Segurança de Nuvem Híbrida

A nuvem híbrida é uma opção de infraestrutura cada vez mais popular para empresas em indústrias que vão desde o desenvolvimento de jogos até finanças. Mas o que é isso, e quais são as práticas de segurança em nuvem híbrida mais eficazes para proteger seus dados sensíveis e regulamentados?

O que é nuvem híbrida?

Uma nuvem híbrida é uma implantação que utiliza tanto um serviço de nuvem pública quanto um ou mais serviços de nuvem privada. (Um centro de dados tradicional no local também pode ser incluído na combinação.)

Nuvem pública

Uma nuvem pública é hospedada por um provedor terceirizado e todos os recursos são entregues pela internet. Exemplos incluem Amazon Web Services (AWS), Google Cloud e Microsoft Azure. Os principais benefícios incluem:

• Sem manutenção — O fornecedor terceirizado cuida dos problemas de hardware e software, patches e atualizações para você.
• Eficiência de custo — Você não precisa comprar seus próprios recursos de hardware ou software, e só precisa desembolsar dinheiro pelos serviços que realmente necessita e utiliza.
• Confiabilidade — Você pode desfrutar de um serviço confiável graças à ampla rede de servidores em sistemas de nuvem pública.
• Escalabilidade — Uma extensa rede de servidores e recursos sob demanda significa que você pode escalar seus serviços de forma rápida e fácil.
• Opções — Você pode escolher a combinação dos diferentes modelos de serviço em nuvem (IaaS, PaaS, SaaS) que melhor atendem às necessidades do seu negócio.

Nuvem privada

Uma nuvem privada consiste em infraestrutura usada exclusivamente por uma organização. Pode ser hospedada localmente ou em centros de dados fora das instalações. Sistemas de nuvem privada têm seu próprio conjunto de vantagens distintas:

• Maior flexibilidade — Você pode personalizar um sistema de nuvem privada de acordo com as necessidades da sua organização.
• Melhor segurança — Como seus recursos não são compartilhados com nenhum outro negócio, uma nuvem privada pode ser um lar melhor para dados sensíveis.

Benefícios da nuvem híbrida

Um modelo de nuvem híbrida oferece os benefícios de ambos os tipos de armazenamento em nuvem, juntamente com a capacidade de separar cargas de trabalho e a flexibilidade para combinar o que você precisa de cada serviço. Por exemplo, você pode manter seus dados sensíveis e críticos para o negócio em uma nuvem privada e armazenar o restante na nuvem pública para otimizar custos e disponibilidade, ao mesmo tempo que mitiga riscos e atende aos requisitos regulatórios.

O que é segurança em nuvem híbrida?

Segurança em nuvem híbrida refere-se aos processos e procedimentos utilizados para proteger dados, aplicações e infraestrutura no ambiente de nuvem híbrida. Isso inclui garantir a segurança dos dados tanto em repouso quanto em trânsito, bem como orquestrar controles entre os diversos provedores de nuvem e todos os componentes locais.

Componentes da segurança em nuvem híbrida

Existem várias camadas de segurança necessárias para a nuvem híbrida: física, técnica e administrativa.

Segurança física

Para os seus componentes de nuvem pública, a segurança física é responsabilidade dos provedores. Para a sua nuvem privada, a infraestrutura interna deve ter câmeras, fechaduras, acesso físico limitado e um ambiente controlado (preste atenção aos níveis de umidade, temperatura, vazamentos de água, etc.).

Segurança técnica

Uma variedade de medidas de segurança e protocolos devem estar em vigor para garantir uma forte proteção de dados e prevenir violações de dadoses. Normalmente, estas incluem:

• Criptografia — Os dados em trânsito necessitam de métodos de criptografia diferentes dos dados em repouso. Para dados em trânsito, garanta uma criptografia de sessão de rede adequada. Para dados em repouso, garanta criptografia completa de disco e criptografia de hardware.
• VPNs — Redes privadas virtuais oferecem conexões seguras entre componentes operando em diferentes ambientes.
• Outras medidas de segurança — Utilize controle de acesso baseado em funções, monitoramento de alterações, backup confiável de dados, segurança de endpoint e autenticação multifator.

