SASE: três passos para a segurança cibernética em nuvem

Com a necessidade de integrar soluções e diminuir custos, sem deixar de lado a preocupação com a cibersegurança, as empresas buscam cada vez mais por ferramentas que possam simplificar seus processos. O framework Secure Access Service Edge (SASE), em português Serviço de Acesso Seguro Edge, recomendado pela Gartner, é uma ótima referência.

Ao apresentar o planejamento de um projeto de cibersegurança para executivos, líderes, stakeholders ou auditores externos da empresa, é essencial mostrar alinhamento com as melhores práticas de mercado e referências do setor, sendo o SASE a principal novidade para fortalecer tais recomendações.

I – Entendendo o framework

O SASE é uma combinação de funções de segurança de rede para apoiar as necessidades dinâmicas de acesso seguro das organizações. Estas capacidades são fornecidas principalmente como serviços e baseadas na identidade da empresa, contexto em tempo real e políticas de segurança/conformidade.

Assim, essencialmente, o SASE é um novo framework de tecnologias com habilidades essenciais e capacidade de identificar dados sensíveis ou malware e a capacidade de decodificar conteúdo em tempo real, com monitoramento contínuo das sessões para níveis de risco e confiança.

O framework SASE apresenta uma estratégia combinada de funcionalidades de desempenho e segurança, associando soluções de arquitetura de rede e proteção sob plataformas de serviços baseada em nuvem. Esta combinação está alinhada com os objetivos de racionalização de fornecedores, seguindo tendências de redução da complexidade do ambiente tecnológico.

Um dos pontos positivos do framework SASE é o fato de englobar tanto desempenho quanto proteção. Com as aplicações sendo movidas ou desenvolvidas diretamente em cloud, é necessário que as equipes de desenvolvimento e segurança trabalhem em conjunto. Um dos resultados esperados com a implementação do framework é a consolidação de fornecedores, reduzindo complexidade, aumentando visibilidade e facilitando a gestão dos serviços contratados.

Assim, selecionar diferentes ferramentas para cada problema através de fornecedores distintos deixa de ser a melhor solução, sendo substituída pela busca de fornecedores que agreguem alta capacidade de resolução de problemas e que demonstrem que o trabalho em equipe traz resultados agregados mais eficientes.

II – Definindo seu plano e sua edge

A adaptação para um número menor de soluções é uma jornada longa e que levará tempo, já que as empresas contam com muitas das ferramentas em seu ambiente diário, portanto, a migração e consolidação para um número menor de soluções é um processo lento. Ao iniciar a estratégia de construção do framework, o primeiro desafio é definir onde está sua “edge” (borda). Para algumas empresas, a edge é o seu data center, para outras pode ser o ambiente em cloud. Atualmente, para muitas empresas ela será híbrida e, provavelmente, multi-cloud. 

Ao planejar uma estratégia SASE, é preciso pensar onde estão as interfaces com usuários e funcionários e onde os controles de segurança para estes dois agentes estão integrados. Tendo estabelecido sua edge, é hora de decidir sobre suas capacidades de desempenho e as ferramentas Network as a Services (NaaS) que serão fundamentais para o projeto. Na sequência, as capacidades de proteção (segurança) e as ferramentas de Network Security as a Service (NSaaS) que serão o foco.

O framework precisa de complementos, por isso é necessário olhar para características que sejam críticas para seu modelo de negócio que não estão incluídas nele, como por exemplo, proteger seu ambiente JavaScritpt de ataques de skimming (Magecart).

Dependendo do objetivo final, o foco nas capacidades deve ser diferente. Caso queira mudar para uma arquitetura independente de edge (borda), seu ponto de atenção deve ser CDN. Por outro lado, caso deseje manter a estrutura centralizada e os funcionários nos escritórios, seu foco deve ser em SD-WAN. Soluções de Software as a Service (SaaS) provavelmente farão composição com qualquer um destes objetivos.

