Friday, July 27, 2007

Criptografia: faça hoje ou você vai pagar por não ter feito amanhã

Por COMPUTERWORLD
Publicada em 27 de julho de 2007 - 07h05


A necessidade nunca foi tão grande, chamando a atenção não só da gerência de TI, e a tecnologia nunca esteve tão disponível.

Superficialmente, a criptografia sempre pareceu uma escolha óbvia. Para quê expor informação confidencial a olhos bisbilhoteiros se você pode protegê-la embaralhando-a? Porém, apesar de amplamente disponíveis há mais de 10 anos, as tecnologias de criptografia demoravam a decolar.

Agora, finalmente, este cenário está mudando. Uma sucessão de infortúnios expressivos, como laptops roubados, fitas perdidas e litígios associados a vulnerabilidades de dados, atraiu a atenção da gerência, e não apenas da gerência de TI. Enquanto isso, fornecedores de hardware e software reduziram gradualmente as barreiras tradicionais à criptografia, incluindo prejuízo à performance e dificuldade de gerenciar chaves.

As empresas com grande volume de dados sigilosos estão começando a migrar de produtos pontuais táticos para “plataformas” de criptografia de alto nível que fornecem serviços para aplicativos, bancos de dados e redes em nível corporativo.

“Estamos implementando uma arquitetura que nos dará a capacidade de gerenciar a criptografia com alta integração em múltiplos sistemas operacionais e múltiplos sistemas back-end, e criptografar tudo que considerarmos sigiloso”, diz Harvey Ewing, diretor sênior de segurança de TI da Accor North America. Os dados criptografados podem ser informação de identificação pessoal, como nome, endereço, RG e número de telefone, ou dados médicos ou financeiros sujeitos a regulamentações governamentais.

A Accor, que administra cadeias de hotéis econômicos, entre eles a Red Roof Inn, utiliza o Key Manager da RSA Security para gerenciar centralmente as chaves de criptografia de suas 1,3 mil propriedades. O produto permite que aplicativos diferentes compartilhem dados criptografados sem que cada um precise ter suas próprias chaves. “O servidor de gerenciamento de chaves é o centro de todos os nossos processos de criptografia e tira de cena o gerenciamento de chaves individuais”, explica Ewing.

Um dos maiores problemas da criptografia foi resolvido na Accor. O gerenciamento de chaves, além de complexo e arriscado, representava um obstáculo significativo à ampla adoção da criptografia.

A dificuldade surge porque a criptografia entra nas empresas “organicamente, não estrategicamente”, diz Jon Oltsik, analista do Enterprise Strategy Group. “Muita gente ainda terá dificuldade para lidar com isso nos próximos dois a três anos.”

Oltsik prevê que unidades de disco rígido e de fita, novas versões de software de banco de dados e coisas do gênero vão acabar incorporando funções de criptografia, e as empresas vão adotá-las uma de cada vez. “De repente, você se vê com cinco sistemas de gerenciamento de chaves e todos os tipos de complexidades”, observa Oltsik.

“O risco maior, agora, é disaster recovery. Ou você precisará recuperar cinco diferentes sistemas de gerenciamento de chaves para erguer um processo de negócio ou fará um backup de quatro deles, mas vai perder as chaves no quinto e afundar o processo inteiro”, ressalta.

O gerente de segurança de TI Marc Massar conta que sua empresa – que ele preferiu não identificar – processa mais da metade de todas as transações de cartões ao redor do mundo.
Durante muitos anos, a empresa protegeu as transações com produtos de escopo limitado que executam tarefas específicas como criptografar uma senha em um caixa eletrônico. Estes produtos são desenvolvidos para proteger “dados em movimento”, segundo Massar.

Existem várias maneiras de criptografar dados em movimento: Secure Sockets Layer (SSL) para a internet e o padrão IPsec para “tunelamento”, ou seja, criação de um túnel seguro em uma rede não segura. “Estes tipos de produtos estão bem estabelecidos e prepararam o caminho para o comércio eletrônico muitos anos atrás, principalmente SSL”, diz Massar. “Ninguém questiona mais a necessidade de criptografar um número de cartão de crédito na internet”, explica.

Hoje, é muito menos comum as empresas criptografarem “dados em repouso” – em servidores, desktops, laptops e fitas de backup. Mas, recentemente, proteger arquivos e bancos de dados tornou-se o foco dos projetos de criptografia em muitas empresas.

Massar, por exemplo, implementou o DataSecure Platform, um appliance de criptografia dedicado da Ingrian Networks que fica entre aplicativos e bancos de dados. O hardware e o software são ajustados especialmente para processos criptográficos que dependem de computação intensa.

Massar usa os dispositivos da Ingrian para aplicar um dos princípios básicos da criptografia de dados em repouso. “Pense em uma informação como tendo um ciclo de vida”, diz. “Quero protegê-la o mais próximo possível de seu ponto de origem de forma que já possa criptografá-la ao entrar no meu primeiro sistema.”

