Estratégias Essenciais de Segurança Cloud para Minimizar Riscos, Ameaças e Vulnerabilidades

Assume que os seus dados na cloud estão protegidos e seguros de ameaças? Não tão rápido.

Com um número recorde de ciberataques a ocorrer em 2018, é claro que todos os dados estão sob ameaça.

Todos pensam sempre "Não me pode acontecer a mim." A realidade é, nenhuma rede é 100% segura contra hackers.

Segundo a Kaspersky Lab, ransomware subiu mais de 250% em 2018 e continua a tender numa direção muito assustadora. Seguir os conselhos apresentados aqui é a apólice de seguro definitiva contra os efeitos paralisantes de uma perda significativa de dados na cloud.

Como começa a proteger os seus dados na cloud? Quais são as melhores práticas para manter os seus dados protegidos na cloud? Quão seguro é cloud computing?

Para o ajudar a impulsionar a sua estratégia de segurança, convidámos especialistas a partilhar os seus conselhos sobre Riscos e Ameaças de Segurança Cloud.

Principais Conclusões dos Nossos Especialistas em Proteção Cloud & Ameaças de Segurança

• Aceite que pode ser apenas uma questão de tempo antes de alguém violar as suas defesas, planeie para isso.
• Não assuma que os seus dados na cloud estão protegidos.
• Ative autenticação de dois fatores e IP-location para aceder a aplicações cloud.
• Aproveite encriptação. Encripte dados em repouso.
• O elemento humano está entre as maiores ameaças à sua segurança.
• Implemente um processo robusto de change control, com ciclo semanal de patch management.
• Mantenha cópias offline dos seus dados para o caso dos seus dados cloud serem destruídos ou retidos como resgate.
• Contrate serviço de monitorização de segurança 24×7.
• Tenha um plano de resposta a incidentes de segurança.
• Utilize tecnologia avançada de firewall incluindo WAF (Web Access Firewalls).
• Tire partido de serviços de aplicações, layering e micro-segmentação.

1. Manter Disponibilidade na Cloud

Dustin Albertson, Senior Cloud Solutions Architect na Veeam

Quando a maioria das pessoas pensa no tópico de segurança baseada em cloud, tendem a pensar em Networking, Firewalls, Endpoint security, etc. A Amazon define cloud security como:

Segurança na cloud é muito como segurança nos seus data centers on-premises — apenas sem os custos de manter instalações e hardware. Na cloud, não tem de gerir servidores físicos ou dispositivos de armazenamento. Em vez disso, usa ferramentas de segurança baseadas em software para monitorizar e proteger o fluxo de informação para dentro e fora dos seus recursos cloud.

Mas um risco frequentemente negligenciado é manter disponibilidade. O que quero dizer com isso é mais do que apenas geo-redundância ou redundância de hardware, refiro-me a garantir que os seus dados e aplicações estão cobertos. Cloud não é um lugar mágico onde todas as suas preocupações desaparecem; uma cloud é um lugar onde todos os seus medos são muitas vezes mais fáceis e baratos de multiplicar. Ter uma estratégia robusta de proteção de dados é chave. A Veeam tem pregado frequentemente sobre a "Regra 3-2-1" cunhada por Peter Krogh.

A regra diz que deve ter três cópias dos seus dados, armazenando-as em dois media diferentes, e manter uma offsite. A offsite é geralmente na "cloud", mas e quando já está na cloud?

É aqui que vejo a maioria dos problemas cloud surgirem, quando as pessoas já estão na cloud tendem a armazenar os dados na mesma cloud. É por isso que é importante lembrar de ter uma estratégia detalhada ao mover para a cloud. Ao aproveitar coisas como Veeam agents para proteger workloads cloud e Cloud Connect para enviar backups offsite para manter essa disponibilidade fora do mesmo datacenter ou cloud. Não assuma que é trabalho do fornecedor proteger os seus dados porque não é.

2. Migração Cloud Está a Ultrapassar a Evolução dos Controlos de Segurança

Salvatore Stolfo, CTO da Allure Security

Segundo um novo inquérito conduzido pela ESG, 75% das organizações disseram que pelo menos 20% dos seus dados sensíveis armazenados em clouds públicas estão insuficientemente protegidos. Além disso, 81% dos inquiridos acreditam que segurança de dados on-premise é mais madura que dados em cloud pública.

No entanto, empresas estão a migrar para a cloud mais rápido do que nunca para maximizar benefícios organizacionais: estima-se que 83% das workloads de negócio estarão na cloud até 2020, segundo o relatório Cloud Vision 2020 da LogicMonitor. O que temos é uma situação cada vez mais urgente em que organizações estão a migrar os seus dados sensíveis para a cloud para fins de produtividade a uma taxa mais rápida do que controlos de segurança estão a evoluir para proteger esses dados.

Empresas devem olhar para soluções que controlem acesso a dados dentro de partilhas cloud baseadas no nível de permissão que o utilizador tem, mas também devem ter meios para ser alertados quando esses dados estão a ser acedidos de formas incomuns ou suspeitas, mesmo por aquilo que parece ser um utilizador de confiança.

Lembre-se que muitos hackers e leaks internos vêm de bad actors com credenciais legítimas roubadas que lhes permitem mover-se livremente numa partilha cloud, à procura de dados valiosos para roubar. Documentos de engano, chamados decoys, podem também ser uma excelente ferramenta para detetar isto. Decoys podem alertar equipas de segurança no estágio inicial de uma violação de segurança cloud para comportamentos incomuns, e podem até enganar um potencial ladrão cibernético a pensar que roubaram algo de valor quando na realidade é um documento falso altamente convincente. Depois, há a questão de ter controlo sobre documentos mesmo quando foram retirados da partilha cloud.

É aqui que muitas soluções de segurança começam a falhar. Uma vez que um ficheiro foi descarregado de um repositório cloud, como pode rastrear para onde viaja e quem olha para ele? Deve haver mais investimento em tecnologias como geofencing e telemetria para resolver isto.

3. Minimizar Ameaças e Vulnerabilidades de Cloud Computing com um Plano de Segurança

Nic O'Donovan, Solutions Architect e Cloud Specialist com VMware

A Hybrid cloud continua a crescer em popularidade com a enterprise — principalmente à medida que velocidade de implementação, escalabilidade e poupança de custos se tornam mais atrativos para negócios. Continuamos a ver infraestrutura a evoluir rapidamente para a cloud, o que significa que segurança deve desenvolver a um ritmo semelhante. É essencial para a enterprise trabalhar com um Cloud Service Provider que tenha uma abordagem fiável à segurança na cloud.

