como posso proteger meus serviços na nuvem?

Transcrição

1 RESUMO DA SOLUÇÃO Solução de segurança na nuvem da CA como posso proteger meus serviços na nuvem? we can

2 As soluções de Gerenciamento de identidades e acesso da CA permitem que você controle as identidades dos usuários, o acesso deles e o uso das informações em nuvens de TI públicas e particulares. Isso ajuda a acelerar a adoção de seus serviços na nuvem aumentando a visibilidade e a confiança de seus consumidores na nuvem e, ao mesmo tempo, reduzindo seus custos de administração de segurança. 2

3 resumo executivo Desafio Como fornecer segurança suficiente para serviços na nuvem? Ao considerar a perda de controle que é inerente na migração para a nuvem, questionar prontamente a segurança é totalmente razoável. É imperativo que as organizações de TI assumam a liderança no fornecimento de processos de segurança suficientes para suas organizações ou elas arriscam ser ignoradas pelos proprietários das empresas, em detrimento de todos. Solução A solução de segurança da CA ajuda os provedores de nuvem particular e pública a: Controlar identidades Controlar o acesso Controlar informações Benefícios A solução de segurança da CA fornece uma solução comprovada para a proteção de seus ativos de TI críticos em seu serviço na nuvem, particular ou pública, e oferece estes importantes benefícios: Redução de riscos de segurança por meio de controles aprimorados Facilidade de cumprir com as regulamentações por meio de transparência Redução de despesas administrativas e aumento da eficiência Maior agilidade de TI por meio de processos de segurança automatizados Vantagem da CA Diferentemente de outros produtos de segurança que fornecem apenas soluções parciais e não são comprovados quanto à expansão, a solução de segurança na nuvem da CA fornece um sistema completo para o gerenciamento de identidades de usuários e do acesso deles a informações e aplicativos utilizados em algumas das maiores implantações na Web e na nuvem existentes. 3

4 Seção 1: Desafio Como fornecer segurança para nuvens particulares e públicas? A migração da TI para a nuvem parece ser inevitável. Embora ainda não se saiba qual a função exata que a nuvem assumirá, quais aplicativos, serviços e dados irão ou não ser movidos para a nuvem, a explosão de criatividade em torno e dentro da nuvem faz lembrar os primórdios da Web. Hoje, a pergunta sobre a nuvem, assim como foi para Web naquele momento, é que forma ela assumirá?, e não ela acontecerá?. Em reação à inevitabilidade da nuvem, os profissionais de segurança estão se questionando atualmente, da mesma maneira que no passado, como serão criados e gerenciados controles de segurança suficientes considerando-se essa nova abordagem de criação e implantação de aplicativos? Como fornecer segurança suficiente é o que praticamente todas as pessoas estão se perguntando. Ao considerar a perda de controle que é inerente à migração para a nuvem, questionar o sistema de segurança é totalmente razoável. Resultados de pesquisas sobre a nuvem mostram de maneira consistente que o principal inibidor de uma ampla adoção da nuvem é a segurança, que é seguida de perto pela incerteza em relação a outras questões de TI complexas, como disponibilidade, desempenho e interoperabilidade. Essas questões não são novas, elas apenas precisam ser reconsideradas e avaliadas no contexto da nuvem. É imperativo que as organizações de TI em geral e os departamentos de segurança de TI em particular assumam a liderança da resolução dessas questões para suas organizações, ou eles estarão arriscando ser ignorados pelos proprietários das empresas, em detrimento da empresa e da organização de TI. Nuvens particulares versus públicas Há muitos anos, as empresas vêm criando o que agora é conhecido como nuvens particulares. A tendência para datacenters centralizados compartilhados, plataformas de hardware e software comuns e outros serviços de TI compartilhados, como helpdesk, segurança e gerenciamento de desempenho, já existe há bastante tempo. Por exemplo, várias organizações de segurança de TI maduras posicionaram seus serviços de identidades e segurança como serviços de segurança corporativa compartilhados muito antes do temo nuvem particular ser inventado e de uso geral. A mais recente tendência para o uso de plataformas de virtualização é mais bem encarada como a continuação e a aceleração técnica dessa tendência de nuvem. É claro que, de maneira conceitual, o que pode ser centralizado e compartilhado em uma escala corporativa de maneira particular pode ser ainda mais centralizado e compartilhado publicamente. Essa também é uma antiga tendência no setor de computação. Esse fato deu origem a um mercado de serviços de TI na nuvem pública que são disponibilizados para aquisição por consumidores e empresas. Esses serviços são mais bem categorizados no que é comumente conhecido como SPI: SaaS, PaaS e IaaS ou Software-as-a-Service, Platform-as-a-Service e Infrastructure-as-a-Service. Embora a tendência para a computação na nuvem pareça estar liberando uma onda de investimentos e criatividade, conforme já discutido, ela também está levantando muitas questões complexas que devem ser resolvidas para que os serviços na nuvem alcancem todo o seu potencial. Especificamente quanto à segurança e às identidades, as organizações devem ter confiança e provas de que seus aplicativos, serviços e dados estão sendo protegidos de maneira apropriada. As robustas práticas de gerenciamento de identidades e acesso (IAM) na nuvem, particular e pública, fornecem a base para uma segurança efetiva ao controlar que todos os usuários tenham apenas o nível de acesso apropriado a todos os recursos protegidos e que esses direitos de acesso sejam aplicados adequadamente. Elas ajudam a reduzir os custos administrativos automatizando várias funções de administração do sistema, bem como o provisionamento e o desprovisionamento de contas e direitos de acesso. O IAM também melhora a conformidade 4

