O que é segurança na nuvem?
Segurança da nuvem refere-se a políticas de segurança cibernética, práticas recomendadas, controles e tecnologias usadas para proteger aplicativos, dados e infraestrutura em ambientes de nuvem. Em particular, a segurança da nuvem oferece proteção de rede e armazenamento contra ameaças internas e externas, gerenciamento de acesso, governança e conformidade de dados e recuperação de desastres.
A computação em nuvem se tornou a tecnologia ideal para as empresas que buscam a agilidade e a flexibilidade necessárias para acelerar a inovação e atender às expectativas dos consumidores modernos. No entanto, a migração para ambientes de nuvem mais dinâmicos requer novas abordagens de segurança para garantir que os dados permaneçam seguros em infraestruturas, aplicativos e plataformas on-line.
Saiba mais sobre o modelo de segurança do Google Cloud e como estamos ajudando a resolver os desafios de segurança mais difíceis com soluções e produtos de segurança avançados.
Segurança definida pelo Cloud
A segurança em nuvem é o conjunto de medidas de segurança cibernética usada para proteger aplicativos, dados e infraestrutura baseados na nuvem. Isso inclui aplicar políticas, práticas, controles e outras tecnologias de segurança, como gerenciamento de identidade e acesso e ferramentas de prevenção contra perda de dados para ajudar a proteger ambientes de nuvem contra acesso não autorizado, ataques on-line e ameaças internas;
Como funciona a segurança na nuvem?
A segurança do Cloud se concentra principalmente em como implementar políticas, processos e tecnologias juntos para garantir a proteção de dados, oferecer suporte à conformidade regulatória e fornecer controle sobre privacidade, acesso e autenticação para os usuários e dispositivos.
Os provedores de serviços de nuvem (CSPs) geralmente seguem um modelo de responsabilidade compartilhada, o que significa que a implementação da segurança da computação em nuvem é responsabilidade do provedor de nuvem e você, o cliente. Pense nisso como um framework de responsabilidade que define quais tarefas de segurança pertencem ao provedor de nuvem e quais são as tarefas do cliente. Saber onde as responsabilidades de segurança do provedor terminam e as suas começam é essencial para criar uma estratégia resiliente de segurança na nuvem.
De modo geral, a CSP é sempre responsável pela nuvem e pela infraestrutura principal, enquanto o cliente deve proteger tudo que é executado "na" nuvem, como controles de rede, gerenciamento de identidade e acesso, dados e aplicativos.
Os modelos de responsabilidade compartilhada variam dependendo do provedor de serviços e do modelo de computação em nuvem que você usa. Quanto mais o provedor gerencia, mais ele pode proteger.
Veja como isso normalmente funciona:
| Modelo de serviço de computação em nuvem | Sua responsabilidade | Responsabilidade da CSP |
| Infraestrutura como serviço (IaaS) | Você protege dados, aplicativos, controles de rede virtual, sistema operacional e acessos de usuários. | O provedor de nuvem protege a computação, o armazenamento e a rede física, incluindo todos os patches e configurações. |
| Plataforma como serviço (PaaS) | Você protege seus dados, acesso de usuários e aplicativos. | O provedor de nuvem protege a computação, o armazenamento, a rede física, os controles de rede virtual e o sistema operacional. |
| Software como serviço (SaaS) | Você é responsável por proteger seus dados e o acesso do usuário. | O provedor de nuvem protege computação, armazenamento, rede física, controles de rede virtual, sistema operacional, aplicativos e middleware. |
Por que a segurança na nuvem é importante?
É fundamental repensar as abordagens de segurança à medida que mais empresas migram para a nuvem de ambientes locais, especialmente com governança e conformidade de dados no microscópio regulatório.
Em um mundo cada vez mais híbrido e de várias nuvens, você tem mais liberdade do que nunca para criar onde e quando quiser. Mas também significa que a segurança é muito mais complicada do que impedir que alguém acesse a rede. Infelizmente, muitas organizações tendem a tratar a segurança como algo secundário e podem abrir mão das práticas recomendadas em favor de uma perseguição após uma transformação digital mais rápida. Como resultado, os invasores veem os objetivos baseados na nuvem como um caminho potencialmente fácil para grandes ganhos e estão adaptando as táticas para explorar as vulnerabilidades de acordo com isso.
A segurança na nuvem nunca garante a prevenção total de ataques e vulnerabilidades. No entanto, uma estratégia de segurança de nuvem bem projetada pode ajudar muito na prevenção de violações ou na mitigação de danos, na melhoria da conformidade e na criação de uma confiança do cliente mais forte.
Riscos e desafios de segurança na nuvem
O Cloud sofre riscos de segurança semelhantes aos que você enfrenta em ambientes tradicionais, como ameaças internas, violação e perda de dados, phishing, malware, ataques DDoS e APIs vulneráveis.
No entanto, a maioria das organizações provavelmente enfrentará desafios específicos de segurança de nuvem, incluindo:
Falta de visibilidade
Os recursos baseados na nuvem são executados em uma infraestrutura que fica fora da rede corporativa e pertence a terceiros. Como resultado, as ferramentas tradicionais de visibilidade de rede não são adequadas para ambientes em nuvem, o que dificulta a supervisão de todos os recursos da nuvem, de como eles estão sendo acessados e de quem tem acesso a eles.
Configurações incorretas
Configurações incorretas de segurança da nuvem são uma das principais causas de violações de dados em ambientes de nuvem. Os serviços baseados na nuvem facilitam o acesso e o compartilhamento de dados, mas muitas organizações podem não ter uma compreensão completa de como proteger a infraestrutura em nuvem. Isso pode levar a configurações incorretas, como deixar as senhas padrão, não ativar a criptografia de dados ou gerenciar incorretamente os controles de permissão.
