Guia de Segurança de Dados: O que é Segurança de Dados, Ameaças e Práticas Recomendadas

Views: 267

O que é segurança de dados?

A segurança de dados é frequentemente definida como um conjunto de salvaguardas projetadas para impedir o acesso não autorizado e o roubo de dados digitais. Essas medidas abrangem tudo, desde a segurança de várias camadas de software até configurações e políticas e procedimentos subjacentes.

Algumas das tecnologias e mecanismos mais comuns utilizados para a segurança de dados são:

• Controles de acesso: Todos os mecanismos que limitam quem pode acessar dados e o que eles podem fazer com eles. Isso inclui a autenticação do usuário, bem como a determinação de quem tem permissão para ler e gravar dados específicos.
• Criptografia: Usando algoritmos complexos e chaves de criptografia para transformar dados de texto sem formatação em um formulário ilegível sem a chave de descriptografia correta.
• Prevenção de perda de dados (DLP): sistemas que impedem que os usuários compartilhem dados fora da organização, acidentalmente ou intencionalmente. Os sistemas DLP de hoje vão ainda mais longe, detectando automaticamente dados confidenciais.

Embora existam muitas outras maneiras de proteger os dados da sua organização, outras medidas de segurança da informação, como controles de segurança física no local (bloqueios, guardas, etc.), segurança de rede e da Web (firewalls, scanners de vulnerabilidade) ou recuperação de desastres e continuidade de negócios (por exemplo, backups de dados) normalmente não estão incluídas na definição de segurança de dados.

Por que a segurança dos dados é importante?

A segurança de dados está se tornando cada vez mais importante para todos os tipos de organizações com o passar do tempo. Embora tenha sido considerada uma prioridade mais baixa apenas cerca de dez anos atrás, muitas empresas agora consideram a segurança de dados um requisito para a sobrevivência no mercado. Aqui estão algumas das razões pelas quais a segurança de dados é tão importante hoje:

• Digitalização global: Os dados que antes eram armazenados de várias maneiras agora são armazenados digitalmente. Enquanto os sistemas digitais eram inicialmente focados em texto e números simples, quase todos os documentos agora são tratados digitalmente, tornando os dados o ponto focal dos negócios.
• Acessibilidade global: Parece que foi ontem que os dados foram armazenados em salas de servidores na parte de trás dos escritórios da empresa e acessados através de computadores da rede local. Isso agora é uma coisa do passado, com os dados sendo hospedados principalmente em grandes data centers na nuvem e acessíveis de qualquer lugar pela Internet.
• Maior sensibilidade: À medida que novas tecnologias e aplicativos penetram mais profundamente em nossas vidas, os sistemas digitais armazenam dados cada vez mais confidenciais. Não são apenas nossas senhas ou códigos de segurança; agora pode ser toda a nossa sequência genética ou história médica detalhada.
• A era do crime digital: o escopo, a profundidade e o valor expandidos dos dados beneficiam não apenas a nós e às empresas com as quais trabalhamos, mas também aos criminosos. As organizações criminosas não organizam mais assaltos a bancos elaborados. Em vez disso, eles encontram suas vulnerabilidades digitais, realizam ataques cibernéticos, roubam suas informações e as vendem no mercado negro para o maior lance, que as usará contra você. Os dados não são mais ameaçados por hackers adolescentes curiosos e inofensivos de filmes dos anos 1980, como Jogos de Guerra, mas por organizações dignas de Al Capone.

Devido à importância dos dados no mundo de hoje e, portanto, à importância da segurança de dados, nenhuma organização pode funcionar sem uma abordagem de segurança abrangente que priorize a segurança dos dados.

Benefícios da segurança de dados

Com a infinidade de abordagens de segurança cibernética de hoje, alguns argumentariam que a segurança de dados não merece ser tratada como uma disciplina separada. As soluções integradas de segurança de e-mail de hoje, por exemplo, podem incluir medidas que detectam e bloqueiam tentativas de enviar dados confidenciais por meio do protocolo SMTP. No entanto, adotar essa abordagem para a segurança de dados diminui sua importância e torna muito fácil ignorar as principais lacunas.

