O que é segurança na nuvem?

Por que a segurança na nuvem é importante?

À medida que as equipes, os dados e os aplicativos na nuvem se tornaram mais distribuídos, os modelos de rede legados, voltados para funcionários e recursos locais, tornaram tudo mais lento e menos seguro. Para compensar as perdas em segurança, produtividade e satisfação do usuário, as empresas precisam reconsiderar a forma como protegem seus ambientes.

Atualmente, em uma economia complexa e movida pela inovação (e obscurecida pelos crescentes crimes cibernéticos), as empresas precisam da flexibilidade e da capacidade de dimensionamento dos serviços na nuvem, que só podem ser protegidos de forma eficaz por soluções de segurança na nuvem que atendam às suas necessidades exclusivas.

Como funciona a segurança na nuvem?

Um ambiente na nuvem é tão seguro quanto seu ponto mais fraco. Portanto, uma segurança na nuvem eficaz requer várias tecnologias trabalhando em conjunto para proteger dados e aplicativos em todos os espaços. Isso geralmente inclui firewalls, gerenciamento de identidade e acesso (IAM), segmentação e criptografia.

Em vez de proteger um perímetro, a segurança na nuvem protege recursos e dados individualmente. Isso significa implementar medidas de segurança mais granulares, como gerenciamento de postura de segurança na nuvem (CSPM), proteção de dados, segurança de dados, recuperação de desastres e ferramentas de conformidade.

Os ambientes na nuvem, especialmente as nuvens híbridas, que combinam nuvens públicas com data centers privados, podem ter muitas vulnerabilidades internas e externas. Por isso, é fundamental aproveitar os controles de acesso, a autenticação multifator, a proteção de dados, a criptografia e o gerenciamento de configurações, entre outros, para mantê-los acessíveis e protegidos.

O que é computação na nuvem?

A computação na nuvem (a nuvem) é o principal meio de acesso a recursos pela internet em todo o mundo. Ela permite que as empresas confiem parte de seus dados, aplicativos e infraestrutura a provedores de nuvem terceirizados que podem armazenar, gerenciar ou proteger esses recursos.

Tipos de serviços em nuvem

Produtos SaaS, de armazenamento e vários serviços de plataforma e infraestrutura estão disponíveis em provedores de serviços de nuvem pública, como Amazon Web Services (AWS), Microsoft Azure e Google Cloud.

Existem quatro subtipos de implantação de infraestrutura na nuvem:

• Nuvem privada: infraestrutura dedicada usada por uma empresa e de propriedade de terceiros ou da própria empresa, que é responsável pela gestão da sua segurança Seus usuários típicos incluem governos, empresas financeiras, entre outros, com dados especialmente sigilosos para proteger.
• Nuvem pública: infraestrutura de propriedade de terceiros e compartilhada por várias empresas, que também compartilham responsabilidades de segurança com o provedor, de acordo com o modelo de responsabilidade compartilhada. Serviços de nuvem pública como Google Workspace e Microsoft 365 são amplamente utilizados globalmente.
• Nuvem híbrida: uma combinação de implantação pública e privada em que uma empresa aproveita os pontos fortes de cada nuvem, como a capacidade de dimensionamento da nuvem pública e os controles mais rígidos da nuvem privada. Seus usuários típicos incluem equipes de DevOps ou outros que precisam de sistemas flexíveis e configuráveis.
• Multinuvem: uma infraestrutura compartilhada, geralmente usada por empresas que precisam de acesso aos mesmos aplicativos e/ou possuem os mesmos requisitos de segmentação e privacidade (por exemplo, PCI DSS). Empresas de todo o mundo utilizam ambientes multinuvem para acessar serviços de diversos fornecedores.

Além de quatro modelos principais de serviços na nuvem:

• Software como serviço (SaaS): soluções completas de software fornecidas na nuvem, que podem ser gratuitas ou pagas (por exemplo, Google Docs)
• Plataforma como serviço (PaaS): ferramentas fornecidas na nuvem que os desenvolvedores podem usar para criar, testar e implementar aplicativos em um ambiente dimensionável
• Infraestrutura como serviço (IaaS): infraestrutura virtualizada, gerenciada por terceiros, na qual uma empresa pode instalar softwares
• Funções como serviço (FaaS): semelhante ao PaaS, mas adequado para funções individuais dos aplicativos, que podem ser ativadas ou desativadas muito rapidamente

Segurança na nuvem: o modelo de responsabilidade compartilhada

Um modelo de responsabilidade compartilhada é uma estrutura de segurança na nuvem e de riscos que descreve quais processos e responsabilidades de segurança cibernética cabem a um provedor de serviços na nuvem (CSP) e quais cabem ao cliente. Com cada vez mais arquiteturas de TI migrando para a nuvem, um modelo de responsabilidade compartilhada promove uma segurança mais rigorosa e estabelece responsabilidades relacionadas à segurança da nuvem.

