Definição de segurança na nuvem
A segurança na nuvem é uma disciplina de cibersegurança dedicada à proteção de sistemas de computação na nuvem. Isso inclui, então, resguardar a segurança e privacidade de dados em infraestrutura, aplicativos e plataformas on-line. Proteger esses sistemas envolve os esforços de provedores da nuvem e dos clientes que as utilizam, seja no caso de pessoa física, pequenas e médias empresas ou grandes organizações.
Os provedores de nuvem hospedam serviços em servidores através de conexões de Internet sempre disponíveis. Uma vez que seus negócios dependem da confiança do cliente, métodos de segurança da nuvem são usados para manter dados de clientes armazenados de forma segura e privada. No entanto, a segurança da nuvem também depende, em parte, das ações dos clientes. Entender as duas faces dessa moeda é essencial para uma solução de segurança da nuvem eficaz.
Na sua base, a segurança da nuvem é composta das seguintes categorias:
- Segurança de dados
- Gerenciamento de acesso e identidade (IAM)
- Governança (políticas sobre prevenção de ameaças, detecção e mitigação)
- Retenção de dados (DR) e planejamento de continuidade de negócios (BC)
- Compliance jurídico
A segurança da nuvem pode parecer como a segurança de TI de legado, mas essa estrutura na verdade exige uma abordagem diferente. Antes de entrar em mais detalhes, primeiro vamos conferir o que de fato é a segurança da nuvem.
O que é segurança na nuvem?
A segurança na nuvem é o pacote completo de tecnologia, protocolos e melhores práticas que protege os ambientes de computação em nuvem, aplicativos em execução na nuvem e dados mantidos na nuvem. Assim, proteger a nuvem começa com entender o que exatamente é protegido, além dos aspectos de sistema que precisam ser gerenciados.
Em resumo, o desenvolvimento de back-end contra vulnerabilidades de segurança depende, na maior parte, de provedores de serviços na nuvem. Além de escolher um provedor que se preocupe com a segurança, os clientes precisam se concentrar principalmente na configuração adequada de serviço e em hábitos seguros de uso. Outro ponto importante é que os clientes devem garantir que quaisquer redes e hardware de usuário final estejam devidamente protegidos.
Escopo de proteção
O escopo completo da segurança da nuvem foi projetado para proteger os seguintes pontos, quaisquer que sejam suas responsabilidades:
- Redes físicas — roteadores, energia elétrica, cabeamento, controles de climatização etc.
- Armazenamento de dados — discos rígidos etc.
- Servidores de dados — hardware e software de computação de rede essencial
- Estruturas de virtualização de computador — software de máquina virtual, máquinas de host e máquinas de convidados
- Sistemas operacionais (OS) — software que oferece suporte para todas as funções do computador
- Middleware — gestão de interface de programação de aplicativos (API),
- Ambientes de tempo de execução — execução e manutenção de um programa em operação
- Dados — todas as informações armazenadas, modificadas e acessadas
- Aplicativos — serviços de software tradicionais (e-mail, software tributário, conjuntos de produtividade etc.)
- Hardware de usuário final — computadores, dispositivos móveis, dispositivos da Internet das Coisas (IoT)
Com a computação na nuvem, a responsabilidade desses componentes pode variar significativamente. Isso pode tornar o escopo de deveres de segurança do cliente algo que não é tão claro. Já que proteger a nuvem pode parecer diferente com base em quem tem a autoridade sobre qual componente, é importante entender como eles são normalmente agrupados.
Componentes da computação em nuvem
Para simplificar: os componentes de computação na nuvem são protegidos a partir de dois pontos de vista principais:
1. Tipos de serviço na nuvem são oferecidos por provedores terceirizados como módulos usados para criar o ambiente de nuvem. Dependendo do tipo de serviço, você pode gerenciar um nível diferente de componentes no serviço:
- O núcleo de qualquer serviço de nuvem terceirizado envolve o provedor gerenciar a rede física, armazenamento de dados, servidores de dados e estruturas de virtualização de computador. O serviço é armazenado nos servidores do provedor e virtualizado através da rede gerenciada internamente deles para ser entregue a clientes por acesso remoto. Isso elimina custos de hardware e outras despesas de infraestrutura para dar aos clientes acesso às suas necessidades de computação em qualquer lugar por conectividade com a Internet.
