O momento agora pede por recursos que permitam melhor visibilidade, controle e gerenciamento de infraestruturas de TI, onde os dados são espalhados por ambientes locais e em nuvem
Carlos Rodrigues (*)
Algumas das mudanças nos ambientes de TI motivadas pela pandemia de Covid-19 – principalmente relacionadas ao trabalho home office e à adoção da nuvem – vieram para ficar e exigirão revisões de longo prazo nas estratégias de segurança cibernética corporativa.
A pandemia forçou uma aceleração da digitalização e uma mudança para a nuvem que muitos CISOs não estavam preparados para apoiar de maneira tão rápida. A mudança obrigou muitas empresas a procurar soluções de curto prazo para que as organizações continuassem operando e que os funcionários permanecessem produtivos remotamente. Em muitos casos, as organizações implantaram tecnologias para apoiar o novo ambiente de trabalho sem avaliar possíveis implicações de segurança.
Tais decisões foram tomadas de forma muitas vezes precipitada, para garantir que os trabalhadores remotos pudessem acessar com segurança os dados corporativos. Agora, estas medidas precisarão ser substituídas ou reforçadas por controles que possam atender aos requisitos de um mundo pós-pandemia. O momento agora pede por recursos que permitam melhor visibilidade, controle e gerenciamento de infraestruturas de TI, onde os dados são espalhados por ambientes locais e em nuvem e os usuários os acessem a partir de redes e dispositivos gerenciados e não gerenciados.
Esta é também uma oportunidade para que os CISOs possam medir os softwares de negócios recém-adicionados e verifiquem o aumento do risco e da exposição que afetam os negócios.
- Adoção mais rápida de modelos de acesso zero-trust
A mudança para um ambiente de trabalho e negócios mais distribuídos após a pandemia acelerará a adoção de modelos de acesso zero-trust nos próximos anos. Os dados e serviços corporativos estão agora permanentemente espalhados por ambientes locais, híbridos e de nuvem pública, e os usuários estão acessando-os a partir de redes e dispositivos gerenciados e não gerenciados.
Para garantir acesso seguro aos dados corporativos, as organizações terão que adotar, cada vez mais, modelos zero-trust, onde cada solicitação de acesso – de dentro e de fora da rede – é autenticada e examinada. Nos próximos anos, espera-se ver as organizações corporativas adotando ainda mais o modelo zero-trust para incorporar dados e cargas de trabalho. O objetivo será chegar a um ponto em que o acesso seja onipresente e seguro e não haja distinção entre acesso na nuvem e no local.
- Controles para proteger uma superfície de ataque mais ampla
A pandemia mudou totalmente a maneira como as organizações trabalham. Muitas pessoas irão continuar operando de forma constante em um modelo 100% remoto, enquanto outros manterão um modelo híbrido por um futuro indefinido.
Da mesma forma que a necessidade de distanciamento social e a escassez de força de trabalho aceleraram a automação e o uso de IA em muitos setores, incluindo varejo, hospitalidade e manufatura, o acesso dos funcionários, por exemplo, precisará ser protegido, não importa de onde eles trabalhem.
Os turnos de escritório também terão implicações de segurança física para os CISOs, à medida que espaços de co-working, espaços compartilhados e hot-desking se tornarem mais proeminentes.
- Os requisitos regulatórios serão alterados para lidar com novos riscos
Espere mudanças nos requisitos regulatórios, de conformidade e contratuais. As autoridades reguladoras modificarão ou expandirão os requisitos existentes para se adaptar ao modelo de trabalho híbrido pós-pandemia.
Regulamentos como o Padrão de Segurança de Dados da Indústria de Cartões de Pagamento (PCI DSS) e o padrão ISO/IEC 27001:2013 para segurança da informação devem ser atualizados e podem estar entre os primeiros a introduzir novos requisitos para lidar com riscos pós-pandemia. Essas alterações provavelmente serão implementadas em fases e ao longo de vários anos.
Em contratos B2C e adendos de segurança a mudança acontecerá de forma mais rápida. As empresas de tecnologia já estão vendo transformações nos requisitos de segurança nos contratos de seus clientes, pois essas organizações querem garantir que o trabalho remoto adequado e os controles de segurança física estejam em vigor”, diz ele. Os CISOs devem garantir que seus controles de segurança abordem adequadamente essas áreas para ajudar suas empresas a conquistar negócios.
- Autenticação mais forte e criptografia persistente
O uso crescente de SaaS e outros sistemas baseados em nuvem, como Zoom, Microsoft Teams e Dropbox, para apoiar a colaboração distribuída, resultou em muitas informações comerciais acabando em muitos lugares diferentes.
Muitas organizações precisarão de criptografia persistente e métodos de autenticação de usuário mais fortes para suportar esse tipo de ambiente de trabalho a longo prazo. Do ponto de vista da priorização, uma autenticação forte precisará ser implementada antes que a criptografia de dados possa funcionar.
Um estudo baseado em pesquisas que a Yubico realizou em parceria com a empresa de analistas 451 Research, no início deste ano, mostrou que 75% das organizações planejam aumentar os gastos com autenticação multifatorial (MFA), para lidar com novos riscos de longo prazo em um mundo pós-pandemia.
Já 49% dos líderes de segurança descreveram o MFA como a principal tecnologia de segurança que adotaram por causa da Covid-19 e da migração para um modelo WFH.
- Melhor visibilidade e monitoramento da rede
A mudança apressada por causa da pandemia para um ambiente de trabalho mais distribuído e com prioridade na nuvem resultou na perda de visibilidade das organizações – em diferentes graus – sobre os dispositivos que se conectam às suas redes e dados.
Em muitos casos, as organizações sacrificaram a segurança no interesse de garantir a continuidade e a disponibilidade dos negócios. Eles adotaram abordagens de curto prazo que permitiram que os funcionários remotos permanecessem produtivos e que os negócios operassem sem interrupções.
Ao permitir que os usuários acessem dados corporativos de redes domésticas não gerenciadas usando uma combinação de dispositivos gerenciados e não gerenciados, os grupos de segurança corporativa perderam a visibilidade – e o controle – necessários para gerenciar o acesso seguro. Uma visibilidade aprimorada será fundamental para as organizações nos próximos anos.
- Evoluindo as práticas de gerenciamento de riscos cibernéticos
Muitas organizações precisarão revisar suas práticas de gerenciamento de riscos e continuidade de negócios para lidar com riscos em um ambiente de TI pós-pandemia. As áreas de melhoria incluem planejamento e preparação para adversidades, permitindo uma melhor visibilidade das interdependências operacionais em toda a empresa para equipes de operações isoladas e a transformação do gerenciamento de riscos em uma atividade operacional.
(*) Vice-presidente da Varonis