Resumo

  • A APNIC informou que concluiu, no segundo trimestre de 2026, a migração de hosts CentOS em fim de vida para plataformas conteinerizadas ou RHEL9.
  • O acervo público também descreve DAST, SAST, comunicação de vulnerabilidades, classificação e retenção de dados, DLP e emulação de adversário, mas alterna resultados, trabalhos em curso, metas e políticas.
  • Quatro conexões ainda não são auditáveis publicamente: inventário para retirada da plataforma, achado para correção, classificação para destinação e cenário de emulação para validação da detecção em produção.
  • Um recibo trimestral de fechamento pode mostrar denominadores, exceções, faixas de idade, destinações e retestes sem divulgar falhas, ativos, pessoas ou regras de detecção.

Um projeto com começo, destino e fim

No texto publicado em 30 de junho de 2026 sobre suas bases de segurança, a APNIC afirmou que completou no segundo trimestre um programa de vários anos para reduzir o risco de tecnologia legada. Hosts Linux CentOS que haviam chegado ao fim da vida útil foram levados para plataformas conteinerizadas ou Red Hat Enterprise Linux 9. Sistemas sustentados, argumentou a organização, são mais fáceis de monitorar, corrigir e proteger.

O Relatório Anual de 2025 registra duas entregas vizinhas: a migração de projetos existentes em máquinas virtuais para Kubernetes foi concluída; uma plataforma substituta de virtualização foi escolhida, implantada e recebeu a migração prevista.

Os documentos não publicam o número de serviços no escopo, eventuais exceções ou o método de verificação. Isso não autoriza concluir que sobraram hosts CentOS. Autoriza apenas reconhecer que há uma afirmação forte o bastante para uma conciliação: existia uma população legada, havia um destino e a frente foi dada como encerrada.

Esse marco é mais útil do que uma coleção de verbos. Ele permite testar como outras partes do programa de segurança poderiam chegar ao mesmo nível de fechamento, mantendo os detalhes operacionais em sigilo.

Nem toda frase de segurança tem o mesmo estado

O Relatório Anual registra resultados. DAST foi implantado. Seis vulnerabilidades críticas foram identificadas e corrigidas. A certificação ISO 27001:2022 foi alcançada.

O artigo de junho mistura resultados e execução. DAST havia sido levado ao portfólio crítico de aplicações para complementar SAST e a descoberta externa operada por HackerOne e pelo programa de comunicação de vulnerabilidades. O Microsoft Purview estava provisionado e em uso para aplicar classificações de sensibilidade e definir agendas de retenção. O reforço de DLP em endpoints e nuvem seguia em implantação, com a elevação inicial prevista para o terceiro trimestre. A emulação controlada de adversário estava sendo executada para orientar melhorias na detecção de produção.

O Plano de Atividades de 2026 é um plano. Ele coloca no terceiro trimestre a varredura inicial de sites WordPress públicos e um ambiente de testes local mais consistente com produção. Para o segundo trimestre, prevê firewalls de borda em modo ativo-ativo e caminhos de detecção validados na infraestrutura crítica. A triagem e correção de vulnerabilidades críticas em trinta dias aparece como resultado contínuo desejado.

As atas do Conselho Executivo de dezembro de 2025 descrevem prioridades: aplicar uma nova política de retenção e exclusão, começando pelo Fellowship Application System; reforçar DLP; instituir red team interno; e fazer varredura externa de todos os serviços web públicos.

As políticas, por fim, expressam compromissos permanentes. Incidentes e não conformidades de segurança devem ser investigados e tratados de modo sistemático e tempestivo. O programa de vulnerabilidades busca responder em sete dias e resolver em noventa os relatos de severidade média ou maior. A declaração de privacidade prevê destruir ou desidentificar informação pessoal quando deixa de existir uma necessidade comercial legítima.

Resultado, execução, meta e regra podem todos ser verdadeiros. Não são provas equivalentes. Essa separação é o princípio dos quatro vínculos.

Inventário ligado à retirada

Uma prestação de contas segura não precisa trazer nomes de servidores. Precisa trazer a soma.

A APNIC poderia fixar uma data-base e declarar quantos hosts, cargas ou serviços faziam parte da frente CentOS. O total seria reconciliado em migrados, reconstruídos, retirados e formalmente excepcionados. Exceções poderiam aparecer apenas por classe ampla e trimestre de revisão. O método de prova — inventário de configuração, atestado de implantação ou amostragem independente — caberia em uma coluna.

