Obstáculos de segurança que você pode navegar — o ponto de vista de um arquiteto

Neste artigo, Kozeta Garrett, Arquiteta de Segurança Cibernética da Microsoft, descreve os principais desafios de segurança que encontra em organizações empresariais e recomenda abordagens para navegar sobre esses obstáculos.

Sobre o autor

Em minha função como Arquiteto de Segurança na Nuvem, trabalhei com várias organizações para fornecer diretrizes estratégicas e técnicas com foco em projetar e implementar a arquitetura de segurança para clientes que migram para o Microsoft 365 e o Azure, desenvolver soluções de segurança corporativa e ajudar a transformar a arquitetura e a cultura de segurança para a resiliência empresarial. Minha experiência inclui detecção e resposta de incidentes, análise de malware, teste de penetração e recomendação de melhorias na postura de segurança e defesa de TI. Sou apaixonado por liderar transformações que resultam na segurança como um facilitador para os negócios, incluindo os esforços de modernização.

Tem sido muito satisfatório ver como as organizações que adotaram uma mentalidade de modernização de segurança nos últimos dois anos estão em uma ótima posição que está permitindo que elas continuem operando remotamente de forma segura, apesar da recente situação do COVID-19. Infelizmente, essas circunstâncias também serviram como um alerta para alguns clientes, que não estavam prontos para essa necessidade imediata. Muitas organizações estão percebendo que devem se modernizar rapidamente, aposentar sua dívida acumulada de segurança de TI e melhorar sua postura de segurança durante a noite para que possam operar nessas circunstâncias extremamente incomuns.

A boa notícia é que a Microsoft fez a curadoria de alguns ótimos recursos para ajudar as organizações a aumentar rapidamente sua postura de segurança. Além desses recursos, gostaria de compartilhar os principais desafios que encontrei com os clientes diariamente na esperança de que você possa navegar sobre esses obstáculos.

Atualmente moro no norte da Virgínia, perto da capital do nosso país, Washington DC. Adoro quase todas as formas de atividades ao ar livre e exercícios, como correr, andar de bicicleta, caminhar e nadar. Para contrariar isso eu gosto tanto de cozinhar, comida gourmet e viajar.

Faça parceria com a equipe de segurança desde o início da adoção da nuvem

Para começar, não posso enfatizar o suficiente como é importante que as equipes em sua organização coordenem desde o início. As equipes de segurança devem ser abraçadas como parceiros críticos nos estágios iniciais de adoção e design da nuvem. Isso significa colocar as equipes de segurança a bordo para defender a adoção da nuvem, não apenas para os recursos adicionados ao negócio (como uma grande experiência do usuário de dispositivos móveis seguros, aplicativos de funcionalidade completa ou criar valor em dados corporativos além dos aplicativos de segurança e email de funcionalidade limitada), mas também para aproveitar os recursos de armazenamento, IA e análise de computação que ajudam a resolver desafios de segurança novos e antigos. As equipes de segurança devem ser incluídas no gerenciamento de todos os aspectos dessa mudança, incluindo pessoas (cultura), processos (treinamento) e tecnologia para serem bem-sucedidas. Isso também significa investir na modernização e no aprimoramento contínuo do SOC (Centro de Operações de Segurança). Trabalhe em conjunto para alinhar sua estratégia de segurança com suas tendências de ambiente e estratégia de negócios para garantir que a transformação digital seja feita com segurança. Quando isso é bem feito, as organizações desenvolvem a capacidade de se adaptar mais rapidamente às alterações, incluindo alterações nos negócios, TI e segurança.

Onde eu vejo os clientes tropeçarem mais em obstáculos é quando não há nenhuma parceria real entre as operações e as equipes SOC. Enquanto a equipe de operações está sendo pressionada e obrigada com prazos apertados para adotar a nuvem, as equipes de segurança nem sempre são incluídas no início do processo para revisar e planejar uma estratégia de segurança abrangente. Isso envolve a integração de diferentes componentes e componentes de nuvem local. Essa falta de parceria diminui ainda mais para diferentes equipes que parecem trabalhar em silos para implementar controles para seus componentes específicos, levando à complexidade adicional de implementação, solução de problemas e integração.