5 com as regulamentações automatizando os controles de segurança e ajudando a simplificar as auditorias de conformidade. Por fim, ele pode habilitar o crescimento dos negócios e ajudar você a solidificar seu relacionamento com os consumidores na nuvem. As principais perguntas que devem ser respondidas por qualquer solução de gerenciamento de identidades e acesso são: Quem tem acesso a o quê? O que é possível fazer com esse acesso? O que é possível fazer com as informações obtidas? O que foi feito? Ao responder a essas perguntas, você pode identificar e corrigir direitos de acesso incorretos e garantir a proteção adequada de seus ativos de TI com base na nuvem. Seção 2: Solução Controlar identidades, acessos e informações em nuvens particulares e públicas Existem três principais problemas que devem ser abordados no planejamento de uma estratégia de gerenciamento de identidades na nuvem, conforme representado na imagem a seguir: Figura A Controle de identidades, acessos e informações na nuvem 5

6 Para fornecer uma segurança efetiva, você deve: Controlar identidades Gerenciar as identidades dos usuários e suas funções, fornecer acesso a recursos aos usuários, melhorar a conformidade com diretivas de identidades e acesso e monitorar as atividades dos usuários e de conformidade. Controlar o acesso Aplicar diretivas relacionadas ao acesso a aplicativos Web, sistemas, serviços de sistemas e informações importantes. Além disso, fornecer o gerenciamento de usuários privilegiados a fim de evitar ações inadequadas. Controlar informações Detectar, classificar e impedir o vazamento de informações confidenciais da empresa e do cliente. Esses três elementos são essenciais para uma abordagem abrangente de segurança de IAM na nuvem, independentemente de ser particular ou pública. Infelizmente, a maioria dos fornecedores de IAM oferece alguns elementos apenas das duas primeiras categorias, e eles não permitem que você forneça o controle até o nível de dados. A CA fornece a solução para essas três áreas críticas. Controlar identidades Os provedores de serviços na nuvem particular e pública enfrentam dificuldades para acompanhar a explosão no número de usuários de vários tipos e de várias organizações, a complexidade no gerenciamento dos direitos de acesso de todos esses usuários e a necessidade de comprovar aos auditores que cada usuário possui apenas o nível de acesso apropriado. Infelizmente, muitas abordagens a esses problemas equivalem a processos manuais malcoordenados que expõem os provedores a custos e riscos mais altos. O gerenciamento inadequado de identidades também causa um impacto negativo para os usuários, pois processos ineficientes reduzem a satisfação e a produtividade dos usuários. Para eliminar essas ineficiências, todo o ciclo de vida da identidade dos usuários deve ser automatizado. Por meio de recursos como processos automatizados de provisionamento e fluxo de trabalho, os provedores de nuvem podem obter eficiências significativas, pois os usuários se tornam mais produtivos e os administradores ficam livres para se concentrarem mais em atividades que irão atender às necessidades da organização. A CA fornece uma abordagem robusta e integrada para o gerenciamento do ciclo de vida de identidades. A solução da CA inclui recursos de governança de identidades, gerenciamento e mineração de funções e provisionamento de usuários. Essa abordagem completa inclui a criação de identidades de usuários, a alocação de contas e direitos de acesso de que necessitam, a modificação contínua desses direitos conforme as funções dos usuários são alteradas, bem como a remoção adequada desses direitos e dessas contas em caso de desligamento. Outro problema importante no gerenciamento de usuários está relacionado à geração de relatórios de atividades dos usuários e de conformidade. Muitas organizações estão sendo sufocadas por quantidades excessivas de informações de log do sistema. O processamento manual dessas informações consome quantidades enormes de tempo e também dificulta a identificação efetiva de eventos de segurança significativos. Além disso, muitas regulamentações possuem requisitos de coleta, armazenamento e análise de dados de log do sistema que são quase impossíveis de serem atendidos com uma abordagem puramente manual. Para atender a esses requisitos com eficácia, você deve ter um processo automatizado e repetitivo de identificação e resolução de violações de diretivas e controles. Os produtos da CA que permitem que você controle com eficácia as identidades de usuários em nuvens particulares ou públicas incluem: CA Identity Manager Fornece administração de identidades, provisionamento/desprovisionamento, autoatendimento de usuário e relatórios e auditoria de conformidade. Ele ajuda você a estabelecer diretivas consistentes de segurança de identidades, simplificar a conformidade e automatizar os principais processos 6

