Melhores práticas de segurança na nuvem

Parece que quase todas as organizações hoje em dia desejam ter alguma presença digital na nuvem. Essa tendência para a migração para a nuvem continua a ganhar ímpeto, impulsionada por suas vantagens atraentes, incluindo escalabilidade, flexibilidade e eficiência de custos. No entanto, a natureza da segurança na nuvem difere significativamente da segurança tradicional on-prem, forçando líderes de TI e cibersegurança a repensar suas estratégias de segurança para garantir que tenham a combinação certa de ferramentas, controles, pessoal e estratégias para estabelecer uma postura de segurança na nuvem abrangente.

Por que a Segurança na Nuvem é Importante?

As organizações estão cada vez mais dependentes de ambientes em nuvem que, por sua vez, as expõem a novos tipos de ameaças. É vital entender esses riscos, dada a natureza distinta da computação em nuvem em comparação com as configurações tradicionais de TI. A escalabilidade e acessibilidade da nuvem, embora benéficas, também abrem portas para cibercriminosos. Chave para esse empreendimento é compreender o modelo de responsabilidade compartilhada da segurança em nuvem no qual o provedor da nuvem garante a infraestrutura, mas a organização é responsável por proteger seus dados dentro da nuvem. Isso requer uma abordagem estratégica para gestão de identidade e acesso, criptografia de dados, detecção de ameaças e resposta a incidentes, adaptada ao ambiente em nuvem. Devido à separação virtual entre suas operações e a infraestrutura em nuvem, é crucial implementar monitoramento contínuo e realizar avaliações regulares de segurança. Esta abordagem proativa ajuda a identificar e mitigar riscos prontamente e prevenir violações de dados.

Modelos de Serviços na Nuvem

As melhores práticas de segurança de dados na nuvem abrangem uma série de processos que incluem controle sobre pessoas, aplicações e infraestrutura. Quais as melhores práticas para a segurança na nuvem são importantes para a sua estratégia de segurança dependem em parte do modelo de serviço de nuvem que você utiliza. Os serviços de computação em nuvem são agrupados em três tipos listados aqui com alguns exemplos:

• Infraestrutura como serviço (IaaS) — Azure, AWS, centros de dados virtuais
• Plataforma como serviço (PaaS) — Redhat Openshift, Oracle Cloud
• Software como serviço (SaaS) — Microsoft 365, Salesforce

Cada modelo atende a um conjunto diferente de requisitos empresariais e exige diferentes medidas de segurança.

IaaS

Dentro do framework de Infrastructure as a Service (IaaS), o cliente assume as funções de administrador do sistema. Esta posição permite que eles alocem armazenamento acessível pela rede, supervisionem capacidades de processamento, implantem e gerenciem aplicações juntamente com sistemas operacionais. Embora os administradores de IaaS tenham alguma discrição na escolha de componentes de rede como o firewall do host, o gerenciamento direto ou controle sobre a infraestrutura de nuvem subjacente permanece fora de sua jurisdição.

Para IaaS, as melhores práticas de segurança incluem, mas não se limitam a:

• Governança de dados
• Proteção de cliente e endpoint
• Gestão de identidade e acesso
• Controles no nível da aplicação
• Controles de rede
• Testes de segurança

PaaS

No modelo PaaS, você utiliza a plataforma e os recursos do fornecedor de nuvem para o desenvolvimento, teste, implantação e gerenciamento de aplicações. Ao contrário do modelo IaaS, ele não lhe concede a capacidade de gerenciar ou controlar a infraestrutura de nuvem subjacente, como redes, servidores, sistemas operacionais ou armazenamento. No entanto, você pode implantar suas aplicações na infraestrutura PaaS usando linguagens de programação e ferramentas que o provedor PaaS suporta.

No modelo PaaS, suas tarefas de segurança se estendem a, mas não se limitam a:

• Governança de dados
• Proteção de cliente e Endpoint
• Gestão de identidade e acesso
• Controles no nível da aplicação
• Testes de segurança

SaaS

Software as a Service (SaaS) entrega aplicações pela internet, permitindo que os usuários acessem e utilizem software por meio de navegadores web em diversos dispositivos. Esse modelo de serviço capacita os usuários a realizarem uma variedade de tarefas, desde análise de dados até projetos colaborativos, sem a necessidade de instalar ou manter software localmente. Embora os usuários possam personalizar certos aspectos das configurações da aplicação para atender às necessidades individuais ou da equipe, o controle sobre toda a infraestrutura baseada em nuvem permanece com o provedor de SaaS. Essa configuração alivia o ônus de TI para os usuários, transferindo as responsabilidades de gestão e manutenção para o provedor.

