Os três objetivos que a segurança de dados protege
Todo controle de segurança de dados serve a um de três objetivos, conhecidos em conjunto como tríade CIA.
Confidencialidade significa que somente pessoas e sistemas autorizados podem ler os dados. Isso é garantido por controle de acesso, criptografia e monitoramento de visualizações não autorizadas. Integridade significa que os dados não foram alterados, corrompidos ou adulterados, seja por um atacante, uma falha ou um funcionário descuidado. Disponibilidade significa que os dados estão presentes e utilizáveis quando um usuário legítimo precisa deles. Por isso, backup, redundância e planejamento de recuperação também fazem parte da segurança de dados.
Um controle que protege um objetivo pode enfraquecer outro. Criptografar tudo no nível mais rigoroso pode atrasar o acesso legítimo que a disponibilidade exige. Por isso, programas maduros equilibram os três objetivos, em vez de maximizar apenas um.
Os controles técnicos centrais
A maioria dos programas de segurança de dados usa o mesmo conjunto de tipos de controle, em camadas, para que uma única falha não exponha os dados.
A segurança de rede e de endpoints adiciona mais uma camada. Firewalls, controle de dispositivos e gestão de patches reduzem as formas como um atacante pode chegar aos dados. A camada de dispositivos é coberta pelo controle de dispositivos em endpoints.
| Controle | O que faz |
|---|---|
| Controle de acesso e identidade | Limita os dados às pessoas cuja função exige |
| Criptografia | Torna os dados ilegíveis sem a chave correta |
| Prevenção de Perda de Dados (DLP) | Verifica o conteúdo e bloqueia, isola ou registra transferências arriscadas |
| Monitoramento e auditoria | Registra quem acessou o quê, de onde e o que fez |
| Backup e recuperação | Mantém cópias separadas da produção, então a perda não é definitiva |
Segurança, privacidade e governança de dados não são a mesma coisa
Os três termos são usados como sinônimos, o que gera confusão em orçamentos e cargos.
Segurança de dados protege os dados contra acesso não autorizado ou perda. É uma função técnica e operacional. Privacidade de dados trata dos direitos que as pessoas têm sobre seus dados pessoais e das regras que a organização segue ao coletá-los, usá-los ou compartilhá-los. É uma função jurídica e regulatória, expressa em leis como o GDPR, a LGPD ou a HIPAA.
Governança de dados é o quadro mais amplo de propriedade, padrões de qualidade e direitos de decisão sobre os dados como ativo do negócio. Segurança e privacidade são dois dos seus componentes, ao lado de temas como qualidade de dados e gestão de metadados. Na prática, os três se sobrepõem. Um programa sólido de segurança de dados é o que torna a maioria dos compromissos de privacidade e governança realmente exigíveis, e não apenas aspiracionais.
A segurança de dados ao longo do ciclo de vida
Os dados passam pelas mesmas etapas, da criação à destruição, e cada uma delas tem seus controles. Tudo começa pela classificação de dados.
- 1
Criação e classificação
Os dados recebem um rótulo de sensibilidade assim que são gerados ou recebidos, para que os controles seguintes saibam com que rigor tratá-los.
- 2
Armazenamento
Bancos de dados, servidores de arquivos e repositórios em nuvem aplicam criptografia em repouso e restrições de acesso alinhadas à classificação.
- 3
Uso e compartilhamento
Funcionários copiam os dados, enviam por e-mail ou sobem para ferramentas de colaboração. É aí que ocorrem a maior parte dos vazamentos, por isso DLP e monitoramento trabalham mais nessa etapa.
- 4
Arquivamento
Dados que não estão mais em uso ativo ficam guardados sob uma política documentada. Isso reduz a superfície exposta sem destruir registros que precisam ser mantidos.
- 5
Destruição
Ao fim do período de retenção, os dados são excluídos ou a mídia é sanitizada para que não possam ser recuperados. Assim, os dados não se acumulam indefinidamente.
Como isso aparece no Anexet
Uma regra de bloqueio no Anexet DLP pode identificar dados pelo rótulo de sensibilidade da Microsoft ou pelo conteúdo de uma transferência pela web, usando padrões prontos para números de cartão bancário e e-mails ou uma expressão regular própria. As duas telas abaixo mostram os dois tipos de condição.
1 / 2
Por que programas de segurança de dados falham na prática
Os controles técnicos são bem conhecidos. A maioria das falhas reais vem de como eles são aplicados.
A classificação é ignorada ou aplicada de forma inconsistente, então as regras de DLP e as políticas de acesso acabam protegendo as coisas erradas, ou nada. Os controles são configurados uma vez, na implantação, e nunca são revisados, mesmo quando a organização adiciona novos serviços em nuvem, ferramentas de compartilhamento de arquivos e canais de trabalho remoto que não faziam parte do modelo original de ameaças.
O monitoramento também falha quando ninguém analisa os registros. Um incidente é descoberto semanas depois, e não em tempo real. A maior causa isolada de incidentes continua sendo o insider: um funcionário que leva dados ao sair, um terceirizado que manuseia mal um arquivo ou um simples erro humano. Por isso, a visibilidade sobre o que as pessoas realmente fazem com os dados fecha lacunas que a defesa de perímetro deixa abertas. O lado humano desse risco é tratado na detecção de ameaças internas.
Análise de incidentes no tempo certo
Os registros só ajudam quando alguém os analisa. Esta tela mostra incidentes ainda não visualizados, com o status de cada um e um gráfico de estatísticas. Revisar esses incidentes é o núcleo da investigação de incidentes de segurança.
Por onde começar
Comece pelos dados cujo vazamento causaria mais danos e depois mapeie os canais por onde esses dados realmente circulam. Uma política escrita para todos os arquivos de uma vez tende a bloquear o trabalho comum e costuma ser desativada logo depois.
Revise os controles em um calendário fixo. Um programa de segurança de dados vale o que vale a sua última revisão.
Leitura adicional: Segurança da informação de bancos de dados; O que é Proteção Técnica da Informação?.
A segurança de dados raramente falha em um momento dramático. Ela falha em silêncio, em um log que ninguém leu e em uma regra que ninguém revisou.
Anexet TeamComo a Anexet resolve isto
O Anexet é construído em torno dos controles centrais de segurança de dados descritos acima, implantado inteiramente on-premise, de modo que o fornecedor nunca tem acesso aos dados do cliente:
Como cada componente é executado na infraestrutura do próprio cliente, as regras de classificação, o conteúdo capturado, o histórico de incidentes e os registros de auditoria dos quais depende um programa de segurança de dados nunca saem da organização, uma diferença relevante para setores com exigências de residência de dados, como bancário, governamental e defesa.
Classificação e detecção
dicionários de segurança (170 dicionários pré-configurados em 12 idiomas, além de personalizados), bancos de hashes, bibliotecas de impressões digitais para modelos de documentos e suporte a Microsoft Sensitivity Labels permitem que o Anexet reconheça quais dados são sensíveis antes de decidir como tratá-los.
Monitoramento em múltiplos canais
os agentes capturam atividade em e-mail, tráfego web, armazenamento em nuvem, mensagens instantâneas, dispositivos removíveis, impressão, área de transferência e tela, dando visibilidade de como os dados realmente se movem, não apenas de onde estão armazenados.
Aplicação e auditoria
as políticas de bloqueio atuam nos canais acima com condições vinculadas aos objetos de classificação, enquanto a auditoria de operações em arquivos e o registro de eventos dão aos investigadores um registro para reconstruir exatamente o que aconteceu com um dado e quando.
Anexet DLP
Saiba mais