🛡️ SMP/E e Segurança: Quando manutenção vira proteção (ou vulnerabilidade)

 

Bellacosa Mainframe apresenta IBM SMP/E

🛡️ SMP/E e Segurança

Quando manutenção vira proteção (ou vulnerabilidade)

“No mainframe, segurança não começa no RACF.
Começa no SMP/E.”

---

🧠 Por que SMP/E é parte da segurança?

SMP/E controla o que entra no sistema operacional.

Quem controla:

• Código

• Versões

• Dependências

• Histórico

…controla superfície de ataque.

👉 Um PTF não aplicado é uma brecha.
👉 Um PTF mal aplicado é um risco maior ainda.

---

🔓 O maior mito

❌ “Segurança é só RACF, ACF2 ou TopSecret.”

✅ Verdade:

• RACF protege acesso

• SMP/E protege integridade do código

📌 Sem SMP/E bem gerenciado:

• Módulos vulneráveis continuam rodando

• Correções críticas não entram

• Auditoria reprova

---

🚨 PTF de segurança: prioridade máxima

A IBM libera PTFs que:

• Corrigem falhas exploráveis

• Atendem compliance (PCI, SOX, LGPD)

• Eliminam vetores de ataque

Esses PTFs geralmente vêm com:

• ++HOLD(SECURITY)

• Texto explicativo detalhado

👉 Não aplicar é decisão de risco.

---

🔍 ++HOLD(SECURITY): leia com atenção

O que significa?

++HOLD(SECURITY)

Indica:

• Impacto direto em segurança

• Mudança de comportamento

• Possível quebra de compatibilidade

📌 Normalmente envolve:

• Autorização

• Criptografia

• Controle de acesso

• SMF / auditoria

---

Dica Bellacosa

Ignore um HOLD de segurança e o auditor vai encontrar.

---

🔥 ++ERROR e segurança

Um ++ERROR em PTF de segurança é crítico:

• Pode corrigir parcialmente a falha

• Pode introduzir outro risco

• Pode exigir mitigação adicional

👉 Decisão nunca é automática.

📌 Boas ações:

• Ler APAR

• Avaliar CVE

• Consultar IBM

• Planejar superseding PTF

---

🔐 Controle de acesso ao SMP/E

Quem deve ter acesso?

• System Programmers

• Pouquíssimas pessoas

• Com segregação clara

📌 Proteger:

• CSI datasets

• SMP/E libraries

• JCL de manutenção

---

Boas práticas de RACF

• UACC=NONE

• Acesso mínimo necessário

• LOG de alterações

• Perfis específicos para SMP/E

👉 Quem mexe no SMP/E mexe no sistema inteiro.

---

🧾 Auditoria e compliance

Auditores adoram perguntar:

• Quais PTFs estão aplicados?

• Quando?

• Por quem?

• Por quê?

👉 SMP/E responde tudo isso.

📌 CSI é prova documental.

---

🧪 APPLY CHECK como ferramenta de segurança

APPLY CHECK ajuda a:

• Identificar impacto

• Prever conflitos

• Avaliar risco antes da mudança

💡 Dica Bellacosa:

“APPLY CHECK é auditoria preventiva.”

---

🔄 Manutenção atrasada = risco ativo

• PTF antigo = CVE ativo

• Função obsoleta = ataque conhecido

• Versão desatualizada = não conformidade

👉 Segurança também é disciplina de manutenção.

---

🧠 Caso real (estilo Bellacosa)

Falha crítica corrigida por PTF
PTF não aplicado por medo de IPL
Exploração acontece
Auditor pergunta: “Por quê?”

📌 Resposta errada:

“Porque sempre funcionou assim.”

---

🎓 Como aprender SMP/E focado em segurança

• Ler PTFs de segurança

• Analisar HOLDS

• Estudar CVEs

• Participar de workshops

• Integrar SMP/E com gestão de risco

---

🧠 Curiosidades Bellacosa

• SMP/E já fazia secure supply chain antes do termo existir

• Código assinado é inútil se não for aplicado

• Auditor confia mais no CSI do que em planilha

---

🧾 Comentário final – SMP/E e Segurança

Segurança não é só impedir acesso.
É garantir que o código certo esteja rodando.

E isso…
👉 é trabalho do SMP/E.

🛡️💾🔥