Você quer segurança “no seu serviço” ou “como serviço”?

Lori Mac VittieEngenheiro Emérito e Evangelista-Chefe | F5

Até recentemente, o mundo da computação em nuvem havia se consolidado em torno de seus principais pilares: SaaS, PaaS e IaaS. No entanto, à medida que os consumidores de serviços em nuvem ampliam seu conhecimento e amadurecem o uso dessa tecnologia, começamos a observar um interesse crescente por soluções que combinam nuvem e serviços gerenciados, especialmente na área de segurança. Para os fins deste blog, vamos chamá-las de “ao seu dispor”*.

Em um ambiente tradicional “como serviço”, poderíamos simplesmente pegar o BIG-IP ASM (nosso firewall de aplicações) e configurar uma excelente malha de serviços F5 Synthesisem algum lugar por aí, como uma nuvem, e oferecê-lo “como serviço”. Do ponto de vista arquitetônico, faz sentido colocar a segurança de aplicações mais perto dos aplicativos que precisam dela, na nuvem, onde ainda hoje há uma escassez de boas alternativas. Os aplicativos hospedados na nuvem precisam tanto (se não mais) de segurança de aplicações quanto os que estão no data center, devido à sua natureza mais pública por definição. O que não necessariamente faz sentido é obrigar as solicitações a passar pelo data center para serem verificadas, depuradas e avaliadas antes de serem enviadas de volta à nuvem. Isso cria um enorme desvio de rota (ou um trajeto de ida e volta, se preferir), já que a maioria dos data centers não está conectada diretamente ao backbone da Internet, ao lado do data center do provedor de nuvem.

A preferência crescente por esse modelo ficou evidente em nosso relatório State of Application Delivery 2015, especialmente no caso dos serviços de segurança.

Mas uma solução de segurança de aplicações baseada em nuvem faz muito sentido. Ela provavelmente está física e topologicamente mais próxima da aplicação que protege do que o data center corporativo, além de oferecer um modelo de cobrança mais adequado às aplicações baseadas em nuvem do que uma solução tradicional instalada localmente.

O problema, no entanto, é que você ainda precisa ter tempo e conhecimento para configurá-la, testá-la e, isto é importante, mantê-la atualizada.

É aí que o “as a” realmente vira um “pain in the”. Porque, para realizar essa tarefa, você precisa do conhecimento e das habilidades de alguém que entenda de segurança e também da aplicação. O que pode ser difícil nestes tempos de bolha da segurança.

As diferenças entre “como serviço” e “ao seu dispor” estão principalmente relacionadas à responsabilidade e ao envolvimento na gestão. Em um serviço “ao seu dispor”, você não está apenas assinando o software ou a solução, mas também a gestão ativa dessa solução por profissionais especializados nessa atividade. No âmbito da segurança, considerando as pressões do macroambiente, como a escassez de profissionais em toda a área de TI — que afeta a segurança da informação de forma particularmente intensa —, a contratação de especialistas em segurança é certamente uma grande vantagem, além de ser potencialmente vantajosa do ponto de vista econômico:

A escassez de profissionais qualificados em TI atingiu proporções epidêmicas. Simplesmente não há profissionais de segurança disponíveis para contratação. Há cinco anos a taxa de desemprego entre os profissionais de segurança da informação permanece abaixo de 2% (e muitas vezes em 0%). A escassez de profissionais com competências em segurança no mercado de trabalho teve um impacto previsível nos salários: segundo a Payscale, em 2014, metade de todos os arquitetos de segurança ganhava mais de US$ 120 mil: isso representa 50% a mais do que a média dos engenheiros de software — e impressionantes 300% do salário de um enfermeiro com licença para exercer a prática avançada. Profissionais com competências em segurança exigem salários mais altos, saem para trabalhar em startups ou são atraídos por empregos mais confortáveis e com cargos melhores (aham). Jon Oltsik, da ESG, escreveu que sua principal previsão para 2015 é: “Impacto generalizado da escassez de profissionais qualificados em cibersegurança.” – David Holmes, evangelista de segurança da F5, Dark Reading

Ao combinar o modelo comercial e operacional da nuvem (multilocação, abstração e cobrança baseada em assinatura/uso) com os benefícios tradicionais de um serviço gerenciado, as organizações obtêm a agilidade e a economia de custos desejadas. Ao fornecer o conhecimento especializado necessário tanto para configurar quanto para manter o serviço, ao mesmo tempo que incentiva a colaboração e a participação ativa do consumidor, o modelo “at your” oferece às organizações os meios para proteger suas aplicações críticas** em qualquer lugar e ter a garantia de que a segurança está assegurada.

* Sim, sei que isso vira a sigla SayS. Não, não tenho certeza se isso é bom. Ou ruim. Talvez os dois.

** Em um mundo movido por aplicações, isso se aplica a praticamente todas elas, não é? Agora, qualificá-las assim parece quase redundante.

Sobre o autor

Lori Mac VittieEngenheiro Emérito e Evangelista-Chefe | F5

Lori MacVittie é engenheira distinta e evangelista-chefe no Escritório do CTO da F5, com ampla experiência em entrega de aplicações, estratégia de automação e infraestrutura. Ela é conhecida por transformar complexidade em clareza, seja definindo diretrizes para agentes de IA, analisando arquiteturas multinuvem frágeis ou investigando os limites de sistemas escaláveis. Ela acumula mais de trinta anos de experiência no setor, abrangendo desenvolvimento de aplicações, arquitetura de TI e operações de redes e sistemas. Antes de ingressar na F5, atuou como editora de tecnologia e recebeu diversos prêmios. MacVittie tem mestrado em Ciência da Computação e é uma autora prolífica, com publicações que abrangem segurança, nuvem e arquitetura empresarial. Ela também é uma entusiasta de jogos de tabuleiro e videogames, além de ter opiniões assumidamente fortes sobre queijos.

Mais publicações de Lori Mac Vittie