Isto significa que a parceria com o seu Cloud Provider está a tornar-se cada vez mais importante enquanto trabalham juntos para entender e implementar um plano de segurança para manter os seus dados seguros.

Controlos de segurança como Multi-factor authentication, encriptação de dados junto com o nível de conformidade que requer são todas áreas para focar enquanto constrói o seu plano de segurança.

4. Nunca Pare de Aprender Sobre as Suas Maiores Vulnerabilidades

Isacc Kohen, CEO da Teramind

Cada vez mais empresas estão a ser vítimas da cloud, e tem a ver com misconfiguração cloud e negligência de funcionários.

1. As maiores ameaças à segurança de dados são os seus funcionários. Negligentes ou maliciosos, funcionários são uma das principais razões para infeções por malware e perda de dados. As razões pelas quais ataques de malware e emails de phishing são palavras comuns nas notícias é porque são formas 'fáceis' para hackers acederem a dados. Através de social engineering, criminosos maliciosos podem 'enganar' funcionários a dar passwords e credenciais para sistemas críticos de dados de negócio e enterprise. Formas de prevenir: programa eficaz de formação de funcionários e monitorização de funcionários que ativamente sonda o sistema

2. Nunca pare de aprender. Numa indústria que está continuamente a mudar e adaptar, é importante estar atualizado nas últimas tendências e vulnerabilidades. Por exemplo com Internet of Things (IoT), estamos apenas a começar a ver a 'ponta do iceberg' no que toca a proteger dados sobre conexões wi-fi aumentadas e serviços de armazenamento de dados online. Há mais para desenvolver com esta história, e terá impacto direto em pequenas empresas no futuro.

3. Pesquise e entenda como o armazenamento funciona, depois eduque. Ouvimos as histórias — quando dados são expostos através da cloud, muitas vezes é devido a misconfiguração das definições cloud. Funcionários precisam de entender a natureza de segurança da aplicação e que as definições podem ser facilmente manipuladas e ligadas 'on' expondo dados externamente. Eduque consciencialização de segurança através de programas de formação.

4. Limite os seus pontos de acesso. Uma forma fácil de mitigar isto, limite os seus pontos de acesso. Um erro comum com exposição cloud é devido a quando funcionários com acesso por engano ativam permissões globais permitindo dados expostos a uma conexão aberta. Para mitigar, entenda quem e o que tem acesso aos dados cloud — todos os pontos de acesso — e monitorize essas conexões minuciosamente.

5. Monitorização dos sistemas. Progressiva e completa. Para proteção a longo prazo de dados na cloud, use uma plataforma de user-analytics e monitorização para detetar violações mais rápido. Monitorização e user analytics simplificam dados e criam um 'perfil' standard do utilizador — funcionário e computador. Estas analytics são integradas e seguem os seus depósitos de dados mais cruciais, que indicou como administrador no software de deteção. Quando dados cloud específicos são manipulados, movidos ou violados, o sistema fará "ping" a um administrador imediatamente indicando mudança de carácter.

5. Considere Soluções Híbridas

Michael V.N. Hall, Director of Operations para Turbot

Existem várias coisas vitais para entender sobre segurança na cloud:

1. Passwords são poder — 80% de todas as violações de password poderiam ter sido prevenidas por identificação multifactor: verificando a sua identidade pessoal via texto para o seu telefone ou email para a sua conta, pode agora ser alertado quando alguém tenta aceder aos seus detalhes.

Um dos maiores culpados no momento são credenciais enfraquecidas. Isso significa passwords, passkeys e passphrases roubadas através de scams de phishing, keylogging e ataques brute-force.

Passphrases são as novas passwords. Passphrases aleatórias, fáceis de lembrar, são muito melhores que passwords, pois tendem a ser mais longas e complicadas.

MyDonkeysEatCheese47 é uma passphrase complicada e a menos que seja dono de burro ou fabricante de queijo, não relacionada consigo. Lembre-se de usar letras maiúsculas e minúsculas bem como toda a gama de pontuação.

2. Mantenha contacto com o seu fornecedor de alojamento. Escolha o fornecedor de alojamento certo — uma empresa reputada com standards de alta segurança implementados. Comunique com eles regularmente pois interação frequente permite manter-se a par de quaisquer mudanças ou problemas em desenvolvimento.

3. Considere uma solução híbrida. Soluções híbridas permitem sistemas seguros e estáticos para armazenar dados críticos in-house enquanto ao mesmo tempo abrem dados de prioridade menor à maior versatilidade da cloud.

6. Aprenda Como Funcionam Sistemas de Segurança Cloud

Tom DeSot, CIO da Digital Defense, Inc.

Empresas precisam de garantir que avaliam riscos e benefícios de segurança de cloud computing. É para garantir que se educam sobre o que significa mover para a cloud antes de dar esse grande salto de correr sistemas no seu próprio datacenter.

Com demasiada frequência vi um negócio migrar para a cloud sem plano ou conhecimento sobre o que significa para eles e a segurança dos seus sistemas. Precisam de reconhecer que o seu software estará "vivo" em sistemas partilhados com outros clientes então se houver violação da plataforma de outro cliente, pode ser possível para o atacante comprometer o seu sistema também.

Da mesma forma, clientes cloud precisam de entender onde os seus dados serão armazenados, se apenas nos EUA, ou se o fornecedor replica para outros sistemas em continentes diferentes. Isto pode causar um problema real se a informação for sensível como PII ou informação protegida sob HIPAA ou outro estatuto regulamentar. Por fim, o cliente cloud precisa de prestar atenção aos Service Level Agreements (SLA) que o fornecedor cloud adere e garantir que espelha o seu próprio SLA.

Mover para a cloud é uma ótima forma de libertar recursos de computação e garantir uptime, mas sempre aconselho os meus clientes a fazer a mudança em pequenos passos para que tenham tempo para ganhar apreciação do que significa estar "na cloud."

7. Faça a Sua Due Diligence na Segurança da Cloud

Ken Stasiak, CEO da SecureState

Entenda o tipo de dados que está a colocar na cloud e os requisitos de segurança mandatados em torno desses dados.

