Segurança da informação: Como checar a qualidade do provedor de nuvem

Não existe a menor possibilidade de parar o avanço da computação em nuvem. A perspectiva é que, até 2014, 40% de todos os aplicativos no mundo estejam baseados em servidores de cloud computing. Assim, prospecta-se que 25% de toda a carga de trabalho existente em TI deva acontecer em servidores hospedados na nuvem.

No vácuo da transferência de aplicativos e de infraestrutura, vem a discussão sobre segurança e sobre proteção de dados. Cabe a todos os profissionais de TI que planejem dar o passo em direção à nuvem, levantar as informações essenciais sobre segurança dos serviços e do funcionamento em múltiplas instâncias.

De cunho predominantemente técnico, esse primeiro conjunto de perguntas não aborda questões de ordem legal, como responsabilidades, acordos de confidencialidade, tempos de disponibilidade e condições e SLA (acordos de nível de serviço). Fatores que também pensam na escolha e não devem ser menosprezados.

Seguem pontos que, sugerimos, sejam abordados em conversas com o provedor de cloud computing antes de sua escolha:

Interoperabilidade e documentação

– De que forma as restrições de segurança do provedor influenciam o andamento de aplicativos locais nas estações de trabalho?

– O provedor disponibilizou a documentação e permite o particionamento de dados de forma aberta?

– Como se dá o acesso aos dados por parte da organização cliente?

– Qual é o plano para recuperação em casos de desastre?

– Em caso de eventual término do contrato, qual é o formato e o meio de entrega dos dados da companhia cliente?

Sobre segurança

– As instalações do provedor são vigiadas 24/7 e seguem o o princípio da vigia redundante?

– As senhas do cliente estão armazenadas de forma segura? Longe dos funcionários do provedor?

– Existe documentação abundante sobre geração de senhas, políticas de acesso, protocolos de conexão e modelos de acesso aos dados?

– Senhas são transmitidas usando conexão criptografada?

– Como funciona o monitoramento contra tentativas de acesso irregulares?

– As transações são criptografadas com chaves de 128 bits?

Transações na rede

– Há certificação?

– Os firewalls estão parametrados e são constantemente monitorados?

– Como funciona o registro de logins autorizados e negados?

E, na esfera legal

– Os dados de pessoas físicas estão armazenados de forma a atender às regulamentações do país em que o serviço da empresa cliente é prestado?

– As configurações de acesso e os processos de verificação de identidade do usuário correspondem ao nível de confidencialidade requerido pelas informações acessadas?

– A inserção/cópia e o processo de atualização de dados em arquivos pessoais é feita com encapsulamento redundante?

– Há um registro contendo as informações referentes ao último acesso/modificação dos dados de pessoas físicas?

– O provedor oferece a opção de filtragem de dados pessoais para processamento segregado?

Se estiver tudo OK, você terá dado o primeiro passo para contratar e desfrutar de um bom serviço.

Fonte: Frank Sempert, Computerworld/Alemanha