0
1
0
1
1
0
1
0

Home Posts Por que o gerenciamento de chaves parece ser tão difícil?

Por que o gerenciamento de chaves parece ser tão difícil?

Por que o gerenciamento de chaves parece ser tão difícil?

A proteção de dados leva as empresas a implementarem várias soluções de criptografia. Nesse sentido, um aspecto que não pode ser negligenciado é a necessidade de um gerenciamento de chaves adequado.

Descuidos acontecem principalmente por conta do uso generalizado da criptografia em virtude dos requisitos de governança e conformidade. Isso mostra que avançamos quanto à preocupação com a proteção de dados, mas expõe o grande desafio que é o gerenciamento de chaves.

Afinal é comum gerenciar chaves em planilhas excel, o que pode trazer um grande risco para as organizações, pois na perda do controle, ou mesmo na perda de chaves criptográficas podem fazer a empresa perder seus dados.

Principais desafios do gerenciamento de chaves

O gerenciamento é vital para o uso efetivo da criptografia. A perda ou a corrupção das chaves pode levar à perda de acesso a sistemas e torná-los completamente inutilizáveis.

O gerenciamento de chaves é um desafio que aumenta de acordo com o tamanho e a complexidade do seu ambiente. Quanto maior for a sua base de usuários, mais difícil será fazer uma gestão eficiente.

Alguns dos maiores desafios envolvem:

Treinamento e aceitação dos usuários

Os usuários não gostam de mudanças. Embora não seja realmente parte do processo de gerenciamento de chaves, a aceitação deles pode ser um grande impedimento para o sucesso de um projeto.

Portanto, é preciso mapear o impacto da adoção e do uso da criptografia em seu ciclo produtivo e as dificuldades na recuperação ou redefinição das chaves ou senhas.

Ouça o feedback dos usuários e desenvolva um treinamento apropriado para abordar as preocupações ou dificuldades específicas deles. Desenvolva benchmarks de sistema para verificar o desempenho antes e depois de o produto ser implementado.

Em outras palavras, gerencie as expectativas dos usuários.

Administração do sistema, manutenção e recuperação de chaves

Esses problemas podem ter um grande impacto sobre a organização e devem ser endereçados ao fornecedor antes de sua compra. Em uma escala empresarial, o gerenciamento manual de chaves simplesmente não é viável.

Idealmente, o gerenciamento deve se integrar à infraestrutura existente, ao mesmo tempo em que fornece administração fácil, entrega e recuperação de chaves seguras.

A recuperação é um processo fundamental, principalmente em situações como a de um colaborador que deixa a organização sem uma devolução adequada ou quando uma chave é danificada e não pode mais ser usada. Também deve ser um processo simples, porém muito seguro.

No gerenciamento, o procedimento de geração deve ser restrito a uma pessoa. Na prática, temos, por exemplo, o processo de um produto que permite que uma chave de recuperação seja dividida em várias partes.

A partir daí as partes individuais da chave de recuperação podem ser distribuídas para diferentes agentes de segurança. Os proprietários devem estar presentes quando ela é usada. Esse processo é simples, mas seguro, porque requer que várias partes recriem a chave.

Além disso, as senhas esquecidas podem criar um impacto adicional junto à equipe de suporte. Assim, o processo não deve ser apenas simples, mas também flexível. Colaboradores remotos e fora da rede precisam ser considerados, bem como os internos. Neste caso, a recuperação de chave remota é um recurso indispensável.

Melhores práticas

Ao lidar com problemas no gerenciamento de chaves, a quem as organizações podem procurar para obter ajuda?

As especificidades do gerenciamento de chaves são amplamente tratadas pelos softwares criptográficos, em que os padrões e as melhores práticas estão bem estabelecidos.

Além disso, a exemplo do Instituto Nacional de Padrões e Tecnologia (NIST) e do Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil), são desenvolvidos padrões para agências governamentais que podem ser aplicados em qualquer comunidade empresarial. Geralmente, esse é um bom ponto de partida ao discutir produtos de criptografia com seus fornecedores.

Enquanto isso, aqui estão algumas práticas recomendadas do setor para você começar:

  • a usabilidade e a escalabilidade do gerenciamento de chaves corporativas devem ser o foco principal na análise de produtos. A capacidade de alavancar os ativos existentes deve desempenhar um papel importante na tomada de decisões. A integração com um ambiente para autenticação reduzirá os custos e eliminará a necessidade de sistemas redundantes;

  • a autenticação de dois fatores é uma medida de segurança necessária para organizações financeiras. Devido ao maior poder de processamento e às capacidades dos computadores atuais, a força das senhas sozinha não é mais suficiente.

Gerenciamento significa proteger as chaves de criptografia contra perda, corrupção e acesso não autorizado. Por isso, ao final dos procedimentos e das técnicas aplicadas ao processo de gestão, é preciso garantir:

  • que as chaves são mantidas com segurança;

  • que elas passam por procedimentos de mudanças regularmente;

  • que o gerenciamento inclui para quem as chaves são atribuídas.

Uma vez que as chaves existentes tenham sido controladas, as políticas e os processos de provisionamento, monitoramento, auditoria e encerramento precisam ser rigorosamente aplicados. Por isso, o uso de ferramentas automatizadas pode aliviar muito a carga da responsabilidade.

Por fim, profissionais de segurança da informação, de infraestrutura, de banco de dados, desenvolvedores e outros profissionais que precisam usar chaves de criptografia devem ser treinados, já que a falta de conscientização sobre os riscos de falhas na proteção é um dos principais fatores para problemas. Se não houver controle sobre o acesso, não haverá segurança. 

Para mais informações sobre gerenciamento de chaves, assine a nossa newsletter e fique por dentro das novidades!