#1. Entenda o modelo de responsabilidade compartilhada
Um dos principais argumentos de venda da computação em nuvem é que ela permite que uma organização terceirize parte da responsabilidade por sua Infraestrutura de TI para um provedor de serviços em nuvem. No entanto, um provedor de nuvem não assume total responsabilidade pela infraestrutura do cliente nem por sua segurança.
Uma compreensão clara do modelo de responsabilidade compartilhada na nuvem é uma base essencial para uma estratégia de segurança de nuvem. O Modelo de Responsabilidade Compartilhada divide as responsabilidades entre o provedor de nuvem e o cliente para vários modelos de serviços em nuvem, como Infraestrutura como Serviço (IaaS), Plataforma como Serviço (PaaS) e Software como Serviço (SaaS). A compreensão do modelo e das responsabilidades que ele atribui ao cliente permite que a organização desenvolva uma estratégia para cumprir suas responsabilidades.
#2. Adote o controle de confiança zero
O modelo de segurança de confiança zero foi projetado para limitar o risco de segurança cibernética de uma organização. Em um modelo de confiança zero, todos os usuários e dispositivos são tratados como ameaças em potencial, e cada solicitação de acesso de um usuário autenticado é avaliada de forma independente com base em controles de acesso baseados em funções e fatores ambientais.
A adoção de uma infraestrutura baseada na nuvem expande a superfície de ataque de uma organização, e a natureza exclusiva da nuvem significa que a infraestrutura baseada na nuvem está mais exposta a ameaças externas do que os recursos locais. A adoção e a aplicação de um modelo de segurança de confiança zero ajudam a melhorar o risco de segurança cibernética, reduzindo a probabilidade e o impacto de uma intrusão.
#3. Otimize o tempo de atividade e o desempenho
O Shadow IT é um problema em muitas organizações. A causa mais comum para isso é que os serviços corporativos não atendem às necessidades dos funcionários e, por isso, eles buscam alternativas e soluções alternativas que lhes permitam fazer seu trabalho com eficiência. No entanto, essas alternativas geralmente também colocam a empresa em risco.
Uma maneira de minimizar o risco da TI invisível é trabalhar para eliminar os pontos problemáticos que fazem com que os funcionários busquem alternativas. A otimização do desempenho e do tempo de atividade dos serviços em nuvem ajuda a garantir que os funcionários tenham uma experiência sem atritos que elimina a necessidade de procurar alternativas mais úteis, mas menos seguras.
#4. Reconhecer a importância da visibilidade e da observabilidade
É difícil obter visibilidade na nuvem. O provedor de serviços em nuvem controla a infraestrutura subjacente, o que impossibilita a implementação de dispositivos de segurança no centro de dados em nuvem.
A visibilidade e a observabilidade são tão importantes em ambientes de nuvem quanto no local. Um aspecto importante da Segurança de nuvem é obter visibilidade consistente em todo o ecossistema de TI de uma organização. Isso requer a implementação de soluções de segurança que ofereçam suporte para ambientes locais e na nuvem.
#5. Desenvolver uma postura de segurança e uma estratégia de governança
Com a mudança para a nuvem, a superfície cibernética de uma organização e sua exposição a ameaças cibernéticas aumentam. A proteção contra essas ameaças exige uma estratégia de segurança claramente definida.
A primeira etapa do desenvolvimento dessa estratégia é determinar a postura de segurança e os requisitos de governança desejados pela organização. A partir daí, a empresa pode trabalhar para desenvolver e implementar políticas e controles de segurança, como uma solução de gerenciamento de postura de segurança de nuvem (CSPM), que possa atingir esses objetivos na nuvem e em seu ambiente local.
#6. Aplique políticas de segurança consistentes
Proteger a nuvem pode ser mais difícil do que em uma rede local. Na nuvem, uma empresa não tem controle sobre a infraestrutura subjacente, o que significa que é mais difícil projetar a rede para atender às suas necessidades e implantar dispositivos de segurança.
