Criptografia é um termo que toda empresa reconhece, mas que poucas realmente questionam em conversas com potenciais fornecedores. Se um fornecedor diz que criptografa dados ou que oferece “segurança de nível bancário”, essas frases parecem tranquilizadoras. Mas elas não dizem nada sobre a criptografia em si: criptografado onde, criptografado quando e criptografado como?
Vamos explicar a diferença entre criptografia em repouso e criptografia em trânsito, o que sua empresa precisa saber sobre elas e o que perguntar aos fornecedores ao procurá-los.
O que significam criptografia em repouso e criptografia em trânsito?
O que significa criptografia em repouso
O que significa criptografia em trânsito
Criptografia em repouso vs. criptografia em trânsito
Por que a arquitetura de acesso zero reduz riscos
Por que os dois tipos de criptografia importam para as empresas
O que as agências de segurança dizem sobre serviços em nuvem
O que perguntar aos fornecedores sobre criptografia
O que significam criptografia em repouso e criptografia em trânsito?
Credenciais, registros de clientes, dados financeiros, arquivos de funcionários e documentos internos passam por três condições distintas durante um dia de trabalho comum:
- Eles ficam no armazenamento.
- Eles trafegam pelas redes.
- Eles são descriptografados para que alguém possa de fato usá-los.
Cada uma dessas condições está vulnerável a um tipo diferente de ataque, e um serviço pode estar bem protegido em uma condição e vulnerável em outra.
Os dois termos que toda liderança empresarial precisa entender são criptografia em repouso e criptografia em trânsito. Eles costumam ser mencionados juntos, mas fazem coisas diferentes. Um protege os dados enquanto estão armazenados. O outro protege os dados enquanto estão em movimento.
Ambos são necessários, mas, ao usar criptografia, é preciso considerar quem detém as chaves para descriptografar seus dados. Se for o seu provedor de serviços, ele pode acessar tudo na rede da sua empresa. Já escrevemos bastante sobre como a criptografia funciona caso precise relembrar.
Entender a criptografia de ponta a ponta e a arquitetura de acesso zero é essencial para toda empresa que busca proteger seus dados. Isso é especialmente importante na hora de escolher um gerenciador de senhas para empresas e outros sistemas que armazenam informações empresariais sensíveis.
O que significa criptografia em repouso
Criptografia em repouso significa que os dados são criptografados enquanto estão armazenados. Esse armazenamento pode ser um servidor, banco de dados, disco rígido, notebook, backup, sistema de armazenamento em nuvem ou dispositivo móvel.
Para uma empresa, os dados armazenados são um alvo para hackers e criminosos cibernéticos. Um notebook roubado, um disco rígido perdido, um servidor comprometido, um backup exposto ou um banco de dados violado colocam as informações em risco. Mas, se os dados forem criptografados em repouso, a pessoa que obtiver a mídia de armazenamento ou o banco de dados ainda precisará da chave correta para lê-los.
Pense em um armário de arquivos trancado. O armário pode ser roubado, mas os arquivos dentro dele continuam protegidos se a fechadura resistir e a chave não estiver disponível. A criptografia em repouso desempenha um papel semelhante para os dados armazenados.
A criptografia em repouso é especialmente importante para o gerenciamento de credenciais. Um gerenciador de senhas para empresas, por exemplo, armazena nomes de usuário, senhas, notas seguras, códigos de recuperação e outros itens sensíveis. Se esses dados armazenados não fossem criptografados, uma violação no servidor poderia expor o conteúdo diretamente. Com uma criptografia em repouso forte, o atacante pode obter o material criptografado, mas não os segredos legíveis dentro dele.
No entanto, a criptografia em repouso tem um limite que as empresas muitas vezes ignoram. Ela protege os dados armazenados contra certos tipos de acesso não autorizado, mas não consegue proteger automaticamente os dados de qualquer pessoa autorizada, de um insider mal-intencionado, de uma conta de administrador comprometida ou de um provedor com acesso às chaves de criptografia.