7 de gerenciamento de identidades em vários inquilinos independentes. Além disso, ele pode gerenciar contas de usuários em aplicativos no local e outros serviços na nuvem, como Salesforce.com. CA Role and Compliance Manager Fornece gerenciamento e detecção de funções, limpeza de privilégios, certificação de direitos e geração de relatórios de conformidade. Ele ajuda você a validar que os usuários possuem privilégios apropriados continuamente e, ao mesmo tempo, a aplicar diretivas de conformidade de identidades consistentes para todos os usuários e inquilinos. CA Enterprise Log Manager Fornece coleta, filtragem, correlação e análise de arquivos de log. Ele ajuda você a automatizar a árdua tarefa de analisar as atividades dos usuários, de forma a reduzir os custos e os riscos de um evento de segurança não detectado. Ele também fornece relatórios de conformidade abrangentes para facilitar as auditorias. Controlar o acesso O controle do acesso a recursos de TI críticos é necessário para uma conformidade efetiva e também para proteger o valor dos acionistas, as informações de clientes e a propriedade intelectual. Sem uma aplicação efetiva de diretivas de acesso, o acesso inadequado intencional ou inadvertido pode ter efeitos desastrosos. Existem duas áreas importantes a serem consideradas nas três categorias de serviços na nuvem SaaS, PaaS e IaaS: Controle do acesso a aplicativos e serviços com base na Web. Controle do acesso de usuários privilegiados a informações, aplicativos e serviços. Gerenciamento de acesso à Web Hoje, as organizações enfrentam dois imperativos aparentemente contraditórios. Para aumentar o desempenho e as receitas, elas precisam aumentar a confiança nos aplicativos Web e de Internet que as conectam com seus clientes, parceiros e funcionários. Por outro lado, uma organização que abre seus sistemas para milhões de usuários em potencial, dentro e fora da empresa, também expõe seus aplicativos, suas redes e seus dados a riscos significativos, o que pode colocar toda a organização em risco. O CA SiteMinder, produto de gerenciamento de acesso à Web líder do setor há mais de dez anos, fornece uma base essencial para a autenticação de usuários, o logon único, a autorização e a geração de relatórios para nuvens particulares e públicas. Ele permite que você crie diretivas de acesso capazes de controlar o acesso a aplicativos críticos com base em um conjunto flexível de critérios estáticos ou dinâmicos. Essa flexibilidade torna muito mais fácil controlar o acesso de usuários a seus aplicativos, além de ajudar a eliminar a necessidade de código relacionado à segurança dentro de cada aplicativo. O resultado é o desenvolvimento mais rápido de aplicativos e uma redução nos custos de manutenção e administração. O CA SiteMinder já foi implantado com êxito em alguns dos maiores e mais complexos ambientes de TI do mundo. Foi comprovado que ele é capaz de ser dimensionado para milhões de usuários com alto desempenho e confiabilidade. Particularmente importante para nuvens de TI que devem interoperar como outros domínios de segurança ou serviços na nuvem, a solução da CA também inclui recursos para a federação de identidades com base em padrões a fim de permitir o crescimento por meio da expansão de ecossistemas abrangentes de parceiros. Ao permitir que os parceiros acessem seus aplicativos com segurança, e vice-versa, você pode simplificar as cadeias de valores e, ainda mais importante, você pode aproveitar as oportunidades de crescimento disponíveis por meio de parcerias online integradas. Além disso, a segurança de arquiteturas com base em SOA/serviços Web é fornecida de forma que os aplicativos Web e os serviços Web possam ser protegidos em uma infraestrutura de segurança comum. 7

