Como Avaliar a Segurança de um Fornecedor de Serviços na Nuvem: Guia Completo

O mercado dos serviços de computação em nuvem atingiu mais de $550 mil milhões em 2021, e prevê-se que ultrapasse os $2,5 biliões até 2031. A abordagem relativamente pouco exigente é mais fácil, rápida e, geralmente, mais barata. Melhor ainda, liberta muito espaço físico e talento nas instalações da sua empresa. No entanto, trabalhar num ambiente de nuvem também tem uma desvantagem, uma vez que os serviços selecionados retiram das suas mãos as práticas de segurança.

Defino fornecedores de plataformas de nuvem como qualquer entidade que disponibilize serviços de computação e migração de dados a pedido, sem que tenha de fazer qualquer intervenção. Se procura um fornecedor de serviços de nuvem, vejamos alguns riscos de segurança comuns, bem como as métricas que deve utilizar para avaliar o desempenho dos seus fornecedores.

Desafios comuns de segurança nos serviços de nuvem

Antes de saber até que ponto o seu fornecedor o está a proteger, tem de saber contra o que o está a proteger. Ao contrário das falhas comuns, as violações de segurança têm pessoas talentosas do outro lado a trabalhar para as tornar tão graves quanto possível. Ao longo dos anos, os piratas informáticos desenvolveram formas inteligentes de explorar falhas de segurança. Eis algumas das formas mais comuns de a segurança da sua nuvem poder correr mal:

• Violações de dados: O caminho direto é o tipo de falha de segurança mais comum (e potencialmente mais prejudicial). As violações de dados acontecem frequentemente nos serviços de nuvem. Podem ocorrer aparentemente sem motivo e, quando acontecem, podem ser devastadoras. A Capital One é um excelente exemplo disso. Em 2019, uma simples vulnerabilidade na sua firewall da Amazon Web Services (AWS) levou à divulgação dos dados de 100 milhões de clientes. Foi suficientemente grave para que a empresa tenha agora uma ligação permanente na sua página inicial, mantendo as pessoas informadas sobre a ação judicial coletiva.
• Gestão deficiente de identidades e acessos (IAM): Cerca de 67% dos serviços de nuvem do mundo são fornecidos por apenas quatro empresas, sendo que a AWS cobre, por si só, metade desse valor. Com tantos clientes, as coisas irão inevitavelmente complicar-se, e as importantíssimas políticas de segurança IAM podem facilmente falhar, causando um desastre. Os grandes fornecedores são melhores neste aspeto do que eram anteriormente. No entanto, continuam a ter de trabalhar para manter uma autenticação multifator sólida e o princípio do menor privilégio, que são portas traseiras bastante populares para fugas de dados em massa.
• Interfaces e APIs inseguras: Uma conceção de interface descuidada pode permitir que o público em geral aceda ao seu departamento de contas a receber ou que a equipa de vendas aceda a dados privados dos recursos humanos. Só estará protegido contra isto se realizar testes adequados por intermédio de uma entidade externa que receba um bom prémio por conseguir quebrar a sua API.
• Visibilidade deficiente e controlos pouco rigorosos: Em 2020, alguns piratas informáticos inteligentes utilizaram um ataque à cadeia de fornecimento para inserir código malicioso num fornecedor governamental conhecido como SolarWinds. O software contaminado, Orion, propagou-se lateralmente por vários clientes e introduziu portas traseiras nos seus sistemas. Ninguém sabia o que estava a acontecer durante cerca de nove meses, uma vez que havia pouca visibilidade e poucos mecanismos de validação de segurança. 
• Problemas do modelo de segurança partilhada: A segurança partilhada tem mais que ver com advogados do que com engenheiros. Um fornecedor típico de serviços de nuvem assumirá a responsabilidade pela infraestrutura de nuvem e por outros elementos que controla, mas a segurança dos seus dados e qualquer encriptação em que esteja a investir ficam por sua conta.
• Problemas de conformidade e regulamentares: Se a sua empresa trata de qualquer assunto relacionado com a saúde nos Estados Unidos, conhece a HIPAA. Se opera na UE, está familiarizado com o RGPD. E, na Califórnia, tem a CCPA. Se o seu fornecedor não estiver devidamente certificado segundo as normas de privacidade dos dados dos consumidores, existe uma possibilidade real de algumas das coimas recaírem sobre si, como aconteceu com a coima de €1,2 mil milhões aplicada pelo governo irlandês à Meta em maio de 2023 por violação dos direitos de privacidade. Certifique-se, por exemplo, de que dispõe de uma conformidade substancial dos dados na nuvem.
• Ameaças persistentes avançadas (APTs) e ransomware: Em maio de 2021, um ataque de ransomware à rede de distribuição de combustível da Colonial Pipeline interrompeu praticamente as entregas de gasolina na costa leste. Para além das imagens duradouras de pessoas a tentarem encher sacos de compras de plástico com gasolina, este acontecimento alarmou profundamente o governo. Um único ataque informático sofisticado permitiu que agentes maliciosos encriptassem vias de controlo de infraestruturas essenciais e aterrorizassem pessoas numa dúzia de estados.

