Por que toda agência federal precisa de uma estratégia de aplicações empresariais e como criar uma

Introdução

Os executivos de TI das agências federais dos EUA precisam encontrar um equilíbrio delicado para gerar mais valor e, ao mesmo tempo, reduzir desperdícios e minimizar as perdas decorrentes de ataques cibernéticos. Por um lado, os líderes de TI devem adotar as tecnologias mais recentes para aumentar a eficiência, gerar mais valor e economizar o dinheiro dos contribuintes. Por outro, enfrentam um cenário de ameaças em constante evolução e expansão, cuja mitigação exige recursos significativos. Em suma, em cada iniciativa e decisão, eles precisam inovar e proteger. Para conciliar esses objetivos aparentemente opostos, os líderes federais de TI devem desenvolver uma estratégia de aplicações corporativas adaptada à missão de sua organização.

Dando início à Era das Aplicações

65% dos entrevistados na pesquisa Estado dos Serviços de Aplicativos da F5 em 2019 afirmaram que suas organizações estão passando por uma transformação digital. A transformação digital é uma nova maneira de as organizações usarem a tecnologia para promover melhorias significativas no desempenho e na produtividade dos usuários.

Em suma, os aplicativos estão se tornando o próprio negócio ou a própria missão.

Para aproveitar essa mudança radical, as organizações estão promovendo transformações abrangentes em busca de novos modelos operacionais de negócios e TI, como:

• Utilizar serviços SaaS, como e-mail baseado em nuvem e ferramentas de produtividade
• Conteinerização de aplicações personalizadas para simplificar o gerenciamento e reduzir custos
• Usar serviços de segurança em nuvem para identificar ataques rapidamente e aplicar políticas de acordo com as regras da organização.

Os aplicativos estão sendo disponibilizados para diversos tipos de dispositivos. Os usuários que acessam os aplicativos não estão em ambientes corporativos tradicionais — eles usam dispositivos móveis ou trabalham em casa. A disponibilização de funções essenciais aos negócios, como CRM, ERP e tudo o que há entre elas, deve permitir o acesso fora da rede corporativa tradicional.

O Relatório de Proteção de Aplicações de 2018 da F5 Labs revelou que uma organização média do setor público usa 680 aplicações, das quais 32% são consideradas essenciais para a missão.

Além desse enorme crescimento no número de aplicações, as organizações estão implantando essas aplicações em novas arquiteturas e serviços. A pesquisa State of Application Services de 2019 indica que 14% das organizações entrevistadas adotaram contêineres como abordagem padrão para o isolamento de cargas de trabalho de aplicações, e 87% dos participantes estão adotando uma arquitetura multinuvem. O próprio Escritório de Gestão e Orçamento (OMB) defende uma "Estratégia de Nuvem Inteligente"¹ para migrar para uma rede em nuvem protegida e segura.

Entenda a superfície de ameaças em rápida expansão

Organizações governamentais e comerciais não são as únicas que usam a tecnologia para reduzir obstáculos, oferecer novos serviços e agregar valor. Cibercriminosos, grupos militantes e agentes de ameaças patrocinados por Estados-nação também estão inovando suas capacidades de ataque cibernético em um ritmo vertiginoso. À medida que aprimoramos a proteção de nossas redes e infraestrutura, os invasores cibernéticos estão voltando sua atenção para alvos mais vulneráveis.

Os alvos mais vulneráveis são usados para se infiltrar em ativos de alto valor que podem armazenar informações pessoais ou sigilosas. Uma pesquisa da F5 Labs mostra que 86% de todos os invasores cibernéticos atacam diretamente os aplicativos ou roubam identidades de usuários, geralmente por meio de phishing.²

Os invasores estão percebendo que, às vezes, é mais fácil atacar indiretamente. Uma das formas é visar aplicações menos importantes, como dispositivos de IoT, e ampliar seu nível de acesso. Foi o que aconteceu quando criminosos invadiram um cassino nos EUA por meio do termômetro de um aquário no saguão e o usaram como ponto de entrada para acessar o banco de dados de grandes apostadores.³ Da mesma forma, a devastadora violação de dados da Target em 2013 começou com a exploração de uma vulnerabilidade no fornecedor do sistema de climatização da empresa e terminou com a invasão do sistema de ponto de venda e o comprometimento de 40 milhões de cartões de crédito.⁴

Quando não gerenciados, componentes e serviços de código aberto e de terceiros também podem introduzir riscos. O relatório State of the Software Supply Chain 2018, da Sonatype, observa que um em cada oito downloads de componentes de código aberto contém uma vulnerabilidade de segurança conhecida.⁵ As organizações, inclusive as do setor público, aproveitam o código aberto porque ele acelera o desenvolvimento e a entrega. No entanto, essas mesmas organizações muitas vezes não incluem componentes de código aberto nas verificações de segurança e nos processos de revisão. Esses componentes passam a fazer parte do portfólio de aplicações e devem ser submetidos ao mesmo rigor de análise que o código personalizado. Isso inclui componentes tanto do lado do servidor (por exemplo, pacotes NPM e bibliotecas) quanto do lado do cliente.

