Sobre
Uma equipa que veio da segurança ofensiva e trabalha segurança de produto, e que, em paralelo, se prepara para ser fabricante, sujeita ao mesmo regulamento que aconselha.
De onde vimos
A Folhas Etéreas nasceu do lado ofensivo da segurança: anos de pentest e red team, com as certificações da OffSec como bitola do ofício. Essa origem fixou o critério que orienta tudo o resto: uma recomendação vale pelo ataque que evita, não pelo requisito que risca de uma lista.
Hoje a equipa é multidisciplinar: segurança ofensiva, engenharia de software e de firmware, regulamentação. O ângulo mantém-se em toda ela, o do risco real, com um caminho de ataque concreto por trás. Auditoria de papel já o mercado tem em abundância.
O trabalho tem passado por infraestrutura crítica de telecomunicações, por banca e fintech sob DORA, e por segurança de produto no setor automóvel, sob UNECE R155/R156 e ISO/SAE 21434. Foi o primeiro setor obrigado a tratar a segurança como propriedade do produto ao longo do ciclo de vida, e por isso é a melhor antevisão do que o CRA vai pedir a todos os outros.
O produto
Em paralelo com a consultoria, está em desenvolvimento o Aeromate, um produto próprio de IoT para secagem e maturação no setor agroalimentar, com previsão de chegar ao mercado entre 2027 e 2028. Está em fase de protótipo, com ensaio de campo em Coruche.
Quando for colocado no mercado, esse produto estará sujeito ao CRA. Isso obriga a percorrer o mesmo processo que aconselhamos, e é o que dá origem ao diário de bordo: um registo público das decisões de preparação, com o detalhe que um caso de estudo de cliente nunca poderia ter.
O hardware é o veículo e o caso de estudo. O que vendemos é o caminho até à conformidade e à operação segura, no nosso produto e no dos nossos clientes.
Independência
No trabalho de consultoria, a recomendação técnica não tem margem do outro lado: não recebemos comissões de fornecedores de ferramentas nem revendemos as plataformas que avaliamos. Temos um produto próprio, o Aeromate, e tratamo-lo com a mesma regra: é declarado abertamente, serve de caso de estudo público no diário, e nunca é recomendado como solução a um cliente de consultoria.
Nunca são publicados âmbitos de trabalho, achados, vulnerabilidades ou arquiteturas de clientes. Quando há necessidade de ilustrar um problema, o exemplo é abstrato ou construído de raiz, e identificado como tal.