Existe uma crescente perceção da importância e da ubiquidade da segurança da informação, como parte integrante da governance de IT. As organizações que dependem de informação e da forma como esta é acedida e disponibilizada, entendem que o investimento na melhoria dos mecanismos de segurança não é apenas uma questão de investimento estratégico, mas faz parte de uma necessidade operacional contínua, de forma a manter o nível de operacionalidade exigido pelo negócio.
As diversas variantes daquilo que, em termos latos, se chama a “nuvem”, trazem necessidades de reenquadramento e de ajustamento das estratégias e políticas de segurança para as organizações. Uma parte dos custos associados com a adesão a serviços “nuvem” devem ser investidos na melhoria dos processos de escrutínio e alinhamento com as capacidades de segurança do fornecedor. Deve ser dada uma especial atenção, nomeadamente, ao nível de conformidade com as principais normas de segurança aplicáveis em cada caso.
Os dois principais fatores de tendem a impedir ou atrasar a adoção da “nuvem” pelas organizações são a segurança e a perda de controlo da informação. Os mecanismos de implementação e avaliação do cumprimento de normas de segurança, o uso de tecnologias de isolamento da infraestrutura e mecanismos de proteção da informação são determinantes.
É necessário poder garantir que um ficheiro com informação crítica para o negócio de uma organização mantém as mesmas características de confidencialidade, integridade e disponibilidade que tinha quando circulava “apenas” na infraestrutura local. É igualmente necessário que a informação seja “resiliente” a quaisquer alteração na infraestrutura do fornecedor da “nuvem”, as quais nem sempre são passíveis de ser monitorizadas.
Adicionalmente, é necessário aliar estas características de segurança sem perder a mesma simplicidade de acesso que os utilizadores, devidamente autorizados, já detinham na infraestrutura local, antes de a informação ser disponibilizada na “nuvem”.
É igualmente importante sublinhar que a “externalização” de recursos não pode implicar que a infraestrutura local das organizações possa passar a ser menos segura. É importante que métodos seguros de criação, acesso e armazenamento de informação na “nuvem” sejam também disponibilizados localmente.
Além disso, é fundamental adotar uma cultura de gestão de risco alicerçada em políticas e procedimentos bem definidos. Apostar na formação das pessoas aumenta a sua sensibilidade às questões da segurança, e dessa forma aumenta a eficácia da gestão de risco.
Como princípio, há que gerir e utilizar o sistema de informação, suportado por tecnologias que permitam combater as principais ameaças identificadas, devendo ser adotadas tecnologias e processos que minimizem a dependência da cumplicidade e atenção dos utilizadores envolvidos.
Rui Melo Biscaia
Watchful Software
