As soluções de Software como Serviço (SaaS) oferecem flexibilidade sem precedentes para qualquer empresa. Você pode acessá-las na nuvem quando e onde quiser. Elas permitem minimizar os custos com hardware e aumentar ou diminuir a escala conforme necessário. Eventualmente, podem ser facilmente integradas a um único fluxo de trabalho. Mas, apesar da crescente adoção de produtos de software baseados em nuvem, as preocupações com a segurança do SaaS persistem. Em um estudo realizado em 2021, 98% das empresas pesquisadas relataram ter sofrido pelo menos um incidente de segurança nos 18 meses anteriores.
Então, isso significa que todas aquelas afirmações sobre a segurança de produtos SaaS não passam de propaganda enganosa? Bem, não é tão simples assim. Este artigo fornecerá uma compreensão básica da natureza dos riscos de segurança em SaaS e como você pode preveni-los.
Os principais desafios de segurança em nuvem para SaaS
Os ambientes SaaS atuais incluem, em média, 42 aplicativos de terceiros. Por um lado, ter a maioria dos dados e processos fora das instalações da empresa é extremamente libertador. Por outro, controlar tantos aplicativos é um verdadeiro desafio. E é aí que surgem duas das principais preocupações com a segurança de dados em SaaS: a falta de visibilidade e o gerenciamento de acesso insuficiente.
A falta de visibilidade
Segundo uma pesquisa , seis em cada dez empresários consideram a falta de visibilidade em seus ambientes SaaS um dos seus maiores desafios de cibersegurança. E não se trata apenas da quantidade de aplicativos que precisam ser monitorados de perto. Cada um desses aplicativos possui um conjunto individual de características de segurança, configurações de acesso e políticas de privacidade, que estão em constante mudança à medida que os fornecedores atualizam seus produtos. Para piorar a situação, não podemos nos esquecer da variedade de dispositivos a partir dos quais cada aplicativo SaaS pode ser acessado. Como resultado, as equipes de segurança têm pouco conhecimento dos riscos reais para os dados da empresa.
Gestão de acesso insuficiente
Com as empresas sobrecarregadas pela quantidade de aplicativos de terceiros em seus ambientes de nuvem, apenas 12% das empresas com 50 a 99 aplicativos em seu conjunto de SaaS realizam verificações semanais de configuração incorreta. Some-se a isso a dependência generalizada dos provedores de aplicativos SaaS em termos de segurança — e fica claro por que o gerenciamento inadequado de acesso é considerado outra grande ameaça à segurança pela maioria das empresas: muitas equipes de segurança não têm uma visão completa de quem acessa os dados da empresa, de que maneira ou que tipo de dados estão sendo acessados.
Juntos, esses dois problemas de controle têm o potencial de causar vazamentos de dados em larga escala , tornando seus sistemas mais vulneráveis a uma variedade de ameaças cibernéticas , como sequestro de contas, ataques de ransomware, campanhas de phishing e ameaças internas. Agora, vamos analisar alguns casos e as lições que podemos aprender com eles.
Incidentes de segurança em SaaS e suas consequências
Sejamos francos: para muitos de nós, todos esses dados estatísticos são apenas um conjunto de símbolos e alertas de especialistas em cibersegurança, que podem parecer desconectados da nossa realidade. Mesmo assim, quer queiramos ou não, vazamentos de dados e ataques cibernéticos são reais. Abaixo, destacamos três incidentes de cibersegurança que giram em torno de (ou pelo menos envolvem) aplicativos SaaS que você conhece e pode usar.
Vazamento global de dados do Jira
Em agosto de 2019, um pesquisador de segurança descobriu que milhares de empresas, incluindo a NASA, vazaram inadvertidamente alguns de seus dados online devido a uma única configuração incorreta no Jira .
Descobri que, ao criar painéis e filtros no Jira , a plataforma permite escolher entre algumas configurações de permissão para definir quem pode visualizar esses detalhes. E é aí que os problemas começam. Alguns administradores presumem que "todos os usuários" ou "todos" significa "aberto a qualquer pessoa na empresa", porém, na verdade, isso significa que os dados são visíveis publicamente e indexados nos mecanismos de busca. Pior ainda, essas opções são as padrão.
