0
0
Até recentemente, confiar em terceiros com dados confidenciais era impensável. Sendo o ativo mais valorizado, dados confidenciais costumavam residir em data centers corporativos controlados no local protegidos por controles de segurança físicos e lógicos. No entanto, a necessidade crítica de compartilhar dados em nosso mundo hiperconectado inaugurou a rápida transformação digital e de nuvem, e as equipes de TI tiveram que trabalhar diligentemente para acompanhar. Olhando para trás, agora podemos ver a velocidade dessa transformação empalidece em comparação com a velocidade de mudança testemunhada durante a mudança repentina para uma força de trabalho distribuída devido ao COVID-19.
As organizações estão acelerando significativamente a migração de cargas de trabalho e dados para a nuvem pública para permitir que os funcionários trabalhem de qualquer lugar. Uma vez que o trabalho remoto amplia o escopo para violações de dados e outras vulnerabilidades de segurança, as melhores práticas do passado não são mais adequadas. A criptografia nativa e os principais serviços de gestão oferecem proteção suficiente, mas indústrias altamente regulamentadas, como finanças, bancos, seguros e cuidados de saúde, precisam de níveis mais elevados de garantia para gerenciamento de riscos e conformidade. As organizações agora têm a oportunidade de acertar a segurança, e dar-se as melhores chances de uma recuperação bem sucedida.
De acordo com um white paper recém-publicado, Best Practices for Cloud Data Protection e Key Management, as empresas podem tomar três passos agora que reduzirão significativamente os riscos a dados confidenciais na nuvem pública:
1. Separe as funções do provedor de armazenamento e do suporte-chave: os provedores de armazenamento em nuvem criptografam dados durante a transmissão, bem como antes do armazenamento. No entanto, como eles também possuem a chave de criptografia para dados armazenados, eles têm acesso direto a todos os dados que residem em seus servidores. Para as empresas que possuem os dados, isso proporciona pouco conforto porque a confiança tem que ser colocada inteiramente nas mãos dos provedores de armazenamento em nuvem.
É essencial garantir que princípios fundamentais de separação de deveres, bem como acesso menos privilegiado sejam seguidos para a proteção de dados. Isso envolve a imposição de separação de deveres para entidades que processam e armazenam dados, e aqueles que prestam serviços de segurança. Em um cenário ideal, o provedor de armazenamento de dados e o provedor de serviços de criptografia e gerenciamento de chaves devem ser entidades separadas.
2. Traga e segure suas próprias chaves: Quando os CSPs (Cloud Service Providers, provedores de serviços em nuvem) criam, armazenam e gerenciam chaves de criptografia de dados, eles têm acesso a todos os dados confidenciais em seus servidores. Se houver uma violação de dados, as chaves que criptografam os dados também podem ser comprometidas. Para maior segurança, alguns CSPs permitem que os clientes gerem suas próprias chaves de criptografia e, em seguida, importem essas chaves para o Serviço de Gerenciamento de Chaves (KMS) gerenciado pelo CSP. Nesta abordagem Bring-Your-Own-Key (BYOK), os clientes podem impor fortes regras de entropia e política sobre a geração e rotação de chaves que podem ajudar a atender aos requisitos de conformidade normativa.
A abordagem Hold-Your-Own-Key (HYOK) oferece a primeira separação real de deveres entre o CSP e o cliente. Nesta abordagem, o CSP ainda lida com criptografia e descriptografia dos dados dos clientes, mas não gerencia as chaves. Essas chaves são geradas e gerenciadas pelo cliente diretamente ou através de um terceiro independente, como um corretor-chave.
3. Criptografe os dados antes de enviá-los para a nuvem: A abordagem Bring-Your-Own-Encryption (BYOE) oferece a separação definitiva do dever e é a maneira mais segura de proteger os dados. Dados e chaves nunca são expostos ao CSP e os dados são criptografados antes de serem enviados para armazenamento em nuvem.
Os CSPs diferem no grau de seu suporte à separação de deveres quando se trata de criptografia e gerenciamento de chaves. No entanto, todos eles defendem fortemente que a segurança é uma responsabilidade compartilhada e apoiam a separação dos deveres. Use as etapas descritas acima para garantir que seus dados confidenciais na nuvem estejam seguros e seguros.
FONTE: CLOUD MANAGEMENT INSIDER