Um fornecedor pode criptografar dados em repouso e ainda assim ser tecnicamente capaz de descriptografá-los se controlar as chaves. Isso pode ser aceitável para alguns serviços, dependendo dos dados e do caso de uso. Não é o mesmo que dizer que o provedor não consegue ler os dados.
O que significa criptografia em trânsito
A criptografia em trânsito protege os dados enquanto eles trafegam entre sistemas. Por exemplo, entre o navegador de alguém da equipe e um aplicativo em nuvem, entre um aplicativo e um servidor, entre dois servidores ou entre um gerenciador de senhas no notebook de alguém e os servidores com os quais ele sincroniza.
O exemplo mais óbvio é o HTTPS. Quando um site usa HTTPS, a conexão entre o navegador e o site é criptografada. Isso ajuda a impedir que alguém na mesma rede, um provedor de serviços de internet ou outro intermediário leia ou altere os dados enquanto eles trafegam.
Para as empresas, a criptografia em trânsito é importante porque o trabalho (e os dados) agora circula constantemente entre pessoas, dispositivos e serviços em nuvem. Uma solicitação de início de sessão, um envio de arquivo, uma conexão de API, uma visualização de painel de controle ou uma mensagem podem passar por redes que a empresa não controla. A criptografia em trânsito ajuda a proteger esse movimento, para que informações sensíveis não fiquem expostas enquanto trafegam entre a pessoa colaboradora e o serviço que ela está usando.
Páginas de início de sessão, formulários de pagamento, painéis de controle, ferramentas em nuvem e gerenciadores de senhas nunca devem depender de conexões não criptografadas. Se as credenciais trafegam pela internet sem criptografia, elas ficam expostas antes mesmo de chegar ao sistema que as armazena.
A criptografia em trânsito é essencial, mas só protege os dados enquanto eles estão em movimento. Depois que os dados chegam, o sistema receptor ainda precisa armazená-los e processá-los com segurança. Um serviço pode usar HTTPS e ainda assim armazenar dados de uma forma que gera risco mais tarde. Criptografia em repouso e criptografia em trânsito precisam funcionar juntas.
Criptografia em repouso vs. criptografia em trânsito
A diferença entre esses dois tipos de criptografia é mais fácil de entender observando o que acontece com um dado empresarial ao longo do dia:
Uma senha armazenada em um gerenciador de senhas para empresas precisa de proteção enquanto está no cofre. Isso é criptografia em repouso.
Quando o aplicativo sincroniza com um servidor, ou quando uma pessoa da equipe se conecta a partir de um navegador ou dispositivo móvel, esses mesmos dados também precisam de proteção enquanto trafegam. Isso é criptografia em trânsito.
As duas etapas são importantes, mas protegem contra riscos diferentes. Os dados armazenados podem ficar expostos por causa de uma violação no servidor, de um dispositivo roubado, de um banco de dados comprometido ou de um backup em nuvem desprotegido. Os dados em trânsito podem ficar expostos por interceptação, redes inseguras ou conexões mal configuradas. Depois que os dados são descriptografados para uso, o risco muda: phishing, malware(nova janela), contas comprometidas, acesso mal-intencionado ou acesso do lado do provedor podem entrar em cena dependendo de como o serviço é construído.
A simples alegação de criptografia de um fornecedor não basta. Um fornecedor que criptografa a conexão, mas não os dados armazenados, ainda pode deixar as informações vulneráveis depois que elas chegam ao servidor. Um fornecedor que criptografa tanto o armazenamento quanto o transporte tem uma base mais forte, mas as empresas ainda precisam entender quem detém as chaves e quem pode descriptografar os dados.
Isso é especialmente importante para as credenciais de uma empresa. Senhas, códigos de recuperação e notas seguras não são registros empresariais comuns. Eles são caminhos de acesso para vários sistemas sensíveis. Para informações de menor risco, a criptografia padrão em repouso e em trânsito pode bastar. Para credenciais empresariais, dados jurídicos, arquivos sensíveis e registros de clientes, as empresas devem perguntar se os dados são criptografados apenas enquanto estão armazenados e em movimento, ou se o serviço é projetado para que o provedor também não consiga ler o conteúdo.
