Backup multitenant: como evitar que um incidente afete vários clientes
Segurança e Backup em Nuvem
Atender vários clientes com uma única plataforma de backup oferece eficiência operacional. Mas também exige controles de isolamento que impeçam um incidente de segurança de atingir outras empresas.
Quando um problema em um cliente se transforma em risco para todos
Imagine um MSP responsável pelo backup de 80 empresas. Cada cliente possui seus próprios servidores, arquivos e políticas de retenção, mas todos são administrados por uma plataforma centralizada.
Um invasor compromete uma conta administrativa do provedor. Se essa identidade possui acesso irrestrito aos ambientes, o ataque pode deixar de ser um incidente isolado para se transformar em uma ameaça a dezenas de organizações.
Essa possibilidade torna a segurança multitenant uma questão estratégica. Não basta organizar clientes em diferentes telas ou cadastros: é necessário estabelecer fronteiras técnicas que limitem o acesso a dados, credenciais e operações.
O que realmente significa multitenancy segura?
Uma arquitetura multitenant permite que diferentes organizações utilizem uma infraestrutura compartilhada mantendo a separação lógica ou física dos respectivos recursos. O modelo pode reduzir custos e simplificar a operação, mas o compartilhamento exige mecanismos confiáveis de autorização e isolamento.
O National Cyber Security Centre (NCSC) do Reino Unido estabelece, entre seus princípios de segurança em nuvem, que um cliente comprometido não deve conseguir acessar ou afetar os dados e serviços de outro cliente.
Na prática, isso significa examinar não apenas onde os arquivos estão armazenados, mas também como usuários, agentes, APIs, bancos de dados, chaves criptográficas e tarefas de recuperação são autorizados.
Cinco camadas essenciais de isolamento
- Identidade e autenticação: contas administrativas individuais, autenticação multifator e acesso privilegiado restrito.
- Autorização por cliente: verificações de permissões em todas as operações, incluindo consulta de backups, restauração, exclusão e alteração de políticas.
- Armazenamento: separação verificável de repositórios, identificadores e permissões de acesso, mesmo quando a infraestrutura é compartilhada.
- Credenciais e chaves: segregação de segredos e limitação do impacto caso uma credencial seja comprometida.
- Operação e auditoria: registros que identifiquem quem executou cada ação, sobre qual cliente e com qual autorização.
Esses controles devem ser aplicados também às APIs e aos processos automatizados. Uma interface com clientes separados não demonstra, sozinha, que o backend impede acessos entre tenants.
O perigo das credenciais compartilhadas
Uma das fragilidades mais importantes em ambientes gerenciados é a utilização de contas administrativas com privilégios excessivos ou senhas reutilizadas em vários clientes.
A orientação internacional publicada por agências de cibersegurança, incluindo a CISA, recomenda que MSPs não reutilizem credenciais administrativas entre clientes e adotem autenticação multifator e o princípio do menor privilégio.
Para ambientes Microsoft 365, por exemplo, os Granular Delegated Admin Privileges (GDAP) permitem conceder acesso administrativo delegado com escopo e duração definidos. O princípio pode ser aplicado a outras plataformas por meio de papéis específicos, credenciais individualizadas e concessões temporárias de acesso.
Uma conta comprometida deve afetar o menor conjunto possível de recursos. Isso reduz o raio de impacto potencial de um ataque.
Separar os backups também significa proteger a recuperação
Mesmo quando os backups estão corretamente separados, a recuperação pode depender de componentes compartilhados: portal administrativo, banco de dados de catálogo, filas de tarefas, serviços de identidade e infraestrutura de controle.
Um ataque a esses componentes pode interromper restaurações de vários clientes, ainda que os dados armazenados permaneçam intactos.
Por isso, MSPs e MSSPs devem avaliar a resiliência do plano de controle, a disponibilidade de credenciais de emergência, a proteção dos repositórios e os procedimentos de restauração em caso de indisponibilidade da plataforma central.
Também é recomendável adotar cópias isoladas, controles contra exclusão não autorizada e testes periódicos de recuperação. Recursos como imutabilidade e bloqueio de retenção devem ser verificados no serviço efetivamente contratado; não devem ser presumidos.
Como testar se o isolamento realmente funciona
Uma arquitetura segura precisa de evidências. Além de revisar permissões e configurações, o provedor deve realizar testes controlados em ambiente autorizado e isolado.
- Verificar se um operador de um cliente consegue visualizar informações de outro cliente.
- Testar se APIs rejeitam identificadores de tenants não autorizados.
- Confirmar que tokens expirados ou revogados não permitem novas operações.
- Validar a separação entre permissões de backup, restauração e exclusão.
- Simular a perda de um agente ou credencial e avaliar o alcance do incidente.
- Restaurar dados em ambiente controlado e registrar integridade, tempo e resultado funcional.
Os testes devem utilizar dados sintéticos ou ambientes expressamente autorizados, sem colocar informações de clientes em risco.
Checklist para MSPs e MSSPs
Antes de contratar ou operar uma plataforma multitenant, é importante responder:
- Existe uma fronteira de autorização verificada entre os clientes?
- As credenciais administrativas são individuais e protegidas por MFA?
- As contas de serviço possuem apenas as permissões necessárias?
- As políticas de retenção e restauração podem ser controladas por cliente?
- Os repositórios possuem proteção contra comprometimento e exclusão indevida?
- As atividades administrativas geram registros auditáveis?
- Há procedimentos para recuperar clientes mesmo após falhas dos componentes compartilhados?
- Foram realizados testes de isolamento e restauração com evidências documentadas?
Respostas negativas ou desconhecidas devem gerar ações de avaliação e melhoria, de acordo com a criticidade de cada ambiente.
O papel da SafetyOnCloud na estratégia de proteção
O backup em nuvem deve fazer parte de uma estratégia de resiliência que contemple segurança, governança e recuperação operacional.
A SafetyOnCloud trabalha com foco em proteção de dados e recuperação, apoiando a discussão sobre necessidades de backup, retenção e continuidade de negócios. Para MSPs e MSSPs, a avaliação de uma solução deve incluir a confirmação das funcionalidades de isolamento, controle de acessos, proteção de armazenamento e testes de restauração disponíveis no serviço contratado.
Segurança multitenant não é apenas uma característica comercial. É um conjunto de controles técnicos que precisa ser projetado, implementado, testado e continuamente verificado.
Seus clientes estão realmente isolados?
Uma estratégia de backup precisa limitar o impacto dos incidentes e permitir a recuperação confiável de cada organização atendida.
Converse com a SafetyOnCloud para avaliar suas necessidades de proteção de dados, retenção e recuperação em ambientes gerenciados.