Maturidade · Proteção dos dados sensíveis e criptografia avançada
As suas práticas de encriptação e proteção de dados sensíveis, medidas e traduzidas num roteiro.
10 domínios, uma escala de 5 níveis. E a ação que faz passar de um nível para o seguinte.
Os 10 domínios do referencial, já redigidos de N1 a N5. Uma empresa, uma unidade de negócio, ou 300 de uma vez.
Maturidade · Proteção dos dados sensíveis e criptografia avançada
10 domínios, escala de 5 níveis.
Nordhavn Industries
53 / 100
Medem a sua maturidade com a Datamensio
Um exemplo
Esta situação podia ser a sua.
Vejamos o exemplo de uma empresa: três instalações, três folhas de cálculo, nenhuma resposta comum.
Ninguém sabe consolidar.
Nordhavn Industries, 2 400 pessoas em Hamburgo, Lyon e Porto. Um cliente pergunta em que ponto está o grupo. Cada instalação responde na sua folha de cálculo, com as suas próprias escalas.
Três semanas, uma única base.
Um diagnóstico Referencial de maturidade Datamensio, apoiado nas práticas de proteção de dados sensíveis e de gestão criptográfica (encriptação, gestão de chaves, anonimização, criptografia pós-quântica) lançado nas três instalações ao mesmo tempo, a partir das notas de entrevista dos responsáveis. O referencial já estava escrito, os 10 domínios e os níveis N1 a N5 também.
Duas despesas evitadas antes de serem assumidas.
Uma pontuação de 53 em 100, um desvio concentrado em três domínios. O assistente de IA detetou que duas ações do plano duplicavam as de outro diagnóstico. O relatório de resultados para a comissão foi pedido numa frase.
O que isto lhes evitou
- 3instalações medidas na mesma base, em vez de três questionários a retrabalhar
- 2ações duplicadas detetadas antes da despesa
- 1relatório de resultados para a comissão, sem retrabalho manual
Estes números são os de um exemplo. Podiam ser os seus.
A norma impõe processos. A Datamensio diz onde está.
01
O referencial já está escrito
Domínios, perguntas e níveis N1 a N5 redigidos. Não parte de uma folha de cálculo em branco.
02
A pontuação sai no próprio dia
Online, por link de autoavaliação ou em entrevista. Domínio a domínio, comparável ao longo do tempo.
03
O desvio transforma-se num plano com custos
Cada passagem de nível tem a sua ação. A IA prioriza pelo efeito esperado, não pela ordem da norma.
04
A progressão demonstra-se
Campanha após campanha, face ao seu objetivo e ao seu histórico. É isso que a sua comissão executiva pede.
A escala de maturidade
Um nível, o seguinte, e a ação que liga os dois.
É este mecanismo (um nível, um nível superior, e a ação que liga os dois) que transforma uma constatação numa trajetória.
O ciclo de vida das chaves criptográficas é controlado, desde a geração até à revogação?
- N1
Nenhum inventário das chaves. São geradas e armazenadas pelas equipas de projeto, por vezes no código ou em ficheiros de configuração.
- N2
Existe um cofre de segredos e parte das chaves está lá depositada. A rotação é manual, acionada no seguimento de um incidente ou de uma migração.
- N3
As chaves estão inventariadas, armazenadas num cofre comum com separação de funções. Os prazos de rotação estão definidos e geralmente respeitados.
- N4
A rotação e a revogação são automatizadas e registadas. Os acessos às chaves de produção são registados e revistos. Os procedimentos de comprometimento são testados.
- N5
O inventário criptográfico é mantido atualizado e alimenta uma trajetória de migração, incluindo a hibridação pós-quântica, com revisão periódica documentada.
Ação para passar de N2 a N3
Constituir o inventário das chaves e dos segredos ainda fora do cofre, fixar para cada um um responsável e um prazo de rotação, e depois controlar esses prazos na reunião de segurança trimestral.