Critérios fundamentais para avaliar a segurança dos fornecedores de serviços de nuvem

Verificação da conformidade e das normas legais

• Certificados específicos do setor: O seu setor provavelmente tem normas específicas. Dependendo do grau de sensibilidade do seu trabalho, isto pode envolver auditorias rigorosas e regras de divulgação ou uma breve verificação para garantir que não está a contrabandear urânio. De qualquer forma, o seu fornecedor de serviços na nuvem deve possuir todos os certificados exigidos pelo seu setor. Nos setores da saúde, trata-se do HITRUST; os credores de cartões de crédito têm a Norma de Segurança de Dados da Indústria de Cartões de Pagamento (PCI DSS), e assim por diante. Os grandes fornecedores normalmente possuem vários destes certificados, como a AWS, que se orgulha de ter cerca de 50.
• Auditorias regulares de conformidade: As coisas evoluem rapidamente nos serviços na nuvem e a conformidade tem de ser contínua. Certifique-se de que o seu fornecedor é submetido a auditorias regulares de conformidade, especialmente no que diz respeito à SSAE 16 e a outros exames centrados na segurança.

• Adaptação à evolução da legislação: À medida que a tecnologia muda, a legislação acompanha-a, embora com algum atraso. Descubra como o seu CSP se adapta às alterações legislativas. Oferece orientação aos clientes quando ocorre uma alteração significativa em algum lugar? Precisa que o faça? Descobrir isso antecipadamente pode poupar-lhe muitos problemas mais tarde.
• Circunstâncias especiais: Muitos contratos de serviços na nuvem são padronizados, especialmente para pequenas e médias empresas. Se for um interveniente de grande dimensão com necessidades específicas, poderá precisar de um contrato especialmente negociado ou, pelo menos, de alguns aditamentos.

Garantir uma proteção de dados robusta

• Encriptação: A encriptação não é negociável. Encontre o melhor fornecedor do setor e escolha-o, excluindo os outros fatores. Atualmente, o padrão do setor é o AES-256, e grandes fornecedores como a AWS permitem-lhe escolher entre gerir as chaves pessoalmente ou deixar essa tarefa a cargo do fornecedor. 
• Cópias de segurança e Recuperação de desastres: Uma recuperação de desastres sólida também não é negociável. Os hackers não são a única forma de perder dados, uma vez que um sistema mal concebido é vulnerável à perda de servidores, a incêndios ou ao impacto de um asteroide. Um dos maiores argumentos de venda dos serviços na nuvem é a capacidade de recuperar rapidamente dados perdidos. O seu CSP tem de dispor de um bom plano para este efeito e de um historial comprovado de boa proteção de dados.
• Gestão do ciclo de vida dos dados de ponta a ponta: A gestão do ciclo de vida dos dados é um conjunto de ferramentas que abrange a classificação, o armazenamento, o arquivo e a eliminação adequada dos dados. Para ser verdadeiramente seguro, o seu CSP deve ter procedimentos estabelecidos para todas estas fases – tal como um consultório médico que tritura os registos antigos em vez de simplesmente os deitar num caixote do lixo nas traseiras.

