Gestão da Postura de Segurança de Dados (DSPM)

Data Security Posture Management (DSPM) parte de uma lacuna simples: a maioria das organizações não consegue afirmar com segurança onde estão seus dados sensíveis. Cópias de registros de clientes acabam em bancos de teste, arquivos pessoais migram para pastas compartilhadas e exportações antigas ficam em notebooks. O DSPM responde primeiro à pergunta que vem antes de qualquer outro controle: quais dados são sensíveis, onde estão e quem pode acessá-los.

Um programa de DSPM trabalha sobre os próprios dados, e não apenas sobre o perímetro. Os achados são agrupados por classificação de dados, como dados pessoais, financeiros, de saúde e credenciais, o que mostra em quais lugares, que ninguém planejou, estão os dados sensíveis.

A maior parte do trabalho de DSPM repete as mesmas quatro etapas, e cada uma alimenta a seguinte.

1. 1

   Descobrir

   Varrer locais de armazenamento e repositórios de arquivos para montar um inventário de onde os dados realmente estão.

2. 2

   Classificar

   Rotular o que foi encontrado por sensibilidade e tipo, usando correspondência de padrões e análise de conteúdo.

3. 3

   Mapear a exposição

   Vincular cada repositório de dados às pessoas, funções e sistemas que podem lê-lo ou copiá-lo.

4. 4

   Priorizar

   Ordenar os achados pelo impacto real, para que as cópias mais expostas sejam tratadas primeiro.

A adoção de nuvem, as plataformas de dados de autoatendimento e a cópia rotineira de dados de produção para ambientes de teste, análise e backup fizeram os dados sensíveis se espalharem muito além dos sistemas criados para guardá-los. Os controles antigos presumiam que as equipes já sabiam onde esses dados estavam. O DSPM parte da premissa oposta: localizar os dados é o primeiro passo, e o mais difícil.

A regulação foi na mesma direção. LGPD, HIPAA e PCI DSS esperam que a organização saiba onde estão os dados regulados e quem pode acessá-los. Uma cópia esquecida em uma pasta sem mapeamento é uma lacuna mesmo sem vazamento, e essas cópias costumam surgir em ferramentas de shadow IT que ninguém aprovou.

O DSPM costuma ser confundido com duas categorias vizinhas. As três tratam do risco de dados, mas cada uma observa uma camada diferente, por isso um programa completo normalmente precisa de mais de uma delas.

O DSPM restringe a pergunta a onde estão os dados sensíveis e quem pode alcançá-los. A prevenção de perda de dados cobre o outro lado do mesmo problema: observa os dados em movimento e em uso e bloqueia ou registra transferências que violam a política. As duas se complementam, porque o DSPM mostra quais dados merecem uma regra e o DLP a aplica.

O CSPM é a camada de infraestrutura e verifica como as contas de nuvem estão configuradas. Um controle de Cloud DLP protege apenas os repositórios para os quais foi direcionado, então o inventário do DSPM mostra até onde esse controle deve chegar.

No lado dos endpoints, os agentes do Anexet comparam os hashes de arquivos nas estações gerenciadas com bancos de hashes de documentos confidenciais. A aba File system no console do administrador mostra quais bancos se aplicam a cada perfil. Os tesauros acrescentam análise de conteúdo: um conjunto de palavras-chave embutido pode sinalizar textos com termos como cartão de crédito ou palavras de pagamento.

O monitoramento do sistema de arquivos funciona apenas nos computadores incluídos na lista de indexação, então o escopo do inventário é definido pelo administrador. Os detalhes do módulo estão na página do software DLP.

1 / 2

• 
• 

O DSPM mostra o mapa, mas não muda sozinho o que está nele. A maioria das plataformas apenas informa achados e recomendações, e alguém ainda precisa alterar uma permissão, remover uma cópia obsoleta ou encaminhar o alerta à equipe responsável pelo sistema. A precisão da classificação também varia: campos estruturados, como números de cartão, são classificados com segurança, enquanto texto livre e formatos incomuns geram mais falsos positivos e falsos negativos.

• Tratar a primeira varredura como inventário final. Os dados se movem todos os dias, então uma varredura limpa do trimestre passado diz pouco sobre hoje.
• Abrir achados sem dono. Itens sem responsável ficam abertos e corroem a confiança no programa inteiro.
• Copiar um painel em vez de corrigir a exposição. Um mapa que ninguém usa mantém os mesmos riscos, apenas documentados.

Comece pelos repositórios cujo vazamento causaria mais dano e depois verifique quais canais copiam dados para fora deles. Um mapa construído em torno dos dados importantes continua útil por meses, enquanto um mapa de tudo é ignorado em poucas semanas.

Leitura adicional: Segurança da informação de bancos de dados; O conceito de "Zero Trust".