« Graças à Datamensio, cumprimos os nossos objetivos com muito mais eficácia. Os serviços de inspeção do FEDER e do nosso ministério de tutela apreciaram particularmente esta abordagem, que lhes fornece dados fiáveis. »
Diretora da CCI 94CCI Île-de-France
« Consideramos que é a solução mais adequada para levar o nosso projeto de transformação à escala e medir o impacto de acordo com as nossas necessidades. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente sozinho
Um referencial combina-se. Associe vários para cobrir a sua atividade, ou peça à IA para escrever o seu.
Faça a sua primeira medição
Sobre o que trata este referencial
Este referencial avalia a forma como uma organização identifica, classifica e protege os seus dados sensíveis, e a forma como gere os mecanismos criptográficos que os protegem. Cobre a classificação dos dados, a encriptação em repouso, em trânsito e em uso, a gestão do ciclo de vida das chaves e dos segredos, as técnicas de anonimização e pseudonimização, a partilha segura com terceiros, bem como a antecipação das evoluções criptográficas. Não se trata de um controlo técnico de configuração, mas de uma avaliação das práticas de gestão e de governação.
Na prática, estes temas são difíceis de gerir porque o conhecimento está disperso. A encriptação é decidida pelas equipas de infraestrutura, a classificação pelas áreas de negócio, as chaves por administradores por vezes externos. Três perguntas bastam para revelar o desvio: sabe quais as bases de dados que contêm dados sensíveis, e desde quando esse inventário não é revisto? Quem pode tecnicamente aceder a uma chave de produção, e esse acesso é registado? O que acontece se um prestador detiver simultaneamente os dados encriptados e as chaves?
Um ponto de contexto impõe-se. A transição para a criptografia pós-quântica está em curso: as autoridades de segurança, incluindo a ANSSI, recomendam a hibridação dos mecanismos e a construção de um inventário criptográfico para preparar as migrações. Isto desloca o tema do registo técnico para o do programa de transformação, com um inventário a constituir, dependências de fornecedores a qualificar e uma trajetória plurianual a financiar. Muitas organizações tomaram conhecimento do tema sem terem iniciado o inventário, que é o seu pré-requisito.
O diagnóstico de maturidade responde a uma questão diferente de uma auditoria de conformidade. A auditoria conclui por um desvio ou uma conformidade face a uma exigência. O diagnóstico situa cada prática numa escala progressiva e indica a ação precisa que permite passar ao nível superior: passar de uma classificação documentada a uma classificação aplicada, de uma rotação de chaves manual a uma rotação automatizada e registada. O resultado não é um veredito, é uma trajetória quantificada, comparável entre unidades de negócio e ao longo do tempo.
Na Datamensio, o referencial está pronto a usar e é modificável. A IA ajusta os domínios, reformula as perguntas segundo o seu vocabulário interno, refina os níveis segundo a lógica CMMI, ou constrói uma adaptação a partir da sua política de segurança e dos seus padrões criptográficos existentes.
Norma de referência: Referencial de maturidade Datamensio, apoiado nas práticas de proteção de dados sensíveis e de gestão criptográfica (encriptação, gestão de chaves, anonimização, criptografia pós-quântica)
Os domínios avaliados
Identificação e classificação dos dados sensíveis
Inventário dos dados a proteger, níveis de sensibilidade, critérios de classificação, cobertura dos referenciais e dos fluxos, frequência de revisão.
Política e padrões criptográficos
Existência de um padrão interno, algoritmos e comprimentos de chave autorizados, proibições explícitas, derrogações, articulação com as recomendações das autoridades de segurança.
Encriptação em repouso e em trânsito
Cobertura das bases de dados, backups, equipamentos e suportes amovíveis, proteção dos fluxos internos e externos, terminação das sessões encriptadas, excepções documentadas.
