Segurança da Informação

Embora nuvem tenha se tornado estratégia primária de TI, ainda há receios. Afinal, o que está por trás dos bastidores da computação em nuvem?

As promessas da cloud computing são irresistíveis. Criar servidores, backups com um clique e não se preocupar com compra de hardware são experiências tentadoras, mas o que se ganha em conveniência, perde-se em controle. Afinal, o que está por trás dos bastidores da computação em nuvem?

Inicialmente, as empresas estavam com o pé atrás de migrar para a nuvem por preocupações básicas, como segurança e privacidade. E embora a nuvem tenha se tornado estratégia primária de TI atualmente, muitos desses receios persistem.

Confira 12 segredos de segurança obscuros da cloud computing.

Falhas de segurança continuam existindo

As nuvens executam os mesmos sistemas operacionais que desktops ou servidores independentes. Se há um backdoor no Ubuntu 14 que permite que alguém invada uma máquina, é quase certo que o mesmo backdoor permitirá que uma pessoa mal intencionada acesse a versão rodando na nuvem. Os serviços de nuvem foram projetados para serem intercambiáveis com o hardware privado e, infelizmente, os bugs também fazem parte do pacote.

Falta de certeza sobre o que é executado

Quando você ligou sua máquina na nuvem, clicou no botão do Ubuntu 18.04 ou talvez no botão do FreeBSD. Mas você tem certeza de que está executando a distribuição padrão? Um amigo que trabalhou com a instalação de harware compartilhado afirma que sua empresa inseriu contas secretas em suas distribuições e depois interferiu nas rotinas padrão do UNIX, para garantir que suas atividades fossem invisíveis. Ele disse que as versões com defeito foram criadas para melhorar a experiência do cliente, mas é claro que a medida também poderia ser usada para fins duvidosos.

Confiar no provedor de nuvem tem que ser incontestável. É preciso ter uma crença sólida em sua incorruptibilidade. Infelizmente, é mais difícil ter a mesma certeza sobre as pessoas.

Falta de controle sobre camada extra

As plataformas de nuvem geralmente contam com uma camada extra de software localizada no sistema operacional - e o usuário não tem qualquer controle sobre ela. Você pode ter acesso root ao SO, mas não sabe o que está acontecendo por trás. Essa camada, em grande parte não divulgada, pode ser usada para fazer qualquer coisa em seus dados enquanto está em funcionamento.

A equipe não trabalha para você

Os provedores de nuvem gostam de oferecer suporte extra e equipes de segurança que contribuem para o melhor funcionamento dos serviços. Como a maioria das empresas não é grande o suficiente para se dedicar ao assunto, é fácil para fornecedores de nuvem abordarem problemas que as companhias menores não conseguirão resolver.

O problema nesse caso é que a equipe da provedora não trabalha para a sua empresa. Eles não se reportam aos seus colaboradores e o futuro deles tem pouco a ver com os resultados alcançados nos negócios. É provável que você sequer saiba o nome das pessoas envolvidas ou receba o suporte prometido.

Não se sabe quem está nas máquinas

A grande vantagem econômica da cloud computing é o compartilhamento do custo de manutenção com outros usuários. Já a grande limitação é a perda do poder de controlar completamente o hardware. Na nuvem, não se sabe quem está utilizando a mesma máquina. Pode ser uma senhora da igreja que está construindo um banco de dados de fiéis, mas também pode ser um psicopata. Em último caso, pode ser um criminoso tentando roubar seus dados.

Economia perigosa

A grande questão sobre a nuvem é que a grande economia. Os valores são tão baratos porque as provedoras têm muitos racks. Isso ajudar a manter os preços baixos - mas também gera uma monocultura que torna a vida dos invasores mais simples. Encontrar uma falha em uma camada pode abrir espaço para resultados catastróficos.

Trade-offs de segurança aumentam os custos

As empresas de nuvem vivem um dilema. Elas podem se defender contra ataques desativando a previsão de ramificação, mas dessa forma o serviço fica mais lento. Será que as provedoras querem diminuir o desempenho? Os usuários querem isso? Na nuvem, máquinas mais lentas só fazem aumentar os preços.

Diferentes necessidades de segurança

Um usuário pode executar uma operação bancária movimentando bilhões de dólares, mas isso não é da conta de todos na nuvem. O fato é que uma ferramenta não serve para todos os negócios, mas as empresas de nuvem estão trabalhando com características uniformes. Cada cliente é diferente e possui necessidades diversas, o que geralmente não pode ser abarcado pela nuvem.

