Proteja seus dados e evite a perda de dados
O objetivo de uma estratégia do Confiança Zero é permitir que sua organização proteja dados em trânsito, em repouso e em uso, principalmente para informações confidenciais. Isso é feito identificando adequadamente seus dados, mas também garantindo que você possa controlar e verificar qualquer acesso a eles e ter uma prevenção eficaz contra perda de dados em vigor.
Rótulos de confidencialidade
Os rótulos de confidencialidade facilitam o princípio "verificar explicitamente" Confiança Zero para sua organização porque fornecem pontos de dados adicionais que podem ser usados para tomar decisões de segurança sobre o acesso a recursos. Sua organização pode aplicar rótulos automaticamente a itens de sinalização, como arquivos e emails que contêm informações confidenciais. Esses rótulos também indicam a confidencialidade de um determinado item. Aqui estão alguns exemplos de rótulos comuns:
- Público - Dados de negócios projetados para consumo público. Por exemplo, uma campanha de marketing público para um novo produto.
- Confidencial - Dados que podem prejudicar os negócios se acessados por indivíduos não autorizados. Por exemplo, contratos e contas de vendas.
- Altamente confidencial - Dados confidenciais que devem ser acessíveis apenas a um grupo selecionado de pessoas. Por exemplo, informações sobre uma fusão em andamento.
Sua organização também pode aplicar rótulos prontos para uso usando ferramentas de segurança na nuvem ou criar seus próprios rótulos. As etiquetas prontas para uso são etiquetas prontas para uso para organizações com base em requisitos de segurança comuns. Eles permitem que você use etiquetas facilmente sem ter que criar as suas próprias. Quando os rótulos são aplicados aos itens, eles permitem que sua organização identifique rapidamente a confidencialidade dos dados em um relance. Isso ocorre porque eles ajudam suas ferramentas de segurança na nuvem a criar gráficos detalhados e obter insights com base em rótulos de confidencialidade.
Os rótulos de confidencialidade também podem ser usados para fornecer proteção e prevenção contra perda de dados, pois podem ser a base para:
- Criptografia
- Marcação de conteúdo
- Políticas de prevenção contra perda de dados
Vamos aprender sobre estes a seguir.
Criptografia e marcação de conteúdo
Seus dados confidenciais também devem ser protegidos usando criptografia e marcação de conteúdo. A criptografia é um processo pelo qual os dados são convertidos em um formato irreconhecível que não pode ser acessado a menos que seja descriptografado por um usuário ou entidade autorizado. Quando um item como um email ou um arquivo é criptografado, ele:
- É criptografado em trânsito e em repouso.
- Permanece criptografado mesmo que seja levado para fora da organização.
Sua organização pode configurar a criptografia e a marcação de conteúdo com base em rótulos de confidencialidade. Por exemplo, itens confidenciais e altamente confidenciais podem ser criptografados automaticamente e o conteúdo marcado usando uma marca d'água "Confidencial – somente para uso interno" no rodapé ou no cabeçalho de um documento ou email. Dessa forma, ativos como documentos e emails são protegidos automaticamente, com base em sua confidencialidade. Isso significa que sua organização pode garantir que usuários não autorizados não consigam abrir esses arquivos ou emails, e apenas usuários autorizados possam exibi-los. A marcação de conteúdo também ajuda a reforçar as práticas recomendadas para os usuários, pois eles podem ver facilmente que o documento é destinado apenas para uso confidencial.
Dessa forma, sua organização impõe princípios do Confiança Zero, como "assumir violação" — porque os itens são criptografados automaticamente — e "verificar explicitamente", porque os itens só podem ser descriptografados para serem exibidos por usuários autorizados.
Políticas de prevenção contra perda de dados (DLP)
Além da proteção de dados, sua organização também deve evitar a perda de dados. Isso pode ocorrer por meio de comportamento arriscado ou compartilhamento excessivo acidental de informações confidenciais. Sua organização precisa ser capaz de controlar e impedir a transferência e o compartilhamento inadequados de dados confidenciais. Para conseguir isso, você pode criar políticas de prevenção de perda de dados. São políticas que descrevem quais ações devem ser tomadas para evitar que os dados sejam compartilhados ou acessados de maneira não autorizada.
Por exemplo, sua organização pode criar uma política que declare que todos os itens confidenciais, como emails ou arquivos, não devem ser exibidos ou modificados por usuários não autorizados. A política pode consistir nos seguintes detalhes gerais de configuração:
- Condições - Você pode especificar uma condição para declarar que esta política deve ser aplicada a todos os itens, como emails e documentos que tenham o rótulo de confidencialidade.
- Ações - Você pode descrever as ações a serem executadas se a condição for correspondida. Por exemplo, impedir que usuários recebam itens confidenciais, como documentos ou emails, enviar itens confidenciais ou apenas impedir que pessoas de fora da organização recebam ou visualizem itens confidenciais.
A ferramenta de segurança na nuvem da sua organização aplicará automaticamente essa política. Por exemplo, suponha que um usuário acidentalmente tente inserir um documento rotulado como "confidencial" em uma mensagem de email enviada a um grupo que inclui alguns usuários externos. A política entraria em vigor e impediria o usuário de enviar o email até que ele removesse o documento ou assegurasse que nenhum outro usuário não autorizado estivesse na lista de destinatários da mensagem. Dessa forma, sua organização pode aplicar o princípio do Confiança Zero "usar acesso com privilégios mínimos" porque somente usuários autorizados podem acessar itens. Pode impor o princípio "verificar explicitamente" porque as etiquetas são utilizadas para verificar se os utilizadores podem aceder aos itens.
Tudo isso significa que sua organização pode controlar automaticamente o acesso aos dados e, por sua vez, evitar a perda de dados causada por comportamento inadequado ou não autorizado. Além disso, como essas políticas são baseadas em nuvem, sua organização se beneficiará da capacidade de dimensioná-las e ajustá-las para fazer alterações e melhorias abrangentes para prevenção de perda de dados.