Por Luiz Firmino*
As organizações geralmente subestimam seu risco porque acreditam erroneamente que todos os seus dados confidenciais estão contidos em alguns sistemas seguros. Na realidade, isso raramente é verdade. O mercado está exigindo agilidade, mas muitas empresas percebem essa necessidade como um risco contínuo de segurança. Se os aplicativos estão em constante evolução, eles supõem, o processo abrirá novos caminhos para os invasores explorarem. Essa preocupação deu origem a um equívoco generalizado de que “segurança ou agilidade” é uma escolha binária.
Mas um número crescente de organizações está desafiando esse estereótipo e trabalhando ativamente para integrar a segurança ao processo de DevOps. Esses jogadores proativos no jogo de agilidade estão agindo com base em dois princípios básicos e respondendo a duas realidades básicas. Uma delas é que a segurança efetiva é incorporada, e não aparafusada — o que significa que, mesmo que a agilidade não fosse um problema, a segurança precisa ser parte integrante do processo de desenvolvimento. O segundo princípio é que os atacantes são ágeis, portanto a segurança também deve ser.
Quando a segurança é integrada ao desenvolvimento, o resultado é uma arquitetura inerentemente robusta, na qual medidas básicas de proteção foram incorporadas desde o início. Essa arquitetura de segurança é flexível quando se trata de lidar com novas ameaças, pois é construída com componentes fortes que já alcançam o básico e podem ser reconfigurados à medida que o ambiente de ameaças muda. A agilidade inclui, portanto, uma resposta ágil às ameaças, tornando a segurança mais eficaz.
A menos que sua organização tenha uma avaliação holística de risco em todos os novos projetos para identificar os processos e controles críticos necessários ao longo do ciclo de vida das informações com base em sua classificação de dados, a ameaça de uma violação de dados é provavelmente muito maior e mais imediata do que você imagina.
O mapa de fluxo de dados mostrará informações confidenciais em todas as suas formas, origens, caminhos, pontos de saída e locais de armazenamento. O mapa deve mostrar onde estão os dados em repouso, em uso, em movimento e descartados. Protocolos e status de criptografia de informações confidenciais também devem ser mostrados. Essa abordagem ajuda a tornar o fluxo de informações confidenciais mais compreensível sem um alto grau de abstração.
Os dados confidenciais ficam em repouso quando são armazenados. A criptografia é uma das melhores maneiras de garantir a segurança dos dados em repouso. Outras etapas também podem ajudar, como armazenar elementos de dados individuais em locais separados para diminuir a probabilidade de invasores obterem informações suficientes para cometer fraudes ou outros crimes.
Os dados sensíveis em uso devem ser acessíveis a quem necessita deles. Claro, quanto mais pessoas e dispositivos tiverem acesso aos dados, maior o risco de que eles acabem nas mãos erradas em algum momento. As chaves para proteger os dados em uso são controlar o acesso da forma mais rigorosa possível. As organizações também precisam ser capazes de rastrear e relatar informações relevantes para poderem detectar atividades suspeitas, ameaças potenciais e melhorar proativamente a segurança.
Dados confidenciais em movimento exigem serviços de criptografia. Embora a proteção de seus dados em repouso envolva alguns testes de desempenho e decisões difíceis, a proteção de dados em movimento não. Use canais de comunicação criptografados em toda a implantação. O impacto no desempenho de um canal de comunicação totalmente criptografado é insignificante. Não há razão para não usar um transporte criptografado.
A criptografia pode ser um assunto complicado de abordar, mas não há necessidade de se intimidar. Faça um inventário de seus dados, priorize-os por valor. Trabalhe com o inventário aplicando o nível apropriado de criptografia a cada armazenamento de dados e certifique-se de que todas as comunicações em sua implantação sejam criptografadas. Tomar essas medidas simples aumentará muito a segurança de seus dados.
A higienização da mídia é geralmente esquecida e negligenciada. Os sistemas de informação capturam, processam e armazenam informações usando uma ampla variedade de mídias. Esses registros estão localizados não apenas na mídia de armazenamento pretendida, mas também em dispositivos usados para criar, processar ou transmitir essas informações. Esses meios de comunicação podem exigir disposição especial para mitigar o risco de divulgação não autorizada e garantir sua confidencialidade.
A gestão eficiente e eficaz das informações criadas, processadas e armazenadas por um sistema de tecnologia da informação ao longo de sua vida, desde o início até a disposição, é uma preocupação primordial do proprietário do sistema de informação e do guardião dos dados. Com o uso mais prevalente de criptografia sofisticada, um invasor que deseja obter acesso a informações confidenciais de uma organização é forçado a procurar essas informações fora do próprio sistema.
Uma via de ataque é a recuperação de dados supostamente excluídos da mídia. Esses dados residuais podem permitir que indivíduos não autorizados reconstruam dados e, assim, obtenham acesso a informações confidenciais. A higienização pode ser usada para impedir esse ataque, garantindo que os dados excluídos não possam ser facilmente recuperados.
Quando as mídias de armazenamento são transferidas, se tornam obsoletas ou não são mais utilizáveis ou exigidas por um sistema de informação, é importante garantir que a representação magnética, óptica, elétrica ou outra residual de dados que foram excluídos não seja facilmente recuperável. A higienização refere-se ao processo geral de remoção de dados da mídia de armazenamento, de modo que haja uma garantia razoável de que os dados podem não ser facilmente recuperados e reconstruídos. Certifique-se de que a representação magnética, óptica, elétrica ou outra de dados residuais não possa ser facilmente recuperada e reconstruída.
Acompanhe o fluxo de dados, o cross-silo e a transformação e explore os recursos existentes que você já possui com base nestas perguntas simples:
Que tipos de dados confidenciais sua organização armazena, usa ou transmite?
Quem tem acesso a esses dados?
Onde, quando e por que eles estão usando?
Como os dados são armazenados quando não estão em uso?
Como é controlado o acesso aos bancos de dados?
Que mecanismos são utilizados para transportar dados?
Quais são as leis, regulamentos e normas pertinentes?
*Luiz Firmino é Transversal CISO, Information Security Director da Digital@FEMSA
