Na última década, a computação em nuvem amadureceu de várias maneiras e se tornou uma ferramenta para a transformação digital no mundo todo.
Estima-se que o mercado de nuvem híbrida representa uma oportunidade de US$ 1,2 trilhão. Mas permanecem as preocupações com a proteção e a conformidade dos dados na nuvem.
Determinar a melhor forma de armazenar os dados é uma das decisões mais importantes que uma organização pode tomar. No entanto, a migração de aplicações e dados para a nuvem, fora dos firewalls, envolve riscos. Por isso, é preciso contar com controles de segurança para proteger os dados e para cumprir os requisitos de conformidade do governo e do setor.
Neste artigo, vamos abordar quais são os desafios de seguranças envolvidos na migração para uma estratégia híbrida e multinuvem.
Conheça os diferentes modelos de implementação de nuvem
Em geral, as nuvens usam um dentre estes três modelos de implementação: pública, privada ou híbrida.
Nuvem pública
Em uma nuvem pública, os serviços são prestados por meio da internet pública. O provedor de nuvem possui, gerencia e mantém a infraestrutura, de forma integral, e a aluga para clientes com base em uso ou assinatura periódica. Os exemplos incluem Amazon Web Services (AWS), Microsoft Azure, IBM e Google.
Nuvem privada
No modelo de nuvem privada, a infraestrutura da nuvem e os recursos são implementados localmente para uma única organização, podendo ser implementados e gerenciados internamente no cliente (On Premise) ou por terceiros.
Com nuvens privadas, as organizações controlam todo o conjunto de softwares, assim como a plataforma subjacente, da infraestrutura de hardware e às ferramentas de gestão de consumo e performance.
Nuvem híbrida
Esse modelo oferece o melhor dos dois mundos. Uma infraestrutura de nuvem híbrida conecta a nuvem privada de uma empresa e a nuvem pública de terceiros em uma única infraestrutura para que a empresa possa executar suas aplicações e cargas de trabalho entre as nuvens com segurança e de forma integrada.
Com a nuvem híbrida, as organizações podem executar cargas de trabalho sensíveis e altamente reguladas em uma infraestrutura de nuvem privada e executar as cargas de trabalho menos sensíveis e temporárias na nuvem pública.
Tipos de modelos de serviço de nuvem
A segurança de dados varia com base no modelo de serviço de nuvem usado. Existem quatro categorias principais de modelos de serviço de nuvem: infraestrutura como serviço (IaaS), plataforma como serviço (PaaS), software como serviço (SaaS) e banco de dados como serviço (DBaaS), que é uma variante da PaaS. A seguir, explicaremos cada uma delas.
IaaS: Permite que as organizações mantenham as plataformas físicas existentes de software e middleware, com as aplicações de negócios na infraestrutura fornecida e gerenciada pelo provedor de serviços. Essa abordagem é vantajosa para as organizações quando elas desejam beneficiar-se rapidamente da nuvem e, ao mesmo tempo, minimizar o impacto e usar os investimentos existentes.
A IaaS mantém o controle completo do gerenciamento da infraestrutura, independentemente da plataforma, oferecendo um modelo de preço pay-as-you-go.
PaaS: Possibilita que as empresas usem a infraestrutura, assim como o middleware ou o software fornecido e gerenciado pelo provedor de serviços. Essa flexibilidade remove um fardo significativo de uma empresa pela perspectiva de TI e permite que ela se concentre no desenvolvimento de aplicações de negócios inovadoras.
A PaaS permite a terceirização da manutenção da infraestrutura, do middleware e do software, liberando a equipe de TI para se concentrar no desenvolvimento de aplicações. Porém, não oferece o controle completo da infraestrutura de TI.
DBaaS: As soluções de DBaaS são ambientes de bancos de dados hospedados e totalmente gerenciados por um provedor de nuvem. Uma empresa pode, por exemplo, assinar o Amazon RDS for MySQL ou o Microsoft Azure SQL Database.