Como os aplicativos agora desempenham um papel mais crítico no cumprimento dos objetivos de uma organização, o crescimento desses aplicativos está superando a capacidade da maioria das organizações de ampliar suas operações. O modelo tradicional de segurança no perímetro não é escalável e tem eficácia limitada na prevenção de ameaças. Quando um alvo vulnerável é comprometido, ativos de alto valor ficam em risco. Novas arquiteturas e modelos de implantação desafiam ainda mais as medidas de segurança tradicionais. Os aplicativos estão sendo implantados em locais dispersos e utilizam serviços de aplicativos em múltiplas nuvens para melhorar o desempenho. Enquanto isso, a superfície de ataque associada aos aplicativos está se expandindo exponencialmente.

O monitoramento contínuo próximo às aplicações e aos alvos vulneráveis é importante para garantir a segurança sem comprometer o desempenho. A integração de uma solução inteligente de segurança na nuvem pode atuar em conjunto com a aplicação para mitigar ameaças rapidamente e proteger dados confidenciais. Pequenos volumes de dados podem ser enviados à nuvem para identificar possíveis ameaças, comparando-os com milhões de artefatos armazenados nela. Isso pode ser usado para determinar se um cliente é um bot ou um usuário real.

Um serviço de redução de fraudes pode trabalhar em conjunto com um aplicativo para interagir com agentes mal-intencionados, obtendo mais tipos de dados e evitando fraudes em larga escala. O perfil completo da fraude pode ser enviado ao sistema de monitoramento contínuo da organização para que sejam tomadas medidas, a propagação do ataque seja impedida, a localização dos sistemas comprometidos seja determinada e sejam fornecidas orientações para remover a ameaça das máquinas infectadas. Os analistas podem encaminhar as informações à equipe de operações para uma análise mais aprofundada.

Use a multicloud e o SaaS a seu favor

Como se as coisas já não fossem complexas o suficiente, os órgãos federais estão migrando para implantações multinuvem e de SaaS a fim de obter maior flexibilidade e disponibilidade, reduzir a dependência de fornecedores e, em alguns casos, aproveitar custos mais baixos. O dilema é: como oferecer uma experiência de aplicações padronizada, segura e integrada em arquiteturas híbridas, multinuvem e de SaaS sem exceder o orçamento disponível?

As agências podem usar sua solução de perímetro em pontos de conexão confiáveis com a internet para proteger a conectividade com ambientes SaaS e multinuvem. Isso pode causar problemas de desempenho, pois as agências têm um número limitado de pontos de conexão. Por motivos de segurança, os aplicativos voltados ao público precisam passar por esses pontos, o que gera latência. Os benefícios de ter aplicativos escaláveis e de alto desempenho são anulados, pois o tráfego precisa fazer um desvio ("trombone") para garantir a segurança.

As soluções de perímetro também dependem de assinaturas estáticas. Se uma nova ameaça surgir e for identificada por um provedor de segurança em nuvem, as informações não serão repassadas ao sistema de perímetro para impedir o ataque. As assinaturas podem levar de um dia a uma semana para serem atualizadas. Ativos de alto valor podem ser comprometidos até que a assinatura seja finalmente criada e atualizada no sistema de segurança de perímetro.

Padronização dos serviços de aplicativos

A padronização dos serviços de aplicações multicloud e SaaS — as soluções implementadas para proteger, gerenciar e otimizar suas aplicações — reduz a complexidade operacional associada a uma arquitetura multicloud.

Por exemplo, é mais fácil gerenciar — e mais vantajoso ter — um serviço que funcione no nível das aplicações corporativas, como a invocação de APIs baseada em código e sistemas orientados a eventos, do que um serviço específico de uma plataforma, que exija, por exemplo, o uso de um serviço de enfileiramento de mensagens específico de um fornecedor. Disponibilizar um único conjunto de recursos em todas as aplicações reduz a sobrecarga operacional. Ao adotar uma plataforma padrão para o maior número possível de serviços de aplicações, as organizações podem aproveitar melhor a automação e reutilizar mais código para implementar processos operacionais consistentes, previsíveis e repetíveis.

