ESTUDO SOBRE AS TENDÊNCIAS EM CRIPTOGRAFIA - BRASIL Julho de 2018 SUMÁRIO EXECUTIVO 1 PONEMON INSTITUTE RELATÓRIO SOBRE PESQUISA BRASIL
O Ponemon Institute tem o prazer de apresentar os resultados do Estudo sobre Tendências em Criptografia de 2018: Brasil, patrocinado pela Thales esecurity. Entrevistamos 507 pessoas no Brasil com o objetivo de examinar o uso da criptografia e o impacto desta tecnologia na postura de segurança das empresas desta região. O primeiro estudo sobre as tendências em criptografia foi realizado nos Estados Unidos em 2005 com uma amostra de entrevistados. Desde então, temos expandido o escopo da pesquisa para incluir entrevistados de 11 países e do Brasil também. Os 11 países incluem: Austrália, França, Alemanha, Índia, Japão, México, Oriente Médio, Federação Russa, Reino Unido, Estados Unidos e, pela primeira vez, Coreia do Sul. Como mostrado na Figura 1, mais empresas representadas nesta pesquisa continuam a reconhecer a importância de ter uma estratégia de criptografia, seja em toda a empresa (35 por cento dos entrevistados) ou uma estratégia limitada direcionada a determinados aplicativos e tipos de dados (43 por cento dos entrevistados). A seguir, está um resumo de nossas conclusões mais importantes. Na próxima seção deste relatório, apresentamos mais detalhes sobre cada conclusão relacionada abaixo. As operações de TI continuam a ser o que mais influência o direcionamento das estratégias de criptografia. Apesar das responsabilidades pela estratégia de criptografia estarem espalhadas pela empresa, as operações de TI (33 por cento dos entrevistados) é o que mais influência. Vinte oito por cento dos entrevistados acredita que não existe apenas uma função responsável pela estratégia de criptografia. Quais tipos de dados geralmente são mais criptografados? Mais empresas estão criptografando registros financeiros e dados relacionados a pagamentos. Na pesquisa deste ano, ficou constatado que mais empresas estão criptografando dados de funcionários/rh e informações sobre negócios não financeiros. Figura 1. de sua empresa? 48% 35% 33% 28% 26% 43% 21% 19% 22% Erros de funcionários são as principais ameaças a dados confidenciais. De acordo com 43 por cento dos entrevistados, erros feitos por funcionários constituem as maiores ameaças à exposição de dados confidenciais ou sensíveis. Trinta e três por cento dos entrevistados acredita que o governo realiza escutas e trinta por cento acredita que ataques internos maliciosos constituem a maior ameaça para dados confidenciais ou sensíveis. Erros de funcionários 43% Escuta feita pelo governo 33% Temos um plano ou uma estratégia geral que É usada consistentemente em toda a empresa Temos um plano ou estratégia limitada que é usada para certos aplicativos ou tipos de dados Não temos um plano ou uma estratégia Programas maliciosos internos Mau funcionamento de processo ou sistema Hackers 30% 25% 24% FY15 FY16 FY17 Trabalhadores temporários ou contratados 23% Provedores de serviços terceirizados 16% PONEMON INSTITUTE RELATÓRIO SOBRE PESQUISA BRASIL 2
0100101001010100101010 1010010100101010010101 1001011011100101001010 0100110010100101001010 0100110010100101001010 0100010101001110000010 0110010010100101010010 1001010100111010010010 0100110010100101001010 1010010100101010010101 35% das empresas atualmente tem uma estratégia de criptografia aplicada consistentemente em toda a empresa A proteção das informações pessoais do cliente é o principal motivador do uso das tecnologias de criptografia. A importância da proteção das informações pessoais do cliente aumentou significativamente nos últimos três anos (50 por cento dos entrevistados vs. 61 por cento dos entrevistados na pesquisa deste ano). A proteção das informações contra ameaças identificadas e específicas também aumentou significativamente de 37 por cento em 2015 para 59 por cento na pesquisa deste ano. Por outro lado, a conformidade com requisitos e regulamentos externos de segurança ou privacidade de dados (42 por cento dos entrevistados) e para diminuir a extensão de auditorias de conformidade (29 por cento dos entrevistados) se tornaram fatores menos importantes para usar tecnologias de criptografia. Quais são os fatores que levam à criptografia? Para proteger informações pessoais do cliente Para proteger informações contra ameaças específicas identificadas Para proteger a propriedade intelectual da empresa Para obedecer regulamentos e requisitos externos desegurançade dados e privacidade Para reduzir a extensão de auditorias de conformidade Para limitar nossa