Prevenção de fugas de dados na transferência de ficheiros: checklist

Prevenir fugas de dados durante a transferência de ficheiros exige controlos em cinco camadas: encriptação em trânsito (TLS 1.3) e em repouso (AES-256-GCM do lado do cliente), acesso autenticado por destinatário, registo de auditoria num armazenamento à prova de adulteração, retenção curta com expiração automática e procedimentos de resposta a incidentes que ativem em minutos após a deteção de anomalias. A violação do MOVEit Transfer em 2023 expôs dados de mais de 2 600 organizações porque uma única vulnerabilidade de dia zero num produto de transferência gerida de ficheiros contornou as camadas 1 a 3 para os clientes que não monitorizavam a camada 5. Uma abordagem baseada em checklist identifica as lacunas. Aqui está a lista completa com notas de implementação concretas.

Porque é que a transferência de ficheiros é um ponto quente de violações

A transferência de ficheiros situa-se na interseção de redes externas, múltiplas fronteiras de confiança e frequentemente conteúdo não estruturado que as ferramentas DLP (prevenção de perda de dados) não conseguem analisar facilmente. O Verizon DBIR de 2023 atribuiu 74% das violações a um elemento humano, sendo a partilha incorreta de ficheiros um dos desencadeadores mais comuns, a par do phishing. O Accellion FTA (2021), o Progress MOVEit (2023) e o Cleo Harmony (2024) forneceram todos produtos de transferência de ficheiros para empresas que foram violados em larga escala, expondo milhões de registos por incidente.

A lição: as ferramentas de transferência de ficheiros são alvos de alto valor porque transportam os dados críticos do negócio que se movem entre organizações. Reforçá-las não é opcional.

Checklist de encriptação

[ ] TLS 1.3 em todos os endpoints HTTPS, HSTS ativado com max-age=31536000
[ ] AES-256-GCM para o conteúdo dos ficheiros, não AES-CBC (suscetível a ataques de padding oracle)
[ ] Chaves derivadas via PBKDF2-SHA-256 com 600 000+ iterações ou Argon2id (OWASP 2023)
[ ] Encriptação do lado do cliente para tudo classificado como confidencial ou superior
[ ] Encriptação do lado do servidor como segunda camada (encriptação de envelope com AWS KMS, GCP KMS ou Azure Key Vault)
[ ] Perfect forward secrecy (cipher suites ECDHE) em todas as ligações TLS
[ ] Certificate pinning para clientes empresariais onde viável

Se um serviço de transferência anuncia "encriptação de grau militar" sem nomear os primitivos, exija especificações. Afirmações vagas geralmente significam apenas AES-128 do lado do servidor.

Checklist de controlo de acesso

[ ] Cada ligação de partilha exige autenticação além da própria ligação (palavra-passe, verificação por e-mail, SSO)
[ ] Ligações de uso único preferidas para destinatários externos
[ ] Expiração em cada ligação, predefinição de 72 horas, máximo de 30 dias
[ ] Limites de contagem de transferências onde relevante (por exemplo, máximo de 1 ou 5 transferências)
[ ] Lista de permissões de IP para trocas B2B com intervalos de parceiros fixos
[ ] Marca d'água para documentos de alta sensibilidade (.pdf com carimbos por destinatário)
[ ] mTLS para transferências automáticas de servidor a servidor

Uma ligação de partilha sem proteção é um token de portador: qualquer pessoa com o URL tem acesso total. Os tokens de portador vazam em reencaminhamentos de e-mail, canais de chat, históricos de browser e registos de acesso CDN.

Classificação de dados antes da partilha

Nem todos os ficheiros merecem o mesmo tratamento. Um esquema de três níveis funciona para a maioria das organizações:

Público: comunicados de imprensa, materiais de marketing; a encriptação apenas de transporte é suficiente
Confidencial: dados de clientes, relatórios financeiros, registos de RH; AES-256-GCM do lado do cliente mais controlos de acesso
Restrito: segredos comerciais, detalhes de vulnerabilidades não corrigidas, materiais de fusões e aquisições; encriptação do lado do cliente mais acesso autenticado mais marca d'água mais expiração de 24 a 48 horas

A classificação automatizada ajuda. O Microsoft Purview, o Google Drive DLP e o Forcepoint DLP analisam os carregamentos em busca de PII, dados de titulares de cartões PCI-DSS ou PHI e bloqueiam ou redirecionam com base na política. Para equipas mais pequenas, uma convenção de nomenclatura de ficheiros ([CONF], [RESTRITO]) mais uma equipa treinada é suficiente.