Por que a arquitetura de acesso zero reduz riscos
A criptografia de ponta a ponta significa que os dados são criptografados antes de saírem do dispositivo da pessoa usuária e só podem ser descriptografados pela pessoa usuária ou pelo destinatário pretendido. Em um modelo de acesso zero, o provedor armazena dados criptografados, mas não tem as chaves necessárias para lê-los.
Essa distinção muitas vezes se perde nas discussões empresariais sobre criptografia. Um provedor pode criptografar dados em repouso nos próprios servidores e criptografar dados em trânsito pela rede, mas ainda assim deter as chaves. Nesse caso, os sistemas do provedor podem descriptografar os dados durante as operações normais.
Com a criptografia de acesso zero, o serviço é projetado de forma diferente. O provedor pode armazenar e sincronizar dados criptografados, mas não consegue ler o conteúdo subjacente. Isso elimina o risco criado pelo acesso do provedor, pelo comprometimento do servidor ou pelo uso indevido interno, porque os dados mais sensíveis não estão disponíveis em formato legível do lado do provedor.
A central de criptografia da Proton oferece uma explicação completa de como a criptografia funciona em todo o ecossistema Proton, incluindo criptografia de ponta a ponta e criptografia de acesso zero.
Um gerenciador de senhas para empresas seguro como o Proton Pass for Business aplica criptografia de ponta a ponta a todos os campos, não apenas à senha: nomes de usuário, endereços web e tudo o que é armazenado em notas criptografadas são criptografados antes de os dados chegarem aos servidores da Proton e só podem ser descriptografados com a senha da conta da pessoa usuária, que a Proton não detém. Essa cobertura de metadados é um diferencial genuíno.
Alguns gerenciadores de senhas criptografam o campo de senha e deixam metadados como nomes de usuário e URLs expostos, o que significa que o provedor (e qualquer pessoa que o invada) ainda pode ver com quais serviços uma empresa mantém contas, mesmo sem ler uma única senha.
Essa lista é um mapa eficaz para um atacante: qual plataforma financeira, qual fornecedor de folha de pagamento ou qual console de administração atacar para agir com eficácia. É exatamente o tipo de reconhecimento que um atacante normalmente teria de conquistar com esforço. Com o Proton Pass for Business, nada fica sem criptografia.
Por que os dois tipos de criptografia importam para as empresas
As empresas dependem de serviços em nuvem para e-mail, armazenamento de arquivos, RH, folha de pagamento, finanças, CRM, análise de dados e muito mais. Cada serviço do qual dependem passa a fazer parte da sua postura de proteção de dados.
A criptografia em trânsito ajuda a proteger os funcionários quando eles se conectam a esses serviços. A criptografia em repouso ajuda a proteger os dados armazenados neles. A criptografia de acesso zero ou de ponta a ponta adiciona outra camada quando a empresa precisa de uma garantia maior de que o próprio provedor não consegue ler o conteúdo.
Também é fundamental levar os metadados em conta, porque é a camada que costuma ficar desprotegida com mais frequência. Os metadados podem revelar a um invasor quem tem uma conta em qual serviço, quando um item foi criado ou alterado pela última vez, ou para quais URLs um cofre aponta. Mesmo que uma empresa tenha todas as senhas criptografadas, metadados não criptografados podem vazar um inventário completo das suas ferramentas, dos seus fornecedores e da sua estrutura interna apenas por meio dos metadados.
Quando se trata de um gerenciador de senhas, a diferença é clara. Se ele criptografa os dados em trânsito, mas não em repouso, as credenciais armazenadas podem ficar expostas se o serviço sofrer uma violação. Se ele criptografa em repouso e em trânsito, mas mantém as chaves de descriptografia, o provedor ainda pode conseguir acessar os dados. Se ele usa criptografia de ponta a ponta com um modelo de acesso zero e estende essa criptografia aos metadados, nem as credenciais nem o panorama de onde elas são usadas podem ser lidos por ninguém além da própria empresa.