Em vez disso, se sua organização priorizar a segurança de dados e não tratá-la como um subconjunto de outras disciplinas de segurança de TI, você colherá vários benefícios:

• Uma abordagem focada na segurança de dados garante que não haja lacunas, independentemente das outras abordagens, sistemas e mecanismos usados. Isso ocorre porque você está se concentrando nos dados em si, em vez dos métodos para acessá-los.
• A maioria das organizações hoje em dia deve atender a rigorosos requisitos de conformidade regulatória para realizar negócios em um campo e área geográfica específicos, e isso inclui quase todas as empresas que armazenam qualquer tipo de dados críticos, não apenas fintech ou médica. Como a conformidade, como a segurança de dados, torna os dados o ponto focal, uma abordagem completa para a segurança de dados permite que as empresas atendam facilmente a esses requisitos e evitem multas dispendiosas.
• Você faz com que seus clientes se sintam mais seguros, concentrando-se na segurança dos dados e discutindo isso com eles. Isso, por sua vez, não apenas melhora a retenção, mas também aumenta a probabilidade de que seus produtos e / ou serviços sejam recomendados a outras pessoas. Também contribui para um excelente marketing quando discutido publicamente. Uma abordagem completa à segurança de dados é, em essência, o seu melhor cartão de visita digital, demonstrando que você leva sua empresa e seus clientes / parceiros a sério.

Cuidar da segurança de seus dados começa, é claro, com a definição de suas necessidades e o desenvolvimento de uma estratégia abrangente, seguida de táticas e determinação das melhores soluções para suas necessidades. Mesmo ao usar soluções integradas de segurança de dados, elas devem ser vistas de forma holística e não tomadas como garantidas.

Segurança de dados vs. privacidade de dados

Os termos segurança de dados e privacidade de dados estão intimamente relacionados, mas são frequentemente confundidos e mal compreendidos. Enquanto, como dito anteriormente, a segurança de dados está preocupada em proteger dados confidenciais contra acesso não autorizado e roubo, a privacidade de dados está preocupada em salvaguardar os interesses e direitos dos indivíduos cujos dados estão sendo coletados e processados. Embora os dois conceitos estejam relacionados e frequentemente se sobreponham, as implementações de segurança e privacidade de dados são completamente diferentes.

Por exemplo, considere um profissional de saúde que coleta e mantém os dados pessoais dos pacientes, juntamente com suas informações de saúde e registros médicos detalhados. A proteção da disponibilidade, confidencialidade e integridade dos registros seriam os principais objetivos dos métodos de segurança de dados. Por exemplo, o provedor de serviços pode empregar controles de acesso para garantir que apenas pessoal autorizado possa ler os registros ou usar criptografia para proteger os dados contra acesso não autorizado.

Por outro lado, os regulamentos de privacidade de dados se concentrariam em regular como esses dados são coletados, usados e compartilhados. Para garantir que os dados só sejam acessados e liberados em conformidade com as leis e regulamentos aplicáveis, o provedor pode, por exemplo, obter o consentimento do paciente antes de coletar e reter seus dados, notificar como os dados serão usados e adotar políticas e procedimentos.

Práticas recomendadas para garantir a segurança dos dados

Vale a pena analisar as práticas recomendadas do setor ao iniciar sua jornada de segurança de dados, bem como ao reavaliar sua posição atual. Ao garantir que você tenha coberto todas as bases a seguir, você pode ter certeza de que sua estratégia de segurança de dados é abrangente e eficaz.