Gerenciamento de acesso
As implantações do Cloud podem ser acessadas diretamente usando a Internet pública, o que permite o acesso conveniente de qualquer local ou dispositivo. Ao mesmo tempo, também significa que invasores conseguem recursos mais facilmente com credenciais comprometidas ou controle de acesso inadequado.
Cargas de trabalho dinâmicas
Os recursos do Cloud podem ser provisionados e ajustados de maneira dinâmica com base nas necessidades da carga de trabalho. No entanto, muitas ferramentas de segurança legadas não aplicam políticas em ambientes flexíveis com cargas de trabalho temporárias e em constante mudança que podem ser adicionadas ou removidas em questão de segundos.
Compliance
A nuvem adiciona outra camada de requisitos de conformidade regulatória e interna que você pode violar, mesmo se não ocorrer uma violação de segurança. Gerenciar a conformidade na nuvem é um processo desgastante e contínuo. Ao contrário de um data center local, em que você tem controle total sobre seus dados e como eles são acessados, as empresas têm mais dificuldade para identificar de maneira consistente todos os recursos e controles de nuvem, mapeá-los para requisitos relevantes e documentar tudo corretamente.
Benefícios da segurança na nuvem
Embora a segurança da nuvem tenha sido frequentemente colocada como uma barreira para a adoção da nuvem, a realidade é que a nuvem não é mais nem menos segura do que a segurança local. Na verdade, a segurança da computação em nuvem oferece muitas vantagens para empresas que podem melhorar sua postura geral de segurança.
Os principais provedores de nuvem têm infraestrutura com segurança incorporada ao design e segurança em camadas que é integrada diretamente à plataforma e aos serviços dela, incluindo tudo, desde arquitetura de rede de confiança zero até gerenciamento de identidade e acesso para autenticação multifator, criptografia, geração de registros e monitoramento contínuos. Além disso, a nuvem ajuda você a automatizar e gerenciar a segurança em uma escala enorme.
Outros benefícios comuns de segurança na nuvem:
Maior visibilidade
Somente uma pilha de segurança integrada na nuvem é capaz de fornecer a visibilidade centralizada de recursos e dados em nuvem, que é vital para a proteção contra violações e outras possíveis ameaças. A segurança do Cloud pode fornecer as ferramentas, tecnologias e processos para registrar, monitorar e analisar eventos para entender exatamente o que está acontecendo nos seus ambientes de nuvem.
Segurança centralizada
A segurança na nuvem permite consolidar a proteção de redes baseadas na nuvem para um monitoramento e análise contínuos e simplificados de vários dispositivos, endpoints e sistemas. Ele também permite que você gerencie centralmente atualizações e políticas de software em um só lugar, e até mesmo implemente e realize planos de recuperação de desastres.
Redução nos custos
Com a segurança na nuvem, você não precisa pagar por hardware dedicado para atualizar a segurança ou usar recursos valiosos para lidar com atualizações e configurações de segurança. Os CSPs oferecem recursos de segurança avançados que permitem recursos de proteção automatizados com pouca ou nenhuma intervenção humana.
Proteção de dados
Os melhores provedores de computação em nuvem oferecem segurança para o design por padrão, oferecendo controles de acesso fortes, criptografia para dados em repouso e em trânsito e Prevenção contra perda de dados (DLP) para proteger dados na nuvem em qualquer lugar que eles estão localizados ou são gerenciados.
Compliance na nuvem
Os provedores de nuvem se esforçam para atender a padrões de conformidade internacionais e do setor, geralmente passando por verificações independentes e rigorosas de controles de segurança, privacidade e conformidade.
Detecção avançada de ameaças
Os CSPs respeitáveis também investem em tecnologias de ponta e especialistas altamente qualificados para fornecer inteligência global contra ameaças em tempo real que pode detectar ameaças conhecidas e desconhecidas em tempo real e nas suas redes para uma correção mais rápida.
Tipos de soluções de segurança na nuvem
A segurança na nuvem está em constante evolução e adaptação à medida que novas ameaças à segurança surgem. Por isso, há muitos tipos diferentes de soluções de segurança na nuvem disponíveis no mercado atualmente, e a lista abaixo não está completa.
- Gerenciamento de identidade e acesso (IAM): com as ferramentas e os serviços do IAM, os administradores gerenciam e controlam de maneira centralizada quem tem acesso a recursos específicos baseados na nuvem e no local. Com o IAM, é possível monitorar ativamente e restringir o modo como os usuários interagem com os serviços. Dessa forma, você aplica as políticas em toda a organização.
- Prevenção contra perda de dados (DLP): a DLP pode ajudar você a ter visibilidade dos dados armazenados e processados, fornecendo recursos para descobrir, classificar e desidentificar automaticamente os dados regulamentados da nuvem.
- Informações de segurança e gerenciamento de eventos (SIEM) : as soluções de SIEM combinam informações de segurança e gerenciamento de eventos de segurança para oferecer monitoramento automatizado, detecção e resposta a incidentes até ameaças nos seus ambientes de nuvem. Ao usar as tecnologias de IA e ML, as ferramentas de SIEM permitem examinar e analisar dados de registros gerados nos aplicativos e dispositivos de rede, além de agir rapidamente caso uma possível ameaça seja detectada.
- Infraestrutura de chave pública (ICP): o framework é usado para gerenciar a troca de informações segura e criptografada usando certificados digitais. As soluções de ICP geralmente fornecem serviços de autenticação para aplicativos e verificam se os dados permanecem comprometidos e confidenciais por meio do transporte. Os serviços de ICP baseados na nuvem permitem que as organizações gerenciem e implantem certificados digitais usados para autenticação de usuários, dispositivos e serviços.