Estudo mostra como evoluir para a nuvem pública em segurança

Estudo realizado pela Mckinsey, em parceria com o Google Cloud, revelou essa semana que a nuvem pública oferece mais flexibilidade técnica, escala mais rápida e menor custos operacionais para empresas. A pesquisa “Making a secure transition to the public cloud”, produzida a partir de entrevistas com especialistas em segurança de TI de cerca de 100 empresas ao redor do mundo, traz também estratégias para que empresas migrem para a nuvem em segurança, ponto de decisão importante na hora da mudança.

Segundo o levantamento, a adoção de nuvem pública, quando implementada de maneira correta, pode reduzir de forma significativa o custo total de propriedade (TCO) da segurança de TI. Para isso, é preciso que empresas e fornecedores de cloud trabalhem colaborativamente e com transparência em torno de um modelo compartilhado de segurança.

“O mais animador é ver que muitos Diretores de Segurança da Informação (CISOs) não vêem mais a segurança como um inibidor para a adoção da nuvem, mas sim uma oportunidade”, afirma Maya Kaczorowski, Gerente de Produto do Google Cloud. 80% das empresas que escolhem um provedor de nuvem confiável acabam vendo economia de custos, um dos principais motivos que tem acelerado a aderência de empresas à nuvem pública.

Se você está planejando uma migração para a nuvem pública, em quais pontos você deve focar seus esforços de segurança?

A pesquisa feita pela McKinsey, com apoio do Google Cloud, perguntou aos participantes sobre suas iniciativas para aplicar controles de segurança na nuvem em diversas áreas, para descobrir o que as empresas estão fazendo. Veja abaixo os resultados:

  • Gerenciamento de identidade e acesso (IAM ): 60% das empresas estão usando soluções IAM localmente; em apenas três anos, os entrevistados esperam que esse número seja reduzido pela metade.
  • Criptografia: a maioria dos entrevistados criptografa dados em repouso e em trânsito – mais de 80% disseram que adotarão nos próximos três anos.
  • Segurança perimetral: hoje, 40% das empresas estão redirecionando o tráfego de dados e usando controles de segurança existentes na rede local, mas isso diminuirá, com apenas 13% esperando usar a mesma abordagem em três anos.
  • Segurança do aplicativo: 65% dos entrevistados definem padrões de configuração de segurança para aplicativos baseados em nuvem, mas menos de 20% executam ferramentas ou aplicações neste modelo.
  • Monitoramento operacional: 64% dos entrevistados usam ferramentas SIEM existentes para monitorar aplicativos em nuvem, em vez de criar um novo conjunto para este ambiente.
  • Endpoints do servidor: 51% dos entrevistados têm um alto nível de confiança na abordagem do provedor de serviços da nuvem para a segurança do servidor.
  • Parâmetros de usuário: 70% dos entrevistados acreditam que a adoção da nuvem pública exigirá mudanças nos terminais de trabalho dos usuários.
  • Governança regulatória: ao adotar a nuvem pública as empresas devem navegar alinhadas com os requisitos de governança e conformidade, sendo que localização de dados e regulamentações financeiras estão no topo da lista de preocupações dos entrevistados.

O relatório também inclui um plano tático de 10 passos para migração bem sucedida para a nuvem. Para saber mais, confira o estudo na íntegra.

Especialistas alertam para aumento dos riscos cibernéticos

O avanço da internet das coisas, em que tudo está interligado, amplia as oportunidades para os invasores, mas o maior facilitador desse trabalho são os próprios usuários que não são educados para lidar com a tecnologia. A afirmação foi unânime entre os participantes do Cyber Security View, encontro sobre riscos cibernéticos da corretora de seguro e resseguro JLT Brasil, realizado em São Paulo.

O consultor em segurança cibernética Greg Epiphaniou afirmou que as pessoas são o elo mais frágil na cadeia que as une à tecnologia. Apenas 10% dos 100 mil novos usuários que chegam diariamente na Internet se comportam de forma segura online. “Até 2020, teremos 50,1 bilhões de aparelhos conectados, então o vetor dos ataques cresce exponencialmente. O avanço da mobilidade aumenta a complexidade e segurança detesta complexidade. Os criminosos cibernéticos são organizados, por isso, precisamos também organizar a defesa e fazer uma reengenharia na nossa segurança”, sinalizou.