Desenvolvendo uma estratégia de aplicações empresariais

Em uma era em que muitas organizações nativas da nuvem nem sequer têm um departamento de TI, as arquiteturas tradicionais de TI e os processos operacionais ficam muito aquém das expectativas dos desenvolvedores de aplicações e das equipes de DevOps. O desejo de lançar aplicações mais rapidamente muitas vezes leva a ignorar as equipes tradicionais de redes e segurança, bem como os processos operacionais e de segurança associados. De fato, proteger o portfólio de aplicações corporativas depende tanto de pessoas e processos quanto de tecnologia.

Para gerenciar o desempenho e, mais importante, os riscos em meio a essa proliferação de ambientes multicloud, as organizações precisam urgentemente de soluções. Independentemente de onde as aplicações estejam hospedadas, as soluções devem permitir a implementação de políticas consistentes, gerenciar ameaças, proporcionar visibilidade e possibilitar o monitoramento da integridade e do desempenho das aplicações. Uma solução inadequada pode facilmente reduzir os benefícios de uma transformação digital caso prejudique a inovação e a agilidade das equipes de desenvolvimento de aplicações e DevOps.

Diante do crescente valor — e perfil de risco — das aplicações, todos os órgãos federais precisam desenvolver uma estratégia corporativa de aplicações que aborde como as aplicações do portfólio corporativo são desenvolvidas/adquiridas, implantadas, gerenciadas e protegidas.

Etapa 0: Alinhe os objetivos da estratégia de aplicações à missão da organização

Resumo: Aproveite esta oportunidade para criar uma estratégia de aplicações corporativas alinhada à missão e aos objetivos do seu órgão federal.

O objetivo central da transformação digital é substituir processos manuais e pouco práticos por aplicações eficientes e ricas em dados. Portanto, o objetivo geral de uma estratégia de aplicações empresariais deve ser aprimorar, acelerar e proteger diretamente os recursos digitais da organização relacionados ao cumprimento de sua missão. Quaisquer aplicações ou serviços de aplicações associados que não estejam alinhados a esse objetivo devem ter sua prioridade reduzida. As aplicações de alta prioridade devem receber recursos e segurança adicionais, enquanto os ativos de menor prioridade podem utilizar recursos compartilhados.

Esse alinhamento também significa levar em consideração a situação atual, o que inclui analisar cuidadosamente a estratégia vigente de dados corporativos, os requisitos de conformidade e o perfil geral de risco da organização.

Em muitos casos, as restrições impostas por essas diferentes fontes e o impacto delas na agilidade das equipes de desenvolvimento de aplicativos provavelmente não são bem compreendidos. Sua estratégia de aplicativos corporativos deve esclarecer o equilíbrio que sua organização está disposta a estabelecer entre as forças frequentemente conflitantes da inovação, da agilidade e do risco.

Etapa 1: Crie um inventário de aplicativos

Resumo: antes de iniciar a modernização, você precisa criar um inventário completo de aplicações.

Quando se trata de uma estratégia de aplicações empresariais, a maioria das equipes não tem a sorte de poder começar do zero. Quase todos no setor de TI herdam uma arquitetura tecnológica resultante de décadas de sistemas distintos sobrepostos a sistemas legados, mantidos em funcionamento a duras penas. Esse problema pode ser especialmente grave no governo federal dos EUA, em comparação com o setor comercial. Raramente é fácil migrar de forma organizada esses componentes tecnológicos incompatíveis para o estado-alvo desejado. Portanto, é necessário realizar um trabalho mais aprofundado de levantamento e análise.

Embora possa parecer simples demais, para proteger algo adequadamente, primeiro é preciso saber que esse algo existe e, depois, ser capaz de monitorar com precisão sua integridade. Ainda assim, com poucas exceções, a maioria das organizações não consegue informar com segurança quantos aplicativos possui em seu portfólio, muito menos se esses aplicativos estão íntegros e seguros. O Relatório de Proteção de Aplicativos de 2018 da F5 Labs constatou que 62% dos líderes de segurança de TI têm pouca ou nenhuma confiança de que conhecem todos os aplicativos de sua organização.

