O que é criptografia de dados?
A criptografia de dados embaralha os dados em “texto cifrado” para torná-lo ilegível para qualquer pessoa sem a chave ou senha de descriptografia correta. Soluções de criptografia robustas combinadas com gerenciamento de chaves eficaz protegem dados confidenciais contra acesso não autorizado, modificação, divulgação ou roubo e, portanto, são um componente crítico de qualquer programa de segurança. A criptografia de dados pode ser empregada tanto para dados armazenados (“em repouso”) quanto para dados que estão sendo transmitidos ou transportados (“em movimento”).
Existem dois tipos principais de criptografia de dados:
- Criptografia simétrica: com algoritmos de chave simétrica, a mesma chave é usada para criptografar e descriptografar os dados. Isso permite criptografia rápida e eficiente e geração e gerenciamento de chave mais simples, mas é fundamental que a chave única esteja disponível apenas para usuários autorizados, pois essa chave única permite que alguém acesse os dados, bem como modifique e recriptografe os dados sem detecção .
- Criptografia Assimétrica: Os algoritmos de chave assimétrica usam duas chaves matematicamente relacionadas, uma chave pública e uma chave privada. A chave pública é usada para criptografar os dados, enquanto uma chave privada correspondente, mas separada, é necessária para descriptografar os dados. Um benefício da criptografia assimétrica é que uma chave pública mais conhecida pode ser usada para criptografar dados, mas somente aqueles com a chave privada podem descriptografar e acessar os dados.
O que são soluções de criptografia de dados?
Uma solução de criptografia de dados é um sistema de software que emprega algoritmos de criptografia de dados para proteger dados confidenciais, combinados com ferramentas de gerenciamento para implantar e monitorar a criptografia de dados em uma organização. As soluções de criptografia também podem fornecer ferramentas para gerenciamento de chaves para garantir que chaves, senhas e outras informações necessárias para criptografar ou acessar dados estejam disponíveis apenas para usuários autorizados e sejam alteradas ou revogadas com base em políticas definidas.
A maioria das organizações protege suas informações com produtos de segurança tradicionais, como firewalls, prevenção de intrusões e aplicativos de controle de acesso baseados em função. Tudo isso ajuda a evitar violações de dados. No entanto, quando os invasores violam com sucesso uma rede – e inevitavelmente o fazem – o software de criptografia de dados é a última defesa crítica contra o roubo e a exposição de dados confidenciais.
A maioria das regulamentações governamentais e do setor, como as que protegem a privacidade do consumidor e os dados financeiros, exigem que as organizações usem ferramentas de criptografia de dados. O descumprimento pode resultar em penalidades severas. Por outro lado, o uso de uma solução de criptografia de dados forte pode proteger uma organização se ocorrer uma violação de dados ou um laptop for roubado.
Principais recursos de uma solução de criptografia de dados
Dois aspectos importantes das ferramentas de criptografia de dados são usabilidade e escalabilidade. O software de criptografia de dados deve ser conveniente para o uso dos funcionários — ou eles não o usarão — e escalável para acomodar o crescimento de uma organização e as necessidades de segurança em constante mudança.
Abaixo estão recursos adicionais importantes a serem considerados ao avaliar uma solução de criptografia de dados.
Padrões de criptografia fortes. Agências governamentais e organizações públicas e privadas em todo o mundo usam o padrão do setor para criptografia: o Advanced Encryption Standard (AES)-256. O AES substituiu o antigo Data Encryption Standard (DES), que se tornou vulnerável a ataques de força bruta, que ocorrem quando um invasor tenta várias combinações de uma cifra até que uma delas funcione. Os dois processos de certificação conhecidos para produtos ou implementações de criptografia são:
- O Instituto Nacional de Padrões e Tecnologia (NIST) Federal Information Processing Standard (FIPS) 140-2 , que é um padrão de segurança de computador do governo dos EUA
- Os Critérios Comuns para Avaliação de Segurança de Tecnologia da Informação, que é um padrão e programa de certificação com suporte internacional
Criptografia de dados estáticos e dinâmicos. Dados estáticos, ou dados inativos, são salvos em servidores, desktops, laptops, etc. Os dados estáticos são criptografados pelo arquivo, pela pasta ou pela unidade inteira.
