Debatendo segurança em Cloud Computing – Parte 02

Cada vez que o assunto Cloud Computing surge em uma reunião, a questão da segurança aparece em primeiro lugar. Sendo assim, nada mais natural que eu volte a falar desse tema. Neste segunda parte, vou abordar os provedores externos de infra-estrutura em nuvem, os provedores de IaaS. Acompanhe a primeira parte, na qual já falei um pouco sobre a prática da segurança nas nuvens e o futuro dessa questão.

Analisando provedores e níveis de segurança

No caso dos provedores de IaaS, o primeiro lembrete é que eles não são iguais. Ou seja, cada provedor, apesar das aparentes similaridades dos recursos de segurança quando olhamos superficialmente a questão, oferece níveis de segurança bastante diferentes quando nos aprofundarmos na análise.

É inevitável. A experiência, a capacitação e o poder financeiro por trás do DNA corporativo de cada provedor vai se traduzir em diferentes processos de gestão de segurança.

Um provedor de hosting voltado a pessoas físicas e a pequenas empresas, que se lança como provedor de cloud, não tem a experiência acumulada de uma outra empresa que há anos se dedica a terceirizar serviços de outsourcing para empresas extremamente exigentes quanto à segurança, como bancos e operadoras de cartões de crédito.

Alguns exemplos: Qual o nível de controle de segurança física e gerencial oferecido pelo provedor nos seus data centers? Existem tecnologias adequadas para mitigar os efeitos de ataques DDoS (Distributed Denial-of-Service)? Quais os recursos oferecidos pelo provedor para detecção de intrusões? Quais os recursos oferecidos para garantir o isolamento das máquinas virtuais de diferentes clientes que compartilham os mesmos servidores físicos?

Outro aspecto que deve ser analisado nos provedores externos é a questão do IAM (Identity and Access Management). Sugiro validar se e como os funcionários do próprio provedor acessam as máquinas virtuais dos clientes. 

Limites e autorizações para acessos aos dados

No caso de funcionários do provedor terem acesso para atividades operacionais como debug ou atualização de patches, esse acesso é auditado e rastreável? No caso de acesso pelos clientes, o provedor tem procedimentos que garantam que apenas os usuários autorizados acessem as máquinas virtuais desses clientes?

Além disso, o discurso comercial pode induzir algumas confusões adicionais. Muitos provedores argumentam que por possuírem um nível de auditagem SAS 70 Type II serão absolutamente seguros. Não é verdade, pois o SAS 70 não revisa a eficácia dos processos e controles de segurança, mas apenas checa se tais procedimentos existem e se estão documentados.

Outra confusão aparece quando se analisa o provedor perante requerimentos como o Sarbanes-Oxley Act (SOX). Muitas vezes, o provedor apenas cumpre parte dos requerimentos e pode acontecer que tais partes não estejam à altura do nível de compliance de sua empresa.

Assim, não basta saber que o provedor está compliance com SOX ou PCI  DSS (Payment Card Industry Data Security Standard). É necessário que você verifique com cuidado se o nível de compliance dele é adequado às suas necessidades.

Infraestrutura e responsabilidade nas nuvens

No final das contas, apesar de o provedor oferecer processos e controles de segurança adequados, sua empresa é a responsável final pela segurança. No caso de infra em nuvem (IaaS), não esqueça que estamos falando de servidores virtuais, e o controle de acesso lógico aos aplicativos e aos dados é de responsabilidade dos usuários da nuvem e não do provedor. 

O que significa tudo isso? Simples. A responsabilidade pela resiliência da infra em nuvem é compartilhada tanto pelo provedor como pelos seus clientes. O provedor tem que garantir a resiliência do data center e dos servidores. Os aplicativos são de responsabilidade da empresa.

Após avaliar todos esses procedimentos, a mensagem final é para avaliar cuidadosamente os provedores, filtrar os discursos comerciais e analisar em detalhes os processos e os controles de segurança oferecidos.