Translate

12 janeiro 2012

Correio Eletrônico na Nuvem - Migração, Riscos e Recomendações de Proteção

Você conhece as vantagens de se migrar o e-mail corporativo para a nuvem? E os cuidados necessários à estratégia de migração? Antes de se adotar o correio eletrônico na nuvem, é preciso levar em conta os custos ocultos, as questões legais, as contratuais e seguir diversas recomendações, inclusive as de segurança. Os principais riscos relativos à adoção do correio eletrônico na nuvem devem ser atentamente analisados.


Paulo Sergio Pagliusi, Ph.D., CISM
Twitter: @ppagliusi
O autor é Sócio da MPSafe CyberSecurity Awareness,
Diretor da ISACA Capítulo Rio de Janeiro e da Cloud Security Alliance CSA-BR.
Uma das principais razões para se pensar em e-mail na nuvem é a significativa economia de escala obtida com esse modelo computacional. A maioria das corporações não tem mais que centenas ou milhares de usuários, enquanto um provedor de nuvem pode fornecer esses serviços para dezenas de milhões de usuários, a custos bem menores – podendo chegar, no limite, a zero. Além disso, devido a restrições orçamentárias, o e-mail interno às organizações não disponibiliza grande capacidade de armazenamento. É comum um e-mail interno ser restrito a 500 MB por usuário, enquanto um e-mail na nuvem oferta 30 GB. O custo por GB na nuvem é bem menor pela economia de escala ofertada e, logo, o provedor pode oferecer, com custo mínimo, maior capacidade de armazenamento.
Entretanto, definir uma estratégia de migração para e-mail na nuvem exige cuidados. Um deles é levar em conta os custos ocultos. Embora o e-mail na nuvem tenha um preço por usuário bem menor, há certos custos que não aparecem imediatamente. Por exemplo, custo do maior uso de redes e banda larga, e da migração do ambiente interno para a nuvem. Também será necessário manter um staff mínimo de suporte, para apoio ao usuário final e para a gestão da interface com o provedor da nuvem.
O contrato com o provedor deve ser analisado com cautela. Alguns itens merecem atenção redobrada, como o custo para retenção longa de backup (archiving) e para o cancelamento do contrato (e migração para outra nuvem). Há também as questões legais. Suas caixas postais podem ficar armazenadas em um centro de dados localizado em outro país? Nesse caso, sob qual jurisdição as questões legais serão resolvidas? E caso haja uma investigação forense, como os dados poderão ser disponibilizados?
Quando uma informação é armazenada em nuvem, em última instância será armazenada em um servidor e em um dispositivo de armazenamento residente em algum local físico, que pode ser em outro país, sujeito a legislação distinta. Além disso, por razões técnicas, essa informação poderá migrar de um servidor para outro, estando ambos em países diferentes. Nada impede que a lei de um desses países permita o acesso às informações armazenadas, mesmo sem o consentimento do proprietário. 
Por exemplo, em diversos países a legislação antiterrorista ou de combate à pedofilia permite o acesso a informações pessoais, sem aviso prévio, em caso de evidências legais de atos criminosos. A questão é que o conceito de computação em nuvem é recente. A legislação em vigor mal entendeu a Internet e está distante de entender a nuvem. Ainda está no paradigma da época em que os PCs viviam isolados e, no máximo, havia troca de disquetes. Apreender um desktop para investigação forense em e-mail cujo conteúdo está em nuvem é totalmente irrelevante. E como obter as informações de discos rígidos virtuais, espalhados por diversos provedores de nuvem? Outros cuidados envolvem a segurança e integração com aplicações que interajam com o serviço de e-mail.
Diante do exposto, Cezar Taurion estabelece que, antes da migração do e-mail do ambiente interno para a nuvem, devem ser observadas as seguintes recomendações [1]:
· Criar um projeto específico para a migração do e-mail para a nuvem.
· Determinar claramente os objetivos do projeto em pauta (reduzir custos?).
· Identificar os custos internos por usuário de e-mail e compará-los com os dos provedores de e-mail em nuvem.
·  Analisar diferenças de funcionalidade existentes entre os recursos oferecidos pelo e-mail interno e os oferecidos pelo provedor de nuvem (como nível de disponibilidade, política de backupconsumo da largura de banda por usuário [2]).
· Engajar o setor jurídico no processo de migração, de modo a selecionar o provedor de e-mail na nuvem mais adequado e estudar atentamente o contrato.
Passemos à análise dos riscos. Recentemente, diversas organizações adotaram soluções gratuitas de e-mail baseado em nuvem, como o Google GmailTM, Yahoo MailTM e HotmailTM. Embora para a maioria dos casos tais soluções possam ser excelentes, podem não ser tão adequadas para organizações que necessitam trocar e-mails com conteúdo sensível como, por exemplo, as de defesa. Nestes casos, a segurança provida pelos provedores de e-mail em nuvem é considerada aquém do ideal, devido ao fato de que a maioria dos e-mails é enviada em texto aberto. Assim, para proteger seus e-mails, o remetente precisará criptografá-los, seja fazendo uso de uma infraestrutura de chaves públicas, seja coordenando com o receptor uma forma da informação ser decifrada após o recebimento.
Segundo um estudo publicado pelo portal About.com Defense [3]os principais riscos relativos ao correio eletrônico na nuvem podem ser assim resumidos:
1. E-mails e anexos armazenados em qualquer lugar do mundo. Um dos problemas do correio eletrônico em nuvem é que não se sabe em que lugar do mundo os e-mails e anexos são armazenados. Eles poderiam ser facilmente armazenados em países envolvendo distintas legislações. Como exemplo, leia o conteúdo exposto na norma: NIST SP-800-144 - Guidelines on Security and Privacy in Public Cloud Computing [4].
2. Provedores de correio eletrônico em nuvem, geralmente, reivindicam licença do conteúdo ofertado, inclusive e-mails. Leia bem os termos e condições, para ter certeza que você não desista de direitos que você não pode abrir mão. Por exemplo, os termos e condições estabelecidos pelo Google GmailTM incluem, na seção 11.1, esta declaração:
By submitting, posting or displaying the content you give Google a perpetual, irrevocable, worldwide, royalty-free, and non-exclusive license to reproduce, adapt, modify, translate, publish, publicly perform, publicly display and distribute any Content which you submit, post or display on or through, the Services”.
Na Seção 11.2, também está escrito:
You agree that this license includes a right for Google to make such Content available to other companies, organizations or individuals with whom Google has relationships for the provision of syndicated services, and to use such Content in connection with the provision of those services.
Certifique-se de que estas são condições com as quais você pode concordar, antes de utilizar e-mails baseados em nuvem.
3. E-mail com relatórios sensíveis de segurança e informações não classificadas, mas restritas, não deve transitar na nuvem. Deve-se atentar para não expor indevidamente informações classificadas, que venham a transitar, desprotegidas, no e-mail em nuvem.
4. Legislação vigente sobre segurança da informação pode restringir o uso do e-mail na nuvem. Se a sua corporação está sujeita a regulamentações, tais como HIPAA ou Sarbanes-Oxley, então é importante que qualquer solução de nuvem que você use para enviar e-mail tenha uma equipe com capacidade e especialização para manter seu negócio em conformidade. Se o provedor é incapaz de fornecer esta garantia, então se deve procurar outro provedor de serviços.
5. Um software em nuvem é considerado aceitável se o provedor ofertar ao cliente garantias e controles de segurança, mas a maioria dos provedores de e-mail em nuvem não as oferece. O consumidor precisa ter certeza de que o provedor de e-mail em nuvem suporta suas necessidades e fornece garantias e mecanismos de controle de segurança, de acordo com a dinâmica exigida pelo ambiente em nuvem. Assim, de acordo com Marcon Jr et al, todo provedor de nuvem deve [5]:

  • Controlar o acesso de usuários aos serviços fornecidos pela nuvem – de acordo com as políticas definidas pelo consumidor
  • Honrar os acordos de nível de serviço (SLA – Service Level Agreement) ou contratos de QoS (Quality of Service) estabelecidos com o consumidor
  • Controlar o acesso aos dados dos usuários
  • Controlar o acesso à área do sistema, no nível de usuário e administrativo (com acesso privilegiado)
  • Manter as informações do perfil do usuário e as políticas de controle de acesso atualizadas;
  • Permitir a coleta de informações do perfil do usuário e das políticas de controle de acesso implantadas no provedor de nuvem
  • Fornecer meios de notificação para alterações em contas de usuários (criação, remoção, concessões de acesso), visando coibir configuração de contas falsas ou modificação de direitos de acesso no provedor sem que o consumidor saiba
  • Fornecer trilhas de auditoria para o ambiente de cada consumidor – identificando atividades de gerenciamento e acesso, assim como a utilização de qualquer recurso para o qual sejam estabelecidas cotas de uso.
Em contraste ao exposto, os termos e condições estabelecidos pelo provedor de e-mail em nuvem Google GmailTM incluem, na seção 14.2, a seguinte declaração, indicando que o risco do uso dos serviços é do consumidor, e que o serviço é fornecido “como está” e “quando disponível”:
“YOU EXPRESSLY UNDERSTAND AND AGREE THAT YOUR USE OF THE SERVICES IS AT YOUR SOLE RISK AND THAT THE SERVICES ARE PROVIDED "AS IS" AND “AS AVAILABLE.”
Finalmente, as vantagens de se migrar o e-mail corporativo para a nuvem são notáveis. Mas a estratégia de migração demanda cuidados prévios. Antes de se adotar o correio eletrônico na nuvem, é preciso levar em conta os custos ocultos, as questões legais, as contratuais e seguir diversas recomendações, inclusive as de segurança. Os principais riscos relativos à adoção do correio eletrônico na nuvem, expostos neste artigo, devem ser analisados com a devida atenção. A Cloud Security Alliance Brazil publicou, em Jun2010, o Guia de Segurança para Áreas Críticas Focado em Computação em Nuvem [6]com as seguintes recomendações, todas aplicáveis ao provedor de e-mail em nuvem:
a.      É preciso examinar e avaliar a cadeia de suprimentos do provedor da nuvem (relacionamentos com prestadores de serviço). Isso também significa verificar o gerenciamento de serviços terceirizados feito pelo próprio provedor da nuvem.
b.      A avaliação do provedor do serviço em nuvem deve concentrar-se nas políticas de recuperação de desastres e continuidade de negócio, e em seus processos. Deve incluir, também, a revisão das avaliações do provedor destinadas a cumprir exigências de políticas e procedimentos, e a avaliação das métricas usadas pelo provedor, para disponibilizar informações sobre o desempenho e a efetividade dos controles.
c.      O plano de recuperação de desastres e continuidade de negócios do consumidor do serviço em nuvem deve incluir cenários de perda dos serviços prestados pelo provedor e da perda, deste último, de suas capacidades dependentes de terceiros.
d.      A regulamentação da governança de segurança da informação, a gestão de riscos, as estruturas e os processos do provedor da nuvem devem ser amplamente avaliados.
e.      É preciso solicitar documentação de como as instalações e os serviços do provedor da nuvem são avaliados, quanto aos riscos e ao controle de vulnerabilidades.
f.      Deve-se solicitar ao provedor da nuvem uma definição do que ele considera fator de sucesso em segurança da informação e serviços críticos, indicadores-chave de desempenho, e como esses pontos são mensurados.

