Quando se trata de proteger sua rede, a identidade é o novo perímetro

Com o aumento da computação em nuvem, DevOps, IoT e os funcionários acessando os sistemas com uma variedade de dispositivos de todo o mundo, o "perímetro" da rede tornou-se difícil de definir. Em resposta, as empresas estão mudando seu foco para a autenticação, afastando-se dos métodos tradicionais de segurança perimetral em favor de uma tecnologia robusta centrada na identidade, como a infraestrutura de chave pública (PKI), com mais frequência na forma de certificados digitais.

A TI mudou drasticamente

Para entender o quão monumental foi a mudança para a identidade digital, considere como costumavam ser os departamentos de TI. Mesmo há apenas 10 anos, os departamentos de TI desfrutavam de uma propriedade muito maior sobre todos os níveis de acesso. As empresas eram proprietárias de suas próprias instalações de centros operacionais, hardware de TI e máquinas cliente que os funcionários usavam, muitas das quais nem sequer saíam do prédio. Não havia dispositivos móveis BYOD, e pessoas que não eram funcionários, como contratantes e clientes, raramente acessavam as redes da empresa. Tudo relacionado a TI estava controlado por um único departamento que, em última análise, respondia ao CIO.

As coisas estão consideravelmente diferentes hoje. Dado que a transformação digital afetou todos os cantos da empresa, praticamente todos os departamentos e LOB estão desenvolvendo aplicativos para suas próprias operações comerciais. Isso significa que há grupos de desenvolvimento espalhados por toda a empresa, e eles podem se reportar a quase qualquer pessoa. Esses desenvolvedores nem sequer são necessariamente funcionários; podem ser consultores ou fornecedores compensados completamente fora do orçamento de TI tradicional.

Os desenvolvedores estão criando aplicativos que interagem com sistemas dos quais podem não ter conhecimento ou interesse em sua localização física ou propriedade. Os funcionários costumam usar dispositivos pessoais, como telefones e computadores, e a empresa tem pouco controle sobre sua segurança. Com um ecossistema tão descentralizado, como se pode estabelecer um limite na rede? Como se assegura que esses aplicativos e equipes de trabalho formam uma barreira segura contra ataques externos? Se não forem tomadas medidas, as chances de violações, roubo de dados e interrupções nos negócios são alarmantemente altas.

A identidade é o futuro

No ambiente empresarial atual, a identidade é o novo perímetro de segurança. Se cada dispositivo, usuário, servidor, processo e IoT têm uma identidade única, essas identidades se tornam o novo "perímetro" evitando o acesso não autorizado aos dados e sistemas. Negando o acesso a qualquer dispositivo ou processo que não tenha as permissões corretas, mantém-se afastados os atores não autorizados e se permite continuar com os processos comerciais.

E as senhas não são boas o suficiente. Muitas senhas podem ser adivinhadas e existem métodos para roubar senhas; em uma violação, as credenciais estão entre as primeiras coisas que um intruso procurará. Embora as empresas possam implementar métodos como a autenticação multifator (MFA) para ajudar um pouco, ninguém quer ser bloqueado de todas as contas depois de esquecer o telefone em um bar. 

No mundo atual, a "borda" (Edge) da rede está em cada elemento lógico discreto. Cada "entidade" digital conectada à rede precisa de sua própria identidade. Cada dispositivo móvel, cada contêiner DevOps e cada dispositivo IoT precisa de um certificado digital único. Cada usuário precisa de uma credencial sólida, controlada por TI central e vinculada a acessos e permissões personalizadas para a função de cada usuário na empresa ou no ecossistema.

A quantidade de entidades que requerem certificados aumenta exponencialmente com as arquiteturas de computação modernas. Por exemplo, os ambientes DevOps precisam de um certificado único para cada contêiner criado na nuvem, caso contrário, é possível que um contêiner falso seja injetado no ambiente e dados sejam roubados, acesso não autorizado seja concedido, processos sejam interrompidos ou outros resultados negativos sejam gerados. Como um contêiner pode durar apenas alguns minutos ou segundos antes de cumprir sua função e ser eliminado, o volume total de certificados será muito maior do que em uma arquitetura de computação tradicional.

De maneira similar, se os intrusos conseguirem se inserir em um ambiente de IoT e acessar as comunicações dessa rede se passando por um dispositivo válido, também poderão roubar informações e interromper as operações. Estes são os tipos de fraquezas que os atacantes procuram.

O novo perímetro de PKI

Uma plataforma PKI moderna pode atribuir, rastrear e gerenciar os ciclos de vida dos certificados para cada dispositivo. O valor dessa funcionalidade tem sido óbvio para indústrias de alto risco como as finanças, mas à medida que a tecnologia de provisionamento evoluiu e os métodos de autenticação fracos colocam em risco as redes, PKI tem servido como uma solução confiável e segura em todas as indústrias. PKI é mais frequente do que alguns podem pensar e se adaptou para se adequar à empresa moderna. As iterações anteriores da tecnologia PKI eram suficientes em uma única pilha de tecnologia, como Windows, mas agora devem ser integradas com a nuvem e dispositivos móveis, bem como com suas diversas plataformas e sistemas operacionais.

Para implementar PKI de maneira eficiente e completa como o novo perímetro, as empresas precisarão contar com uma plataforma de gerenciamento de certificados que possa suportar a gama completa de casos de uso empresarial. A visibilidade de todos os tipos e usos de certificados, tanto públicos quanto privados, é fundamental. Igualmente importante é a tecnologia de suporte que permite automatizar a implementação, a monitorização e a renovação. 

À medida que as equipes buscam proteger suas redes agora e no futuro, a identidade digital se tornará cada vez mais o novo perímetro empresarial.