Cloud Security: os 5 pilares da segurança na nuvem

Sua empresa já é adepta do trabalho remoto? Se você utiliza esta modalidade de trabalho, seja em maior ou menor grau, já deve ter detectado duas necessidades: a de utilizar a nuvem e a de garantir a segurança para as informações armazenadas neste novo local, ou seja, você precisa contar com a cloud security.

A utilização de um ou mais serviços de nuvem traz consigo diversos benefícios, mas também alguns desafios, começando pela proteção adequada dos ativos baseados em nuvem.

Isso porque os cibercriminosos estão cientes da crescente utilização da nuvem corporativa e têm explorado suas ações neste ambiente.

É grande a quantidade de empresas que sofreram violações de dados baseados em nuvem nos últimos anos, desde os pequenos negócios até as grandes corporações.

Como abrir mão dos ambientes em nuvem não é uma opção em um contexto de ampliação do trabalho remoto, é preciso tomar iniciativas de proteção dos ativos nela presentes.

Por isso, é importante conhecer os pilares da cloud security, que vão além da aplicação de políticas e protocolos de segurança em um ambiente em nuvem.

No entanto, muitas empresas ainda não estão nem perto de se proteger adequadamente, pois seus gestores acreditam que a cloud security pode ficar totalmente a cargo dos seus provedores de nuvem.

Nesse sentido, é importantíssimo compreender as estratégias de segurança exclusivas que vêm com a nuvem e todas as etapas a serem seguidas para garantir o ambiente mais seguro possível.

É por isso que neste artigo vamos falar sobre os cinco pilares da cloud security, para que você possa ter a certeza de que está seguindo o caminho certo em relação à segurança dos seus ambientes em nuvem.

Se você tem dúvidas sobre o assunto, basta continuar a leitura e fazer o checklist das ações que ainda faltam na sua estratégia de segurança digital.

Os cinco pilares da cloud security

A utilização da nuvem no contexto corporativo já gerou muita polêmica em razão de uma suposta propensão para os incidentes de segurança ou vazamento de dados.

Porém, com a expansão dos princípios da cloud security, muitos gestores têm chegado a um consenso: a nuvem é uma das tecnologias mais relevantes da atualidade e existem práticas simples de cloud security que podem sanar a maioria dos riscos corridos com sua utilização.

Em outras palavras, a cloud security é a solução para que a nuvem possa ser utilizada com segurança por empresas de todos os portes.

Há alguns anos, acreditava-se que somente grandes corporações poderiam desfrutar dos benefícios da computação em nuvem, mas na atualidade ela vem sendo amplamente implementada também pelas pequenas e médias empresas.

Porém, os cuidados relacionados à cloud security que agora ganham maior relevância, demoraram a ser uma prioridade para os gestores.

Isso ocorreu por conta da novidade ainda não totalmente compreendida e também pela ideia parcialmente verdadeira de que a nuvem é um ambiente muito mais seguro que os servidores tradicionais.

Isso levou muitos profissionais, inclusive da área de TI, a não se preocuparem muito com o processo de migração para a nuvem.

É justamente por isso que, com o passar do tempo, muitos incidentes de segurança com ativos localizados na nuvem passaram a ser divulgados.

Na verdade, a nuvem, de fato, conta com algumas características que favorecem a segurança digital, porém grande parte das questões de segurança dependem de como ela é configurada e administrada.

Isso significa que a nuvem tem um grande potencial para ser mais segura que os antigos data centers, porém os cuidados adequados de cloud security são essenciais para isso.

Ou seja, a nuvem enquanto tecnologia não é a culpada pelos numerosos incidentes de segurança noticiados na atualidade.

A culpa está na má gestão e na falta de cuidados relacionados à cloud security, já que a maioria dos riscos podem ser mitigados com algumas orientações seguidas de maneira metódica e constante.

É por isso que se fala atualmente sobre os pilares da cloud security. Eles correspondem aos princípios que devem ser seguidos para evitar os incidentes de segurança na nuvem.

Vamos abordar cada um deles em seguida.

1) Conheça suas responsabilidades

Com o advento da computação em nuvem, muitos gestores acreditavam que, ao obter serviços de nuvem, seria o fornecedor o responsável pela cloud security.

Realmente, trata-se de uma visão muito tentadora, mas muito distante do que ocorre na realidade.

A maior parte dos provedores que fornecem serviços em nuvem utilizam um paradigma de segurança baseado no compartilhamento das responsabilidades.