1. Crie e implemente um plano de segurança de dados abrangente: As organizações devem ter um plano que descreva políticas, procedimentos e protocolos de segurança de dados. Controle de acesso, criptografia de dados, treinamento de funcionários, resposta a incidentes e recuperação de desastres devem ser abordados neste plano.
2. Não subestime o poder do treinamento: Os funcionários devem ser treinados sobre as melhores práticas de segurança de dados, como reconhecer e responder a ameaças de segurança, bem como usar os sistemas e recursos da empresa com segurança. Isso melhora suas habilidades e reduz a probabilidade de ocorrência de incidentes de segurança de dados, além de aumentar a conscientização sobre a importância crítica da segurança de dados.
3. Use criptografia para dados confidenciais: Com a eficiência dos computadores de hoje, não há razão para não usar criptografia. Quando possível, todas as informações confidenciais devem ser criptografadas. A criptografia de dados deve ser usada para dados em trânsito, bem como dados em repouso.
4. Limite o acesso aos dados: O acesso do usuário deve ser restrito, tanto quanto possível, apenas aos funcionários que precisam dele para desempenhar suas funções de trabalho. Os controles de acesso baseados em função, por exemplo, podem ajudar a garantir que somente usuários autorizados tenham acesso a dados confidenciais.
5. Monitore a segurança dos seus dados: Não importa quantos sistemas você tenha em vigor ou quão efetivamente a automação esteja configurada, você precisa ficar de olho na segurança de seus dados e estar atento a qualquer atividade incomum. Na esfera da segurança de dados, é preferível lidar ocasionalmente com um falso positivo em vez de correr o risco de consequências de violação de dados.
6. Realize auditorias e avaliações de segurança regulares: Auditorias e avaliações de segurança regulares podem ajudar a localizar possíveis fraquezas e oportunidades para melhorar as práticas de segurança.
7. Faça uso do software apropriado: No campo da segurança de dados, o software certo pode fazer toda a diferença. Com base em suas necessidades, conforme definido em seu plano de segurança de dados, você deve escolher uma ou mais soluções de segurança que não apenas atendam aos requisitos atuais de segurança de dados, mas também permitam que você seja dimensionado facilmente à medida que sua empresa cresce.
8. Nunca haverá segurança de dados eficaz sem medidas associadas de gerenciamento/governança de dados e resiliência de dados: Para fornecer segurança de dados eficaz, sua estratégia de dados deve ser tão abrangente quanto sua estratégia de segurança cibernética, que inclui a segurança de dados como um dos muitos tópicos.

Tipos de medidas de segurança de dados

Existem muitas medidas de segurança que podem ser implementadas como parte do seu programa de segurança de dados. Aqui estão alguns dos mais usados:

• Identificação e classificação de dados sensíveis: Identificar e classificar dados que podem ser considerados informações confidenciais é um dos desafios mais difíceis na segurança de dados. Se esse processo for feito manualmente, ele exigirá uma quantidade significativa de recursos e tempo para ser concluído se houver algum armazenamento de dados inicial para processar, tornando-o não apenas antieconômico, mas muitas vezes impossível. Felizmente, com os avanços atuais em inteligência artificial, grande parte da identificação e classificação pode ser feita automaticamente.
• Autenticação, autorização e gerenciamento de acesso: Outra camada de complexidade na segurança de dados vem da determinação de quem deve ter acesso a tipos específicos de dados, que tipo de acesso deve ser concedido e como garantir que a pessoa seja quem diz ser. Com a complexidade dos ataques de engenharia social de hoje, senhas simples são frequentemente insuficientes, de modo que a autenticação e a autorização do usuário frequentemente incluem sistemas biométricos, autenticação multifator e muito mais.
• Criptografia de dados: Quando comparado a até 20 anos atrás, os computadores de hoje e até mesmo os dispositivos móveis são tão poderosos que ninguém está preocupado com a sobrecarga da criptografia de dados. A maioria dos protocolos de Internet, como HTTPS para páginas da Web e SMTPS para servidores de e-mail, agora são baseados em TLS (Transport Layer Security), que é uma combinação de criptografia simétrica e assimétrica. Um programa de segurança de dados, por outro lado, deve ir muito além, empregando criptografia simétrica (a mesma chave é usada para criptografar e descriptografar) e assimétrica (chaves diferentes são usadas para criptografar e descriptografar) para os próprios dados, como conteúdo de banco de dados, arquivos, cartões de memória USB (pen drives) e muito mais, bem como lidar com o gerenciamento de chaves relacionadas. O consenso geral é que quanto mais dados você criptografar, melhor será a segurança dos dados.
• Compartilhamento seguro de dados e prevenção de perda de dados: Você pode acreditar que, uma vez que tenha identificado com confiança dados confidenciais, autenticado com segurança o usuário, concedido que use apenas os direitos de acesso necessários e criptografado o máximo de dados possível, seu trabalho está feito. Infelizmente, devido a erro humano e intenção maliciosa, este não é o caso. Um usuário autenticado pode descriptografar manualmente os dados e compartilhá-los com alguém de fora da sua organização. Eles podem fazê-lo sem querer, como resultado de um ataque de engenharia social, ou para causar danos à organização. É por isso que as soluções de prevenção de perda de dados devem ser o foco do seu programa de segurança de dados, especialmente porque essas soluções frequentemente incluem identificação, classificação e funcionalidade de criptografia.
• Mascaramento de dados, eliminação automática de dados e muito mais: Os mecanismos listados acima não são os únicos que podem ser incluídos em sua estratégia de segurança de dados. Mais tecnologias e técnicas podem ser usadas; por exemplo, dados confidenciais podem ser mascarados substituindo-os por elementos como hashes seguros ou por meio de tokenização, informações confidenciais podem ser removidas automaticamente de dispositivos de ponto de extremidade após um determinado tempo e assim por diante. As soluções DLP de ponta frequentemente incluem funções mais exóticas, e investir no desenvolvimento dinâmico de soluções é sua melhor aposta para ter novas abordagens prontas para tentar no futuro.