A DBaaS evita despesas de capital com infraestrutura e hardware de banco de dados. Ela transfere o gerenciamento completo para o provedor de serviços, reduzindo o controle dos dados e da segurança.
SaaS: Esse modelo de serviço terceiriza toda a TI e permite que as organizações se concentrem mais em seus principais pontos fortes, em vez de dedicar tempo e investimento à tecnologia. Ele oferece SaaS aos usuários finais. Nesse modelo de serviço de nuvem, um provedor de serviços hospeda as aplicações e as disponibiliza para as organizações.
O SaaS evita despesas de capital com software, pois transfere o gerenciamento completo para o provedor de serviços, mas não oferece o controle dos dados e da segurança.
Com cada etapa, de IaaS a PaaS, SaaS e DBaaS, as organizações abrem mão de certo nível de controle dos sistemas que armazenam, gerenciam, distribuem e protegem seus dados sensíveis. Esse aumento da confiança depositada em terceiros também oferece maior risco para a segurança de dados.
Independentemente da arquitetura escolhida, a sua organização é a responsável final por garantir que as medidas adequadas de segurança de dados estejam em vigor em todos os ambientes.
Desafios de segurança de dados para o seu ambiente em nuvem
A sua empresa provavelmente já iniciou a jornada em direção à nuvem. Se a sua organização é como a grande maioria das empresas, os seus dados sensíveis residem em locais que você não pode controlar e são gerenciados por terceiros que talvez tenham um acesso irrestrito.
Uma pesquisa do Ponemon Institute constatou que as ameaças internas estão crescendo significativamente em termos de frequência e custo. De acordo com o levantamento, o custo global médio das ameaças internas subiu 31% em dois anos, chegando a US$ 11,45 milhões, e a frequência dos incidentes aumentou 47% no mesmo período.
A nuvem é bastante adequada para o armazenamento de dados em nível organizacional em longo prazo. Esse modelo permite que as organizações aproveitem enormes economias de escala, que se convertem em despesas mais baixas. Além disso, esse recurso normalmente transforma os data centers baseados em nuvem em um local mais inteligente do que um conjunto de servidores locais voltado para o armazenamento de informações críticas.
Embora a despesa de adquirir o armazenamento diminua, ele pode custar caro a longo prazo por conta do aumento do uso para negócios e do número de profissionais que gerenciam os sistemas de armazenamento. Colocar o armazenamento de dados nas mãos de provedores de serviços terceirizados pode ajudar a economizar tempo e dinheiro. Todavia, isso também pode apresentar sérios riscos de segurança e criar novos níveis de risco.
As implementações de nuvem seguem um modelo de responsabilidade compartilhada entre o provedor de nuvem e o consumidor. No caso de um modelo de IaaS, o consumidor de nuvem tem espaço para implementar medidas de segurança de dados parecidas com as que implementaria localmente, bem como para exercer controles mais rigorosos.
Por outro lado, com serviços de SaaS, os consumidores de nuvem precisam confiar, em grande parte, na visibilidade oferecida pelo provedor de nuvem. Em essência, isso limita a capacidade de exercer controles mais granulares.
É importante entender que, independentemente do modelo de implementação ou do tipo de serviço de nuvem, a segurança de dados precisa ser uma prioridade. O mais preocupante é que, agora, seus dados sensíveis encontram-se em muitos locais, tanto dentro da empresa quanto fora delas. Além disso, seus controles de segurança precisam ir aonde os dados forem.
Mantenha os seus dados sensíveis em segurança
Quem tem acesso aos dados sensíveis na sua organização? Você tem certeza de que seus funcionários ou usuários privilegiados não acessaram inadequadamente dados sensíveis de clientes?
Em outras palavras, você não pode proteger algo que não conhece. Simplesmente bloquear o acesso à rede pode não ser o ideal. Afinal, os funcionários necessitam dessa rede para acessar e compartilhar dados. Tal acesso significa que a eficácia da sua segurança de dados está principalmente nas mãos dos funcionários, alguns dos quais podem não trabalhar mais diretamente para a empresa, mas ainda mantêm o acesso.