Nesse contexto, o grau de responsabilidade do gestor vai depender do tipo de serviço a ser empregado e do grau de transição de serviços e informações para a nuvem.

Isso significa que existe uma grande variabilidade. Por exemplo, as empresas que utilizam apenas softwares como serviço (SaaS) assumem menos responsabilidades do que aquelas que migram de maneira completa para a nuvem com o emprego de infraestrutura como serviço (IaaS).

É claro que os níveis de responsabilidade compartilhada sobre a cloud security variam de um provedor para o outro.

Por isso, ao contratar um provedor, você deve procurar saber qual paradigma de segurança é adotado por ele.

Há provedores que mantêm com os clientes apenas as responsabilidades de cloud security referentes aos seus dados, dispositivos e usuários.

Já em outros, o cliente também é o responsável pela segurança de aplicativos, serviços de rede e sistemas operacionais.

Ter a clareza sobre o que você deve proteger é um requisito para a criação de políticas e programas eficientes em termos de cloud security.

2) Implementar e aplicar políticas de segurança

Contar com políticas de cloud security adequadas ao seu negócio é o mínimo que você precisa para evitar os incidentes ou vazamentos de dados.

As empresas precisam ser diligentes na adoção dessas políticas, que têm que ser eficazes para as especificidades dos negócios e não modelos copiados.

Sim, existem diversos modelos de políticas de cloud security que podem funcionar como ótimos pontos de partida.

Porém, se você se foca apenas neles sem promover nenhuma adaptação, sua empresa fica refém de ideias engessadas que podem ser facilmente compreendidas pelos cibercriminosos.

É muito importante que, mesmo utilizando um modelo norteador, a política de cloud security adotada pela sua empresa considere as situações individuais do negócio.

Para criar uma política de segurança, você precisa considerar a obtenção da segurança em todas as facetas dos fluxos de trabalho do seu negócio.

Ou seja, será necessário compreender princípios como o de segurança por design e privacidade por design, além de garantir a aplicação desses princípios pelas políticas corporativas em geral.

Isso vai possibilitar a criação de uma estrutura sólida para todos os programas de segurança da empresa, sobretudo os que envolverem a cloud security.

Obviamente, não há como uma política ser eficiente se os gestores da empresa não a colocarem em prática com regularidade, tornando-a parte da rotina do negócio.

Sendo assim, para tornar o processo mais ágil e eficiente, você pode utilizar a automação no contexto da fiscalização do cumprimento das políticas.

Em outras palavras, você pode transformar as suas políticas escritas em práticas auto executáveis. Dessa forma, você poderá automatizar seus protocolos de segurança.

A política como código transforma-se numa ferramenta essencial para a proteção eficiente de dados, sistemas e clientes.

Mas é sempre importante ter em mente que a automação por si só não basta. Antes de implementá-la é preciso ter a certeza de que as políticas a serem colocadas em prática são adequadas ao seu negócio.

3. Seja rigoroso em relação às configurações de cloud security

Você sabia que as configurações incorretas do serviço de nuvem são a principal fonte de ciberataques em sistemas de nuvem corporativa?

Um estudo indica que entre 65% e 70% de todas as violações que ocorrem na nuvem surgem a partir das configurações inadequadas.

E se você acha que isso é pouco comum, saiba que existe uma série de configurações incorretas recorrentes dos serviços em nuvem às quais as empresas devem ficar atentas.

Vamos ver algumas delas:

• Portas de entrada e saída irrestritas: quando os gestores permitem a existência de mais portas abertas do que o necessário, os cibercriminosos ganham mais oportunidades de explorar tanto no que diz respeito à infiltração quanto à exfiltração. Além disso, as possibilidades de comprometimento e vazamento não intencionais dos dados também aumentam;
• Falha ao gerenciar o ICMP corretamente: Existe um debate sobre a necessidade de sempre bloquear o Internet Control Message Protocol (ICMP ou Protocolo de Mensagens de Controle da Internet, em português). Por outro lado, a falha no gerenciamento e monitoramento deste protocolo cria uma possibilidade de ataque crítico que pode ser explorado pelos hackers para a inserção de malware e ataques DDoS;
• Deficiência no gerenciamento de segredos, de entidades e controles de acessos: falaremos mais detalhadamente no próximo tópico sobre controle de acesso. Mas cabe dizer aqui que este é um problema crucial que quase sempre pode ser resolvido com uma simples mudança na configuração;
• Gerenciamento e documentação de API inadequados: a falha em distribuir, gerenciar, documentar e controlar APIs adequadamente em um ambiente de nuvem pode criar pontos cegos de cloud security em seu sistema, ou seja, vulnerabilidades que você não consegue corrigir porque nem sabe que elas existem.