O que incluir no inventário de aplicações

Um inventário de aplicações é o elemento mais fundamental de qualquer estratégia de aplicações. Trata-se de um catálogo de todas as aplicações, sejam elas disponibilizadas internamente, lateralmente (por exemplo, para outras entidades governamentais) ou externamente (por exemplo, para o público), que inclui:

• Uma descrição da função desempenhada pelo aplicativo ou serviço digital
• A origem da aplicação (por exemplo, desenvolvimento personalizado, software comercial ou serviço de terceiros)
• Os principais elementos de dados que o aplicativo precisa acessar ou manipular
• Outros serviços com os quais a aplicação está se comunicando
• Componentes de código aberto e outros componentes de terceiros que fazem parte da aplicação
• A(s) pessoa(s) ou o(s) grupo(s) responsável(is) pelo aplicativo

Como criar o inventário

Criar o inventário de aplicações pela primeira vez costuma ser um trabalho minucioso e demorado. Uma maneira de identificar facilmente aplicações não autorizadas é transformar o inventário de aplicações em uma lista de permissões; as aplicações que não estiverem nessa lista simplesmente não terão acesso aos recursos corporativos (por exemplo, à rede). Para rastrear aplicações externas à sua organização, uma ferramenta como um agente de segurança de acesso à nuvem (CASB) pode ser muito útil. Os CASBs ficam entre os usuários e a Internet, monitorando e gerando relatórios sobre todas as atividades das aplicações. Eles não apenas informam quais aplicações seus funcionários mais utilizam (e como as acessam), mas também fornecem informações sobre o uso de aplicações de TI invisível.

Ao adotar um modelo de arquitetura DevOps e integrar seus aplicativos a ele, você pode simplificar o processo de inventário daqui para frente. Quando a prioridade de um aplicativo é definida e ele é inserido em seu ambiente multinuvem ou SaaS, os desenvolvedores podem empacotar a implantação usando ferramentas de código aberto (por exemplo, Ansible e GitHub). A implantação passa então a ser gerenciada por essas ferramentas, que incluem serviços de segurança, gerenciamento de patches e código. As informações do inventário são centralizadas e podem ser disponibilizadas rapidamente. Dessa forma, o aplicativo pode existir em um ambiente de nuvem ou SaaS e, ainda assim, ser identificado pela organização.

Considerações sobre o FedRAMP

Cada momento dedicado a garantir a precisão do seu inventário de aplicações tem um impacto positivo direto na sua capacidade de definir rapidamente os limites do sistema FedRAMP. Isso também permite encontrar, de forma muito mais confiável, rápida e precisa, a parte responsável pela infraestrutura de uma aplicação — ou até mesmo por um componente específico dela — quando solicitado pelo órgão certificador.

Por fim, seus esforços de conformidade com o FedRAMP exigem que esse seja um exercício contínuo, possivelmente realizado mais de uma vez por ano. Trata-se de um processo constante que envolve acompanhar quais aplicativos e repositórios de dados estão em uso, monitorar as necessidades dos usuários e avaliar como seus ambientes de desenvolvimento estão evoluindo.

Etapa 2: Avalie o risco cibernético de cada aplicação

Resumo: Analise o nível de risco individual de cada aplicação e combine-o com todas as considerações de conformidade aplicáveis ao definir as medidas de segurança.

O risco cibernético é uma preocupação significativa e crescente para os líderes de TI do governo dos EUA. Para combatê-lo, comece avaliando o risco cibernético de cada uma das suas aplicações.

Cada aplicação em seu inventário deve ser analisada quanto a quatro tipos principais de risco cibernético:

1. Vazamento de informações internas confidenciais (por exemplo, segredos militares)
2. Vazamento de informações confidenciais de clientes/usuários (por exemplo, registros de pessoal, histórico fiscal)
3. Adulteração de dados ou aplicativos
4. Negação de serviço a dados ou aplicações

No contexto do risco cibernético, a importância de um serviço digital deve ser avaliada considerando o impacto financeiro ou reputacional que um ataque cibernético pode causar a esse serviço, de acordo com as categorias acima. Diferentes organizações atribuirão níveis distintos de perda potencial a determinados serviços; portanto, cada organização deve fazer suas próprias estimativas com base na missão que definiu. A FISMA, por exemplo, exige que você determine o risco, no âmbito da agência, para a missão ou para o caso de negócio. No entanto, muitas vezes também é recomendável analisar os riscos no nível da aplicação, a fim de se preparar para quando os padrões de conformidade da sua missão inevitavelmente se tornarem mais rigorosos.

