Segurança em Data Center: GRC, LGPD e Controles no S7.DC

Ao contratar um Data Center ou uma solução Cloud, sua empresa não está escolhendo apenas onde armazenar arquivos. Está escolhendo quem participará da proteção, disponibilidade e continuidade de dados importantes para a operação.

Por isso, segurança em Data Center precisa ser avaliada além de capacidade de armazenamento, desempenho ou preço.

Para empresas que armazenam documentos corporativos, backups, informações de clientes, dados pessoais, imagens médicas ou arquivos críticos, entram nessa análise também a governança do fornecedor, seus controles internos, políticas de confidencialidade, gestão de riscos e capacidade de demonstrar como a segurança é incorporada à operação.

É nesse ponto que entra o GRC — Governança, Risco e Compliance.

No S7.DC Data Center, infraestrutura responsável pelas soluções Cloud da SEPTE, essa disciplina é sustentada por políticas e procedimentos internos de segurança da informação, confidencialidade, controle de acesso e proteção dos dados.

Quais controles internos ajudam a proteger informações armazenadas no S7.DC?

Segurança da informação não depende exclusivamente de firewall, criptografia ou equipamentos.

Pessoas e processos também fazem parte da superfície de risco. Por isso, controles organizacionais são necessários para estabelecer como informações podem ser acessadas, utilizadas, armazenadas e compartilhadas.

Termo de Confidencialidade e Sigilo

Profissionais que, em razão de suas atribuições, possam ter contato com informações protegidas estão submetidos a regras formais de confidencialidade e sigilo.

Essas regras abrangem informações da própria operação e informações relacionadas aos clientes, inclusive dados técnicos cuja divulgação indevida possa gerar riscos.

O princípio é objetivo: ter acesso profissional a uma informação não significa possuir autorização para divulgá-la, reproduzi-la ou utilizá-la para outra finalidade.

Política de dispositivos pessoais e Segurança da Informação

Celulares e outros dispositivos pessoais podem representar canais adicionais para captura, armazenamento ou transmissão não autorizada de informações.

Por isso, o S7.DC Data Center mantém regras específicas de utilização de dispositivos pessoais nas estações e ambientes sujeitos a controle, incluindo vedação ao uso de celular pessoal nas estações de trabalho quando determinada pela política e pela função exercida.

O controle faz parte de um conjunto maior de práticas, incluindo:

• mesa limpa, reduzindo a exposição desnecessária de documentos e informações;
• tela bloqueada quando uma estação não estiver sob supervisão;
• restrição ao uso de dispositivos pessoais em ambientes determinados;
• tratamento das informações de acordo com sua finalidade e classificação;
• responsabilidades formalizadas relacionadas à confidencialidade;
• orientação dos profissionais sobre segurança da informação.

Por que o controle de acesso físico também protege os dados?

Porque segurança digital e segurança física são complementares.

Proteger uma informação exige considerar quem pode acessar ambientes relacionados à operação, sob quais condições e mediante quais autorizações.

O S7.DC mantém políticas relacionadas ao controle de acesso físico e ao monitoramento de ambientes, integradas às demais práticas de segurança e governança.

Entretanto, os detalhes operacionais desses controles não são divulgados publicamente.

Essa distinção é importante: transparência em segurança não significa revelar informações que possam reduzir a eficácia dos próprios controles.

Segurança da informação é tecnologia ou comportamento?

Os dois.

Uma infraestrutura pode utilizar boas tecnologias de proteção e continuar exposta se processos permitirem compartilhamento indevido de credenciais, telas desbloqueadas, documentos visíveis ou utilização inadequada das informações.

Por isso, uma arquitetura de segurança madura trabalha quatro dimensões simultaneamente:

Tecnologia + Pessoas + Processos + Governança

É essa combinação que transforma segurança da informação de um conjunto de ferramentas em uma disciplina operacional.

Como GRC e segurança em Data Center se relacionam com a LGPD?

A LGPD — Lei Geral de Proteção de Dados estabelece princípios, direitos e obrigações relacionados ao tratamento de dados pessoais.