8 Os produtos da CA que permitem que você controle com eficácia o acesso a aplicativos Web com base em nuvens particulares e públicas incluem: CA SiteMinder Fornece gerenciamento centralizado e aplicação de autenticação de usuário, autorização, logon único e geração de relatórios. Ele permite que você proteja seus principais aplicativos, aprimore a experiência dos usuários e simplifique as auditorias de conformidade com facilidade. CA Federation Manager Amplia os recursos do CA SiteMinder para relacionamentos de parceiros federados com base em padrões, o que permite que seu serviço na nuvem interopere com aplicativos em outros domínios de segurança ou outros serviços na nuvem, como o Salesforce.com e aplicativos da Google. CA SOA Security Manager Protege o acesso a serviços Web com base em XML por meio do fornecimento de serviços de autenticação, autorização e auditoria inspecionando o conteúdo de mensagens em XML. CA Arcot WebFort e RiskFort O servidor de autenticação versátil CA Arcot WebFort permite que você implante uma grande variedade de métodos de autenticação sólidos de maneira eficiente e centralizada. Ele pode aumentar a segurança e melhorar seu perfil de conformidade sem sobrecarregar os usuários ou seu helpdesk. O CA Arcot WebFort foi integrado ao CA SiteMinder para fornecer um conjunto robusto de funcionalidades que inclui o gerenciamento, a execução e o rastreamento de vários métodos de autenticação. O CA Arcot RiskFort fornece proteção em tempo real contra roubo de identidades e fraude online por meio de autenticação adaptável e com base em riscos. Ele avalia o potencial de fraude de tentativas de acesso online, incluindo desde serviços online da empresa até transações de comércio eletrônico de consumidores, e calcula a pontuação de risco com base em um amplo conjunto de variáveis. Tudo isso é feito de maneira transparente, sem causar inconveniências aos usuários legítimos e de baixo risco. Gerenciamento de usuários privilegiados Uma das áreas de risco de TI mais importantes está relacionada a usuários privilegiados (administradores de TI e segurança). Isso é igualmente verdadeiro para as nuvens particulares e públicas virtualizadas ou não. Independentemente de serem inadvertidas ou mal-intencionadas, ações inadequadas realizadas por usuários de TI privilegiados podem ter efeitos desastrosos sobre as operações da TI, bem como sobre a segurança e a privacidade em geral de ativos e informações da empresa. Por isso, é essencial que os administradores tenham permissão para executar apenas as ações para as quais tenham autorização e somente para os ativos apropriados. Também é importante que esses controles de segurança possam ser dimensionados em grandes ambientes físicos ou virtualizados. Além disso, os administradores geralmente compartilham, e às vezes perdem, suas senhas de sistema, o que leva a um risco ainda maior de violações de diretivas. E, quando todos esses usuários fazem logon como Raiz ou Administrador, suas ações relatadas no arquivo de log são essencialmente anônimas. Essas condições apresentam um significativo risco à segurança e também dificultam os esforços de conformidade, pois as ações impróprias não podem ser evitadas nem associadas ao violador. O necessário é um controle de acesso bastante granular dos usuários administradores. Infelizmente, a segurança do sistema operacional do servidor nativo não fornece um controle suficiente em relação a quais recursos podem ser acessados por quais pessoas, nem fornece a auditoria granular necessária para atender aos requisitos de conformidade. A solução da CA de gerenciamento de usuários privilegiados, o CA Access Control, protege os servidores físicos e virtuais fornecendo direitos mais granulares para os administradores nas plataformas do que os direitos oferecidos por sistemas operacionais. Isso facilita uma melhor conformidade por meio de uma granularidade 8