Apenas as medidas de segurança mais fundamentais estão incluídas nos sistemas operacionais padrão ou em outros softwares de segurança cibernética. Para implementar a maioria das medidas listadas acima, você deve primeiro selecionar uma estratégia de implementação de segurança de dados:

• Uma abordagem autónoma centra-se na implementação de sistemas e mecanismos dedicados exclusivamente à segurança dos dados e inclui muito poucas outras funcionalidades relacionadas com a cibersegurança. Isso se refere principalmente a sistemas DLP corporativos dedicados. Essa abordagem garante que todas as necessidades de segurança de dados sejam atendidas, mas você também deve garantir que todas as suas tecnologias sejam cobertas. Por exemplo, o gerenciamento da segurança de dados de aplicativos móveis pode exigir o uso de soluções muito diferentes daquelas usadas para gerenciar a segurança de dados de laptop/desktop.
• Uma abordagem integrada se concentra em canais específicos usados para manipular e transferir dados. Uma solução integrada de segurança de e-mail, por exemplo, pode incluir medidas para detectar e eliminar phishing e outros ataques de engenharia social, prevenir vírus, ataques de ransomware e outros malwares, bem como detectar e impedir o compartilhamento de dados confidenciais em e-mails e fornecer a opção de criptografar o conteúdo de e-mail. No entanto, por razões óbvias, essa solução é ineficaz na prevenção do compartilhamento de dados por meio de mídias sociais, portanto, seu plano de segurança de dados deve incluir outras soluções integradas (ou autônomas) para lidar com outros canais.

Riscos de segurança de dados

Definir potenciais riscos de segurança de dados é uma das etapas mais importantes na definição de sua estratégia de segurança de dados, que deve servir de base para tudo o mais que você faz em relação à segurança de dados. Embora a lista de todos os riscos potenciais de segurança de dados seja longa e complexa, nem todas as empresas enfrentarão todos eles, dependendo do tipo de dados confidenciais tratados e de como eles são tratados. Aqui estão alguns dos riscos de segurança de dados mais importantes a serem considerados durante a análise de risco:

