Post on 21-Sep-2020
RELATÓRIO DE SEGURANÇA NA NUVEM DE 2019 1Todos os direitos reservados. Copyright 2019 Cybersecurity Insiders.
RELATÓRIO DE SEGURANÇA NA NUVEM
2019
Desafios, soluções e tendências sobre a segurança na nuvem
RELATÓRIO DE SEGURANÇA NA NUVEM DE 2019 2Todos os direitos reservados. Copyright 2019 Cybersecurity Insiders.
INTRODUÇÃOAs organizações continuam adotando a computação em nuvem em um ritmo acelerado para tirarem proveito da promessa de maior eficiência, melhor escalabilidade e maior agilidade. Embora os provedores de serviços de nuvem pública como Amazon Web Services (AWS), Microsoft Azure e Google Cloud Platform (GCP) sigam expandindo os serviços de segurança para proteger suas plataformas de nuvem em desenvolvimento, em última instância, é responsabilidade dos clientes protegerem os dados nesses ambientes de nuvem.
O relatório de segurança na nuvem de 2019 destaca o que está e o que não está funcionando para as equipes de operações de segurança na proteção de seus dados, sistemas e serviços na nuvem em um modelo de responsabilidade compartilhada. Os resultados são uma continuação dos desafios anteriores:
• Apesar de todas as suas vantagens, a computação em nuvem ainda implica em desafios. A segurança dos dados e os riscos de segurança em geral (um total de 57%) figuraram no topo da lista de obstáculos para a adoção mais rápida da nuvem, seguidos pela falta de orçamento (26%), desafios de conformidade (26%) e falta de equipe qualificada (26%).
• As ferramentas de segurança existentes não foram projetadas para os ambientes dinâmicos, distribuídos e virtuais da nuvem. Por isso, 66% dos entrevistados afirmam que soluções de segurança tradicionais não funcionam de forma alguma ou apresentam funcionalidade limitada em ambientes de nuvem.
• As maiores dores de cabeça em relação à segurança operacional na nuvem que as organizações de TI estão enfrentando se referem à conformidade e à falta de visibilidade na segurança da infraestrutura (67% no total). A definição de políticas de segurança consistentes na nuvem e localmente e a falta contínua de equipes de segurança qualificadas estão empatadas em terceiro lugar (com 31% cada).
• O acesso não autorizado e interfaces inseguras empatam em primeiro lugar como as maiores vulnerabilidades da segurança na nuvem (com 42% cada).
• Os três vetores de vazamento de dados da nuvem mais preocupantes incluem malware e ransomware (27%), contas comprometidas (21%) e erros de configuração (20%).
No geral, as conclusões deste relatório enfatizam que as equipes de segurança devem reavaliar sua postura e suas estratégias de segurança, e abordar as deficiências das ferramentas de segurança existentes para proteger seus ambientes de TI em evolução.
Este relatório de segurança na nuvem foi elaborado em junho de 2019 pela Cybersecurity Insiders, a comunidade de segurança da informação que conta com 400 mil membros, com o objetivo de analisar como as organizações estão respondendo às crescentes ameaças à segurança na nuvem.
Muito obrigado à Check Point Software por apoiar este importante projeto de pesquisa.
Esperamos que você considere este relatório informativo e útil ao dar continuidade aos seus esforços de proteção dos seus ambientes de nuvem.
Obrigado,
Holger Schulze
Holger SchulzeDiretor executivo e fundadorCybersecurity Insiders
RELATÓRIO DE SEGURANÇA NA NUVEM DE 2019 3Todos os direitos reservados. Copyright 2019 Cybersecurity Insiders.
O software como serviço (Software as a Service, SaaS) se tornou, na prática, o modelo de entrega para muitas organizações utilizarem aplicativos comerciais, normalmente substituindo aplicativos locais tradicionais. Esses aplicativos comerciais incluem e-mail, colaboração, gestão de relacionamento com o cliente, recursos humanos, automação de marketing, inteligência comercial, armazenamento e muito mais. Na pesquisa deste ano, o aplicativo SaaS mais popular é o Microsoft Office 365 (66%), seguido pelo Microsoft Exchange (37%). O Salesforce (32%), o Google G Suite (29%) e o Dropbox (26%) complementam os cinco aplicativos SaaS mais populares.
OS APLICATIVOS DE NUVEM MAIS POPULARES
Quais dos serviços SaaS de nuvem a seguir estão implementados em sua organização atualmente?
37%
32%
29%
26%
21%
18%
17%
15%
13%
Microsoft Office 365
Microsoft Exchange
Salesforce
ServiceNow
Dropbox
Google Apps/G Suite
Slack
Atlassian
Workday
Box
66%
RELATÓRIO DE SEGURANÇA NA NUVEM DE 2019 4Todos os direitos reservados. Copyright 2019 Cybersecurity Insiders.
Pelo quarto ano consecutivo, o e-mail é a informação mais comum armazenada na nuvem (63%), seguido por dados de clientes (45%) e dados de funcionários (incluindo RH e folha de pagamento com 42%), saltando do quinto lugar no ano passado.
DADOS NA NUVEM
Que tipos de informações corporativas você armazena na nuvem?
Sales & marketingdata
Contracts, invoices,orders
45%
42%Customer
data
38%
33%
38%
Financialcorporate data
Intellectual property(designs, formulas,
blueprints)
24%Health
information
18%
63%Email
DevOps/
development data
30%
Employee data
(HR, payroll)
Outros 5%
RELATÓRIO DE SEGURANÇA NA NUVEM DE 2019 5Todos os direitos reservados. Copyright 2019 Cybersecurity Insiders.
O SaaS permanece sendo o modelo de nuvem mais implementado (51%), seguido por IaaS (Infraestrutura como Serviço) (39%) e PaaS (Plataforma como Serviço) (22%), ambos demonstrando uma forte adoção.
Modelos de implementação mais recentes como BPaaS (Processos de Negócios como Serviço) (16%) e FaaS (Função como Serviço) (14%) têm taxas de implantações de produção mais baixas, mas estão ganhando tração.
TENDÊNCIAS DE ADOÇÃO DA NUVEM
Qual é o estado da adoção da computação em nuvem da sua organização?
SaaS(Software as a Service, e.g.,
CRM, ERP, HR apps, collaboration, productivity tools)
IaaS (Infrastructure as a Service,
e.g., storage, servers, networking)
PaaS(Platform as a Service, e.g.,
database, middleware,application servers)
BPaaS(Business Process as a Service)
FaaS(Function as a Service, e.g.,
develop, run, and manageapplication functionalities)
Deployed/in production Currently implementing Trial/pilot in progress
Planning to deploy No plans to deploy
51%
39%
22%
16%
14% 16% 60%5% 5%
11% 11% 62%
16% 19% 19% 24%
17% 17%14% 13%
14% 11% 8% 16%
Implementado/Em produção Implementando atualmente Teste/piloto em andamento
Planejando implementar Não há planos para implementar
RELATÓRIO DE SEGURANÇA NA NUVEM DE 2019 6Todos os direitos reservados. Copyright 2019 Cybersecurity Insiders.
Quarenta e dois por cento das organizações nesta pesquisa afirmam que sua principal estratégia de implementação na nuvem é um modelo multinuvens, seguido por modelos de nuvem híbrida (30%) e implementações de nuvem única (25%). Cada vez mais, as organizações estão usando mais de um provedor de nuvem por uma série de motivos, incluindo alta disponibilidade, recuperação de desastres, eficiências de aquisição de vários fornecedores e mitigação de riscos.
ESTRATÉGIA DA NUVEM
Qual é sua principal estratégia de implementação na nuvem?
25%30%
SINGLE CLOUDHYBRID (e.g., integrationbetween multiple
providers, public andprivate clouds)
42%
MULTI-CLOUD(e.g., multiple providers
without integration)
Outros 3%
RELATÓRIO DE SEGURANÇA NA NUVEM DE 2019 7Todos os direitos reservados. Copyright 2019 Cybersecurity Insiders.
Apesar de todas as suas vantagens, a computação em nuvem ainda não está livre de desafios. A segurança dos dados (29%) e os riscos de segurança em geral (28%) combinados com a falta de orçamento (26%), desafios de conformidade (26%) e falta de equipe qualificada (26%) figuram no topo da lista dos obstáculos para a adoção mais rápida da nuvem.
OBSTÁCULOS PARA A ADOÇÃO DA NUVEM
Quais são os maiores obstáculos impedindo a adoção da nuvem em sua organização?
28%
Legal & regulatorycompliance
26%Lack of budget
Integration with existingIT environment
29%
Lack of staffresources or expertise
Data security,loss & leakage risks
26% 26%
General securityrisks
24%
Loss of control
22%
Complexidade na gestão da implementação da nuvem 20% | Receio de aprisionamento tecnológico 20% | Custo/falta de retorno sobre investimentos 19% | Resistência interna e inércia 19% | Desempenho dos aplicativos na nuvem 16% | Falta de transparência e visibilidade 16% | Falta de personalização 16% | Problemas de faturamento e rastreamento 15% | Falta de adesão da gestão 13% | Disponibilidade 13% | Falta de maturidade dos modelos de serviço na nuvem 13% | Insatisfação com ofertas/desempenho/preço dos serviços na nuvem 11% | Falta de suporte do provedor da nuvem 10% | Outros 4%
RELATÓRIO DE SEGURANÇA NA NUVEM DE 2019 8Todos os direitos reservados. Copyright 2019 Cybersecurity Insiders.
À medida que os volumes de trabalho continuam migrando para a nuvem, os profissionais de cibersegurança estão cada vez mais cientes das complicações relacionadas à proteção desses volumes de trabalho. As duas principais dores de cabeça em relação à segurança que os Centros de Operações de Segurança (Security Operations Centers, SOCs) estão enfrentando se referem à conformidade (34%) e à falta de visibilidade na segurança da infraestrutura (33%). A definição de políticas de segurança consistentes na nuvem e localmente (31%) e a falta contínua de equipes de segurança qualificadas (31%) estão empatadas em terceiro lugar.
DESAFIOS DE SEGURANÇA OPERACIONAL
Quais são suas maiores dores de cabeça operacionais cotidianas ao tentar proteger os volumes de trabalho na nuvem?
33%Visibility into
infrastructure security
34%Compliance
Setting consistentsecurity policies
31%
Lack ofqualified staff
31%
Lack of integrationwith on-premises
security technologies
29%
Security can’t keepup with the pace
of changes tonew/existingapplications
29%
Proteção dos fluxos de tráfego 24% | Impossibilidade de identificar erros de configuração com rapidez 24% | Correspondência complexa de regras de segurança de nuvem para nuvem/nuvem para localmente 24% | Proteção do acesso a partir de dispositivos pessoais e móveis 23% | Denúncia de ameaças à segurança 23% | Resolução de ameaças 22% | Compreensão de padrões de tráfego da rede 21% | Justificativa de mais gastos com a segurança 21% | Falta de automatização na descoberta/na visibilidade/no controle da segurança da infraestrutura 19% | Imposição automática da segurança em vários datacenters 17% | Falta de paridade de recursos com a solução de segurança local 14% | Falta de flexibilidade 8% | Não tem certeza/outros 10%
RELATÓRIO DE SEGURANÇA NA NUVEM DE 2019 9Todos os direitos reservados. Copyright 2019 Cybersecurity Insiders.
O acesso não autorizado (42%) e interfaces inseguras (42%) empatam em primeiro lugar na pesquisa deste ano como as maiores vulnerabilidades da segurança na nuvem. Em seguida, aparecem erros de configuração da plataforma da nuvem (40%) e sequestro de contas (39%).
MAIORES AMEAÇAS À SEGURANÇA NA NUVEM
O que você vê como as maiores ameaças à segurança nas nuvens públicas?
40%42%Unauthorized
access
42%Insecure
interfaces/APIs
External sharingof data
39%
Hijacking of accounts,services or traffic
37%
Maliciousinsiders
30%
Malware/ransomware
27%
Misconfiguration ofthe cloud platform/
wrong setup
Ataques de negação de serviço 24% | Ciberataques patrocinados por nações estrangeiras 22% | Criptosequestro da nuvem 19% | Roubo de serviço 16% | Dispositivos móveis perdidos 13% | Outros 1%
RELATÓRIO DE SEGURANÇA NA NUVEM DE 2019 10Todos os direitos reservados. Copyright 2019 Cybersecurity Insiders.
Embora a maioria das organizações afirme que seus ambientes de nuvem não tenham sido invadidos (54%), alarmantes 25% não sabem se sofreram violações na nuvem. Quinze por cento das organizações confirmaram um incidente de segurança na nuvem.
INVASÃO NA NUVEM
Sua organização já foi invadida na nuvem?
54%
15%
6%
25%
NO
YES
Don’t know
No, but hackedon-premises
Yes, SaaS hacked 9%
Yes, PaaS hacked 3%
Yes, IaaS hacked 3%
RELATÓRIO DE SEGURANÇA NA NUVEM DE 2019 11Todos os direitos reservados. Copyright 2019 Cybersecurity Insiders.
