Se você chegou a 2023 sem nunca receber um aviso de que suas informações pessoais foram comprometidas em uma violação de segurança, considere-se com sorte. Na melhor das hipóteses, os malfeitores obtiveram apenas seu endereço de e-mail e nome, informações que não causarão muitos danos a você. Ou, na pior das hipóteses, talvez seu perfil em um aplicativo de namoro tenha sido violado e detalhes íntimos de sua vida pessoal tenham sido expostos publicamente, com impactos que mudarão sua vida. Mas também existem maneiras mais ocultas e insidiosas de explorar seus dados pessoais. Por exemplo, a maioria de nós usa um Provedor de internet (ISP) para se conectar à internet. Alguns desses provedores estão coletando informações sobre seus hábitos de visualização na internet, seus históricos de pesquisa, sua localização etc. Tudo isso pode afetar a privacidade de suas informações pessoais, pois você é direcionado a anúncios com base em seus hábitos on-line.
Você provavelmente também não chegou a 2023 sem ouvir pelo menos algo sobre as leis de privacidade da internet em todo o mundo. Em algumas jurisdições, os legisladores são motivados pelo reconhecimento de que o direito à privacidade é um direito humano fundamental. Em outros locais, os legisladores estão aprovando leis para lidar com os danos que preocupam seus cidadãos, violações e mineração de dados sobre detalhes privados da vida das pessoas para vender publicidade direcionada. No centro da maior parte dessa legislação está um esforço para dar aos usuários mais controle sobre seus dados pessoais. E muitos desses regulamentos exigem que os controladores de dados garantam proteções adequadas para transferências de dados internacionais. Nos últimos anos, vimos um número crescente de reguladores interpretando esses regulamentos de uma forma que não deixaria espaço para transferências de dados internacionais. Essas interpretações são problemáticas, não apenas são prejudiciais ao comércio global, mas também desconsideram a ideia de que os dados podem ser mais seguros se as transferências de dados internacionais forem permitidas. Em vez disso, alguns reguladores afirmam que os dados pessoais estarão mais seguros se permanecerem dentro de suas fronteiras, porque sua lei protege a privacidade melhor do que a de outra jurisdição.
Assim, ao nos aproximarmos do Dia da privacidade de dados de 2023, em 28 de janeiro, achamos importante focar em todas as maneiras pelas quais as medidas de segurança e tecnologias de aprimoramento da privacidade ajudam a manter os dados pessoais privados e por que as medidas de segurança são muito mais críticas para proteger a privacidade do que apenas implementar os requisitos das leis de proteção de dados ou manter os dados em uma jurisdição porque os reguladores acham que essa jurisdição tem leis mais rígidas que outra.
O papel da segurança de dados na proteção das informações pessoais
A maioria dos regulamentos de proteção de dados reconhece o papel que a segurança desempenha na proteção da privacidade das informações pessoais. Isso não é surpresa. Os esforços de uma entidade para seguir os requisitos de uma lei de proteção de dados sobre como os dados pessoais devem ser coletados e usados não significam muito se um terceiro puder acessar os dados para seus próprios fins maliciosos.
As próprias leis fornecem poucos detalhes sobre qual segurança é necessária. Por exemplo, o Regulamento Geral de Proteção de Dados da UE (“GDPR”) e leis de privacidade abrangentes semelhantes em outras jurisdições, exigem que os controladores de dados (as entidades que coletam seus dados) implementem medidas de segurança “razoáveis e apropriadas”. Mas é quase impossível para os reguladores exigir medidas de segurança específicas porque o cenário de segurança muda muito rapidamente. Nos Estados Unidos, as leis de violação de segurança estaduais não exigem notificação se os dados obtidos forem criptografados, sugerindo que os reguladores acreditam que a criptografia é, pelo menos, uma maneira dos dados estarem protegidos.
Ações de imposição movidas por reguladores contra empresas que sofreram violações de dados fornecem outras pistas sobre o que os reguladores consideram “melhores práticas” para garantir a proteção de dados. Por exemplo, em 10 de janeiro deste ano, a Comissão Federal de Comércio dos EUA estabeleceu um pedido de consentimento para a Drizly, uma plataforma on-line de venda e entrega de bebidas alcoólicas, descrevendo uma série de falhas de segurança que levaram a uma violação de dados que expôs as informações pessoais de cerca de 2,5 milhões de usuários da Drizly e exigindo que a Drizly implemente um programa de segurança abrangente que inclua uma longa lista de detecção de intrusão e procedimentos de registro. Em particular, a FTC exige especificamente que a Drizly implemente “...(c) ferramentas de prevenção de perda de dados; [e] (d) firewalls devidamente configurados”, entre outras medidas.