Para SaaS, suas responsabilidades de segurança incluem, mas não se limitam a:

• Governança de dados
• Proteção de cliente e endpoint
• Gestão de identidade e acesso

Modelos de Implantação na Nuvem

O reino da computação em nuvem apresenta uma variedade de modelos, cada um com vantagens únicas adaptadas para atender requisitos específicos e objetivos estratégicos das organizações. Seja o alcance extensivo e a flexibilidade das nuvens públicas ou as medidas de segurança aprimoradas das nuvens privadas, o modelo de implantação delineia a interação entre o provedor de nuvem e o consumidor. Como você utiliza os diversos serviços de computação em nuvem é influenciado pelas características específicas do seu negócio e pela natureza dos dados que você possui. Os principais modelos de implantação em nuvem são os seguintes:

• Nuvem Privada – Provisionada para uso por uma única organização, oferece segurança aprimorada e controle. Hospedada internamente ou por um provedor terceiro, proporciona a flexibilidade e escalabilidade da tecnologia em nuvem, mantendo rigoroso acesso e privacidade dos dados, personalizada para atender às necessidades específicas do negócio.
• Nuvem Pública – Projetada para uso multi-inquilino, seus serviços e infraestrutura são hospedados fora do local por um provedor de nuvem, permitindo acesso compartilhado entre várias organizações (inquilinos). Oferece escalabilidade, confiabilidade e custo-benefício, com recursos disponíveis sob demanda. Ideal para uma ampla gama de aplicações, é comumente usada para e-mail baseado na web, aplicativos de escritório online e armazenamento.
• Nuvem híbrida — Combina infraestruturas de nuvem pública e privada para permitir o compartilhamento de dados e aplicações entre elas. Este modelo oferece às empresas flexibilidade, escalabilidade e segurança otimizada ao manter dados sensíveis localmente, enquanto aproveita a nuvem pública para recursos escaláveis e inovação, facilitando uma abordagem equilibrada para a computação em nuvem.

Passos para Implementar as Melhores Práticas

Embarcar na jornada para implementar as melhores práticas e tecnologias dentro de uma organização é uma jogada estratégica para aumentar a eficiência, segurança e desempenho geral. Abaixo, vamos delinear os passos necessários para adotar e integrá-los efetivamente. Seguindo esses passos, você pode posicionar sua organização para atingir seus objetivos com mais sucesso e manter uma vantagem competitiva no seu setor.

Gestão de Riscos na Nuvem

Antes de adotar um serviço de nuvem, os consumidores devem avaliar os riscos potenciais associados à adoção de soluções em nuvem para sistemas de informação específicos e formular estratégias para mitigar esses riscos. Uma avaliação de risco completa deve identificar:

• Componentes essenciais para proteger seu ambiente de nuvem
• Controles que precisam ser implementados internamente
• Controles que estão sob a jurisdição do provedor de nuvem

Melhores práticas de segurança na nuvem no nível da infraestrutura

Toda a infraestrutura de hardware deve ser controlada, protegida e reforçada. Isso começa com a auditoria de configuração para garantir que o ambiente na nuvem esteja configurado de acordo com as políticas da sua organização ou padrões de conformidade relevantes. Implemente auditorias regulares para verificar sinais de má configuração. Configurações impróprias podem colocá-lo em sério risco de perda de dados. Para garantir que as verificações de configuração sejam realizadas regularmente, automatize-as com uma solução de monitoramento e investigue e remedeie prontamente quaisquer alterações suspeitas no seu ambiente na nuvem.

Você também deve tomar as seguintes medidas em relação à prevenção, detecção e resposta a incidentes:

• Defesa contra Ataques Externos: Implemente proteção avançada contra malware em plataformas IaaS e avalie vulnerabilidades de perímetro para proteger contra ataques DDoS direcionados a interfaces de nuvem pública.
• Detecção e Prevenção de Intrusões: Para IaaS, implemente sistemas de detecção de intrusões nos níveis do usuário, rede e banco de dados. Nos modelos PaaS e SaaS, essa responsabilidade passa para o provedor.
• Monitoramento de Tráfego: Monitore picos de tráfego, pois estes podem indicar potenciais incidentes de segurança.

