gestão da encriptação nativa

A gestão da encriptação nativa significa controlar as funcionalidades de encriptação já integradas nos sistemas operativos, dispositivos e plataformas. Para a maioria das organizações, isto inclui o BitLocker do Windows, o FileVault do macOS, a encriptação baseada em ficheiros do Android, a proteção de dados do iOS, chaves de recuperação, políticas de dispositivos e relatórios.

O objetivo é simples: garantir que os dados confidenciais permanecem protegidos se um portátil, telemóvel, tablet ou unidade amovível for perdido, roubado, reparado, desativado ou acedido sem autorização.

A encriptação nativa é poderosa porque já faz parte da plataforma. Mas continua a precisar de gestão. Sem políticas claras, armazenamento de chaves de recuperação, verificações de conformidade e orientação aos utilizadores, a encriptação integrada pode tornar-se inconsistente ou difícil de recuperar quando algo corre mal.

A Função de Segurança que a Encriptação Nativa Deve Desempenhar

A encriptação nativa protege dados em repouso. Isto significa que os dados armazenados num dispositivo permanecem ilegíveis, a menos que esteja disponível o método de autenticação, a chave de recuperação ou o método de desbloqueio correto.

O NIST descreve a encriptação de armazenamento como uma forma de restringir o acesso a informações armazenadas em dispositivos de utilizadores finais, como portáteis, dispositivos móveis e suportes amovíveis. As suas orientações sobre encriptação de armazenamento ↗ são um ponto de partida sólido para compreender a encriptação de disco completo, de volumes e ao nível dos ficheiros.

A CISA fornece orientações práticas semelhantes na sua página sobre proteção de dados armazenados em dispositivos ↗, especialmente para dispositivos perdidos, unidades amovíveis e planeamento de recuperação.

Na prática, a encriptação nativa ajuda a lidar com quatro riscos:

• Um portátil perdido expor ficheiros empresariais.
• Um telemóvel roubado dar acesso a dados de trabalho.
• Uma unidade desativada poder ser lida após a eliminação.
• Um utilizador esquecer as credenciais e necessitar de recuperação segura.

A própria encriptação é apenas uma parte. A camada de gestão determina se a proteção é consistente.

Mapa de Controlos da Gestão de Encriptação Nativa

A forma mais simples de pensar na gestão da encriptação nativa é como um conjunto de controlos, e não como um único interruptor.

Esta tabela representa a diferença entre «a encriptação está disponível» e «a encriptação é efetivamente gerida».

Windows: Gerir o BitLocker e a Encriptação de Dispositivo

No Windows, a encriptação nativa normalmente significa BitLocker ou encriptação automática de dispositivo.

A visão geral do BitLocker da Microsoft ↗ explica que o BitLocker protege volumes contra o acesso offline, sobretudo quando os dispositivos são perdidos, roubados ou desativados. Em ambientes geridos, o importante não é apenas ativar o BitLocker. É garantir que estão em vigor a política correta, o método de recuperação e o processo de relatórios.

Uma política prática de encriptação do Windows deve definir:

• que unidades têm de ser encriptadas;
• se a proteção apenas com TPM é suficiente;
• se são necessários PIN para utilizadores de maior risco;
• onde são efetuadas cópias de segurança das chaves de recuperação;
• quem pode obter chaves de recuperação;
• como é comunicada a encriptação com falha ou suspensa.

O planeamento da recuperação é importante. A visão geral da recuperação do BitLocker da Microsoft ↗ explica as diferentes opções de recuperação, incluindo palavras-passe de recuperação, chaves de recuperação, pacotes de chaves e agentes de recuperação de dados. As equipas devem documentar qual a opção permitida antes de ocorrer um bloqueio real.

macOS e Dispositivos Apple: Gerir o FileVault e a Proteção de Dados

No macOS, a encriptação nativa centra-se no FileVault. O guia da Apple para gerir o FileVault com gestão de dispositivos ↗ explica como as organizações podem impor o FileVault, controlar adiamentos pelos utilizadores, gerir se as chaves de recuperação são apresentadas aos utilizadores e depositar chaves de recuperação pessoais através da gestão de dispositivos.

No iPhone, iPad e plataformas Apple mais recentes, a encriptação está estreitamente ligada à Proteção de Dados. A visão geral da Encriptação e Proteção de Dados da Apple ↗ explica como os dispositivos Apple protegem os dados dos utilizadores e empresariais se um dispositivo for perdido, roubado ou comprometido.

Para ambientes Apple, a gestão deve centrar-se em:

• impor o FileVault durante a configuração, quando apropriado;
• depositar as chaves de recuperação no sistema de gestão aprovado;
• rodar as chaves de recuperação após a utilização;
• confirmar que utilizadores podem desbloquear volumes encriptados;
• documentar o que acontece durante a migração ou reafetação de dispositivos.

O principal risco é assumir que «os dispositivos Apple estão encriptados» significa que a organização tem a recuperação e os relatórios sob controlo. São questões distintas.

Android: Gerir a Encriptação Através da Política de Dispositivos

Os dispositivos Android também incluem encriptação nativa. A encriptação baseada em ficheiros do Android permite que diferentes ficheiros sejam encriptados com chaves diferentes, e o Android Open Source Project explica o modelo na sua documentação sobre encriptação baseada em ficheiros ↗.