Pesquisadores de ameaças da Varonis revelaram que até 3.774 painéis, 244 projetos e 75.629 problemas estão publicamente acessíveis, sendo que a maioria desses recursos vazou acidentalmente para a internet aberta. Nomes de projetos, avatares, proprietários, status e e-mails de usuários são os dados mais comumente expostos dessa forma. Com essas informações, os atacantes podem criar campanhas de phishing, lançar ataques de força bruta de senhas ou de preenchimento de credenciais, ou ainda visar sistemas mais sensíveis.
Ataque à cadeia de suprimentos SolarWinds
No final de 2020, a empresa de segurança FireEye relatou um ataque cibernético massivo contra SolarWinds — uma importante fornecedora americana de software de gerenciamento de infraestrutura de TI. De acordo com seu CEO, Sudhakar Ramakrishna , os criminosos invadiram a conta do Office 365 da empresa, obtiveram acesso às SolarWinds e as utilizaram para injetar código malicioso na atualização do software Orion, que foi então distribuída para cerca de 18.000 clientes. Curiosamente, nem os investigadores da SolarWinds nem da Microsoft detectaram quaisquer vulnerabilidades no código do Office 365 que pudessem ser exploradas pelos hackers. Ambos apontam para o roubo de credenciais, e não para uma vulnerabilidade.
O incidente ocorreu em 2019 e, de acordo com pesquisadores de ameaças , afetou mais de 100 empresas privadas americanas e as redes de nove agências federais. Entre , Microsoft, Cisco e Deloitte, além do Pentágono, do Departamento de Segurança Interna e outras. Segundo um relatório , as empresas afetadas perderam, em média, 11% de sua receita anual.
Milhares de gravações de reuniões do Zoom disponíveis online
Quando a pandemia começou, o Zoom viu um aumento sem precedentes em sua popularidade, passando de 90 milhões de usuários diários em dezembro de 2019 para 200 milhões em março de 2020. Além do aumento no preço das ações da empresa, isso gerou uma onda de preocupações com a privacidade dos dados .
Por exemplo, em abril de 2020, pesquisadores descobriram milhares de gravações privadas de reuniões do Zoom na internet aberta, permitindo que qualquer pessoa as assistisse e até mesmo as baixasse. Isso foi resultado de um vazamento de dados em massa? De forma alguma. O truque é que o Zoom permite que os usuários salvem suas reuniões gravadas no local de sua preferência, sem senha. Isso é ainda mais agravado pelo fato de que é possível salvar a gravação com o título padrão, que é o mesmo do tópico da reunião virtual. Como resultado, se você salvar seu vídeo, digamos, em buckets do Amazon Web Services (AWS) S3, qualquer pessoa poderá encontrá-lo por meio de uma simples busca em armazenamento em nuvem.
Melhores práticas de segurança para SaaS
De acordo com o Relatório de Pesquisa de Segurança de SaaS de 2021 , 89% das empresas pesquisadas relataram configurações incorretas de SaaS como uma das três principais ameaças à segurança cibernética. Os pesquisadores descobriram que essa é a principal fonte de problemas de segurança cibernética apresentados no relatório.
Em outras palavras, não é que os aplicativos SaaS tenham falhas de segurança inerentes, mas sim a forma como os utilizamos, que é a principal causa de problemas de segurança em softwares como serviço. Um artigo sobre segurança na nuvem afirma que, até 2025, até 99% dos incidentes de segurança cibernética serão simplesmente culpa do cliente. Então, como você pode garantir a segurança dos seus aplicativos SaaS? Aqui está o que recomendamos.
Avalie todos os seus riscos
Em ambientes com foco em nuvem, a maioria (senão todos) os aplicativos são integrados em um único ecossistema. Dito isso, você deve auditar regularmente cada aplicativo em termos de conformidade, restrições de acesso disponíveis, nível de proteção contra tentativas de invasão e assim por diante. Isso permitirá que você defina e avalie todos os riscos que cada aplicativo representa para o seu ambiente de nuvem.
Automatize o máximo que puder
Não há como negar que monitorar continuamente uma grande quantidade de aplicativos de terceiros é uma tarefa complexa — esse é um dos motivos pelos quais muitas organizações não conseguem acompanhar todos os seus aplicativos e detectar problemas a tempo. Para garantir que nada passe despercebido, recomendamos fortemente que você considere ferramentas de automação, como as soluções de Gerenciamento de Postura de Segurança SaaS (SSPM). Elas podem fazer esse trabalho para você.
