Quais são as melhores práticas de segurança da nuvem, e como elas diferem do que as empresas estão fazendo hoje? Para responder a essas perguntas, a McKinsey realizou pesquisas com executivos de segurança cibernética em quase 100 empresas, analisando fatores como barreiras à adoção da nuvem, os passos as empresas estão tomando para proteger seus dados na nuvem pública, e como sua segurança cibernética afeta o ritmo da adoção da nuvem.

Segundo a pesquisa “Making a secure transition to the public cloud”, fazer uma transição segura para a nuvem pública é um desafio multidimensional e compartilhado entre as empresas usuárias e os provedores de serviço.

Os resultados mostram que, desenvolvendo modelos de segurança centrados na nuvem, projetando controles fortes em oito áreas de segurança, clarificando as responsabilidades com CSPs e usando DevOps, as empresas podem deslocar as cargas de trabalho para a nuvem pública com maior certeza que suas os ativos de informações mais críticas estarão protegidos. Claramente, essas tarefas serão prioridades para CISOs bem como para líderes de negócios e tecnologia.

A pesquisa também encontrou duas decisões comuns de segurança que as empresas tomam ao adotar os serviços da nuvem: (1) definir o perímetro e (2) decidir rearquitetar aplicativos para maior capacidade de gerenciamento, desempenho e segurança na nuvem (interessantemente, apenas 27% das empresas pesquisadas realmente fazem isso – a mudança é difícil).

E quatro práticas para a estruturação um programa de segurança cibernética de nuvem pública:

1. Desenvolver um modelo de segurança centrado na nuvem

No mundo da nuvem híbrida/multicloud, ampliar simplesmente os controles de segurança on-premise para a nuvem pública provavelmente não será suficiente. As empresas precisam fazer escolhas sobre como gerencie seu perímetro na nuvem e como reescrever as aplicações de uma maneira alinhada à sua tolerância ao risco, à arquitetura existente, aos recursos disponíveis e à estratégia de cloud computing traçada.

2. Redesenhar o conjunto completo de controle de segurança cibernética para a nuvem pública

A implementação de segurança pode ser definida como uma combinação de oito áreas de controle: gerenciamento de identidade e acesso, segurança de dados, segurança de perímetro, monitoramento e resposta operacional, segurança da aplicação, segurança do hardware, segurança do end-point, e governança. As organizações precisam determinar o nível de segurança necessário para controle em cada uma dessas áreas, o quão rigoroso precisa ser e quem será responsável por fornecê-los.

O estudo descobriu que 60% das empresas estão usando soluções IAM on-premise, hoje, mas esse percentual deve cair para a metade em apenas três anos. A maioria dos entrevistados criptografa dados em repouso e em trânsito. Cerca de 40% das empresas estão usando controles de segurança existentes na rede local, mas isso diminuirá, com apenas 13% esperando usar a mesma abordagem em 3 anos. A maioria (65%) define padrões de configuração de segurança para aplicativos baseados em nuvem e 64% usam ferramentas SIEM existentes para monitorar aplicativos em nuvem.

Além disso, praticamente metade (51%) dos entrevistados tem um alto nível de confiança na abordagem de segurança do provedor de serviços de nuvem.

3. Clarificar as responsabilidades internas para cibersegurança versus o que os provedores já oferece

A nuvem pública requer um um modelo de segurança compartilhado, com fornecedores e seus clientes responsáveis por funções específicas. As empresas precisa entender esta divisão de responsabilidades – que, no início, parecerá muito diferente de um tradicional arranjo de terceirização e redesenho interno de processos. Trabalhando em estreita colaboração com CSPs, as empresas podem ganhar melhor visibilidade e transparência nos modelos operacionais de segurança para projetar e configurar controles para multicloud de forma integrada com outras ferramentas e modelos operacionais.

4. Aplicar DevOps à segurança cibernética

fonte: Computer World