O que é a segurança da nuvem?

A segurança da nuvem é uma responsabilidade partilhada pelos fornecedores de serviços em nuvem e os respetivos clientes. A responsabilidade varia consoante os tipos de serviços fornecidos:

Infraestrutura como um serviço. Neste modelo, os fornecedores de serviços em nuvem oferecem recursos de informática, rede e armazenamento a pedido. O fornecedor é responsável pela segurança dos serviços de informática de base. Os clientes têm de proteger o sistema operativo e tudo o que lhe está subjacente, incluindo aplicações, dados, runtimes e middleware.

Plataforma como serviço. Muitos fornecedores também oferecem um ambiente de programação e implementação completo na nuvem. Estes são responsáveis por proteger o runtime, o middleware e o sistema operativo, bem como os serviços de informática de base. Os clientes têm de salvaguardar os respetivos dados, aplicações, acesso dos utilizadores e dispositivos e redes dos utilizadores finais.

Software como um serviço. As organizações também podem aceder a software com um modelo pay as you go, como o Microsoft Office 365 ou o Google Drive. Neste modelo, os clientes ainda têm de proteger os respetivos dados, utilizadores e dispositivos.

Quatro ferramentas ajudam as empresas a proteger os respetivos recursos na nuvem:

• Uma plataforma de proteção de cargas de trabalho da cloud ajuda a assegurar as funcionalidades de informática, armazenamento e rede necessárias para as aplicações de cloud. Identifica cargas de trabalho em ambientes de cloud pública, privada e híbrida e procura potenciais vulnerabilidades. Caso sejam detetadas vulnerabilidades, a solução recomendará controlos para corrigir os problemas.
• Os mediadores de segurança de aplicações na nuvem ajudam as equipas de TI a obter visibilidade sobre a utilização das aplicações e fornecem uma avaliação de risco das mesmas. Estas soluções também ajudam a proteger os dados e a cumprir os objetivos de conformidade com ferramentas que mostram os movimentos dos dados na nuvem. As organizações também utilizam mediadores de segurança de aplicações de cloud para detetar comportamentos invulgares de utilizadores e remediar ameaças.
• Uma solução de gestão da postura de segurança da cloud ajuda a reduzir o risco ao procurar de forma contínua erros que podem levar a uma falha de segurança. Ao automatizar o processo, estas soluções reduzem o risco de erros em processos manuais e aprofundam a visibilidade dos ambientes com milhares de serviços e contas. Após a deteção de vulnerabilidades, estas soluções fornecem recomendações passo a passo para ajudar os programadores a resolver o problema.
• As soluções de identidade e acesso fornecem ferramentas para gerir identidades e aplicar políticas de acesso. As organizações utilizam estas soluções para limitar o acesso a recursos confidenciais e implementar a autenticação multifator e o acesso de menor privilégio.
• Uma plataforma de proteção de aplicações nativas da nuvem (CNAPP) ajuda as equipas de segurança a incorporar a segurança desde o código à nuvem. A CNAPP unifica os recursos de conformidade e segurança para prevenir, detetar e responder a ameaças de segurança da nuvem, desde a programação até ao runtime.
• A gestão da segurança unificada de DevOps permite às equipas de segurança unificar, fortalecer e gerir a segurança de vários pipelines, mudar a direção dos hábitos de segurança para incorporar a segurança no próprio código e suportar proteções de código à nuvem numa única consola.

Existem quatro áreas que as organizações têm de ter em consideração ao implementar procedimentos e políticas para proteger as respetivas nuvens:

• Limitação do acesso: uma vez que a cloud torna todos os conteúdos da Internet acessíveis, é muito importante garantir que apenas as pessoas indicadas têm acesso às ferramentas certas e o tempo adequado.
• Proteção dos dados: as organizações têm de compreender a localização dos respetivos dados e implementar os controlos adequados para salvaguardar os dados e a respetiva infraestrutura de alojamento e armazenamento.
• Recuperação de dados: uma boa solução de cópias de segurança e um plano de recuperação são essenciais em caso de falha de segurança.
• Plano de resposta: quando uma organização tem uma falha de segurança, é necessário um plano para reduzir o impacto e impedir o comprometimento de outros sistemas.
• Mudar a direção dos hábitos de segurança: as equipas de segurança e programação colaboram para incorporar a segurança no próprio código, de modo que as aplicações nativas da nuvem se mantenham sempre em segurança.
• Unificação da visibilidade da postura de segurança do DevOps: minimize as falhas de segurança ao utilizar um único painel de controlo para destacar as informações da postura de segurança do DevOps em plataformas do DevOps.
• Manter as equipas de segurança atentas às ameaças emergentes: fortaleça as configurações de recursos da nuvem em código para reduzir os problemas de segurança que afetam os ambientes de produção.

