IntelyCare

Como um SAAS inovador em tecnologia de saúde usa o Tenable Cloud Security para automatizar a correção de riscos e os privilégios mínimos

O desafio

A IntelyCare, uma empresa de tecnologia de saúde nativa da nuvem, desenvolve e administra seus negócios em várias contas da AWS. O grande crescimento recente na sua base de clientes e usuários — e no uso de dados de saúde — tornaram sua plataforma na nuvem vulnerável a agentes mal-intencionados.

Larry Viviano, Diretor de Segurança da Informação da IntelyCare, explica: "Somos um grande alvo de ladrões de identidade porque nossos funcionários de teleassistência fazem upload de dados confidenciais: informações pessoais protegidas, como testes de COVID, injeções e prontuários médicos de pacientes".

Viviano tinha uma visão clara para proteger sua infraestrutura da nuvem, começando por alinhá-la com os CIS (Center for Internet Security) benchmarks. "Uma das primeiras coisas que o CIS pede é o nosso inventário de software e hardware." Para atender a essa necessidade, Viviano buscou ter visibilidade de todos os componentes do inventário no seu complexo ambiente de nuvem. Também pretendia automatizar a mitigação de riscos. "Meu ponto de maior importância é a automação. Somos uma pequena equipe de segurança tentando fazer muitas coisas. Eu utilizo ferramentas para complementar as pessoas e aumentar a produtividade."

Viviano ainda observa: "Ao longo dos anos, sofri com muitas ferramentas de automação que alegavam fazer o que não conseguiam e interrompiam a produção. Isso prejudica a reputação dos profissionais de segurança com DevOps, que não quer que a segurança interrompa seus sistemas." Para colocar seus objetivos em prática, Viviano queria a participação das partes interessadas em segurança da nuvem — ele buscava a confiança delas.

A solução

Viviano recorda: "Comecei a analisar [o Tenable Cloud Security] em uma outra empresa e vi que ele oferecia visibilidade de acesso e privilégios, normalmente vistos apenas por DevOps, engenharia ou infraestrutura. [A Tenable] me permitiu ver em profundidade e mostrar às partes interessadas como poderíamos aliviar sua sobrecarga. Esse foi o primeiro caso de uso, e vocês fizeram um ótimo trabalho."

Primeiro, a equipe de segurança da IntelyCare começou a implementar o Tenable Cloud Security em um dos seus ambientes de teste, com foco nos riscos mais altos, que a plataforma prioriza por severidade. "[A Tenable] identifica riscos e informa o que fazer a respeito. Essa abordagem prescritiva é incrível, pois ajuda a explicar a vários grupos diferentes o que precisa ser feito", explica Viviano. "Construímos confiança com a área de segurança a ponto de dizermos: 'Vamos começar a corrigir alguns dos problemas de risco da AWS'. Usando [o Tenable Cloud Security], removemos todas as configurações com excesso de privilégios de usuários do IAM e, em seguida, de serviços; fizemos todas as correções automáticas possíveis em dois meses. Nada foi interrompido, então mantivemos o ritmo, trabalhando na lista e eliminando mais riscos."

Viviano continua: "Como a equipe de segurança não usa a AWS nesse nível, estamos usando [a Tenable] como uma ferramenta de colaboração para transmitir um manual de correção claro para fácil execução pelas partes relevantes. Abrimos um tíquete de segurança [no Tenable Cloud Security], o atribuímos ao nosso fluxo de trabalho no Jira e voilà."

A plataforma sustenta a estratégia de segurança da IntelyCare. Viviano observou: "Precisamos manter nossos CIS benchmarks verdes. É aqui que [a Tenable] nos ajuda, oferecendo mais do que uma mera janela para as nossas identidades na nuvem; ela fornece informações sobre configurações incorretas que afetam as análises comparativas e precisam ser corrigidas, o que nos permite fazer as correções." Como parte das suas iniciativas de CIS benchmarks, a IntelyCare também lançou recentemente a autenticação multifator — outro, entre os fatores de risco que a Tenable rastreia.

Agora, a IntelyCare está ampliando a implementação do Tenable Cloud Security para todos os seus ambientes da AWS, incluindo Kubernetes e produção. Viviano explica: "[O Tenable Cloud Security] é fundamental para nos informar como os nossos ambientes da AWS estão sendo usados. A alternativa seria muito manual, como acionar DevOps para obter listas de VMs e depois tentar descobrir o risco e como fazer a proteção." Ele continua: "O que [a Tenable] mostra e me permite fazer em poucos minutos levaria dois ou três meses para a equipe de segurança. Sinceramente, é aí que eu acho que [a Tenable] gera retorno sobre o investimento, automatizando esses aspectos e proporcionando visibilidade imediata."

Viviano conclui: "O próximo passo é começar a usar as políticas recomendadas [pelo Tenable Cloud Security]. Somos uma empresa que quer muito implementar privilégios mínimos, e [a Tenable] está nos ajudando a chegar lá. [A Tenable] aborda um caso de uso que nenhuma de nossas outras soluções de segurança em nuvem consegue, que é proporcionar visibilidade e permitir que a área de segurança construa confiança e gere colaboração com DevOps e outras equipes para mitigar o risco de identidade. É assim que bato minhas metas de segurança na empresa."