O valor comercial de Security Service Edge (SSE) e a jornada SASE e Zero Trust

Não sou muito bom com siglas e jargões. Assim como muitos executivos, meus olhos reviram quando me deparo com uma sopa de letrinhas de termos de tecnologia que supostamente “devo” saber. 

Sendo assim, por que o título deste artigo inclui Security Service Edge (SSE), Secure Access Service Edge (SASE) e Zero Trust? Apesar do nosso descaso justificado por siglas, as ideias por trás desses termos são realmente importantes para os líderes empresariais. Na pressa (por parte dos fornecedores de tecnologia e analistas) de introduzir esses termos no mercado, estamos confundindo a mensagem e ofuscando o valor que eles têm para a empresa. 

De forma simples: se eu sou um líder empresarial, principalmente de uma área não técnica, por que eu deveria me importar com o significado de SSE, SASE e Zero Trust?

Eu digo o porquê. Como empresas, nós construímos nossos ambientes de TI em torno de dois princípios: 1) pessoas trabalhando em escritórios; e 2) aplicações e dados armazenados em data centers. Nenhum desses princípios continua válido, e a pandemia tem sido um catalisador para uma evolução ainda mais rápida. Os líderes de segurança já começaram a implementar mudanças para que as pessoas possam trabalhar de forma produtiva em qualquer lugar, mas ainda há muito trabalho a ser feito. 

Mas essa jornada vale a pena. Ela melhorará a agilidade na forma como você lança o seu produto ou serviço. Garantirá a segurança dos seus ativos, de pessoas e dos dados mais importantes, onde quer que eles estejam. Ela também permitirá quebrar os silos organizacionais para ajudar seu pessoal a trabalhar em conjunto, de forma mais próxima e multifuncional do que jamais trabalharam antes. Significa tornar a cibersegurança uma responsabilidade para todos os envolvidos.

Essa jornada também ajudará as organizações a economizar dinheiro. Os investimentos tradicionais em segurança são tipicamente financiados pela contenção de custos, na forma de custos reputacionais e monetários de uma violação ou um ataque de ransomware. Ao contrário do financiamento incremental desses investimentos tradicionais em segurança, as organizações podem ter sucesso em suas jornadas SSE usando a economia proveniente da consolidação de soluções pontuais e produtos de segurança existentes, reduzindo os custos de rede e conectividade e, ainda, simplificando as operações através da consolidação de equipes e da redistribuição de recursos e pessoas para outras necessidades da organização.

SSE, SASE e Zero Trust são termos confusos, mas as ideias inerentes a eles, quando compreendidas de forma correta, podem explicar, de forma elegante, essa jornada — que agora é completamente necessária para todas as empresas do mundo. 

Onde chegamos e para onde vamos

SASE é uma arquitetura — um projeto para convergir funções anteriormente separadas de segurança e rede, de forma a maximizar o valor e a utilidade da nuvem. SSE é o conjunto de serviços de segurança que habilitam essa arquitetura SASE de forma segura. Zero Trust é um conjunto de princípios que ajudam a guiar nossa jornada e a implementar o SSE dentro de uma arquitetura SASE. Mas antes de abordarmos essas ideias, primeiro vamos analisar o que nos trouxe ao estado atual da tecnologia e a necessidade de evoluir a forma como fornecemos segurança.

As pessoas estão trabalhando em qualquer lugar, usando qualquer dispositivo. Essa tendência foi ainda mais acelerada pela pandemia mundial, quando todas as empresas mudaram para o trabalho remoto ou híbrido. Antes da pandemia, nossos ambientes não estavam acompanhando essa mudança. No entanto, com a pandemia, se mostraram ainda mais atrasados e precisam mudar ainda mais rapidamente para se recuperar. 

