security theater
expressãosegurançagovernança e risco
O termo de Bruce Schneier para medidas que encenam proteção de forma visível enquanto entregam pouca.
O valor do termo é o teste que ele implica: este controle muda o cálculo do atacante, ou o sentimento de quem observa? Algum teatro é até defensável - dissuasão visível tem efeitos - mas só se alguém, em algum lugar, souber em qual categoria a medida está.
Teatro de segurança é uma medida que produz a sensação de segurança sem reduzir risco de forma significativa, e Schneier a cunhou sobre a inspeção em aeroportos. A característica distintiva é ser visível: o objetivo é ser vista, porque a tranquilização é o produto real.
Em tecnologia é fácil de encontrar. Uma política de senha que exige complexidade e produz senhas previsíveis, um curso anual de conscientização de que ninguém lembra, um questionário respondido pela equipe comercial do fornecedor, um painel que ninguém lê, uma etapa de aprovação executada por alguém sem base para avaliar o que aprova. Cada uma consome esforço real e cada uma é defendida sob o argumento de ser melhor que nada.
A complicação honesta é que nem sempre é inútil. Medidas visíveis dissuadem oportunistas, tranquilizar tem valor genuíno quando o medo é em si um dano, e um controle que é teatro para um atacante sofisticado pode ser eficaz contra um casual. O problema é o custo de oportunidade e a falsa confiança: o esforço gasto na coisa visível não é gasto na eficaz, e uma organização que se acredita protegida para de perguntar. O teste que vale aplicar é se alguém consegue dizer qual ameaça específica aquela medida impede.
Também conhecido como: security theatre