Segurança administrativa

A segurança administrativa envolve regras e procedimentos documentados, tais como:

• Avaliação de riscos processos
• Planos de recuperação de desastres
• Políticas de proteção de dados
• Treinamento de funcionários

Como superar desafios comuns de segurança em nuvem híbrida

Profissionais de TI em empresas ao redor do mundo consideram ambientes de nuvem híbrida como a opção de implantação em nuvem mais segura; de fato, 85% escolheram a nuvem híbrida como seu modelo operacional de TI ideal.

No entanto, existem vários desafios de segurança únicos para um ambiente híbrido composto por serviços de nuvem privada e pública:

Falta de clareza sobre a responsabilidade

SLAs mal definidos e comunicação deficiente com o provedor de nuvem podem levar a dúvidas sobre quem é responsável por uma interrupção ou incidente, e desafios na resolução de disputas ou resposta a uma violação de segurança.

Para evitar isso, atribua claramente as cargas de trabalho a partes específicas da nuvem híbrida. Cada carga de trabalho e/ou parte da nuvem deve ter seu próprio plano de interrupção e incidente, bem como controles específicos de segurança e desempenho.

Desafios de governança de segurança

Cada serviço de nuvem privada e pública possui suas próprias características únicas de segurança e privacidade. O movimento de dados entre eles pode resultar em perda de visibilidade e controle.

Para superar esse desafio, garanta que processos de segurança adequados estejam em vigor tanto para serviços de nuvem pública quanto privada, bem como para todos os sistemas internos. Defina claramente as responsabilidades pela governança de segurança entre você e seu provedor de nuvem. Monitore cuidadosamente toda a atividade em torno dos dados que você armazena em nuvens públicas e privadas. Certifique-se de que qualquer incidente seja imediatamente comunicado entre você e seu provedor de nuvem.

Riscos de conformidade e legais

Dados sensíveis circulando livremente entre ambientes públicos e privados podem levar a problemas de conformidade e legais. Em setores altamente regulamentados como saúde, governo e finanças, até mesmo pequenos erros nas diretrizes podem resultar em multas sérias ou até mesmo processos judiciais.

Sua empresa deve assumir a responsabilidade pela conformidade regulatória tanto para serviços de nuvem pública quanto privada. Cabe a você garantir que seu provedor de nuvem tenha todos os processos e controles necessários em vigor para proteger seus dados. Você também precisa garantir que seus próprios controles estejam em conformidade com as regulamentações às quais você está sujeito. Além disso, muitas empresas preferem limitar o armazenamento de dados sensíveis apenas em nuvens privadas, a fim de manter controle total sobre eles.

Tratamento de incidentes de segurança

A responsabilidade pela detecção, notificação e gestão é compartilhada entre o cliente e o provedor de serviço de nuvem pública. Certifique-se de manter a comunicação e definir claramente as regras de notificação para ser informado sobre uma violação sem demora.

Controle de acesso

A existência de múltiplos pontos de acesso pode representar um risco de segurança para sistemas de armazenamento em nuvem híbrida. Portanto, é crítico saber exatamente quem tem acesso a que dados e aplicar rigorosamente os protocolos de segurança e melhores práticas como o princípio do privilégio mínimo.

Falta de isolamento dos serviços de nuvem externos

Multi-tenancy e recursos compartilhados são características comuns da computação em nuvem pública. Em uma nuvem híbrida, atacantes que obtêm acesso ao componente de nuvem pública do seu ambiente podem ter uma porta dos fundos para sua nuvem privada e sistemas de computação locais também.