Saiba mais em nosso artigo dedicado: O que é um modelo de responsabilidade compartilhada?

Prós e contras da segurança na nuvem

Ao transferir recursos para fora da rede, as defesas baseadas em perímetro não funcionam mais, o que obriga você a avaliar como oferecer um suporte mais eficaz à produtividade do usuário, identificar problemas de segurança, mitigar vulnerabilidades, bloquear malware e evitar a perda de dados.

É aqui que entra a segurança na nuvem, trazendo uma série de benefícios, mas também alguns possíveis riscos. Vejamos brevemente alguns dos pontos mais importantes.

Prós

• Capacidade de dimensionamento para atender às necessidades de segurança à medida que uma empresa cresce e evolui
• Aumento da visibilidade e da segurança dos recursos na nuvem e dos dispositivos terminais únicos
• Economia de custos através da redução da infraestrutura local e dos custos de manutenção associados
• Gerenciamento centralizado para simplificar o monitoramento, o controle e a aplicação de políticas de segurança
• Redundância através de diversos pontos de presença para oferecer suporte aos esforços de recuperação de desastres
• Atualizações automáticas para garantir proteção rápida contra as vulnerabilidades mais recentes

Contras

• Risco de erros de configuração que deixam os dados vulneráveis a acessos não autorizados e invasores
• Preocupações de conformidade com relação às regulamentações de tratamento de dados governamentais ou do setor
• Problemas de latência e privacidade/soberania de dados caso o provedor não tenha pontos de presença globais

À primeira vista, esses contras podem parecer alarmantes, mas com a devida diligência e o parceiro certo, é possível eliminá-los.

Segurança na nuvem vs. Segurança de rede tradicional

As pilhas de segurança de rede foram projetadas para proteger as redes corporativas, não a nuvem. Elas não podem fornecer a segurança cibernética abrangente que os atuais aplicativos SaaS, serviços de alto consumo de largura de banda e usuários móveis precisam. Para fazer isso sem aumentar os custos ou a complexidade, você precisa de uma plataforma de segurança multiusuário que possa ser dimensionada de forma elástica. Isso nunca será possível com uma arquitetura de segurança de rede tradicional.

A melhor maneira de proteger aplicativos, cargas de trabalho, dados na nuvem e usuários, não importa onde estejam, é migrar os controles de acesso e a segurança para a nuvem.

Benefícios da segurança na nuvem

Uma plataforma abrangente de segurança na nuvem oferece:

• Serviços de segurança integrados e controle de acesso à nuvem que oferecem visibilidade de todo o tráfego que transita em sua nuvem distribuída e infraestrutura local
• Informações sobre cada solicitação, por usuário, local, servidor e dispositivo de terminal em todo o mundo, em poucos segundos, por meio de uma interface
• Integrações de API com SD-WAN, agente de segurança de acesso à nuvem (CASB), IAM e serviços de proteção de terminais para fortalecer ainda mais sua postura de segurança

Desafios comuns da segurança na nuvem

Embora isso possa facilitar muito o gerenciamento da segurança e aumentar a visibilidade, a segurança na nuvem também traz desafios, o que ressalta a importância de encontrar o parceiro certo.

1. Controle de identidade e acesso

Os provedores de nuvem continuam a adicionar mais serviços, e o número médio de direitos distintos para esses serviços agora passa de 5.000. Esse volume de direitos pode ser desafiador para gerenciar usando abordagens tradicionais de gerenciamento de identidade e acesso (IAM).

2. Registro, monitoramento e resposta a incidentes

Logs abrangentes e precisos são a base de uma resposta eficaz a incidentes. As soluções existentes de muitas empresas não são adequadas para o volume de dados que a computação na nuvem tende a produzir e são incapazes de coletar logs completos de maneira confiável.

3. Armazenamento e criptografia

Os serviços de enfileiramento e notificação geralmente retêm informações sigilosas antes de elas serem processadas e as medidas de segurança adequadas serem aplicadas. A importância disso é frequentemente negligenciada — muitos serviços não possuem criptografia do lado do servidor.