No entanto, apesar dessas dificuldades, é essencial criar e aplicar políticas de segurança consistentes em todo o ecossistema de TI de uma organização, incluindo ambientes locais e baseados na nuvem. Na empresa moderna, os ambientes no local e a implantação da nuvem estão intimamente ligados. Se uma empresa não aplicar a segurança de forma consistente em todo o seu ambiente, um invasor poderá explorar os pontos fracos de segurança em uma parte da rede corporativa para obter acesso inicial e, em seguida, aproveitar suas conexões com ambientes locais ou outros ambientes de nuvem para se deslocar lateralmente e acessar outros ativos de TI corporativos.
#7. Atingir a conformidade com as exigências regulatórias
A maioria das empresas precisa cumprir pelo menos uma e, possivelmente, várias regulamentações. Nos últimos anos, os regulamentos existentes, como o PCI-DSS e o HIPAA, foram ampliados com um número cada vez maior de novos requisitos (GDPR, CCPA, CMMC etc.) projetados para proteger determinados tipos de dados confidenciais.
Na maioria dos casos, os dados protegidos por esses regulamentos são armazenados, processados ou transmitidos na infraestrutura baseada em nuvem de uma organização. Essas implantações em nuvem também estão dentro do escopo das auditorias de Conformidade e devem atender aos requisitos de Conformidade.
Muitas vezes, os requisitos de conformidade ditarão a escolha da infraestrutura de nuvem usada por uma organização, como nuvens públicas ou privadas. Além disso, as empresas devem identificar e implementar os controles de segurança necessários para proteger esses dados (criptografia, controles de acesso, etc.) na nuvem e no local.
#8. Implante o gerenciamento centralizado de identidades
A expansão para a nuvem introduz uma complexidade significativa na Infraestrutura de TI de uma organização. Muitas vezes, as empresas adotam uma infraestrutura multinuvem com soluções de vários fornecedores. Uma empresa também pode implementar soluções de nuvem em diferentes modelos de serviço, como serviços SaaS, PaaS e IaaS.
Com essa complexidade adicional, surge a necessidade de gerenciar as identidades dos usuários em todos esses novos serviços. O gerenciamento centralizado de identidade é essencial para a segurança de nuvem, pois permite que as empresas garantam que as contas de usuário sejam provisionadas e desprovisionadas adequadamente e que as permissões sejam atualizadas conforme necessário. Forçar os usuários a se autenticarem individualmente em cada serviço diminui a usabilidade e aumenta o risco de abuso de permissões excessivas.
#9. Proteja a infraestrutura
A segurança da infraestrutura na nuvem é complicada devido ao relacionamento entre o provedor de serviços em nuvem e o cliente da nuvem. Conforme descrito no Modelo de Responsabilidade Compartilhada da nuvem, os clientes da nuvem têm diferentes níveis de responsabilidade por sua infraestrutura na nuvem, dependendo do modelo de serviços em nuvem selecionado (SaaS, PaaS, IaaS etc.).
Dito isso, proteger a infraestrutura na nuvem é essencial para proteger os serviços criados sobre ela. Além de gerenciar os níveis de infraestrutura sob seu controle de acordo com o modelo de responsabilidade compartilhada, as empresas também devem considerar a proteção da rede e a seleção da plataforma de nuvem mais adequada aos seus requisitos de segurança. Em alguns casos, as políticas de segurança e os requisitos normativos podem exigir o uso de um modelo de nuvem privada ou híbrida em vez da nuvem pública, devido à capacidade de controlar melhor o acesso à infraestrutura subjacente.
#10. Use controles sólidos de rede
A infraestrutura de nuvem é diretamente acessível pela Internet pública e fica fora do perímetro da rede tradicional. Além disso, os serviços baseados em nuvem geralmente se comunicam com outros ambientes de nuvem e sistemas locais. Isso torna mais difícil para as empresas restringirem o acesso aos recursos baseados em nuvem e torna vital a existência de fortes controles de segurança de rede em nuvem.
A rede de nuvem deve ser segmentada com base na finalidade, nos níveis de risco e na sensibilidade de vários recursos de nuvem. Ao implementar a segmentação da rede, a organização ganha a capacidade de monitorar, inspecionar e aplicar controles de segurança não apenas nos fluxos de tráfego norte-sul, mas também no tráfego leste-oeste entre os segmentos. Essa visibilidade mais granular e a aplicação da segurança são essenciais para uma estratégia de segurança de confiança zero e permitem que uma empresa compartimentalize os riscos e as possíveis invasões em sua rede.