9 do controle de acesso com base em diretivas e da aplicação que inclui a segregação de tarefas. A solução controla quem tem acesso a sistemas específicos, a recursos nesses sistemas e a serviços de sistemas críticos (por exemplo, é importante que os administradores não tenham a capacidade de desativar o processo de registro do sistema a fim de ocultar uma atividade inadequada). Ela também simplifica o gerenciamento por meio de uma única interface de usuário para gerenciar todas as plataformas de servidor. Essa solução também oferece suporte ao gerenciamento extensivo de senhas de usuários privilegiados (PUPM), o que ajuda a fornecer a responsabilidade pelo acesso privilegiado por meio da emissão de senhas temporárias e de uso único ou conforme a necessidade e, ao mesmo tempo, garantir a responsabilidade dos usuários por suas ações através de uma auditoria segura. O PUPM também foi projetado para permitir que os aplicativos acessem senhas do sistema de maneira programática e, ao fazer isso, removam senhas codificadas dos scripts. Controlar informações A aplicação do controle de acesso sobre informações confidenciais é apenas a primeira etapa de uma abordagem abrangente de segurança das informações na nuvem. Após os usuários receberem acesso legítimo aos dados por meio de um aplicativo para o qual eles têm autorização, muitos serviços na nuvem possuem pouco ou nenhum controle sobre o que esses usuários podem fazer. Geralmente, essas organizações não conhecem todos os locais em que suas informações confidenciais são armazenadas e não têm nenhuma proteção contra a exposição ou a divulgação dessas informações para pessoas não autorizadas, interna ou externamente. Algo tão simples quanto um número de CPF pode causar um impacto negativo significativo se divulgado de maneira inadequada. Por esse motivo, muitas organizações acreditam que seus funcionários representam uma ameaça muito mais séria à segurança dos dados, por meio de comportamentos inadvertidos ou mal-intencionados, do que pessoas de fora da empresa. O CA DLP ajuda você a controlar sua enorme quantidade de informações e, ainda mais importante, a proteger dados confidenciais contra divulgação inapropriada ou uso incorreto. Ele protege os dados em trânsito na rede, os dados em uso no ponto de extremidade e os dados armazenados em servidores e repositórios, independentemente de estarem em nuvens particulares ou públicas. Ele permite que você configure diretivas que definam os dados que devem ser verificados, o tipo de item de dados que deve ser monitorado e a ação a ser executada se uma atividade inapropriada for detectada. Além disso, ele inclui um conjunto de diretivas pré-criadas com base em casos de uso de negócios reais que torna a implantação rápida muito mais simples. Ele reduz significativamente os riscos à segurança das informações e facilita a comprovação da conformidade com determinadas regulamentações e melhores práticas relacionadas à segurança. Seção 3: Benefícios Possibilitando uma segurança robusta, eficiente e flexível para a nuvem A solução de Gerenciamento de identidades e acesso da CA fornece uma solução comprovada para a proteção de seus ativos de TI críticos em seu serviço na nuvem, particular ou pública, e oferece estes importantes benefícios: Redução de riscos de segurança por meio de controles aprimorados A solução de IAM da CA ajuda a garantir que seus recursos de TI críticos sejam protegidos e que apenas usuários corretamente autorizados possam acessá-los, e apenas das maneiras aprovadas. Ele também permite que você gerencie e analise informações de eventos de segurança a fim de identificar e corrigir rapidamente potenciais problemas de segurança, incluindo divulgação inadequada ou uso incorreto de informações confidenciais da organização ou de clientes. Esses 9