Os clientes que navegam por esses obstáculos têm boas parcerias entre as operações e a governança e as equipes de gerenciamento de segurança e risco para renovar a estratégia de segurança e os requisitos para proteger cargas de trabalho de nuvem híbrida. Eles se concentram nos objetivos e resultados de segurança finais: proteção de dados e disponibilidade de sistemas e serviços de acordo com os requisitos de governança, risco e conformidade de segurança cibernética. Essas organizações desenvolvem parcerias em estágio inicial entre sua equipe de Operações e Governança e SOC, que é fundamental para a abordagem de design de segurança e maximizará o valor de seus investimentos.

Criar um perímetro de segurança moderno (baseado em identidade)

Em seguida, adote uma abordagem de arquitetura Confiança Zero. Isso começa com a criação de um perímetro de segurança moderno baseado em identidade. Crie a arquitetura de segurança em que cada tentativa de acesso, seja local ou nuvem, é tratada como não confiável até que seja verificada: "nunca confie, sempre verifique". Essa abordagem de design não só aumenta a segurança e a produtividade, mas também permite que os usuários trabalhem de qualquer lugar com qualquer tipo de dispositivo. Os controles de nuvem sofisticados incluídos com o Microsoft 365 ajudam você a proteger as identidades dos usuários ao controlar o acesso a recursos valiosos com base no nível de risco do usuário.

Para obter uma configuração recomendada, consulte Configurações de acesso de identidade e dispositivo.

Transição de controles de segurança para a nuvem

Muitas equipes de segurança ainda estão usando as práticas recomendadas de segurança tradicionais criadas para um mundo local, incluindo manter uma "segurança de perímetro de rede" e tentar "forçar" as ferramentas de segurança locais e controles para soluções de nuvem. Esses controles não foram projetados para a nuvem, são ineficazes e dificultam a adoção de recursos modernos de nuvem. Processos e ferramentas que funcionam para uma abordagem de segurança de perímetro de rede provaram ser ineficientes, obstrutivos às funcionalidades de nuvem e não permitem aproveitar os recursos de segurança modernos e automatizados.

Você pode navegar por esse obstáculo mudando as estratégias de defesa para proteção gerenciada por nuvem, investigação e correção automatizadas, teste de caneta automatizado, Defender para Office 365 e análise de incidentes. Os clientes que estão usando soluções modernas de gerenciamento de dispositivos implementaram gerenciamento automatizado, patchs padronizados, antivírus, aplicação de política e proteção de aplicativos em todos os dispositivos (seja um smartphone, computador pessoal, laptop ou tablet). Isso elimina a necessidade de uma VPN, o SCCM (Microsoft System Center Configuration Manager) e as políticas de grupo do Active Directory. Isso, combinado com políticas de acesso condicional, fornece controle e visibilidade poderosos, bem como acesso simplificado aos recursos, independentemente de onde seus usuários estejam operando.

Procure ferramentas de segurança 'melhores juntas'

Outro obstáculo que vejo os clientes tropeçarem é adotar uma abordagem "melhor da raça" para ferramentas de segurança. Colocar em camadas continuamente soluções de ponto "melhores de raça" para atender às necessidades de segurança emergentes faz com que a segurança da empresa seja interrompida. Mesmo com as melhores intenções, as ferramentas na maioria dos ambientes não são integradas porque se tornam muito caras e complexas. Isso, por sua vez, cria lacunas na visibilidade, pois há mais alertas para a triagem do que a equipe pode lidar. Treinar novamente a equipe do SecOps em novas ferramentas também se torna um desafio constante.

A abordagem "simples é melhor" também funciona para segurança. Em vez de ir atrás de ferramentas "melhores de raça", navegue sobre esse obstáculo adotando uma estratégia "melhor juntos" com ferramentas que funcionam juntas por padrão. Os recursos de segurança da Microsoft protegem toda a sua organização com proteção integrada contra ameaças que abrange aplicativos, usuários e nuvens. A integração permite que uma organização seja mais resiliente e reduza o risco contendo invasores na entrada e corrigindo rapidamente ataques.

