Dados

Segurança no armazenamento de dados

Uma das áreas problemáticas que surgiram ao longo dos últimos anos são os discos rígidos fisicamente pequenos, mas de grande capacidade de armazenamento. Especificamente, os que estamos preocupados aqui são os discos rígidos externos que usam USB ou FireWire para interagir com um sistema. A proliferação desses dispositivos é resultado de sua capacidade de mover grandes quantidades de dados em um formato fácil de transportar. Este é também o problema com os dispositivos: Eles carregam uma enorme quantidade de informações e podem ser facilmente transportados. A unidade de mídia externa normalmente não é maior do que um baralho ou uma carteira. Dispositivos USB na forma de unidades flash apresentam um problema ainda mais interessante e alarmante com seu pequeno fator de forma e capacidade de transportar grandes volumes de informações. Este formato permite o upload fácil de informações, como malware, que tem sido usado em muitos cybercrimes.

Problemas com USB

Discos rígidos externos foram perdidos ou roubados em várias ocasiões, comprometendo a segurança da empresa. Em alguns casos, unidades que foram compradas com a intenção de servir como um backup, eventualmente se tornou a área de armazenamento para a única cópia de dados. Devido à perda de tais backups, muitas empresas tiveram que reconstruir ou recuperar dados, o que resultou em grandes perdas financeiras, bem como perda de tempo e produtividade.

Apenas por razões de segurança, muitas organizações, como o Departamento de Defesa dos EUA, proibiram o uso desses dispositivos, tornando-se um crime passível de tê-los em algumas instalações.

Proteger um disco rígido portátil ou qualquer dispositivo de armazenamento pode ser mais fácil através da aplicação de tecnologia e procedimentos adequados. Uma das formas mais eficientes de proteger a confidencialidade e a integridade das informações nesses dispositivos é a criptografia.

Aplicar criptografia em todo um volume ou unidade fornece proteção robusta contra dados caindo nas mãos erradas. Com a disponibilidade cada vez maior de criptografia completa de unidade, vale a pena para cada empresa ou organização avaliar a necessidade e os benefícios da implementação deste tipo de proteção. Embora a criptografia completa da unidade não impede que uma unidade seja fisicamente roubada, mas evitará que os ladrões acessem as informações facilmente.

Questões legais com dados

A criptografia pode ser obrigatória por lei. Por exemplo, algumas agências dos EUA estão legalmente obrigadas a criptografar os discos rígidos que estão presentes nos laptops para se prevenir caso o dispositivo seja perdido ou roubado. Em 2006, o Departamento de Assuntos de Veteranos dos EUA (VA) perdeu um laptop que resultou no comprometimento de 26,5 milhões de registros de pacientes. As consequências deste incidente foram questões financeiras devido ao roubo de identidade de muitos dos pacientes afetados.

Atualmente existem inúmeras opções para implantar a criptografia de unidade. Entre as principais soluções estão:

  • PGP
  • Microsoft BitLocker
  • VeraCrypt
  • WinMagic
  • Instalação de chaves unificadas do Linux (LUKS)

Prós e contras da criptografia de unidade

A criptografia de unidade está se tornando uma opção cada vez mais comum em todos os tipos de dispositivos, desde laptops e dispositivos móveis até as unidades em algumas impressoras. Criptografia neste nível é muitas vezes necessária por razões legais, bem como de segurança, mas em muitos casos, você precisa considerar os impactos de desempenho.

Há sempre um preço a se pagar para obter algo em troca, e a criptografia não é diferente. Devido à complexidade do processo e às grandes quantidades de dados envolvidos, a penalidade no desempenho do sistema pode ser perceptível. Isso se torna uma preocupação maior com sistemas móveis onde o desempenho é um prêmio e a necessidade de criptografia é maior.

Como profissional, você terá que escolher qual é mais importante para você: desempenho ou segurança. Desempenho pode sofrer, mas a necessidade de segurança de dados pode ser de maior importância, bem como legalmente exigido.

Ao falar sobre discos rígidos, precisamos cobrir unidades flash também. Flash drives provaram ser uma bênção e uma maldição porque permitem o transporte de grandes quantidades de dados, mas ao mesmo tempo, eles são pequenos e facilmente perdidos. Para prevenir esse problema, as empresas precisam considerar a criptografia. Infelizmente, muitas das unidades comercialmente disponíveis não oferecem serviços de criptografia, e aqueles que tem são relativamente caros. No entanto, você deve pesar o custo contra quão perigoso e problemático seria se um desses dispositivos foi perdido e cair nas mãos erradas.

Esses dispositivos, especialmente flash drives, são extremamente portáteis e fáceis de ocultar, por isso representam um enorme risco de segurança. É fácil para um atacante transportar uma unidade flash em uma organização e conectá-la para roubar informações ou para executar um pedaço de malware. Para evitar isso em sua organização, você deve restringir o uso de unidades flash e discos rígidos portáteis, bem como considerar criptografia e políticas de uso para controlar ou barrar seu uso.

