Os ambientes de produção de uma empresa geralmente atraem a maior fatia dos investimentos em Segurança da Informação. Por mais que a importância e a criticidade destes ambientes sejam inquestionáveis, é preciso também ter em conta de que é nos ambientes não produtivos – ambientes de desenvolvimento, de testes, de qualidade ou de homologação – que se encontram a grande maioria (aproximadamente 80%) dos dados de uma organização.
Como frequentemente os ambientes não produtivos são obtidos a partir de cópias dos ambientes de produção, temos aí uma enorme superfície de exposição dos dados corporativos fracamente protegida.
Uma forma interessante de reduzir esta superfície é através da utilização de estratégias de anonimização de dados. Como os ambiente não produtivos, por sua própria natureza e finalidade, não necessitam de dados reais de negócio, podemos sempre descaracterizar nestes ambientes os dados considerados “sensíveis”, substituindo-os por dados fictícios, porém íntegros do ponto de vista dos modelos de dados e consistentes com as aplicações que os utilizarão para finalidades de testes.
A aplicação de técnicas de mascaramento de dados sobre os ambientes não produtivos traz diversos benefícios:
- Reduz drasticamente a superfície de exposição dos dados corporativos, mitigando riscos de vazamentos de dados e os consequentes impactos à reputação da empresa;
- Simplifica e acelera os processos de conformidade corporativa, pela remoção destes ambientes dos focos de compliance;
- Reduz custos relacionados a controles internos e auditoria, diminuindo também, como consequência, a carga de demandas sobre as áreas de negócio e de TI, já que os ambientes não produtivos perdem criticidade em termos de riscos.
Nossa metodologia de trabalho, desenvolvida com base em nossa ampla experiência em projetos de mascaramento de dados ou de anonimização, prevê uma sequência de etapas. É preciso, primeiro, que a empresa defina com critério que dados ela entende como “sensíveis” para o seu negócio, o que deve levar necessariamente em conta as regulamentações e os frameworks de governança aos quais está sujeita.
Em seguida, é preciso identificar “onde” estes dados estão armazenados, ou seja, entender em que repositórios (gerenciadores de bancos de dados, serviços de arquivos etc.) e em quais estruturas se encontram (tabelas e colunas, conteúdos não estruturados, dentre outros).
Por fim, como última etapa de definições, deve-se entender como os dados são tratados pelas aplicações que os acessam (regras de validação e consistência) e como se relacionam entre si e com os demais dados. Isto é fundamental para que os processos de substituição dos dados reais pelos fictícios não introduzam inconsistências capazes de “quebrar” as aplicações durante sua execução ou de violar as restrições de integridade dos gerenciadores de dados.
Resolvidos estes aspectos, é hora de implementar os processos de mascaramento, o que pode ser uma tarefa bastante árdua e intensa em consumo de recursos se você optar por desenvolvimento interno ou se não utilizar as ferramentas adequadas. Felizmente, existem soluções de mercado que simplificam as etapas mais críticas do processo, como as de data discovery (descoberta de dados), de implementação dos mascaramentos necessários e do gerenciamento de sua aplicação sobre os ambientes não produtivos.
Se você entende a importância e os benefícios de investir na descaracterização de seus ambientes não produtivos, mas tem dúvidas sobre como realizá-lo, entre em contato conosco. Temos muita experiência em projetos desta natureza e estamos à disposição para lhe apoiar.
