A BDO, uma das maiores empresas globais de serviços profissionais, analisou a percepção evolutiva das aplicações da nuvem no mundo dos negócios e os desafios que as empresas enfrentam para alcançar uma governança adequada e um gerenciamento cibernético de risco na plataforma.

De acordo com a empresa, as organizações enfrentam três desafios de segurança nas nuvens. O primeiro é o gerenciamento da identidade e autenticação de acesso, devido à importância de gerenciar os perfis que podem acessar este tipo de dados.

O segundo desafio é a responsabilidade por parte das empresas de armazenar e criptografar informações confidenciais, um passo fundamental para mitigar qualquer tipo de risco que possa surgir. E finalmente, antecipar os inevitáveis incidentes de segurança, para os quais as empresas devem se preparar com processos e ferramentas específicas para detecção e gerenciamento.

Entre as iniciativas que a BDO menciona para enfrentar estes desafios estão, estabelecer um controle de segurança, avaliações constantes e auditoria dos controles de segurança em vigor.

Embora, no início, as aplicações na nuvem geraram desconfiança nas empresas, que viram como o controle de seus dados diminuiu, os negócios agora desenvolveram um excesso de confiança neste modelo porque consideram o mundo das nuvens como um cenário seguro, de acordo com a BDO.

Mas tanto o fornecedor da nuvem quanto o cliente são responsáveis por diferentes aspectos da segurança e devem trabalhar juntos para garantir uma cobertura completa em um ambiente de responsabilidade compartilhada.

O fato de não haver um modelo padrão de responsabilidade compartilhada vem causando confusão, mesmo entre os executivos de segurança de TI. Portanto, compreender os limites da responsabilidade compartilhada entre os provedores de serviços em nuvem e os clientes é fundamental para alcançar uma estratégia de TI bem-sucedida que atenda aos objetivos comerciais gerais e evite colocar em risco informações sensíveis.

Recomendações da BDO

A BDO analisou diferentes iniciativas e ações que as entidades devem levar em conta para uma gestão correta dos riscos cibernéticos na nuvem e para alcançar uma governança correta.

Primeiramente, deve ser estabelecido um modelo de Gerenciamento de Risco de Fornecedores no qual as necessidades de segurança dos serviços em nuvem a serem terceirizados sejam identificadas e, posteriormente, a segurança de potenciais fornecedores deve ser analisada, além de acordar contratualmente os níveis e requisitos de segurança.

Em segundo lugar, é importante realizar avaliações regulares da conformidade dos provedores de Nuvem com as melhores práticas de segurança. Geralmente, através de auditorias externas regulares e certificações de conformidade com padrões de mercado, tais como SOC, National Security Scheme, Pinakes ou ISO 27001 e 27017.

Em terceiro lugar, é essencial auditar os controles de segurança que estão dentro da empresa, a fim de detectar possíveis abusos relacionados à configuração, implementação e uso de serviços em nuvem. Embora os provedores de nuvens ofereçam serviços e produtos de segurança a seus clientes, cabe a estes últimos implementá-los, aplicá-los e monitorá-los.

Neste sentido, os provedores de nuvem fazem grandes esforços para desenvolver diretrizes detalhadas para seus serviços a fim de permitir que seus clientes cumpram com as exigências regulamentares e normativas aplicáveis.

Roger Perez, Diretor de Assessoria de Risco da BDO explica que, "quando uma empresa executa e gerencia sua infraestrutura de TI em suas instalações e Data Centers, é responsável pela segurança dessa infraestrutura, bem como das aplicações e dados que nela rodam". Entretanto, quando uma organização muda para um modelo de computação em nuvem, ela transfere algumas, mas não todas, essas responsabilidades de segurança de TI para seu fornecedor de nuvem. Isto é conhecido como responsabilidade compartilhada.

Em conclusão, a cloud oferece vantagens significativas de simplicidade e segurança, mas seus serviços não são seguros por padrão, portanto é necessário que as organizações implementem planos e medidas, tanto preventivas quanto reativas, além de implementar as medidas fornecidas pelo provedor, a fim de proteger a infraestrutura hospedada pela cloud.