Este artigo faz parte de uma série de editoriais de convidados no StorageReview.com que busca trazer uma perspectiva única de especialistas do setor para o nosso público. Para sugerir ideias ou participar, entre em contato conosco.
Por: John Jefferies, vice-presidente de marketing de produto da IronKey
Mobilidade e acesso remoto são os novos itens básicos para organizações de TI corporativas. Contingências para a continuidade das operações em vários departamentos, uma força de trabalho mais móvel e a crescente necessidade de compartilhar informações com segurança com outras entidades exigem um novo foco em dados móveis.
Telefones inteligentes, unidades flash USB e outros dispositivos móveis geralmente carregam informações confidenciais, e seu tamanho pequeno os torna fortes candidatos a perda ou roubo. Um estudo recente* descobriu que 51% dos usuários corporativos armazenam informações confidenciais em unidades flash USB e 39% perderam unidades flash ou laptops. Talvez igualmente desconcertante seja o fato de que 72 por cento deles falharam em relatar a perda prontamente.
Como esses dispositivos altamente portáteis agora têm capacidade para armazenar milhões de páginas de dados, eles fornecem um pacote facilmente oculto que agentes ou forças hostis podem usar para roubar informações empresariais confidenciais, IP ou outros segredos comerciais confidenciais.
Unidades flash perdidas ou roubadas contendo tudo, desde dados privados de vários clientes até planejamento de produtos confidenciais e planos para futuras fusões e aquisições, têm o potencial de acabar nas mãos erradas. Seja medido em segurança corporativa ou custos legais e remediação para as violações de dados da organização afetada, como essas, podem ter consequências devastadoras. As organizações também correm o risco de danos às suas marcas que podem resultar de divulgações obrigatórias de violação de dados.
Gerenciar esses riscos sem anular os benefícios significativos de produtividade e eficiência dos dispositivos móveis tornou-se um ato de equilíbrio delicado para os departamentos de TI. Em vez de proibir o uso desses dispositivos ou voltar a práticas arcaicas como desabilitar portas USB, os gerentes de TI precisam garantir a segurança dos dados armazenados neles, maximizando seu potencial para oferecer tudo, desde maior produtividade até rápida recuperação de desastres. As melhores práticas a seguir representam um bom roteiro para as organizações que estão enfrentando esse importante desafio.
Criptografia de dados móveis: o mínimo necessário em segurança
Independentemente do setor, as organizações não podem deixar dados confidenciais desprotegidos em dispositivos móveis. A criptografia forte fornece o melhor primeiro passo na batalha contra perda ou roubo de informações de dispositivos móveis. De acordo com um estudo do governo dos EUA, levaria aproximadamente 149 trilhões de anos para quebrar uma chave AES (Advanced Encryption Standard) de 128 bits.
No entanto, ao implantar um dispositivo criptografado para funcionários, vale a pena garantir que ele use o modo recomendado de criptografia AES. O Livro de Códigos Eletrônico (ECB) é o mais fácil de implementar, mas não fornece confidencialidade séria aos arquivos. O AES Cipher-Block Chaining (CBC) oferece um grau muito maior de segurança, mas como é muito mais difícil para os fabricantes implementarem criptografia baseada em hardware, nem sempre é usado. Os dispositivos empresariais também devem ter certificação FIPS 140-2, que inclui um exame de sistemas inteiros e garante que os designs dos dispositivos e os métodos de criptografia foram implementados e executados corretamente.
As soluções de criptografia que armazenam senhas e chaves de criptografia em hardware podem evitar esses tipos de ataques de força bruta, especialmente porque as soluções baseadas em software permitem que os hackers retrocedam os contadores projetados para limitar o número de vezes que uma senha incorreta pode ser inserida. Eles também protegem contra os chamados ataques de “inicialização a frio”, em que os hackers obtêm acesso às chaves de criptografia da memória RAM, pois as chaves podem permanecer na RAM do computador por um período de tempo após o desligamento do dispositivo.
Não importa o tipo de criptografia usada, ela é tão forte quanto seu elo mais fraco – a senha do usuário. Vários softwares e ferramentas de hardware para adivinhação de senha prontamente disponíveis permitem que um hacker adivinhe rapidamente a senha do usuário martelando o dispositivo com milhões de tentativas por segundo.
Os próprios usuários representam um grande risco, pois alguns anotam suas várias senhas e carregam a lista na mesma bolsa com o dispositivo móvel. Enquanto outros usuários representam a ameaça interna maliciosa. Por esses motivos, a criptografia por si só não é suficiente e as organizações devem usar a criptografia na estrutura de uma solução gerenciada centralmente, incluindo a capacidade de desabilitar ou negar acesso remotamente a dispositivos comprometidos ou limpá-los.
É tudo uma questão de controle: gerenciamento centralizado de dispositivos móveis
Estima-se que 300 milhões de unidades USB estejam em uso em todo o mundo. Existem tantos dispositivos nas mãos dos usuários que, em um determinado dia, a maioria das organizações não tem conhecimento da multiplicidade de dispositivos que estão se conectando às suas redes. Com pouco controle e ainda menos conhecimento de como os dispositivos são usados, essas legiões de dispositivos móveis representam um risco de segurança significativo.
Algumas organizações já tomaram medidas para implementar soluções de proteção de dados de endpoint gerenciadas centralmente para seus desktops e laptops. Isso precisa ser implementado em dispositivos móveis com recursos para rastrear o uso e aplicar políticas de segurança remotamente, incluindo a capacidade de bloquear um dispositivo móvel após várias tentativas incorretas de adivinhar uma senha ou destruir dados quando um dispositivo é perdido ou roubado.