O que muitas ações regulamentares pós-violação têm em comum é a exigência de um programa de segurança abrangente que inclua uma série de medidas técnicas para proteger os dados de terceiros que possam tentar acessá-los. No entanto, as ações de imposição tendem a ser agnósticas quanto à localização dos dados. Não é importante onde os dados podem ser armazenados, o que é importante é que as medidas de segurança corretas estão em vigor. Concordamos plenamente.
O portfólio de produtos e serviços da Cloudflare ajuda nossos clientes a implementar proteções para impedir que possíveis invasores acessem seus sites ou redes corporativas. Ao tornar menos provável que os dados dos usuários sejam acessados por agentes maliciosos, os serviços da Cloudflare podem ajudar as organizações a economizar milhões de dólares, proteger a reputação de suas marcas e conquistar a confiança de seus usuários. Também passamos muito tempo trabalhando para desenvolver tecnologias de aprimoramento da privacidade que apoiem diretamente a capacidade de usuários individuais de ter uma experiência de preservação de privacidade na internet.
A Cloudflare é mais conhecida por seus serviços de segurança na camada de aplicação, firewall de aplicativos web (WAF), gerenciamento de bots, proteção contra DDoS, SSL/TLS, Page Shield e muitos mais. Como observou a FTC em seu pedido de consentimento da Drizly, os firewalls podem ser uma linha essencial de defesa para qualquer aplicativo on-line. Pense no que acontece quando você passa pela segurança em um aeroporto, seu corpo e suas malas são escaneados em busca de algo ruim que possam conter (por exemplo, armas ou explosivos), mas o pessoal de segurança do aeroporto não está fazendo o inventário ou registrando o conteúdo de suas malas. Eles estão simplesmente procurando conteúdo perigoso para garantir que ele não chegue ao avião. Da mesma forma, o WAF analisa os pacotes à medida que são roteados pela rede da Cloudflare para garantir que o equivalente na internet a armas e explosivos não seja entregue a um aplicativo web. Governos de todo o mundo concordaram que essas verificações rápidas de segurança no aeroporto são necessárias para nos proteger de malfeitores. O tráfego da internet é o mesmo.
Nós compreendemos a importância essencial da criptografia em trânsito. Na verdade, consideramos a criptografia tão importante que, em 2014, a Cloudflare introduziu o Universal SSL para oferecer suporte a conexões SSL (e agora TLS) para todos os clientes da Cloudflare. E, ao mesmo tempo, reconhecemos que a transmissão às cegas de pacotes criptografados prejudicaria parte da segurança que estamos tentando fornecer. A privacidade e a segurança dos dados são um equilíbrio. Se permitirmos que o código malicioso criptografado chegue a um destino final, o código malicioso poderá ser usado para acessar informações que deveriam estar protegidas. Se os dados não forem criptografados em trânsito, correm o risco de interceptação. Mas, ao oferecer suporte à criptografia em trânsito e garantir que o código malicioso não chegue ao destino pretendido, podemos proteger informações pessoais privadas de maneira ainda mais eficaz.
Vejamos outro exemplo: em junho de 2022, a Atlassian lançou um comunicado de segurança relacionado a uma vulnerabilidade de execução remota de código (RCE) que afeta os produtos Confluence Server e Confluence Data Center. A Cloudflare respondeu imediatamente ao lançar uma nova regra WAF para todos os nossos clientes. Para clientes sem essa proteção WAF, todos os segredos comerciais e informações pessoais em suas instâncias do Confluence ficaram potencialmente vulneráveis a violação de dados. Esses tipos de medidas de segurança são essenciais para proteger os dados pessoais. E não importava se os dados pessoais estivessem armazenados em um servidor na Austrália, Alemanha, Estados Unidos ou Índia, a vulnerabilidade RCE teria exposto os dados onde quer que estivessem armazenados. Em vez disso, os dados foram protegidos porque uma rede global conseguiu implementar uma regra WAF imediatamente para proteger todos os seus clientes globalmente.