- Os serviços de nuvem de software como um serviço (SaaS) oferecem aos clientes acesso a aplicativos que são puramente hospedados e executados nos servidores do provedor. Os provedores gerenciam os aplicativos, dados, tempo de execução, middleware e sistema operacional. Os clientes só precisam cuidar de seus aplicativos.
- Os serviços de nuvem de infraestrutura como um serviço (IaaS) oferecem aos clientes o hardware e as estruturas de conectividade remota para abrigar a maior parte de sua computação, inclusive o sistema operacional. Os provedores só gerenciam serviços de nuvem de núcleo. Os clientes ficam encarregados de proteger tudo o que vai sobre um sistema operacional, como aplicativos, dados, tempos de execução, middleware e o próprio SO.
2. Os ambientes de nuvem são modelos de implantação nos quais um ou mais serviços de nuvem criam um sistema para os usuários finais e organizações. Eles segmentam as responsabilidades de gestão – incluindo segurança – entre clientes e fornecedores.
Como funciona?
Cada medida de segurança na nuvem visa realizar um ou mais dos seguintes objetivos:
- Possibilitar a recuperação no caso de perda de dados
- Proteger o armazenamento e as redes contra roubo malicioso de dados
- Determinar se houve erro humano ou negligência na causa vazamento de dados
- Reduzir o impacto de qualquer comprometimento de dados ou sistema
A segurança de dados é um aspecto da segurança na nuvem que envolve a finalidade técnica da prevenção de ameaças. Ferramentas e tecnologias permitem que fornecedores e clientes instalem barreiras entre o acesso e a visibilidade de dados sigilosos. Entre elas, a criptografia é uma das ferramentas mais eficientes disponíveis. A criptografia codifica os seus dados para que só possam ser lidos por alguém que tenha a chave de criptografia. Se seus dados forem perdidos ou roubados, eles serão efetivamente ilegíveis e sem sentido.
A governança se concentra em políticas para prevenção, detecção e mitigação de ameaças. Com PME e empresas, aspectos como inteligência sobre ameaças podem ajudar a rastrear e priorizar ameaças para manter sistemas essenciais protegidos com zelo. No entanto, até mesmo clientes de nuvem que sejam indivíduos podem se beneficiar ao dar o devido valor ao treinamento e às políticas de comportamento seguro do usuário. Elas são usadas principalmente em ambientes organizacionais, mas as regras para uso seguro e resposta a ameaças podem ser úteis para qualquer usuário.
O compliance jurídico está relacionado à proteção da privacidade do usuário conforme definido pelos órgãos legislativos. Os governos assumiram para si a importância de proteger as informações privadas dos usuários contra exploração para fins lucrativos. Dessa forma, as organizações devem seguir as regulações para cumprir essas políticas. Uma abordagem possível é o uso de mascaramento de dados, que ocultam a identidade nos dados através de métodos de criptografia.
O que torna a segurança da nuvem diferente?
A segurança de TI tradicional passou por uma enorme evolução devido à mudança para a computação baseada na nuvem. Embora os modelos de nuvem permitem mais conveniência, a conectividade sempre ativa requer novas considerações para manutenção da segurança. A segurança da nuvem, como uma solução de segurança cibernética modernizada, se destaca dos modelos de TI de legado de certas formas.
Armazenamento de dados: A maior diferença é que os modelos mais antigos de TI dependiam muito do armazenamento de dados local. As organizações perceberam há muito tempo que desenvolver todas as estruturas de TI internamente para controles de segurança detalhados e personalizados é tarefa cara e complexa. As estruturas baseadas na nuvem não só ajudaram a reduzir os custos de desenvolvimento e manutenção do sistema, mas também eliminaram parte do controle dos usuários.
