A importância da Conformidade de Contêineres
Com os contêineres executando tantos aplicativos essenciais hoje em dia, a conformidade é muitas vezes a base para fazer negócios. No entanto, atender aos pré-requisitos para realizar negócios em determinados setores e regiões é apenas um dos motivos pelos quais o contêiner Conformidade é importante.
O Container Conformidade também ajuda as empresas:
- Evite multas, penalidades e perda de receita: Em muitos casos, a não conformidade significa multas e penalidades que afetam diretamente o resultado final. Além disso, se a não conformidade levar a uma ação que impeça as empresas de fazer negócios com um cliente ou região específica, isso pode levar à perda de receita.
- Melhorar a postura geral de segurança e reduzir os riscos: Muitas vezes, os requisitos de Conformidade se sobrepõem às práticas recomendadas de segurança em geral. Como resultado, a implementação das políticas e dos procedimentos necessários para manter a conformidade pode melhorar a postura geral de segurança, incluindo a segurança do contêiner, e reduzir o risco de um incidente de segurança.
- Proteger sua reputação: Uma violação de segurança geralmente é ruim para a reputação de uma empresa. Entretanto, mesmo que ocorra uma violação, uma empresa que possa demonstrar que seguiu as práticas recomendadas de segurança cibernética e que estava em conformidade com os padrões de segurança relevantes poderá proteger sua reputação melhor do que uma organização que não esteja em conformidade.
Desafios da Conformidade de Contêineres
Muitas vezes, com a Conformidade vem a complexidade. Isso é particularmente verdadeiro com a conformidade de contêineres porque muitos padrões foram escritos antes do aumento da popularidade das cargas de trabalho em contêineres ou simplesmente não falam claramente sobre os casos de uso de contêineres.
Alguns dos desafios mais frequentes envolvidos na obtenção da Conformidade para contêineres incluem:
- Visibilidade do contêiner: Para alcançar a conformidade, as empresas precisam de visibilidade de todas as suas cargas de trabalho, mas é difícil entender quais cargas de trabalho de contêineres estão sendo executadas, onde estão sendo executadas e como estão configuradas em escala. As cargas de trabalho são distribuídas em nuvens públicas e privadas, as imagens podem vir de várias fontes e as configurações podem variar.
- Gerenciar o desvio de configuração: Depois que as configurações e políticas de conformidade são implementadas, as empresas podem estar em conformidade em um determinado momento. No entanto, manter um estado de conformidade pode ser um desafio diante do desvio de configuração. Detectar e corrigir configurações incorretas e violações de políticas de forma rápida e confiável é um aspecto fundamental para manter a reclamação.
- Implementação de controles de acesso granular: Muitos padrões exigem que as empresas implementem controles de acesso granular para evitar o acesso não autorizado a dados confidenciais. Por exemplo, o PCI DSS exige que as empresas restrinjam o acesso aos dados do titular do cartão de uma forma comparável ao princípio do menor privilégio.
- Gerenciando a vulnerabilidade em bibliotecas e imagens externas: As imagens de contêineres extraídas de repositórios de contêineres não confiáveis ou de bibliotecas e dependências de terceiros podem introduzir uma variedade de problemas de segurança nos ambientes em contêineres. As empresas precisam de um plano para reduzir esse risco e manter a conformidade.
- Manutenção da conformidade em ambientes multinuvem: As cargas de trabalho em contêineres geralmente estão espalhadas por várias plataformas em ambientes multinuvem. Nesses casos, as empresas precisam garantir a conformidade dos contêineres entre as plataformas de nuvem pública e a infraestrutura local.
Esses desafios de alto nível se aplicam a vários padrões. Nas seções abaixo, examinaremos padrões específicos e como eles se relacionam com a Conformidade de segurança de contêineres.
Conformidade com o NIST para contêineres
O Instituto Nacional de Padrões e Tecnologia dos Estados Unidos (NIST) desenvolveu vários padrões e diretrizes de práticas recomendadas, muitos dos quais se relacionam diretamente com a segurança cibernética e a conformidade dos dados. Em muitos casos, a conformidade com os padrões específicos do NIST é um pré-requisito para fazer negócios com o governo dos Estados Unidos.
Algumas das diretrizes e dos padrões de segurança cibernética do NIST mais relevantes com os quais as empresas devem estar familiarizadas são:
- Estrutura de segurança cibernética do NIST: Uma estrutura de segurança cibernética que fornece orientação sobre uma variedade de padrões, práticas e diretrizes de segurança cibernética. Ele abrange cinco funções principais: identificar, proteger, detectar, responder e recuperar. Nos Estados Unidos, a Ordem Executiva 13800 tornou a Estrutura de Segurança Cibernética do NIST um requisito para as agências federais.
- Padrões Federais de Processamento de Informações (FIPS): Um conjunto de padrões de segurança cibernética para sistemas de computador que pertencem ao governo federal dos Estados Unidos.