Assim, “concluído” deixaria de depender da interpretação. Encerrar o projeto administrativo, desligar o último host de produção e remover a última dependência legada são estados diferentes. Não há evidência de que a APNIC os tenha confundido. A conciliação serviria justamente para que o público não precise imaginar qual deles foi usado.

Achado ligado à correção e ao reteste

DAST, SAST, recompensa por bugs e divulgação responsável abrem caminhos de descoberta. O dado de seis vulnerabilidades críticas corrigidas mostra que houve saída, mas não descreve a fila inteira.

Por canal e faixa de severidade, um quadro agregado poderia informar estoque inicial, entradas, fechamentos, idade por faixa, atrasos, falsos positivos, riscos aceitos e reaberturas. Um campo de reteste separaria a mudança entregue da confirmação de que a condição original não voltou a ser reproduzida.

Também é preciso conservar os limites institucionais. Uma vulnerabilidade em produto da APNIC, um incidente que atinge seus próprios sistemas e uma denúncia de abuso envolvendo um membro não são a mesma fila. A página de segurança da organização já separa esses caminhos. Fundi-los em uma taxa única criaria precisão aparente e responsabilidade confusa.

Nenhuma dessas métricas exige o nome da vulnerabilidade, do ativo afetado ou da solução adotada. O fechamento cabe em contagens e datas.

Classificação ligada à destinação

O Purview oferece meios para classificar informação e definir agendas de retenção. A declaração de privacidade aponta o resultado esperado: informação pessoal irrelevante, excessiva ou sem razão comercial legítima deve ser excluída ou desidentificada assim que for razoavelmente possível.

Entre a etiqueta e a destinação há uma cadeia. No piloto do sistema de candidaturas ao programa de bolsas, a APNIC poderia contar registros avaliados, parcela classificada, itens que chegaram à data de destinação e seus resultados: excluídos, desidentificados, preservados por obrigação legal, prorrogados após revisão ou aguardando o responsável.

Dados de candidatos, prazos exatos e causas individuais ficariam fora do relatório. Ainda assim, seria possível saber se a regra chegou ao objeto e produziu um resultado.

O Relatório Anual diz que o projeto de data warehouse foi concluído, com toda a informação daquele ambiente catalogada e capacidade de consulta implantada. Trata-se de uma população delimitada. Não prova classificação ou destinação de todo o acervo da APNIC. Catalogar, classificar, agendar e destinar são quatro etapas.

Cenário ligado à detecção de produção

A emulação de adversário testa se uma intenção de monitoramento funciona sob condições reais. A APNIC diz que executa um programa controlado para informar melhorias na ferramenta de detecção de produção, verificar monitoramento e resposta e encontrar pontos de aperfeiçoamento.

Técnicas, trajetórias e regras ativas devem permanecer protegidas. Resultados agregados podem ser públicos. Por classe de cenário, bastaria declarar o objetivo de detecção, o estado — aprovado, parcial ou falhou —, a correção e o trimestre do reteste. Também seria possível indicar quantos objetivos emitiram sinal no prazo e chegaram ao papel de resposta correto.

“Exercício realizado” confirma atividade. “Objetivo observado e retestado” confirma controle. Uma governança madura preserva as duas frases.

A certificação organiza; não substitui

A política de segurança da APNIC informa que seu certificado ISO/IEC 27001:2022 foi emitido em 10 de setembro de 2025. As atas citam uma auditoria de recertificação bem-sucedida em agosto, e o Relatório Anual destaca novos controles na edição 2022.

A certificação é evidência importante sobre sistema de gestão, responsabilidades, revisão e melhoria. Não publica o denominador do CentOS, a idade dos achados, a destinação de registros vencidos ou o reteste de cada objetivo de detecção. A ausência desses quadros públicos também não prova falha. O que falta é uma camada de tradução segura entre registros internos e garantia externa.

Um recibo trimestral de fechamento

O formato poderia caber em uma página: população no escopo, controle, classe de evidência — meta, implantado, testado, encerrado ou retestado —, resultado agregado, exceções, data de verificação, papel responsável e próxima revisão. Correções ficariam versionadas.

As primeiras quatro linhas seriam patrimônio legado, achados de segurança de aplicações, registros elegíveis para destinação e objetivos da emulação. Uma nota excluiria explicitamente identidades de ativos, falhas, dados pessoais, agendas sensíveis, técnicas e regras de detecção.

A APNIC já demonstrou como publicar uma fronteira de encerramento. Fechar as outras quatro conexões não tornaria a mensagem mais dramática. Tornaria o histórico comparável e verificável — precisamente o que um programa de segurança institucional precisa conservar.

Fontes