As VPNs são realmente seguras?

*Por Dennis Brach

Uma virtual private network ou VPN é essencial para proteger a segurança online da sua empresa. Mas quão seguras são as VPNs quando colocadas sob um olhar mais aprofundado? Determinar o quão seguro são as VPNs vai além da prática de segurança bruta. A privacidade é um fator importante e é o que separa as VPNs seguras das inseguras.

As VPNs protegem sua conexão pública com a Internet criptografando suas informações e protegendo sua atividade online de cibercriminosos e até mesmo de seu próprio provedor de serviços de Internet, ou ISP. Em termos de privacidade online, as VPNs mais seguras também são provavelmente transparentes sobre suas políticas de privacidade, tomam medidas para corrigir vazamentos e não mantêm registros de seu histórico de navegação.

As empresas usam VPNs há anos para permitir que os funcionários acessem os recursos da empresa remotamente. O usuário precisa apenas de um nome de usuário e senha. Um funcionário se conecta à VPN da empresa com seu login e, pronto, eles têm acesso à rede interna como se estivessem fisicamente conectados a ela. É uma rede privada, criada virtualmente e protegida com credenciais de login.

Mais de 64% das empresas de médio porte experimentaram uma violação que ocorreu como resultado de um funcionário que estava fora da rede, mas muitas empresas não conseguem avaliar o escopo da vulnerabilidade de uma força de trabalho cada vez mais móvel. Os funcionários que trabalham em uma de suas localidades se beneficiam das proteções físicas e tecnológicas fornecidas por sua organização. Os funcionários em trânsito estão trabalhando em ambientes que podem apresentar distração e vulnerabilidade que podem impactar seus negócios.

Vamos ser sinceros, os funcionários nem sempre seguem as políticas de segurança que implementamos. Uma VPN pode fornecer uma quantidade enorme de proteção, mas se for excessivamente incômoda para o usuário, será evitada em detrimento da sua segurança quando você depende apenas da VPN. Um usuário que simplesmente deseja verificar seu e-mail pessoal ou contas de mídia social pode rapidamente ter problemas.

Quando um de seus usuários deixa a segurança de seu perímetro, você perde uma quantidade significativa de visibilidade e controle sobre sua segurança. O problema fica pior quando eles se conectam de locais com proteções limitadas, redes Wi-Fi abertas, surfistas de ombro e distração sempre presente.

O controle e gerenciamento de acesso são cruciais para proteger os dados corporativos. Sem controle de acesso, usuários não autorizados podem visualizar ou alterar dados confidenciais, resultando em violação de dados.

Os invasores não podem monitorar o tráfego criptografado por VPN de fora da VPN. Mas se eles forem capazes de se conectar à VPN, eles ganham acesso a todos os recursos conectados a essa rede. É necessário apenas uma conta ou dispositivo comprometido para que um invasor obtenha acesso aos dados protegidos por VPN. Essa abordagem é conhecida como "castelo e fosso". Pense em um castelo protegido por um fosso. Quaisquer forças de ataque que vão atrás do castelo serão mantidas do lado de fora pelo fosso, mas assim que cruzarem o fosso, todo o castelo estará em perigo. Com uma abordagem VPN, o "fosso" consiste em contas internas de usuários VPN. Se um invasor rouba as credenciais de login de um usuário, ele pode violar a VPN - ele pode "cruzar o fosso" e obter acesso a todos os dados conectados.

Dito isso, o conceito zero trust é essencial para a correta proteção das empresas modernas. É necessário que a empresa tenha uma estratégia de “dividir para conquistar”, aproveitando de serviços multi-camadas e multi-gerenciados de fornecedores que possuem o conceito de um “único painel de vidro” consolidando serviços e gerenciamento de soluções de gestão de identidade, proteção de redes e EDRs. Correlacionando e automatizando ações, permitindo com que o usuário tenha liberdade e segurança simultaneamente.

*Dennis Brach é country manager da WatchGuard Brasil