10 controles de segurança aprimorados, quando combinados com recursos de geração de relatórios centralizados e automatizados, ajudam a aumentar a confiança dos consumidores na nuvem em relação a seus serviços na nuvem. Facilidade de cumprir com as regulamentações por meio de transparência A solução de IAM da CA fornece à sua organização as ferramentas necessárias para dar suporte à conformidade com as regulamentações obrigatórias de provedores e consumidores de nuvem. Além da auditoria e dos relatórios abrangentes, os seus desafios de conformidade são simplificados, pois é possível fornecer regularmente provas dos controles para os seus auditores, bem como para os auditores de seus consumidores na nuvem. Redução de despesas administrativas e aumento da eficiência A solução de IAM da CA também pode ajudar a automatizar muitos de seus principais processos administrativos de TI, especialmente aqueles relacionados ao gerenciamento de identidades de usuários e direitos de acesso de usuários inquilinos. Juntamente com a filtragem e a análise automatizadas de informações de logs de segurança, esses recursos podem fornecer significativas eficiências administrativas, reduzindo os custos gerais de TI. Eles também podem ajudar a aumentar a produtividade do usuário e de gerenciamento, pois menos tempo é gasto na administração manual da segurança. Maior agilidade de TI por meio de processos de segurança automatizados Os consumidores na nuvem, internos e externos, apenas farão negócios com você por meio de seu serviço na nuvem se acreditarem que você consegue fornecer um ambiente seguro para as informações pessoais e proprietárias pelas quais eles são responsáveis. A solução de IAM da CA pode ajudar seu serviço na nuvem a proteger seus aplicativos, bem como a fornecer novos aplicativos e serviços mais rapidamente. A solução de segurança da CA pode ajudar a proporcionar uma experiência personalizada e positiva ao usuário, o que aumenta a satisfação de clientes e parceiros e ajuda você a desenvolver seus negócios e o ecossistema de parcerias. A CA Technologies é uma empresa de software e soluções de gerenciamento de TI com experiência em todos os ambientes de TI desde ambientes físicos e de mainframe até ambientes virtuais e na nuvem. A CA Technologies gerencia e protege os ambientes de TI e permite que os clientes forneçam serviços de TI mais flexíveis. Os produtos e serviços inovadores da CA Technologies fornecem as informações e o controle necessários para as organizações de TI aumentarem a agilidade dos negócios. A maioria das empresas que compõe a lista Global Fortune 500 conta com a CA Technologies para gerenciar seus ecossistemas de TI em constante evolução. Para obter informações adicionais, visite o site da CA Technologies em ca.com Copyright 2010 CA. Todos os direitos reservados. Todas as marcas comerciais, nomes de marcas, marcas de serviço e logotipos mencionados aqui pertencem às suas respectivas empresas. Este documento é apenas para fins informativos. A CA não assume responsabilidade pela precisão ou integridade das informações. Na medida do permitido pela lei aplicável, a CA fornece este documento no estado em que se encontra, sem garantias de nenhum tipo, incluindo, sem limitações, garantias implícitas de comerciabilidade, adequação a uma finalidade específica ou não violação. Em nenhuma circunstância a CA será responsável por perdas ou danos, diretos ou indiretos, decorrentes do uso deste documento, incluindo, sem limitações, perda de lucros, interrupção de negócios, reputação da empresa ou perda de dados, mesmo que a CA tenha sido expressamente informada sobre a possibilidade de tais danos com antecedência. CS0355_1210