Gestão de chaves e segredos
Geração, armazenamento, separação de funções, rotação, revogação, recurso a módulos de hardware, gestão dos segredos aplicacionais e eliminação de segredos codificados de forma fixa.
Anonimização e pseudonimização
Técnicas adotadas segundo os usos, avaliação do risco de reidentificação, conjuntos de dados de teste, dados usados para análise e treino de modelos.
Controlo de acesso aos dados sensíveis
Autorizações e princípio do menor privilégio, contas privilegiadas, mascaramento dinâmico, revisões de acesso, rastreabilidade das consultas.
Partilha com terceiros e soberania
Enquadramento contratual das transferências, localização dos dados e das chaves, reversibilidade, encriptação fornecida pelo cliente, dependências de fornecedores.
Criptografia avançada e antecipação pós-quântica
Inventário criptográfico, agilidade dos componentes, hibridação dos mecanismos, usos da encriptação em uso e da computação multipartidária, trajetória de migração.
Monitorização, incidentes e fuga de dados
Deteção de acessos anómalos e de exfiltrações, procedimentos em caso de comprometimento de chave, testes de restauro, notificação e lições aprendidas.
Competências e acompanhamento ao longo do tempo
Especialização criptográfica disponível, sensibilização das equipas de desenvolvimento, indicadores acompanhados, revisão periódica do dispositivo e comparação dos progressos.
Está disponível uma versão curta do referencial para a auto-avaliação online.
Perguntas frequentes
Este diagnóstico atribui uma certificação?
Não. A Datamensio mede a maturidade das suas práticas e produz um plano de ação. Nenhum organismo certifica este referencial, que incide sobre a transformação das suas práticas de proteção de dados e de gestão criptográfica. Os resultados podem, no entanto, alimentar a preparação de uma auditoria externa.
Qual a diferença em relação a uma auditoria técnica de configuração?
Uma auditoria técnica verifica parâmetros num dado momento: versão de protocolo, comprimento de chave, certificado expirado. O diagnóstico avalia a capacidade da organização para manter esses parâmetros ao longo do tempo: quem decide, quem controla, quem corrige. Os dois complementam-se, o diagnóstico dá a trajetória.
Quanto tempo demora a avaliação?
A versão curta preenche-se numa única sessão de trabalho. A versão completa, em modo colaborativo com vários contribuidores, estende-se por uma a duas semanas, sendo a maior parte do tempo dedicada à recolha junto das equipas de infraestrutura, desenvolvimento e áreas de negócio.
É necessária especialização criptográfica para responder?
As perguntas incidem sobre as práticas de gestão, não sobre os detalhes de implementação. Um responsável de segurança ou um arquiteto responde sem dificuldade. Algumas perguntas técnicas podem ser atribuídas a um interlocutor dedicado, com o assistente de IA a reformular o enunciado segundo o perfil do respondente.
É possível adaptar o referencial ao nosso contexto?
Sim. Os domínios, as perguntas e os níveis são modificáveis, e pode adicionar outros. A IA constrói também uma adaptação a partir da sua política de segurança ou dos seus padrões criptográficos internos. O domínio do referencial pertence-lhe.
Como comparar várias entidades?
Cada unidade de negócio realiza o mesmo diagnóstico, as pontuações por domínio são comparadas entre entidades e com as avaliações anteriores. Um roteiro transversal consolida os planos de ação e agrupa as ações comuns em vez de as duplicar.
O tema pós-quântico é abordado?
Sim, como um domínio do referencial: inventário criptográfico, agilidade dos componentes, hibridação dos mecanismos e trajetória de migração. A avaliação situa o seu ponto de partida, que é o pré-requisito de qualquer orçamentação de programa.
Onde estão alojados os dados?
Em França, na OVH, com backup na Scaleway. Nenhuma transferência fora da União Europeia. Os modelos de IA utilizados podem ser selecionados, inclusive entre soluções europeias.