Para empresas que utilizam infraestrutura Cloud, isso torna importante avaliar não somente onde os dados estão armazenados, mas também quais medidas técnicas e organizacionais existem ao redor desse tratamento.

Controles de acesso, confidencialidade, rastreabilidade, políticas internas, gestão de riscos e proteção das informações podem fazer parte desse conjunto.

Isso não significa que contratar um Data Center ou uma solução Cloud torne uma organização automaticamente adequada à LGPD.

Conformidade com a LGPD depende do conjunto de processos, bases legais, responsabilidades e controles adotados pela própria organização e pelos agentes envolvidos no tratamento.

Para consulta à legislação, veja a

Lei nº 13.709/2018 diretamente no Portal da Legislação
.

As soluções do S7.DC podem apoiar empresas que utilizam ISO 27001 e ISO 22301?

Sim. Soluções Cloud podem apoiar a implementação e a manutenção de controles utilizados por empresas que trabalham com requisitos de segurança da informação e continuidade de negócios.

A ISO/IEC 27001 estabelece requisitos para um Sistema de Gestão de Segurança da Informação (SGSI), enquanto a ISO 22301 estabelece requisitos relacionados à gestão da continuidade de negócios.

Na prática, uma organização pode precisar demonstrar controles relacionados a temas como:

• proteção e disponibilidade das informações;
• controle de acesso;
• backup e recuperação;
• rastreabilidade e auditoria;
• gestão de riscos;
• continuidade de serviços críticos.

Soluções do S7.DC podem integrar essa arquitetura de controles.

O Servidor de Arquivos em Nuvem, da SEPTE, por exemplo, combina armazenamento corporativo, controle de acesso, rastreabilidade e recursos destinados à proteção e organização dos arquivos.

Já o Backup em Nuvem atua diretamente na proteção e recuperação de dados, componentes relevantes de estratégias de continuidade.

Para transferência de arquivos entre empresas, filiais, sistemas ou parceiros, o
SFTP para Empresas
permite estruturar fluxos de transferência de dados utilizando protocolo seguro.

Para aprofundar o tema, consulte também as referências oficiais da
ISO/IEC 27001 e da ISO 22301.

Por que uma solução Cloud pronta pode ser diferente de simplesmente contratar uma VM?

Uma máquina virtual (VM) é infraestrutura computacional. Ela oferece recursos para que a empresa construa uma solução, mas normalmente transfere ao cliente ou ao integrador a responsabilidade de arquitetar, instalar, configurar, proteger, monitorar e manter o ambiente que funcionará sobre ela.

O posicionamento do S7.DC é diferente.

A infraestrutura sustenta soluções Cloud desenhadas para finalidades específicas e prontas para utilização, reduzindo a necessidade de transformar cada problema operacional em um novo projeto interno de infraestrutura.

Entre as soluções estão:

• Servidor de Arquivos em Nuvem;
• Backup em Nuvem;
• SFTP para Empresas;
• e-SUS na Nuvem;
• soluções de armazenamento para PACS e outros workloads corporativos;
• Servidor de E-mail Corporativo.

Esse modelo faz sentido principalmente para empresas que procuram soluções maduras, de implantação objetiva e com finalidade operacional claramente definida, em vez de receber apenas recursos computacionais para posteriormente construir toda a camada de serviço.

Qual é a relação entre segurança de dados e continuidade de negócios?

Proteger informações não significa apenas impedir acesso indevido.

Para muitas empresas, não conseguir acessar seus próprios arquivos também é um incidente de segurança e de continuidade.

Por isso, estratégias corporativas precisam considerar cenários de indisponibilidade, perda de arquivos, falhas humanas, incidentes de infraestrutura e necessidade de recuperação.

Backup, redundância, recuperação e procedimentos de continuidade fazem parte dessa análise.

Para aprofundar esse tema, veja também o

Guia de Disaster Recovery para Empresas
.

Além dos controles de segurança, como avaliar a organização responsável pelo Data Center?

