A transformação digital vem ocorrendo de forma substancial, devido ao uso de aplicativos em nuvem ter crescido rapidamente, principalmente em decorrência da pandemia de Covid-19, onde para as empresas se manterem operando, mandou seus colaboradores trabalharem remotamente.

Conforme apontamentos da Netskope, seu crescimento foi de 22% só no primeiro semestre deste ano, em comparação com um aumento de 12% durante o primeiro semestre de 2020, onde 97% dos aplicativos em nuvem usados na empresa são shadow IT, não gerenciadas e algumas vezes adotado livremente por usuários.

Dada a complexidade das transformações advindas da adoção de serviços em nuvem, identificam-se vários riscos associados. Vejamos alguns dos riscos.

 

Riscos

Provedores e usuários

Existem hoje diversos provedores sérios que oferecem fortes protocolos de segurança para manter as informações em seu poder protegidas, contudo vale ressaltar, que falar em segurança de dados não significa repassar a responsabilidade para o servidor, mas além disso educar seus próprios colaboradores.

Ao mesmo tempo em que os provedores investem em segurança, os colaboradores precisam estar preparados para lidar com as mais diversas ameaças que surgem quase que diariamente, portanto, além de contar com os recursos de um bom provedor de serviços na nuvem, se faz necessário implementar uma política robusta de segurança, treinando e instruindo os colaboradores para que as sigam corretamente.

 

Uso de aplicativos pessoais

O uso do aplicativo pessoal, muitos colaboradores acabam utilizando seus aplicativos pessoais no ambiente de trabalho, apresentando um desafio de segurança de dados, tendo em vista que apresentam um risco de dados ocultos para nuvem gerenciada, além de muitas vezes serem utilizados para copiar/extrair dados confidenciais da empresa.

 

Plugins de app de terceiros

Plug-ins de aplicativos de terceiros representam uma ameaça à segurança dos dados quando fornecem acesso de aplicativos de terceiros a dados confidenciais. Por exemplo, 97% dos usuários do Google Workspace autorizaram pelo menos um acesso de aplicativo de terceiros para sua conta corporativa do Google, variando entre acesso a “Informações básicas da conta”, que fornece acesso apenas para informações acessíveis publicamente de um perfil do Google, até “Ver e gerenciar os arquivos em seu Google Drive”, que fornece acesso a todos os seus dados no Google Drive.

Aplicativos de terceiros que solicitam escopos como “Ver e gerenciar os arquivos em seu Google Drive” podem expor dados confidenciais a terceiros. Como exemplo disso temos o aplicativo CamScanner que foi descoberto pela Kaspersky em agosto de 2019 como contendo malware e foi proibido pelo governo indiano por questões de segurança em junho de 2020.

 

Acesso Público a ambiente de nuvem

Expor seus dados, pessoais ou corporativos, à Internet pública cria uma possível falha na segurança, isso poque endereços de IP públicos podem ser acessados de qualquer lugar na internet.

Estudos da AWS, Azure e Google Cloud, apontam que mais de 35% das cargas de trabalho corporativas são expostas à Internet pública, dentre eles 8,3% expõem o Remote Desktop Protocol (RDP), que conforme relato da empresa Sophos pelo menos 30% dos ataques cibernéticos começam com um servidor RDP exposto. Como exemplo de violação por RDP, podemos citar o ocorrido na Equinix que em setembro de 2020, 74 servidores RDP foram expostos à Internet, isso sem citarmos vulnerabilidades relacionadas ao serviço, como, por exemplo, a CVE-2019-0708, mais conhecida como BlueKeep.

 

Aplicativos em nuvem

No segundo trimestre de 2021, 68% de todos os downloads de malware foram entregues a partir de aplicativos em nuvem e o principal motivo pelo qual os cibercriminosos usam aplicativos em nuvem para entrega de malware com a intenção de burlar listas de bloqueio e tirar proveito de qualquer lista de permissão específica do aplicativo, além da facilidade de criar campanhas de ataques partindo de diversos endereços e diferentes regiões ao redor do mundo.

 

Conclusão

Tendo em vista que grande parte das organizações não estava preparada para a migração e de repente se viram “obrigadas” a encontrar novas maneiras de continuar a administrar os seus negócios, através de novas plataformas e aplicações, a grande parte acabou partindo para o serviço em nuvem. Contudo, na contramão, alguns pontos de segurança ainda não foram totalmente maturados, o que aumentou o nível de risco nas organizações.

Parte das organizações que se viram “forçadas” a migrar para os serviços em nuvem não possuem um time especializado em segurança da informação ou não tiveram um tempo hábil para se preparar. Caso seja necessário contar com especialistas, entre em contato conosco para uma reunião sem compromisso.