O que as agências de segurança dizem sobre os serviços em nuvem
Muitas empresas dependem de serviços em nuvem sem entender totalmente como esses serviços protegem os dados. A orientação de segurança em nuvem(nova janela) do NCSC no Reino Unido incentiva as organizações a avaliar os serviços em nuvem com base em um conjunto de princípios de segurança, incluindo proteção de dados, identidade e autenticação, administração segura e segurança operacional. A CISA nos Estados Unidos e a ENISA na UE publicam estruturas comparáveis, e convergem nas mesmas expectativas centrais.
Em termos de criptografia, isso significa que as empresas não devem apenas perguntar se um fornecedor criptografa os dados. Elas devem entender como os dados são protegidos ao longo do ciclo de vida do serviço: quando são enviados, armazenados, processados, acessados, submetidos a backup, compartilhados e excluídos.
Isso é especialmente relevante para ferramentas SaaS em que o fornecedor gerencia grande parte da infraestrutura. A empresa pode não controlar os servidores, mas ainda pode escolher fornecedores com melhor arquitetura de segurança, documentação mais clara, autenticação mais forte e modelos de criptografia que correspondam à sensibilidade dos dados.
Um gerenciador de senhas empresarial se enquadra na categoria de alta sensibilidade porque concentra o acesso a outros sistemas da empresa. Se o modelo de criptografia dele for fraco, o risco não para no cofre de senhas. Ele pode se estender a e-mail, armazenamento em nuvem, ferramentas financeiras, plataformas de clientes, painéis administrativos e qualquer outro serviço conectado às credenciais armazenadas ali.
Como um gerenciador de senhas para equipes de TI, o Proton Pass for Business adiciona controles empresariais como políticas de administrador, relatórios, registros, gerenciamento de grupos, provisionamento SCIM e integração SSO. Esses recursos ajudam as empresas a gerenciar quem pode acessar as credenciais, como o acesso é concedido e como a segurança das credenciais é governada em toda a equipe.
O que perguntar aos fornecedores sobre criptografia
Quando um fornecedor diz que seus dados estão criptografados, peça detalhes. A palavra “criptografados” só é útil quando a empresa entende o que está protegido, quando está protegido e quem pode descriptografá-lo.
Para qualquer serviço que armazene dados empresariais sensíveis, pergunte:
- Os dados são criptografados em trânsito?
- Os dados são criptografados em repouso?
- Quais tipos de dados são cobertos, apenas senhas ou todos os campos?
- Os metadados também são criptografados, incluindo nomes de usuário, URLs e títulos de itens?
- Os backups também são criptografados?
- Quem cria e armazena as chaves de criptografia?
- O provedor pode descriptografar os dados dos clientes?
- As equipes de suporte podem acessar o conteúdo?
- O serviço usa criptografia de ponta a ponta ou criptografia de acesso zero?
- O que acontece se os servidores do provedor sofrerem uma violação?
- O serviço oferece suporte a MFA, políticas de administrador, registros de acesso e compartilhamento seguro?
Essas perguntas são ainda mais importantes de se fazer a um gerenciador de senhas empresarial porque as credenciais se conectam a outros sistemas. O serviço deve proteger as senhas ao longo de todo o ciclo de vida delas: criação, armazenamento, compartilhamento, uso, monitoramento e remoção.
A geração de senhas fortes é útil, mas é um recurso dentro do gerenciador de senhas, e não uma solução isolada. O valor real vem da combinação de credenciais exclusivas com armazenamento criptografado, compartilhamento controlado, MFA, passkeys, visibilidade para administradores e controles de offboarding.
Um gerenciador de senhas empresarial se encaixa nessa estratégia mais ampla de proteção de dados ao ajudar as equipes a armazenar credenciais com criptografia de ponta a ponta, compartilhar o acesso com segurança, reduzir a reutilização de senhas, gerenciar passkeys, usar a autenticação de dois fatores integrada e dar aos administradores mais controle sobre o acesso às credenciais da empresa.
Armazene as credenciais da sua empresa com criptografia de acesso zero, experimente o Proton Pass for Business.