4. Ransomware na nuvem

Os ambientes na nuvem ainda são vulneráveis a ataques cibernéticos. Os invasores geralmente se infiltram nos ambientes aproveitando-se de erros de configuração ou práticas de segurança inadequadas, como acesso com excesso de permissões, falta de políticas de controle ou senhas fracas.

5. Ataques à cadeia de suprimentos na nuvem

Compartilhar dados e acesso com terceiros, como fornecedores e prestadores de serviços, expõe os ambientes na nuvem a um maior risco de ataques à cadeia de suprimentos, tornando o monitoramento e o gerenciamento do acesso de terceiros uma prioridade fundamental para as equipes de segurança.

Por que a nuvem oferece melhor proteção do que dispositivos

Proteger os usuários com políticas consistentes e aplicáveis exige mais do que a filtragem de URL ou da web. É por isso que milhares de empresas já migraram sua segurança de TI dos dispositivos para os serviços de segurança na nuvem. Vejamos algumas das principais diferenças.

Proteção em toda a empresa

A segurança baseada em dispositivos requer pilhas de segurança em todos os pontos de saída ou de retorno do tráfego em links MPLS caros de filiais e sites remotos. Os usuários móveis ficam desprotegidos.

A segurança baseada na nuvem oferece aos usuários as mesmas proteções, estejam eles na sede, em filiais, em trânsito ou em casa.

Segurança integrada

Com a segurança baseada em dispositivos, os dispositivos de diferentes fornecedores geralmente trabalham de forma isolada, e não há uma maneira simples de agregar seus dados para analisar os problemas de segurança.

Com a segurança baseada em nuvem, controles de segurança integrados e serviços em nuvem correlacionam informações para fornecer uma visão completa de toda a sua rede.

Experiência do usuário

Com a segurança baseada em dispositivos, todo dispositivo entre seus usuários e a internet causa latência. Se os usuários tiverem que usar a VPN para chegar ao data center, a experiência fica ainda pior.

A segurança baseada em nuvem da Zscaler fornece desvios locais rápidos, e a tecnologia de ação múltipla e verificação única permite que nossos serviços de segurança façam a varredura simultaneamente, para um desempenho mais rápido.

Complexidade da TI

Com a segurança baseada em dispositivos, a manutenção de dispositivos de diversos fornecedores tem alto custo e é difícil, pois exige correções e atualizações contínuas.

A segurança baseada em nuvem consolida produtos pontuais em uma plataforma integrada; não há nenhum hardware ou software para comprar ou gerenciar.

Inteligência

Na segurança baseada em dispositivos, em geral, produtos para fins específicos utilizam uma única técnica para identificar ameaças e passam os dados para o próximo dispositivo, aplicando correções quando disponíveis.

A segurança baseada na nuvem da Zscaler integra a inteligência de inúmeras fontes, para que quando uma ameaça for detectada em qualquer lugar da nuvem, as proteções sejam implantadas em todos os lugares.

Valor

A segurança baseada em dispositivos tem alto custo de aquisição e manutenção e, à medida que as ameaças aumentam, você é obrigado a adquirir mais dispositivos e substituir os dispositivos antigos.

A segurança baseada em nuvem da Zscaler move a segurança de CapEx para OpEx por aproximadamente o preço de uma xícara de café por usuário por mês.

Quatro pilares da segurança na nuvem

A segurança na nuvem visa proteger mais do que apenas o perímetro, trazendo a segurança até os dados. Algumas das medidas mais comuns incluem:

• Gerenciamento de identidade e acesso (IAM) para ajudar a fornecer acesso a recursos em ambientes de nuvem. O IAM também ajuda a impedir o acesso não autorizado a dados, aplicativos e infraestrutura compartilhada entre nuvens.
• Prevenção contra perda de dados (DLP) para monitorar e inspecionar dados para evitar exfiltração. A DLP é um elemento essencial de segurança da computação na nuvem que um modelo de segurança tradicional não consegue executar com eficácia.
• Criptografia de dados para codificar os dados, a fim de que invasores não possam interpretá-los sem descriptografá-los. A criptografia também ajuda a estabelecer confiança e preservar o anonimato, além de ser exigida por vários regulamentos de privacidade em todo o mundo.
• Informações de segurança e gerenciamento de eventos (SIEM) para analisar logs de segurança em tempo real, dando à sua equipe de segurança maior visibilidade sobre o ecossistema na nuvem.

