Segurança na computação em nuvem e Governança de TI
A computação em nuvem revolucionou o cenário empresarial ao oferecer redução de custos em equipamentos e manutenção, além de agilidade em processos e decisões. No entanto, surgem preocupações sobre a segurança dos dados armazenados fora das empresas. Este artigo aborda os riscos e medidas de segurança na computação em nuvem, além de explorar a governança de TI na gestão desses riscos.
O que é computação em nuvem?
Computação em nuvem é a entrega de serviços de computação, como servidores, armazenamento, bancos de dados, rede, software e inteligência, pela internet (“a nuvem”). Empresas utilizam esses serviços para inovação mais rápida, recursos flexíveis e economias de escala.
Existem três principais tipos de serviços de computação em nuvem, cada um responsável por uma parte específica do gerenciamento: infraestrutura como serviço (IaaS), plataforma como serviço (PaaS) e software como serviço (SaaS):
Software como Serviço (SaaS):
É a forma mais abrangente de computação em nuvem, fornecendo uma aplicação completa gerenciada pelo provedor e acessada via navegador da web. O provedor cuida das atualizações, correções de bugs e manutenção, enquanto o usuário apenas se conecta à aplicação através de um dashboard ou API, sem necessidade de instalação local.
Isso facilita o acesso confiável e simples de grupos ao programa. Exemplos comuns de SaaS são serviços de e-mail baseados na web como Outlook ou Gmail. SaaS é ideal para pequenas empresas sem recursos para instalação e atualização de software, ou para aplicações que não exigem muita personalização ou uso frequente.
Apesar da conveniência, SaaS pode implicar em menor controle, segurança e desempenho, tornando crucial a escolha de um provedor confiável.
Infraestrutura como Serviço (IaaS):
É semelhante à infraestrutura local, mas baseada na nuvem, onde você paga pelo uso. Um fornecedor oferece serviços como armazenamento e virtualização conforme necessários. Enquanto o provedor gerencia a rede, servidores e recursos de virtualização e armazenamento, você cuida do sistema operacional, dados e aplicativos.
Com IaaS, não é necessário manter um data center local, pois o provedor faz isso, e você gerencia a infraestrutura via dashboard ou API. Essa solução é flexível, permitindo a aquisição e ajuste de componentes conforme necessário, sem grandes esforços ou custos de manutenção, tornando-a econômica.
IaaS é ideal para ambientes de desenvolvimento e teste, pois você pode escalar conforme necessário e pagar apenas pelo uso. Desvantagens incluem possíveis problemas de segurança, compartilhamento de recursos (multitenancy) e confiabilidade, que podem ser mitigados escolhendo um provedor confiável.
Plataforma como Serviço (PaaS):
Oferece uma solução onde o provedor hospeda componentes de hardware e software, fornecendo uma plataforma integrada via internet. Voltada para desenvolvedores, permite criar, executar e gerenciar apps sem a necessidade de manter infraestrutura.
Você escreve, compila e gerencia suas aplicações, enquanto o provedor cuida das atualizações de software e manutenção de hardware. PaaS facilita o desenvolvimento e personalização de aplicações web usando componentes de software nativos, reduzindo o código necessário.
Riscos de segurança na computação em nuvem
Entender os problemas de segurança na computação em nuvem é crucial para implementar medidas corretas e evitar exposições a ameaças. Aqui estão algumas ameaças comuns:
- Riscos de Infraestrutura: Problemas com estruturas de TI legadas e interrupções nos serviços de armazenamento de terceiros.
- Ameaças Internas: Erros humanos, como configurações incorretas de controles de acesso.
- Ameaças Externas: Ataques de agentes maliciosos, como malware, phishing e DDoS.
O maior risco é a falta de um perímetro definido, já que a nuvem é altamente conectada. APIs inseguras e sequestros de contas são problemas reais.
Profissionais de cibersegurança precisam focar na proteção de dados.
A interconectividade facilita a ação de hackers, que podem usar credenciais comprometidas para explorar a rede e acessar dados em diferentes bancos de dados. Eles podem até utilizar servidores em nuvem para armazenar dados roubados. A segurança deve abranger toda a nuvem, não apenas o acesso aos dados.
Armazenamento de dados por terceiros e acesso via internet também são ameaças. Interrupções nesses serviços podem resultar na perda de acesso aos dados. Exemplos incluem falhas na rede telefônica ou quedas de energia que afetam data centers, possivelmente causando perda permanente de
informações.