#11. Proteger as cargas de trabalho
As empresas estão adotando cada vez mais cargas de trabalho baseadas na nuvem para aproveitar todo o potencial e os benefícios da nuvem. Os aplicativos sem servidor e em contêineres costumam ser mais ágeis e escaláveis do que os aplicativos tradicionais, o que os torna mais adequados para ciclos rápidos de desenvolvimento de DevOps.
Essas cargas de trabalho na nuvem têm necessidades de segurança exclusivas que podem não ser atendidas pelas soluções tradicionais e integradas de segurança de nuvem. Como parte de uma estratégia de segurança de nuvem, as empresas devem implementar soluções de segurança de aplicativos que forneçam a visibilidade granular e a segurança exigidas por suas cargas de trabalho em nuvem.
#12. Proteger contra a fadiga de alerta
A maioria dos centros de operações de segurança (SOCs) das empresas é sobrecarregada por alertas de seus conjuntos de soluções de segurança. A empresa média recebe 10.000 alertas por dia, o que é muito mais do que uma equipe de SOC é capaz de fazer a triagem, investigar e responder. Como resultado, as verdadeiras ameaças se perdem no ruído e outros trabalhos importantes são deixados de lado, pois os analistas de SOC perdem tempo lidando com detecções de falsos positivos.
Com a mudança para a nuvem, a infraestrutura de segurança corporativa provavelmente se tornará mais complexa, fazendo com que os volumes de alerta aumentem ainda mais. Para garantir que a empresa seja capaz de manter a visibilidade da segurança e se proteger contra ameaças cibernéticas, é necessário um esforço deliberado para gerenciar os volumes de alertas. Ao selecionar uma solução de segurança integrada que usa inteligência artificial e controles preventivos para minimizar os alertas de falsos positivos, a organização pode garantir que os volumes de alertas permaneçam gerenciáveis e que os esforços dos analistas sejam concentrados onde possam proporcionar mais benefícios à empresa.
#13. Aproveite a inteligência na nuvem, a análise forense e a caça a ameaças
A maioria dos controles de segurança de nuvem são de proteção e detecção, projetados para ajudar a evitar ameaças ou detectá-las quando entram na rede. No entanto, esses controles fornecem uma proteção imperfeita e precisam ser aumentados por uma segurança mais proativa também.
A segurança de nuvem, tanto responsiva quanto proativa, requer acesso a informações de alta qualidade sobre ameaças e a capacidade de responder a essas ameaças em tempo real. Por esse motivo, os feeds de inteligência de ameaça e a automação são componentes essenciais de uma estratégia de segurança de nuvem. Os sistemas automatizados de detecção e resposta a ameaças podem ingerir dados de registro e inteligência de ameaça e tomar medidas para evitar, corrigir ou colocar em quarentena possíveis ameaças à organização.
A inteligência de ameaça e a automação também dão suporte a esforços de segurança proativos e orientados por humanos, como caça a ameaças e investigações forenses. A capacidade de coletar e processar automaticamente dados de todo o ambiente de TI fornece um contexto valioso para os caçadores e investigadores de ameaças e permite a detecção e a resposta a ameaças mais rápidas, dimensionáveis e sustentáveis.
Alcançando a segurança de nuvem com a Check Point
Antes que uma organização possa elaborar uma estratégia eficaz de segurança de nuvem, ela deve saber qual segurança de API precisa preencher. Um bom ponto de partida é o Checkup de Segurança de nuvem da Check Point, uma ferramenta de avaliação autoguiada para Segurança de nuvem. Com base nos resultados dessa avaliação e em uma revisão do Blueprint de Segurança de nuvem da Check Point, uma empresa pode começar a desenvolver uma estratégia para proteger seus recursos de nuvem.
Uma parte essencial dessa estratégia é uma solução de segurança capaz de atender às necessidades exclusivas de segurança da nuvem. Solicite uma avaliação gratuita do Check Point CloudGuard para ver como ele pode ajudar a simplificar e agilizar a estratégia de Segurança de nuvem de sua organização.
Opinião