: onde ela é impressa, discutida, armazenada, descartada e transportada, e por onde cabos,
ondas e dispositivos entram e saem das instalações. A fronteira existe porque os ataques mais eficientes de coleta
usam o caminho de menor resistência, e o mundo físico costuma ser esse caminho: a senha colada no monitor, o
documento impresso esquecido na impressora, a conversa em sala de café aberta, o notebook deixado no carro, o
acesso de visitante sem escolta.

A doutrina de CI traduz essa realidade em dois princípios de desenho. O primeiro é que o controle físico é controle
de informação: quem controla o acesso ao edifício, à sala e à bancada controla o alcance de qualquer coleta, e por
isso a política de informação precisa nascer junto com a política de instalações, não depois. O segundo é que a
interação física é também fonte de detecção: o visitante que fotografa quadros de projeto, o fornecedor que pede
para ficar sozinho no andar restrito e o descarte sistemático de material em lixeira externa são sinais de
reconhecimento que a segurança física captura e que o SOC digital nunca veria. A fusão de tradições da nota 01 do
capítulo aparece aqui de forma concreta: segurança de instalações e cibersegurança operam o mesmo problema de dois
lados.

3. Controles Físicos que Protegem Informação

Os controles clássicos da segurança física que protegem informação formam um conjunto maduro, e a tabela abaixo
resume os quatro pilares que a política corporativa de CI defensiva deve cobrir, com o que cada um impede e o sinal
que produz quando tentado.

Três observações de implantação elevam a eficácia do conjunto. Primeira, o controle de acesso só protege informação
se escolta e registro forem reais: o registro de portaria que ninguém confere é teatro, e o crachá de fornecedor
permanente com acesso de corredor é a credencial mais explorada em casos reais de infiltração. Segunda, a
destruição de mídia exige cadeia: mídia que sai da área restrita para o descarte é mídia fora de controle, e o
padrão de mercado é destruição certificada dentro ou sob custódia documentada. Terceira, clear desk vale também
para o doméstico: com o trabalho híbrido consolidado, a mesa da residência é extensão da instalação, e a política
precisa alcançá-la com linguagem proporcional e sem violência normativa.

4. Travelling Executives e Risco em Viagens

O executivo em viagem é o ativo de informação de maior valor exposto no ambiente de menor controle da organização:
aeroportos, hotéis, táxis, cafés e fronteiras. A doutrina de CI trata o travelling executive como caso específico
porque a coleta contra ele é fácil, valiosa e dificilmente detectável pela defesa central. Os vetores típicos
incluem a escuta casual em áreas comuns, o acesso à bagagem em quartos de hotel, a cópia de dispositivos em
inspeções de fronteira, as redes Wi-Fi hostis de hotéis e aeroportos, os cabos e carregadores de origem
desconhecida e a abordagem social que extrai informação de conversa aparentemente inofensiva.

A resposta é um protocolo de viagem proporcional à sensibilidade da missão, com regras usuais de mercado que podem
ser sumarizadas assim.

• Viajar limpo: dispositivos dedicados de viagem com mínimo de dados locais, sem acervo de e-mails antigos nem
  credenciais de valor além do necessário à missão.
• Conectar com controle: VPN corporativa para todo acesso, recusa de Wi-Fi de confiança incerta, desativação de
  conexões automáticas e uso de dados móveis quando possível.
• Proteger a presença física: dispositivos nunca deixados desacompanhados no quarto sem armário ou bloqueio, telas
  bloqueadas em qualquer desatenção e atenção a conversas em áreas comuns.
• Planejar a fronteira: para viagens de alto risco, avaliar viagem com dispositivos vazios que sincronizam após o
  retorno, e definir conduta caso o equipamento saia da posse da pessoa, mesmo por poucos minutos.
• Reportar anomalias: qualquer troca, avaria, comportamento estranho de equipamento ou abordagem incomum é
  reportado à CI no retorno, porque o aparelho que ficou sozinho é aparelho presumidamente comprometido.

A lógica dessas regras é a mesma do need-to-know aplicada à mobilidade: reduzir ao mínimo o que a pessoa carrega,
para que a perda de controle temporária não se converta em coleta de valor. A instrução de executivos é uma
atividade de CI defensiva barata e de alto retorno, e costuma ser o primeiro entregável prático de um programa de
CI corporativa.

5. Convergência com Segurança Cibernética

A convergência entre segurança física e cibersegurança não é retórica, é técnica. O exemplo mais clássico é o
dispositivo USB: ele entra fisicamente, executa digitalmente, e vetores públicos como pendrives deixados em
estacionamento e teclado virtual que digita sozinho mostram que a fronteira entre os mundos é a porta USB. A mesma
lógica vale para equipamentos de rede plantados, pontos de acesso não autorizados em salas, consoles conectados a
switches em quadros de andar e estações de manutenção com porta livre em áreas técnicas.