Se Massar quiser afunilar a informação para um sistema back-office, ela permanecerá criptografada. E, se precisar fazer um backup em fita, ela também continuará criptografada. “Estamos implantando primeiro para nossos sistemas baseados na internet porque é onde há maior risco”, acrescenta Massar. Mas a meta é ter um serviço de criptografia para que os desenvolvedores de aplicativos não sejam obrigados a criar uma nova rotina de criptografia toda vez que uma informação sigilosa é obtida.

Massar admite, no entanto, que esta criptografia abrangente e altamente integrada é mais fácil de imaginar do que fazer. Ele tem mais de mil sistemas sujeitos às diretrizes de criptografia do Payment Card Industry Data Security Standard, o que “exige muitas decisões arquiteturais”.

As organizações que estão aderindo à criptografia da informação em repouso naturalmente se concentram primeiro nos dados mais vulneráveis, que podem sair da empresa em laptops, dispositivos handheld e assim por diante.

Há pouco tempo, uma empresa de serviços de informática estabeleceu a política de criptografar as unidades de disco rígido em todos os laptops com o Whole Disk Encryption da PGP, conta Lawrence Hale, chief information security officer (CISO), solicitando que seu empregador não fosse mencionado.

Com freqüência, as empresas resistem a criptografar grandes volumes de dados porque os algoritmos matemáticos utilizados para criptografar e descriptografar demandam computação intensiva. De acordo com Hale, pode levar de seis a oito horas para criptografar um disco rígido de 60GB a 80GB desde o começo.

Mas é um trabalho realizado uma vez para cada disco. Depois de pronto, a criptografia e descriptografia cotidianas incrementais ocorrem em background, imperceptíveis para os usuários. “Os arquivos que você cria abrem muito rápido”, ressalta Hale.

Riscos para a performanceEmbora a Lei de Moore tenha fechado grande parte da ferida da criptografia, um servidor que processa muitas transações envolvendo um banco de dados pode se tornar inaceitavelmente lento se não houver atenção, alerta Hale. A solução não é a criptografia do disco inteiro, mas a criptografia seletiva, no nível do aplicativo ou até do elemento de dado.

“Vamos criptografar números de Previdência Social, nomes, endereços — tudo que represente uma identificação pessoal”, diz Hale. Em alguns casos, isso é possível com recursos embutidos em software comercial, como os aplicativos de banco de dados. Mas este nível de granularidade, apesar de economizar ciclos de processamento, tem seu custo: o esforço necessário para inventariar e classificar aplicativos e dados.

Na realidade, a tecnologia em si não é a parte mais difícil de uma ampla implementação de criptografia, acredita Matt Haynes, arquiteto de segurança de uma importante empresa de telecomunicações que ele quis manter no anonimato. “O grande esforço é identificar onde estão os dados. Levamos um trimestre para fazer isso. O segundo aspecto é estabelecer políticas e procedimentos: como viver com essa coisa nova chamada criptografia?”

Haynes recomenda que duas equipes distintas assumam o projeto de criptografia: “Uma descobre e classifica os dados e outra se especializa nas ferramentas e nos processos de criptografia”.
O trabalho não pára depois que a criptografia está feita. “Há um overhead de processos, um overhead administrativo e você, obviamente, tem que gerenciar este sistema muito de perto.”

Sem falar no gerenciamento de chaves. “Quando há muitos dados criptografados, você precisa ter muita certeza de que eles poderão ser descriptografados e saber de antemão quem vai fazer a descriptografia.”
Ainda assim, existem opções de tecnologia capazes de reduzir extremamente o esforço de implementação, salienta Haynes. Algumas abordagens de criptografia, por exemplo, requerem que aplicativos sejam modificados em cada ponto onde acessam um banco de dados criptografado.

“Quando começamos a pensar em criptografar os dados”, recorda Haynes, “entendemos que a necessidade de fazer alterações numerosas e complicadas transformaria o conceito em um projeto de muitos anos e muitos milhões de dólares”. Mas ele conseguiu evitar uma empreitada hercúlea utilizando o appliance de criptografia da Ingrian. Posicionado entre o banco de dados e os aplicativos, é invisível para os aplicativos. As mudanças no nível do aplicativo foram mínimas.

“Criptografia é uma iniciativa estratégica”, define Massar. “No último ano, enfocamos algumas coisas muito táticas — criptografar fitas, laptops, BlackBerries e assim por diante. Estas são situações de rápida solução. Mas que tal se seu tivesse adotado uma abordagem mais estratégica uns dois anos atrás?” Se Massar tivesse promovido uma re-arquitetura em seus aplicativos para não armazenar dados em clientes, por exemplo, talvez não precisasse criptografar os laptops. Se a fonte que Massar está copiando para fita tivesse sido criptograda, para início de conversa, ele não precisaria criptografar as fitas de backup. “Se eu tivesse feito alguma coisa lá atrás, não precisaria tomar algumas atitudes táticas depois.”

É isso aí pessoal, até a proxima dica !

Pastre

No comments: