É hora de produtizar seu Cloud Security!

Com os investimentos certos em produtos de segurança, você pode continuar agregando valor em ritmo acelerado na nuvem, ao mesmo tempo em que reduz o risco de uma violação de dados dispendiosa ou de um ataque cibernético perturbador em seu ambiente.

Um problema crescente de segurança na nuvem…

Não é segredo que a nuvem pública está na agenda de todas as organizações, com o setor representando cerca de US$ 400 bilhões em receita até 2025, que continua a se expandir ano após ano. Muitas organizações começam sua jornada na nuvem com alguns projetos pioneiros que crescem e se expandem rapidamente à medida que as equipes de engenharia percebem o valor dos serviços projetados para fornecer valor no ritmo.

Isso também traz desafios, pois à medida que o número de cargas de trabalho aumenta, isso geralmente pode levar a propriedades de nuvem em expansão que podem não ser configuradas da melhor maneira, abrindo riscos que podem ameaçar os dados de sua organização. Com mais de 90% das organizações hospedando cargas de trabalho na nuvem, cerca de 80% das empresas relataram pelo menos uma violação de dados baseada na nuvem nos últimos 18 meses.

Sempre existe o desejo de agregar valor rapidamente em tecnologia, especialmente durante a pandemia de COVID-19, onde cargas de trabalho baseadas em nuvem formaram a espinha dorsal da resposta internacional para enfrentar a pandemia. Um importante vetor de ameaça é o erro humano e a subsequente configuração incorreta de recursos. Isso é exacerbado quando os prazos são apertados e as demandas dos clientes continuam crescendo.

Abordagens mais tradicionais para o gerenciamento de riscos, como avaliações pontuais detalhadas combinadas com controles muitas vezes desatualizados e complicados, podem levar a atrasos na entrega de valor, o que pode causar atrito significativo e frustrações internas entre a segurança da informação e os grupos de engenharia.

Uma maneira de reduzir esse atrito, garantindo que você possa agregar valor por meio da tecnologia com segurança e no ritmo, é tratar sua propriedade de segurança na nuvem como um produto.

O que é um produto e como posso garantir que ele seja bem-sucedido?

Vamos falar sobre produtização, definida como o processo de desenvolvimento ou alteração de um processo, ideia, habilidade ou serviço para torná-lo comercializável para venda.

Normalmente, esse termo é usado ao vender produtos ao público; no entanto, nesse contexto, os clientes de seu produto de segurança em nuvem estarão dentro de sua organização, provavelmente uma combinação de segurança da informação e equipes de engenharia.

Assim como se você estivesse vendendo para o público, é absolutamente fundamental ouvir a voz do cliente, neste cenário é provável que os clientes tenham opiniões diferentes. Com os engenheiros querendo se concentrar em agregar valor por meio de seus produtos sem sobrecarga de segurança adicional, enquanto a segurança da informação estará empenhada em garantir que as cargas de trabalho de nuvem novas e existentes sejam de risco em toda a propriedade.

Ao pensar em produzir um elemento de sua segurança em nuvem, você deve pensar nas seguintes áreas para garantir que seja um sucesso, muitos produtos caem na armadilha de não cobrir o básico.

• Declaração do problema — Qual é o problema que você está tentando resolver, isso pode ser um risco ou ameaça ao seu ambiente de nuvem e como seu produto gerará valor nessa área?
• Critérios de sucesso - Qual será a sua medida de sucesso? Isso deve ser quantificável e com limite de tempo, por exemplo: “Todas as máquinas virtuais devem ser registradas no Microsoft Defender para endpoint no segundo trimestre”.
• Lista de pendências democratizada - todos os usuários do sistema devem poder solicitar novos recursos, permitindo fácil iteração do produto à medida que o cenário regulatório ou de ameaças muda.
• Roteiro claro/Jornada do produto — ouvindo as partes interessadas em segurança e as funções de engenharia , um roteiro publicado claro sobre quais problemas a equipe enfrentará a seguir e a data de entrega.
• Fóruns e revelações regulares - é muito comum que as organizações implementem produtos e conjuntos de ferramentas de segurança sem consultar o usuário final, não caia nessa armadilha e garanta vários fóruns para as partes interessadas e especialistas no assunto para inserir na plataforma.
• User First - A experiência do usuário é uma marca tão importante de qualquer produto, o produto deve ter uma ótima documentação e ser fácil de usar ou consumir.

Ao tratar sua segurança na nuvem como um produto, com um conjunto dedicado de engenheiros e proprietários de produtos, você pode começar a oferecer isso como um serviço para suas funções de engenharia e risco. Sou um grande fã da analogia da “estrada pavimentada” — seu objetivo será diminuir a barreira de entrada para a execução de cargas de trabalho de nuvem seguras!

Para que uma ferramenta/produto seja amplamente aceito, ela deve fornecer valor tangível aos seus clientes.

Sua(s) equipe(s) de produtos de segurança pode(m) ser responsável(is) desde a análise e implementação de conjuntos de ferramentas de terceiros, como scanners de vulnerabilidade, até a criação de soluções personalizadas para relatar e corrigir recursos configurados incorretamente no estado da nuvem.

Alguns exemplos de produtos de segurança em nuvem que podem agregar valor são os seguintes, vale a pena notar que a arquitetura de cada empresa é diferente, então vale a pena selecionar produtos que fornecem o maior valor com base na voz do seu cliente!

• “Venda” de conta de nuvem — Ativando o autoatendimento em torno do fornecimento de contas de nuvem, garantindo a aplicação de uma política de segurança de linha de base, reduzindo a barreira para executar cargas de trabalho seguras para equipes de engenharia.
• Conformidade como código — um conjunto centralizado de políticas de segurança definidas por código que regem seu ambiente de nuvem de acordo com sua política de segurança da informação. Isso pode incluir painéis e relatórios para garantir que as equipes sejam responsáveis ​​por suas soluções.
• Módulos de infraestrutura reforçados — módulos de infraestrutura que usam ferramentas como Terraform, construídas de acordo com as práticas recomendadas de segurança, para as quais as equipes podem consumir e contribuir.
• Cloud Health Checks — A nuvem pública tem muitos dados valiosos disponíveis por meio de APIs, as verificações de integridade da nuvem agregam essas informações e fornecem uma visão da conformidade ao longo do tempo para liderança e infosec.

Falamos sobre a definição de um produto, como lançar um produto de sucesso e até mesmo alguns exemplos de possíveis produtos de segurança em nuvem em que sua organização poderia trabalhar, agora vamos falar sobre o valor que esses produtos podem trazer.

• Reduzindo a barreira de entrada para as equipes de engenharia — As equipes podem se concentrar na inovação e no fornecimento de recursos para manter o cliente satisfeito. Enquanto seu conjunto de produtos de segurança e proteções mantém suas cargas de trabalho seguras.
• Transforme as lições aprendidas em modelos reutilizáveis ​​— As equipes da sua empresa receberão constantemente feedback de revisões de segurança, auditorias e outras avaliações. Quaisquer lições aprendidas podem ser incorporadas ao produto de segurança para que não sejam enfrentadas novamente.
• Resolva problemas uma vez, não várias vezes — Esse problema afeta principalmente grandes organizações com muitas partes móveis, mas tratar sua segurança como um produto garante que o feedback seja direcionado à equipe certa para resolver uma vez, e não deixá-lo para ser resolvido várias vezes vezes por várias equipes diferentes.
• Inner-Sourcing e colaboração — A tecnologia é um alvo em movimento, o internal sourcing é a prática de compartilhar código entre as equipes internamente. Isso promove um grande senso de colaboração, o que significa que o produto provavelmente será atualizado pela comunidade à medida que novos regulamentos etc.
• Caminho de ouro para a produção — Levar uma ideia de um sandbox para a produção pode ser uma tarefa assustadora para as equipes de produto. Ter um conjunto de produtos pré-aprovados e prontos para consumo pode ajudar muito nessa jornada.

Neste artigo, abordamos os fundamentos de um produto, algumas dicas sobre a adoção em uma organização, examinamos alguns exemplos de iniciativas de produtos de segurança na nuvem e, finalmente, destacamos os benefícios.

O cenário de Ameaças na Nuvem continua a se ampliar, ouvir seus clientes internos e gerar resultados de engenharia seguros ao produzir sua segurança na nuvem!