Considerações sobre conformidade

Às vezes, os cálculos de risco organizacional incluem os riscos de não conformidade com regras, diretrizes e contratos aplicáveis. As entidades federais estão sujeitas a inúmeras regulamentações e normas, e todas elas devem ser consideradas na avaliação de aplicações e serviços digitais. Estabelecer um modelo de avaliação de riscos cibernéticos vinculado às aplicações facilita o atendimento aos requisitos de CDM/ConMon e a conformidade com o FedRAMP, permitindo delimitar o escopo a grupos de serviços gerenciáveis e com o nível de granularidade adequado.

Simplificando a conformidade com SaaS

O uso de serviços SaaS pode ajudar a reduzir as preocupações de uma organização com a conformidade. Os riscos relacionados aos aplicativos e as questões de conformidade são de responsabilidade do provedor de SaaS. Isso permite que a organização se concentre em aplicativos personalizados.

Considere integrar serviços de segurança em nuvem ao aplicativo para proteger contas de usuários, dados financeiros e informações pessoais. Os serviços de segurança em nuvem contam com milhões de pontos de dados que podem ser usados pelo aplicativo para determinar se um cliente está agindo de forma mal-intencionada ou se é um usuário legítimo. Como os pontos de dados são atualizados continuamente, novas ameaças podem ser identificadas. As regras podem ser aplicadas ao aplicativo em tempo real e funcionar em conjunto com uma estratégia de segurança empresarial existente.

Etapa 3: determine quais serviços de aplicação são necessários

Resumo: Faça um levantamento de quais serviços de aplicações — as soluções que executam suas aplicações nos bastidores — são necessários para sua organização.

Os aplicativos raramente funcionam de forma isolada. Portanto, além de manter um inventário dos aplicativos, é necessário gerenciar e monitorar os serviços de aplicação que os executam. Esses serviços são soluções prontas para desenvolvedores que melhoram a velocidade, a mobilidade, a segurança e a capacidade operacional de um aplicativo. Os serviços de aplicação oferecem vários benefícios importantes para a carga de trabalho do aplicativo:

• Velocidade: O desempenho de uma carga de trabalho de aplicação e a capacidade de fazer entregas rapidamente.
• Mobilidade: A facilidade de mover uma carga de trabalho de aplicação de um ambiente de hospedagem físico ou lógico para outro.
• Segurança: A proteção da carga de trabalho da aplicação e dos dados associados a ela.
• Operabilidade: A garantia de que uma carga de trabalho de aplicação seja fácil de implantar, manter em execução e solucionar problemas em caso de falha.

Uma boa maneira de localizar serviços de aplicação dependentes é examinar a seção Controles do Plano de Segurança do Sistema FISMA ou FedRAMP do seu ambiente. Isso geralmente indicará a presença tanto de serviços de aplicação voltados à segurança quanto de outros serviços que dependem deles.

Embora todos os aplicativos possam se beneficiar dos serviços de aplicativos, nem todos precisam dos mesmos serviços.

Os serviços de aplicação mais comuns incluem:

• Balanceamento de carga
• Entrega de DNS
• Balanceamento global de carga de servidores
• Firewalls de aplicações web
• Prevenção/proteção contra DDoS
• Monitoramento e análise de aplicações
• Gerenciamento de identidades e acessos
• Autenticação de aplicações
• Gateways de API
• Controle de entrada e saída de contêineres
• Criptografia SSL

Equilibrando custo, segurança e desempenho

Todos os serviços de aplicativos envolvem algum nível de custo, tanto direto (referente ao próprio serviço) quanto indireto (referente à manutenção operacional). Aplicativos de baixa prioridade podem usar recursos compartilhados para ajudar a reduzir custos. Os recursos compartilhados proporcionam segurança e mantêm o desempenho. Ativos de alto valor exigem mais recursos, pois são muito importantes para a produtividade da organização.

Vale destacar que muitos serviços de aplicativos são projetados especificamente para oferecer suporte a categorias restritas de aplicações. Por exemplo, somente aplicações desenvolvidas para atender a aplicativos de IoT precisam de um gateway de IoT. Aplicações disponibilizadas em uma arquitetura tradicional não exigem serviços de aplicativos voltados para ambientes conteinerizados; portanto, serviços de aplicativos de controle de entrada e malha de serviços podem não ser aplicáveis.

Em alguns casos, pode ser necessário adquirir novos serviços de aplicativos para garantir a conformidade ou reduzir riscos. Embora os controles mínimos de referência possam, tecnicamente, atender aos padrões de conformidade, você deve sempre resistir à tentação de selecioná-los e insistir na escolha de serviços de aplicativos que aprimorem sua capacidade de lidar com riscos cibernéticos.

