Que semanas difíceis tem sido para o Twitter, desde a demissão de metade de sua força de trabalho e o lançamento apressado de um selo de verificação pago para pessoas e marcas, até a suspensão não intencional de alguns usuários por conta de problemas com autenticação multi-fator (MFA). Soma-se a isso, o desligamento de executivos-chave dos grupos de Segurança da Informação, Privacidade e Conformidade. E tudo isso relatado com o aviso de “até o momento”, porque a situação está mudando diariamente!
À primeira vista, pode parecer que tudo isso tem um impacto maior sobre os indivíduos do que sobre os negócios, mas a situação como um todo mostra como a percepção de uma empresa pode mudar facilmente da noite para o dia e levanta questões importantes sobre a estabilidade das posturas de segurança entre os provedores. Então, o que podemos aprender com o que está acontecendo no Twitter?
Em primeiro lugar, devemos reconhecer que, apesar da aquisição do Twitter ter sido muito discutida, boa parte dessas mudanças não foi anunciada com antecedência. Isto nos diz que a postura de segurança e privacidade de uma organização que hospeda nossos dados pode ser alterada da noite para o dia, e com ela nosso perfil de risco de segurança cibernética também. O quão preparada a sua organização está para um acontecimento desse tipo? O quanto sua segurança depende de controles nativos dentro da própria tecnologia do seu provedor de aplicações? O quão capaz você é de ativar rapidamente controles de segurança da nuvem no caso de qualquer mudança em sua aplicação ou provedor de serviços?
Quando algo do tipo acontece com qualquer fornecedor de tecnologia que armazene dados organizacionais, as equipes sentem vontade de elaborar planos de risco e fazer perguntas como:
- Que impacto isso tem na disponibilidade de serviços?
- Isso afetará as atualizações do serviço?
- Isso muda a comunicação que temos com o fornecedor e pode afetar nossa capacidade de resolver problemas?
De acordo com o modelo de responsabilidade compartilhada, as organizações devem ter um mapa de controles e direcionamentos que devem ser revisados frequentemente para antecipar quaisquer mudanças de risco que sejam consequência de decisões importantes tomadas nos negócios de um fornecedor. Os processos devem ser bem definidos, documentados e continuamente verificados para que a organização esteja sempre um passo à frente de qualquer problema.
Em segundo lugar, isto nos lembra do risco organizacional crescente que o armazenamento e a troca dados sensíveis em uma infinidade de aplicações SaaS por colaboradores representa, já que boa parte delas não está sob o controle das equipes de TI. Embora, aparentemente, permitir o uso de uma aplicação SaaS confiável (mas não gerenciada) pareça não representar um risco tão grande quanto o uso de um serviço de transferência de arquivos não confiável com uma política de privacidade ruim, a divulgação de dados em toda parte só aumenta o risco de exposição. Esse é o motivo pelo qual muitas organizações estão escolhendo não apenas limitar os serviços SaaS não gerenciados que seus funcionários podem utilizar, como também implementar políticas de acesso baseadas em zero trust para determinar a quantidade e os tipos de dados que podem ser expostos a tais serviços.
Por último, temos que considerar a possibilidade de que um ou mais dos milhares de funcionários desligados (ou ainda contratados, mas insatisfeitos), possam ser capazes de sabotar o serviço, exfiltrar dados sensíveis, ou simplesmente cometer erros porque estão estressados e sobrecarregados. Como uma ameaça interna (potencialmente em grande escala) afetaria sua organização se questões semelhantes ocorressem em um de seus provedores de aplicações ou de cloud computing?
Como em qualquer estratégia de segurança cibernética, temos que buscar equilíbrio entre risco e benefício comercial, portanto, enquanto as organizações continuam a consumir serviços de nuvem em um ritmo crescente, talvez as consequências para o Twitter sirvam como exemplo para aumentar a conscientização da diretoria em relação aos novos tipos de risco. Além disso, será que talvez esse acontecimento também possa nos ajudar, enquanto profissionais de infraestrutura e segurança, a justificar nossos programas e o investimento contínuo tanto em controles de segurança na nuvem quanto em estruturas de segurança de zero trust?
Se você gostaria de saber mais sobre os riscos de expansão de dados, leia o Relatório de Nuvem e Ameaça de julho de 2022: Nuvem de dispersão de dados.