A resposta corporativa é governar a convergência em vez de dividir a competência. No plano físico, zonas com
informação crítica têm política de dispositivos explícita: sem USB de origem não controlada, sem equipamento
pessoal conectado à rede corporativa, com inspeção de entrega e devolução em áreas técnicas. No plano digital,
controles de endpoint e de rede assumem que o físico pode falhar: bloqueio de dispositivos de armazenamento não
sancionado, autenticação de acessos de gerência de rede, monitoramento de novos dispositivos na rede como o grupo
DAT da seção 15 exige e detecção de alterações em configuração de switch e Wi-Fi. O evento que fecha o circuito é a
correlação: tentativa de acesso físico a sala de comunicação com falha, seguida de novo dispositivo na rede e
consulta a compartilhamento sensível, é um único caso de CI, e não três alertas sem relação.

6. Exemplo de Incidente Combinado Físico-Digital

O cenário abaixo compõe vetores reais frequentes em casos de espionagem industrial e mostra como a organização
detecta e neutraliza um acesso que começa físico e termina digital.

Linha do tempo do caso
D-12  Reconhecimento físico: visita técnica de fornecedor registra que o
      profissional pediu para ficar sozinho em dois momentos no andar
      restrito; portaria registra e reporta ao canal de CI.
D-10  Descoberta física: equipe de instalações encontra pequeno adaptador
      de rede desconhecido conectado a tomada de rede em sala de reunião;
      equipamento é recolhido e preservado com cadeia de custódia.
D-10  Resposta digital: SOC correlaciona MAC do adaptador com telemetria
      de rede e confirma 9 conexões nos últimos 12 dias, sempre fora do
      horário comercial, com consulta a 2 compartilhamentos sensíveis.
D-9   Contenção: credenciais expostas são rotacionadas, segmentação do
      andar é revisada, e acesso físico de fornecedores passa a exigir
      escolta contínua com registro por câmera.
D-8   Investigação e CI: análise do adaptador mostra conexão por cabo a
      servidor de coleta; infraestrutura externa é catalogada e cruzada
      com campanhas conhecidas contra o setor, elevando a confiança da
      avaliação de espionagem dirigida.
D-5   Memória: canal controlado é mantido na porta de rede com monitoria
      reforçada; portaria recebe briefing de reconhecimento físico; a
      lição entra na base de TTPs com o padrão completo do caso.

O caso evidencia por que a nota existe: a quebra de cadeia decisória não foi nem a melhor EDR nem o melhor
firewall, foi o registro disciplinado de um comportamento físico anômalo somado à correlação com telemetria
digital. Sem o reporte da portaria, o adaptador teria sido descartado como lixo técnico; sem a telemetria, seria um
achado curioso sem avaliação de dano.

7. Erros Comuns e Pontos de Atenção

• Tratar segurança física como custo de imóvel: sob orçamento de facilities, os controles viram teatro; a correção
  é incluir risco de coleta física na matriz de CI e financiar de acordo com o risco.
• Registrar sem verificar: portaria e lista de visitantes que ninguém confere produzem papel, não defesa; a
  correção é procedimento de conferência com escolta real em áreas restritas.
• Descartar sem cadeia: mídia e papel sensíveis no lixo comum recolhem casos inteiros de coleta; a correção é
  destruição certificada com registro e custódia documentada.
• Ignorar o terceiro: fornecedor de limpeza e manutenção circula onde poucos funcionários circulam; a correção é
  vetting de terceiros com acesso, escolta proporcional e need-to-know mesmo para serviços básicos.
• Compartimentar física e digital: dois times que não se falam deixam o caso combinado invisível; a correção é
  canal único de reporte e correlação de eventos físicos com telemetria digital no SIEM.
• Acreditar que viagem é problema pessoal: instrução informal de dicas não é protocolo; a correção é política de
  viagem por sensibilidade de missão com dispositivos dedicados e reporte de anomalias.

8. Integração com o Restante da Biblioteca

Na pasta de CI Defensiva, esta nota fecha o elo de terreno entre a matriz de risco da nota 01, que identifica
adversários com vetor físico, e o hardening da nota 04, que reduz a superfície digital que o acesso físico explora.
Com a nota de vetting, compartilha a preocupação com terceiros e com o ciclo de acesso de pessoas. Na seção 15, os
grupos INS e DAT fornecem inventário e telemetria que a correlação físico-digital consome, e o PRT dá o formato de
proteção em camadas que a fronteira físico-informacional aplica. Na seção 04, o EASM lembra que a superfície não é
só externa e digital: a instalação física é também superfície observável, e a nota de reconhecimento de
infraestrutura adversária da seção 05 mostra como o adversário cruza dados abertos com observação física para
preparar operações.