Seus dados estão seguros na nuvem? Pesquisa sugere que não

A McAfee, empresa de cibersegurança que vai dos dispositivos à nuvem, divulga seu Relatório de Adoção e Risco da Nuvem, que analisou bilhões de eventos no uso da nuvem na produção por clientes anônimos para avaliar o estado atual das implantações em nuvem e identificar riscos.

O relatório revelou que quase um quarto dos dados na nuvem pode ser categorizado como confidenciais, colocando uma organização em risco, caso sejam roubados ou vazados. Além disso, considerando que o compartilhamento de dados confidenciais teve um aumento anual de 53%, aqueles que não adotam uma estratégia de nuvem, que inclui proteção contra perda de dados, auditorias de configuração e controles de colaboração, colocarão em risco a segurança de seus ativos mais valiosos, ou seja, os dados, além de expor-se a um risco maior de não conformidade com regulamentos internos e externos.

O estudo constatou que, embora as organizações usem amplamente a nuvem pública para criar novas experiências digitais para seus clientes, as empresas têm, em média, mais de 2.200 incidentes de configuração incorreta por mês em suas instâncias de infraestrutura como serviço (IaaS) e plataforma como serviço (PaaS).

Os provedores de serviços de nuvem se responsabilizam apenas pela segurança da própria nuvem e não dos dados do cliente ou do uso que o cliente faz da infraestrutura e das plataformas. As empresas são sempre responsáveis por proteger seus dados onde quer que eles estejam, por isso, é importante ressaltar a necessidade de implantar soluções de segurança que abrangem toda a gama de serviços de nuvem, incluindo SaaS (software como serviço), IaaS e PaaS.

“Operar na nuvem se tornou o novo padrão para as organizações, tanto que nossos colaboradores não pensam duas vezes antes de armazenar e compartilhar dados confidenciais na nuvem”, afirma Rajiv Gupta, vice-presidente sênior de negócios de segurança na nuvem da McAfee. “Há um número cada vez maior de compartilhamentos acidentais, erros de colaboração em SaaS, erros de configuração em serviços IaaS/PaaS e ameaças. Para continuar impulsionando seus negócios, as organizações precisam de uma forma direta e integrada à própria nuvem de proteger seus dados de forma consistente e defender-se contra as ameaças em toda a gama de serviços SaaS, IaaS e PaaS.”

Colaboração na nuvem

Os serviços de nuvem trazem uma oportunidade incrível para impulsionar os negócios, graças à sua escalabilidade imediata, permitindo que as empresas gerenciem seus recursos com agilidade e ofereçam novas oportunidades de colaboração. Serviços de nuvem, como o Box, e pacotes de produtividade, como o Office 365, são usados para aumentar a eficácia da colaboração. No entanto, a cooperação é sinônimo de compartilhamento, e o compartilhamento não controlado pode resultar na exposição de dados confidenciais.

As descobertas mostram que:

22% de usuários da nuvem compartilham arquivos externamente (um aumento anual de 21%);
O compartilhamento de dados confidenciais com o uso de links públicos teve um aumento anual de 23%;
Os casos de envio de dados confidenciais para e-mails pessoais também tiveram um aumento anual de 12%.

Como se proteger?

Para proteger os dados confidenciais no armazenamento em nuvem e em aplicativos de colaboração e compartilhamento de arquivos, as organizações primeiro devem saber quais serviços de nuvem estão sendo usados e armazenando seus dados confidenciais, bem como identificar como esses dados estão sendo compartilhados e com quem.

Após adquirirem essa visibilidade, as organizações podem aplicar as políticas de segurança adequadas para proibir que dados altamente confidenciais sejam armazenados em serviços de nuvem não aprovados e implementar medidas de segurança que impeçam o compartilhamento não autorizado de dados confidenciais nos serviços de nuvem aprovados, como quando os dados são enviados para endereços de e-mail pessoais ou compartilhados com o uso de links públicos.

