A criptografia de dados fornece um último ponto crítico para proteger as informações que são comprometidas. No entanto, estratégias implementadas incorretamente podem, na verdade, criar vulnerabilidades adicionais. Para garantir uma proteção adequada, recomendamos que você siga estes sete critérios para criptografar dados:

1. Conheça as suas opções de criptografia

As opções básicas para criptografar dados são FTPS, SFTP e HTTPS. O FTPS é o mais rápido, no entanto, é mais complexo com os modos implícito e explícito e com altos requisitos para a disponibilidade da porta de dados. Por outro lado, o SFTP requer apenas uma porta para criptografia. O HTTPS é frequentemente usado para proteger transferências humanas interativas de interfaces da web. Enquanto todos os três métodos são implantados rotineiramente para criptografar dados e protegê-los de serem recortados enquanto atravessam a Internet, é importante escolher o método que melhor atende às suas necessidades específicas..

2. Sempre criptografar dados em repouso

A maioria das pessoas se concentra na proteção de dados durante uma transferência, no entanto, é essencial que os dados em repouso também sejam criptografados. Os arquivos de troca de dados são especialmente vulneráveis, pois são armazenados em um formato facilmente consumível e consumível. E os servidores de transferência de arquivos baseados na Web são atacados mais do que sua segurança, em contrapartes locais.

3.… especialmente com dados que podem ser acessados ​​ou compartilhados com terceiros

Quando uma empresa compartilha um arquivo com outra empresa, ela normalmente canaliza um fornecedor de armazenamento que automaticamente criptografa e autentica o receptor antes de conceder acesso. No entanto, haverá momentos em que uma parte não autenticada precisará de um arquivo. As empresas precisam de uma estratégia para gerenciar essas "exceções" enquanto os dados estão em movimento e em repouso.

4. Pretty Good Privacy (PGP) por si só não é bom o suficiente para gerenciar a segurança de arquivos

A maioria das organizações possui uma política de PGP para garantir que os arquivos enviados sejam criptografados de tal maneira que o receptor não precise de um grau avançado para abri-lo. Ao primeiro sinal de problema, essas pessoas tendem a compartilhar suas informações de login para obter ajuda de um "amigo" com mais experiência em tecnologia. Há também a possibilidade de o sistema quebrar e deixar os arquivos não criptografados e expostos. Políticas de PGP são um começo, mas não uma solução abrangente.

5. É menos sobre o tipo de criptografia e mais sobre como ela é executada

Independentemente da metodologia de criptografia, as empresas precisam garantir que os protocolos de criptografia e segurança sejam implementados de maneira transparente em todos os setores. Se forem muito difíceis e deixarem muitas exceções, há uma chance maior de que um arquivo não criptografado se torne de alguma forma disponível em um domínio público ou menos seguro. Fluxos de trabalho e gerenciamento de chaves bem definidos, juntamente com ferramentas para simplificar o processo, ajudarão a garantir que todos os funcionários, clientes, parceiros e fornecedores cumpram diariamente.

6. Estabelecer e proteger a integridade dos dados

A validação de uma cadeia de comando ininterrupta para todas e quaisquer transferências protegerá ainda mais dados importantes. Há uma variedade de métodos - somas de verificação manuais, revisão de assinatura PGP, funções hash SHA-1 - e ferramentas para determinar se os dados foram acessados ​​ou corrompidos no processo. A manutenção de registros abrangentes de atividades do usuário ajudará os administradores a auditar com precisão os sistemas se houver alguma incerteza.

7. Fortifique o controle de acesso

Na maioria das implementações de FTP, quando alguém passa da primeira camada de segurança, ele tem acesso a todos os arquivos desse servidor. Portanto, os administradores devem ir além do controle de acesso e autenticação rudimentares para regular quem pode acessar o quê. Validar se o processo de autenticação é robusto é o primeiro passo. A implementação de um forte gerenciamento de senha e protocolos de bloqueio também é crítica.

A adesão a essas recomendações de melhores práticas ajudará a garantir que dados confidenciais tenham a chance de permanecer confidenciais, mesmo que acabem nas mãos erradas..

  • Aaron Kelly é vice-presidente de gerenciamento de produtos da Ipswitch. Randy Franklin Smith gerencia o Ultimate WindowsSecurity, um site dedicado à auditoria e conformidade de TI.