A segurança de dados à prova de futuro. Mas qual futuro?

Por Paolo Passeri, diretor de inteligência cibernética da Netskope

Salvador, 27/07/2020 – No final deste ano, pesquisadores holandeses esperam concluir a internet quântica entre as cidades de Delft e Haia na Holanda. As partes interessadas afirmam que será a primeira ‘internet inatacável’, numa comparação ao comportamento quântico de partículas atômicas conhecidas como emaranhamento de fótons. É uma novidade na área de pesquisa e desenvolvimento (P&D), no entanto, as técnicas utilizadas só podem percorrer distâncias inferiores a 1,5 km no momento. Ou seja, levará pelo menos uma década para que possamos ter a primeira rede global.

Esse cenário futurista da segurança de dados enviados de ponta-a-ponta está muito distante e desvinculado da realidade atual. Não é algo particularmente útil para as empresas que lidam com os requisitos da próxima década – tão pouco será útil para proteger qualquer coisa na nuvem, pois quando você sair da zona de conforto, enfrentará os riscos no padrão de hackers.

Então, quais aspectos os gerentes de segurança e rede devem estar atentos no futuro imediato, ao considerar o acesso aos dados e as suas arquiteturas de segurança?

Para muitas organizações, a arquitetura de segurança não mudou muito nos últimos anos. As redes ficaram rápidas e inteligentes, as aplicações estão sendo entregues de maneiras totalmente novas, mas a segurança continua a ocorrer, principalmente, on premise em uma caixinha física – o que está se mostrando impraticável e não escalonável, forçando os engenheiros de rede e de segurança a assumirem compromissos impossíveis.

Há um velho ditado que diz “se Maomé não vai à montanha, a montanha vai a Maomé’. Ou seja, esta é a década em que vamos parar de esperar que nossos dados em crescimento ‘façam check-in’ em um hub de segurança e, em vez disso, esperamos que a segurança siga esses dados em expansão.  O que além de lógico, também facilita as coisas.

Por que a segurança deve alcançar os dados na nuvem?

No geral, uma organização utiliza 2.415 serviços na nuvem e apps. E, em 2019, 44% de todas as ameaças cibernéticas foram ativadas na nuvem. Estamos acostumados a ver apps em nuvem não autorizados como uma ameaça à segurança. Mas, na realidade, as aplicações com mais ameaças rastreadas contra elas são regularmente sancionadas para uso corporativo: Office365 OneDrive, Box e Google Drive. Elas são populares entre os agentes mal-intencionados, especificamente porque são autorizadas pelas empresas e, muitas vezes, estão na lista de permissões, ativadas com soluções tradicionais e insatisfatórias de segurança tradicionais ou, às vezes, deixadas totalmente abertas. Infelizmente, é muito fácil escapar das defesas legadas.

A adoção da nuvem também traz limites de fronteiras para os quais as defesas legadas não dão conta, devido à falta de visibilidade ou aos controles grosseiros de permissão/bloqueio sem entendimento do contexto. Os dados podem fluir entre empresas e instâncias pessoais de apps em nuvem; entre apps gerenciados e não-gerenciados em nuvem e ainda entre apps aprovados de baixo risco e não aprovados de alto risco na nuvem.

Atualmente, mais da metade de todas as sessões de tráfego corporativo na Web são baseadas na nuvem e exigem decodificação JSON (JavaScript Object Notation – formato leve para intercâmbio de dados) da API embutida para proteger dados com eficiência. Simplesmente não há como uma arquitetura de segurança policiar esse novo mundo, a menos que seja projetada para operar em linha.

Prevendo o futuro próximo

Vamos refletir sobre o Zero Trust Network Access. Por princípio o Zero Trust define que a confiança nunca deve estar implícita e o acesso é concedido de acordo com a necessidade atual, ou seja, de forma ‘menos privilegiada’. O conceito foi introduzido em 2010 e, com a expansão da nuvem, sua popularidade vem crescendo. Uma pesquisa recente da Cybersecurity Insiders (CSI) revela que 78% das organizações têm planos de adotar o ZTNA baseado em nuvem nos próximos 18 meses.

A ideia do Zero Trust é de não confiar em nada, dentro ou fora do perímetro da organização, sem antes verificar o usuário e o dispositivo. Aqui, novamente, encontramos um princípio que não pode funcionar sem uma alteração na arquitetura de segurança. Nesse sentido, é preciso que a segurança esteja presente e ativa em linha para que o Zero Trust Network Access se torne uma realidade.

Usuários remotos

As duas primeiras décadas do século XXI iniciaram com um evento que definirá o momento atual de várias maneiras. A Covid-19 já transformou a rotina como a conhecemos para a maioria da população global. Para as organizações, um dos primeiros efeitos dos vários lockdowns impostos por governos em todos os países foi a expansão de um dia para outro do trabalho remoto – algo que demonstra o quão inadequadas são as arquiteturas de segurança de acesso remoto (geralmente VPNs) na era da nuvem.

Nos meses que antecederam a pandemia, 39% dos participantes da pesquisa Cybersecurity Insiders já estavam relatando que não podiam implantar seu dispositivo VPN remoto preferido em ambientes de nuvem pública. Por esse motivo, a alternativa mais comum mencionada por eles foi a utilização de usuários remotos por meio de data centers para acessar nuvens públicas (47%). Isso tem um sério impacto na experiência do usuário, mas talvez o mais alarmante seja que 31% dos entrevistados também disseram que vão ao ponto de expor publicamente apps em nuvem para permitir o acesso remoto do usuário.

O Zero Trust se torna cada vez mais essencial às organizações que fornecem acesso remoto à nuvem pública ou privada. Quase metade (45%) dos participantes da pesquisa CSI disseram que garantir o acesso remoto a aplicações privadas hospedadas em nuvem pública (como AWS, Azure ou GCP) era uma prioridade de segurança. Quando entregue na nuvem, utilizando uma infraestrutura de rede global de alta capacidade, o ZTNA também pode permitir o acesso remoto escalável com objetivo de atender às necessidades de qualquer aumento acelerado nos requisitos para o trabalho remoto. Isso, sem diminuir o tempo de acesso ou de roteamento de dados.

Hoje, nossa realidade é muito diferente da de 2019. Algumas tendências aconteceram aos poucos, como a adoção da nuvem, e outras nos surpreenderam, mas todas apontam para a necessidade de uma transformação digital significativa na maneira como projetamos no futuro o acesso e arquiteturas de segurança. A era de transportar dados por meio de dispositivo de segurança acabou. A segurança deve seguir os dados. Temos que pensar de forma estratégica, holística e, principalmente, visionária – para estarmos prontos para qualquer futuro.