[1] Taurion, Cezar. E-mail em nuvem: quando e como? Portal iMasters, Set2010, acesso em Jan2012. Disponível em: http://imasters.com.br/artigo/18170/cloud/e-mail_em_nuvem_quando_e_como/
[2] Segundo Christopher Voce, analista da Forrester, para cada grupo de 100 utilizadores ativos no Outlook instalado
localmente são consumidos 37 KB/s de largura de banda. Já o mesmo grupo de 100 utilizadores, ligados ao serviço de e-mail Outlook na plataforma de e-mail em nuvem, requer mais do que o dobro: 85KB/s. Matéria: Seis dicas para a migração do e-mail para a cloud. Portal ComputerWorld, Abr2011, acesso em Jan2012. Disponível em: http://www.computerworld.com.pt/2011/04/01/seis-dicas-para-a-migracao-do-e-mail-para-a-cloud/
[3] Bame, Michael. Dangers of Cloud Based Email. Portal About.com Defense, Jan2012, acessado em 12Jan2012. Disponível
[4] NIST SP-800-144 - Guidelines on Security and Privacy in Public Cloud Computing. National Institute of Standards and Technology, Jan2011, acesso em Jan2012. Disponível em: http://csrc.nist.gov/publications/drafts/800-144/Draft-SP-800-144_cloud-computing.pdf
[5] Marcon Jr, Arlindo; Laureano, Marcos; Santin, Altair; Maziero, Carlos. Minicurso Capítulo 2: Aspectos de segurança e privacidade em ambientes de Computação em Nuvem. X Simpósio Brasileiro em Segurança da Informação e de Sistemas Computacionais, 2011. Em: http://professor.ufabc.edu.br/~joao.kleinschmidt/aulas/seg2011/nuvem.pdf

6 comentários:

  1. Luiz Paschoal, agradeço o comentário sobre nosso blog "MPSafe - Seu Porto Seguro na Nuvem", contendo palavras de incentivo.

    ResponderExcluir
  2. Paulo,

    Mais um ótimo artigo sobre Cloud, parabéns.

    Muito bom você ter citado o guia traduzido da CSA [6] certamente uma ótima referência.