Uma vez que um negócio tenha uma ideia do tipo de dados que procura armazenar na cloud, deve ter uma compreensão firme do nível de due diligence requerido ao avaliar diferentes fornecedores cloud. Por exemplo, se está a escolher um cloud service provider para alojar a sua Protected Health Information (PHI), deve exigir uma avaliação de standards de segurança e conformidade HIPAA antes de mover quaisquer dados para a cloud.

Algumas boas perguntas para fazer ao avaliar se um cloud service provider é adequado para uma organização preocupada com proteger esses dados incluem: Faz auditorias e assessments SOC regulares? Como protege contra atividade maliciosa? Faz background checks em todos os funcionários? Que tipos de sistemas tem implementados para monitorização de funcionários, determinação de acesso e audit trails?

8. Configurar Controlos de Acesso e Permissões de Segurança

Michael R. Durante, President da Tie National, LLC.

Enquanto a cloud é uma força crescente em computação pela sua flexibilidade para escalar para atender necessidades de um negócio e aumentar colaboração entre localizações, também levanta preocupações de segurança com o seu potencial para expor vulnerabilidades relativamente fora do seu controlo.

Por exemplo, BYOD pode ser um desafio para proteger se utilizadores não estão a aplicar regularmente patches de segurança e atualizações. A dica número um que daria é fazer o melhor uso dos controlos de acesso disponíveis.

Empresas precisam de utilizar controlos de acesso para limitar permissões de segurança para permitir apenas ações relacionadas com funções de trabalho dos funcionários. Ao limitar acesso, empresas asseguram ficheiros críticos disponíveis apenas para staff que precisa deles, portanto, reduzindo hipóteses de exposição a partes erradas. Este controlo também torna mais fácil revogar direitos de acesso imediatamente após término de emprego para salvaguardar qualquer conteúdo sensível independentemente de onde o funcionário tente aceder remotamente.

9. Entenda o Pedigree e Processos do Fornecedor ou Vendor

Paul Evans, CEO da Redstor

O uso de tecnologias cloud permitiu a negócios de todos os tamanhos impulsionar melhorias de performance e ganhar eficiência com trabalho mais remoto, maior disponibilidade e mais flexibilidade.

No entanto, com um número crescente de sistemas díspares implementados e tantos fornecedores cloud e software para escolher, reter controlo sobre segurança de dados pode tornar-se desafiante. Ao olhar para implementar um serviço cloud, é essencial entender minuciosamente o pedigree e processos do fornecedor/vendor que fornecerá o serviço. Certificações de segurança standard da indústria são um ótimo ponto de partida. Fornecedores que têm certificação ISO 27001 provaram que cumpriram standards internacionais de gestão de segurança da informação e devem ser mantidos em maior consideração que aqueles sem.

Ganhar compreensão total de onde os seus dados vão geograficamente, quem terá acesso a eles, e se serão encriptados é chave para conseguir protegê-los. Também é importante saber quais são os processos do fornecedor no caso de violação ou perda de dados ou se há downtime. Downtime aceitável deve ser delineado em Service Level Agreements (SLAs) contratados, que devem ser financeiramente apoiados por eles para dar tranquilidade.

Para organizações que procuram utilizar plataformas cloud, existem ameaças de segurança cloud a ter em conta, quem terá acesso a dados? Onde os dados são armazenados? Os meus dados estão encriptados? Mas na maior parte plataformas cloud podem responder a estas perguntas e têm níveis altos de segurança. Organizações a utilizar clouds precisam de garantir que estão cientes de leis e regulamentos de proteção de dados que afetam dados e também ganhar compreensão precisa de acordos contratuais com fornecedores cloud. Como são dados protegidos? Muitos regulamentos e standards da indústria darão orientação sobre a melhor forma de armazenar dados sensíveis.

Manter cópias não seguras ou não encriptadas de dados pode colocá-los em maior risco. Ganhar conhecimento de níveis de segurança de serviços cloud é vital.

Quais são as políticas de retenção, e tenho um backup? Plataformas cloud podem ter usos amplamente variados, e isto pode causar (ou prevenir) problemas. Se dados estão a ser armazenados numa plataforma cloud, podem ser vulneráveis a riscos de segurança cloud como ransomware ou corrupção então garantir que múltiplas cópias de dados são retidas ou protegidas pode prevenir isto. Garantir que estes processos foram realizados melhora níveis de segurança das plataformas cloud de uma organização e dá compreensão de onde qualquer risco poderia vir

10. Use Passwords Fortes e Autenticação Multi-factor

Fred Reck, InnoTek Computer Consulting

Garanta que exige passwords fortes para todos os utilizadores cloud, e preferencialmente use autenticação multi-factor.

Segundo o 2017 Verizon Data Breach Investigations Report, 81% de todas as violações relacionadas com hacking alavancaram passwords roubadas e/ou fracas. Um dos benefícios mais significativos da Cloud é a capacidade de aceder a dados da empresa de qualquer lugar no mundo em qualquer dispositivo. Do lado oposto, do ponto de vista de segurança, qualquer um (aka "bad guys") com username e password pode potencialmente aceder aos dados do negócio. Forçar utilizadores a criar passwords fortes torna muito mais difícil para hackers usarem ataque brute force (adivinhar password a partir de múltiplos caracteres aleatórios.)

Além de passwords seguras, muitos serviços cloud hoje podem utilizar o telemóvel de um funcionário como a segunda peça de autenticação física de segurança numa estratégia multi-factor, tornando isto acessível e acessível para uma organização implementar. Utilizadores não só precisariam de saber a password mas precisariam de acesso físico ao seu telemóvel para aceder à sua conta.

Por fim, considere implementar uma funcionalidade que bloqueasse a conta de um utilizador após uma quantidade predeterminada de logins sem sucesso.

11. Ativar Bloqueio IP-location

Chris Byrne é co-fundador e CEO da Sensorpro

Empresas devem ativar autenticação de dois fatores e IP-location lockdown para aceder às aplicações cloud que usam.

Com 2FA, adiciona outro desafio à combinação usual email/password por mensagem de texto. Com IP lockdown pode cercar acesso do IP do seu escritório ou IP de trabalhadores remotos. Se a plataforma não suporta isto, considere pedir ao seu fornecedor para ativar.