Tudo é mistério

A nuvem é como um reservatório escuro de poder computacional, o que, por um lado, acaba acalmando os usuários. Ora, se não sabemos onde estão as nossas fichas, os invasores também não devem saber. O problema é que, no final das contas, as pessoas estão apenas rezando para que os hackers não consigam encontrar uma forma de compartilhar as máquinas. Mas e se houver um padrão que possa ser explorado? E se houver alguma falha secreta que possa ser aproveitada?

Invasores têm poder sobre recursos

Um recurso importante da nuvem é que ela se adapta automaticamente à demanda. Se houver aumento nos pedidos, por exemplo, o serviço pode gerar novas versões das máquinas. O problema é que é muito simples criar falsas demandas. Um invasor pode acionar um dos aplicativos para gerar milhares de visitas e, assim, ativar a expansão na nuvem, aumentando as chances de compartilhar a máquina.

Clonagem

Muitos arquitetos de nuvem gostam do modelo de utilização de diversas máquinas menores que podem ser iniciadas e interrompidas conforme a demanda aumenta ou diminui. A simplicidade incentiva que todos façam máquinas exatamente iguais, o que significa a duplicação das mesmas informações. Se houver uma chave privada usada para assinar documentos ou efetuar login em um banco de dados, todas as instâncias clonadas terão o mesmo. Com diversos alvos, as chances de um invasor conseguir acesso ao mesmo hardware são maiores.

Chance de invasão pode ser maior do que se pensa

As chances de ataques podem ser grandes, mesmo não sendo fáceis de executar. A grande vantagem da segurança na nuvem é ser, de fato, um conjunto de poder computacional obscuro. Mas como criminosos conseguem acessar nossas informações? Quais são as chances de alguém mal intencionado dividir o mesmo hardware? O hacker pode nos encontrar? É confortável sentir segurança, mas quem a garante?

Segurança deve ser um um componente-chave dos roteiros e projetos da área de TI. Caminho para chegar lá, entretanto, tem diferentes complexidades

A segurança da informação tornou-se uma parte tão integral da TI que, do ponto de vista organizacional, as duas estão se tornando praticamente indistinguíveis. Isso pode significar misturar departamentos, mudar as estruturas de liderança e incorporar a segurança no início do desenvolvimento do pipeline, entre outras táticas.

Cerca de dois terços das organizações dizem que a estratégia de segurança de TI e a estratégia de TI estão fortemente integradas, com a segurança sendo um componente-chave dos roteiros e projetos da área de TI, segundo a pesquisa Estado do CIO de 2019. Mas há mudanças a caminho. "Acho que veremos as estratégias de TI e segurança se unindo, mas de uma maneira diferente da que vimos nos anos anteriores", diz Nathan Wenzler, diretor sênior de segurança cibernética da Moss Adams, uma empresa de consultoria de segurança.

"Onde a segurança da informação tem sido considerada apenas um subconjunto do departamento de TI e onde as ferramentas de segurança como firewalls e filtros de spam são gerenciadas, agora está se tornando mais comum ver as equipes serem consideradas o que realmente são: funções de gerenciamento de risco", diz Wenzler.

Abaixo listamos cinco dicas sobre como integrar práticas de segurança em sua estratégia de TI.

Capacite o executivo de segurança máxima

Aproximar TI e segurança não deve significar retirar autoridade dos executivos de segurança; na verdade, eles deveriam receber mais participação no planejamento estratégico.

Na Park Place Technologies, um fornecedor de serviços de manutenção para hardware de armazenamento, servidor e rede, estratégia de TI e estratégia de segurança de TI está fortemente integrado e a liderança em segurança cibernética desempenha um papel fundamental, diz o CIO Michael Cantor. "Nosso diretor de segurança da informação tem um lugar na mesa para todas as discussões estratégicas, incluindo o ciclo orçamentário anual", diz Cantor. "Ele criou um roteiro de segurança de cinco anos, que incorpora metas para cada uma das funções de segurança para garantir que o progresso esperado seja feito durante o curso do ano".

Obtenha suporte dos executivos seniores

Quantas iniciativas saem dos trilhos devido à falta de apoio das pessoas mais graduadas da organização? A integração de TI e segurança pode enfrentar o mesmo destino. "Ganhe a aprovação do conselho, do C-level e das equipes de liderança", diz Joe Cardamone, diretor de privacidade da Haworth, uma empresa global de design e fabricação de móveis.

Mostrar os benefícios e conquistar a aceitação e o apoio da liderança ajuda a derrubar barreiras, diz Cardamone. Além disso, se os executivos seniores entenderem o valor da segurança, poderão estar mais inclinados a ver o valor da integração de TI e segurança. "Mostre como a segurança das informações pode viabilizar negócios, não apenas mais um obstáculo em um fluxo de trabalho", diz Cardamone.