Reforçar a gestão de identidades e acessos

• Autenticação abrangente dos utilizadores: Nenhuma das medidas de segurança de um CSP está realmente a funcionar se qualquer pessoa puder iniciar sessão com a sua palavra-passe. O seu potencial CSP utiliza autenticação multifator? Controlos biométricos? Perguntas-armadilha sobre a escola secundária que frequentou? É inconveniente, mas quanto mais destas medidas tiver disponíveis, melhores e mais seguros serão os seus pontos de acesso.
• Controlos de acesso: As pessoas só devem ter o acesso de que necessitam para desempenhar as suas funções. No mundo da espionagem, isto chama-se necessidade de saber. Na tecnologia, é o princípio do menor privilégio. Verifique se os utilizadores estão limitados ao acesso mínimo indispensável ou se um fornecedor lhes permite vaguear pelas suas bases de dados confidenciais sem autorização.
• Registos de auditoria e relatórios de IAM: O seu CSP precisa de manter um registo de auditoria transparente e abrangente, bem como muitos relatórios detalhados sobre todas as ações dos utilizadores em cada ambiente. Não escolha um fornecedor que goste de guardar segredos ou que deixe pequenas sombras no panorama dos relatórios, onde as ameaças à segurança se possam esconder. 

Segurança da rede e da infraestrutura

• Proteção de Firewall Moderna: A proteção de firewall que obtém deve ir muito além da filtragem regular de pacotes que poderia fazer por si próprio. Procure um CSP que ofereça proteção de firewall de próxima geração (NGFW). Esta pode detetar e bloquear tentativas mais sofisticadas na sua rede do que as opções padrão do setor.
• Sistemas de Deteção e Prevenção de Intrusões (IDPS): Lembra-se do ataque ao SolarWinds Orion que mencionei anteriormente? Esse desastre prolongou-se desde os ataques de sondagem no final de 2019 até à correção final disponibilizada em novembro de 2020. O seu CSP precisa de detetar o malware quando este surge e implementar uma correção o mais rapidamente possível.
• APIs Seguras: A interface é um ponto fraco em qualquer sistema. Certifique-se de que dispõe de uma API segura que utilize algo robusto, como o QAuth ou o Google Cloud Endpoints, com a validação adequada para manter a sua interface vulnerável protegida.
• Precauções contra DDoS: As ameaças cibernéticas de negação de serviço distribuída (DDoS) são tão antigas como o Morris Worm. É extremamente fácil para uma entidade maliciosa sobrecarregar a sua rede com chamadas intermináveis que consomem toda a sua largura de banda. A Cloudflare é líder do setor nesta área, com um historial sólido no tratamento de alguns dos maiores ataques DDoS alguma vez registados, que chegaram a atingir milhões de pedidos por segundo.
• Atualizações e Correções: O seu CSP gere ativamente o seu ecossistema de segurança da informação com correções e atualizações regulares que combatem as ameaças mais recentes? Surgem novas vulnerabilidades constantemente, e qualquer serviço na nuvem deve estar preparado para lidar com elas assim que são descobertas.
• Segmentação Adequada: Tal como os transatlânticos têm compartimentos abaixo do convés para o caso de embaterem num icebergue, os dados sensíveis exigem segmentação e os seus próprios conjuntos de segurança. Pode até aprofundar esta abordagem com a microsegmentação, que aplica protocolos de segurança exclusivos a caminhos individuais dentro dos processos.