Evite configurações incorretas
Muitos pesquisadores concordam que configurações incorretas — em particular, o gerenciamento inadequado de acessos, sua principal variante — representam um sério risco de segurança cibernética para SaaS. Para mitigar esse risco, certifique-se de aproveitar ao máximo as configurações de segurança de cada aplicativo. Há autenticação multifator? Ative-a. Seu aplicativo permite diferentes níveis de permissões de acesso do usuário? Analise quem usará a ferramenta e configure as permissões de acordo.
Adote a Política de Acesso para os Menos Privilegiados
Minimize ao máximo o número de usuários que podem acessar os dados corporativos. Siga a regra prática: se uma determinada restrição de acesso de usuário não afetar negativamente seu fluxo de trabalho, mantenha-a. Isso ajudará a evitar incidentes semelhantes ao que os usuários Jira enfrentaram.
Implementar padrões
As pessoas tendem a ser descuidadas com os dados corporativos. A DoControl descobriu que 20% de todos os ativos SaaS corporativos são compartilhados internamente por meio de um link e 18% externamente, expondo os dados a usuários não autorizados. Desenvolver padrões de uso de aplicativos para orientar sua equipe ajudará a minimizar vazamentos de dados como esses.
Eduque sua equipe
A negligência em relação aos ativos corporativos também pode decorrer do fato de que alguns funcionários talvez não sejam treinados em como gerenciar dados de forma responsável, ou desconheçam a necessidade de fazê-lo. Um programa formal de conscientização sobre segurança, com sessões de treinamento regulares, resolverá esse problema. Também reduzirá o risco de ataques realizados com o auxílio de técnicas de engenharia social.
Evite o provisionamento excessivo
Os ambientes SaaS modernos estão "superpovoados". Pesquisas demonstram que mais da metade dos aplicativos em uma pilha SaaS média não são usados há mais de seis meses. Ter tantos aplicativos que podem conter dados sensíveis representa um risco inaceitável. Portanto, livre-se dos aplicativos em excesso assim que forem detectados.
Analise cuidadosamente cada aplicativo antes de integrá-lo à sua pilha de aplicativos
Quanto mais aplicativos você tiver, mais sérios serão os riscos de segurança cibernética aos quais seus dados estarão expostos. Portanto, seja criterioso na escolha de cada aplicativo que planeja usar em sua empresa. As perguntas a seguir ajudarão você a filtrar fornecedores não confiáveis:
- O projeto do sistema de controle de acesso permite a prevenção de problemas de segurança de rede?
- As configurações de acesso contêm vários níveis de restrições de acesso do usuário?
- Você precisa cumprir regulamentações, como GDPR ou o HIPAA (ou qualquer outra regulamentação relevante para o seu caso)?
- Você está preparado para se submeter a verificações externas de cibersegurança?
- Você possui alguma certificação em cibersegurança, como a ISO?
- Seus clientes podem controlar onde seus dados são armazenados?
- Onde você armazena os dados do aplicativo? É com um provedor de nuvem renomado, como a AWS, ou em um data center privado?
- Você criptografa os dados em trânsito e em repouso?
- Por quanto tempo você retém os dados no seu aplicativo antes de excluí-los?
- Como evitar a perda de dados do usuário em um desastre natural?
Esta é a lista de verificação básica de segurança para SaaS, e outras considerações podem ser necessárias para o seu negócio específico. Mas aqui surge o próximo desafio. Por exemplo, você percebeu que sua plataforma atual de suporte ao cliente possui diversas vulnerabilidades de segurança e deseja migrar para uma opção mais segura. Então, a questão é: existe uma maneira segura de migrar seus dados facilmente de uma plataforma para outra? Encontre a resposta abaixo.
Como Help Desk Migration evita riscos de segurança cibernética
Se você busca migrar os dados do seu help desk com segurança, não precisa vasculhar a internet em busca de um fornecedor confiável para migração de dados. Deixe que nossa solução automatizada de migração de dados — Help Desk Migration — faça o trabalho para você com segurança. Aqui estão alguns dos padrões de segurança SaaS que seguimos para proteger seus dados.
