Percepção vs. Realidade
Os profissionais de TI geralmente percebem a nuvem como insegura ou menos segura do que ter seus aplicativos e dados residindo em seus próprios data centers. Mas as percepções não correspondem necessariamente à realidade.
Quando a CA e o Ponemon Institute encomendaram um estudo com mais de 900 profissionais de TI em maio de 2010, eles descobriram que os profissionais de TI acreditavam que os riscos de segurança eram mais difíceis de reduzir na nuvem, incluindo proteger a localização física de ativos de dados e restringir o acesso de usuários privilegiados a dados sensíveis. A pesquisa descobriu que a equipe de TI admitiu ter conhecimento incompleto sobre quais recursos de computação são implantados na nuvem, principalmente porque essas decisões são tomadas por usuários finais fora de qualquer revisão de TI. Cerca de metade de todos os entrevistados reconhece que muitos recursos de nuvem não são avaliados quanto à segurança antes da implantação em suas organizações.
Talvez todo o alarido seja mais sobre aplicativos da Web inseguros do que a própria nuvem. Muitas das principais explorações de segurança da Web, como scripts entre sites e injeção de SQL, são coisas que existem quase desde quando os servidores da Web foram inventados e, por algum motivo, ainda incomodam muitas instalações corporativas. Ironicamente, um relatório de maio de 2010 de Derek Brink, do Aberdeen Group, mostra que os usuários de ferramentas de segurança da Web baseadas em nuvem se saíram melhor do que seus equivalentes locais com menos incidentes de malware.
Certamente, existem ambientes de nuvem mais ou menos seguros, assim como existem data centers locais mais ou menos seguros. A Cloud Security Alliance é uma organização sem fins lucrativos formada para promover a garantia de segurança entre os fornecedores de computação em nuvem. A Aliança promove as melhores práticas de segurança e cria consenso em torno de questões de segurança específicas. Fundada há dois anos por um consórcio de fornecedores e gerentes de TI de usuários finais, ela criou vários grupos de trabalho, como aqueles com foco em operações de data center, descoberta eletrônica e gerenciamento de ciclo de vida.
Qualquer pessoa que compre serviços em nuvem deve buscar respostas claras e convincentes para quatro perguntas:
Como os dados são criptografados, tanto em uso quanto em repouso, quando armazenados na infraestrutura de nuvem?
Os controles de acesso refinados estão implementados?
Quanto da infraestrutura de nuvem é redundante?
Quão bem os aplicativos da Web são protegidos?
Veremos cada um deles com mais detalhes nas páginas a seguir.