Reforce a autenticação e autorização implementando soluções como autenticação multifator e autenticação de dispositivos digitais.

Visibilidade e auditoria

Pode ser difícil monitorar e obter visibilidade das atividades em ambientes de nuvem pública e privada. Utilize soluções que permitem auditar todos os seus sistemas de nuvem a partir de uma plataforma central.

Como mitigar ameaças comuns de segurança em nuvem híbrida

Os ambientes de nuvem híbrida obtêm todos os benefícios tanto da nuvem pública quanto da nuvem privada, mas também enfrentam todas as ameaças de segurança de ambas. Aqui, reunimos um resumo básico de algumas das ameaças de segurança mais comuns. Consulte alguns de nossos outros recursos para obter mais detalhes sobre a segurança dos dados na nuvema.

• Violação de dados — Para prevenir o acesso intencional ou não intencional de informações sem a devida autorização, utilize controle de acesso baseado em funções, analise o comportamento do usuário, rastreie atividades em torno de dados sensíveis, implemente um modelo de menor privilégio e conduza revisões regulares de direitos.
• Ameaça interna — Você também precisa minimizar o risco de um funcionário usar seus direitos de acesso para intencionalmente ou acidentalmente roubar, danificar ou expor dados da empresa. Além de impor o princípio do menor privilégio, monitore atentamente atividades suspeitas, especialmente por contas privilegiadas.
• Sequestro de conta — Um atacante que rouba as credenciais de um usuário legítimo instantaneamente se torna uma poderosa ameaça interna. Combine as dicas acima com medidas fortes de controle de identidade e acesso, incluindo autenticação multifator e senhas fortes.
• Má configurações — Uma configuração insegura, como negligenciar a desativação de funcionalidades padrão na sua plataforma de serviço na nuvem, pode permitir que um usuário não autorizado obtenha acesso administrativo. Certifique-se de usar auditoria de configuração e contínua para detectar modificações na sua configuração.
• Malware — Para minimizar o risco de ransomware e outros softwares maliciosos causarem danos aos seus sistemas de computador, certifique-se de instalar um software antivírus, fazer backup dos seus dados regularmente e educar e testar todos os usuários sobre hábitos seguros para o uso de sistemas de TI.

Melhores práticas para segurança em nuvem híbrida

As melhores práticas de segurança para nuvens públicas e privadas tradicionais também se aplicam a ambientes de nuvem híbrida. No entanto, aqui estão algumas considerações específicas para incorporar ao seu plano de segurança de nuvem híbrida:

• Concentre-se nos dados — Identifique e classifique regularmente os dados sensíveis e regulamentados que possui, tanto em seus ambientes de nuvem privada quanto pública. Estabeleça controles para proteger dados sensíveis independentemente de onde eles estejam. Automatize fluxos de trabalho de remediação que ajudam a reduzir a exposição de dados sensíveis.
• Implemente o gerenciamento de identidade e acesso (IAM) — Idealmente, deve haver um único sistema de IAM para todos os ambientes em nuvem. Ter um sistema interno é preferível.
• Proteja sua rede — Considere configurar uma VPN entre o ambiente local e os serviços na nuvem.
• Use criptografia — Todos os dados sensíveis devem ser criptografados, independentemente de onde estejam localizados.
• Preste atenção à segurança do perímetro — A segurança do perímetro (por exemplo, firewalls, DDoS attack handling, etc.) precisa ser coordenada em todos os ambientes com interfaces externas.

Principais conclusões

Uma solução de nuvem híbrida pode oferecer à sua empresa o melhor de dois mundos: a conveniência e a eficiência de custos de um serviço de nuvem pública aliados à segurança e flexibilidade de um ambiente de nuvem privada. Se você escolher esse modelo, no entanto, certifique-se de prestar atenção às ameaças de segurança únicas que os sistemas de nuvem híbrida enfrentam e siga métodos comprovados para manter seus dados seguros.