• Ameaças internas: as ameaças internas ocorrem quando alguém autenticado e autorizado a acessar dados os compartilha com terceiros não autorizados, acidentalmente ou de propósito. Ao contrário da crença popular, isso é na maioria das vezes não intencional. Devido ao número de casos e à complexidade da defesa contra eles, as ameaças internas são frequentemente consideradas como a ameaça mais séria à segurança dos dados.
• Phishing/engenharia social: Ataques de engenharia social, como phishing, frequentemente resultam em ameaças internas não intencionais. Os invasores estão se tornando cada vez mais sofisticados, e muitas pessoas têm dificuldade em distinguir entre um ataque de phishing e uma mensagem genuína, especialmente porque muito phishing agora é realizado por meio de telefones celulares, que não têm proteção de engenharia social. A segurança de dados não é sobre a prevenção de ataques (que é o trabalho de outros tipos de software), mas sobre a prevenção das consequências – não permitindo que o usuário compartilhe os dados que foram enganados para expor.
• Malware/vírus: Muitos malwares e vírus, como ataques de engenharia social, exigem interação do usuário, e os mais sofisticados podem escapar até mesmo do software antivírus/antimalware mais profissional. Ao contrário da engenharia social, os vírus/malware normalmente visam destruir ou tornar inacessíveis os dados no dispositivo de ponto de extremidade, permitir o acesso de terceiros ao dispositivo ou escalar para outros dispositivos conectados por meio da rede ou credenciais roubadas do dispositivo atacado. A melhor defesa contra isso, em conjunto com software especializado, é não ter dados confidenciais não criptografados no dispositivo, ou seja, criptografia imposta ou exclusão de quaisquer dados confidenciais baixados localmente após um curto período de tempo.
• Armazenamento em nuvem: Com a maioria dos aplicativos de negócios agora em transição ou já tendo transitado para modelos SaaS (Software como Serviço), os dados confidenciais não são mais armazenados em equipamentos de propriedade da organização, mas sim manipulados por organizações de terceiros. Embora tais acordos sejam, é claro, legalmente protegidos, uma violação de segurança pode ter consequências contra as quais um bom contrato não pode se proteger, como perda de reputação e clientes. É por isso que, na era da nuvem, a melhor maneira de melhorar a segurança dos seus dados é armazenar todos os dados fortemente criptografados – dessa forma, mesmo que vazem, os invasores não podem usá-los de forma alguma.
• Senhas fracas: As senhas são o mecanismo de autenticação mais utilizado, mas também são as menos seguras. As empresas exacerbam o problema tentando forçar a complexidade da senha em vez do comprimento (enquanto o comprimento é muito superior para a segurança) e exigindo que os usuários alterem as senhas regularmente (o que faz com que os usuários reutilizem as mesmas senhas com modificações mínimas, reduzindo muito a segurança da senha). Então, em geral, as organizações estão dando um tiro no próprio pé, e a melhor abordagem para a segurança de dados seria investir em autenticação multifator usando chaves de hardware e / ou biometria. Se você não puder fazer isso, pare de forçar alterações de senha e permita que os usuários usem todas as minúsculas, desde que a senha tenha mais de 16 caracteres.
• Dispositivos não seguros: Um dos desafios mais significativos que as organizações estão enfrentando agora é o uso generalizado de dispositivos móveis para fins de trabalho. Embora o software de segurança de dados de laptop e desktop já esteja maduro e seja capaz de fornecer tudo o que é necessário, os telefones celulares avançaram muito rapidamente, e ainda estamos em um ponto em que é muito mais fácil proibir o acesso a dados confidenciais por meio de telefones celulares, em vez de tentar protegê-los de forma eficaz. As organizações devem ter extrema cautela em termos de segurança de dados ao conceder acesso a dados confidenciais por meio de aplicativos e dispositivos móveis até que um software confiável esteja disponível para fornecer segurança de dados abrangente em dispositivos móveis.

Regulamentos de segurança de dados

Como dito anteriormente, muitas organizações hoje devem atender a rigorosos requisitos de conformidade regulatória para realizar negócios. Alguns dos regulamentos mais importantes para campos e áreas geográficas específicas estão listados abaixo. Esses regulamentos elevam a segurança dos dados acima do nível das práticas recomendadas de se ter para se ter. Embora esses regulamentos frequentemente não definam medidas específicas de segurança de dados como requisitos com fio, manter a conformidade é impossível, a menos que algum escopo de segurança de dados seja incluído em suas estratégias de segurança de TI.

• GDPR: O Regulamento Geral de Proteção de Dados foi estabelecido pela União Europeia em 2018. O GDPR exige que as organizações que processam dados pessoais de cidadãos da UE (também conhecidos como informações de identificação pessoal – PII nos EUA) implementem salvaguardas técnicas e organizacionais apropriadas para garantir a segurança dos dados.
• HIPAA: A Lei de Portabilidade e Responsabilidade de Seguros de Saúde é uma lei federal nos Estados Unidos que está em vigor desde 1996 e estabelece padrões nacionais para a proteção de registros médicos e outras informações pessoais de saúde. A HIPAA exige que entidades como prestadores de serviços de saúde e seguradoras tenham salvaguardas administrativas, físicas e técnicas para informações de saúde protegidas eletronicamente (ePHI).
• PCI DSS: O Padrão de Segurança de Dados da Indústria de Cartões de Pagamento é um conjunto de padrões de segurança criados em 2004 pelas principais empresas de cartão de crédito para combater fraudes com cartões de pagamento. Os requisitos do PCI DSS abrangem uma ampla gama de medidas de segurança de dados, incluindo criptografia de dados do titular do cartão, controles de acesso e gerenciamento de vulnerabilidades, bem como monitoramento e teste do sistema de segurança. Os padrões se aplicam a qualquer organização que aceite cartões de pagamento, incluindo comerciantes, processadores e instituições financeiras.
• CCPA: A Lei de Privacidade do Consumidor da Califórnia está em vigor desde 2020 e se aplica a empresas que coletam e processam informações pessoais de residentes da Califórnia. A lei exige que as empresas cobertas forneçam aos consumidores certos avisos sobre suas práticas de coleta e uso de dados, bem como implementem medidas razoáveis de segurança de dados.
• Estrutura de segurança cibernética do NIST: A Estrutura de Segurança Cibernética do Instituto Nacional de Padrões e Tecnologia é um conjunto de diretrizes e práticas recomendadas para gerenciar e reduzir o risco de segurança cibernética durante todo o ciclo de vida da organização. O quadro é voluntário, mas amplamente utilizado nos sectores público e privado. Seus requisitos específicos de segurança de dados incluem a implementação de controles de acesso, o uso de criptografia para proteger dados confidenciais e o monitoramento e auditoria regulares do acesso a dados.

