Nos últimos meses, foram divulgados pela mídia diversos casos de vazamentos de informações que afetaram os dados de plataformas como Amazon Web Services (AWS), Azure e Google Cloud. Além do recente relatório divulgado pela Netskope, alguns dos casos mais famosos deste ano prejudicaram gigantes como a Tesla e o Pentágono.
Esse tipo de notícia planta uma dúvida na cabeça dos executivos de TI que, inevitavelmente, questionam se a nuvem pública é realmente segura para armazenar dados corporativos. A resposta é simples: desde que esteja configurada corretamente, a nuvem pública pode ser uma alternativa. O problema real não está na nuvem em si e sim na configuração da mesma, momento no qual ocorre a maioria destas violações devido às falhas humanas. Para superar o desafio, existem quatro pontos críticos nos quais os profissionais de cibersegurança devem se concentrar para migrar aplicações e dados para IaaS (Internet as a Service), seja em uma única nuvem pública ou multi-cloud.
Que tipo de dados serão armazenados na nuvem? Todo profissional de cibersegurança deve considerar os tipos de dados armazenados, verificando a existência de informações sensíveis ou classificadas nestas plataformas, além de saber quem tem acesso à elas. A adoção de uma solução CASB (Corretor de Segurança de Acesso na Nuvem) que seja flexível o suficiente para aplicar as mesmas regras de classificação que controlam documentos em aplicações SaaS (Software as a Service) sobre os dados armazenados em IaaS é uma das maneiras de entender melhor a questão. Neste caso, não há necessidade de se reescrever regras de DLP (Prevenção de Perda de Dados) em plataformas diferentes, assim, caso ocorra a utilização de mais de um provedor de IaaS, é possível estabelecer as regras inicialmente e configurá-las para que sejam executadas em todas as plataformas.
Essas regras evitam que os usuários carreguem dados confidenciais para o armazenamento de IaaS ou impedem que um administrador faça o download de arquivos confidenciais da empresa para um computador não corporativo.
As instâncias de IaaS estão configuradas corretamente? A maioria dos vazamentos de informações armazenadas em IaaS e uso de plataformas de nuvem pública para sequestro de criptomoedas é resultado de erros de configuração. Nesse caso, a solução CASB permite a execução de análises contínuas para detectar erros de configuração, com o objetivo de mitificar o risco de exposição.
Como detectar uma violação de segurança no ambiente IaaS? O que acontece se a instância de IaaS estiver comprometida? É fundamental ter em mãos as ferramentas necessárias para detectar violações. Análise de anomalias no comportamento dos sistemas e análise dos fluxos de informações internas podem detectar computadores ou sistemas que não estão se comportando como deveriam. A CASB também detecta essas violações de segurança e define fluxos de correção automática, de forma preventiva.
Detectar instâncias de IaaS pessoal. É muito comum nas grandes empresas que usuários movimentem aplicações na nuvem sem o conhecimento da equipe de TI. Isso também acontece com IaaS – alguns departamentos chegam a contratar serviços em provedores de nuvem pública e fazer o upload de dados neles, ignorando completamente o gerenciamento e as melhores práticas definidas pela TI. As plataformas de CASB podem detectar se os dados se encontram em instâncias corporativas ou pessoais e permitem ações específicas sobre eles.
É notável, que mesmo diante da diversidade das ocorrências citadas acima, as soluções CASB ainda se mostram como principal ferramenta para enfrentar os desafios atuais do armazenamento na nuvem. Iniciamos 2019 com a certeza de que, para garantir a segurança, é fundamental dispor de uma solução que permita o controle de dados, tanto em SaaS quanto em IaaS, na mesma interface da nuvem, compartilhando políticas nos dois ambientes. Dessa forma, a implantação e a operação serão simplificadas e o gerenciamento de tudo que ocorre na nuvem será realizado a partir de um único ponto.
Alain Karioty, diretor regional de Vendas da Netskope para a América Latina.
