A segurança na nuvem é um conjunto de procedimentos e tecnologias projetados para enfrentar as ameaças externas e internas à segurança empresarial. As organizações precisam de segurança na nuvem ao evoluírem para sua estratégia de transformação digital e incorporarem ferramentas e serviços baseados na nuvem como parte de sua infraestrutura.

Os termos transformação digital e migração para a nuvem têm sido usados com frequência em ambientes corporativos nos últimos anos. Embora possam significar coisas diferentes para organizações diferentes, cada um é impulsionado por um denominador comum: a necessidade de mudança.

À medida que as empresas adotam esses conceitos e avançam em direção à otimização de sua abordagem operacional, novos desafios surgem ao equilibrar os níveis de produtividade e segurança. Enquanto as tecnologias mais modernas ajudam as organizações a ampliarem suas capacidades além dos limites da infraestrutura local, a transição principalmente para ambientes baseados na nuvem pode ter várias implicações se não for feita com segurança.

Atingir o equilíbrio certo requer um entendimento de como as empresas modernas podem se beneficiar do uso de tecnologias de nuvem interconectadas enquanto implementam as melhores práticas de segurança na nuvem.

A "nuvem" ou, mais especificamente, a "computação em nuvem" refere-se ao processo de acesso a recursos, software e bancos de dados pela Internet e além dos limites das restrições de hardware locais. Esta tecnologia dá às organizações flexibilidade ao escalar suas operações, descarregando uma parte, ou a maioria, de sua gestão de infraestrutura em provedores de hospedagem terceirizados.

Os serviços de computação em nuvem mais comuns e amplamente adotados são:

• IaaS (Infraestrutura como Serviço): uma abordagem híbrida, em que as organizações podem gerenciar alguns de seus dados e aplicações no local, ao mesmo tempo em que contam com provedores de nuvem para gerenciar servidores, hardware, redes, virtualização e necessidades de armazenamento.
• PaaS (Plataforma como Serviço): confere às organizações a capacidade de simplificar o desenvolvimento e a entrega de suas aplicações, fornecendo uma estrutura de aplicação personalizada que gerencia automaticamente os sistemas operacionais, atualizações de software, armazenamento e infraestrutura de suporte na nuvem.
• SaaS (Software como Serviço): software baseado em nuvem hospedado on-line e normalmente disponível por assinatura. Fornecedores terceirizados gerenciam todos os problemas técnicos potenciais, tais como dados, middleware, servidores e armazenamento, minimizando os gastos com recursos de TI e simplificando as funções de manutenção e suporte.

Nas empresas modernas, tem havido uma transição crescente para ambientes baseados em nuvem e modelos de computação IaaS, Paas ou SaaS. A natureza dinâmica da gestão de infraestrutura, especialmente em aplicações e serviços em escala, pode trazer uma série de desafios para as empresas quanto ao fornecimento de recursos adequados a seus departamentos. Estes modelos "como serviço" permitem às organizações descentralizar muitas das tarefas demoradas, relacionadas a TI.

Com empresas continuando a migrar para a nuvem, é essencial compreender os requisitos de segurança para manter os dados seguros. Embora os provedores de computação em nuvem terceirizados possam assumir o gerenciamento dessa infraestrutura, a responsabilidade pela segurança e pela prestação de contas dos ativos de dados não necessariamente muda junto com ela.

Por padrão, a maioria dos provedores de nuvem segue as melhores práticas de segurança e adota medidas concretas para proteger a integridade de seus servidores. Entretanto, as organizações precisam fazer suas próprias considerações ao proteger dados, aplicações e cargas de trabalho em execução na nuvem.

As ameaças à segurança se tornaram mais avançadas à medida que o cenário digital evolui. Essas ameaças visam explicitamente os provedores de computação em nuvem devido à falta de visibilidade geral de uma organização no acesso e na movimentação de dados. Sem tomar medidas ativas para melhorar sua segurança na nuvem, as organizações podem enfrentar riscos significativos de controle e conformidade ao gerenciar as informações dos clientes, independentemente de onde elas estejam armazenadas.

A segurança na nuvem deve ser um tema importante de discussão, independentemente do tamanho de sua empresa.  A infraestrutura em nuvem suporta quase todos os aspectos da computação moderna em todos os setores e em várias verticalidades.

Entretanto, o sucesso da adoção da nuvem depende da implementação de contramedidas adequadas para se defender contra os ataques cibernéticos atuais. Independentemente de sua organização operar em um ambiente de nuvem pública, privada ou híbrida, as soluções de segurança na nuvem e as melhores práticas são necessárias para garantir a continuidade dos negócios.

Falta de visibilidade
É fácil perder a noção de como seus dados estão sendo acessados e por quem, já que muitos serviços em nuvem são acessados fora das redes corporativas e por meio de terceiros.