Segurança técnica não elimina a necessidade de avaliar quem é o fornecedor.

Em uma relação B2B de longo prazo, regularidade empresarial, governança e capacidade de continuidade também precisam entrar na due diligence.

Nesse aspecto, o S7.DC possui uma evidência pública adicional: a classificação A+ no Programa Receita Sintonia, o maior grau de conformidade tributária previsto pelo programa da Receita Federal.

É importante fazer a distinção: o Selo Sintonia A+ não é uma certificação de segurança da informação e não substitui controles tecnológicos, GRC, gestão de riscos ou políticas de proteção de dados.

Sua função nesse contexto é diferente: constitui uma evidência pública e verificável de conformidade tributária do fornecedor.

Já publicamos uma análise específica sobre esse tema. Para entender os critérios, a consulta pública e o que essa classificação representa na contratação de um fornecedor responsável pela custódia de dados, leia:

S7.DC Data Center conquista o Selo Sintonia A+ da Receita Federal →

GRC é uma certificação?

Não. GRC é uma disciplina permanente de gestão.

Uma certificação demonstra atendimento aos requisitos de determinado padrão dentro de um escopo definido.

GRC possui outra função: manter governança, riscos e compliance integrados à operação continuamente.

Isso exige um ciclo permanente:

1. identificar riscos;
2. definir responsabilidades;
3. estabelecer políticas e procedimentos;
4. implementar controles;
5. acompanhar mudanças legais, tecnológicas e operacionais;
6. revisar documentos e processos;
7. corrigir desvios identificados;
8. melhorar continuamente os controles existentes.

GRC não é um selo colocado no rodapé de um site. É uma prática que precisa continuar funcionando depois da assinatura do contrato.

Como avaliar segurança e conformidade antes de contratar um Data Center?

Em processos de homologação ou due diligence, estas perguntas ajudam a transformar uma avaliação subjetiva em uma análise mais objetiva:

1. Quem é a empresa responsável pela infraestrutura e pelos serviços?
2. Existem políticas formais de segurança da informação e confidencialidade?
3. Os profissionais estão sujeitos a regras específicas para tratamento de informações?
4. Existem controles de acesso físico e lógico?
5. Como backup, recuperação e continuidade são tratados?
6. Existem controles que possam apoiar requisitos de LGPD, ISO/IEC 27001 ou ISO 22301?
7. O fornecedor diferencia claramente certificações formais de controles e boas práticas?
8. É possível verificar evidências externas de regularidade do fornecedor?
9. Segurança é tratada como processo contínuo ou apenas como argumento comercial?

Nenhuma resposta isolada é suficiente.

Mas, analisadas em conjunto, elas ajudam CTOs, gestores de TI, responsáveis por compliance e administradores a entender que tipo de organização participará da custódia e da continuidade dos dados da empresa.

Segurança em Data Center precisa continuar depois da contratação

Uma empresa não protege seus dados simplesmente ao transferi-los para a nuvem.

A segurança depende da arquitetura utilizada, dos controles tecnológicos, das pessoas envolvidas, das políticas adotadas e da governança existente ao redor da operação.

No S7.DC Data Center, essa estrutura combina políticas de GRC, confidencialidade, segurança da informação, controle de acesso e proteção de dados com soluções Cloud desenvolvidas para necessidades específicas das empresas.

Isso inclui desde Servidor de Arquivos em Nuvem e Backup até SFTP e outras soluções de armazenamento corporativo.

A pergunta relevante não é apenas “onde meus arquivos serão armazenados?”, mas também “quais controles existem ao redor das pessoas, processos e tecnologias responsáveis por esses dados?”

Se sua empresa está avaliando uma solução Cloud, armazenamento corporativo, Backup, SFTP ou Servidor de Arquivos, converse com a equipe da SEPTE e conheça como as soluções sustentadas pelo S7.DC Data Center podem integrar a estratégia de segurança e continuidade da sua empresa.

Perguntas frequentes sobre segurança, GRC e Data Center