Para dispositivos empresariais, a gestão da encriptação é normalmente efetuada através do Android Enterprise. O guia da Google sobre gestão do Android ↗ explica que as organizações podem impor políticas de segurança, como bloqueio de ecrã e encriptação de armazenamento, através de uma solução de gestão.

A gestão da encriptação Android deve definir:

• que dispositivos são permitidos para utilização profissional;
• se o dispositivo é totalmente gerido ou BYOD com um perfil profissional;
• que robustez de bloqueio de ecrã é necessária;
• como os dispositivos perdidos são bloqueados ou apagados;
• como é monitorizado o estado de conformidade;
• se os dispositivos mais antigos continuam a cumprir os requisitos de segurança.

A encriptação Android é mais forte quando combinada com inscrição de dispositivos, política de bloqueio de ecrã, requisitos de atualização e eliminação remota.

A Gestão de Chaves é o Verdadeiro Problema de Gestão

A encriptação depende de chaves. Isto parece óbvio, mas muitos programas de encriptação falham porque a gestão de chaves é fraca.

As orientações de gestão de chaves ↗ do NIST abrangem o planeamento, a proteção, o ciclo de vida e a governação de material de chaves criptográficas. Para a encriptação nativa, a questão prática é normalmente: onde são armazenadas as chaves de recuperação e quem as pode utilizar?

Um bom processo de chaves de recuperação deve responder:

1. Onde é depositada a chave? 2. A chave é armazenada automática ou manualmente? 3. Quem a pode obter? 4. A obtenção é registada? 5. A chave é rodada após a utilização? 6. O que acontece quando o dispositivo é desativado? 7. O que acontece se o sistema de gestão mudar?

Não deixe chaves de recuperação em capturas de ecrã, folhas de cálculo, unidades partilhadas ou notas pessoais. O acesso de recuperação deve ser controlado, registado e limitado.

Uma Sequência de Implementação Prática

A gestão da encriptação nativa é mais fácil quando é implementada por fases.

Passo 1: Inventariar dispositivos

Liste portáteis, computadores de secretária, telemóveis, tablets e unidades amovíveis que possam armazenar dados empresariais.

Passo 2: Definir a cobertura necessária

Decida que tipos de dispositivos têm de utilizar encriptação nativa e que exceções são permitidas.

Passo 3: Escolher políticas de plataforma

Defina regras para BitLocker, FileVault, Android e outras plataformas antes de uma implementação alargada.

Passo 4: Configurar o depósito de chaves de recuperação

Certifique-se de que as chaves de recuperação são armazenadas no sistema aprovado antes de os utilizadores dependerem delas.

Passo 5: Realizar um piloto com um pequeno grupo

Teste a recuperação, os conflitos de políticas, a migração de dispositivos e a comunicação aos utilizadores.

Passo 6: Impor gradualmente

Passe do modo apenas de relatórios para a imposição depois de resolver os problemas identificados no piloto.

Passo 7: Monitorizar continuamente

Reveja o estado da encriptação, a proteção suspensa, o depósito com falha, os dispositivos não geridos e os eventos de recuperação.

Esta sequência evita o erro mais comum: ativar amplamente a encriptação antes de a recuperação ter sido testada.

O Que Comunicar à Liderança

Os líderes de segurança não precisam de todas as definições técnicas. Precisam de uma visão clara da cobertura, do risco e da preparação.

Um relatório útil sobre encriptação nativa deve apresentar:

• percentagem de dispositivos geridos encriptados;
• número de dispositivos sem chaves de recuperação;
• dispositivos com encriptação suspensa ou com falha;
• utilizadores ou equipas de alto risco não abrangidos;
• eventos de recuperação durante o período de relatório;
• dispositivos pendentes de desativação ou eliminação;
• exceções de política e respetivos responsáveis.

Se precisar de explicar a cobertura de encriptação a executivos ou clientes, pode transformar a sua política de encriptação nativa numa apresentação pronta para as partes interessadas com o Pi ↗. Utilize-o para comunicar cobertura, riscos, preparação para recuperação e próximos passos sem transformar a apresentação numa sobrecarga técnica.

Quando a Encriptação Nativa Não é Suficiente

A encriptação nativa protege dados armazenados, mas não resolve todos os problemas de segurança.

Não substitui:

• gestão de identidade e acesso;
• deteção e resposta em endpoints;
• cópias de segurança e recuperação após desastre;
• gestão de correções;
• prevenção de perda de dados;
• proteção contra phishing;
• controlos de acesso à cloud;
• eliminação segura de dispositivos.

Também não protege os dados depois de um utilizador autorizado ter desbloqueado o dispositivo e acedido normalmente aos ficheiros. Quando o sistema está em execução e o utilizador está autenticado, continuam a ser necessários outros controlos.

A encriptação nativa deve ser tratada como um controlo de base, e não como toda a estratégia de segurança.

O Veredito

A gestão da encriptação nativa consiste em tornar a encriptação integrada fiável. Ativar o BitLocker, o FileVault, a encriptação Android ou a Proteção de Dados da Apple é apenas o início.

Um programa maduro define a cobertura, impõe políticas, deposita chaves de recuperação, limita o acesso de recuperação, monitoriza a conformidade e testa o que acontece quando um dispositivo é perdido, bloqueado, migrado ou desativado.

O melhor programa de encriptação não é aquele com a caixa de verificação mais forte. É aquele em que a proteção, a recuperação e os relatórios funcionam todos quando a organização realmente precisa deles.