A segurança na nuvem é a prática de proteger dados, aplicativos e infraestrutura baseados na nuvem contra acesso não autorizado, ataques cibernéticos e ameaças internas e externas. Ela inclui a proteção de ambientes de nuvem contra ataques distribuídos de negação de serviço (DDoS), hackers, malware e outros riscos.
Buscando impulsionar a colaboração e a inovação, cada vez mais empresas estão colocando aplicativos e dados essenciais na nuvem. As vantagens de transferir as operações para a nuvem incluem implantação rápida, flexibilidade, baixos custos iniciais e escalabilidade. Embora a maioria dos provedores de serviços em nuvem use ferramentas padrão para monitorar o uso e sinalizar atividades suspeitas, os especialistas internos em segurança de TI podem achar que essas ferramentas são insuficientes. Normalmente, as equipes internas também têm o ônus de configurar e gerenciar a segurança das cargas de trabalho na nuvem. Ao mover os ativos para a nuvem, cada organização deve pesar os benefícios e os riscos, inclusive o aumento da exposição dos dados e dos aplicativos.
A segurança na nuvem foi projetada para proteger os dados e os aplicativos que residem na nuvem, oferecer suporte à conformidade normativa e proteger a privacidade do cliente. Desde a autenticação do acesso de indivíduos e dispositivos até o equilíbrio entre a facilidade de acesso e a segurança organizacional, a segurança na nuvem deve atender às necessidades específicas de cada organização. As empresas se beneficiarão do trabalho com consultores confiáveis para obter ajuda no gerenciamento desses fatores e para maximizar o ROI. Os fornecedores de segurança na nuvem podem ajudar as empresas a configurar e gerenciar centralmente as cargas de trabalho na nuvem, reduzindo a sobrecarga e liberando as equipes de TI para se concentrarem em outras áreas da empresa.
A responsabilidade pela segurança da nuvem é compartilhada por provedores de nuvem e clientes. O modelo de responsabilidade compartilhada divide as responsabilidades em três categorias: responsabilidades que são sempre do provedor, aqueles que são sempre do cliente, e aqueles que variam de acordo com o modelo de serviço, como Infraestrutura como Serviço (IaaS), Plataforma como Serviço (PaaS) ou Software como Serviço (SaaS).
Provedores (como Amazon, Google, Microsoft ou Oracle) são responsáveis por proteger a infraestrutura, incluindo o acesso, a aplicação de patches e a configuração da rede física na qual o computador e o armazenamento são executados e residem.
Clientes são responsáveis por gerenciar usuários e privilégios de acesso de usuários (incluindo gerenciamento de identidade e acesso), proteger contas de nuvem contra acesso não autorizado, criptografia e proteção de ativos de dados baseados em nuvem, gerenciar a postura de segurança da nuvem (conformidade) e detectar ameaças, bem como responder a incidentes em seus ambientes de nuvem.
Muitos desafios tradicionais de segurança cibernética também surgem na nuvem, incluindo:
- Ataques cibernéticos. As infraestruturas baseadas em nuvem são diretamente acessíveis pela Internet pública e, muitas vezes, são configuradas de forma inadequada, o que as torna inseguras. Muitas contêm dados confidenciais ou valiosos, o que torna as implementações em nuvem um alvo popular (e lucrativo) para os criminosos cibernéticos.
- Acesso não autorizado. Diferentemente da infraestrutura local, as implementações baseadas em nuvem ficam além do perímetro de rede de uma organização, o que facilita muito o acesso a partir da Internet pública. Isso as torna convenientes para funcionários e clientes, mas também mais fáceis de serem acessadas por criminosos cibernéticos.
- Sequestro de contas. Senhas fracas ou reutilizadas aumentam o impacto de sequestros, phishing e violações de dados, possibilitando que um invasor desbloqueie várias contas com uma única senha roubada de funcionário.