4) Seja muito cuidadoso quando o assunto for acesso

Muitos gestores possibilitam o acesso de cibercriminosos a seus ambientes em nuvem simplesmente porque não restringem o acesso de maneira proativa.

Nesses casos, muitos colaboradores têm acesso irrestrito a muitos sistemas e dados, mesmo que apenas uma pequena parcela deste acesso seja necessário para o desempenho de suas funções.

Podemos dizer que o comprometimento de credenciais de acesso pelos hackers é relativamente simples por conta das políticas de acesso extremamente permissivas.

Elas garantem a esses cibercriminosos um amplo acesso aos sistemas corporativos e os hackers buscam justamente pelas “contas privilegiadas”.

Isso significa que eles têm maior interesse pelas contas com acesso a dados corporativos confidenciais ou com acesso administrativo.

Se existem muitos colaboradores com este tipo de acesso, mesmo que você tenha plena confiança na sua equipe, essa permissividade gera uma maior superfície para a exploração do cibercrime.

Por isso, as políticas de segurança corporativa devem se concentrar em restringir o acesso do usuário ao nível necessário à sua função.

Pode parecer mais trabalhoso, mas é fundamental que este tipo de análise seja feita antes da conceção de acesso a cada um de seus colaboradores.

Acessos padronizados não são um bom caminho a ser tomado se você tem o objetivo de promover a cloud security de maneira eficiente em sua empresa.

Os controles de gerenciamento de identidade e acesso, políticas de acesso mínimo e políticas de confiança zero devem estar no centro de todos os programas de cloud security.

Além disso, as empresas também precisam aplicar métodos rigorosos de autenticação de usuários, ou seja, as senhas fortes são um cuidado mínimo a ser tomado.

Os gestores também devem implementar protocolos de autenticação adicionais, como a autenticação multifator.

Leitura recomendada: Autenticação Multifator: tudo sobre essa ferramenta de segurança.

5) Monitore seus sistemas de perto

Após ter colocado em ação as suas políticas de segurança, protocolos e sistemas automatizados, você precisa garantir que eles estejam cumprindo a missão traçada.

Sendo assim, o monitoramento do seu tráfego na nuvem para identificação de problemas e ameaças potenciais é fundamental.

Um monitoramento eficaz vai ajudar a identificar se os seus sistemas contam com configurações incorretas, se têm políticas de acesso excessivamente permissivas e se os hackers estão tentando inserir malware em sistemas confidenciais.

Muitos provedores de serviços em nuvem fornecem módulos específicos que permitem a visibilidade do tráfego na nuvem.

Além disso, também existe uma variedade de provedores terceirizados que podem ajudar a agregar dados de log em ambientes híbridos e multi-nuvem.

Ferramentas avançadas como a inteligência artificial e o aprendizado da máquina já estão sendo utilizadas pelas melhores plataformas de monitoramento de tráfego na nuvem.

O objetivo é transformar grandes quantidades de dados de tráfego em ideias facilmente compreensíveis e acionáveis.

Na medida em que os algoritmos de inteligência artificial se tornam ainda mais avançados, as ferramentas de segurança ganham em termos de precisão.

Ou seja, há uma grande redução dos “falsos positivos”, que distraem a equipe de segurança de tarefas importantes.

Concluindo

Por conta de demandas como as criadas pela ascensão do trabalho remoto, os ambientes de negócios em nuvem vieram para ficar.

Nesse contexto, é papel dos gestores trabalharem no sentido de proteger os seus dados e sistemas de maneira adequada, assumindo para si essa responsabilidade.

Quando você implementa os cinco pilares da cloud security que abordamos nos tópicos anteriores, seu negócio ganha um norte para manter-se seguro nos ambientes em nuvem. Para contar com políticas de cloud security adequadas ao seu negócio, é importante compreender a fundo a relevância que a cibersegurança em geral tem para uma empresa, independentemente do porte. Para saber mais sobre o assunto, leia o artigo dedicado à segurança digital. Até o próximo conteúdo.