responsabilidade por brechas ou divulgação involuntária 29% 26% 42% 61% 59% 57% A implementação inicial de tecnologias de criptografia continua sendo o maior desafio. Cinquenta e dois por cento dos entrevistados declararam que a instalação inicial de tecnologias de criptografia é o maior desafio de planejamento e execução de uma estratégia de criptografia de dados. Nos últimos três anos, o desafio de classificar quais dados devem ser criptografados aumentou de 42 por cento de entrevistados para 50 por cento dos entrevistados na pesquisa deste ano. Por que as empresas são desafiadas pela criptografia? Fazer a instalação inicial da tecnologia de criptografia Classificar quais dados devem ser criptografados Descobrir onde estão os dados confidenciais da empresa Gestão contínua de criptografia e chaves Determinar quais tecnologias de criptografia são mais eficazes Treinar usuários para que usem a criptografia apropriadamente Não há uma tecnologia de criptografia única dominante, pois as empresas têm necessidades muito distintas. Comunicação pela Internet, criptografia de banco de dados e redes internas têm maior probabilidade de serem extensivamente instaladas. Por outro lado, plataformas e dispositivos de Internet das Coisas (IoT), um caso novo de uso, e containers Dockers são considerados menos prováveis de serem implementados. Algumas características de criptografia são consideradas mais importantes que outras. Nos últimos três anos, a execução de política e as características da escalabilidade do sistema passaram a ter mais importância. Gerenciamento de chaves, suporte para nuvem e implantação em ambiente do cliente para aplicações ou ambientes múltiplos diminuíram, mas ainda são muito usados. 7% 15% 28% 50% 47% 52% 3 PONEMON INSTITUTE RELATÓRIO SOBRE PESQUISA BRASIL
Qual é a importância dos recursos específicos? Desempenho e latência do sistema Cumprimento de política 76% 87% Quais chaves são mais difíceis de gerenciar? As chaves mais difíceis de gerenciar são aquelas para nuvem externa ou serviços hospedados, incluindo o modelo traga sua própria chave (BYOK), chaves de assinatura e chaves Secure Shell (SSH). Estas chaves tiveram uma pequena diminuição na dificuldade de gerenciamento, mas ainda são muito usadas. Suporte para algoritimos emergentes (ex.: ECC) 72% Gerenciamento de chaves Integração com outras ferramentas de segurança (ex: gerenciamento de SIM e identificação) Suporte para nuvem e implantação em ambiente do cliente Suporte para aplicativos ou ambientes variados Escalabilidade do sistema 69% 61% 60% 52% 50% O gerenciamento de chaves continua a ser uma fonte de problemas, com os serviços de chaves para nuvem avaliados como os mais difíceis de gerenciar O gerenciamento de chaves é difícil? Cinquenta e nove por cento dos entrevistados declararam que o gerenciamento de chaves é difícil.os principais motivos são: falta de pessoal qualificado, falta de responsabilidade clara, sistemas isolados e fragmentados e ferramentas de gerenciamento de chave inadequadas. As empresas dos entrevistados continuam a usar diversos sistemas de gerenciamento de chaves. Os sistemas mais comumente implementados são o processo manual (ex.: planilhas e em folha de papel) e política de gerenciamento de chaves (KMP) formal. A importância de módulos de segurança de hardware para uma estratégia de criptografia ou gerenciamento de chaves aumentará nos próximos 12 meses. Quarenta e quatro por cento dos entrevistados declararam que eles são importantes atualmente e que também serão importantes nos próximos 12 meses. SSL/TLS, processadores de transações de pagamento, incluindo P2PE, nível de criptografia do aplicativo, criptografia de banco de dados, interface de provedor de serviço de pagamento e fornecimento de credenciais de pagamento são casos crescentes de uso para módulos de segurança de hardware. CINQUENTA E NOVE POR CENTO DOS ENTREVISTADOS AFIRMAM QUE O GERENCIAMENTO DE CHAVES É DIFÍCIL. OS PRINCIPAIS MOTIVOS SÃO: FALTA DE PESSOAL QUALIFICADO, FALTA DE RESPONSABILIDADE CLARA, SISTEMAS ISOLADOS E FRAGMENTADOS, E FERRAMENTAS DE GERENCIAMENTO DE CHAVE INADEQUADAS. PONEMON INSTITUTE RELATÓRIO SOBRE PESQUISA BRASIL 4