Etapa 4: Defina as categorias de aplicações

Resumo: agrupe os aplicativos de forma lógica com base no tipo, na prioridade e nos requisitos.

Após concluir o inventário de aplicações, a próxima etapa é agrupá-las em categorias lógicas com base nas características que exigem diferentes abordagens de gerenciamento e de serviços de aplicações (por exemplo, acesso a dados confidenciais e exposição a um número maior de ameaças).

Após a categorização, a política corporativa de aplicações deve especificar os perfis de desempenho, segurança e conformidade a serem aplicados aos diferentes tipos de aplicação, com base na criticidade e na classificação corporativa da própria aplicação.

Recomendamos começar com quatro níveis básicos.

Nível 1

Características do aplicativo
Aplicativos que você considera ativos de alto valor e que também são serviços digitais essenciais à missão, responsáveis por coletar e transformar dados confidenciais

Serviços de aplicação necessários
Balanceamento de carga, balanceamento de carga global de servidores, firewall de aplicações web, proteção/prevenção contra DDoS, detecção de bots, criptografia e descriptografia SSL, gerenciamento de identidade e acesso de usuários, identidade e autenticação de aplicações/serviços, visibilidade/monitoramento de aplicações

Características adicionais
Os serviços de aplicação são posicionados próximos à aplicação e incorporados à implantação da aplicação. Proteja dados confidenciais usando serviços de nuvem inteligentes para proteger contas de usuários, informações de cartões de crédito e informações pessoais.

Nível 2

Características da aplicação
Serviços digitais essenciais que fornecem acesso a dados confidenciais

Serviços de aplicação necessários
Balanceamento de carga, balanceamento de carga global de servidores, firewall de aplicações web, proteção/prevenção contra DDoS, detecção de bots, criptografia e descriptografia SSL, gerenciamento de identidade e acesso de usuários, identidade e autenticação de aplicações/serviços, visibilidade/monitoramento de aplicações

Características adicionais
Proteja dados confidenciais usando serviços de nuvem inteligentes para proteger contas de usuários, informações de cartões de crédito e informações pessoais.

Nível 3

Características da aplicação
Serviços digitais essenciais que não coletam nem fornecem acesso a dados confidenciais

Serviços de aplicação necessários
Balanceamento de carga, balanceamento de carga global de servidores, proteção/prevenção contra DDoS, visibilidade/monitoramento de aplicações

Características adicionais
Você pode usar serviços compartilhados para ajudar a reduzir custos. Proteja dados confidenciais usando serviços de nuvem inteligentes para proteger contas de usuários, informações de cartões de crédito e informações pessoais.

Nível 4

Características da aplicação
Outros serviços digitais

Serviços de aplicação necessários
Balanceamento de carga, visibilidade/monitoramento de aplicações

Características adicionais
Você pode usar serviços compartilhados para ajudar a reduzir custos.

O valor na categorização

Como as ameaças enfrentadas pelas aplicações variam de acordo com o ambiente em que estão hospedadas, essa categorização pode ser ampliada para diferenciá-las com base no ambiente de implantação (por exemplo, local ou em nuvem pública).

Priorizar seus objetivos dessa forma também ajuda a pré-classificar facilmente os aplicativos implantados nos níveis adequados do FISMA/FedRAMP. Dedicar um pouco de tempo agora para estruturar os objetivos da sua missão permite que você gaste muito menos tempo conversando com um auditor posteriormente.

Nenhuma organização dispõe de recursos suficientes para fazer tudo o que deseja em um prazo aceitável. Ao priorizar seus aplicativos, você pode adotar uma abordagem de triagem para determinar quais deles precisam ser reforçados com serviços de aplicativos, quais devem ser modernizados ou substituídos e quais não justificam o esforço. Para os aplicativos desta última categoria, certifique-se de que estejam isolados em sua rede e evite um cenário em que um simples termostato de IoT leve ao comprometimento de toda a rede. Esse processo também inclui avaliar novos aplicativos que possam viabilizar novas fontes de valor e que, portanto, devem ser desenvolvidos internamente ou adquiridos de terceiros.

Etapa 5: Defina os parâmetros para implantação e gerenciamento de aplicações

Resumo: Desenvolva parâmetros de implantação e consumo.

