Dados em Trânsito

As equipes de segurança costumam descrever os dados em três estados: armazenados em um disco (dados em repouso), abertos e processados por um aplicativo (dados em uso) e se movendo de um lugar para outro (dados em trânsito, também chamados de dados em movimento). O terceiro estado vai de uma mensagem para um colega até um backup copiado para outro site.

Os dados em trânsito ficam expostos de um jeito particular: saem dos sistemas que a organização controla e passam por redes, provedores e dispositivos que ela não controla. Por isso os programas de proteção de dados tratam esse estado como um problema à parte, com controles próprios, e não como um efeito colateral da segurança do armazenamento.

Os dados da empresa circulam por poucos canais, e cada um falha à sua maneira. O e-mail é o mais antigo: a mensagem pode passar por vários servidores antes de chegar, e o monitoramento de e-mail só a enxerga com clareza enquanto ela ainda está em sistemas controlados pela empresa.

A defesa padrão é o TLS, o protocolo por trás do HTTPS e de muitas conexões seguras de e-mail e transferência de arquivos. Ele sucedeu o antigo protocolo SSL, e a sequência é a mesma na maioria dos aplicativos.

1. 1

   Negociar

   Cliente e servidor combinam a versão do protocolo e os algoritmos de criptografia.

2. 2

   Autenticar

   O servidor apresenta um certificado, e o cliente o confere com as autoridades certificadoras em que confia.

3. 3

   Trocar chaves

   Os dois lados geram chaves de sessão compartilhadas sem nunca enviá-las às claras.

4. 4

   Proteger o tráfego

   Os dados são criptografados e levam uma verificação de integridade, de modo que qualquer alteração no caminho seja detectada.

O Anexet acompanha os dados em trânsito na estação de trabalho por meio de seus agentes e do controle de tráfego de rede e de sites. A tela do perfil mostra quais protocolos são interceptados e se o tráfego criptografado está incluído, e a tela de certificados mostra como as sessões web criptografadas se tornam legíveis para análise.

1 / 2

• 
• 

A criptografia responde a uma pergunta: alguém no caminho consegue ler ou alterar os dados? Ela não pergunta se o remetente deveria estar enviando aquilo. É nessa lacuna que acontece a maior parte da exfiltração de dados, pois o funcionário que envia um arquivo por HTTPS usa uma conexão perfeitamente segura.

As falhas raramente vêm de algoritmos fracos. Vêm de suposições, e o shadow IT piora a última delas, porque serviços não aprovados criam destinos que ninguém revisou.

• Confiar na rede interna e deixar o tráfego entre servidores em texto simples
• Desativar a verificação de certificados para fazer um erro sumir, o que elimina a proteção contra falsificação de identidade
• Manter protocolos antigos, como FTP ou HTTP sem criptografia, porque até agora nada quebrou
• Supor que o e-mail é criptografado de ponta a ponta quando só alguns trechos usam criptografia
• Tratar o HTTPS para qualquer destino como seguro, inclusive armazenamento pessoal e serviços não aprovados

A maioria das estruturas de segurança e privacidade espera que os dados sejam protegidos durante a transmissão, embora cada uma use suas próprias palavras. O GDPR europeu pede medidas técnicas adequadas e cita a criptografia como exemplo, a LGPD também exige medidas técnicas de segurança, a HIPAA Security Rule tem um padrão de segurança na transmissão e o PCI DSS exige criptografia forte quando dados de cartão atravessam redes públicas abertas.

Em uma auditoria, o que conta é a evidência: quais canais carregam dados regulados, quais deles são criptografados e o que acontece quando algum não é. Um mapa atualizado dos fluxos de dados e uma rotina funcional de gestão de conformidade permitem responder rápido.

Comece mapeando por onde os dados confidenciais e regulados realmente circulam, depois criptografe o que ainda viaja em texto simples e inspecione o que sai por canais criptografados. A criptografia fecha o caminho para quem está de fora, e um sistema de DLP cobre o caminho que os funcionários usam legitimamente.