Dimensionamento de velocidade: Em uma comparação semelhante, a segurança na nuvem exige atenção exclusiva ao escalonar os sistemas de TI da organização. A infraestrutura e os aplicativos centrados na nuvem são bastante modulares e rápidos para mobilizar. Embora essa capacidade mantenha os sistemas ajustados de modo uniforme às mudanças organizacionais, ela apresenta considerações quando a necessidade de uma organização por upgrades e conveniência ultrapassa sua capacidade de acompanhar o ritmo da segurança.
Solucionar a maioria dos problemas de segurança na nuvem significa que os usuários e provedores de nuvem – tanto em ambientes pessoais quanto de negócios – devem permanecer proativos sobre suas próprias funções na cibersegurança. Essa abordagem dupla significa que usuários e provedores devem cuidar mutuamente de:
- Manutenção e configuração seguras do sistema.
- Educação sobre segurança do usuário – tanto comportamental quanto técnica.
Por fim, os provedores e usuários de nuvem devem ter transparência e se responsabilizar por garantir que ambas as partes fiquem seguras.
Riscos na nuvem
Quais são os problemas de segurança na computação na nuvem? Já que, se você não os conhecer, como deve implementar as medidas corretas? Afinal, a segurança baixa na nuvem pode expor usuários e provedores a todos os tipos de ameaças à cibersegurança. Entre algumas ameaças comuns de segurança na nuvem, estão :
- Riscos de infraestrutura baseada na nuvem, incluindo estruturas de TI de legado incompatíveis e interrupções no serviço de armazenamento de dados de terceiros.
- Ameaças internas devido a erro humano, como configuração incorreta dos controles de acesso do usuário.
- Ameaças externas causadas quase que exclusivamente por agentes maliciosos, como malware, phishing e ataques de DDoS.
O maior risco com a nuvem é que não há perímetro. A cibersegurança tradicional focada em proteger o perímetro, mas os ambientes em nuvem são altamente conectados, o que significa APIs (Interfaces de programação de aplicativos) inseguras e os sequestros de contas podem gerar problemas reais. Diante dos riscos de segurança da computação em nuvem, os profissionais de cibersegurança precisam mudar para uma abordagem focada em dados.
Por que a segurança na nuvem é importante
Na década de 90, os dados comerciais e pessoais eram armazenados localmente – assim como a segurança, que era local. Os dados ficavam no armazenamento interno de um PC, em casa, e em servidores corporativos, se você trabalhasse em uma empresa.
A criação da tecnologia de nuvem forçou todos a repensar a segurança cibernética. Assim, seus dados e aplicativos podem estar flutuando entre sistemas remotos e locais – e sempre acessíveis pela Internet. Se você estiver acessando o Google Docs em seu smartphone ou usando o software Salesforce para cuidar de seus clientes, esses dados podem ser mantidos em qualquer lugar. Portanto, protegê-los torna-se mais difícil do que quando se tratava apenas de impedir o acesso de usuários indesejados à sua rede. A segurança na nuvem exige ajustar algumas práticas de TI antigas, mas se tornou mais essencial por dois motivos principais:
- Conveniência acima da segurança. A computação na nuvem tem crescido exponencialmente como método principal tanto para uso pessoal quanto profissional. A inovação permitiu que novas tecnologias fossem implementadas com maior rapidez do que os padrões de segurança da indústria pudessem acompanhar, colocando mais responsabilidade sobre os usuários e provedores para considerar os riscos da acessibilidade.
- Centralização e armazenamento multilocatário. Cada componente – partindo da infraestrutura central a pequenos dados como e-mails e documentos – agora pode ser localizado e acessado remotamente em conexões baseadas da Web 24 horas por dia, 7 dias por semana.
Os usuários não estão sozinhos
Infelizmente, os pessoas maliciosas enxergam o valor dos alvos baseados na nuvem e, cada vez mais, os estudam em busca de vulnerabilidades. Apesar dos provedores de nuvem assumirem várias obrigações de segurança dos clientes, eles não gerenciam tudo. Deixando, então, até mesmo os usuários não técnicos com o dever de se informar sobre a segurança na nuvem.
Dito isso, os usuários não estão sozinhos quando o assunto são obrigações de segurança na nuvem. Porém, conhecer o escopo de suas funções de segurança ajudará todo o sistema a ficar bem mais seguro.
