Design para proteger a confidencialidade
 Evite exposição a informações de privacidade, regulamentação, de aplicativos e proprietárias por meio de restrições de acesso e técnicas de ofuscação. |
|---|
Os dados da carga de trabalho podem ser classificados por usuário, uso, configuração, conformidade, propriedade intelectual e muito mais. Os dados da carga de trabalho não devem ser compartilhados ou acessados além dos limites de confiança estabelecidos. Os esforços para proteger a confidencialidade devem se concentrar em controles de acesso, opacidade e manter um registro de auditoria das atividades relacionadas a dados e ao sistema.
Cenário de exemplo
Contoso Rise Up oferece uma oferta de Software como Serviço multilocatário especializada em apoiar organizações sem fins lucrativos em suas atividades de captação de recursos e doações. Eles estão no mercado há alguns anos com uma base de clientes saudável. A solução é construída no Azure Red Hat OpenShift (ARO) e no Banco de Dados do Azure para PostgreSQL. Oferece tanto locatários isolados quanto locatários colocados como uma oferta mais acessível.
Limitar estritamente o acesso
Implementar rígidos controles de acesso que concedam acesso apenas com base na necessidade de conhecimento.
A carga de trabalho estará protegida contra acesso não autorizado e atividades proibidas. Mesmo quando o acesso for de identidades confiáveis, as permissões de acesso e o tempo de exposição serão minimizados porque o caminho de comunicação ficará aberto por um período limitado.
Desafio da Contoso
- A Contoso Rise Up sempre se orgulhou de do incrível atendimento ao cliente. Todos na equipe de suporte têm acesso imediato aos dados do cliente para ajudar a solucionar problemas e aconselhar em tempo real.
- A equipe de suporte é treinada regularmente sobre acesso ético.
- Infelizmente, um funcionário descontente da equipe de suporte copiou e compartilhou publicamente a lista de doadores de uma organização, violando a confidencialidade do cliente. Embora o funcionário tenha sido demitido, o dano à reputação da Contoso Rise Up já estava feito.
Aplicando a abordagem e os resultados
- A Contoso Rise Up implementou uma segmentação estrita de usuários em grupos do Microsoft Entra ID e definiu o RBAC para esses grupos nos vários grupos de recursos e recursos.
- Todo acesso aos dados é limitado no tempo e passa por um processo de aprovação e auditoria.
- Esses padrões foram aplicados entre as equipes de carga de trabalho e suporte ao cliente. A Contoso Rise Up agora está confiante de que não há acesso permanente aos dados do cliente.
Identifique dados confidenciais através da classificação
Classifique os dados com base em seu tipo, confidencialidade e risco potencial. Atribua um nível de confidencialidade para cada um deles. Inclua componentes do sistema que estejam no escopo do nível identificado.
Essa avaliação ajuda você a dimensionar corretamente as medidas de segurança. Você também será capaz de identificar dados e componentes que têm um alto potencial de impacto e/ou exposição a riscos. Este exercício adiciona clareza à sua estratégia de proteção de informações e ajuda a garantir o contrato.
Desafio da Contoso
- O sistema de gerenciamento de doadores armazena muitos tipos diferentes de dados, desde informações confidenciais para a Contoso Rise Up (como sua lista de clientes), até informações confidenciais para seus clientes (como a lista de doadores) e informações confidenciais para os clientes doadores (como seu endereço de correspondência).
- O sistema também possui dados não confidenciais, como imagens de estoque e modelos de documentos.
- A equipe de carga de trabalho nunca dedicou tempo para classificar os dados e simplesmente aplicou a segurança de forma ampla em todo o conjunto de dados.
Aplicando a abordagem e os resultados
- Seguindo a liderança da taxonomia da organização Contoso, a equipe de carga de trabalho dedica tempo para sinalizar os armazenamentos de dados, as colunas, as contas de armazenamento e outros recursos de armazenamento com metadados que indicam o tipo e a confidencialidade dos dados que existem.
- Essa atividade dá à equipe a oportunidade de validar que os dados confidenciais são tratados com o nível de confidencialidade exigido em todo o sistema, incluindo instruções de registros em log e backups.
- A equipe descobre que eles têm alguns dados relativamente confidenciais em um banco de dados de segurança inferior e têm alguns dados não confidenciais em um banco de dados de segurança superior. Eles ajustarão os locais de armazenamento para verificar se os controles de segurança estão alinhados com os dados que estão protegendo.
- Eles também planejam implementar a mascaramento de dados em campos-chave para melhor proteger a confidencialidade dos dados, mesmo quando funcionários autorizados acessam o sistema.
Aplique a criptografia em cada etapa do ciclo de vida dos dados
Proteja seus dados inativos, em trânsito e durante o processamento, usando criptografia. Baseie sua estratégia no nível de confidencialidade atribuído.
Seguindo essa abordagem, mesmo que um invasor tenha acesso, ele não conseguirá ler dados confidenciais devidamente criptografados.
Dados confidenciais incluem as informações de configuração usadas para obter mais acesso dentro do sistema. A criptografia de dados pode ajudar você a conter riscos.
Desafio da Contoso
- A Contoso Rise Up faz backups por locatário dos bancos de dados PostgreSQL usando as restaurações pontuais internas. Além disso, para garantir maior segurança, eles fazem um backup consistente em termos de transações por dia em uma conta de armazenamento isolada para total preparação para recuperação de desastres (DR).
- A conta de armazenamento usada para DR é restrita com acesso sob demanda e apenas algumas contas do Microsoft Entra ID têm permissão para acessá-la.
- Durante um exercício de recuperação, um funcionário seguiu o processo para acessar um backup e acidentalmente copiou um backup para uma pasta compartilhada na organização Contoso.
- Este backup foi descoberto e relatado à equipe de privacidade da Contoso alguns meses depois, iniciando uma investigação sobre como ele foi acessado entre o ponto do incidente e o momento da descoberta. Felizmente, não foi detectada uma violação de confidencialidade, e o arquivo foi excluído após a análise forense e de auditoria ser concluída.
Aplicando a abordagem e os resultados
- A equipe formalizou um novo processo que determina que todos os backups devem ser criptografados inativos e as chaves de criptografia devem ser protegidas no Key Vault.
- Agora, incidentes como esse terão uma chance menor de violação de privacidade, pois os dados contidos no arquivo de backup seriam inúteis sem a capacidade de descriptografar.
- Além disso, o plano de DR agora inclui diretrizes padrão que determinam o manuseio adequado dos backups, incluindo como e quando descriptografar com segurança um backup.