Os principais casos de uso do módulo de segurança de hardware Crescerá 24% nos próximos 12 meses 56% SSL/TLS 37% Processamento de transações de pagamento, incluindo P2PE Crescerá 16% nos próximos 12 meses 34% Criptografia para aplicativos 29% Criptografia de banco de dados 79% dos participantes atualmente utiliza a nuvem para aplicativos e dados confidenciais/não confidencias, ou irão fazê-lo nos próximos 12 a 24 meses Como empresas estão usando módulos de segurança de hardware. Cinquenta e cinco por cento dos entrevistados declarou que têm uma equipe centralizada que fornece criptografia como serviço e 45 por cento declarou que cada dono/equipe de um aplicativo é responsável por seus próprios serviços de criptografia. A média mundial de uso de uma equipe centralizada é de 61 por cento dos entrevistados. 46% 46% Os participantes foram divididos por preferência por módulo de segurança de hardware no local vs. hospedado em nuvem para suportar aplicativos em nuvem pública A maioria das empresas transfere dados sigilosos ou confidenciais para a nuvem. Quarenta e seis por cento dos entrevistados afirmam que suas empresas atualmente transferem dados sigilosos ou confidenciais para a nuvem (sejam ou não criptografados ou tornados ilegíveis por algum outro mecanismo) e 39 por cento dos entrevistados planejam fazê-lo dentro dos próximos 12 a 24 meses. Trinta e sete por cento dos entrevistados afirma que os provedores de serviços em nuvem são os mais responsáveis pela proteção de dados sigilosos ou confidenciais transferidos para a nuvem. Como os dados em repouso na nuvem são protegidos? Quarenta e três por cento dos entrevistados afirmam que a criptografia é realizada na nuvem usando chaves que os provedores de serviços em nuvem geram e gerenciam, e 40 por cento afirmam que a criptografia é realizada na empresa antes dos dados serem enviados para a nuvem usando chaves que suas empresas geram e gerenciam. QUARENTA E TRÊS POR CENTO DOS ENTREVISTADOS AFIRMAM QUE A CRIPTOGRAFIA É REALIZADA NA NUVEM UTILIZANDO CHAVES QUE OS PROVEDORES DE SERVIÇOS EM NUVEM GERAM E GERENCIAM. 5 PONEMON INSTITUTE RELATÓRIO SOBRE PESQUISA BRASIL
QUARENTA E SEIS POR CENTO DOS ENTREVISTADOS AFIRMAM QUE SUAS EMPRESAS ATUALMENTE TRANSFEREM DADOS SIGILOSOS OU CONFIDENCIAIS PARA A NUVEM (SEJAM OU NÃO CRIPTOGRAFADOS OU TORNADOS ILEGÍVEIS POR ALGUM OUTRO MECANISMO) E 39 POR CENTO DOS ENTREVISTADOS PLANEJAM FAZÊ-LO DENTRO DOS PRÓXIMOS 12 A 24 MESES. PONEMON INSTITUTE RELATÓRIO SOBRE PESQUISA BRASIL 6
Sobre o Ponemon Institute O Ponemon Institute dedica-se ao avanço de práticas responsáveis de gerenciamento de informações e privacidade nas áreas empresarial e governamental. Para alcançar esse objetivo, o Instituto conduz pesquisas independentes, treina líderes dos setores público e privado e verifica as práticas de privacidade e proteção de dados utilizada por empresas em uma variedade de indústrias. Sobre a Thales esecurity A Thales esecurity é líder em soluções e serviços de segurança de dados avançados, demonstrando confiança onde quer que a informação seja criada, compartilhada ou armazenada. Garantimos que os dados das empresas e de entidades governamentais estejam seguros e sejam confiáveis em qualquer ambiente: nas instalações locais, na nuvem, centro de dados ou ambientes de Big Data, sem sacrificar a agilidade dos negócios. A segurança não reduz somente o risco; também é um facilitador de iniciativas digitais que agora permeiam nossas vidas cotidianas: dinheiro digital, identidades eletrônicas, cuidados com a saúde, automóveis conectados e, com a Internet das Coisas (IoT), até os eletrodomésticos. A Thales oferece tudo o que uma empresa precisa para proteger e gerir seus dados, identidades e propriedade intelectual e cumprir com as normas regulatórias e de conformidade, através da criptografia, gerenciamento avançado de chave, Tokenização, controle de usuário privilegiado e soluções de alta garantia. Profissionais de segurança do mundo inteiro confiam na Thales para acelerar a transformação digital da sua empresa com confiança. A Thales esecurity faz parte da Thales Group. Sobre a Thales Pessoas em quem confiamos para fazer o mundo girar elas dependem da Thales. Nossos clientes nos procuram com grandes ambições: melhorar a vida, nos proteger mais. Combinamos uma diversidade única de conhecimentos, talentos e culturas, nosso arquitetos projetam e oferecem soluções extraordinárias de alta tecnologia. Soluções que tornam o amanhã possível hoje. Do fundo do oceano à profundidade do espaço e do ciberespaço, ajudamos nossos clientes a pensar de maneira mais inteligente e agir com mais rapidez dominando cada vez mais a complexidade a cada momento decisivo ao longo do caminho. Com 65.000 funcionários em 56 países, a Thales registrou um faturamento de 15,8 bilhões em 2017. CLIQUE AQUI PARA LER O RELATÓRIO COMPLETO NOSSO PATROCINADOR GEOBRIDGE 7 PONEMON INSTITUTE RELATÓRIO SOBRE PESQUISA BRASIL
2018 Thales