Além disso, cada abordagem deve seguir um critério próprio de avaliação. Por exemplo, para CDN é necessário avaliar localização, número de POPs (capilaridade é um fator muito importante para estes serviços), relação com peerings internet, presença internacional, otimização e aceleração de rotas, capacidade de escala e capacidades baseadas em suas necessidades de negócio, como tratamento e otimização de imagens e vídeos.

Um parceiro com alta capacidade técnica em serviços de suporte e gestão são também itens de muita importância, uma vez que este terá relevância na qualidade da operação diária do negócio.

Há diversas capacidades relacionadas à proteção, e ambientes empresariais de grande porte precisarão de todas, lembrando que estruturas de tamanho diferentes têm necessidades diferentes. Do mesmo modo que na sessão de rede, são necessários critérios de avaliação distintos: possuem agentes consolidados? Há integração com sistema de gerenciamento de informações e eventos de segurança (SIEM)? Oferecem serviços como suporte de engenharia? 

III – Estabelecendo sua estratégia

Sabendo do que vai precisar, é necessário realizar uma revisão interna para determinar suas capacidades e lacunas atuais. Isto deve incluir a medição da maturidade de suas soluções e a quantificação de sua dívida técnica, ou seja, ferramentas que foram customizadas e não podem ser atualizadas. Com as informações do estado atual e os objetivos traçados para o projeto, é hora de definir uma estratégia. Esta é uma jornada, portanto, um projeto em várias fases. 

Cada empresa precisará personalizar sua estratégia com base em seus riscos e capacidades de controles de segurança atuais. Durante a avaliação, alguns fatores devem ser considerados para seus possíveis fornecedores, como se há suporte para um modelo multi-tenant, se tratam de questões de compliance em todas as localidades em que você opera,  nível de esforço para implantar e operar a plataforma, os serviços suportados, a probabilidade de que eles continuem no mercado em 5 a 10 anos e se há um histórico de entrega em seus roadmaps.

À medida que o projeto é construído, alguns dos benefícios de combinar proteção e desempenho em uma plataforma de fornecedor incluem a redução na complexidade e nos custos através da consolidação do fornecedor, assim como a redução da latência e melhora da experiência do usuário através do processamento na edge, o aumento da visibilidade de ameaças através de um único portal, posicionamento na última geração de proteções projetadas para seu ambiente edge, a simplificação da gestão de fornecedores enquanto melhora a conformidade, além da prevenção de sobrecarga da engenharia enquanto otimiza as capacidades e novos cenários de negócios digitais através de maior flexibilidade e resiliência.

É claro que ainda há riscos a se considerar. A preocupação mais comum é “todos os meus ovos em uma cesta”. Mas, devemos lembrar que este pensamento é o que levou a ambientes com muita complexidade e custo, e que as empresas estão revertendo essa abordagem atualmente. Outra é em torno da turbulência do mercado com aquisições e capacidades que são novas. É preciso avaliar quando é o momento certo para mudar, sabendo que ninguém hoje ofereça todas as capacidades necessárias. 

O SASE é um framework poderoso que você deve considerar. Ele fornecerá a estrutura para definir sua vantagem, além de integrar, executar e proteger controles em uma plataforma. O framework tem como foco principal a proteção da empresa e funcionários, sendo sua abordagem direcionada para o ambiente edge (borda). Portanto, para a solução do projeto ser completa é necessário ainda definir complementos para proteção de endpoints e de resposta para incidentes de rede.  

A complexidade é inimiga da segurança e o SASE vai ajudar a eliminá-la enquanto melhora a experiência do usuário e funcionários. Assim como o ano de 2020, os próximos vão nos ensinar que precisamos ser flexíveis e nos adaptar rapidamente às mudanças nos modelos de negócio. As estratégias devem ser integradas para que possamos responder rapidamente às necessidades do negócio e manter a competitividade.

* Helder Ferrão, gerente de marketing de indústrias para América Latina na Akamai