Relativamente a provisionamento real de plataforma cloud, forneça opção de encriptação de dados em repouso. Em algum ponto, isto tornar-se-á tão ubíquo como https (SSL/TLS). Se o impensável acontecer e dados acabarem em mãos erradas, i.e., dispositivo roubado ou esquecido num comboio, então encriptação de dados em repouso é a última linha de defesa para impedir alguém de aceder aos seus dados sem as chaves de encriptação certas. Mesmo que consigam roubá-los, não os podem usar. Isto, por exemplo, teria amenizado a recente violação Equifax.

12. Soluções de Segurança de Armazenamento Cloud com VPNs

Eric Schlissel, President e CEO da GeekTek

Use VPNs (virtual private networks) sempre que se conectar à cloud. VPNs são frequentemente usadas para semi-anonimizar tráfego web, geralmente por espectadores que são geoblocked ao aceder serviços de streaming como Netflix USA ou BBC Player. Também fornecem uma camada crucial de segurança para qualquer dispositivo a conectar à sua cloud. Sem VPN, qualquer intruso potencial com packet sniffer poderia determinar que membros estavam a aceder à sua conta cloud e potencialmente ganhar acesso às suas credenciais de login.

Encripte dados em repouso. Se por qualquer razão uma conta de utilizador for comprometida na sua cloud pública, privada ou híbrida, a diferença entre dados em plaintext vs. formato encriptado pode ser medida em centenas de milhares de dólares — especificamente $229,000, o custo médio de um ciberataque reportado por respondentes de um inquérito conduzido pela empresa de seguros Hiscox. Como eventos recentes mostraram, o processo de encriptar e desencriptar estes dados provará muito menos doloroso do que suportar a sua alternativa.

Use autenticação de dois fatores e single sign-on para todas as contas baseadas em cloud. Google, Facebook e PayPal todos utilizam autenticação de dois fatores, que requer que o utilizador insira um código único gerado por software num formulário antes de entrar na sua conta. Quer o seu negócio aspire à sua estatura ou não, pode e deve emular este componente core da sua estratégia de segurança. Single sign-on simplifica gestão de acesso, então um par de credenciais de utilizador faz login do funcionário em todas as contas. Desta forma, administradores de sistema só têm uma conta para apagar em vez de várias que podem ser esquecidas e mais tarde re-accedidas por ex-funcionário.

13. Cuidado com o Risco do Elemento Humano

Steven J.J. Weisman, Advogado e Professor na Bentley University

Parafraseando Shakespeare, a culpa não está na cloud; a responsabilidade está em nós.

Armazenar dados sensíveis na cloud é uma boa opção para segurança de dados em muitos níveis. No entanto, independentemente de quão segura uma tecnologia possa ser, o elemento humano apresentará sempre um perigo de segurança potencial a ser explorado por cibercriminosos. Muitas violações de segurança cloud passadas provaram não ser devido a falhas de segurança pela tecnologia cloud, mas sim por ações de utilizadores individuais da cloud.

Eles forneceram inadvertidamente os seus usernames e passwords a cibercriminosos que, através de emails de spear phishing, chamadas telefónicas ou mensagens de texto persuadiram pessoas a dar a informação crítica necessária para aceder à conta cloud.

A melhor forma de evitar este problema, junto com melhor educação de funcionários para reconhecer e prevenir spear phishing, é usar autenticação dual factor como ter um código one-time enviado para o telemóvel do funcionário sempre que a conta cloud é tentada aceder.

14. Garantir Recuperação de Dados de um Fornecedor Cloud

Bob Herman, Co-Founder e President da IT Tropolis.

1. Autenticação de dois fatores protege contra fraude de conta. Muitos utilizadores falham vítimas a tentativas de email phishing onde bad actors enganam a vítima a inserir a sua informação de login num site falso. O bad actor pode então entrar no site real como a vítima, e fazer todo tipo de danos dependendo da aplicação do site e acesso do utilizador. 2FA garante que um segundo código deve ser inserido ao entrar na aplicação. Geralmente, um código enviado para o telefone do utilizador.

2. Garantir que possui os seus dados e que pode recuperá-los no caso de não querer mais fazer negócio com o fornecedor cloud é imperativo. A maioria dos fornecedores cloud legítimos deve especificar nos seus termos que o cliente possui os seus dados. Em seguida, precisa de confirmar que pode extrair ou exportar os dados em algum formato utilizável, ou que o fornecedor cloud os fornecerá a pedido.

15. Monitorização em Tempo Real e Contínua

Sam Bisbee, Chief Security Officer na Threat Stack

1. Criar Observabilidade de Segurança em Tempo Real & Monitorização Contínua de Sistemas

Embora monitorização seja essencial em qualquer ambiente de dados, é crítico enfatizar que mudanças em ambientes cloud modernos, especialmente os de ambientes SaaS, tendem a ocorrer mais frequentemente; os seus impactos são sentidos imediatamente.

Os resultados podem ser dramáticos devido à natureza de infraestrutura elástica. A qualquer momento, ações acidentais ou maliciosas de alguém poderiam impactar severamente a segurança do seu desenvolvimento, produção ou sistemas de teste.

Executar uma infraestrutura moderna sem observabilidade de segurança em tempo real e monitorização contínua é como voar às cegas. Não tem insight sobre o que está a acontecer no seu ambiente, e não tem forma de começar mitigação imediata quando surge um problema. Precisa de monitorizar acesso baseado em aplicação e host para entender o estado da sua aplicação ao longo do tempo.

• Monitorizar sistemas para ações manuais de utilizadores. Isto é especialmente importante no mundo DevOps atual onde engenheiros provavelmente têm acesso a produção. É possível que estejam a gerir sistemas usando tarefas manuais, então use isto como oportunidade para identificar processos adequados para automação.
• Rastrear performance de aplicação ao longo do tempo para ajudar a detetar anomalias. Entender "quem fez o quê e quando" é fundamental para investigar mudanças que ocorrem no seu ambiente.

2. Definir & Monitorizar Continuamente Definições de Configuração

Configurações de segurança em ambientes cloud como Amazon Direct Connect podem ser complicadas, e é fácil deixar inadvertidamente acesso aos seus sistemas e dados aberto ao mundo, como provado por todas as histórias recentes sobre leaks S3.

Dada a natureza mutável (e às vezes volátil) de ambientes SaaS, onde serviços podem ser criados e removidos em tempo real numa base contínua, falha em configurar serviços apropriadamente, e falha em monitorizar definições pode comprometer segurança. Em última análise, isto erosionará a confiança que clientes colocam em si para proteger os seus dados.