Além da criptografia para discos rígidos e armazenamento móvel, considere como impedir ações como dumpster diving das mídias descartadas. As empresas geram uma enorme quantidade de informações em CDs, DVDs e outros formatos, incluindo o disco flexível (embora raro). Desenvolver procedimentos para o armazenamento, manuseio e destruição adequada desses materiais. Na maioria dos casos, trituração ou métodos destrutivos semelhantes podem ser utilizados antes da eliminação, a fim de manter as informações fora das mãos dos ladrões. A Gestão também deve ditar como cada uma dessas formas aprovadas de armazenamento podem ser manipuladas e destruídas.

Alguns dos métodos utilizados para o saneamento são os seguintes:

  • Drive Wiping é o ato de substituir todas as informações na unidade. Como um Exemplo, DoD.5200.28-STD especifica sobrescrever a unidade com um padrão digital especial através de sete passagens. A limpeza da unidade permite que a unidade seja reutilizada;
  • Zeroization este processo geralmente é associado com processos criptográficos. O termo foi originalmente usado com dispositivos criptográficos mecânicos. Esses dispositivos seriam redefinidos para 0 para impedir que qualquer pessoa recuperasse a chave. No domínio eletrônico, a zeroization envolve a sobregravação dos dados com zeros. Zeroization é definida como um padrão em ANSI X9.17.
  • Desmagnetização  é o processo usado para destruir permanentemente o conteúdo do disco rígido ou meios magnéticos. Desmagnetização funciona por meio de um poderoso ímã que usa seu campo de força para penetrar na mídia e reverter a polaridade das partículas magnéticas na fita ou nas travessas do disco rígido. Depois que a mídia foi desmagnetizada, ela não pode ser reutilizada. O único método mais seguro do que desmagnetizar é a destruição física.

Desmagnetizador

Em alguns casos, as opções listadas aqui podem não ser algo que você pode usar porque a mídia pode conter informações que exigem a destruição física da mídia. Isto pode ser verdade no caso de discos rígidos, onde a destruição física do dispositivo pode ser necessária, até derreter o dispositivo.

Os problemas com unidades de estado sólido

Nos últimos anos, discos rígidos tradicionais (os que têm discos giratórios no interior) foram cada vez mais substituídos em favor dos discos de estado sólido (SSDs). Essas unidades oferecem maior velocidade, melhor desempenho, menor consumo de energia e outros benefícios, mas não podem ser apagadas da mesma maneira. Os métodos de saneamento que são usados atualmente para limpar, substituir ou zeroizar discos rígidos tradicionais não funcionam em mecanismos SSD.

Em teoria, alguns dos métodos usados para drives tradicionais devem funcionar, mas eles tendem a ser questionável. Por exemplo, substituindo uma unidade com uns e zeros algumas vezes soa como uma boa maneira de eliminar restos, mas mesmo se tudo é substituído ainda há chips na unidade que poderia conter dados. Alguns fornecedores têm rotinas em suas unidades que são supostamente para limpar as unidades, mas essas rotinas são frequentemente implementadas incorretamente. Ainda outras unidades oferecem recursos para proteger a unidade, descartando chaves de criptografia, mas isso nem sempre é uma eliminação completa. Finalmente, nenhum dos métodos atuais para limpar drives pode reivindicar ser totalmente eficaz para sanitizar dispositivos SSD.

Se você tem esses dispositivos em seu ambiente, você pode ter que recorrer a trituração, esmagamento, derretimento, ou até a moagem da unidade para garantir que os dados sensíveis dele não caiam nas mãos erradas.

Sugestões de livros:

Roubo de identidade

Uma das ameaças mais proeminentes e em rápida evolução é o roubo de identidade, que se insere na engenharia social. De acordo com a Comissão Federal de Comércio, nos Estados Unidos, o roubo de identidade é um dos crimes que mais cresce rapidamente nos últimos anos; Assim, o público precisa ser extremamente vigilante e proteger suas informações desta forma de ataque.

Uma vez em posse de informações, um ladrão de identidade tem muitas opções disponíveis para eles, dependendo de seus objetivos particulares. Ladrões têm sido conhecidos fazer compras em cartões de crédito, abrir novas contas, obter tratamento médico, ou empréstimos sob o nome da vítima. Alguns sinais de roubo de identidade incluem o seguinte: (mais…)

Não se iluda: WhatsApp continua te vigiando e pode repassar dados às autoridades

O WhatsApp tem sido motivo constante de discussões acerca de privacidade e segurança daqueles que batem papo em sua plataforma. Após uma notícia do jornal The Guardian ter ventilado há duas semanas alegando uma vulnerabilidade (backdoor) no mensageiro, muitos usuários e especialistas se manifestaram, uns concordando e outros discordando da publicação.