Comunique-se com frequência e construa relacionamentos

A necessidade de uma boa comunicação entre as pessoas de TI e de segurança é vital para uma integração eficaz. Algo que é vivenciado pela Rosendin Electric. "O elemento humano é o maior risco enfrentado por qualquer organização de TI hoje", diz James McGibney, diretor senior de cibersegurança e compliance da companhia. “Uma campanha de phishing bem-sucedida pode facilmente levar a empresa a uma parada brusca. Para fornecer uma verdadeira defesa em profundidade, a TI e a segurança precisam trabalhar juntas para implementar soluções em toda a superfície de ataque, seja em soluções locais ou baseadas em nuvem.”

As equipes de TI e segurança precisam entender o que estão tentando realizar e por que isso é importante para a organização, diz Wenzler. "É fácil deixar as estratégias de risco desalinhadas com as metas de tecnologia quando os dois lados não falam uns com os outros", diz ele. "Enquanto funções separadas, elas são essenciais para o sucesso umas das outras, por isso, sem comunicação constante, elas permanecerão fora de sincronia".

Aproveite os padrões de segurança e use métricas comparáveis

As empresas que buscam integrar TI e segurança devem considerar o uso de uma estrutura de segurança padrão, como aquelas criadas pelo Instituto Nacional de Padrões e Tecnologia (NIST, na sigla em inglês) para definir metas para o ambiente de segurança. "Isso permite a criação de um roteiro de segurança que pode ser priorizado de forma eficaz e compartilhado com todas as funções para definir metas anuais", diz Cantor.

O uso de uma estrutura para padronizar as operações de segurança dentro de uma empresa garante que todos os aspectos da segurança sejam identificados e possam ser priorizados para as metas de risco e maturidade. Uma vez que uma empresa escolhe uma estrutura e implanta os vários elementos com base em como são aplicáveis à situação específica, “a empresa basicamente tem uma estratégia de segurança”, diz Cantor. "É muito raro que a segurança possa atingir um objetivo específico apenas dentro de sua própria função", diz Cantor. “Geralmente, é necessária uma combinação das outras funções para atingir uma meta de segurança, portanto, esse tipo de integração com a estratégia geral de TI é fundamental para o sucesso.”

Além das normas, as organizações de TI e de segurança devem procurar usar métricas comparáveis para que não haja confusão sobre as metas finais. Muitas vezes, as equipes de segurança começam a medir o risco ou até mesmo o sucesso de maneiras que não têm relevância para as equipes de TI ou funções operacionais, diz Wenzler. "Da mesma forma, as medições de tempo de atividade ou de suporte técnico podem abordar os pilares de integridade e disponibilidade para segurança, mas não abordam de maneira adequada os riscos", diz Wenzler. "Certifique-se de que todos entendam as métricas usadas e aproveitem métricas que possam revelar a redução de riscos por meio de melhorias tecnológicas."

Crie proteção de dados nas ofertas da empresa

Por fim, a integração efetiva de TI e segurança deve se estender aos produtos e serviços que uma empresa fornece a seus clientes e usa internamente - independentemente do setor. “Construir proteção de dados dentro de nossas ofertas de TI é fundamental”, diz McGibney. Por exemplo, quando um funcionário recebe um celular da empresa, ele é imediatamente registrado em um sistema unificado de gerenciamento de endpoints. Se os funcionários trouxerem seus próprios dispositivos, eles também deverão ser registrados ou os dispositivos não terão permissão para acessar nenhum recurso da empresa. "Com o advento feroz das campanhas de phishing, qualquer empresa corre o risco de um funcionário clicar em um link ofuscante, inserindo suas credenciais de login - e o resto é história", diz McGibney.

“O hacker não só tem acesso desenfreado à sua infraestrutura do Diretório Ativo; eles também têm acesso a seus processos e procedimentos. Isso, por sua vez, geralmente leva a ataques de phishing mais focados”.

Vale ressaltar que a internet das coisas (IoT) expande a superfície de ataque. "Tudo o que toca a internet se torna um potencial ponto de entrada para a empresa", diz McGibney. “Telefones, tablets, laptops, desktops, câmeras de segurança, controles de iluminação, termostatos, dispositivos de realidade virtual etc. Todos esses dispositivos precisam estar sob algum tipo de gerenciamento de correção e processo de gerenciamento de vulnerabilidades. "Hackers são indiscutivelmente algumas das pessoas mais inteligentes do mundo", diz McGibney. "Quando eles estão determinados e focados em se infiltrar em seu ambiente, eles usarão todos os meios necessários para atingir seus objetivos", alerta. “Se isso ocorre por meio de engenharia social ou de uma campanha de phishing, as empresas devem permanecer vigilantes e conscientes da segurança”.