Ao definir configurações contra um baseline estabelecido e monitorizá-las continuamente, pode evitar problemas ao configurar serviços, e pode detetar e responder a problemas de configuração mais rapidamente quando ocorrem.

3. Alinhar Prioridades de Segurança & Operações para Soluções e Infraestrutura de Segurança Cloud

Boa segurança é indistinguível de operações adequadas. Com demasiada frequência estas equipas estão em desacordo dentro de uma organização. Segurança é às vezes vista como abrandar um negócio — excessivamente focada em policiar atividades de equipas Dev e Ops. Mas segurança pode ser um business enabler.

Segurança deve alavancar ferramentas de automação de testes, controlos de segurança e monitorização dentro de uma organização — através de gestão de rede, acesso de utilizador, configuração de infraestrutura e gestão de vulnerabilidades através de camada de aplicação — impulsionará o negócio para a frente, reduzindo risco através da superfície de ataque e mantendo disponibilidade operacional.

16. Use Ferramentas de Auditoria para Proteger Dados na Cloud

Jeremey Vance, US Cloud

1. Use uma ferramenta de auditoria para que saiba o que tudo tem na cloud e o que todos os seus utilizadores estão a usar na cloud. Não pode proteger dados que não conhece.

2. Além de descobrir que serviços estão a ser executados na sua rede, descubra como e por que esses serviços estão a ser usados, por quem e quando.

3. Torne esse processo de auditoria uma parte rotineira da sua monitorização de rede, não apenas um evento one-time. Além disso, se não tem largura de banda para isso, faça outsourcing dessa rotina de auditoria a terceiros qualificados como US Cloud.

17. A Maioria das Violações Começa em Pontos Simples Não Protegidos

Marcus Turner, Chief Architect & CTO na Enola Labs

A cloud é muito segura, mas para garantir que está a manter dados da empresa seguros é importante configurar a cloud corretamente.

Para AWS especificamente, AWS Config é a ferramenta melhor utilizada para isso. AWS, quando configurada da forma certa, é um dos ambientes de cloud computing mais seguros do mundo. No entanto, a maioria das violações de dados não são hackers a alavancar programas complexos para aceder a dados críticos, mas sim são os pontos simples não protegidos, a fruta de fácil alcance, que torna dados da empresa vulneráveis.

Mesmo com a melhor segurança cloud, erro humano é frequentemente culpado pela falha mais crítica ou violação na proteção. Ter rotinas para validar precisão de configuração contínua é a métrica mais subutilizada e subapreciada para manter dados da empresa seguros na cloud.

18. Pergunte ao Seu Fornecedor Cloud Perguntas-Chave de Segurança

Brandan Keaveny, Ed.D., Founder da Data Ethics LLC

Ao explorar possibilidades de mover para uma solução baseada em cloud, deve garantir suportes adequados estão implementados caso ocorra violação. Certifique-se de fazer as seguintes perguntas antes de assinar acordo com um fornecedor baseado em cloud:

Pergunta: Quantos terceiros o fornecedor usa para facilitar o seu serviço?

Razão para pergunta (Reason): Processos e documentação precisarão de ser atualizados para incluir salvaguardas procedimentais e coordenação com a solução baseada em cloud. Adicionalmente, o nível de segurança fornecido pelo fornecedor baseado em cloud deve ser claramente entendido. Níveis aumentados de segurança podem precisar de ser adicionados para cumprir requisitos de privacidade e segurança para os dados a ser armazenados.

Pergunta: Como será notificado se ocorrer violação dos seus sistemas e irão assistir a sua empresa na notificação dos seus clientes/clientes?

Razão: Ao adicionar uma solução baseada em cloud ao armazenamento dos seus dados também adiciona nova dimensão de tempo a fatorar nos requisitos de notificação que podem aplicar-se aos seus dados caso ocorra violação. Estes fatores de tempo devem ser incorporados em procedimentos de notificação de violação e políticas de privacidade.

Ao mudar para cloud de uma solução localmente alojada o seu processo de risk assessment de segurança precisa de ser atualizado. Antes de fazer a mudança, um risk assessment deve ocorrer para entender o estado atual da integridade dos dados que serão migrados.

Adicionalmente, pesquisa deve ser feita para rever como dados serão transferidos para o ambiente cloud. Perguntas a considerar incluem:

Pergunta: Os seus dados estão prontos para transporte?

Razão: O tempo para conduzir assessment de qualidade de dados é antes de migrar dados para uma solução baseada em cloud em vez de após o facto.

Pergunta: Esta transferência será facilitada pelo fornecedor cloud?

Razão: É importante entender os parâmetros de segurança implementados para a transferência de dados para o fornecedor cloud, especialmente quando considerando grandes conjuntos de dados.

19. Proteja a Sua Conta Cloud Além da Password

Contribuído pela equipa da Dexter Edward

Proteja a conta cloud em si. Toda a proteção num servidor/os/aplicação não ajudará se alguém puder assumir os controlos.

• Use password forte e segura na conta e autenticação 2-factor.
• Rode cloud keys/credentials rotineiramente.
• Use IP whitelists.
• Use acessos baseados em role em quaisquer cloud keys/credentials associadas.

Proteja acesso às instâncias de compute na cloud.

• Use firewalls fornecidos pelos fornecedores cloud.
• Use chaves SSH seguras para quaisquer dispositivos que requeiram acesso login.
• Exija password para tarefas administrativas.
• Construa a sua aplicação para operar sem privilégio root.
• Garanta que as suas aplicações usam encriptação para quaisquer comunicações fora da cloud.
• Use autenticação antes de estabelecer comunicações públicas.

Use o máximo possível da rede cloud privada.

• Evite vincular serviços a todas as redes públicas.
• Use rede privada para isolar até o seu acesso login (VPN é opção).

Tire partido de monitorização, file auditing e intrusion detection quando oferecidos por fornecedores cloud.

• A cloud é feita para mover — use esta funcionalidade para mudar a localização de rede.
• Desligue instâncias quando não em uso. b. Mantenha imagens diárias para poder mover servidores/aplicações pela internet mais frequentemente.

20. Considere Implementar Virtual Desktops Geridos

Michael Abboud, CEO e Founder da TetherView

Desastres naturais misturados com ciberameaças, violações de dados, problemas de hardware e o fator humano, aumentam o risco que um negócio experimente algum tipo de outage ou disrupção dispendiosa.