Dados dinâmicos, ou dados em movimento, viajam por uma rede ou pela Internet. O e-mail é o exemplo mais comum. Os dados dinâmicos podem ser protegidos de duas maneiras:
- Criptografe a transmissão usando protocolos de criptografia de rede, como segurança do protocolo da Internet (IPsec) e segurança da camada de transporte (TLS), para estabelecer uma conexão segura entre os terminais
- Criptografe a mensagem e sua carga útil, o que garante que apenas um destinatário autorizado possa acessá-la
Criptografia granular. Embora seja possível criptografar todos os dados, isso pode sobrecarregar os recursos de TI. Em vez disso, a maioria das organizações criptografa apenas os dados mais confidenciais, como propriedade intelectual e informações de identificação pessoal, como números de previdência social e informações de contas bancárias.
As ferramentas de criptografia de dados oferecem diferentes níveis de granularidade e flexibilidade. As opções comuns incluem criptografia de pastas, tipos de arquivos ou aplicativos específicos, bem como criptografia de toda a unidade e criptografia de mídia removível. A criptografia completa de disco é frequentemente usada para laptops, que podem ser perdidos ou roubados. A criptografia de laptops, tablets e mídia removível pode proteger uma organização da responsabilidade se o dispositivo for roubado.
Gerenciamento de chaves. O software de criptografia de dados possui recursos de gerenciamento de chaves, que incluem criar, distribuir, destruir, armazenar e fazer backup das chaves. Um gerenciador de chaves robusto e automatizado é importante para criptografia e descriptografia rápidas e contínuas, o que, por sua vez, é fundamental para o bom funcionamento dos aplicativos e fluxos de trabalho da organização.
Aplicação de políticas de criptografia. As políticas de criptografia definem como e quando os dados são criptografados. Uma solução de criptografia de dados com recursos de gerenciamento de políticas permite que a TI crie e aplique políticas de criptografia. Por exemplo, considere o caso de um funcionário tentando salvar um arquivo confidencial em uma unidade USB removível para usá-lo para trabalhar em casa. O software de criptografia envia ao funcionário um alerta de que essa ação viola uma política de segurança de dados e impede que o funcionário copie o arquivo até que ele seja criptografado. A aplicação automatizada pode garantir que as políticas de segurança de dados sejam seguidas.
Criptografia sempre ativa Um recurso útil para garantir que os arquivos confidenciais permaneçam criptografados é a criptografia “sempre ativa”, que segue um arquivo onde quer que ele vá. Os arquivos são criptografados quando criados e permanecem criptografados quando são copiados, enviados por e-mail ou atualizados.
Gerenciamento unificado de criptografia. Os departamentos de TI geralmente precisam lidar com tecnologias de criptografia pré-existentes em suas organizações. Por exemplo, uma unidade de negócios recém-adquirida pode usar sua própria tecnologia de criptografia ou um departamento pode usar criptografia nativa que faz parte dos produtos da Apple e da Microsoft, como FileVault no OS X ou BitLocker no Windows. Por esse motivo, algumas soluções de criptografia de dados oferecem suporte ao gerenciamento unificado de várias tecnologias.
Um console de gerenciamento unificado também oferece visibilidade de todos os endpoints, incluindo um registro do uso de criptografia de cada dispositivo. Isso pode evitar penalidades por não conformidade se um laptop for perdido ou roubado.
Criptografia local ou baseada em nuvem?
Uma organização não pode presumir que um provedor de nuvem fornecerá automaticamente criptografia como parte de um aplicativo de nuvem ou serviço de infraestrutura. A criptografia usa recursos extras de largura de banda e CPU, aumentando os custos de um provedor de nuvem, de modo que a maioria dos provedores não inclui criptografia ou oferece apenas criptografia parcial. Em geral, a criptografia dos dados é de responsabilidade do cliente.
A melhor estratégia de criptografia em nuvem inclui criptografia de ponta a ponta da conexão e de quaisquer dados carregados na nuvem. Nesses modelos, os provedores de armazenamento em nuvem criptografam os dados no recebimento, passando chaves de criptografia para os clientes para que os dados possam ser descriptografados com segurança quando necessário. As organizações podem pagar por um serviço de criptografia de ponta a ponta ou criptografar dados no local antes de serem carregados na nuvem.
O software de criptografia de dados é uma das formas mais eficazes de segurança de dados, quando acompanhado de gerenciamento seguro de chaves de criptografia e práticas recomendadas de prevenção de perda de dados. As ferramentas de criptografia de dados oferecem criptografia forte de endpoints corporativos e de usuários e serviços compartilhados, protegendo dados corporativos valiosos e fornecendo gerenciamento centralizado de políticas de criptografia.
A ServDigital é especialistas no oferecimento de projetos e soluções personalizadas para Segurança de Dados e conformidade da LGPD.
www.servdigital.com.br
#servdigital #segurançadedados #proteçãodedados #segurançadigital #cibersegurança #ciberataque #ransomware #malware