Multilocação (multitenancy)
Ambientes em nuvem pública abrigam infraestruturas de vários clientes sob o mesmo guarda-chuva, de modo que é possível que seus serviços hospedados possam ser comprometidos por atacantes maliciosos como danos colaterais de ataques à outras empresas.

Gerenciamento de acesso e TI de sombra (shadow IT)
Embora as empresas consigam gerenciar e restringir com sucesso os pontos de acesso em sistemas locais, administrar esses mesmos níveis de restrições pode ser um desafio em ambientes de nuvem. Isso pode ser perigoso para organizações que não implementam políticas de "bring-your-own device" (BYOD) e permitem o acesso não filtrado a serviços na nuvem a partir de qualquer dispositivo ou geolocalização.

Conformidade
A gestão da conformidade regulamentar é muitas vezes uma fonte de confusão para as empresas que utilizam implementações em nuvem pública ou híbrida. A responsabilidade geral pela privacidade e segurança dos dados ainda é da empresa, e a grande dependência de soluções de terceiros para gerenciar esse componente pode levar a questões de conformidade dispendiosas.

Erros na configuração
Ativos mal configurados foram responsáveis por 86% dos registros violados em 2019, tornando o informante interno involuntário uma questão-chave para os ambientes de computação em nuvem. Os erros na configuração podem incluir manter senhas administrativas padrão, ou a não criação de configurações de privacidade apropriadas.

Gerenciamento de identidade e acesso (IAM)
As ferramentas e os serviços de Gerenciamento de acesso e identidade (IAM) permitem que as empresas implementem protocolos de aplicação de políticas para todos os usuários que tentam acessar tanto os serviços no local quanto os serviços baseados em nuvem. A principal funcionalidade do IAM é criar identidades digitais para todos os usuários para que possam ser monitorados corretamente e restringidos quando necessário durante todas as interações de dados.

Prevenção contra perda de dados (DLP)
Os serviços de prevenção contra perda de dados (DLP) oferecem um conjunto de ferramentas e serviços projetados para garantir a segurança dos dados regulados na nuvem. As soluções de DLP utilizam uma combinação de alertas de remediação, criptografia de dados e outras medidas preventivas para proteger todos os dados armazenados, estejam em repouso ou em movimento.

Gerenciamento de informações de segurança e eventos (SIEM)
O Gerenciamento de informações de segurança e eventos (SIEM) constitui uma solução abrangente de orquestração de segurança que automatiza o monitoramento, a detecção e a resposta a ameaças em ambientes baseados em nuvem. Usando tecnologias impulsionadas pela inteligência artificial (IA) para correlacionar dados de registro em múltiplas plataformas e ativos digitais, a tecnologia SIEM permite que as equipes de TI apliquem com sucesso seus protocolos de segurança de rede e, ao mesmo tempo, consigam reagir rapidamente a qualquer ameaça potencial.

Continuidade dos negócios e recuperação de desastres
Independentemente das medidas preventivas que as organizações tenham em vigor para suas infraestruturas locais e baseadas na nuvem, ainda podem ocorrer violações de dados e interrupções de fornecimento de dados. As empresas precisam conseguir reagir rapidamente a vulnerabilidades recém-descobertas ou interrupções significativas do sistema o mais rápido possível. As soluções de recuperação de desastres são um ponto fundamental na segurança da nuvem e fornecem às organizações as ferramentas, os serviços e os protocolos necessários para acelerar a recuperação dos dados perdidos e retomar as operações comerciais normais.

A maneira de abordar a segurança na nuvem é diferente para cada organização e pode depender de muitas variáveis. Entretanto, o National Institute of Standards and Technology (NIST) dos Estados Unidos fez uma lista de melhores práticas que podem ser seguidas para estabelecer uma estrutura segura e sustentável de computação em nuvem.

O NIST criou os passos necessários para que cada organização avalie sua preparação de segurança e aplique medidas de segurança de prevenção e recuperação adequadas para seus sistemas. Estes princípios são construídos sobre os cinco pilares do NIST de uma estrutura de cibersegurança: identificar, proteger, detectar, responder e recuperar.

Outra tecnologia emergente em segurança na nuvem que suporta a execução do framework de cibersegurança do NIST é o gerenciamento da postura de segurança na nuvem (cloud security posture management, CSPM). As soluções de CSPM são projetadas para lidar com uma falha comum em muitos ambientes de nuvem: os erros de configuração.

As infraestruturas em nuvem que permanecem mal configuradas pelas empresas ou mesmo pelos provedores de nuvem podem levar a diversas vulnerabilidades que aumentam significativamente a superfície de ataque de uma organização. O CSPM aborda essas questões ajudando a organizar e implementar os componentes centrais da segurança na nuvem. Eles incluem gerenciamento de identidade e acesso (IAM), gerenciamento de conformidade regulamentar, monitoramento de tráfego, resposta a ameaças, mitigação de riscos e gerenciamento de ativos digitais.