A segurança dos dados sigilosos nas aplicações que se utilizam da Internet de alguma forma não é apenas uma preocupação das grandes empresas, bancos ou administradoras de cartões de crédito em face dos prejuízos financeiros e de imagem em caso de violação, mas algo regulado por leis — como a 12.965, também conhecida como Marco Civil da Internet — e matéria de compliance. Essas exigências são, obviamente, válidas também para o cloud computing e, nesse caso, a preocupação com a segurança de dados confidenciais cresce exponencialmente.
Muitas empresas estão retardando a adoção da arquitetura em nuvem justamente pela sensação de insegurança e descontrole sobre o que acontece ali com os dados sigilosos. Mas o fato incontestável é que a migração para nuvem de toda ou de parte das aplicações corporativas, ao que tudo indica, é uma questão de tempo, uma vez que os grandes provedores de software empresariais já fizeram sua escolha pelo modelo de comercialização SaaS via cloud computing, sem falar do custo menor, entre outras vantagens. O calcanhar de Aquiles é mesmo segurança e o controle. Então, o que de concreto já existe para resolver essa questão?
Em primeiro lugar, a segurança da computação em nuvem deve ser encarada de uma forma holística e bem orquestrada; um único recurso não basta. Acreditamos que, de fato, o caminho é aquele apontado pelo Gartner e chamado de CASB – Cloud Access Security Broker — que possui 3 pilares: visibilidade, controle e proteção. Pensando nisso e nos estudos e pesquisas que temos desenvolvido em torno do tema, gostaríamos de destacar uma das tecnologias que compõe o terceiro pilar do CASB e que ajuda a resolver os desafios de privacidade, soberania e segurança de dados confidenciais. Estamos falando da tokenização.
A tokenização é uma das estratégias consideradas quando as empresas buscam proteger dados confidenciais armazenados ou em trânsito para a nuvem. Mas o que é tokenização? Trata-se de um processo pelo qual um dado sigiloso, como é o caso do número de sua conta bancária ou de seu cartão de crédito, é substituído por símbolos. Por exemplo, o nome Alberto da Silva pode se transformar em FG34!ZP e o número de conta-corrente 010000356-6 pode se tornar 3GX>2* após a tokenização. Com isso, se um hacker for capaz de penetrar em um serviço de nuvem, tudo o que ele poderá ver serão símbolos sem sentido.
Embora existam várias abordagens para a criação de tokens, na maioria das vezes eles são gerados aleatoriamente sem nenhuma relação matemática com o campo de dados original. Graças a isso é quase impossível determinar o significado original de um dado sigiloso.
Após esse processo de transformar as informações em símbolos, apenas os tokens (símbolos) são enviados à nuvem para processamento e armazenagem no lugar do dado original. Para as empresas, nada muda. Os dados são digitados normalmente nos sistemas on-premises e são legíveis para as pessoas autorizadas a acessar os sistemas. Enfim, os dados reais só podem ser acessados por um representante autorizado de acordo com as rígidas políticas de permissão de acesso.
As informações originais e seu token correspondente são guardados em um 'cofre' ultrasseguro nas instalações da empresa, e não na nuvem. O cofre dos tokens é uma área altamente segura, normalmente criptografada e protegida por firewall, que mantém a base de dados que combina o texto original com os símbolos pelos quais foi substituído.
Usuários autorizados têm total acesso aos dados e serviços na nuvem, porque eles a acessam através do cofre de tokens, que é parte da solução chamada Gateway de Controle de Dados na Nuvem, de modo que são os únicos que podem ver os dados originais.
Tokenização e compliance
Dependendo da implementação de uma solução tokenização de dados em nuvem, tokens podem ser usados para garantir que as regras de compliance que estipulam como os dados confidenciais precisam ser tratados pelas empresas sejam obedecidas. A tokenização é um aliado para garantir que as diretrizes e padronizações sejam cumpridas, como por exemplo, a ITAR (International Traffic in Arms Regulations), PCI DSS (Payment Card Industry Data Secutity Standart), HITECH & HIPAA (Health Information Technology for Economic and Clinical Health / Health Insurance Portability and Accountability), CJIS (Criminal Justice Information Services) etc.
Se os dados confidenciais residem dentro dos sistemas on-premises ou na nuvem, a transmissão e armazenamento de tokens em vez dos dados originais são reconhecidamente um método padrão da indústria para proteger os dados. O PCI Security Standards publicou diretrizes de tokenização (PCI DSS Tokenization Guidelines ) para fornecer orientações sobre o uso de token na proteção dos dados. Essas diretrizes ajudam as empresas a manterem a conformidade com os padrões PCI DSS, mas também servem como um conjunto maduro de diretrizes para uso de token em vários setores.
Tokenização e soberania dos dados
Porque tokens não podem ser revertidos de volta para seus valores originais, tokenização é, frequentemente, a melhor opção para enfrentar uma exigência do mercado conhecida como soberania das informações. Dependendo dos países em que operam, as empresas muitas vezes têm que seguir diretrizes regulatórias rígidas que regem o tratamento de informações sigilosas de clientes e funcionários. Estas leis exigem que certos tipos de informações permaneçam dentro de uma jurisdição geográfica definida. Em ambientes de nuvem, em que os centros de dados podem estar localizados em várias partes do mundo, tokenização pode ser usada para manter dados confidenciais dentro da geografia onde foram gerados, enquanto os tokens são armazenados e processados na nuvem.
Tokenização e criptografia
A criptografia é uma abordagem que usa um algoritmo capaz de embaralhar matematicamente os dados sigilosos originais, gerando um substituto ininteligível. Esse substituto pode ser transformado de volta para o valor original através da utilização de uma chave criptográfica. Infelizmente, mesmo sendo muito difícil e demorado, essa chave pode ser quebrada e os dados sigilosos violados. Já os tokens não podem ser revertidos de volta aos seus valores originais sem acesso à tabela original que lhes corresponde aos significados originais, que estão muito bem guardadas localmente.
Assim, a tokenização é valiosa, em primeiro lugar, porque os dados confidenciais de clientes ficam em poder da empresa o tempo todo; sistemas externos não têm acesso aos dados reais. Além disso, tokens fortes têm uma segurança diferenciada porque não estão matematicamente relacionados com o valor original que substituem, portanto, quase impossível de serem decodificados. E por fim, quando usados como técnica de segurança adicional em Cloud Data Control Gateway, o usuário da aplicação na nuvem terá o uso completo de todas as funcionalidades da nuvem, mesmo que alguns dados tenham sidos tokenizados.
Como já mencionamos, não é uma única tecnologia que entregará aos gestores de TI a segurança e o controle dos dados na nuvem, mas uma orquestração de recursos inteligentes de hardware e software capazes de responder às demandas legais, de compliance e de continuidade dos negócios ao mesmo tempo em que preserva a funcionalidade do aplicativo na nuvem. A tokenização, não tenha dúvida, é parte fundamental dessa 'orquestra' para dar às empresas os acordes da liberdade que precisam para tomar a decisão de migrar sem medo e sem tanta desconfiança.
Marcos Oliveira, country manager da Blue Coat Brasil.