Melhores práticas de segurança na nuvem no nível do aplicativo

O aspecto mais importante da segurança em nível de aplicação é garantir que as vulnerabilidades dentro da própria aplicação sejam identificadas e corrigidas. Isso inclui a aplicação de controles fortes de autenticação e autorização para gerenciar o acesso, criptografar dados em repouso e em trânsito para prevenir o acesso não autorizado, e atualizar e corrigir regularmente a aplicação para tratar falhas de segurança. Algumas áreas críticas para focar incluem as seguintes:

Gestão de Permissões

• Implemente o Acesso de Menor Privilégio - Atribua apenas as permissões necessárias para cada usuário desempenhar suas funções de trabalho.
• Revisões Regulares de Direitos e Revogação de Acessos - Avalie e ajuste periodicamente as permissões, removendo aquelas que não são mais necessárias.
• Monitoramento de Alterações Não Autorizadas - Mantenha uma vigilância rigorosa para quaisquer alterações não autorizadas nas associações de grupos, especialmente aquelas que alteram privilégios administrativos, bem como permissões atribuídas diretamente aos usuários, contornando as associações de grupos.

Autenticação

• Torne a autenticação multifator (MFA) obrigatória - MFA aumenta significativamente a segurança ao exigir múltiplas formas de verificação, dificultando muito o acesso não autorizado por potenciais atacantes.
• Monitore atividades de login: - Investigue picos em falhas de login para identificar contas potencialmente comprometidas, configurando alertas para tentativas de login de múltiplos endpoints, várias falhas de login por qualquer conta em um curto período de tempo e um alto número de falhas de login dentro de um período especificado.

Monitoramento de Atividades

Utilize a Análise de Comportamento do Usuário (UBA) para identificar atividades incomuns, como mudanças no comportamento ou nos padrões de acesso de um usuário que possam representar ameaças à segurança ou tráfego malicioso. Outras sugestões incluem o seguinte:

• Monitore e documente consistentemente as atividades dos usuários para estabelecer linhas de base de comportamento normal.
• Identifique usuários que apresentam ações que se desviam de sua linha de base individual ou em grupo.
• Fique atento ao compartilhamento de arquivos não autorizado ou externo.

Melhores práticas de segurança na nuvem no nível dos dados

Os dados devem ser protegidos independentemente de sua localização, e isso inclui a nuvem. Ao implementar as melhores práticas a seguir, as organizações podem garantir a confidencialidade, integridade e disponibilidade dos seus dados, fortalecendo assim a sua postura de segurança de dados na nuvem e protegendo seus ativos mais valiosos.

Descoberta e Classificação de Dados

• Identifique e classifique seus dados — Data discovery and classification é utilizado para avaliar e categorizar seus dados com base na sua importância e sensibilidade. Você pode então utilizar as informações obtidas para focar suas estratégias de proteção de dados, estabelecendo controles de segurança adequados e políticas. Automatizar esse processo pode ajudar a alcançar resultados consistentes e precisos.
• Estratégias de Governança de Dados na Nuvem - Determine quais dados residirão na nuvem e esboce sua estratégia de governança para proteger todos os dados sensíveis. É crítico garantir a proteção de dados sensíveis dentro da nuvem. Algumas informações podem exigir armazenamento local para aderir a protocolos de segurança rigorosos ou requisitos de conformidade.

Padrões de Acesso a Dados

• Implemente Data Access Management - Realize auditorias frequentes dos privilégios de acesso, especialmente para os dados mais sensíveis da sua organização e remova quaisquer permissões desnecessárias. Aplique controles de acesso apropriados com base no tipo de dado.
• Restringir o Compartilhamento de Dados - Aplicar regras para mitigar os riscos de exposição pública acidental ou compartilhamento de dados externos não autorizado.
• Monitorar Downloads de Arquivos - Monitore atividades de download incomuns e proíba downloads para dispositivos não seguros. Exija verificação de segurança do dispositivo antes de permitir downloads. Utilize monitoramento automatizado em todo o ambiente de TI para rastrear usuários que baixam, alteram ou compartilham dados baseados na nuvem.