Com ameaças de vírus, trojans, botnets e outros malwares sempre em evolução, é fundamental que as organizações implementem políticas e práticas recomendadas para se proteger contra esses ataques. Além do controle de porta, algumas das outras etapas preventivas incluem atualizações automatizadas e regulares de proteção contra malware, processos de fabricação seguros, provisionamento seguro e processos de garantia de qualidade, bem como verificação antimalware em tempo real.
Ativando o campo de força da porta de acesso
Além de gerenciar os dispositivos, as organizações também devem considerar o controle das portas às quais eles se conectam. Como os funcionários precisam acessar essas portas para realizar seus trabalhos, os profissionais de segurança de TI devem empregar abordagens amigáveis aos negócios, como listas brancas, que, por meio de vários aplicativos de controle de dispositivos disponíveis comercialmente, podem ser tão granulares quanto especificar o número de série do dispositivo individual.
Ao usar o controle de porta para permitir que apenas dispositivos autorizados que usam criptografia forte baseada em hardware e gerenciamento centralizado se conectem às máquinas, as organizações podem praticamente eliminar os riscos de perda e vazamento de dados por meio de dispositivos móveis.
Acesso remoto seguro: estabelecendo autenticação dupla
Para os diversos aplicativos corporativos, os administradores de TI precisam definir políticas para acesso remoto, incluindo métodos de conexão de rede aceitáveis e políticas de autenticação que definem quem tem permissão para qual tipo de acesso e para quais dados específicos. Ao incorporar alguma forma de autenticação de dois fatores, os dispositivos remotos podem se tornar parte da solução.
Certificados digitais e geradores de senha únicos e seguros, como autenticadores RSA SecurID, estendem a autenticação segura além das senhas. Eliminar a necessidade de um token físico ou outro dispositivo adicional com esse tipo de autenticação de dois fatores integrado a uma unidade flash USB criptografada, por exemplo, pode melhorar a segurança porque o usuário não pode acessar as credenciais até que faça logon com segurança no dispositivo. Essa abordagem também reduz os custos e simplifica a administração e a experiência do usuário final.
Educando sua força de trabalho: o obstáculo final na segurança de dados móveis
As medidas de criptografia e autenticação mais fortes implementadas para proteger dispositivos móveis são de pouca utilidade se os funcionários encontrarem uma maneira de contornar. Estudos mostram* que, quando precisam realizar seu trabalho ou seguir políticas de segurança de dados, 95% dos funcionários escolhem a primeira opção. Carregar dados confidenciais nesses dispositivos contra a política ou usar os dispositivos em redes inseguras onde bots, keyloggers e códigos pharming podem se carregar sub-repticiamente permite o acesso a redes corporativas seguras.
Mais de 80 por cento dos entrevistados em uma pesquisa recente* disseram que sua empresa não tem nenhuma política ou que desconhecem uma política que restrinja a alteração das configurações de segurança nos computadores do local de trabalho. A menos que os funcionários entendam totalmente a magnitude da ameaça e a importância de reduzir esses riscos, eles verão as políticas de segurança simplesmente como barreiras à produtividade.
As campanhas de conscientização de segurança são vitais para ajudar a equipe a entender os motivos dessas políticas e incentivá-los a se tornarem parceiros ativos em segurança. Os programas de educação devem se concentrar no risco que a política visa mitigar, demonstrar como os controles apropriados protegem o funcionário e mantê-los informados sobre novas ameaças, vulnerabilidades, políticas e responsabilidade individual.
Mobilidade Uniforme, Flexibilidade e Capacidade de Sobrevivência: Os Retornos Necessários
Os benefícios para assegurar a continuidade e capacidade de sobrevivência das operações incluem uma variedade de cenários. Ao ter uma infraestrutura de dispositivos móveis gerenciada com segurança, os funcionários podem, por exemplo, carregar um desktop de PC virtual em uma unidade flash criptografada. Em caso de incêndio, inundação, ataque terrorista ou outro desastre em que os trabalhadores não pudessem acessar os computadores dentro da instalação, eles poderiam configurar instantaneamente uma réplica totalmente funcional de seu ambiente de trabalho em qualquer computador, incluindo acesso a todos os seus dados e aplicativos . Ter autenticação de dois fatores integrada ao dispositivo garantiria ainda mais que os funcionários pudessem obter acesso rápido e fácil à rede.
Essa mesma abordagem beneficiaria as organizações no caso de uma pandemia de gripe que pudesse manter os trabalhadores em casa. Ou, na ausência de um cenário catastrófico como esse, fornecer uma maneira fácil de transportar com segurança um conjunto completo de dados de trabalho e os aplicativos podem atender à crescente necessidade de teletrabalho como resposta aos custos de energia disparados e aos desejos de flexibilidade dos funcionários.
Ao seguir essas práticas recomendadas, que abordam a criptografia de dados em dispositivos móveis, o controle do acesso que os dispositivos têm às redes corporativas e o gerenciamento centralizado de dispositivos móveis, as organizações se protegem contra o risco de perda e vazamento de dados, permitindo novos níveis de flexibilidade e mobilidade, garantir a continuidade e capacidade de sobrevivência das operações da empresa.
* Fonte: Dados de pesquisa fornecidos pelo Relatório do Instituto Ponemon: Políticas de segurança de dados não são aplicadas, 2007
A IronKey, Inc. , fundada em 2005, é líder global no fornecimento de armazenamento portátil gerenciado e seguro, autenticação e computação virtual confiável. Seu portfólio de produtos de ponta atende aos mais altos padrões de segurança, desempenho e privacidade dos clientes mais exigentes, incluindo empresas da Fortune 500, governos e militares.
Amazon