Vários profissionais e especialistas em privacidade e segurança digital negaram a brecha no aplicativo, e, claro, o próprio WhatsApp negou todas as afirmações do Guardian. No entanto, uma nova controvérsia vem colocar o nome do app novamente na fogueira: ele continua enviando dados dos usuários às autoridades. (mais…)

Fundação Mozilla deixa vazar dados da sua rede de desenvolvedores

Endereços de email de 76 mil usuários registrados na Mozilla Development Network (MDN) foram expostos, junto com 4 mil senhas criptografadas

O site para desenvolvedores da Fundação Mozilla vazou endereços de email e senhas criptografadas de usuários registrados há cerca de um mês por conta de um erro no banco de dados. A informação foi divulgada pela organização nesta sexta-feira, 01/08.

Endereços de email de 76 mil usuários cadastrados na Mozilla Development Network (MDN) foram expostos, junto com cerca de 4 mil senhas criptografadas, escreveram num post de bloga diretora de desenvolvimento de relacionamentos, Stormy Peters, e o gerente de operações de segurança, Joe Stevensen. A Mozilla está notificando todas as pessoas afetadas. (mais…)

Classificação de dados: mais cedo ou mais tarde sua empresa vai precisar dela

Lidar com a mistura de mistura de segurança, identidade e mobilidade tem desafiado empresas de diferentes portes, áreas de atuação e localização geográfica. O italiano Alessandro Feste, escreveu recente um post em seu blog sobre o que chamou de série BYOI, para “falar” sobre #identitymanagement _ segurança, governança e gestão de IAM (gerenciamento de identidades e acessos). Em discussão, como aumentar o foco na identidade e projetos de privacidade para conseguir uma resposta rápida para entregar o valor real não só para TI, mas também para os negócios, especialmente em um mundo onde a identidade virtual passa a ser a identidade real.

Feste sugere que a classificação é a maneira mais fácil de resolver essa questão. Discordei da premissa central do post de Festa – não porque eu não acho que a classificação deva ser feita, mas por acreditar que precisa ser feita de forma diferente. (mais…)

Prepare-se para o crescimento acelerado de dados

O Big Data ganha notoriedade e cada vez mais as organizações estão se perguntando de que forma esse modelo pode ajudar a levar inteligência para os negócios e ampliar a competitividade. Mas, enquanto a consciência sobre esse tema ainda cresce, apenas algumas companhias, como Google ou Facebook, estão realmente em posição para beneficiar-se desse fenômeno.

Com os negócios mudando rapidamente, companhias esperam tirar proveito de tecnologias como o Hadoop. Para isso, vão precisar renovar a infraestrutura para garantir o sucesso do Big Data e ainda contar com a segurança adequada do ambiente. (mais…)

Site hacker revela informações pessoais de políticos e celebridades dos EUA

Informações pessoais de diversos políticos e celebridades dos Estados Unidos foram expostas publicamente na internet no final da última segunda-feira. Dados como os números dos seguros sociais, telefones e endereços ficaram publicados na página “exposed.su”. O final “su” vem de “Soviet Union” ou, em português, União Soviética.

Pessoas importantes – e muito conhecidas – estavam nas listas do site. A primeira-dama dos Estados Unidos, Michelle Obama, teve até mesmo os seus gastos com o cartão de crédito revelados. Kim Kardashian, uma conhecida socialite, também teve os seus extratos mostrados a público. (mais…)

2 Apostilas de estrutura de dados disponíveis para download

Mais uma vez, buscamos um tema de interesse da comunidade para divulgar bons materiais.
Segue uma breve descrição das duas apostilas a seguir: (mais…)

Três etapas obrigatórias para a criação de políticas de proteção de dados

Os dados corporativos são atualmente os ativos mais valiosos de uma companhia e, não surpreendentemente, tornaram-se os maiores alvos de ataques e ameaças, na maioria das vezes de origem interna.

O sucesso das políticas de segurança da informação depende de diversos fatores, que vão desde a liberação dos investimentos necessários até a criação de regras voltadas à proteção de dados e à prevenção de incidentes.

Estabelecer e implementar políticas de proteção de informações críticas e confidenciais requer algumas etapas obrigatórias: a definição do problema, o desenvolvimento das regras e, principalmente, o cumprimento das normas. (mais…)

Violações de dados demoram meses para serem detectadas

Segundo uma análise abrangente sobre incidentes globais realizada pela Trustwave, seis em cada 10 organizações atingidas por violações de dados levam mais de 3 meses para notar o que aconteceu – e alguns ataques ficam encobertos por anos.

Em 2012, isso significava que a média de tempo para descobrir uma violação de dados para os 450 ataques analisados foi de 210 dias – 35 a mais do que em 2011, informou a empresa de segurança em seu Relatório de Segurança 2013 (Global Security Report), que será publicamente divulgado em 20 de fevereiro. (mais…)

Quer ficar atualizado?

Inscreva-se em minha newsletter e seja notificado quando eu publicar novos artigos de graça!