Cópia (de dados)

Na proteção de dados, copiar significa criar uma segunda instância dos dados fora do local ou do formato originais. A cópia pode ser um arquivo duplicado, uma transferência pela área de transferência ou um trecho colado em outro aplicativo. O original continua no lugar, então nada desaparece visivelmente da origem, e é por isso que as cópias passam despercebidas.

Copiar faz parte do trabalho diário, e por isso é difícil controlar. Colar um texto entre duas janelas é mais rápido que qualquer processo de aprovação, e a maioria das pessoas não vê isso como uma transferência. Para as equipes de segurança, a pergunta útil não é se os dados foram copiados, e sim o que a cópia contém e para onde vai depois. Essa é uma tarefa central da prevenção contra perda de dados.

A maioria das cópias faz parte do trabalho normal. Elas assumem algumas formas comuns:

A classificação de dados e os controles de acesso geralmente ficam ligados ao contêiner: o arquivo, o repositório, o banco de dados ou o registro do aplicativo. Ao copiar, o conteúdo viaja, mas o contêiner permanece, junto com o rótulo, as permissões e o contexto de auditoria. Um parágrafo colado de um documento classificado em uma mensagem não traz nenhum sinal de que já foi classificado.

Cada cópia vira, então, uma instância separada e sem governança do mesmo conteúdo sensível. As cópias se espalham além do público para o qual o original foi feito, e assim começa a disseminação descontrolada de dados.

A cópia importa porque é o primeiro passo da maioria dos vazamentos, deliberados ou acidentais. Como costuma acontecer no endpoint, parece atividade comum de aplicativo até que o próprio conteúdo seja inspecionado.

Um vazamento deliberado pode lembrar uma ameaça interna, em que alguém reúne dados em pequenos pedaços sem acionar os controles de download de arquivos. Já os vazamentos acidentais são mais comuns: um trecho de planilha com dados de clientes colado em um chat público, ou uma “cópia de trabalho” compartilhada fora de uma pasta restrita. O caminho é o mesmo nos dois casos:

1. 1

   Selecionar o conteúdo

   O usuário seleciona dados de clientes, a minuta de um contrato ou um trecho de código em um aplicativo controlado.

2. 2

   Copiar

   O conteúdo vai para a área de transferência, e o rótulo, as permissões e o contexto de auditoria ficam para trás.

3. 3

   Colar em outro lugar

   A cópia vai parar em um e-mail pessoal, em uma janela de chat ou em um documento fora da empresa.

4. 4

   Enviar ou salvar

   A cópia sai da organização, e o arquivo de origem não guarda nenhum rastro da transferência.

O controle eficaz foca no conteúdo, e não apenas na operação de copiar. Inspecione o que vai para a área de transferência ou é colado, compare com as regras de classificação e com as impressões digitais de documentos protegidos e, então, permita, avise ou bloqueie conforme a política.

O controle da área de transferência usa os mesmos métodos de inspeção dos outros canais: dicionários temáticos, bancos de hash, impressões digitais e rótulos de sensibilidade. A cópia é avaliada pelo que contém, e não apenas pelo fato de ter sido copiada.

• Cada evento de cópia registra usuário, horário, aplicativo e classificação do conteúdo.
• Os dados bloqueados podem ser guardados em cópia sombra para revisão posterior.
• As mesmas regras valem para a área de transferência e para os demais canais, então a política não depende do caminho.
• Ajuste as regras com eventos reais antes de ativar o bloqueio.
• O controle da área de transferência funciona na estação de trabalho, por meio da proteção de dados em endpoints, e por isso vê cópias que nunca passam pela rede.

Um controle apenas de rede enxerga os dados quando eles saem da estação. Copiar e colar entre dois aplicativos no mesmo computador nunca cruza essa fronteira, por isso a tabela mostra qual abordagem consegue ver cada evento:

No console da Anexet, o controle da área de transferência é ativado em cada perfil de agente. O perfil define em quais sentidos o conteúdo é verificado, quais tipos de conteúdo são interceptados e se os arquivos são auditados e suas cópias sombra são salvas. O primeiro quadro mostra essas configurações; o segundo, o histórico de eventos de cópia e colagem em uma estação.

1 / 2

• 
• 

Comece pelo conteúdo cujo vazamento causaria mais dano e, depois, mapeie os caminhos de cópia que as pessoas realmente usam, incluindo a área de transferência. Regras escritas para todos os arquivos de uma vez acabam bloqueando o trabalho comum e são desligadas.

O controle da área de transferência funciona melhor como parte de um programa mais amplo: as mesmas classes de dados, as mesmas regras e a mesma trilha de auditoria em todos os canais.