Mover para virtual desktops geridos entregues via private cloud, proporciona oportunidade única para organizações reduzirem custos e fornecerem acesso remoto seguro a staff enquanto suportam iniciativas de business continuity e mitigam risco de downtime.

Tirar partido de virtual desktops standby, uma solução adequada de business continuity fornece às empresas a base para segurança e conformidade.

A implementação de virtual desktops fornece aos utilizadores flexibilidade para trabalhar remotamente via ambiente browser-based totalmente funcional enquanto simultaneamente permite a departamentos de TI gerir centralmente endpoints e bloquear dados críticos de negócio. Performance, segurança e conformidade não são afetados.

Virtual desktops standby vêm pré-configurados e prontos a ser implementados instantaneamente, permitindo que a sua equipa permaneça "business as usual" durante um desastre repentino.

Além disto, deve garantir auditorias e backups regulares de dados

Se não sabe o que está na sua cloud, agora é a hora de descobrir. É essencial auditar frequentemente os seus dados e garantir que tudo está protegido. Também vai querer considerar quem tem acesso a estes dados. Funcionários antigos ou aqueles que não precisam mais de acesso devem ter permissões revogadas.

É importante também usar as últimas medidas de segurança, como autenticação multi-factor e encriptação default. Mantenha sempre os seus funcionários atualizados com estas medidas e treine-os para detetar ameaças potenciais para que saibam como lidar com elas imediatamente.

21. Esteja Ciente das Políticas de Segurança do Fornecedor

Jeff Bittner, Founder e President da Exit technologies

Muitos, se não a maioria, negócios continuarão a expandir na cloud, enquanto dependem de infraestrutura on-premise por uma variedade de razões, variando de simples vantagens custo/benefício a relutância em confiar dados ou sistemas mission-critical nas mãos de terceiros cloud services providers. Manter registo de que ativos estão onde neste ambiente híbrido pode ser complicado e resultar em gaps de segurança.

Responsabilidade pela segurança na cloud é partilhada entre o fornecedor de serviço e o subscritor. Então, o subscritor precisa de estar ciente não só das políticas de segurança do fornecedor de serviço, mas também de assuntos mundanos como ciclos de refresh de hardware.

Ciberatacantes tornaram-se hábeis em encontrar e explorar gaps em sistemas operativos e aplicações mais antigos que podem ser obsoletos, ou que já não são atualizados. Agora, com a divulgação das vulnerabilidades Spectre e Meltdown, também temos de nos preocupar com ameaças que poderiam explorar erros ou omissões hard-coded a nível de chip.

Hardware como servidores e PCs tem ciclo de vida limitado, mas frequentemente negócios continuam a operar estes sistemas após fornecedores começarem a retirar suporte e descontinuar firmware e atualizações de software necessárias para combater novas ameaças de segurança.

Além de estar ciente do que o seu fornecedor cloud está a fazer, o negócio deve manter registo dos seus próprios ativos e refrescá-los ou descomissioná-los conforme necessário. Quando sistemas informáticos são reaproveitados para propósitos não-críticos, é demasiado fácil para eles caírem fora de risk management e supervisão de segurança.

22. Encripte Backups Antes de Enviar para a Cloud

Mikkel Wilson, CTO na Oblivious.io

1. Metadados de ficheiros devem ser protegidos tão vigilantemente quanto os próprios dados. Mesmo que um atacante não consiga aceder aos dados que armazenou na cloud, se conseguirem, digamos, todos os nomes de ficheiros e tamanhos, vazou informação importante. Por exemplo, se é advogado e revela que tem um ficheiro chamado "michael_cohen_hush_money_payouts.xls" e tem 15mb, isto pode levantar questões que preferia não responder.

2. Encripte os seus backups *antes* de os fazer upload para a cloud. Backups são alvo de alto valor para atacantes. Muitas empresas, mesmo com os seus próprios data centers, armazenam backups em ambientes cloud como Amazon S3. Vão até ligar as funcionalidades de encriptação do S3. Infelizmente, a Amazon armazena as chaves de encriptação junto com os dados. É como trancar o carro e deixar as chaves no capô.

23. Saiba Onde Residem os Seus Dados Para Reduzir Ameaças Cloud

Vikas Aditya, Founder da QuikFynd Inc,

Esteja ciente de onde os seus dados estão armazenados hoje em dia para que possam proativamente identificar se quaisquer dos dados podem estar em risco de violação.

Hoje em dia, dados estão a ser armazenados em múltiplas localizações cloud e aplicações além de dispositivos de armazenamento em negócios. Empresas estão a adotar serviços de armazenamento cloud como Google Drive, Dropbox, OneDrive, etc. e serviços de software online para todo tipo de processos de negócio. Isto levou a vasta fragmentação de dados da empresa, e frequentemente gestores não têm ideia onde todos os dados podem estar.

Por exemplo, um relatório financeiro confidencial para a empresa pode ser armazenado em armazenamento cloud porque dispositivos estão a sincronizar automaticamente com cloud ou uma conversa sensível de negócio pode acontecer em serviços de messaging baseados em cloud como Slack. Embora empresas cloud tenham todas as intenções certas de manter dados de clientes seguros, são também alvo principal porque hackers têm melhor ROI em visar tais serviços onde podem potencialmente aceder a dados de milhões de subscritores.

Então, o que deve uma empresa fazer?

Enquanto continuarão a adotar serviços cloud e os seus dados acabarão em muitas, muitas localizações, podem usar algumas ferramentas de pesquisa e organização de dados que lhes mostrem que dados existem nestes serviços. Usando capacidades de full-text search, podem então descobrir muito rapidamente se alguma desta informação é risco potencial para a empresa se violada. Não pode proteger algo se nem sabe onde está. E mais importante, nem saberá se foi roubado. Então, empresas que procuram proteger os seus dados de negócio precisam de dar passos pelo menos para estar cientes de onde toda a sua informação está.

24. Faça Patch dos Seus Sistemas Regularmente Para Evitar Vulnerabilidades Cloud

Adam Stern, CEO da Infinitely Virtual

Utilizadores de negócio não estão indefesos, mesmo na esteira de ataques recentes a cloud computing como WannaCry ou Petya/NotPetya.