Como o Endpoint Protector ajuda na segurança dos dados?

O Endpoint Protector pode parecer apenas mais um cavaleiro no seu tabuleiro de xadrez de segurança de dados, mas pode ser a chave para evitar um xeque-mate. É muito provável que sua estratégia de segurança de dados identifique a classificação de dados, a criptografia e a proteção contra ameaças internas como alguns dos problemas mais críticos a serem resolvidos e que a maioria de sua força de trabalho acesse dados por meio de endpoints de laptop ou desktop. Se for esse o caso, não há melhor lugar para começar do que movendo o cavaleiro Endpoint Protector de g1 para f3.

Aqui estão alguns dos principais problemas que o Endpoint Protector pode ajudá-lo a resolver:

• O recurso Controle de dispositivos permite bloquear, controlar e monitorar portas USB e outros periféricos. Isso ajuda a evitar ameaças internas causadas por seus funcionários que movem dados confidenciais de seus dispositivos protegidos para o armazenamento de dados desprotegido, acidentalmente ou de propósito.
• O recurso Proteção com reconhecimento de conteúdo impede que dados confidenciais sejam transferidos para dispositivos removíveis inseguros, e-mails, mensagens de bate-papo e muito mais. É muito eficaz na prevenção de ameaças internas porque elimina os canais através dos quais os dados podem sair de um ambiente seguro.
• O recurso de Descoberta Eletrônica facilita a identificação e a classificação de dados confidenciais. Você pode configurar varreduras automáticas ou inspecionar manualmente o conteúdo do dispositivo, bem como excluir dados confidenciais que não devem ser armazenados no dispositivo de maneira insegura, como em arquivos de texto não criptografados.
• Por último, mas não menos importante, você pode criptografar, gerenciar e proteger dispositivos de armazenamento USB com o recurso Criptografia Forçada. Isso permite que você use dispositivos de armazenamento inseguros e, ao mesmo tempo, garanta a segurança dos dados.

Perguntas Frequentes

O que é segurança de dados em uma organização?

A segurança de dados é comumente definida como um conjunto de salvaguardas destinadas a impedir o acesso não autorizado e o roubo de dados digitais. Essas medidas abrangem tudo, desde a segurança da camada de software até as configurações e as políticas e procedimentos subjacentes.

Quais são os principais tipos de segurança de dados?

Existem muitas medidas de segurança que podem ser implementadas como parte do seu programa de segurança de dados. Alguns dos principais são identificação e classificação de dados confidenciais, autenticação e controle de acesso, criptografia de dados, compartilhamento seguro de dados, prevenção de perda de dados, mascaramento de dados e eliminação automática de dados.

Quais são as 5 maneiras de proteger seus dados?

As 5 principais maneiras de proteger seus dados são:

1. Criar e implementar um plano abrangente de segurança de dados;

2. Treine seus colaboradores e conscientize-os da importância da segurança dos dados;

3. Limite o acesso aos dados o máximo que puder;

4. Use criptografia para todos os dados confidenciais;

5. use o software apropriado, como o Endpoint Protector, que cobre a maioria de suas bases de uma só vez.

FONTE: ENDPOINT PROTECTOR