- Menor visibilidade. Os recursos baseados em nuvem são executados em infraestrutura de terceiros, o que limita a capacidade da organização de monitorá-los e protegê-los, além de retardar a detecção e a resposta a ameaças. As equipes de TI devem solicitar aos fornecedores de nuvem a visibilidade do maior número possível de dados de aplicativos "como serviço" para informar suas operações de segurança.
- Perda ou vazamento de dados. Os ambientes baseados em nuvem facilitam o compartilhamento de dados - e dificultam a sua segurança. Tornar as informações acessíveis a qualquer pessoa com um link pode abrir a porta para a perda ou o vazamento de dados.
- Insiders maliciosos. Na nuvem, muitas soluções de segurança tradicionais são menos eficazes na detecção de ameaças maliciosas internas.
- Ataques DoS. Os ataques de negação de serviço, que frequentemente são acompanhados de pedidos de resgate, podem reduzir a velocidade ou desligar os sistemas visados, causando um grande impacto nas operações diárias, nos sistemas comerciais essenciais ou nos aplicativos voltados para o cliente.
- Privacidade e confidencialidade dos dados. As normas de proteção de dados, incluindo o Regulamento Geral de Proteção de Dados (GDPR) da União Europeia, a Lei de Portabilidade e Acessibilidade de Seguros de Saúde (HIPAA) e o Padrão de Segurança de Dados do Setor de Cartões de Pagamento (PCI DSS), aplicam-se aos dados armazenados na nuvem, embora muitas organizações não tenham os meios para proteger o acesso dos funcionários a esses dados.
A melhor solução para a segurança na nuvem depende do tipo e da sensibilidade dos dados, do número e do tipo de usuários, da arquitetura da nuvem e da disponibilidade de ferramentas integradas. Algumas práticas recomendadas:
- Controle o acesso e o uso. Use o gerenciamento de identidade e acesso (IAM) granular e baseado em políticas. Conceda os privilégios mínimos de acesso a ativos e APIs. Use autenticação de dois fatores (2FA) ou autenticação multifatorial (MFA) para verificar a identidade do usuário. Registre e monitore todos os acessos e atualizações de dados. Adotar um confiança zero para verificar constantemente todos os usuários, recursos e aplicativos.
- Detectar ameaças no momento em que elas ocorrem. Use regras, alertas e inteligência contra ameaças para detectar e corrigir ameaças conhecidas e desconhecidas em tempo real, cruzando dados internos (sistemas de gerenciamento de ativos e configurações, varreduras de vulnerabilidades) com dados externos (feeds públicos de inteligência contra ameaças, geolocalização).
- Aprimorar a proteção de dados. Criptografar dados em repouso, em uso e em trânsito. Proteja os compartilhamentos de arquivos e a comunicação. Use gerenciamento de eventos e informações de segurança (SIEM) e detecção e resposta estendidas (XDR) ferramentas para analisar e gerar relatórios sobre autenticação, eventos, desempenho e uso de dados e anomalias. Mantenha boas práticas de armazenamento de dados, incluindo a detecção de buckets mal configurados e o encerramento de recursos órfãos.
- Proteja os aplicativos com firewalls. Use proteções de segurança na borda da nuvem, incluindo firewalls de aplicativos da Web de última geração, para inspecionar e controlar todo o tráfego de e para os servidores de aplicativos.
- Garanta a visibilidade e o controle da localização dos dados. Use a localização para determinar se determinados dados podem ser copiados para locais dentro ou fora da nuvem.
As organizações podem proteger os dados baseados na nuvem com ferramentas de segurança cibernética para gerenciamento de identidade e acesso (incluindo autenticação multifator) e detecção e resposta a ameaças. Para aqueles com gerenciamento eficaz de identidade e acesso no local e controles de ameaças, a próxima etapa é estender essas soluções para a nuvem. As novas empresas, ou aquelas que precisam de uma atualização, devem procurar ferramentas de segurança que protejam os dados onde quer que eles estejam, seja no local ou na nuvem.