Proteção de Dados

• Remediação Automatizada de Dados - Adote um sistema capaz de transferir automaticamente dados em risco para uma zona de quarentena segura para mitigar vulnerabilidades.
• Aprimore as Práticas de Exclusão de Dados - Elimine dados redundantes ou obsoletos seguindo as recomendações da NIST e ISO. As diretrizes da NIST e ISO recomendam o uso da exclusão criptográfica, uma técnica padrão da indústria que torna os dados ilegíveis ao descartar suas chaves de criptografia. As exclusões devem ser auditáveis.
• Criptografe dados em trânsito e em repouso - Priorize a criptografia de todos os dados antes de carregá-los para a nuvem. Mantenha um controle rigoroso sobre as chaves de criptografia utilizando práticas abrangentes de gestão de chaves para assegurá-las adequadamente.
• Desenvolva uma Estratégia Robusta de Recuperação de Dados - Faça backup dos dados regularmente e estabeleça um procedimento de recuperação completamente testado para lidar eficientemente com a perda de dados acidental e intencional.

Melhores práticas para gerenciamento seguro de serviços em nuvem

Gerenciar relacionamentos empresariais visa facilitar trocas eficientes entre o provedor de nuvem e o consumidor, com ênfase principal em atender aos requisitos e preocupações de segurança. Uma área primária de foco deve ser em contratos e acordos de nível de serviço (SLAs). O contrato serve como sua principal garantia de qualidade de serviço e esforços de remediação. Revise minuciosamente os termos e condições do acordo para garantir que eles estejam alinhados com os padrões de segurança da sua organização. Peça esclarecimentos sobre qualquer coisa que possa parecer ambígua, como se os clientes têm permissão para auditar a conformidade do provedor.

Um aspecto crítico do contrato é definir a responsabilidade e a propriedade dos dados armazenados na nuvem. A propriedade legal pode ser ambígua e incerta. Antes de finalizar um contrato, esforce-se para negociar quaisquer termos que considere inaceitáveis. Se certos termos não puderem ser alterados, avalie os riscos associados. Se aceitável, considere estratégias como criptografia ou monitoramento para mitigar riscos. Caso contrário, buscar um fornecedor alternativo que atenda às suas exigências específicas pode ser necessário.

Definir Responsabilidades Compartilhadas

Estabeleça um entendimento claro das responsabilidades de cibersegurança entre você e o provedor, abordando pontos-chave como:

• A extensão da responsabilidade do provedor.
• As políticas do provedor para armazenamento e exclusão de dados.
• As medidas de segurança implementadas para proteger seus dados.
• As medidas de auditoria e controle implementadas pelo provedor e aquelas exigidas de sua parte.
• Estratégias para garantir a confidencialidade dos dados.

Garanta a Conformidade Regulatória

A escolha de um provedor de serviço em nuvem não isenta sua organização da responsabilidade de conformidade regulatória. O ônus permanece com você para criar e manter aplicações e serviços baseados na nuvem que estejam em conformidade contínua com as regulamentações pertinentes.

Um provedor de nuvem de reputação adere a padrões reconhecidos e se compromete com transparência e responsabilidade. Provedores que demonstram esse compromisso frequentemente possuem certificações como SAS 70 Tipo II ou ISO 27001. Um provedor de reputação deve fornecer acesso abrangente a documentação e relatórios relevantes para avaliações de conformidade e consentir com auditorias independentes realizadas de acordo com padrões estabelecidos. O provedor é responsável por manter as certificações e deve notificar os consumidores sobre quaisquer mudanças de status.

Desenvolva um Plano de Resposta a Incidentes e Recuperação de Desastres

Criar um plano de resposta a incidentes com o seu provedor de serviços na nuvem envolve a definição de responsabilidades de segurança compartilhadas, estabelecimento de protocolos de comunicação e identificação de ativos críticos e riscos. O plano deve detalhar os serviços específicos que o provedor na nuvem oferecerá em resposta a um incidente. Personalize os procedimentos de resposta para abordar incidentes potenciais, integrando ferramentas específicas da nuvem para detecção e resposta aprimoradas. Treinamentos regulares e simulações garantem a preparação, enquanto revisões contínuas do plano se adaptam ao ambiente de nuvem em evolução e à paisagem de ameaças. Esta abordagem colaborativa garante uma resposta unificada e eficaz aos incidentes, protegendo as operações e os dados na nuvem.

Navegar pelas nuances da segurança na nuvem é essencial na paisagem tecnológica atual. Para garantir a segurança e integridade dos seus dados na nuvem e a disponibilidade contínua dos serviços na nuvem, é importante implementar monitoramento contínuo para detecção precoce de ameaças. Testes regulares e abrangentes, juntamente com avaliações extras após mudanças arquitetônicas significativas, irão reforçar suas defesas de segurança. Ao adotar essas medidas proativas, as organizações podem manter uma postura de segurança robusta, protegendo seus ativos críticos contra as ameaças em evolução no ambiente da nuvem.