Chaves criptográficas: quem controla a sua informação?

*Por José Ricardo Maia Moraes

A sua empresa percorreu um longo caminho para adotar a transformação digital. Logo em seguida, migrou para a nuvem em busca de agilidade, redução de custos, armazenamento e segurança. Finalmente, para reforçar a segurança, a sua empresa adotou a criptografia para evitar o roubo de informações. Tudo parecia estar indo muito bem a não ser por um fator: a gestão das chaves criptográficas. 
 
Os dados criptografados são conhecidos como “texto cifrado” e só podem ser descriptografados com uma chave ou senha. Isso minimiza o risco de um incidente durante o processamento de dados, pois o conteúdo torna-se ilegível para terceiros. É a melhor maneira de proteger os dados durante uma transferência e também uma forma de proteger os dados armazenados. Adicionalmente, reduz o risco de acesso indevido dentro de uma empresa, pois o acesso é limitado apenas a pessoas autorizadas com a chave certa.
Porém, tudo o que é bom sempre tem um desafio. Afinal, quem tem acesso a essas diversas chaves de segurança? Quem controla essas chaves? No último ano, vimos inúmeras empresas falando sobre os benefícios da criptografia (sim, ela tem muitos!), mas poucas exploraram a gestão das chaves criptográficas, que também deve adotar boas práticas.
Processos manuais de gerenciamento de chaves (desenvolvidos internamente) podem resultar facilmente em erros humanos, que podem deixar as chaves altamente vulneráveis.
Uma gestão competente das chaves criptográficas deve administrar todo o ciclo de vida das chaves de criptografia. Isso inclui: gerar, usar, armazenar, rotacionar, arquivar e excluir chaves. A proteção das chaves de criptografia inclui limitar o acesso às chaves fisicamente, logicamente e por meio do acesso do usuário / função.
 
Controlar e manter as chaves de criptografia de dados é fundamental quando falamos sobre segurança de dados, visto que, na posse das chaves, um cibercriminoso pode retornar os dados criptografados ao seu estado original não criptografado.
 
A gestão eficaz das chaves de criptografia é essencial à integridade de qualquer sistema de criptografia empresarial. Várias organizações operam diversos sistemas de criptografia independentes resultando em silos, o que complica o gerenciamento de chaves e corrói a segurança. Gerenciar chaves para esses silos consome tempo e recursos e orçamento.
 
As melhores práticas de gestão das chaves criptográficas devem abranger: a geração de chave; separação de deveres (redução de potencial de fraude); armazenamento de chave (utilização de um HSM); rotação de chaves,  que é a capacidade de alterar as chaves sem interrupção ou degradação dos sistemas; backup e recuperação de chave; revogação e rescisão da chave; trilha de auditoria para conformidade; alta disponibilidade e recuperação de desastres; adaptabilidade e facilidade de uso.
 
E, por fim, quando falamos em criptografia, o objetivo é sempre garantir o controle total dos dados para que eles não possam ser acessados de forma indevida por usuários não autorizados, independente se for um colaborador, um hacker ou o seu provedor de serviços em nuvem. 
 
Você deve ser o proprietário das suas chaves criptográficas. Quando você tem o controle das suas chaves, você entende a diferença entre achar que o seus dados estão seguros e realmente ter a certeza de que eles estão seguros.
 
*José Ricardo Maia Moraes é executivo de desenvolvimento de negócios da Neotel.