À medida que os volumes de trabalho continuam migrando para a nuvem, as organizações se deparam com desafios de segurança únicos que a adoção da nuvem implica. Muitas ferramentas de segurança existentes não foram projetadas para os ambientes dinâmicos, distribuídos e virtuais da nuvem. Sessenta e seis por cento dos entrevistados afirmam que soluções de segurança tradicionais não funcionam de forma alguma em ambientes de nuvem ou têm funcionalidade apenas limitada.
FERRAMENTAS TRADICIONAIS NA NUVEM
Quão bem suas ferramentas/seus dispositivos tradicionais de segurança da rede funcionam em ambientes de nuvem?
Limited functionality49%
All capabilitieswork in the cloud
34%
17%
Claim traditionalsecurity solutionseither don’t workat all or have limitedfunctionality
66%
Our traditional networksecurity tools don’t
work in the cloud
RELATÓRIO DE SEGURANÇA NA NUVEM DE 2019 12Todos os direitos reservados. Copyright 2019 Cybersecurity Insiders.
Apesar das vantagens significativas oferecidas pelas soluções de segurança baseadas na nuvem, ainda existem alguns obstáculos à adoção. Quando se trata de transformação de negócios e adoção da nuvem, três aspectos importantes devem estar alinhados: pessoas, processo e tecnologia. Nossa pesquisa revela que o maior desafio que as organizações estão enfrentando não é a tecnologia, mas as pessoas e os processos. O conhecimento especializado e o treinamento das equipes (41%) continua sendo o maior obstáculo, seguido por desafios orçamentários (40%), preocupações com a privacidade de dados (38%) e falta de integração com as plataformas locais (34%).
OBSTÁCULOS PARA A ADOÇÃO DE SOLUÇÕES DE SEGURANÇA BASEADAS NA NUVEM
Quais são os principais obstáculos para migrar para soluções de segurança baseadas em nuvem?
40% 38%41%
Lack of integrationwith on-premises
security technologies
34%
Regulatorycompliance
requirements
30%
Solutionmaturity
30%
Dataresidency
27%
Budget Data privacyStaff expertise/training
Controle limitado sobre chaves de criptografia 21% | Escalabilidade e desempenho 21% | Integridade da plataforma de segurança na nuvem (ataque DDoS, violação) 19% | Custo irrecuperável das ferramentas locais 17% | Não tem certeza/outros 8%
RELATÓRIO DE SEGURANÇA NA NUVEM DE 2019 13Todos os direitos reservados. Copyright 2019 Cybersecurity Insiders.
CONTROLES DE SEGURANÇA
Quais destes controles de segurança a seguir aumentaria sua confiança em relação à adoção de nuvens públicas?
37% 34%38%Encryption ofdata-at-rest
31% 30%
Automatingcompliance
28% 27%
APIs for reporting,auditing and alerting
on security events
Isolation/protection of
virtual machines
Setting and enforcing
security policies across clouds
Leveraging data leakage
prevention tools
Creating data boundaries
Proteção dos volumes de trabalho 26% | Limitação do acesso a dispositivos não gerenciados 25% | Utilização de ferramentas de prevenção de ameaça 24% | Instalação de proxy para o tráfego visando à segurança em tempo real no acesso 21% | Outros 2%
A criptografia de dados inativos (38%), a automação da conformidade (37%) e APIs para denúncia, auditoria e alerta sobre eventos de segurança (34%) são os três controles de segurança mencionados com mais frequência para aumentar a confiança das organizações em relação à adoção de nuvens públicas.
RELATÓRIO DE SEGURANÇA NA NUVEM DE 2019 14Todos os direitos reservados. Copyright 2019 Cybersecurity Insiders.
Ao selecionar soluções de segurança na nuvem, as organizações priorizam a capacidade de elaborar regras personalizadas e ações de resolução (44%), seguido pela integração com plataformas de gestão de alterações, como ServiceNow, Remedy, JIRA, etc. (41%) e pela integração com ferramentas de varredura de segurança, como Rapid7, Qualys, Tenable, etc. (41%).
PRINCIPAIS RECURSOS DE SEGURANÇA NA NUVEM
Quais critérios você considera mais importantes ao avaliar uma solução de segurança na nuvem?
Integração com ferramentas de alerta, como OpsGenie, que oferece suporte à integração com celular, troca de mensagens, Slack, e-mail, etc. 29% | Cobrança por uso em vez do número de contas 26% | Políticas baseadas em pesquisa (ou seja, conteúdo além das melhores práticas de CIS) 25% | Outros 3%
41%Integration with
change managementplatforms
(ServiceNow, Remedy,JIRA, etc.)