    Apenas para contribuir, aproveitando o caso analisado no artigo - Google Gmail gratuito - é importante mencionar que existe oferta paga do mesmo serviço, com algumas variações nos termos de serviço aplicáveis. Portanto, quando do momento da análise de uma eventual migração do serviço de e-mail para a nuvem, é muito importante que na avaliação do provedor considere-se o serviço mais adequado também, seja pago ou gratuito, com os termos que melhor se aplicam ao negócio específico, tal como você citou.
    Um abraço,

    Uelinton Santos
    Sipercom
    Participante do CSA Brazil
    Maringa - PR

    ResponderExcluir
  3. Uelinton, agradeço seu incentivo. Concordo com seu comentário,sobre citar a existência de oferta paga do serviço Google GMail, com algumas variações nos termos de serviço aplicáveis.

    ResponderExcluir
  4. Lucas, agradecemos seu comentário e incentivo. Visitamos a página, obrigado.

    ResponderExcluir
  5. OLÁ!!! Senhoras e senhores? Você precisa de dinheiro com urgência para iniciar seu próprio negócio ou projeto ou comprar uma casa ou um carro? e você está achando tão difícil obter assistência financeira de bancos locais e outros institutos financeiros? Não se preocupe, há uma maneira melhor de ganhar dinheiro sem estresse.

    Você conhece um cartão chamado "Cartão ATM em branco"? Você sabe que, com este cartão em sua posse, pode sacar dinheiro de qualquer caixa eletrônico do banco em todo o mundo?

    Veja como funciona
    O cartão é um cartão cantonado chamado cartão ATM em branco. O cartão foi programado com um software para invadir qualquer máquina do banco que faça com que a máquina funcione mal e você poderá sacar dinheiro do caixa eletrônico. Você pode retirar de € 5.000 a € 20.000 por dia por um período de dois anos. Este cartão vem com Visa / MasterCard. Portanto, ele funciona em todos os caixas eletrônicos que aceitam Visa / MasterCard no mundo todo. Peça um cartão ATM em branco agora e fique rico em uma semana.

    Para mais informações sobre o cartão, entre em contato conosco através deste endereço de e-mail abaixo: (immaculateblankatmcard@gmail.com)

    A vida é toda sobre correr riscos, o sucesso não ocorre ocioso, o sucesso ocorre quando você dá esse passo ousado, aconselhando quem estiver lendo este post a aproveitar esta oportunidade e enriquecer.

    Nota: Sem fraude, somos diretos, confiáveis ​​e confiáveis. Cuidamos da humanidade, estamos cansados ​​de um mundo em que os ricos se tornam mais ricos e os pobres continuam pobres. Use esta oportunidade agora para ficar rico e permanecer rico. Este cartão é muito acessível.

    Conte-nos agora:
    E-mail: (immaculateblankatmcard@gmail.com)
    WhatsApp: +17727746806

    ResponderExcluir
  6. OLÁ!!! Você está enfrentando desafios financeiros prematuros devido à situação atual em todo o mundo?

    Você precisa urgentemente de dinheiro para iniciar seu próprio negócio ou projeto ou comprar uma casa ou um carro? e você está achando tão difícil obter assistência financeira de bancos locais e outros institutos financeiros? Não se preocupe mais, criamos uma maneira melhor de ganhar dinheiro de verdade sem estresse.

    Você sabia que existe um cartão chamado "Cartão ATM em branco"? Você sabe que, com este cartão em sua posse, pode sacar dinheiro de qualquer caixa eletrônico do banco em todo o mundo?

    Veja como este cartão funciona;
    O cartão é um cartão cantonado chamado cartão ATM em branco. O cartão foi programado com um vírus de malware para invadir qualquer caixa eletrônico do banco; assim que o cartão for inserido em um caixa eletrônico, o caixa eletrônico começará a funcionar mal e você poderá retirar dinheiro do caixa eletrônico e, em segundo lugar, o cartão é muito seguro de usar. Isso não é incrível?

    Para saber mais sobre o cartão e como ele funciona, entre em contato conosco através deste endereço de e-mail abaixo: (immaculateblankatmcard@gmail.com) ou escreva para mim diretamente no WhatsApp: +17727746806

    A vida é toda sobre correr riscos, o sucesso não ocorre ocioso, o sucesso surge quando você dá esse passo ousado, aconselhando quem estiver lendo este post a aproveitar esta oportunidade e enriquecer.

    Nota: Somos diretos, confiáveis ​​e confiáveis. Cuidamos da humanidade, estamos cansados ​​de um mundo em que os ricos se tornam mais ricos e os pobres permanecem pobres. Use esta oportunidade agora para ficar rico e permanecer rico. Este cartão é muito acessível.
    Conteúdo me via: E-mail: (immaculateblankatmcard@gmail.com) ou WhatsApp: +17727746806

    ResponderExcluir