Balancear a segurança com a funcionalidade

Como venho de uma longa experiência e experiência em segurança cibernética, costumo preferir começar com a configuração mais segura fora da caixa e permitir que as organizações relaxem as configurações de segurança com base em suas necessidades operacionais e de segurança. No entanto, isso pode ter um preço alto de funcionalidade perdida e pouca experiência do usuário. Como muitas organizações aprenderam, se a segurança for muito difícil para os usuários, elas encontrarão uma maneira de contornar você, incluindo o uso de serviços de nuvem não gerenciados. Por mais difícil que seja para mim aceitar, percebi que o delicado equilíbrio funcionalidade-segurança deve ser alcançado.

Organizações que percebem que os usuários farão o que for preciso para fazer seus trabalhos reconhecem que a "batalha de TI da Sombra" não vale a pena lutar. Eles reconhecem que os funcionários de TI são os maiores infratores quando se trata de TI sombra e o uso de aplicativos SaaS não aprovados para seu trabalho. Eles mudaram sua estratégia para incentivar seu uso (em vez de suprimir) e se concentrar em mitigar os riscos de exposição que poderia criar. As equipes de segurança desta organização não insistem que tudo seja bloqueado, registrado e enviado por um proxy reverso ou uma VPN. Em vez disso, essas equipes de segurança dobram seus esforços para proteger dados valiosos e confidenciais de serem expostos às partes erradas ou aplicativos mal-intencionados. Eles trabalham para proteger a integridade dos dados. Eles estão fazendo uso total de recursos mais avançados de proteção de informações na nuvem, incluindo criptografia, autenticação multifator segura, risco e conformidade automatizados e recursos casb (agente de segurança de acesso à nuvem) ao mesmo tempo em que permitem e até incentivam o compartilhamento protegido em várias plataformas. Eles estão transformando a TI sombra em criatividade, produtividade e colaboração inspiradoras, o que permite que seus negócios permaneçam na borda competitiva.

Adotar uma abordagem metódica

A maioria dos desafios que experimentei com a implementação da segurança na nuvem em diferentes organizações, independentemente da indústria, tem sido muito semelhante. Em primeiro lugar, embora haja uma grande documentação sobre recursos e recursos específicos, há um nível de confusão no nível da organização sobre o que se aplica a eles, onde os recursos de segurança se sobrepõem e como as funcionalidades devem ser integradas. Há também um nível de incerteza sobre quais recursos de segurança são pré-configurados fora da caixa e que exigem configuração pela organização. Além disso, as equipes do SOC infelizmente não tiveram a exposição completa, o treinamento ou a alocação orçamentária necessária para se preparar para a rápida adoção da nuvem e a transformação digital que suas organizações já estão passando.

Para ajudá-lo a limpar esses obstáculos, a Microsoft fez a curadoria de vários recursos projetados para ajudá-lo a adotar uma abordagem metódica para sua estratégia e implementação de segurança.

Recurso	Mais informações
Principais tarefas para as equipes de segurança darem suporte ao trabalho em casa	Se você se encontrar de repente apoiando uma força de trabalho em casa, este artigo ajuda você a aumentar a segurança rapidamente. Ele inclui as principais tarefas recomendadas com base no seu plano de licenciamento.
Plano de implantação da Confiança Zero do Microsoft 365	Este artigo fornece um plano de implantação para criar Confiança Zero segurança com o Microsoft 365. Ele inclui um pôster para download que você pode usar para acompanhar seu progresso.
Centro de Orientação da Confiança Zero	Saiba mais sobre o modelo de segurança Confiança Zero, seus princípios e como implementar uma arquitetura de Confiança Zero usando os planos de implantação.
docs.security.com/security	Diretrizes técnicas de toda a Microsoft para estratégia e arquitetura de segurança.

Todos esses recursos foram projetados para serem usados como ponto de partida e adaptados para as necessidades da sua organização.