O que a segurança de dados na nuvem abrange
A segurança de dados na nuvem cobre dados em três estados. Os dados em repouso ficam no armazenamento em nuvem e em serviços de colaboração. Os dados em trânsito se movem entre dispositivos, a rede corporativa e esses serviços. O plano de controle abrange contas, funções, chaves e registros. Ele define quem acessa os dados e se esse acesso pode ser comprovado.
O escopo depende do modelo de serviço. Na infraestrutura como serviço, o cliente gerencia sistemas operacionais, aplicações e a maior parte das configurações da camada de dados. No software como serviço, o provedor executa quase tudo, e o cliente gerencia principalmente identidades e o que os usuários podem fazer. Quanto mais o provedor controla, mais o risco se resume a configuração e comportamento do usuário.
Controle de upload por serviço de nuvem
Cada serviço de armazenamento em nuvem, inclusive sua versão web, pode ser configurado em modo de acesso, auditoria ou shadow copy. O módulo de controle de armazenamento em nuvem aplica esses modos separadamente a cada serviço.
1 / 2
O modelo de responsabilidade compartilhada
Todo grande provedor publica um modelo de responsabilidade compartilhada. O provedor responde pela própria nuvem: hardware, segurança física e disponibilidade. O cliente continua responsável pelos dados na nuvem: classificação, decisões de acesso, configuração e o que os usuários fazem nos serviços. Nenhum provedor cobre um contêiner deixado público, um link de compartilhamento direcionado de forma errada ou um funcionário que exporta registros para uma conta pessoal.
A maioria dos incidentes com dados na nuvem não é causada por falha do provedor. Eles acontecem quando o cliente presume que o provedor cuidou de algo que era de responsabilidade do cliente. O primeiro passo de qualquer programa é mapear a matriz de responsabilidade de cada serviço sobre os controles da organização.
Configuração incorreta: a falha mais comum
A configuração incorreta é, de forma consistente, a principal causa de exposição de dados na nuvem. Ambientes de nuvem mudam mais rápido que os ciclos de revisão, recursos são criados para um sprint ou uma migração, e a exceção vira permanente. Os padrões recorrentes:
| Padrão | O que dá errado |
|---|---|
| Armazenamento público | Buckets e contêineres com leitura pública, esquecidos após um compartilhamento pontual |
| Compartilhamento excessivamente permissivo | Links abertos a quem tiver o link, em vez de destinatários nomeados |
| Credenciais expostas | Chaves de acesso e tokens de API em repositórios ou scripts |
| Registro desativado | Registro de auditoria desligado por padrão ou para economizar |
| Privilégios permanentes | Direitos de administrador permanentes, em vez de acesso por tempo limitado |
Shadow SaaS e serviços não sancionados
Funcionários adotam serviços de nuvem mais rápido do que as equipes de segurança conseguem aprovar, e essa lacuna é o cerne do Shadow IT. Exemplos: um aplicativo de anotações ou uma conta pessoal de armazenamento em nuvem usada para enviar um arquivo grande por uma conexão lenta. O shadow SaaS raramente é malicioso, é uma questão de conveniência. Mas cada serviço não sancionado é um canal pelo qual dados corporativos saem da fronteira aprovada, fora das regras de registro e retenção.
A dificuldade é a visibilidade. Um serviço usado no navegador parece tráfego web comum, e um cliente de sincronização parece qualquer outro aplicativo. Os programas combinam o inventário do que está em uso, a política do que é aceitável e controles sobre a própria transferência. O objetivo é detectar quando dados de trabalho são enviados a um serviço não sancionado.
Abordagens de controle
Várias famílias de controles atuam nesse espaço, incluindo o Cloud DLP e o DLP de endpoints. Um programa maduro normalmente precisa de mais de um, porque cada um enxerga uma parte diferente do problema:
| Controle | O que cobre |
|---|---|
| Corretores de segurança de acesso à nuvem (CASB)Descoberta e política | Descobre serviços em uso e aplica política às transferências |
| Controles nativos do provedorConfigurações da plataforma | Criptografia, chaves, política de acesso e logs de cada plataforma |
| Cloud DLPInspeção de conteúdo | Inspeciona o conteúdo do arquivo, não só o destino |
| Controles baseados em endpointOrigem do envio | Monitoram uploads na origem, inclusive pelo navegador |
| Gestão de identidade e acessoQuem pode abrir os dados | Limita quem pode abrir dados na nuvem e de onde |
Por onde começar
Comece pelos serviços que já guardam os dados mais sensíveis e depois mapeie os canais de envio que os funcionários realmente usam. Uma lista de controles escrita para todos os serviços de nuvem de uma vez costuma bloquear o trabalho comum e acaba desligada. A Anexet DLP aplica esses controles no endpoint, onde começa o envio, e mantém a trilha de auditoria na infraestrutura do cliente.
Leitura adicional: Sistemas DLP — o que são e como funcionam; O conceito de “Zero Trust”.
Um vazamento na nuvem raramente parece invasão. Parece um envio que alguém achou rotineiro.
Anexet TeamComo a Anexet resolve isto
A Anexet aborda a segurança de dados na nuvem a partir do endpoint, e não do lado da nuvem. Agentes nas estações de trabalho monitoram e controlam o que é enviado aos serviços de armazenamento em nuvem, clientes de sincronização e uso pelo navegador, antes que os dados deixem o dispositivo:
O produto funciona inteiramente on-premise, então os próprios dados de monitoramento, transferências capturadas, incidentes e histórico de auditoria, permanecem na infraestrutura do cliente. A Anexet não examina dados já armazenados em serviços de nuvem e não é uma implantação em nuvem; sua força está onde os dados corporativos se tornam um upload.
Controle de upload por serviço
aplicações de armazenamento em nuvem e suas versões web são monitoradas por serviço, com modos de acesso, auditoria e shadow copy, então uploads de conteúdo confidencial para armazenamento não sancionado são detidos no endpoint.
Decisões baseadas em conteúdo
as transferências são avaliadas pelo conteúdo, dicionários de segurança (170 prontos), bancos de hashes, bibliotecas de impressões digitais e rótulos de sensibilidade da Microsoft, então a política atua sobre dados sensíveis onde quer que sejam enviados.
Bloqueio, quarentena e trilha de auditoria completa
conforme a regra, um upload é bloqueado, colocado em quarentena para revisão ou registrado com uma trilha de auditoria completa e atribuível cobrindo usuário, data e hora, canal e ação.
Visibilidade do shadow SaaS
o inventário de aplicações instaladas e a categorização de sites e aplicações revelam quais serviços de nuvem estão realmente em uso, o panorama de ferramentas sancionadas e não sancionadas que uma política precisa.
Anexet DLP
Saiba mais