O melhor antídoto é patch management. É sempre prática sensata manter sistemas e servidores atualizados com patches — é o caminho mais curto para paz de espírito. De facto, "consciência de patch management" precisa de ser parte de um mantra abrangente que segurança é um processo, não um evento — uma mentalidade, não uma questão de verificar caixas e seguir em frente. Vigilância deve ser o modo default de todos.

Spam não é amigo de ninguém; tenha cuidado com emails de fontes desconhecidas — e isso significa não os abrir. Todo pequeno e médio negócio ganha ao colocar ênfase estratégica em proteções de segurança, com tecnologias como clustered firewalls e intrusion detection and prevention systems (IDPS).

25. Processos de Segurança Precisam de Reforço Pois Staff Frequentemente Não Percebe o Risco

Murad Mordukhay, CEO da Qencode

1. Segurança como Prioridade

Impor medidas de segurança pode tornar-se difícil quando a trabalhar com deadlines ou novas funcionalidades complexas. Numa tentativa de impulsionar os seus produtos para a frente, equipas frequentemente dobram as regras delineadas no seu próprio processo de segurança sem perceber o risco em que estão a colocar a sua empresa. Um processo de segurança bem pensado precisa de ser bem imposto para atingir o seu objetivo em manter os seus dados protegidos. Empresas que incluem segurança cloud como prioridade no seu processo de desenvolvimento de produto reduzem drasticamente a sua exposição a dados perdidos e ameaças de segurança.

2. Passwords & Encriptação

Duas partes importantes de proteger os seus dados na cloud são passwords e encriptação.

Gestão fraca de passwords é a maior oportunidade para bad actors acederem e ganharem controlo de dados da empresa. Isto geralmente conseguido através de técnicas de social engineering (como emails de phishing) maioritariamente devido a má educação de funcionários. Formação adequada de funcionários e processos de monitorização de email ajudam muito a expor informação de passwords. Adicionalmente, passwords precisam de ser longas, incluir números, letras e símbolos. Passwords nunca devem ser escritas, partilhadas em email, ou postadas em chat e comentários de tickets. Uma camada adicional de proteção de dados é alcançada através de encriptação. Se os seus dados estão a ser armazenados na cloud por longos períodos, devem ser encriptados localmente antes de os enviar. Isto torna os dados praticamente inacessíveis na pequena hipótese de serem comprometidos.

26. Ativar Autenticação de Dois Fatores

Tim Platt, VP of IT Business Services na Virtual Operations, LLC

Para a melhor segurança de servidor cloud, preferimos ver Two Factor Authentication (também conhecido como 2FA, multi-factor authentication, ou two-step authentication) usado onde quer que possível.

O que é isto? 2 Factor combina "algo que sabe" com "algo que tem". Se precisa de fornecer tanto password como código único enviado para o seu smartphone via texto, então tem ambas as coisas. Mesmo que alguém saiba a sua password, ainda não consegue entrar na sua conta. Teriam de saber a sua password e ter acesso ao seu telemóvel. Não impossível, mas acabou de tornar dramaticamente mais difícil para eles hackear a sua conta. Procurarão noutro lado alvo mais fácil. Como exemplo, iCloud e Gmail suportam 2FA — dois serviços muito populares com utilizadores de negócio. Recomendo todos usem.

Por que isto é importante para segurança cloud?

Porque serviços cloud frequentemente não são protegidos por firewall ou outro mecanismo para controlar onde o serviço pode ser acedido. 2FA é uma excelente camada adicional para adicionar a segurança. Devo mencionar também que alguns serviços, como Salesforce, têm implementação 2FA muito eficiente, fácil de usar, que não é um fardo significativo para o utilizador.

27. Não Assuma Que os Seus Dados na Cloud Estão Protegidos

Mike Potter, CEO & Co-Founder na Rewind

Fazer backup de dados que estão na cloud: Existe grande conceção errada sobre como plataformas baseadas em cloud (ex. Shopify, QuickBooks Online, Mailchimp, WordPress) são protegidas. Tipicamente, apps baseadas em cloud mantêm disaster recovery cloud backup da plataforma inteira. Se algo acontecesse aos seus servidores, tentariam recuperar dados de todos para o último backup. No entanto, como utilizador, não tem acesso ao seu backup para restaurar os seus dados.

Isto significa que arrisca ter de desfazer manualmente mudanças indesejadas ou perder dados permanentemente se:

• Uma app de 3ª parte integrada na sua conta causa problemas.
• Precisa de reverter uma série de mudanças
• Você ou alguém na sua equipa comete um erro
• Um funcionário ou contractor descontente elimina dados maliciosamente

Ter acesso a um backup secundário das suas contas cloud dá-lhe maior controlo e liberdade sobre os seus próprios dados. Se algo acontecer aos servidores do fornecedor, ou dentro da sua conta individual, ser capaz de recuperar rapidamente os seus dados poderia poupar milhares de dólares em receita perdida, custos de reparação e tempo.

28. Minimizar e Verificar Permissões de Ficheiros

Randolph Morris, Founder & CTO na Releventure

1. Se está a usar servidor baseado em cloud, garanta monitorização e patching da vulnerabilidade Spectre e suas variações. Servidores cloud são especialmente vulneráveis. Esta vulnerabilidade pode contornar quaisquer medidas de segurança cloud implementadas incluindo encriptação para dados que estão a ser processados no momento em que a vulnerabilidade está a ser usada como exploit.

2. Rever e apertar acesso a ficheiros para cada serviço. Com demasiada frequência contas com acesso total são usadas para garantir que software 'funciona' porque tiveram problemas de permissão no passado. Se possível, cada serviço deve usar a sua própria conta e ter apenas permissão restrita para aceder ao que é vital e dar apenas as permissões mínimas requeridas.

29. Ao Proteger Ficheiros na Cloud, Encripte Dados Localmente Primeiro

Brandon Ackroyd, Founder e Mobile Security Expert na Tiger Mobiles

A maioria dos utilizadores de armazenamento cloud assume que tais serviços usam a sua própria encriptação. Eles fazem, Dropbox, por exemplo, usa um excelente sistema de encriptação para ficheiros.

O problema, no entanto, é porque não é você a encriptar, não tem a chave de desencriptação também. Dropbox mantém a chave de desencriptação então qualquer um com essa mesma chave pode desencriptar os seus dados. A desencriptação acontece automaticamente quando logado no sistema Dropbox então qualquer um que aceda à sua conta, ex., via hacking pode também obter os seus dados agora não encriptados.