Essas tecnologias de segurança são essenciais, mas com a atual experiência dos criminosos e os crescentes requisitos de conformidade, a segurança na nuvem precisou evoluir para se manter atualizada.

Como a segurança na nuvem está evoluindo?

O cenário tecnológico global está evoluindo, assim como a segurança na nuvem. Mais recentemente, dois dos conceitos mais importantes que surgiram são o de Security Service Edge (SSE) e o de zero trust.

A SSE resolve desafios fundamentais relacionados ao trabalho remoto, nuvem, computação de borda segura e transformação digital, fornecendo acesso seguro à internet, SaaS, aplicativos na nuvem e aplicativos privados da sua organização.

Saiba mais sobre a SSE.

A tecnologia zero trust, um componente essencial da SSE, também está sendo rapidamente adotada. Baseada na ideia de que nenhum usuário ou entidade deve ser considerado inerentemente confiável, a abordagem zero trust concede acesso aos dados e aplicativos com base em um contexto específico (identidade, conteúdo, local, dispositivo, entre outros) e aprimora as experiências dos usuários.

Saiba mais sobre zero trust.

Por que você deve adotar a tecnologia zero trust?

Os benefícios da nuvem superam cada vez mais a tecnologia local. Proteger ambientes na nuvem significa investir em tecnologias que evitarão violações de dados e ajudarão a manter a satisfação e a produtividade dos usuários. Hoje, o zero trust é o único paradigma de segurança que oferece isso.

De acordo com o Cybersecurity Insiders, 72% das empresas estão priorizando a adoção do modelo zero trust. O entendimento é que as ferramentas de segurança arcaicas e isoladas simplesmente não têm capacidade ou escalabilidade para proteger todos os recursos na nuvem, independentemente de onde estejam sendo acessados.

Ao avaliar produtos de zero trust, lembre-se de que qualquer fornecedor pode dizer que oferece zero trust. Muitos fornecedores incorporam uma plataforma na nuvem a um dispositivo de rede legado e a rotulam como “pronta para a nuvem”. Você precisa de um parceiro com uma solução zero trust nativa da nuvem: criada na nuvem, para a nuvem.

Como a Zscaler pode ajudar

A Zscaler protege seu ambiente na nuvem com uma arquitetura zero trust nativa da nuvem por meio do Zscaler Private Access (ZPA™), que integra a plataforma Zscaler Zero Trust Exchange™. Como a plataforma de ZTNA mais implantada no mundo, o ZPA aplica os princípios de privilégio mínimo para oferecer aos usuários conectividade direta e segura a aplicativos privados, eliminando os acessos não autorizados e a movimentação lateral.

O ZPA oferece a você:

• Segurança incomparável, muito além das VPNs e firewalls legados: os usuários se conectam diretamente aos aplicativos, não à rede, minimizando a superfície de ataque e eliminando a movimentação lateral.
• O fim do comprometimento dos aplicativos privados: a proteção de aplicativos integrada com prevenção, deception e isolamento de ameaças minimiza os riscos de comprometimento dos usuários.
• Produtividade superior para as equipes híbridas atuais: o acesso ultrarrápido aos aplicativos privados se estende perfeitamente para usuários remotos, sedes, filiais e terceiros.
• Plataforma ZTNA unificada para usuários, cargas de trabalho e TO/IoT: conecte-se com segurança a aplicativos privados, serviços e dispositivos de TO/IoT.

O Zscaler for Workloads fornece proteções abrangentes para cargas de trabalho em ambientes multinuvem, incluindo data centers locais. O Zscaler Posture Control protege seus aplicativos nativos da nuvem durante a criação, implementação e execução com:

• Gerenciamento da postura de segurança na nuvem (CSPM): identifique e corrija vulnerabilidades e erros de configuração em todos os principais provedores de nuvem pública.
• Gerenciamento dos direitos de infraestrutura na nuvem (CIEM): gerencie os riscos na nuvem identificando e minimizando excessos de privilégios em serviços de nuvem pública.
• Prevenção contra perda de dados (DLP) na nuvem: proteja dados sigilosos e melhore a triagem de riscos com uma maior compreensão do impacto dos riscos na nuvem pública.

Além disso, o Zscaler Workload Communications (ZWC) protege todo o tráfego das cargas de trabalho na nuvem (norte-sul e leste-oeste) para evitar a propagação de malware na sua infraestrutura na nuvem. Uma solução unificada que fornece orquestração entre todos os principais provedores de nuvem, oferecendo segurança consistente e operações mais simples.