Essas interrupções podem ter impactos de longo prazo. Uma queda de energia recente em uma instalação da Amazon resultou na perda de dados para alguns clientes. Portanto, é essencial manter backups locais de pelo menos parte dos dados e aplicações.
Segurança em computação em nuvem
A principal preocupação ao migrar para a nuvem é a segurança dos dados. Pesquisa da IDC mostra que 74,5% dos executivos de TI apontam a segurança como a maior preocupação. Apesar dos riscos, grandes provedores de nuvem possuem infraestrutura robusta para proteção contra ataques físicos e virtuais. A empresa deve avaliar a preparação do fornecedor contratado.
Pontos positivos da segurança em nuvem incluem:
- Monitoramento: Controle facilitado da segurança.
- Intercâmbio instantâneo: Transferência rápida de dados entre servidores em caso de problemas.
- Construções seguras: Redes e softwares modificados para maior segurança.
- Melhoria contínua: Fornecedores buscam constantemente aprimorar a segurança para não perder clientes.
No entanto para uma estratégia de segurança eficaz e resiliente, contar somente com os recursos de segurança do provedor de nuvem não é a prática a ser seguida.
É essencial implementar um modelo de governança da segurança da informação e gerenciamento de riscos. As empresas devem planejar a proteção da informação e assegurar que a gestão de riscos seja aplicada em toda a organização, evitando prejuízos significativos.
Gestão de riscos
Critérios para gestão de riscos em nuvem incluem:
- Identificação e avaliação de ativos.
- Análise do potencial de riscos e impactos.
- Verificação de eventos que possam gerar riscos.
- Determinação de níveis de risco.
- Desenvolvimento de planos para solucionar problemas antes que ocorram.
A avaliação de risco deve ser colaborativa entre cliente e fornecedor, focando nos critérios do cliente e desenvolvendo planos contra ameaças.
Principais Players de Segurança em Nuvem:
Os principais players no mercado de computação em nuvem são Amazon Web Services (AWS), Microsoft Azure, e Google Cloud Platform (GCP).
Esses provedores dominam o mercado global, oferecendo infraestrutura, plataformas e serviços com alta escalabilidade, confiabilidade e segurança. Além disso, são reconhecidos por suas soluções nativas de proteção de dados e compliance com normas de segurança internacionais.
No segmento de segurança especializada, empresas como Fortinet, e Trend Micro – ambas parceiras da ITPROTECT são amplamente utilizadas por seus firewalls de aplicação web (WAF) e ferramentas avançadas de proteção contra ameaças cibernéticas.
Como falamos, porém, a segurança dos ambientes de nuvem precisam de segurança mais robusta, para além do Firewall Web. Tecnologias como SASE, ZTNA Google SecOps são cruciais à medida em que as organizações evoluem em sua migração para a nuvem.
A ITPROTECT conta com um amplo portfólio de soluções e especialistas em Cibersegurança que auxiliam nossos clientes em cada etapa e nível de maturidade de vitualização e digitalização de seus ambientes.
Conclusão
A computação em nuvem oferece benefícios significativos, como redução de custos e maior agilidade, mas também traz preocupações com a segurança dos dados. Este artigo destacou os principais riscos e medidas de segurança, bem como a importância da governança de TI para uma proteção abrangente.
Os três modelos de serviços em nuvem – SaaS, IaaS e PaaS – apresentam vantagens e desafios específicos, e, ao adotar essas soluções, as empresas devem estar atentas aos riscos de segurança, como erros humanos e ataques externos. Contar apenas com as soluções de segurança oferecidas pelos provedores de nuvem pode não ser suficiente, especialmente diante de ameaças cada vez mais sofisticadas.
Neste contexto, a ITProtect oferece soluções essenciais para garantir a proteção de ambientes em nuvem, com destaque para WAFs e serviços de monitoramento e resposta a incidentes. A importância de ter um advisor de
segurança que acompanhe e responda rapidamente a incidentes é crucial, já que muitas empresas não possuem equipes internas capazes de realizar essa tarefa com eficiência. Assim, implementar uma estratégia de segurança abrangente, combinando tecnologia de ponta e expertise especializada, é indispensável para garantir a continuidade dos negócios e a proteção dos dados mais críticos da organização.
