Com um número crescente de ataques cibernéticos ocorrendo todos os dias, é essencial para as empresas — especialmente as empresas digitais — integrar estratégias de segurança cibernética que não apenas as ajudem a reagir a ataques, mas também evitem o surgimento de ameaças.
Uma das maneiras pelas quais as empresas podem fazer isso é por meio de uma abordagem Zero Trust, que examina cada interação externa de um produto ou serviço e, portanto, reduz o risco de um ataque a pontos únicos de exposição por vez. A abordagem foi tema de discussão em uma mesa redonda de especialistas organizada pela AWS e Palo Alto, em associação com a YourStory, intitulada ‘Capacitando a segurança cibernética com confiança zero‘, realizada em Nova Deli em 25 de novembro de 2022.
Moderado pelo diretor de conteúdo da YourStory, Brand Solutions Varnika Guptaa discussão incluiu vários especialistas em segurança cibernética e profissionais do setor: Sunil Kumar – CTO, Shiprocket; Archie Jackson – Diretor sênior, chefe de TI e segurança cibernética, Incedo Inc; Deepak Kapoor – Vice-presidente Executivo de Tecnologia, RateGain; Bibhu Krishna – Responsável de TI, Grupo PB; Riyaz Tambe – Diretor – Prisma Cloud Systems and Consulting Engineering, JAPAC, Palo Alto; e Lalit Kumar – Arquiteto principal de segurança, AWS.
Lalit abriu a discussão estabelecendo que a segurança cibernética era mais do que apenas uma necessidade e que também ajudava a agregar valor às empresas. “Quando começamos a olhar para a segurança cibernética de uma perspectiva de negócios – especificamente neste mundo da nuvem – estamos vendo isso como uma tendência de criação de valor. Se você está construindo um produto e criou uma empresa a partir dele, o que impede que outros construam um produto similar? Qual é o diferencial entre as duas organizações? Um dos principais diferenciais é a segurança. Se sua empresa puder ser prejudicada pela falta de controles de segurança, seu concorrente vencerá. Portanto, a segurança agrega valor ao seu negócio, como as pessoas confiam em você”, disse Lalit.
Riyaz acrescentou que, com mais e mais empresas migrando para a nuvem, a segurança se tornou uma prioridade maior nos últimos anos, especialmente durante a pandemia. No entanto, um desafio ao dimensionar as ofertas de segurança nas empresas era uma lacuna de habilidade. Ele explicou: “Skill, eu acho, sempre jogará um jogo de recuperação. A demanda é muito maior e a segurança é algo que — principalmente no espaço da nuvem — se torna um pouco desafiador. De um lado, temos pessoas que são desenvolvedores ou equipes de DevOps que são muito boas com esse aspecto das coisas e, por outro lado, há profissionais de segurança que têm um bom entendimento do cenário de ameaças. Obtendo uma combinação desses dois, acho que é onde há um espaço aberto.”
No setor de logística, Sunil disse que cada nó de dados digitais dentro da cadeia de suprimentos está aberto a ameaças, pois há vários dispositivos interconectados que transmitem dados constantemente. A visibilidade dos dados, no entanto, foi algo que ajudou a Shiprocket a proteger seus processos. “O Zero Trust começa desde a primeira vez que você planeja um recurso específico a ser construído. Seja tão simples quanto uma API através da qual você precisa expor dados. Que tipo de dados fluirá, quais são os mecanismos de autenticação apontados – como sua observabilidade está integrada? Em cada etapa, você deve garantir que seja capaz de tomar ações corretivas rapidamente, para não ter que ir para o começo”, explicou Sunil, acrescentando que as ofertas de SaaS estavam ajudando as empresas a ficarem muito mais conscientes de segurança.
Deepak concordou que a visibilidade ajudou a prevenir e rastrear ameaças de uma perspectiva operacional, juntamente com a implementação de zonas de automação e isolamento em seu produto, uma vez que ocorreu um ataque. A forma como as empresas reagiram a um ataque também fez a diferença. “Um ataque pode acontecer de qualquer direção e teoricamente você pode estar pronto para isso. Mas também é necessário um mecanismo de resposta sólido. Depois que o ataque acontece, você precisa entender como a pequena mancha se espalha e como você se recupera dela e como fica mais forte”, disse ele, acrescentando que manter uma política de “mesa limpa” – onde nenhuma cópia autônoma de dados é made — para desenvolvedores e equipes de ciência de dados pode ajudar a prevenir ataques.
Archie também falou sobre a importância de integrar protocolos de segurança desde o início da criação de produtos e serviços. “Antes de tudo, a segurança é uma mentalidade que deve ser planejada. Se estivermos olhando para alguma coisa, sem uma visão holística, a segurança não pode ser implementada”, disse ele, acrescentando: “Zero Trust é uma abordagem sem a qual, neste momento e além, não seremos capazes de executar nenhum negócio. Portanto, essa abordagem precisa ser incorporada em toda a arquitetura, não se limitando a segmentos. É isso que estamos fazendo.”
À medida que a discussão avançava para uma conversa focada no desenvolvedor, Riyaz disse que o desenvolvedor e a comunidade profissional de segurança precisavam se aprimorar e se requalificar para se preparar para qualquer ameaça. “Acho que a taxa em que estamos vendo a evolução no espaço de segurança, especialmente no ambiente nativo da nuvem, é muito rápida. E há tantos novos recursos que continuam surgindo, principalmente devido à disponibilidade de ferramentas de código aberto”, concluiu Riyaz.