Controlos do fator humano

Os dados de violações mostram consistentemente que os humanos são o ponto de entrada. Controlos que abordam isto:

Autenticação resistente a phishing (chaves de hardware FIDO2 ou passkeys, não SMS)
Pedidos de verificação do destinatário: "Confirme o e-mail do destinatário antes de enviar"
Indicadores de destinatário externo na interface para que os remetentes saibam quando um ficheiro está a sair da organização
Janelas de revogação: 5 a 10 minutos após o envio onde o remetente pode cancelar a entrega
Formação obrigatória de 6 em 6 meses com simulações de phishing

Os avisos "Externo" do Google Workspace nas partilhas do Drive reduziram a partilha externa acidental em 23% em investigação interna do Google. Os pequenos ajustes de UX têm impacto.

Registo de auditoria e monitorização

[ ] Todos os eventos de carregamento, transferência, criação de ligação e acesso registados
[ ] Registos enviados para um SIEM (Splunk, Elastic, Sentinel, Datadog) em 5 minutos
[ ] Retenção de registos de 1 a 7 anos consoante os requisitos regulatórios (PCI-DSS: mínimo 1 ano, HIPAA: 6 anos, RGPD: dependente do caso)
[ ] Deteção de anomalias: volumes de transferência invulgares, acesso fora de horas, anomalias geográficas
[ ] Alertas encaminhados para uma rotação de serviço com SLA definido (15 minutos de reconhecimento)

Os atacantes do MOVEit exfiltraram dados durante semanas antes de serem detetados na maioria das organizações vítimas. A deteção de anomalias em tempo real (picos de volume de transferência, novos intervalos de IP, user agents invulgares) teria reduzido significativamente o tempo de permanência.

Controlos de retenção e eliminação

Cada dia que um ficheiro permanece num servidor é um dia em que pode ser roubado. A retenção curta é o controlo com maior alavancagem:

Retenção predefinida: 7 dias para a maioria das transferências de ficheiros
Retenção máxima: 30 dias, com extensões que exijam justificação
Eliminação criptográfica na expiração (substituir chaves, não apenas payloads)
Notificações ao destinatário antes da expiração para que possa transferir a tempo
Purga automática de entradas expiradas de registos e cópias de segurança dentro das janelas reguladas

O HexaTransfer limita a retenção a 7 dias e elimina payloads encriptados mais material de chaves na expiração. O Dropbox Transfer e o WeTransfer oferecem definições de retenção; use a janela mais curta viável.

Procedimentos de resposta a incidentes

Quando se suspeita de uma violação:

[ ] Revogar as ligações de partilha afetadas em 15 minutos após a deteção
[ ] Rodar as credenciais de qualquer utilizador associado a atividade suspeita
[ ] Preservar os registos (cópias de escrita única, não deixar que a limpeza do atacante os apague)
[ ] Notificar as equipas jurídicas e de privacidade em 1 hora
[ ] Apresentar notificações regulatórias no prazo: RGPD Artigo 33 (72 horas à autoridade de supervisão), HIPAA Breach Notification Rule (60 dias ao HHS), leis estaduais de violação (variável, frequentemente 30 a 60 dias)
[ ] Contratar resposta forense se a exposição for grande ou pouco clara (Mandiant, CrowdStrike, Kroll)

Execute o plano em exercícios de mesa pelo menos anualmente. As equipas que praticaram respondem mais rapidamente por um fator de 2 a 3x, segundo o Relatório de Custo de uma Violação de Dados da IBM.

Due diligence de fornecedores

[ ] Relatório SOC 2 Tipo II revisto, não apenas solicitado
[ ] Certificação ISO 27001 atual
[ ] Relatórios de teste de penetração dos últimos 12 meses
[ ] Lista de subprocessadores revista (o seu fornecedor envia dados a terceiros desconhecidos?)
[ ] Controlos de residência de dados disponíveis se se aplicarem regras do RGPD ou de outra jurisdição
[ ] Primitivos publicados: algoritmos específicos, tamanhos de chave, contagens de iteração
[ ] SLA de notificação de violação no contrato (tipicamente 24 a 72 horas)

Peça aos fornecedores o seu próprio historial de incidentes. Um fornecedor que foi violado e respondeu bem é frequentemente uma aposta melhor do que um sem incidentes públicos e respostas vagas.

Colocar o checklist em prática

Não tente implementar todos os 40+ itens de uma vez. Priorize: encriptação e controlo de acesso em primeiro lugar, registo e monitorização em segundo, retenção e classificação em terceiro, resposta a incidentes por último (e teste-a). Reveja trimestralmente e atualize com nova intelligence de ameaças. As violações do MOVEit e do Accellion exploraram ambas falhas técnicas específicas, mas as organizações com menor tempo de permanência e menor exposição foram as que tinham janelas de retenção curtas e monitorização ativa. O checklist é menos sobre qualquer controlo individual e mais sobre a sua sobreposição.

Experimente em hexatransfer.com — gratuito, sem conta, até 10 GB.