A implantação e o gerenciamento operacional sempre foram elementos fundamentais de qualquer estratégia de TI, e uma estratégia moderna de aplicações empresariais acrescenta alguns aspectos novos (por exemplo, a importância da experiência do usuário final). Isso inclui analisar:

• Quais arquiteturas de implantação são compatíveis (por exemplo, nuvem híbrida, multinuvem)
• Opções de modelo de implantação para cada uma das categorias de aplicações
• Quais nuvens públicas podem servir como pontos de acesso para aplicações
• Até que ponto os serviços nativos de nuvem pública podem ser aproveitados em comparação com serviços de terceiros

Diferentes aplicações têm necessidades distintas em termos de modelos de implantação e consumo. Durante esta fase de desenvolvimento da sua estratégia de aplicações, procure compreender claramente as diferentes opções de implantação, cada uma das quais pode ter modelos de consumo, impactos nos custos e perfis de conformidade/certificação distintos.

Ao selecionar modelos de implantação, também é prudente fazer um levantamento das competências e dos talentos disponíveis para considerá-los na decisão. Por exemplo, optar pela implantação na AWS quando não há profissionais internos suficientes para gerenciá-la nem acesso a profissionais terceirizados pode atrasar o processo e introduzir riscos.

Nunca se esqueça de que seus próprios mecanismos de implantação e gerenciamento podem estar sujeitos a uma autorização, seja no âmbito da FISMA ou do FedRAMP ATO/P-ATO, conforme o padrão adotado por sua agência para a missão.

Etapa 6: Esclareça as funções e responsabilidades

Resumo: Estabeleça linhas claras de responsabilidade para cada elemento da sua estratégia de aplicações empresariais.

Além de definir seus objetivos e prioridades, a estratégia de aplicações empresariais também deve incluir aspectos relacionados a funções e responsabilidades.

Você deve saber:

• Quem tem poder de decisão sobre a otimização e a segurança do portfólio de aplicações (por exemplo, seleção de tecnologias, desativação de aplicações e gerenciamento do acesso de usuários)?
• Quem tem acesso de usuário privilegiado a cada aplicativo?
• Quem é responsável pela implantação, operação e manutenção de cada aplicação nos diversos ambientes?
• Quem é responsável por garantir a conformidade com a política de aplicações corporativas?
• Quem será responsável por monitorar o cumprimento das metas da estratégia de aplicações corporativas? E a quem serão reportadas as métricas?
• Quem vai monitorar a conformidade dos fornecedores — incluindo provedores de componentes/serviços de código aberto e de terceiros?
• Quem garantirá que todos os aplicativos e serviços de aplicativos sejam devidamente contabilizados (à medida que continuarem a mudar e a ser adicionados/removidos)?

Essas responsabilidades podem ser atribuídas a uma pessoa, a comitês multidisciplinares ou até mesmo a departamentos inteiros. Independentemente disso, elas devem ser claramente especificadas. Na verdade, talvez precisem ser definidas com ainda mais detalhes do que o exigido pelo seu regime de conformidade.

Organizações mais avançadas adotarão processos operacionais e automação para atribuir essas responsabilidades logo no início do processo de desenvolvimento, no momento da concepção da aplicação. Em um mundo multinuvem, com centenas ou até milhares de aplicações dando suporte a funções críticas, a estratégia de aplicações e as políticas correspondentes devem estabelecer linhas claras de responsabilidade.

Aplicação da Estratégia Corporativa de Aplicações

Depois que a estratégia de aplicações empresariais for desenvolvida, ela deverá ser aplicada para cumprir sua finalidade. Os mecanismos de aplicação devem incluir controles “rígidos” incorporados à automação dos processos (por exemplo, controle de acesso de usuários e verificações de vulnerabilidades no código no momento do check-in), bem como medidas “flexíveis”, como treinamento de funcionários e desenvolvimento de competências ou conscientização.

Implemente controles de acesso robustos

Sua política de controle de acesso deve contemplar as funções e responsabilidades operacionais definidas na estratégia de aplicações corporativas e abranger todas as aplicações, tanto locais quanto na nuvem. Deve-se dar atenção especial ao acesso de usuários privilegiados devido ao risco que eles representam para a aplicação, inclusive por serem alvos de APTs sofisticadas em razão de suas permissões administrativas ou de root na aplicação.

