Pedro Nunes
Diretor Comercial | Ar Telecom

Proteger serviços em cloud não deveria ser uma opção, mas sim uma clara estratégia de proteção de dados e de informação das empresas.

Um estudo da IDC indica que 55% das empresas europeias vão migrar para a cloud até ao final deste ano e que os gastos com cloud pública vão aumentar para 291 mil milhões de dólares até 2027. Este investimento representa uma taxa composta de crescimento anual (CAGR) de 20% entre 2022 e 2027. A Gartner refere que, também até 2027, 50% das aplicações empresariais vão residir fora de locais centralizados de cloud pública, com as organizações a procurarem serviços de infraestrutura para as suas cargas de trabalho que agora residem no local, desde ofertas de virtualização de servidores até a um conjunto completo de serviços de fornecedores de cloud pública. Diz a Gartner que, “à medida que os mercados de computação cloud e a infraestrutura de data center evoluem (…), muitas empresas lutam para identificar os Parceiros e soluções certos”.

Mas se temos já evidências que o mercado está “cloud ready”, na componente de segurança, não vemos a mesma tendência. No relatório de ‘Cloud Threat Landscape’ da X-Force refere-se que a falta de ciberhigiene das empresas continua a ser um fator crítico para a segurança das mesmas e que as credenciais válidas e comprometidas representam quase 90% dos ativos à venda na dark web. O mesmo relatório indica que mais de 35% dos incidentes de segurança na cloud ocorreram devido à utilização de credenciais válidas comprometidas e que as credenciais do Microsoft Outlook Cloud são os acessos mais populares à venda na dark web, com cinco milhões de menções nestes mercados.

Outro fabricante, a Check Point, refere no seu Relatório de Segurança na Cloud 2023, que, apesar dos inúmeros benefícios que as organizações obtêm destes ambientes, “a sua proteção eficaz continua a ser um desafio”. O relatório indica que as configurações incorretas são a principal preocupação de 59% dos inquiridos. Estas configurações incorretas impedem a organização de aproveitar em pleno o potencial da cloud como, também, deixam as organizações vulneráveis. A Frost & Sullivan considera que, à medida que as organizações operam em ambientes de várias clouds, enfrentam escassez de mão de obra qualificada que resulta no aumento da fadiga de alertas e sobrecarga operacional das equipas. A natureza dinâmica da cloud dificulta a deteção e resposta a ameaças críticas em tempo real pelas equipas de segurança.

Com a escassez de talento que a indústria enfrenta e com os ambientes cada vez mais complexos, a resposta passa por parcerias. Prestadores de serviços como a Ar Telecom podem fornecer serviços mais seguros e resilientes, com monitorização contínua de segurança, threat intelligence, gestão de intrusões, controlos de acesso e análise de risco de vulnerabilidades são apenas alguns dos serviços que podem ser fornecidos às empresas à medida que estas procuram melhorar as suas soluções. O acesso a competências especializadas em segurança é algo que é de particular importância para as empresas e organizações. Como referido, a escassez de talento leva as organizações a terem de procurar nos Parceiros especializados essas competências que são cada vez mais difíceis de encontrar.

Assim, para assegurar a proteção dos seus ambientes e workloads na cloud, vários processos podem ser efetuados:

1. O primeiro ponto passa por escolher um fornecedor de cloud fiável. O mesmo deverá conseguir assegurar armazenamento de dados, encriptação e controlos de acesso. As organizações deverão também entender as suas responsabilidades de segurança, uma vez que o cloud provider não é responsável pela segurança da informação, nem dos dados armazenados (este é um ponto fulcral no entendimento de como funcionam as responsabilidades) – o cloud provider é sim responsável por assegurar a infraestrutura e não os dados de clientes.
2. A autenticação forte deverá também ser um requisito, porque, como referido, as credenciais de acesso estão entre as mais vendidas na dark web. Passwords fortes e, principalmente, MFA’s são obrigatórios para manter os ambientes cloud mais seguros e criar níveis de acesso para que apenas utilizadores autorizados, possam aceder a determinados dados e garantir que estão protegidos de acessos não autorizados e data breaches.
3. Depois, é preciso monitorizar a atividade na cloud, pois só assim as organizações vão conhecer a sua exposição a eventuais falhas de segurança. Isto ajuda a detetar e a prevenir acessos não autorizados aos dados.
4. Também é necessário pensar na proteção das API, que facilitam o acesso a dados na cloud. Numa realidade cada vez mais integrada e onde as aplicações estão cada vez mais interdependentes, pensar em segurança de API é crucia. As API são vulneráveis a ataques caso não sejam corretamente configuradas e seguras. Estas API devem ser implementadas com encriptação e autenticação forte.
5. Realizar assessments de segurança regulares ajuda a identificar vulnerabilidades de segurança e a efetividade das medidas de segurança já colocadas em prática. Estes assessments podem ser realizados pelos Parceiros de IT das organizações.
6. O princípio de zero-trust deve estar sempre presente nas soluções desenhadas e desenvolvidas pelas empresas. Os utilizadores devem ser sempre autenticados e autorizados com base nos datapoints disponíveis, limitar o acesso dos utilizadores ao mínimo necessário e segmentar o acesso.
7. Por fim, é importante educar os colaboradores. A ciberhigiene é necessária e ensinar os colaboradores sobre os riscos de segurança associados ao armazenamento de dados em serviços cloud e as melhores práticas de segurança, permite tornar a empresa mais segura e ter uma primeira linha de defesa mais forte.