A solução para isto é encriptar os seus ficheiros e dados, usando uma aplicação ou software de encriptação, antes de os enviar para o seu serviço de armazenamento cloud escolhido.

30. Buckets Expostos em AWS S3 São Vulneráveis

Todd Bernhard, Product Marketing Manager na CloudCheckr

1. A violação de dados mais comum e publicitada no último ano ou mais foi devido a dar acesso de leitura público a AWS S3 storage buckets. A configuração default é de facto privada, mas as pessoas tendem a fazer mudanças e esquecer, e depois colocam dados confidenciais nesses buckets expostos.

2. Encripte dados, tanto em tráfego como em repouso. No data center, onde utilizadores finais, servidores e servidores de aplicação podem estar todos no mesmo edifício. Em contraste, com a Cloud, todo tráfego vai pela Internet, então precisa de encriptar dados enquanto se movem em público. É como a diferença entre enviar uma carta num envelope ou enviar um postal que qualquer um que entre em contacto pode ler o conteúdo.

31. Use o Gold-standard de Encriptação

Jeff Capone, CEO da SecureCircle

Existe falso sentido de privacidade sentido por negócios usando serviços baseados em cloud como Gmail e Dropbox para comunicar e partilhar informação. Porque estes serviços são baseados em cloud e acessíveis por password, assume-se automaticamente que comunicações e ficheiros partilhados são seguros e privados. A realidade é — não são.

Uma forma em que organizações podem ter certeza de proteger os seus dados é usando novos métodos de encriptação como end-to-end encryption para emailing e partilha de ficheiros. É considerado o método "gold standard" sem pontos centrais de ataque — significando que protege dados do utilizador mesmo quando o servidor é violado.

Estes métodos avançados de encriptação serão mais úteis para negócios quando usados em conjunto com políticas internas bem alinhadas. Por exemplo, descentralizar acesso a dados quando possível, minimizar ou eliminar contas com acesso privilegiado, e considerar cuidadosamente riscos ao decidir partilhar dados ou usar serviços SaaS.

32. Tenha Controlos de Acesso Abrangentes Implementados

Randy Battat, Founder e CEO, PreVeil

Todos os fornecedores cloud têm capacidade de estabelecer controlos de acesso aos seus dados. Isto é essencialmente uma listagem de quem tem acesso aos dados. Garanta que acesso "anonymous" está desativado e que forneceu acesso apenas a contas autenticadas que precisam de acesso.

Além disso, deve utilizar encriptação para garantir que os seus dados permanecem protegidos e longe de olhos curiosos. Existe uma multiplicidade de opções disponíveis dependendo do seu fornecedor cloud. Equilibre a utilidade de aceder a dados com a necessidade de os proteger — alguns métodos são mais seguros que outros, como utilizar chave client-side e processo de encriptação. Então, mesmo que alguém tenha acesso aos dados (ver ponto #1), apenas têm acesso à versão encriptada e ainda precisam de chave para desencriptar

Garanta conformidade contínua com as suas políticas de governança. Uma vez implementados os itens acima e delineadas as suas inúmeras outras standards de segurança e proteção, garanta que permanece em conformidade com as suas políticas. Como muitas organizações experienciaram com violações de dados cloud, o risco não está na plataforma do fornecedor cloud. É o que o seu staff faz com a plataforma. Garanta conformidade monitorizando mudanças, ou melhor ainda, implemente ferramentas para monitorizar a cloud com ações corretivas automatizadas caso o seu ambiente experimente configuration drift.

33. 5 Fundamentos para Manter Dados Seguros na Cloud

David Gugick, VP of Product Management na CloudBerry

• Realize penetration testing para garantir que quaisquer vulnerabilidades são detetadas e corrigidas.
• Use firewall para criar rede privada para manter utilizadores não autorizados fora.
• Encripte dados usando encriptação AES e rode chaves para garantir que dados estão protegidos tanto em trânsito como em repouso.
• Logging e Monitoring para rastrear quem está a fazer o quê com dados.
• Identity e Access Control para restringir acesso e tipo de acesso apenas a utilizadores e grupos que precisam.

34. Garantir Ambiente Multi-Tenant Seguro

Anthony Dezilva, CISO na PhoenixNAP

Quando pensamos na cloud, pensamos em duas coisas. Poupança de custos devido a eficiências ganhas usando infraestrutura partilhada, e risco de segurança de armazenamento cloud.

Embora muitas violações publicadas sejam atribuídas a misconfiguração de ambiente baseado em cloud, ficaria surpreendido se este número fosse mais que violações reportadas de ambientes non-cloud based.

Os melhores fornecedores de serviços cloud têm interesse investido em criar ambiente multi-tenant seguro. O seu gasto agregado na criação destes ambientes é muito mais significativo que orçamentos de TI da maioria das empresas, quanto mais os seus orçamentos de segurança. Portanto argumentaria que ambiente cloud configurado corretamente, proporciona nível de segurança muito mais alto do que qualquer coisa que pequena a média empresa pode criar on-prem.

Além disso, num ambiente onde talento de segurança está em grave escassez, não há forma de uma organização encontrar, quanto mais pagar o talento de segurança que precisa. Resultando na próxima melhor coisa, criar relação de business associate com fornecedor que não só tem infraestrutura forte e segura mas também fornece soluções de monitorização de segurança cloud.

Ameaças e Vulnerabilidades de Cloud Computing: Precisa de Saber

• Arquitete solução como faria qualquer processo de design on-prem;
• Tire partido de application services layering e micro-segmentação;
• Use camadas de transaction processing com ACLs rigorosos que controlem inter-process communication. Use infraestrutura PKI para autenticar e encriptar inter-process communication.
• Utilize tecnologia avançada de firewall incluindo WAF (Web Access Firewalls) para front-end web-based applications, para minimizar impacto de vulnerabilidades em software subjacente;
• Aproveite encriptação até ao nível de registo;
• Aceite que é apenas questão de tempo antes de alguém violar as suas defesas, planeie para isso. Arquitete todos os sistemas para minimizar impacto caso aconteça.
• Rede flat nunca é ok!
• Processo robusto de change control, com ciclo semanal de patch management;
• Mantenha cópias offline dos seus dados, para mitigar risco de colapso de serviço cloud, ou ataque malicioso que limpe o seu ambiente cloud;
• Contrate serviços de monitorização de segurança 24×7 que tenham componente de incident response.