41%Integration
with securityscanner tools
(Rapid7, Qualys,Tenable, etc.)
44%Ability to write
custom rules andremediation actions
36% 36% 33%
User communitysupport
32%
Integration with end-to-end vulnerability
remediation tools (TrueSight Server
Automation, IBM BigFix, TrueSight Vulnerability
Manager, Chef,Puppet, etc.)
Third-party security
certifications(SOC2, FedRAMP,
etc.)
Billing model (monthly, yearly,
flat)
RELATÓRIO DE SEGURANÇA NA NUVEM DE 2019 15Todos os direitos reservados. Copyright 2019 Cybersecurity Insiders.
Os três vetores de vazamento de dados mais preocupantes incluem malware e ransomware (27%), contas comprometidas (21%) e erros de configuração (20%).
VAZAMENTO DE DADOS
Qual é o vetor de vazamento de dados que você considera mais preocupante para sua organização?
20%27%Malware/
ransomware
21%Compromised
accounts
Unmanageddevices
9%
Vulnerabilities inunderlying appinfrastructure
8%
UnsecuredWiFi
7%
Unsanctionedcloud apps
5%
Misconfigurations
Outros 3%
RELATÓRIO DE SEGURANÇA NA NUVEM DE 2019 16Todos os direitos reservados. Copyright 2019 Cybersecurity Insiders.
Este ano, as organizações estão concentradas na defesa contra malware (25%), no cumprimento da conformidade regulatória (20%) e na proteção dos principais aplicativos da nuvem (15%) como suas três maiores prioridades em relação à segurança na nuvem.
PRIORIDADES DA SEGURANÇA NA NUVEM
Quais são suas prioridades em relação à segurança na nuvem para sua empresa este ano?
20%Reachingregulatorycompliance
15%Securing major
cloud appsalready in use
25%Defending
againstmalware
Discoveringunsanctioned
cloud apps in use
11%
Securing mobiledevices
10%
Preventing cloudmisconfigurations
9%
Securing lesspopular cloud apps
already in use
7%
RELATÓRIO DE SEGURANÇA NA NUVEM DE 2019 17Todos os direitos reservados. Copyright 2019 Cybersecurity Insiders.
METODOLOGIA E DADOS DEMOGRÁFICOSEste relatório de segurança na nuvem se baseia nos resultados de uma pesquisa de opinião on-line
abrangente realizada em março de 2019 com 674 profissionais de cibersegurança e de TI para se
obter uma percepção aprofundada das últimas tendências, dos desafios-chave e das soluções para a
segurança na nuvem. Os entrevistados variam de executivos técnicos a profissionais de segurança de
TI, representando uma intersecção equilibrada de organizações de portes variados em diversos setores.
CAREER LEVEL
28% 17% 11% 10% 8% 8% 5% 13%
35% 33% 11% 6% 5% 3% 3% 4%
8% 10% 19% 22% 10% 20%11%
IT Security IT Operations Engineering DevOps Product Management Compliance Operations Other
Manager/Supervisor Director Specialist Consultant Owner/CEO/President CTO, CIO, CISO, CMO, CFO, COOProject Manager Vice President Other
DEPARTMENT
COMPANY SIZE
Fewer than 10 10-99 100-999 500-999 1,000-4,999 5,000-10,000 Over 10,000
RELATÓRIO DE SEGURANÇA NA NUVEM DE 2019 18Todos os direitos reservados. Copyright 2019 Cybersecurity Insiders.
As eficiências dos processos e a maior agilidade da rede estão impulsionando
a adoção tecnológica de SaaS, PaaS e IaaS em um ritmo acelerado. Essa nova
infraestrutura também está apresentando aos negócios um conjunto peculiar
de desafios de segurança. A segurança na nuvem da Check Point protege
os ativos na nuvem contra as mais sofisticadas ameaças com escalabilidade
dinâmica, provisionamento inteligente e controle consistente em redes físicas
e virtuais.
A Check Point Software Technologies Ltd. é uma fornecedora líder de soluções de
segurança cibernética para governos e empresas do setor privado globalmente.
Suas soluções protegem os clientes contra ciberataques com uma taxa de captura
de malware, ransomware e outros tipos de ataques que é líder de mercado. A
Check Point oferece uma arquitetura de segurança multinível que protege as
informações na nuvem, na rede e nos dispositivos móveis das empresas, além do
mais abrangente e intuitivo sistema de gerenciamento de segurança de um ponto.
A Check Point protege mais de 100 mil organizações de todos os portes.
www.checkpoint.com