Como garantir a privacidade dos dados e a segurança organizacional

Jay KelleyGerente Sênior de Marketing de Produto | F5

Hoje, 28 de janeiro^th—é conhecido como o Dia da Privacidade de Dados (ou, na União Europeia, Dia da Proteção de Dados) nos Estados Unidos, no Canadá, em Israel e nos 47 países europeus onde a data é celebrada.

A privacidade — especialmente a privacidade de dados — é fundamental. Muitas constituições nacionais — na verdade, mais de 150 — mencionam o “direito à privacidade”. Esse direito também é mencionado na Declaração Universal dos Direitos Humanos das Nações Unidas e é protegido pela Convenção Europeia dos Direitos Humanos. Diversas leis de privacidade foram promulgadas em muitos países, regiões e estados, incluindo o Regulamento Geral sobre a Proteção de Dados (GDPR) da UE e a Lei de Privacidade do Consumidor da Califórnia (CCPA).

O Dia da Privacidade de Dados tem como objetivo conscientizar empresas e consumidores sobre a importância de proteger a privacidade dos usuários e suas informações pessoais. A data busca promover a educação e incentivar o desenvolvimento de ferramentas que ajudem empresas e consumidores a gerenciar e controlar melhor as informações pessoais dos usuários. Também visa ampliar e aprimorar a conformidade com as leis e regulamentações de privacidade vigentes, como o GDPR e a CCPA. Diversos órgãos, ministérios e conselhos nacionais e internacionais, além de instituições de ensino e consórcios do setor, reconhecem o Dia da Privacidade de Dados como uma oportunidade para iniciar ou dar continuidade às discussões sobre como proteger melhor a privacidade dos dados de consumidores e usuários.

Colocando em prática

Uma das formas mais populares e eficazes de aumentar a privacidade dos dados de consumidores e usuários, estejam eles armazenados ou em trânsito, é por meio da criptografia. Criptografar os dados de consumidores e usuários, bem como os métodos usados para transmiti-los, é essencial para manter a privacidade das informações de identificação pessoal.

Hoje, a criptografia está em toda parte. A atenção dada à privacidade dos usuários e dos dados ajudou a impulsionar o crescimento exponencial do tráfego criptografado. Além disso, muitos fornecedores agora oferecem certificados gratuitos ou de baixo custo com o objetivo de melhorar a segurança on-line, beneficiando usuários, consumidores e empresas. Em essência, eles estão tentando criptografar toda a web! De acordo com a F5 Labs, 86% dos carregamentos de páginas da web agora são criptografados com SSL ou TLS. Além disso, a cifra Advanced Encryption Standard (AES) representa mais de 96% do tráfego criptografado atual da web. As regulamentações e exigências de privacidade mencionadas anteriormente, como GDPR, CCPA e outras, estão impulsionando a adoção da criptografia, embora a maioria delas não exija a criptografia de dados pessoais e de usuários. No entanto, muitas organizações usam a criptografia em dados e comunicações dos usuários para não infringir essas mesmas regulamentações e exigências.

As desvantagens inevitáveis

Embora a criptografia seja excelente para garantir a privacidade dos usuários e de seus dados, ela também apresenta um problema, criando um sério dilema tanto para usuários quanto para empresas: invasores e hackers também gostam de usar a criptografia para ocultar malware, ransomware e outros vetores de ataque. Infelizmente, a criptografia cria um ponto cego na segurança.

Por exemplo, sites fraudulentos usados em campanhas de phishing e spear phishing estão recorrendo cada vez mais ao HTTPS para parecer legítimos e induzir usuários desavisados a clicar em links infectados por malware ou a inserir seu nome de usuário e senha em páginas de login convincentes, porém falsas — enganando até mesmo aqueles que consideram a presença do pequeno cadeado na barra de endereços um indicativo de que o site é seguro. De acordo com a F5 Labs, 72% dos sites de phishing já usam criptografia. Para piorar, invasores, hackers e outros agentes mal-intencionados não só usam a criptografia para ocultar ameaças, como também se aproveitam da privacidade proporcionada por ela para evitar a detecção por análises forenses posteriores, bastando usar uma campanha de ameaças específica, que inclui malware e sites de phishing, apenas uma vez por vítima.

O phishing é um ataque muito difícil de combater, pois explora a psicologia humana por meio de engenharia social e de informações incorretas e desinformação. O phishing se aproveita da natureza e das emoções humanas, como o medo. Isso é especialmente verdadeiro durante a pandemia de coronavírus. Os invasores sabem disso e usam esse fato a seu favor. A F5 Labs constatou que o número de novos certificados HTTPS contendo as palavras “covid” ou “corona” aumentou simultaneamente aos picos de casos de COVID-19. Até mesmo fontes de saúde renomadas, como a Organização Mundial da Saúde (OMS) e os Centros de Controle e Prevenção de Doenças (CDC) dos EUA, foram e continuam sendo personificadas por invasores em campanhas de phishing direcionadas, que tentam atrair as vítimas para domínios maliciosos e induzi-las a baixar malware ou outros conteúdos maliciosos, ou enganá-las para que insiram suas credenciais de usuário em páginas de login falsas.

O que você pode fazer a respeito

Então, como uma organização pode, hoje, preservar a privacidade dos dados e das informações pessoais de usuários e consumidores e, ao mesmo tempo, proteger-se contra diversos ataques e violações de segurança?

As organizações devem adotar uma solução capaz de descriptografar, em grande escala, o enorme volume diário de tráfego criptografado, tanto de entrada quanto de saída. Diante do volume atual de tráfego criptografado, da necessidade de garantir a privacidade dos dados de usuários e consumidores e do alto custo computacional da descriptografia e da recriptografia, não é uma boa ideia sobrecarregar uma solução de segurança existente, fazendo com que ela cuide da proteção e também descriptografe e recriptografe o tráfego. Um dispositivo de segurança sobrecarregado e operando além de sua capacidade pode simplesmente começar a ignorar o tráfego criptografado ou deixar de cumprir as funções de segurança para as quais foi implantado.

Para garantir a privacidade e a segurança dos dados de usuários e consumidores e evitar infringir normas e requisitos de privacidade, as organizações devem adotar uma solução que permita, de forma inteligente, que o tráfego privado de usuários e consumidores — como dados financeiros ou de saúde — não seja descriptografado. No entanto, esse tráfego não deve passar sem verificação, mas ser inspecionado por um conjunto limitado de soluções da pilha de segurança. Isso, porém, só pode ser feito se as soluções da pilha de segurança não estiverem em uma cadeia estática, mas puderem participar de cadeias dinâmicas de serviços de segurança, utilizando políticas sensíveis ao contexto para encaminhar o tráfego criptografado de entrada, após a descriptografia, à cadeia de serviços de segurança adequada.

Isso é chamado de orquestração SSL, e a descrição acima (esperamos) ilustra por que ela é tão necessária atualmente, não apenas para garantir a segurança da organização, mas também para assegurar que as informações de usuários e consumidores sejam protegidas e mantidas em sigilo.

Para obter mais informações sobre o F5 SSL Orchestrator, clique aqui.

Sobre o autor

Jay KelleyGerente Sênior de Marketing de Produto | F5

Mais publicações de Jay Kelley