- NIST SP 800-37: Relaciona-se ao uso do monitoramento contínuo para o gerenciamento de riscos.
- NIST SP 800-53: detalha os controles de segurança para sistemas de informação pertencentes ao governo federal dos Estados Unidos.
- NIST SP 800-137: Trata do uso da automação para monitoramento e geração de relatórios.
Conformidade com o PCI DSS para contêineres
O Payment Card Industry Data Security Standard (PCI DSS) define uma estrutura que as empresas que aceitam ou processam pagamentos com cartão devem seguir para reduzir o risco de fraude e comprometimento de dados. Isso torna a conformidade de contêineres do PCI DSS uma obrigação para muitas cargas de trabalho de contêineres envolvidas no comércio eletrônico e no varejo.
A obtenção da conformidade com o PCI DSS inclui o cumprimento de doze requisitos operacionais e de segurança de dados, incluindo a não utilização de valores padrão para senhas e parâmetros de segurança, a manutenção de um firewall, o armazenamento seguro dos dados do titular do cartão e a atualização regular de programas antivírus.
Como o PCI DSS não é excessivamente prescritivo em relação à forma como as empresas devem atender a esses requisitos, pode ser um desafio fazer isso corretamente para cargas de trabalho de contêineres. Ferramentas como as plataformas Kubernetes Security Posture Management (KPSM) podem ajudar as empresas a obter a conformidade com o PCI DSS automatizando o processo de definição de políticas de segurança, verificando cargas de trabalho de contêineres em clusters K8s, detectando configurações incorretas e identificando problemas com controles de acesso baseados em funções (RBAC).
Conformidade com o GDPR para contêineres
O GDPR se aplica a todas as organizações que lidam com os dados pessoais dos cidadãos da União Europeia (UE). Ele inclui requisitos relacionados à criptografia e pseudonimização dos dados pessoais dos cidadãos da UE, manutenção da confidencialidade, integridade e disponibilidade (CIA) dos sistemas envolvidos no processamento de dados, testes regulares e recursos de restauração em caso de acidente.
Para obter a conformidade com o GDPR para cargas de trabalho em contêineres, as empresas devem adotar uma abordagem multifacetada para a segurança dos contêineres. Por exemplo, as empresas podem verificar a vulnerabilidade das imagens, aplicar controles rígidos de acesso à rede, limitar o acesso a dados confidenciais e monitorar as ameaças em tempo real como parte das etapas necessárias para cumprir o GDPR.
Benchmarks de CIS para contêineres
O Center for Internet Security (CIS) mantém um conjunto de práticas recomendadas de configuração segura, conhecidas como CIS Benchmarks, para uma variedade de sistemas de vários fornecedores. Essas práticas recomendadas baseiam-se no consenso obtido de especialistas em segurança cibernética de todo o mundo.
Os Benchmarks do CIS são amplamente reconhecidos em todo o mundo como uma referência autorizada para práticas seguras e muitas vezes se sobrepõem a outros padrões de segurança cibernética, como os padrões da série ISO/IEC 27000, a Estrutura de Segurança Cibernética do NIST e o PCI DSS.
O CIS publica benchmarks para uma variedade de plataformas relacionadas a nuvem e contêineres, incluindo Kubernetes e Docker. Com ferramentas como o CSPM (Segurança de nuvem Posture Management ) de nível empresarial, as organizações podem simplificar o processo de avaliação de sua infraestrutura em relação aos padrões de CIS e obter visibilidade granular de suas cargas de trabalho em contêineres.
Conformidade de contêineres com o CloudGuard
Abordar a Conformidade de segurança de contêineres em escala requer a combinação certa de estratégia, processos e ferramentas. A plataforma CheckPoint CloudGuard é uma solução completa de Segurança de nuvem e Conformidade, desenvolvida especificamente para atender a uma ampla gama de casos de uso de Conformidade de contêineres.
Com o CloudGuard, as empresas podem:
- Automatize a Conformidade e monitore as alterações de política em tempo real com o Automated Trusted Advisor.
- Crie relatórios detalhados sobre o status de conformidade e visualize os níveis de segurança no contexto de normas como PCI DSS e GDPR.
- Obtenha visibilidade profunda de todos os contêineres, mesmo em ambientes com vários contêineres.
- Aplique políticas de controle de acesso seguro para ajudar a manter a conformidade usando o CloudGuard's Admission Controller.
- Examine imagens de contêineres em busca de configurações inseguras, vulnerabilidade e malware.
Para ver o poder do CloudGuard em primeira mão, inscreva-se para obter uma segurança de contêiner gratuita demo hoje mesmo ou inicie uma avaliação gratuita do CloudGuard CSPM. Como alternativa, se quiser se aprofundar mais nos desafios de segurança de contêineres, faça o download gratuito do nosso Guia de segurança de contêineres.
Opinião