Cibersegurança: o que é o TLP e porque é tão importante?

A partilha de informação é um dos pilares da cibersegurança. Empresas, organismos públicos, equipas de resposta a incidentes (CSIRT), fabricantes de software e investigadores partilham diariamente indicadores de compromisso (IoC), vulnerabilidades, técnicas de ataque e inteligência sobre ameaças. Já ouviu falar no TLP?

O que é o Traffic Light Protocol (TLP)?

O Traffic Light Protocol (TLP) é um sistema simples de classificação que define quem pode ter acesso à informação partilhada. O TLP é atualmente um padrão internacional mantido pela FIRST (Forum of Incident Response and Security Teams) e é amplamente utilizado em todo o mundo.

O TLP é um conjunto de etiquetas que indica o nível de divulgação permitido para determinada informação.

Ao contrário de uma classificação de segurança (como "Confidencial" ou "Secreto"), o TLP não classifica a sensibilidade da informação. O seu objetivo é indicar com quem essa informação pode ser partilhada, promovendo uma colaboração segura entre organizações.

Desde 2022, a versão oficial do protocolo é o TLP 2.0, que introduziu algumas alterações importantes, incluindo a substituição da etiqueta TLP:WHITE por TLP:CLEAR.

As quatro classificações do TLP

🔴 TLP:RED

É o nível mais restritivo.

A informação apenas pode ser conhecida pelos destinatários identificados na comunicação. Não deve ser partilhada com colegas, outras equipas ou organizações.

É normalmente utilizada quando uma divulgação mais ampla pode comprometer uma investigação, colocar sistemas em risco ou afetar a privacidade das pessoas envolvidas.

Exemplo:

• Informações sobre um ataque em curso.
• Dados sensíveis de uma investigação forense.
• Vulnerabilidades críticas ainda não corrigidas.

🟠 TLP:AMBER

A informação pode ser partilhada dentro da organização, mas apenas com pessoas que necessitam efetivamente de a conhecer para desempenhar as suas funções.

Na versão 2.0 surgiu também a designação TLP:AMBER+STRICT, que restringe ainda mais a partilha, impedindo a divulgação a clientes ou entidades externas da organização.

Exemplo:

• >Indicadores de compromisso.
• Relatórios técnicos.
• Medidas de mitigação antes da divulgação pública.

🟢 TLP:GREEN

Permite a partilha dentro de uma comunidade específica.

A informação pode circular entre organizações pertencentes ao mesmo setor, parceiros ou comunidades de confiança, mas nunca deve ser publicada em locais acessíveis ao público.

Exemplo:

• Alertas entre universidades.
• Comunicações entre CSIRT.
• Partilha entre empresas do mesmo setor.

⚪ TLP:CLEAR

Corresponde à antiga designação TLP:WHITE.

A informação pode ser divulgada sem restrições, podendo ser publicada em websites, redes sociais, artigos técnicos ou comunicados de imprensa.

Exemplo:

• Avisos públicos.
• Relatórios publicados.
• Boletins de segurança.
• Artigos técnicos.

Num cenário em que a colaboração é cada vez mais essencial para responder a incidentes de cibersegurança, o Traffic Light Protocol (TLP) tornou-se uma referência mundial para a partilha responsável de informação.

Simples de aplicar e fácil de interpretar, o protocolo ajuda organizações de todas as dimensões a proteger informação sensível sem comprometer a colaboração necessária para enfrentar as ameaças atuais. A adoção da versão TLP 2.0 reforça ainda mais este objetivo, oferecendo regras claras e consistentes para um ecossistema global de partilha de informação.