Gestão dos Riscos de Fornecedores e de Terceiros

• Segurança de Fornecedores Terceiros: A maioria utiliza terceiros para algumas aplicações e para o armazenamento de dados, e todos eles precisam de ser sólidos. Certifique-se de que o seu CSP verifica os certificados de segurança de todos os seus contratantes, realiza auditorias de segurança regulares e, no mínimo, considera o historial de resposta a incidentes dos mesmos. Considere também a abordagem do fornecedor à encriptação, ao acesso aos dados e à notificação de violações.
• Segurança da Cadeia de Abastecimento: Todas as aplicações e redes são uma cadeia de produtos e serviços, e uma vulnerabilidade em qualquer ponto dessa cadeia representa um risco para o utilizador final, ou seja, para si. O seu CSP precisa de verificar toda a cadeia e validar os certificados de segurança em ambas as direções.
• Planeamento e Resposta a Incidentes: Acontecem coisas más a redes bem protegidas, pelo que o seu fornecedor deve ter um plano de resposta a incidentes bem definido para lidar rapidamente com problemas emergentes. Pode tratar-se de um ataque informático, de um ataque DDoS, de uma deteção de malware, de proteção contra ransomware ou de qualquer outra situação.

Segurança Física e Ambiental

• Controlos de Acesso Físico: Pensamos na segurança dos dados como encriptação e protocolos de acesso, mas o centro de dados também é um local físico que precisa de fechaduras e guardas de segurança. Os CTOs devem visitar os centros de dados do CSP para garantir que dispõem do nível adequado de segurança física.

• Controlos Ambientais: Os centros de dados também podem ser comprometidos por incêndios e inundações. Certifique-se de que o centro dispõe de um sistema adequado de supressão de incêndios com halon e de sistemas fiáveis de controlo da temperatura e da humidade. 
• Redundância e Cópias de Segurança: Por muito bem concebido que seja um centro de dados, acontecem coisas más. O seu CSP precisa de vários sistemas redundantes e de um plano de cópias de segurança para restaurar servidores danificados e dados perdidos. Os sistemas de alimentação ininterrupta (UPS) são padrão, e é ideal dispor de algum nível de proteção RAID personalizável.
• Tempos de Resposta e Recuperação: Normalmente, os fornecedores informam sobre os seus planos de resposta a incidentes e o calendário para os atualizar e testar. Certifique-se de que têm um plano de recuperação implementado que possa ser ativado com pouca antecedência. Analise o desempenho histórico do fornecedor, incluindo os dados relativos a interrupções e períodos de inatividade.

Suporte ao Cliente e Considerações Legais

• Suporte ao cliente: Verifique que tipo de suporte ao cliente o seu CSP oferece. Existem demasiados fornecedores com tempos de resposta lentos ou inexistentes. Certifique-se de que o seu oferece vários canais de comunicação, como telefone, chat, e-mail e até mensagens de texto.
• Documentação abrangente: Os serviços pelos quais está a pagar são complexos e uma documentação clara é fundamental para compreender aquilo a que se está a subscrever. Leia os guias de utilizador, manuais e protocolos publicados pelo fornecedor.
• Propriedade e portabilidade dos dados: Os dados são um ativo. Antes de assinar o contrato, certifique-se de que sabe quem é o proprietário dos dados alojados e qual é o seu grau de portabilidade. Caso contrário, pode acabar com aquilo que considera serem os seus próprios dados presos em servidores remotos e impossibilitados de serem transferidos.

• Transparência no tratamento dos dados e nas medidas de segurança: Precisa de ter visibilidade sobre a forma como os seus dados estão a ser tratados, e o seu fornecedor de segurança na nuvem deve colocar a transparência no topo da lista de prioridades. Tente estabelecer antecipadamente como os dados são armazenados e transferidos, que tipo de segurança está implementada e como estes sistemas são mantidos.
• Suporte jurídico após um incidente: Se os seus dados forem efetivamente comprometidos, poderá haver problemas jurídicos. Quanto suporte pode esperar do seu CSP? Vão fingir que nunca ouviram falar de si ou terá acesso à equipa jurídica deles? Vão assumir uma responsabilidade partilhada ou ficará por sua conta? Descubra e planeie em conformidade.

