Quando a Lei de Modernização da Tecnologia Governamental (MGT Act) foi promulgada em 2017, seu objetivo era fornecer às agências recursos que pudessem ser aplicados em seus esforços de modernização de TI, inclusive na área de segurança cibernética. As agências podiam solicitar recursos ao Fundo de Modernização Tecnológica, criado para ajudá-las a abandonar sistemas legados e investir em tecnologias ágeis e transformadoras.
Como se constatou, a criação da Lei MGT mostrou-se ainda mais visionária do que qualquer pessoa poderia ter imaginado.
Devido à COVID-19, acelerou-se consideravelmente a necessidade de modernizar sistemas legados de segurança cibernética e migrar para a nuvem. A pandemia também abriu uma brecha para que hackers mal-intencionados explorem vulnerabilidades por meio de uma ampla variedade de táticas, desde ransomware até ataques DDoS/DoS, entre outras. De fato, no início deste ano, o Departamento de Segurança Interna dos EUA e o Centro Nacional de Segurança Cibernética do Reino Unido emitiram um alerta contundente sobre o aumento de malware e ransomware.
É claro que as ameaças à segurança já estavam aumentando muito antes da COVID-19. De acordo com um relatório publicado pela Verizon no início da pandemia, o ransomware foi responsável por 61% dos incidentes envolvendo malware no setor público, enquanto 33% das violações foram causadas por agentes internos. Além disso, um relatório do início de 2020 da Agência de Segurança Cibernética e de Infraestrutura (CISA) observa que “agentes cibernéticos estrangeiros continuam explorando vulnerabilidades de software conhecidas publicamente — e muitas vezes antigas — contra uma ampla gama de alvos, incluindo organizações dos setores público e privado”.
Não há perímetro
No entanto, a COVID-19 ampliou a superfície de ataque. O trabalho remoto agora é a norma, e os usuários dependem cada vez mais de aplicações baseadas na nuvem. À medida que mais servidores públicos trabalham de casa, as demandas por capacidade e segurança têm sobrecarregado sistemas e processos.
Esses fatores representam desafios para as equipes de segurança de TI responsáveis por proteger redes cada vez mais distribuídas e uma série de aplicações potencialmente vulneráveis. Se antes elas podiam contar com soluções de segurança tradicionais para proteger os perímetros de suas redes, hoje praticamente não existem mais perímetros.
Dessa forma, as organizações devem considerar investir os recursos da Lei MGT em diversas formas de proteção dinâmica para garantir a segurança em diferentes frentes. Por exemplo, o monitoramento do acesso de usuários privilegiados e a implementação de protocolos de gerenciamento de identidades garantem que apenas as pessoas certas tenham acesso à rede e a informações altamente confidenciais. Enquanto isso, as ferramentas de segurança de aplicações oferecem proteção contra vulnerabilidades de API, injeção, ataques de cross-site scripting e muito mais.
As organizações também devem garantir que suas políticas de segurança sejam consistentes em plataformas de nuvem múltipla ou híbrida, que podem oferecer grande flexibilidade e redução de custos, mas também introduzir um enorme grau de complexidade. Diferentes provedores de nuvem seguem políticas distintas — incluindo modelos de responsabilidade compartilhada, que estabelecem que o cliente é responsável pela segurança dos dados —, e pode ser difícil obter uma visão clara da segurança das aplicações em várias nuvens. Automatizar a segurança em ambientes locais e em diversos ambientes de nuvem pode garantir que as aplicações estejam sujeitas às mesmas políticas e permaneçam seguras, independentemente de onde estejam hospedadas.
Uma estrutura para o sucesso
À medida que os órgãos públicos avaliam investir os recursos disponíveis em novas tecnologias de segurança cibernética, eles também devem começar a desenvolver estruturas de segurança cibernética que os ajudem a colocar essas tecnologias em prática. A Estrutura de Segurança Cibernética do Instituto Nacional de Padrões e Tecnologia (NIST) é um ponto de partida ideal.
A Estrutura de Segurança Cibernética do NIST ajuda os órgãos públicos a estabelecer melhores práticas de gestão de riscos por meio de uma abordagem holística do ciclo de vida. Seguindo as diretrizes estabelecidas pelo NIST, os órgãos avaliam e mitigam continuamente os riscos por meio de cinco funções essenciais: identificar, proteger, detectar, responder e recuperar. As tecnologias mencionadas anteriormente se enquadram perfeitamente em todas essas categorias, pois proporcionam visibilidade sobre possíveis vulnerabilidades e formas de corrigi-las em caso de violação.
O Framework de Segurança Cibernética do NIST é uma ferramenta útil, pois oferece às organizações uma estrutura padronizada por meio da qual elas podem criar programas de segurança altamente adaptáveis. Ele proporciona flexibilidade para que as organizações possam personalizá-lo de acordo com suas necessidades específicas, ao mesmo tempo que fornece um modelo comum para gerenciar riscos e lidar com vulnerabilidades. As organizações podem incorporar suas próprias políticas de segurança ao Framework e, simultaneamente, aproveitar os padrões e as práticas recomendadas pelo NIST.
Não pague o preço
De acordo com um relatório recente do Ponemon, o custo médio de uma violação de dados é de impressionantes US$ 3,86 milhões. É um valor exorbitante, sobretudo considerando que muitas organizações — inclusive órgãos governamentais — agora precisam fazer mais com menos, à medida que os orçamentos continuam encolhendo em decorrência da pandemia.
Claramente, as agências não podem se dar ao luxo de baixar a guarda, tanto no sentido literal quanto no figurado. Este é o momento de investir parte dos recursos disponibilizados pela Lei MGT em soluções modernas e automatizadas de segurança cibernética, que protegerão contra ameaças em constante evolução, preservando dados e potencialmente economizando milhões de dólares. Saiba mais sobre como as soluções da F5 ajudam as agências federais a proteger suas redes, reduzir custos e cumprir suas missões.
Por Michael Coleman, líder de Engenharia de Soluções para o Governo Federal na F5
Sobre o autor
Publicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...