Dispositivo de Armazenamento Portátil

A categoria é definida pela portabilidade e pela remoção, e não por uma tecnologia específica. Por isso, políticas construídas em torno de um único tipo de dispositivo envelhecem mal.

Armazenamento portátil é a parte de mídia removível que as pessoas levam entre computadores, e a maior parte dela se conecta por USB.

Um único drive barato pode conter um conjunto inteiro de registros regulados, e uma só transferência pode ser uma perda total. O mesmo tamanho pequeno que torna a mídia prática também a torna fácil de perder. Mídia não criptografada perdida é uma causa comum de incidentes que precisam ser reportados.

A transferência nunca passa por um gateway, então não existe log de rede para detectá-la ou investigá-la depois. Por isso, a mídia portátil é uma via discreta de exfiltração de dados. O canal também funciona offline e em ambientes isolados. Os dispositivos levam dados para fora e trazem código para dentro, e arquivos de mídias pessoais ou desconhecidas contornam as defesas de perímetro. Para o sistema operacional, o drive de um funcionário, o de um terceirizado e o de um visitante parecem idênticos.

Pela LGPD, a perda de um dispositivo portátil com dados pessoais é um incidente de segurança que precisa ser avaliado e, quando representa risco aos titulares, comunicado à autoridade competente. Diretrizes da HIPAA tratam mídia não criptografada perdida ou roubada como presumivelmente reportável. A PCI DSS exige controles sobre mídias com dados de titulares de cartão, incluindo acesso restrito e criptografia.

Ambientes de alta segurança costumam proibir totalmente o armazenamento pessoal, admitindo apenas mídia emitida, inventariada e criptografada, quando alguma. A mesma lógica chega a escritórios comuns pelo desligamento de funcionários: copiar dados para um drive é um ato final comum de quem está saindo. Por isso, a política de mídia e o desligamento são planejados juntos, como parte de qualquer programa contra ameaças internas.

O controle é em camadas, das medidas físicas às regras conscientes do conteúdo. As camadas de software funcionam no DLP de endpoints:

1. 1

   Medidas físicas

   Travas de porta e portas USB restritas em áreas seguras, além da proibição de mídia pessoal em toda a instalação.

2. 2

   Regras de porta, classe e dispositivo

   O software no endpoint permite, bloqueia ou força acesso somente leitura por classe de dispositivo. Aceita apenas dispositivos aprovados, identificados por fabricante, modelo e número de série.

3. 3

   Criptografia obrigatória

   A gravação só é permitida em mídias que serão criptografadas. Um drive perdido vira perda de hardware, não exposição de dados.

4. 4

   Regras conscientes do conteúdo

   Cada gravação é avaliada pelo conteúdo do arquivo, não só pelo dispositivo. O canal fica aberto para trabalho legítimo enquanto o conteúdo regulado é bloqueado.

5. 5

   Registro e cópias-sombra

   Toda operação de arquivo é registrada, e uma cópia do que foi gravado pode ser mantida, um registro que a rede nunca teria.

Uma política de armazenamento portátil define quais categorias de dispositivo são permitidas, para quem e sob quais condições: registro, criptografia e aprovação. Ela também define como as exceções são concedidas e quando expiram, o que acontece quando alguém deixa a empresa e quais alternativas existem. Quando funcionários precisam mover arquivos grandes, um caminho gerenciado e aprovado evita que a política seja contornada. Quando as regras são aplicadas por software, o controle de USB e de drives externos as aplica por classe de dispositivo.

A restrição excessiva tem um modo de falha conhecido. Quando o caminho aprovado é lento, os usuários movem dados por contas pessoais na nuvem, trocando um canal controlável por um não monitorado. Implantações eficazes começam em modo de monitoramento, aprendem o que a empresa realmente faz com mídia portátil e endurecem as regras em direção às categorias e ao conteúdo que importam.

No console do Anexet DLP, a auditoria de dispositivos e armazenamento é ativada por perfil de agente, e uma regra de bloqueio pode mirar diretamente o armazenamento externo.

1 / 2

• 
• 

Comece listando quais dados causariam mais dano se saíssem da empresa e depois verifique quais dispositivos e canais a equipe usa para movê-los. Uma política construída sobre essas respostas sobrevive ao trabalho do dia a dia, enquanto uma política escrita para todos os dispositivos de uma vez tende a ser contornada.

Leitura adicional: Como prevenir o acesso não autorizado ao seu computador; Sistemas DLP — o que são e como funcionam.