Temos uma força de trabalho mais digitalmente nativa dia após dia. Sabe qual é o idioma (falado ou codificado) mais aprendido no mundo neste momento? Python. Não podemos dizer a nossos nativos digitais que eles não podem resolver problemas usando a tecnologia. Hoje em dia, pesquisar no Google a forma de resolver um problema já é um comportamento automático, e eles desenvolvem soluções para problemas usando o que encontram nessas pesquisas. Às vezes, essas soluções são aplicações SaaS. Quando nossos funcionários buscam uma aplicação SaaS gratuita para fomentar a produtividade, muitas vezes falamos que é um caso de shadow IT. Mas, como o CIO de uma renomada fabricante de peças de automóveis me contou recentemente, relembrando as palavras de seu próprio CEO, isso não é “shadow IT”, mas sim business IT. É usar a tecnologia disponível para resolver um problema empresarial, então precisamos encontrar uma maneira de incentivar essa iniciativa em vez de tentar impedi-la. 

Os dados da empresa estão por toda a parte. Parafraseando meu amigo Joan Holman, CIO do escritório de advocacia global Clark Hill, todos os nossos tesouros costumavam estar em nosso data center. Pense nele como um castelo, cercado por um fosso. Mas, com a chegada da nuvem e com a generalização do home office trazida pela pandemia da covid-19, o fosso secou e todos saíram do castelo com todos os tesouros, e não fazemos ideia para onde foram. Como descrito por um colega, Steve Riley, estamos passando de um estado com um único data center para múltiplos data centers. 

As ameaças estão ficando mais sofisticadas. Você provavelmente já ouviu o termo “omnichannel” no varejo; agora, temos um omnichannel em ameaças de cibersegurança, desde ataques de phishing embutidos em mensagens de texto aparentemente muito realistas até a exploração ativa de erros de configuração e mau gerenciamento da postura na nuvem. Grande parte disso remonta à forma como protegemos os dados quando eles fluem por toda parte, por toda a nuvem, às vezes sem controle. Para usar apenas um exemplo recente conhecido, os dados estão se movendo para aplicações baseadas na nuvem pública, e a vulnerabilidade log4j está ficando exposta em muitas nuvens públicas, o que significa que muitos dados estão potencialmente em risco. 

O diagrama acima representa a forma como conceitualizamos o SASE na Netskope. O diagrama tem muitas palavras, mas tudo o que está nele resolve um problema específico e tem implicações diretas na forma como você traduz seus gastos com tecnologia de segurança em possibilidade de gerenciar riscos de maneira eficaz, tornando seu negócio mais ágil e mais produtivo. No entanto, a chave para o que chamamos de SSE e SASE Inteligentes é que eles vão além de todas essas peças individuais, para também descrever como elas combinam. 

Parte dessa integração são os princípios de Zero Trust, que são aplicados por meio da arquitetura SASE para ajudar a obter Confiança Adaptativa Contínua. Esse é um estado no qual o acesso em tempo real e os controles de políticas se adaptam de forma contínua com base em uma série de fatores contextuais, incluindo a higiene de segurança de usuários, os dispositivos que estão operando, as aplicações e as instâncias distintas (ou seja, pessoal ou empresarial) que estão acessando, as ameaças que estão presentes e a sensibilidade dos dados que estão tentando acessar. Não estamos mais confiando, como nos velhos tempos, mas sim validando; agora estamos validando e só depois confiando. 

Obter uma Confiança Adaptativa Contínua pode ajudar a reduzir o risco e, considerando um panorama mais amplo, uma arquitetura SASE com recursos de SSE pode ajudar a oferecer agilidade e a reduzir os custos. Para elevar esta conversa além do nível da tecnologia, vemos esses valores comerciais se manifestarem da seguinte forma:

• Risco, em que você protege os ativos essenciais, assegura a resiliência dos sistemas e de sua empresa e melhora a higiene de segurança de seus usuários para transformar seus funcionários em melhores cidadãos digitais
• Agilidade, em que você melhora a experiência do funcionário, aumenta a velocidade de aquisição de novas capacidades de segurança e toma decisões orientadas por dados com informações melhores do que nunca
• Custo, em que você reduz o custo total de propriedade, alcança melhor eficiência operacional e corta os custos de seu demonstrativo de lucros e perdas, graças à consolidação de fornecedores e à transferência da segurança da rede para a nuvem, de modo que sua antiga infraestrutura só seja acessada quando for absolutamente necessário