Melhores práticas na avaliação da segurança na nuvem

Realização de avaliações de risco exaustivas

• Identifique e classifique os ativos: Saiba o que está a migrar para a nuvem, faça um inventário completo e classifique tudo de acordo com a importância. Isso fornece uma lista de prioridades relativamente ao que necessita da melhor segurança.
• Avalie as vulnerabilidades e ameaças: Nenhuma solução de um fornecedor de segurança na nuvem é infalível, e proteger-se contra uma ameaça torna-o vulnerável a outra. Conheça os seus pontos fracos expostos melhor do que os hackers e esteja atento às ameaças específicas ativas em cada momento.
• Avalie o impacto em comparação com a probabilidade: Os problemas menores são comuns e as ameaças graves são raras. Por outro lado, um pequeno erro provavelmente não terá grande importância, enquanto uma violação grave poderá obrigá-lo a encerrar as operações. Pondere a probabilidade de uma ameaça face à sua gravidade e planeie em conformidade.
• Decida quais os controlos: Escolha a sua solução de segurança de acordo com a avaliação das ameaças. É provável que acabe por ter uma combinação equilibrada de controlos de acesso, ferramentas de monitorização e encriptação na nuvem e do seu lado.
• Mantenha uma avaliação de risco contínua: Os ambientes de ameaças mudam, por vezes diariamente, e tem de acompanhar essas mudanças. Mantenha uma visão continuamente atualizada daquilo contra que se está a proteger e esteja sempre preparado para efetuar alterações.

Revisão dos acordos de nível de serviço

• Conheça as obrigações do seu CSP: O fornecedor está a comprometer-se a prestar-lhe um serviço e é do seu interesse conhecer tudo o que isso implica. Estabeleça desde o início aquilo com que está disposto a comprometer-se relativamente à disponibilidade, ao desempenho e à resposta aos pedidos de suporte.
• Conheça as soluções e penalizações disponíveis: Suponha que o CSP fica aquém do esperado de alguma forma e que tem de procurar uma compensação pela falha no desempenho. Dispõe de um conjunto claro de soluções previamente definido? Normalmente, isso traduz-se em penalizações financeiras ou descontos em serviços futuros.
• Estabeleça a escalabilidade e a flexibilidade: É inevitável que cresça após a mudança, por isso certifique-se de que o seu novo ambiente de computação na nuvem tem espaço para si. O serviço consegue aumentar e reduzir rapidamente a sua capacidade? O que acontece quando cresce muito rapidamente? Tem a opção de atualizar o serviço sem problemas ou fica preso a um único contrato?
• Planeie várias estratégias de saída: Saiba antecipadamente como sair. Se alguma vez tiver de terminar a relação, certifique-se de que tem um plano de migração de dados dos servidores do fornecedor para um local seguro, mesmo que seja apenas outro fornecedor de SaaS. 

Utilize as ferramentas que tem para avaliar a segurança na nuvem

• Quadros de referência do setor: Já existem algumas ferramentas de âmbito setorial para avaliar problemas de segurança num CSP, como a Matriz de Controlos da Nuvem (CCM) da CSA e o Quadro de Cibersegurança do NIST. Utilize-as como parte da sua lista de verificação de pré-migração.
• Ferramentas automatizadas: Existem também algumas ferramentas avançadas que pode experimentar e que automatizam o processo de análise de vulnerabilidades e dos requisitos de conformidade regulamentar. Não tenha receio de as utilizar, uma vez que normalmente compensam o preço.
• Gestão da postura de segurança na nuvem (CSPM): O CSPM pode procurar riscos que ainda não detetou e tomar medidas ativas para o proteger antes de estes chegarem às portas dos seus servidores. Inclua esta abordagem na sua postura geral perante as ameaças.

Segurança em primeiro lugar para CTOs

Como pode ver, há muito a considerar para realizar uma migração segura para a nuvem. Muitos dos maiores fornecedores, nomeadamente a Microsoft Azure, tratarão de alguns destes problemas por si, mas cabe-lhe verificar se tudo está em ordem.

Partilhei as minhas melhores práticas para avaliar a segurança dos fornecedores de serviços de nuvem, mas existem mais recursos sobre segurança na nuvem disponíveis. Também pode subscrever o nosso boletim informativo para receber as informações mais recentes de CTOs.