Como manter um banco de dados seguro conforme a LGPD?

Conforme o texto da LPGD:

…

CAPITULO VII

DA SEGURANÇA DE DAS BOAS PRÁTICAS

Seção I

Art. 46. Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.
VI – as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo.
II – medidas para reverter ou mitigar os efeitos do incidente.
§ 3º No juízo de gravidade do incidente, será avaliada eventual comprovação de que foram adotadas medidas técnicas adequadas que tornem os dados pessoais afetados ininteligíveis, no âmbito e nos limites técnicos de seus serviços, para terceiros não autorizados a acessá-los.

…

Então vamos descrever brevemente algumas boas práticas técnicas:

1) Limitar o acesso à base de dados

Quem nunca precisou criar uma database no Mysql e fornecer o acesso para terceiros?

Isso é comum no setor de TI e nas equipes de desenvolvimento, principalmente quando a equipe está desenvolvendo um novo site ou aplicação para a empresa.

Algumas pessoas precisam de acessos externo para trabalhar fora do horário comercial, por exemplo.

Então é fornecido acesso FTP, SSH e ao banco de dados, etc.

Isso é a coisa mais normal do mundo, mas quando olhamos esse cenário voltado para segurança da informação… podem existir riscos reais.

Muitos casos de vazamento de dados são bem sucedidos por esse motivo… acesso indevido aos dados.

Querendo ou não isso aumenta os vetores de ataque.

Uma boa prática é segmentar cada database de acordo com cada site ou aplicação, mas também com usuários do banco de dados que possuam privilégios limitados.

Por exemplo, uma aplicação em produção que não precisa alterar a estrutura de tabelas ou que não precise operação de arquivo, deveria ser executada com um usuário de banco sem esse privilégios.

Assim o banco de dados poderia ter um usuário para versão de desenvolvimento e outro de produção.

Esse é só exemplo simples de como rodar um banco de dados mais seguro.

2) Identificar os dados sensíveis e os dados críticos

Se você já está por dentro da LGPD dever saber que fazer o mapeamento e análise de risco, é fundamental para evitar qualquer ataque ou vazamento de dados e estar em conformidade com a Lei.

Depois de identificar quais dados são os dados realmente importantes para a empresa, o responsável de TI precisa decidir quais tecnologias deve utilizar para fazer a proteção.

Deve existir um plano de Resposta a Incidente (RI) e outro de Disaster Recovery (DR).

O plano de RI deve descrever claramente os procedimentos que as equipes precisam executar, e o que devem fazer durante um vazamento de dados ou durante um ataque.

No DR é preciso deixar claro quais as ações para o ativo de TI afetado por determinado problema, volte a normalidade, seja uma aplicação, site ou o banco de dados.

3) Criptografar a informação

Pegando o gancho acima, uma boa maneira para proteger os dados após um ciberataque seria usar criptografia, dificultando que hackers tenham acesso as informações que foram vazadas.

Exitem vários algoritimos de criptografia para banco de dados, podemos citar alguns aqui:

• MD5 (não recomendaria)
• AES_ENCRYPT (já esta melhorando)
• BCRYPT (atualmente o mais recomendado)

Qualquer desses algoritimos é melhor que nada concorda?

4) Não utilizar a mesma base de dados para testes em aplicações

Muitas vezes uma empresa está desenvolvendo uma nova aplicação e acaba utilizando a base de dados principal para realizar testes.

O problema é que a aplicação está em fase de testes podendo haver bugs ou vulnerabilidades.

O ideal seria pegar essa base de dados e alterar as informações, ou que já tenha alguma critografia para amenizar os danos em caso de vazamento.

Já existem algoritmos que tem como função popular o banco da aplicação com dados fictícios, justamente para testes e também para não colocar dados sensíveis numa plataforma que ainda em desenvolvimento e não foi testada 100%.

5) Registrar a atividade da sua base de dados

Registrar e monitorar a atividade do banco de dados se tornou algo obrigatório.

Se você é do tipo de pessoa que não gosta de surpresas na segunda-feira de manhã quando chega na empresa vai desejar alguma ferramenta do tipo.

Com a onda de ataques SQL Injection cada vez mais automatizado, devemos ter algumas ferramentas robustas que nos auxiliem para identificar anomalias nos sistemas e evitar o vazamentos de dados.

Aplicações web são um prato cheio para hackers em busca de diversão ou ganho financeiro…eles ficam tentando acesso ao host ou conseguir acesso ao banco de dados.

Na maioria das vezes conseguem ter sucesso utilizando ferramentas automatizadas de scan SQL ou exploits para plataformas web.

Não precisa ir muito longe para ver algo desse tipo, no próprio Youtube há muitos videos utilizando esses softwares em sites.

Muitos não sabem nem como funciona um SELECT da linguagem, mas mesmo assim não se limitam a utilizar tecnologia pronta e causar alguns estragos por ai.

Para alguns pode ser apenas diversão, para uma empresa que sofre o ataque pode custar sua reputação e a imagem no mercado, prejuízos financeiros, perda de clientes entre outros.

Bem, esses foram algumas dicas simples para proteger seu banco de dados e evitar o vazamento de dados, esperamos que tenha sido útil para você.

Bom trabalho.

Nota: essa é uma interpretação livre dos artigos acima. Não deve ser tomada como uma consulta legal e/ou recomendação legal e/ou consultoria jurídica. Sempre consulte a área jurídica da sua empresa, advogado ou consultor jurídico para adequar a LPDG à sua empresa.