Configurações incorretas

Quando um SaaS é utilizado, a proteção dos dados, da identidade do usuário e do acesso aos dados são essencialmente uma responsabilidade do cliente. No caso de serviços de IaaS, os clientes assumem uma parcela muito maior da responsabilidade pela segurança, que abrange dados, identidade, acesso, aplicativos, controles de rede e infraestrutura de hospedagem.

Embora isso proporcione aos clientes maior controle sobre sua infraestrutura de nuvem, também aumenta a exposição da organização a riscos de segurança e sua responsabilidade por saná-los. Provedores de IaaS, como a Amazon Web Services (AWS), oferecem vários serviços de infraestrutura e plataforma, cada um com configurações de segurança avançadas e complexas. Para agravar o desafio de segurança dos serviços de IaaS/PaaS, as organizações usam vários fornecedores de IaaS/PaaS, executando várias instâncias do produto de cada fornecedor. Nossa pesquisa revelou que:

· 94% do uso de IaaS/PaaS é atribuído à AWS, mas 78% das organizações que usam IaaS/PaaS usam a AWS e o Azure ao mesmo tempo.

· Grandes empresas têm uma média de 14 instâncias de IaaS/PaaS configuradas incorretamente em execução ao mesmo tempo, resultando em mais de 2.200 incidentes de configuração incorreta individuais por mês

· 5,5% dos buckets do AWS S3 têm permissões de leitura mundial, sendo assim abertos para o público

A McAfee recomenda que as organizações auditem e monitorem continuamente suas configurações da AWS, do Azure, do Google Cloud Platform e de outros serviços de IaaS/PaaS como uma prática de segurança padrão, além de proteger os dados armazenados em plataformas de IaaS/PaaS. O uso dos serviços de IaaS/PaaS está crescendo rapidamente como uma alternativa aos data centers locais. As empresas precisam ser proativas e lidar com suas responsabilidades de segurança antes que os incidentes de segurança ocorram. Isso inclui medidas de proteção de dados e defesa contra ameaças semelhantes àquelas aplicadas aos serviços de nuvem SaaS, bem como conformidade de configurações e proteção de cargas de trabalho para serviços de nuvem IaaS/PaaS.

Contas comprometidas e ameaças internas

A maioria das ameaças aos dados na nuvem estão associadas a contas comprometidas e a ameaças internas. As organizações geram, em média, mais de 3,2 bilhões de eventos por mês na nuvem, dos quais 3.217 consistem em comportamentos anormais e 31,3 são eventos de ameaça reais. Além disso:

· Os eventos de ameaças na nuvem, como contas comprometidas, usuários privilegiados ou ameaças internas, tiveram um aumento anual de 27,7%

· 80% de todas as organizações tiveram pelo menos uma ameaça de conta comprometida por mês

· 92% de todas as organizações têm credenciais de nuvem roubadas para venda na Dark Web

· As ameaças no Office 365 tiveram um aumento anual de 63%

Para proteger-se contra essas contas comprometidas e ameaças internas, as organizações devem entender como os serviços de nuvem são usados. Elas também devem identificar comportamentos anormais, como quando o mesmo usuário acessa a nuvem de vários lugares diferentes ao mesmo tempo, o que pode indicar uma ameaça de conta comprometida.

Como um primeiro passo para proteger os dados na nuvem, agentes de segurança de acesso na nuvem (CASBs) devem ser implementados. Os CASBs são serviços nativos integrados à nuvem que aplicam políticas de segurança, conformidade e governança aos serviços de nuvem. Eles ajudam as organizações a aproveitar e ampliar seus controles de segurança atuais, bem como a definir e implantar novos controles nativos integrados à nuvem, quando necessário, para permitir que as empresas protejam seus dados de forma consistente e se defendam contra as ameaças em toda a gama de serviços de SaaS, IaaS e PaaS.