Crescer, escalar e ganhar de forma segura são alguns dos principais objetivos das novas empresas. Isso as torna usuárias principais de ferramentas de ponta, Big data e tecnologia baseada na nuvem. No entanto, a segurança é fundamental nesses ambientes acelerados e de alto risco.
Independentemente da carga de trabalho, as startups não podem se dar ao luxo de negligenciar a segurança.
Além disso, à medida que o padrão comercial migra das instalações físicas para a nuvem e do escritório para um modelo de trabalho remoto, as startups devem prestar atenção especial à segurança híbrida e remota.
Preparamos uma série de artigos que abordam os aspectos essenciais da segurança, com recomendações específicas para startups. Isso inclui soluções para os desafios enfrentados pela maioria das startups hoje, como:
As startups precisam operar rapidamente para criar produtos e se adaptar ao mercado, enfrentando desafios adicionais, como orçamentos limitados, equipes pequenas e falta de processos estabelecidos ou funções altamente especializadas.
Além desses desafios, a maioria das startups hoje precisam proteger tanto os ambientes remotos quanto os de escritório.
A seguir, descreveremos os desafios mais comuns enfrentados pelas startups nesses ambientes e as soluções recomendadas para cada um deles
Os funcionários remotos devem ser capazes de se conectar a todos os recursos necessários para realizar seu trabalho, mas fazê-lo a partir de suas redes domésticas ou públicas pode ser arriscado.
Tradicionalmente, a VPN tem sido o método de acesso para que os funcionários acessem a rede e os recursos privados da empresa. No entanto, à medida que as empresas migram para a hospedagem em nuvem, a VPN se torna menos relevante e outras soluções baseadas em nuvem que criptografam o acesso aos recursos diretamente ganharam popularidade.
As plataformas de diretório baseadas em nuvem, por exemplo, utilizam LDAP, RADIUS, SCIM, SAML, WebAuthn e outros protocolos para fornecer aos funcionários acesso remoto seguro a todos os recursos de que precisam.
Um caso muito comum é quando, por algum motivo, um funcionário precisa se conectar a partir de um Wi-Fi público à rede corporativa por alguns momentos, e essa atividade inicial não é criptografada,
tornando-se vulnerável a ataques. As novas empresas devem criar políticas sobre o uso remoto de Wi-Fi, como, por exemplo: redes domésticas devem ser protegidas com uma senha segura; o uso de Wi-Fi público e não protegido deve ser evitado.
Isso pode ser evitado ou controlado usando ferramentas que ofereçam políticas de acesso condicional, com as quais seja possível negar o acesso aos recursos corporativos se um usuário tentar acessá-los por meio de uma rede não segura.
O rápido crescimento e as mudanças frequentes nas novas empresas implicam em incorporações e desvinculações frequentes. Ambos podem levar várias horas por funcionário, o que pode ser especialmente inconveniente quando se incorpora uma equipe completa ou se coordena uma desvinculação rápida.
O uso de uma plataforma de diretório baseada na nuvem que ofereça autenticação única (SSO) é extremamente útil para aplicar um conjunto seguro de credenciais a todas as aplicações necessárias para um funcionário, automatizando assim o provisionamento de recursos individuais. Além disso, ao criar grupos de usuários, é possível automatizar o provisionamento com base no departamento, nível administrativo e outros critérios.
Além disso, com esse tipo de plataforma de diretório baseada na nuvem, o desvinculamento é igualmente rápido; basta remover o usuário para revogar imediatamente o acesso a todos os recursos.
Uma das grandes preocupações para novas empresas cujos funcionários trabalham em ambientes remotos, é que eles não cumpram as políticas de segurança em casa. Para resolver esse problema, as empresas devem estabelecer, ensinar e fazer cumprir as melhores práticas de segurança. Além disso, é importante investir em ferramentas que facilitem a implementação da cultura empresarial focada na segurança.
As plataformas de diretório baseadas na nuvem combinam várias dessas ferramentas de segurança, incluindo diretórios, autenticação multifator (MFA), SSO seguro e muito mais, proporcionando uma experiência de usuário bastante fluida.
Para novas empresas em ambientes remotos, uma das maiores dificuldades é rastrear os ativos hospedados na nuvem, especialmente quando não é possível supervisionar os usuários no momento do acesso. Uma recomendação para enfrentar esse desafio é desenvolver e aplicar convenções de nomenclatura e políticas de armazenamento claras para o gerenciamento de arquivos.
As plataformas de diretório baseadas na nuvem são uma boa opção para rastrear e conectar aplicativos, dados de usuários e dispositivos.
É importante garantir que a conscientização dos funcionários seja incluída em seu treinamento de segurança. Independentemente do tamanho físico do escritório de uma startup, os funcionários devem saber quem pode estar lá.
Hackers frequentemente tentam a antiga técnica de se passar por um funcionário ou visitante, portanto, se um estranho estiver no escritório, os funcionários devem saber o motivo.
Muitos escritórios possuem algum tipo de controle de acesso físico, seja por meio de um sistema de chave, catracas ou cartão. Recomenda-se investir em soluções digitais que registrem quem entra e sai, além de rastrear visitantes não autorizados. Câmeras de vídeo também são recomendadas para monitorar equipamentos e materiais. Algumas câmeras são inteligentes e conectadas à rede, permitindo alertas sobre atividades fora do horário comercial e armazenamento de imagens na nuvem.
O escritório deve ter uma conexão à Internet segura. É fundamental investir em um firewall robusto e considerar a aquisição de filtragem de conteúdo ou tecnologia de detecção de intrusos.
A segurança da rede Wi-Fi não deve se limitar apenas a um SSID e uma senha. Esse nível de segurança é simplesmente muito fácil de comprometer. Cada usuário deve ter acesso exclusivo à rede Wi-Fi por meio de um sistema de autenticação, como o RADIUS, que autentica cada usuário individualmente.
Idealmente, o RADIUS deve ser integrado ao diretório de usuários para otimizar os dados dos usuários e eliminar os problemas causados por credenciais de rede compartilhadas.
Para uma camada adicional de proteção, você pode criar uma VLAN convidada separada com acesso restrito para garantir a segurança e proporcionar uma experiência positiva ao usuário.
Se a organização possui uma sala de servidores local, ela deve ser estritamente restrita e monitorada. O acesso deve ser concedido apenas às pessoas que realmente precisam e é importante rastrear quem tem acesso.
Com a evolução da tecnologia, a infraestrutura em nuvem e os aplicativos web se tornam aliados ideais para novas empresas. No entanto, o fato de iniciar um negócio ter se tornado mais acessível não significa que envolva menos riscos. Com o poder da computação, armazenamento e serviços em nuvem, surge a responsabilidade pela segurança.
Para proteger a infraestrutura em nuvem, o primeiro passo importante é configurar adequadamente o firewall e a rede. Por exemplo, a AWS chama essa função de "Grupos de Segurança", mas quase todos os provedores de IaaS têm uma funcionalidade equivalente.
É essencial garantir que o acesso de entrada e saída esteja bloqueado pela política mais restritiva que estiver em vigor para cada aplicativo. Além disso, certifique-se de que todos os servidores ativos estejam protegidos por um firewall e conectados à rede de maneira adequada. É fácil esquecer um servidor e deixá-lo desprotegido na Internet pública. Idealmente, você também terá acesso VPN à infraestrutura em nuvem com restrições, como acesso baseado em certificados ou até mesmo requisitos de geolocalização/IP para continuar aprimorando a segurança.
É importante garantir que todos os seus servidores e aplicativos estejam atualizados. Servidores desatualizados (especialmente aqueles conectados à Internet) são muito suscetíveis a ataques; eles podem ser alvos de técnicas automatizadas que buscam e exploram vulnerabilidades conhecidas.
Algumas plataformas de diretório baseadas em nuvem oferecem serviços de atualização e recomendam complementar com serviços de atualização baseados em SaaS, como é o caso da JumpCloud, que oferece atualizações para servidores virtuais, máquinas virtuais e soluções de terceiros
A segurança da infraestrutura em nuvem depende muito de um acesso preciso e estritamente controlado pelos usuários. Um sistema central de gerenciamento de usuários pode ajudar a resolver esse problema, gerenciando quem pode acessar seus sistemas Windows, Linux ou Mac. Além disso, você pode exigir que os usuários utilizem senhas complexas, chaves SSH ou autenticação multifator (MFA) para acessar a infraestrutura do servidor.
Independentemente de como você gerencia o acesso com credenciais, é fundamental aplicar os princípios do privilégio mínimo. O tempo extra dedicado a determinar quem deve ter acesso a quê, e em que nível pode fazer a diferença entre um incidente de segurança e uma violação completa.
Atualmente, em muitos casos, as soluções AWS SSO (Single Sign-On) e AWS IAM (Identity and Access Management) são frequentemente usadas para acessar vários componentes da infraestrutura em nuvem. Portanto, é necessário ter muito cuidado ao atribuir funções e permissões corretas aos usuários.
Além disso, a integração de uma plataforma de diretório baseada em nuvem com o AWS SSO ou o AWS IAM é essencial para ter controle total sobre o acesso dos usuários aos recursos de TI. O registro detalhado de todos os acessos dos usuários também é indispensável nos ambientes atuais com alto grau de conformidade.
Sempre que possível, é recomendável proteger os dados em repouso com criptografia. Diferentes provedores oferecem níveis e tipos variados de criptografia, e nem sempre a criptografia mais segura está habilitada por padrão.
Verifique as políticas e opções de criptografia oferecidas; caso não atendam às necessidades específicas, existem diversas ferramentas e sistemas que podem ajudar a criptografar os dados armazenados na nuvem.
Além de criptografar dados em repouso, é importante proteger os dados em trânsito. Por exemplo, se os servidores da empresa se comunicam entre si através de diferentes firewalls, é essencial garantir uma comunicação segura entre todos os componentes envolvidos. Isso pode ser alcançado por meio de VPN ou outros mecanismos para criptografar os dados em trânsito.
Os provedores de infraestrutura em nuvem e os fornecedores de SaaS têm limitações em suas medidas de segurança; os clientes devem fazer a devida diligência para verificar as medidas de segurança dos fornecedores e personalizá-las ou complementá-las para atender aos padrões de segurança das organizações.
Praticamente todos os provedores de infraestrutura em nuvem e plataformas SaaS operam sob um modelo de segurança compartilhada: alguns aspectos são cobertos pelo provedor e muitos outros são responsabilidade do cliente. Cada startup deve entender como o provedor aborda e executa a segurança que ainda é de responsabilidade da própria startup.
O controle do acesso dos usuários às aplicações e a eficaz gestão do ciclo de vida dos usuários são aspectos cruciais da segurança em uma startup em crescimento. Muitas startups armazenam seus dados críticos em várias localizações diferentes: por exemplo, o código-fonte pode estar no GitHub, os dados dos clientes no Salesforce e as finanças no Xero. Por esse motivo, as novas empresas devem ser extremamente restritivas e diligentes ao conceder acesso às aplicações.
Conectar o acesso dos usuários a uma plataforma de diretório baseada na nuvem pode tornar o processo de administração do ciclo de vida do usuário muito mais simples e seguro. Para alcançar isso, é necessário atribuir funções a cada usuário e provisionar de forma inteligente o acesso às aplicações e políticas de segurança com base nos dados desse usuário.
O contexto também é importante, e organizações inovadoras estão aproveitando técnicas de acesso condicional para garantir que o acesso a aplicações web críticas seja verificado e seguro com base na identidade, dispositivo, rede e privilégios mínimos.
O compartilhamento de acesso é um problema comum em startups. Isso muitas vezes ocorre na tentativa de economizar em custos de licença ou por pressa em obter soluções sem envolver a equipe de TI. No entanto, os benefícios de economia de custos ou tempo não superam o risco de compartilhar credenciais.
Além dos problemas óbvios de compartilhamento de senhas, também torna quase impossível rastrear quem tem acesso às credenciais. As organizações nunca devem economizar em licenças ou permitir que os usuários compartilhem contas entre si, especialmente quando se trata de acessar infraestrutura na nuvem ou aplicações web.
Apesar do entendimento generalizado sobre a importância das melhores práticas de senhas, muitos usuários ainda não as seguem. Isso, combinado com a crescente sofisticação dos hackers na quebra de senhas, torna necessária uma solução de login mais sofisticada. A autenticação multifator (MFA) alivia os problemas com senhas; sempre que possível, o MFA deve estar ativado. Isso aumenta exponencialmente a segurança, exigindo acesso tanto às credenciais quanto ao dispositivo do usuário ao mesmo tempo.
Muitos sistemas e aplicativos têm a opção de habilitar a autenticação multifator (MFA). Para aqueles que não o fazem, as soluções de login único podem aplicar MFA a todos os aplicativos de um usuário com um login seguro.
Manter contas não utilizadas e negligenciadas é uma das principais maneiras pelas quais as organizações ficam comprometidas; na verdade, 48% das pessoas mantêm acesso a pelo menos alguns dos recursos de TI de sua organização anterior. Isso apresenta riscos tanto de segurança quanto de conformidade.
As plataformas de diretório em nuvem reduzem drasticamente o risco de deixar contas abertas e negligenciadas por meio de uma desaprovisionamento rápido e integrado: quando um provedor de identidade (IdP) gerencia todos os aplicativos de um usuário, ele pode desaprovisioná-los todos de uma só vez. Soluções de relatórios e análises também podem destacar contas antigas que precisam ser eliminadas.
Nesta seção, abordaremos os desafios comuns enfrentados pelas novas empresas ao proteger seus usuários e dispositivos, especialmente no ambiente de trabalho remoto ou híbrido cada vez mais comum, e as soluções para ajudá-las a continuar crescendo rapidamente e com sucesso.
Como os especialistas em segurança sabem, o componente mais crítico na cadeia de segurança é o usuário. Não importa quão robustos sejam os sistemas implementados ou os processos, um erro de um indivíduo pode tornar todas essas salvaguardas inúteis.
O ideal é poder rastrear todos os usuários da organização e armazenar dados críticos sobre eles, como permissões e recursos atribuídos, a qualquer momento e de qualquer lugar. Alguns dos atributos que devem ser visíveis e gerenciáveis incluem:
A maioria das empresas utiliza plataformas de diretório em nuvem para alcançar esses objetivos. Algumas startups não consideram uma prioridade usar uma plataforma desse tipo, e gerenciam apenas alguns usuários. No entanto, optar por não usar um serviço de diretório e rastrear esses dados manualmente pode ser complicado quando ocorre um crescimento exponencial.
Embora a maioria dos diretórios permita o rastreamento de usuários e dados de usuários, as plataformas de diretório em nuvem vão além para oferecer SSO (logon único) a todas as aplicações baseadas em nuvem, provisionamento e desprovisionamento automatizados, gerenciamento de sistemas/capacidades de MDM (gerenciamento de dispositivos móveis), integração com RADIUS, relatórios de conformidade e várias outras funcionalidades que economizam tempo.
Embora seja possível configurar requisitos de complexidade de senha para dispositivos e aplicativos, é fundamental que os usuários se sintam à vontade para criar senhas seguras
Algumas plataformas de diretório em nuvem, como o JumpCloud, permitem que você estabeleça e aplique requisitos mínimos de complexidade de senha.
Os gerenciadores de senhas também são uma maneira muito eficaz de garantir que os funcionários criem senhas seguras e exclusivas sem comprometer sua eficácia ao digitá-las.
Quando os funcionários misturam senhas de contas comerciais e pessoais, comprometem a segurança do negócio. É importante criar senhas exclusivas para cada conta, preferencialmente usando um gerenciador de senhas, conforme detalhado acima.
Embora todos os dispositivos de trabalho devam ter controles rigorosos e estar criptografados, isso não deve ser o único método de defesa.
Os funcionários devem entender que são responsáveis por manter o controle físico dos dispositivos que usam para o trabalho, sejam eles pessoais ou corporativos. Adicionar essa camada de controle e proteção diligente por parte do funcionário garante ainda mais a segurança dos dados corporativos.
Os sistemas operacionais mais recentes oferecem criptografia completa de disco para ajudar a proteger os dados nos terminais. Como é provável que os dados corporativos estejam nos pontos finais, mesmo quando se utiliza serviços em nuvem, a criptografia de dispositivos é um passo importante para proteger esses dados valiosos.
A ativação da criptografia de disco é relativamente simples e também é fácil de usar. A senha do dispositivo pode habilitar ou desabilitar a criptografia do disco, destacando a importância de uma senha complexa. Uma abordagem centralizada garantirá que as chaves de recuperação sejam armazenadas com segurança e também informará quais usuários/máquinas têm a criptografia de disco habilitada e quais não têm.
Além de usar a autenticação multifator (MFA) para sistemas e aplicativos, os funcionários devem habilitar o MFA em seus dispositivos. Uma senha complexa aumenta a segurança do ponto final, mas adicionar o acesso MFA ao ponto final eleva ainda mais o nível de segurança. O acesso condicional pode reduzir a fricção desse processo quando um usuário faz login usando outros critérios conhecidos, como em uma rede aprovada.
O software antivírus (AV) deve ser instalado em todos os dispositivos. Há uma razão pela qual esse protocolo de segurança tem sido um elemento fundamental na área de TI por muitos anos.
Embora o software AV não detecte todos os problemas, ele reduz drasticamente as chances de comprometimento de um ponto final. Novamente, a abordagem de segurança em camadas é sempre melhor do que uma abordagem unidimensional, e o antivírus/antimalware é uma camada eficaz e sem atritos.
Para cultivar uma cultura empresarial voltada para a segurança, as novas empresas devem criar um programa de segurança que especifique seus padrões e políticas de segurança. Além disso, é importante fornecer treinamento obrigatório para garantir que os funcionários compreendam essas políticas.
O programa de segurança não precisa ser um documento longo ou complexo; na verdade, um programa claro e conciso para os funcionários geralmente funciona muito melhor do que uma longa lista de tarefas ou informações que eles precisam saber. O programa de segurança adequado incentiva os funcionários a pensar em como proteger seus dados pessoais, contas e acesso, porque eles entendem a importância disso.
Se você está interessado em uma solução que ofereça todas essas funcionalidades de forma integrada, eu recomendo conhecer o JumpCloud. Ele é uma plataforma de diretório em nuvem que abrange desde autenticação multifator (MFA) até criptografia de dispositivos e gerenciamento de senhas.
Para agendar uma demonstração e explorar como o JumpCloud pode atender às necessidades da sua empresa, clique aqui.
Desde 1954, temos o orgulho de oferecer um serviço personalizado para empresas de todos os tamanhos. Essa dedicação nos possibilitou expandir nossas operações da Espanha para Portugal, Brasil, toda a América Latina e África. Nosso objetivo é auxiliar no crescimento de nossos clientes, fornecendo soluções inovadoras.
