Você sabe o que isso significa?

E ai meus amigos, gostaria de começar o ano falando de um tópico um pouco delicado que faz parte do mundo de cloud computing, que é a segurança em cloud. Não pretendo entrar em detalhes técnicos, mas sim entrar um pouco no papel do provedor de nuvem e do cliente em relação a responsabilidade da segurança na cloud.

Antes de mais nada quero deixar claro que atualmente, rodar seus workloads (cargas de trabalho) na nuvem é muito mais seguro do que a maioria dos ambientes on-premise (ambiente local) que existem hoje, ambientes esses que muitas vezes não são auditados em relação a segurança como são os grandes data centers ou até mesmo nunca foram projetados para ter uma segurança mínima aceitável.

Vamos lá, é muito comum ouvirmos que quando os seus dados estão na nuvem, os mesmos se encontram seguros, e se algo acontecer com eles a responsabilidade de proteção e recuperação é do seu provedor de cloud, certo? Errado. O provedor de cloud poderá até atenuar esse problema se você contratou alguns serviços como de DR – Disaster Recovery por exemplo, mas mesmo assim vamos ver que essa afirmação de que o provedor deveria salvar tudo não é verdadeira. Por isso resolvi escrever esse artigo para mostrar um lado que poucos clientes sabem ou que já ouviram falar.

Recentemente eu fui pego de surpresa com um cliente que gostaria de obter do provedor de cloud um documento que ele lhe afirmasse por escrito que seus dados não seriam invadidos (eles já tiveram ataques no ambiente on-premise) e caso uma vez sendo invadido, os dados seriam recuperados sem nenhum problema. Mostramos para ele que a possibilidade do ambiente dele falhar era muito pequeno uma vez que ele estava sendo 100% replicado para outra região e que seu tempo de recuperação era mínimo, sendo assim seus serviços estariam sempre disponíveis. Contudo, eu reforcei para ele o seguinte: olha, uma coisa é você ter o ambiente sempre disponível outra coisa é manter seus dados invioláveis. Foi neste momento que comentei que existia uma coisa chamada responsabilidade compartilhada de segurança na cloud, ou seja, a responsabilidade sobre a segurança dos dados, usuários e seus conteúdos por exemplo são do cliente e que os provedores de cloud tem sim sua responsabilidade, porém até um determinado ponto e que esse ponto no caso do modelo IaaS (Infraestrutura como serviço) vai até o hypervisor, a partir deste ponto pra cima a responsabilidade passa a ser do próprio cliente.

Então, o que seria de responsabilidade do provedor e o que seria de responsabilidade do cliente? Vejamos na imagem abaixo:

O desenho acima nos mostra é que precisamos identificar as fronteiras, através delas conheceremos claramente o que fica sob a responsabilidade do provedor de nuvem, como a infraestrutura do data center aonde estar seus itens ofertados como compute, storage, network, banco de dados como serviço e a própria segurança física do data center e suas regiões como um todo.

Agora, no momento que eu passo a utilizar esses itens e/ou serviços, nasce o outro lado da fronteira, e é neste lado que ao colocar minhas aplicações, meus dados, meus usuários eu passo a ser responsável por toda essa movimentação, e com isso passo a ter a necessidade de gerenciar também a cloud, ou seja, você precisa saber quem está acessando sua rede, quais regras de firewall foram criadas, se seus dados estão sendo criptografados, se suas máquinas windows por exemplo estão com antivírus e se os mesmo estão atualizados, se você  tem alguma proteção contra ataques de e-mails maliciosos (Phishing), se sua política de segurança está atualizada e etc.

São muitos pontos de atenção que você como cliente precisa se preocupar, caso contrário, se um usuário indevido conseguir a sua senha e entrar na conta do provedor de nuvem aonde se encontra seu ambiente, ele poderá obter dados confidenciais de seus clientes ou até mesmo dropar(excluir dados) uma tabela inteira do banco dados. Você já imaginou o tamanho do problema? Complicado, não? Uma vez ocorrendo essa falha enorme de segurança sua empresa estará com sérios problemas, como perda dos dados e possível queda de reputação, podendo até receber penalidades judiciais e financeiras pelos órgãos regulatórios.

No exemplo acima fica claro que o lado da fronteira invadida foi a do lado cliente, sendo assim a responsabilidade pela ocorrência pela perda de dados e danos é 100% do cliente, e neste caso o provedor de cloud nada ou quase nada poderá fazer pela recuperação dos dados.

Como cita o Gartner na ilustração acima,  "Em 2025 99% das violações de segurança na nuvem serão de responsabilidade do cliente", esse aumento dos ataques aos ambientes, seja ele local ou em nuvem, fica cada vez mais claro a importância de um maior controle nos ambientes das organizações, principalmente os mais críticos. Falando especificamente nos ambientes de cloud, é importante reforçar a necessidade de construir arquiteturas seguras com barreiras de proteção lá dentro do seu provedor de cloud, pense muito nesta possibilidade.  Detalhe, durante essa construção você vai perceber que muitas vezes você vai precisar de ferramentas especificas de segurança para cloud, pois são elas que irão garantir ou amenizar ao máximo os impactos de uma invasão.

Lembre-se que essas ferramentas terão diferentes papeis como detectar por exemplo, anomalias no comportamento de sua rede, analisar o conteúdo que está trafegando até seus servidores na cloud, nas tentativas de ataques que está recebendo, ou seja, são inúmeras situações que precisam ser analisadas em tempo real e por isso a necessidade dessa estrutura de apoio para a segurança na cloud.

Para finalizar o que posso dizer é que a responsabilidade da segurança dos dados em nuvem, será cada vez maior para os clientes do que para os provedores de cloud.

Temos que ficar sempre atentos, como diz o ditado popular, “um olho no peixe e o outro no gato”, ou seja, um olhar atento as fronteiras, que começa pela segurança de cloud que seu  provedor oferta, e a outro na sua estrutura de segurança interna que ficará responsável pelo proteção dos seus dados.

Um feliz 2021 a todos e com muita segurança em cloud!!

Eu sou Luciano Santana, Co-Funder at GONube | Dir. Comercial e apaixonado pela TI há mais de 30 anos.

http://www.linkedin.com/in/luciano-santana-cloud

Fonte: Gartner