A descoberta, a classificação e o monitoramento automatizados dos dados sensíveis em todas as plataformas são cruciais para impor políticas de segurança eficazes no contexto e para ajudar na conformidade com os regulamentos.
Em geral, os provedores de serviços de nuvem (CSPs) têm a capacidade de acessar seus dados sensíveis, o que os transforma em uma nova fronteira de ameaças internas. Além disso, os cibercriminosos sabem que os CSPs armazenam enormes quantidades de dados importantes. Isso transforma tais ambientes nos principais alvos de ataques. Para combater essas ameaças, é necessário utilizar ferramentas sofisticadas com base em análise de dados que verifiquem o acesso normal e o autorizado.
Dada a evolução das ameaças, as organizações precisam adotar uma abordagem consistente e unificada para a segurança de dados em multinuvem híbrida. Considere estas perguntas:
- Quais dados permanecerão no local?
- Quais dados serão transferidos para a nuvem?
- Como é possível monitorar o acesso a dados?
- Quais tipos de vulnerabilidades devem ser considerados?
- Como podemos demonstrar a conformidade com os requisitos regulamentares e de segurança de dados?
Uso da criptografia para o armazenamento na nuvem
A natureza mutável da nuvem significa que sua abordagem de segurança precisa lidar com diferentes tipos de armazenamento baseado em nuvem. Sua abordagem também precisa contemplar as cópias, sejam elas cópias temporárias ou backups de longo prazo, criadas durante a movimentação dos dados.
Para enfrentar esses desafios, você deve implementar soluções em diferentes plataformas e utilizar uma criptografia forte que ajude a garantir que seus dados sejam inúteis para pessoas não autorizadas em caso de uso indevido.
Mesmo se seus dados não estiverem armazenados principalmente na nuvem, tanto a forma em que saem da empresa e retornam a ela quanto a rota percorrida serão preocupações importantes. A segurança dos dados é determinada pelo elo mais fraco na corrente de processamento.
Portanto, mesmo se os dados forem principalmente mantidos criptografados e atrás de um firewall local, poderão ser expostos caso sejam transmitidos para backup externo ou para processamento por terceiros.
A detecção de malware ou análise comportamental desenvolvida para identificar atividades suspeitas pode ajudar a evitar uma violação de dados interna ou externa, além de exercer funções importantes por conta própria.
No entanto, a criptografia ajuda a proteger os dados em qualquer lugar, estejam eles em repouso ou em movimento.
Melhores práticas de segurança do armazenamento em nuvem
Ao escolher soluções de proteção e segurança de dados, selecione soluções que possam ser ampliadas em infraestruturas de TI distintas. Desse modo, será possível proteger os ambientes físicos, virtuais e em nuvem de ataques externos mal-intencionados, fraude, acesso não autorizado e violações internas. Essas soluções devem ainda funcionar em um ambiente em nuvem sem configurações caras e complexas.
Além disso, são práticas de segurança recomendadas para a nuvem:
- Bloquear o acesso por portas não aprovadas;
- Avaliar vulnerabilidades proativamente;
- Examinar continuamente o acesso a dados suspeitos;
- Criptografar dados sensíveis, manter uma boa higiene das chaves de criptografia e armazenar as chaves localmente em uma rede separada dos dados criptografados;
- Usar uma plataforma unificada que integre as informações de segurança em diferentes ambientes híbridos e multinuvem.
Tal abordagem fornecerá uma plataforma eficiente para a disponibilização de privacidade e segurança de dados, ajudando você a gerenciar os custos reduzindo os recursos e com muito mais agilidade e flexibilidade.
Proteja os seus dados onde quer que eles estejam com a plataforma de segurança de dados IBM Security Guardium. A Consultoria da IT TCS é essencial para entender os seus requerimentos e desenhar as alternativas de solução, de acordo com as suas necessidades. Entre em contato conosco e faça a sua avaliação para encontrar as soluções certas para o seu negócio.