Há muitos casos de uso em que os benefícios desta criação de valor se aplicariam tanto a curto como a longo prazo. Falarei em detalhes sobre cada um deles em artigos futuros, mas, por enquanto, considere:

• Fusões e Aquisições (M&A): como podemos colaborar de forma melhor e mais rápida em uma transação complexa de fusão e aquisição envolvendo a combinação de equipes, ferramentas e processos? No processo de auditoria prévia, como podemos avaliar os riscos potenciais de uma aquisição? Como obter visibilidade no ambiente em nuvem, de uma aquisição e colocar melhores controles dentro dela? Como podemos simplificar o acesso a aplicações e dados sem aumentar o risco, sem afetar a experiência do usuário e sem esperar por hardware enquanto eliminamos hardware e tecnologias redundantes? E como proporcionar acesso remoto seguro sem depender de hardware — o setor que atualmente está sendo mais afetado por problemas globais em supply chain? 

• Shadow IT: como podemos conectar ainda mais a nossa equipe para discutir os problemas que estão tentando resolver e padronizar uma solução com a TI, em vez de perseguir constantemente e/ou tentar controlar as atividades de “shadow IT” que acontecem em silos? Lembre-se: o que chamamos de “shadow IT” é, na verdade, business IT — os usuários não estão usando essas soluções para cometer um ato ilegal, eles estão fazendo isso para resolver as coisas. Então, como os líderes de TI podem se envolver melhor com os usuários sobre os problemas que precisam resolver e potencialmente alavancar os investimentos existentes, antes que se apeguem emocionalmente a novas aplicações que são, em última análise, redundantes ou que não têm a postura segura desejada? 

• Governança de nuvem pública: como garantimos que outras equipes dentro da nossa organização estão se desenvolvendo em ambientes de nuvem pública com os controles de segurança, postura e visibilidade necessários? Podemos redirecionar nossos usuários para trabalhar nesses ambientes de nuvem pública aprovados desde o início, para não nos surpreendermos com um projeto de transformação digital quando for feito o comunicado à imprensa?

• Coaching em tempo real: se queremos orientar nossos usuários a tomar melhores decisões em tempo real, como podemos superar a oferta de um treinamento trimestral ou anual de conscientização de segurança e realmente aplicar um melhor comportamento em tempo real? Podemos redirecioná-los para os aplicativos e processos certos que queremos que utilizem e, no fim, torná-los melhores cidadãos digitais? Como podemos usar os dados de inteligência de uma plataforma SSE para tornar o treinamento de conscientização mais direcionado?

• Proteção de dados: para usar apenas um exemplo de como proteger melhor os dados em movimento na nuvem, como podemos usar a IA e o aprendizado de máquina para evitar a exfiltração de dados (incluindo imagens, capturas de tela e quadros brancos digitais), acidental ou maliciosamente? Além disso, como podemos garantir que não estamos violando nenhuma lei ou regulamento sobre privacidade de dados?

SSE e SASE configurados corretamente contribuem diretamente para todos os resultados acima e permitem resolver problemas a nível empresarial sem comprar “mais” ou forçar sua infraestrutura antiga às necessidades para as quais ela nunca foi projetada. 

Seja qual for a forma de abordar essas conversas sobre SSE e SASE com a sua equipe, ressalte a ideia de uma jornada com um impacto a longo prazo. Muitas vezes, você terá que pedir que partes interessadas céticas se associem a você nessa jornada. Não tem como chegar lá usando apenas siglas. Mas quando você destaca o valor comercial dentro de cada um desses conceitos e mostra como todas as peças podem se encaixar perfeitamente entre si, você alcança o sucesso. 

Conecte-se comigo no LinkedIn e me avise como você explicaria o SSE ou SASE em termos de estratégia de negócios. 

Se tiver curiosidade em saber quais tendências de segurança estão por vir em 2022, principalmente em relação ao SSE, baixe uma cópia do relatório Previsões do Gartner para 2022.