Medidas técnicas
Na Help Desk Migration, acreditamos firmemente que a segurança de um aplicativo, em termos de seu design, é de responsabilidade exclusiva do fornecedor. A migração de dados de help desk com nosso serviço é segura devido às seguintes medidas:
- Proteção de acesso dos funcionários. Todos os dispositivos que nossos funcionários usam para acessar nosso serviço são criptografados (portanto, nenhum observador consegue ler as informações) e nenhum deles pode acessar nossos aplicativos web sem autenticação de dois fatores. Além disso, os Help Desk Migration , assim como os funcionários remotos, utilizam o Cloudflare WARP. Adicionalmente, somente engenheiros de TI autorizados podem acessar o código-fonte, implementar migrações personalizadas e resolver problemas técnicos a pedido da equipe de suporte.
- Política de retenção de dados. Removemos todos os dados de migração dez dias após a Migração de Demonstração e cinco dias após a Migração Completa (podemos reduzir ou prolongar o período de retenção mediante sua solicitação). Além disso, não armazenamos senhas de clientes.
- Proteção do ambiente de produção. Nós nos empenhamos ao máximo para garantir que nossa equipe de desenvolvimento possa trabalhar em nosso serviço em um ambiente protegido. Isso inclui uma série de medidas, como troca de chaves pública/privada em vez de senhas para acessar os servidores, autenticação de dois fatores para o painel de administração, configuração rigorosa de firewall e muito mais.
- Infraestrutura. Toda a nossa infraestrutura está localizada na Alemanha e hospedada pela AWS. Instalamos e gerenciamos todos os silos de dados dentro dessa infraestrutura, com exceção das cópias de segurança armazenadas no AWS S3. Além disso, somos muito rigorosos com a segurança física de nossos servidores e serviços.
- Proteção de dados em trânsito e em repouso. Nossa rede privada é altamente protegida com firewalls, medidas anti-DDoS e avaliações regulares de segurança da rede. A criptografia SSL protege os dados que trafegam pela internet. Também utilizamos criptografia de disco para proteger dados estáticos, de forma que apenas usuários autorizados possam lê-los.
Medidas Organizacionais
Embora nosso serviço seja seguro desde a sua concepção, adotamos diversas medidas organizacionais para eliminar até mesmo a menor possibilidade de vazamento de dados. Essas medidas incluem:
- Confidencialidade. Antes da integração, todos os nossos funcionários assinam uma cláusula específica no contrato de trabalho, que os obriga a não divulgar qualquer informação confidencial relacionada ao Help Desk Migration .
- Continuidade dos negócios.
- Comprometemo-nos a prestar os nossos serviços por, pelo menos, seis meses.
- Auditorias de segurança. Realizamos varreduras regulares em nossos sistemas em busca de vulnerabilidades e fazemos atualizações quando necessário.
- Recuperação de desastres. Tomamos todas as medidas necessárias para garantir que seus dados permaneçam intactos após um desastre natural.
- Segregação de funções (SoD). Para minimizar riscos, seguimos políticas de SoD. Isso significa que, em vez de atribuir a um único funcionário o controle total de um determinado processo, distribuímos essa função entre vários membros da equipe.
Recursos de segurança
E, claro, nenhuma solução SaaS confiável está completa sem uma variedade de configurações de segurança, permitindo que os usuários se beneficiem de proteção total. Quando se trata de Help Desk Migration, essas configurações incluem:
- Autenticação de dois fatores. Nosso procedimento de login não se limita à combinação tradicional de senha e e-mail. Recomendamos ativar a autenticação de dois fatores para maior segurança.
- Monitoramento de acesso. No Assistente de Migração — nossa ferramenta que permite personalizar sua estrutura de dados — toda a atividade do usuário é armazenada. Você pode visualizar o endereço IP, os dados do dispositivo e o horário do login.
Recomendamos também que nossos usuários alterem suas senhas e restrinjam as permissões de acesso concedidas para a transferência de seus dados cinco dias após a migração. Caso identifique alguma vulnerabilidade, teremos prazer em discuti-la.
Conformidade
Temos orgulho do nosso amplo portfólio de certificações de conformidade, que mantemos atualizado e ampliado frequentemente. Atualmente, cumprimos as normas HIPAA, GDPRda UE, ISO/IEC 27001:2013 e PCI DSS.
Esta é uma breve descrição de como garantimos a migração segura de dados. Se desejar saber mais sobre as medidas que tomamos para proteger seus dados, consulte nossa de Política de Segurança , familiarize-se com nosso Acordo de Nível de Serviço ou solicite que preenchamos um questionário de segurança.