Em um teste de intrusão, o mestre em computação forense, cibersegurança e contra-terrorismo, Rafael Narezzi, pode demonstrar em 15 segundos uma variável de ataque virtual e alertou para a facilidade de contratação de programas e de serviços desse tipo. “A vulnerabilidade mais comum entre os usuários é deixar as senhas salvas, por exemplo. Facilidades desse tipo criam oportunidades e podem fazer dele uma porta para o roubo de dados não só dele, mas de uma empresa ou instituição”, explicou.

Para ele, assim como para os outros palestrantes, não é possível estar 100% seguro. “A vulnerabilidade faz parte do mundo online, mas a segurança tem que estar na essência do processo de inovação. Essa exigência também tem que partir dos consumidores porque hoje pela Internet é possível contratar uma invasão ou um software para isso”, completou.

Ao falar sobre o cenário de risco no Brasil e o que é necessário para a previsibilidade no ambiente de negócios, o especialista em segurança cibernética, Ricardo Tavares disse que nos próximos três anos o crime cibernético vai provocar um prejuízo anual no mundo na ordem de 6 trilhões de dólares e que as empresas não devem negligenciar os problemas por menores que sejam. “Os impactos são causados em vários processos de negócios paralisando o faturamento, a logística, a operação e, principalmente, afetando a imagem da companhia porque há riscos que são intangíveis”, afirmou. Tavares revelou que o Retorno do Investimento (ROI – na sigla em inglês) do crime organizado virtual é de 1.500%. “Nenhum negócio é tão rentável quanto esse. Para cada dólar investido, são ganhos 1.500 dólares. Então vemos crescer uma indústria criminosa global, que tem financiadores e bandidos migrando do crime físico para virtual porque as penas e os riscos são menores”.

As principais consequências dos riscos cibernéticos para as empresas são: perda de reputação, interrupção do negócio, danos que serão pagos por perder dados e clientes e perda de segredos comerciais. Estudos apontam que os funcionários são os responsáveis por causarem os maiores riscos paras as companhias, o que demonstra a ausência de uma consciência digital. Ao mesmo tempo, uma pesquisa global da KPMG mostra que 74% das empresas admitem não estar totalmente preparadas para uma eventual violação de dados pelos próprios colaboradores. E isso pode acontecer em empresas de qualquer porte. “Informações geram vantagens competitivas. O roubo de base de dados entre concorrentes já aconteceu no Brasil e tende a aumentar. A educação digital para a adesão de um comportamento seguro é uma das formas de diminuir a exposição das companhias. O usuário costuma clicar antes de pensar. Por isso, a segurança tem que fazer parte do processo da gestão das empresas”, disse Tavares.

Risco corporativo

A atuação de terroristas virtuais e hacktivistas (ativistas políticos do mundo cibernético) também é uma das grandes ameaças contra as empresas. O ataque aos ativos intangíveis de uma companhia tem relação direta com os tangíveis em uma época de automação de todos os sistemas. A especialista em gestão de riscos cibernéticos da JLT Brasil, Marta Schuh, deu o exemplo de uma comporta de hidrelétrica que, controlada por um sistema, se for invadido pode inundar uma cidade.

Ela lembrou que o ataque do Wannacry gerou resgates baixos em bitcoins; em compensação as perdas globais foram em torno de 4 bilhões de dólares, decorrentes da interrupção de negócios durante dias. “Muitas vezes quando há um ataque de ramsonware a perda da empresa não está no valor do resgate, mas na consequência da interrupção de serviços prestados a seus clientes. O seguro pode ajudar a mitigar esses prejuízos”, explicou.

O seguro não substitui a segurança. “A apólice de seguro estrutura as perdas financeiras geradas pelo ataque, sejam elas por interrupção do negócio, por restituição dos dados e serviços ou em perdas consequente de litígios. O seguro vai cobrir danos a terceiros e à empresa, como despesas de investigação, danos à reputação, custos de notificação, perda de receita, restauração de dados, pagamento do resgate e danos físicos ”, concluiu Marta.

SOBRE A JLT BRASIL

A JLT – Jardine Lloyd Thompson – companhia inglesa integrante do Grupo Jardine Matheson – é uma das maiores empresas especializadas em gestão de riscos, corretagem de seguros e resseguros e consultoria em benefícios em todo o mundo. Com cerca de 11 mil funcionários e atuação em mais de 135 países. No Brasil, o grupo atua desde 1989 e está presente nas mais importantes cidades de todas as regiões do país. São mais de 450 colaboradores e escritórios localizados no Rio de Janeiro, São Paulo, Belo Horizonte, Curitiba, Fortaleza, Macaé, Porto Alegre, Recife, Uberlândia, capazes de atender a toda demanda nacional.