Políticas comuns ou serviços nativos — como lidar com a segurança em ambientes multinuvem

Políticas comuns ou serviços nativos — como lidar com a segurança multicloud

Os serviços nativos de segurança em nuvem reduzem a eficiência operacional em ambientes multicloud.

A segurança de aplicações está sendo incorporada às etapas iniciais do desenvolvimento. Como resultado, as equipes de DevOps estão assumindo cada vez mais responsabilidades pela segurança. Embora a experiência dessas equipes com os processos do ciclo de vida de desenvolvimento permita introduzir requisitos de segurança de forma eficaz logo no início do ciclo de vida do software, elas podem não ter os recursos necessários para prever ameaças nem conhecimentos suficientemente abrangentes para implementar as diversas soluções e políticas de segurança necessárias à proteção de aplicações modernas.

Os serviços de segurança nativos da nuvem oferecem às equipes de DevOps e aos desenvolvedores das unidades de negócios opções específicas para cada plataforma, que atendem bem a muitos requisitos de aplicações. No entanto, à medida que as organizações adotam cada vez mais soluções multinuvem, os custos desses serviços nativos começam a superar os benefícios. Embora poucos serviços de segurança fossem suficientes em uma única plataforma de nuvem, são necessários muitos serviços para oferecer a mesma proteção em duas ou mais plataformas. Cada plataforma tem seus próprios requisitos de gerenciamento de identidades, políticas de segurança, APIs e procedimentos de gestão, o que reduz a eficiência geral. Aumentar a eficiência operacional e a segurança é uma das principais prioridades das iniciativas de transformação digital e dos objetivos da liderança empresarial.

Redução da eficiência devido à sobrecarga de gerenciamento

A complexidade de implementação e gerenciamento associada aos serviços de segurança nativos é a primeira fonte significativa de ineficiência operacional. As dificuldades relacionadas ao gerenciamento de todos os componentes de vários serviços de segurança nativos podem ter graves consequências negativas para uma empresa. Lacunas de segurança decorrentes de configurações incorretas foram exploradas em 66% dos ataques (seja por invasores que exploraram uma falha no firewall de aplicações web para acessar credenciais de contas, seja por invasores que se aproveitaram de um recurso configurado incorretamente). Os engenheiros de DevOps têm a tarefa de encontrar a maneira mais rápida possível de lançar produtos no mercado. Reduzir a sobrecarga associada à manutenção e à compreensão das políticas de segurança em vários provedores de nuvem permite que as equipes de DevOps concentrem melhor sua atenção e seus recursos nesse objetivo.

Migrar para um fornecedor terceirizado capaz de implementar uma política de segurança consistente em todas as aplicações de um ambiente multinuvem pode reduzir significativamente a sobrecarga de implementação de segurança que recai sobre as equipes de DevOps. O uso desse tipo de serviço pode reduzir a frequência com que configurações de segurança incorretas são enviadas para ambientes de produção. Isso simplifica a integração de políticas e configurações em pipelines de CI/CD ao fornecer às equipes de DevOps um conjunto de ferramentas de automação que podem ser usadas para padronização, o que, por sua vez, permite integrar os serviços de segurança às cadeias de ferramentas de automação empresarial existentes.

Redução da eficiência devido à menor visibilidade da segurança da infraestrutura em nuvem

A baixa visibilidade da segurança da infraestrutura de nuvem é outra causa da redução da eficiência operacional decorrente do uso de serviços de segurança nativos. Embora as organizações se beneficiem de uma implantação mais rápida ao usar serviços nativos, 36% dos participantes da pesquisa admitem que esses serviços nativos não oferecem visibilidade adequada da infraestrutura de segurança da nuvem. Embora as equipes de DevOps assumam cada vez mais a implantação e o gerenciamento da segurança de aplicações, a supervisão da segurança corporativa e a geração de relatórios ainda são responsabilidades das equipes de SecOps. O uso de serviços de segurança de nuvem distribuídos e nativos significa que, por padrão, os relatórios e as análises de segurança também serão distribuídos e específicos de cada nuvem. A natureza distribuída das análises dificulta a compreensão do cenário de segurança do sistema como um todo. Como resultado, as equipes de SecOps talvez só consigam fornecer recomendações isoladas e específicas para cada provedor. O uso de serviços de segurança comuns, implementados por meio de um fornecedor padronizado de segurança multinuvem, garante que as mesmas políticas de segurança sejam compartilhadas entre todas as aplicações. Isso permite que as equipes de SecOps façam recomendações com base em análises de segurança compartilhadas, beneficiando todo o sistema.

Redução da eficiência devido ao aumento da sobrecarga de conformidade

A necessidade de adotar uma estratégia de segurança multinuvem que garanta a conformidade entre diferentes provedores de nuvem é outra fonte de ineficiência operacional dos serviços de segurança nativos. As equipes de DevOps precisam cumprir tanto os requisitos internos de segurança quanto os do setor. Historicamente, as equipes centralizadas de segurança da informação ajudam a estabelecer e auditar controles de segurança em todas as aplicações, especialmente em organizações dos setores de saúde e serviços financeiros que trabalham com informações pessoais confidenciais ou protegidas. Com o deslocamento da segurança de aplicações para a esquerda, o DevOps agora é tão responsável quanto o SecOps por manter o alinhamento com os requisitos de segurança corporativa. É difícil manter esses requisitos quando as políticas de segurança nativas são exclusivas de um provedor de nuvem específico, seja ele AWS, Azure ou Google Cloud. As auditorias também se tornam menos eficientes. A implantação de políticas de segurança comuns e multinuvem reduz o tempo gasto na auditoria das configurações de segurança. A adoção de soluções de visibilidade pode permitir que uma organização crie um ponto único de acesso, reduzindo a complexidade dos testes de conformidade e melhorando a colaboração entre as equipes.

A adoção de políticas de segurança comuns melhora a eficiência do DevSecOps

As mudanças nas práticas de desenvolvimento de aplicações ampliaram as responsabilidades relacionadas à segurança que ficam a cargo do DevOps. Por isso, é mais adequado chamar essas equipes de DevSecOps e reconhecer essa abordagem como parte do modelo operacional de segurança SecOps. O uso contínuo de políticas de segurança nativas e específicas de cada provedor aumenta significativamente a sobrecarga de gerenciamento, eliminando grande parte dos benefícios do modelo DevOps. A padronização em torno de uma solução corporativa de segurança multinuvem aumenta a eficiência operacional e cria oportunidades de conexão com novos parceiros estratégicos de segurança, reduzindo o risco de perda de eficiência operacional na migração para um ambiente multinuvem.

Conteúdo relacionado

Laboratório do F5 Cloud Services agora no GitHub

Saiba como os profissionais de DevOps estão se adaptando a um mundo focado em aplicações.