As organizações têm de ter cuidado com os seguintes riscos da nuvem:

• Contas comprometidas: muitas vezes, os atacantes utilizam campanhas de phishing para roubar as palavras-passe dos colaboradores e obter acesso a sistemas e recursos empresariais valiosos.
• Vulnerabilidades de hardware e software: quer uma organização utilize uma cloud pública ou privada, é essencial que o hardware e o software tenham patches e estejam atualizados.
• Ameaças internas: o erro humano é uma das principais causas das falhas de segurança. As configurações incorretas podem criar oportunidades para atores maliciosos. Muitas vezes, os colaboradores clicam em ligações maliciosas ou movem dados inadvertidamente para localizações com menos segurança.
• Falta de visibilidade dos recursos na nuvem: este risco na nuvem dificulta a deteção e resposta a vulnerabilidades e ameaças à segurança, o que pode resultar em falhas de segurança e perda de dados.
• Falta de priorização dos riscos: assim que os administradores de segurança obtêm visibilidade dos recursos da nuvem, o número de recomendações para melhorar a postura de segurança pode ser impressionante. É importante dar prioridade ao risco para que os administradores saibam onde se devem concentrar para causar o maior impacto em termos de segurança.
• Permissões da nuvem de alto risco: a proliferação de serviços e identidades na nuvem aumentou o número de permissões de alto risco na nuvem, o que expande as possíveis superfícies de ataque. A métrica índice de excesso de permissões (PCI) mede a quantidade de danos que as identidades podem causar com base nas respetivas permissões.
• Cenário das ameaças emergentes: o risco de segurança da nuvem está em constante evolução. Para garantir a proteção contra falhas de segurança e perda de dados, é importante manter-se a par das novas ameaças.
• Falta de integração entre a programação e a segurança nativas da nuvem: é fundamental que as equipas de segurança e programação colaborem para identificar e corrigir problemas de código antes de a aplicação ser implementada na nuvem.

A segurança da nuvem abrange as tecnologias, procedimentos, políticas e controlos que ajudam a proteger os dados e sistemas baseados na nuvem. Seguem-se alguns exemplos da segurança da nuvem:

• Ferramentas, como o mediador de segurança de acesso à nuvem, para obter visibilidade sobre as aplicações e os dados utilizados pelas organizações.
• Gestão da postura de segurança da nuvem para ajudar a identificar e corrigir erros de configuração.
• Ferramentas para ajudar as equipas de segurança e programação a trabalhar em conjunto para incorporar a segurança no próprio código.
• Uma plataforma de proteção de cargas de trabalho da nuvem para incorporar a segurança no processo de programação.
• Implementar políticas para manter os dispositivos dos colaboradores atualizados, incluindo a aplicação regular de patches de software.
• Elaborar um programa de formação para garantir que os colaboradores têm conhecimento das ameaças e táticas de phishing mais recentes.

Ao proteger os sistemas e os dados da nuvem contra ameaças internas e externas, a segurança da nuvem reduz o risco de um ciberataque. A segurança da nuvem também suporta modelos de trabalho híbrido ao controlar quem tem acesso aos recursos, independentemente de os colaboradores, contratantes e parceiros comerciais estarem a trabalhar no local ou remotamente. Além disso, a segurança da nuvem melhora a privacidade dos dados e ajuda as organizações a cumprir regulamentos como o RGPD e o HIPAA. O incumprimento destes regulamentos pode resultar em multas consideráveis e danos reputacionais.

As melhores práticas em matéria de segurança da nuvem englobam a tecnologia, os processos e os controlos da sua organização, incluindo:

• Certificar-se de que a sua plataforma de aplicações nativa da nuvem inclui uma plataforma de proteção de cargas de trabalho da nuvem, gestão de direitos de infraestrutura da nuvem e gestão da postura de segurança da nuvem irá ajudar a reduzir erros, reforçar a segurança e gerir o acesso de forma eficaz.
• Oferecer formações regulares para ajudar os colaboradores a reconhecer campanhas de phishing e outras técnicas de engenharia social. Além disso, a implementação de processos que o ajudem a prevenir, detetar e responder a um ataque, incluindo a encriptação de dados confidenciais, a aplicação regular de patches de software e hardware e o desenvolvimento de políticas de palavras-passe fortes.
• Adotar uma arquitetura de Confiança Zero que verifique de modo explícito todos os pedidos de acesso. Isto inclui a implementação do acesso de menor privilégio para dar acesso apenas aos recursos de que as pessoas precisam.
• Mudar a direção dos hábitos de segurança no pipeline de DevOps permite às equipas de segurança e programação colaborarem para incorporar a segurança no próprio código, de modo que as aplicações nativas da nuvem se mantenham sempre em segurança.