As medidas especiais recomendadas para usuários privilegiados incluem:

• Os usuários privilegiados devem sempre estar em grupos separados. Eles devem ser definidos como de “alto risco” na sua solução de controle de acesso, exigindo controles de segurança que talvez você opte por não implementar para todos os usuários ou para todos os níveis de classificação de aplicações.
• Devem ser exigidos vários fatores de autenticação remota. Se houver tentativas de acesso com credenciais válidas que não atendam ao segundo requisito de autenticação (caso invasores tenham obtido credenciais válidas em um vazamento no qual elas foram compartilhadas) ou provenientes de um local fisicamente incompatível com o último login válido (como um login bem-sucedido nos EUA duas horas antes de o mesmo usuário tentar fazer login no Leste Europeu), a conta deverá ser bloqueada até que uma análise de segurança adicional seja concluída.
• O acesso administrativo deve ser autorizado somente a profissionais devidamente treinados que necessitem regularmente desse nível de acesso para desempenhar suas funções. Qualquer acesso temporário concedido para emergências ou projetos especiais deve pertencer a um grupo de usuários distinto, configurado com monitoramento automatizado de uso, que alertará os administradores do sistema caso se esqueçam de revogar o acesso. A adequação dos acessos deve ser analisada regularmente por uma equipe independente daquela responsável pelo aplicativo ou pela concessão de acesso a ele, a fim de evitar conflitos de interesse. Se um usuário privilegiado não acessar uma conta por um período prolongado, deve-se avaliar se ele realmente necessita desse acesso.
• Todos os acessos de usuários privilegiados aos aplicativos devem ser devidamente registrados. Isso inclui quaisquer alterações feitas pela conta do usuário.

Obter esse nível de visibilidade e automação do controle de acesso na nuvem pode ser desafiador e dispendioso, pois esses recursos geralmente não estão disponíveis de forma nativa. No entanto, isso é possível por meio do licenciamento de soluções de terceiros e, dada a sua importância, é um investimento que vale muito a pena.

Capacite continuamente os funcionários e as partes interessadas relevantes

Com o crescimento constante do número de aplicações e a abundância de dados disponíveis na mídia, que os invasores usam para identificar quais aplicações atacar e quem tem acesso a elas, o treinamento de conscientização em segurança nunca foi tão importante.

Como o spear phishing é o modus operandi dos adversários, o treinamento contra phishing deve ser uma das principais prioridades. O Relatório de Phishing e Fraude de 2018 da F5 Labs constatou que treinar os funcionários mais de 10 vezes pode reduzir a taxa de sucesso do phishing de 33% para 13%. No entanto, raramente o treinamento de conscientização em segurança é realizado com a frequência necessária e com o material adequado. Serviços de treinamento de conscientização padronizados, criados apenas para cumprir requisitos de conformidade, podem fazer com que os funcionários não compreendam seu papel na segurança da informação nem desenvolvam um senso pessoal de responsabilidade por ela. Se o objetivo é reduzir o risco de uma violação, o melhor caminho é oferecer treinamentos frequentes e personalizados para a sua organização.

Os invasores não têm folga e, por isso, os funcionários devem permanecer sempre vigilantes. Uma cultura contínua de curiosidade deve ser a norma em todas as organizações, especialmente no âmbito federal ou em empresas que fornecem produtos e serviços ao governo federal. Os funcionários devem estar cientes de que são alvos devido ao acesso que têm a aplicações e dados. Também devem saber como esse acesso ou esses dados são utilizados por Estados-nação adversários ou vendidos por cibercriminosos com fins lucrativos (e posteriormente adquiridos por adversários).

Conclusão

Para garantir o sucesso de suas transformações digitais, todas as organizações devem adotar uma estratégia de aplicações corporativas e uma política correspondente, além de capacitar os funcionários sobre ambas. No âmbito federal, com sua ampla combinação de aplicações legadas, híbridas e modernas, isso é especialmente importante. O sucesso na prestação de um serviço digital confiável, seguro e autorizado depende disso.

Os aplicativos estão no centro da transformação digital de qualquer organização e, diante das rápidas mudanças na forma como o software é desenvolvido e implantado, representam tanto sua maior fonte de valor quanto sua maior fonte de vulnerabilidade. Os componentes de estratégia e política de aplicativos descritos aqui fornecem os fundamentos essenciais para proteger as aspirações digitais de qualquer organização. Como o perfil de risco de seu portfólio de aplicativos aumenta a cada dia, as organizações precisam agir rapidamente para formalizar sua estratégia e política.

_{¹ Estratégia Cloud Smart do Escritório de Gestão e Orçamento
² F5 Labs: Lições aprendidas com uma década de violações de dados
³ Criminosos invadem um aquário para roubar dados de um cassino, Forbes
⁴ Violação de dados da Target ocorreu devido a um erro básico de segmentação de rede, ComputerWorld
⁵ Panorama de 2018 da cadeia de suprimentos de software, Sonatype}

PUBLICADO EM 11 DE JANEIRO DE 2021