Rede global para impedir ataques globais
O poder de uma grande rede global geralmente não é levado em consideração quando pensamos em usar medidas de segurança para proteger a privacidade dos dados pessoais. Os reguladores que buscam isolar seus países do resto do mundo, como um método de proteger a privacidade dos dados, geralmente não percebem como tal movimento pode impactar as medidas de segurança que são ainda mais críticas para manter os dados privados protegidos de malfeitores.
O conhecimento global é necessário para impedir ataques que possam vir de qualquer parte do mundo. Assim como uma rede internacional de unidades de contraterrorismo ajuda a evitar ameaças físicas, a mesma abordagem é necessária para evitar ameaças cibernéticas. As ferramentas de segurança mais poderosas são construídas sobre padrões identificados de tráfego anômalo, provenientes de todo o mundo. A rede global da Cloudflare nos coloca em uma posição única para entender a evolução de ameaças globais e comportamentos anômalos. Para capacitar nossos clientes com segurança cibernética preventiva e responsiva, transformamos aprendizados globais em proteções, enquanto ainda mantemos a privacidade dos usuários de boa-fé da internet.
Por exemplo, as ferramentas da Cloudflare para bloquear ameaças no nível DNS ou HTTP, incluindo proteção contra DDoS para sites e Gateway para empresas, permitem que os usuários protejam ainda mais suas entidades além das regras de tráfego personalizadas, ao rastrear padrões de tráfego conhecidos por conter conteúdo de phishing ou malware. Usamos nossa rede global para melhorar nossa identificação de vulnerabilidades e conteúdo malicioso e para implementar regras em tempo real que protegem a todos. Essa capacidade de identificar e proteger instantaneamente nossos clientes contra vulnerabilidades de segurança que eles ainda não tiveram tempo de resolver reduz a possibilidade de que seus dados sejam comprometidos ou de que, de outra forma, sejam submetidos a atividades nefastas.
Da mesma forma, o produto Gerenciamento de bots da Cloudflare só aumenta em precisão com o uso contínuo na rede global: ele detecta e bloqueia o tráfego proveniente de bots prováveis antes de fornecer aprendizados aos modelos que suportam o produto. E o mais importante, minimizamos a quantidade de informações usadas para detectar essas ameaças identificando padrões de tráfego e renunciando à dependência de PII. Nossos produtos de gerenciamento de bots são bem-sucedidos devido ao grande número de clientes e quantidade de tráfego em nossa rede. Com aproximadamente 20% de todos os sites protegidos pela Cloudflare, estamos posicionados de maneira única para coletar os sinais de que o tráfego é de um bot ruim e interpretá-lo com inteligência acionável. Essa diversidade de sinais e a escala de dados em uma plataforma global é fundamental para nos ajudar a continuar desenvolvendo nossas ferramentas de detecção de bots. Se a internet fosse fragmentada, evitando que os dados de uma jurisdição fossem usados em outra, mais e mais sinais seriam perdidos. Não poderíamos aplicar os aprendizados das tendências de bots na Ásia aos esforços de mitigação de bots na Europa, por exemplo.
Uma rede global é igualmente importante para resiliência e proteção de segurança eficaz, uma realidade que a guerra na Ucrânia trouxe à tona. Para manter seus dados seguros, o governo ucraniano foi obrigado a alterar suas leis para remover os requisitos de localização de dados. Como a infraestrutura da Ucrânia foi atacada durante a invasão da Rússia, o governo ucraniano migrou seus dados para a nuvem, permitindo que fossem preservados e facilmente movidos para segurança em outras partes da Europa. Da mesma forma, a rede global da Cloudflare desempenhou um papel importante em ajudar a manter o acesso à internet dentro da Ucrânia. Os sites na Ucrânia às vezes sofriam ataques DDoS pesados, mesmo quando a infraestrutura estava sendo destruída por ataques físicos. Com a largura de banda limitada, era importante que o tráfego que passava dentro da Ucrânia fosse um tráfego útil, não um tráfego de ataques. Em vez de permitir o tráfego de ataques dentro da Ucrânia, a rede global da Cloudflare o identificou e rejeitou nos países de origem dos ataques. Sem a capacidade de inspecionar e rejeitar o tráfego fora da Ucrânia, o tráfego de ataques teria congestionado ainda mais as redes dentro da Ucrânia, limitando a capacidade da rede para comunicações essenciais em tempos de guerra.
Embora a situação na Ucrânia reflita a postura de guerra do país, a rede global da Cloudflare oferece os mesmos benefícios de segurança para todos os nossos clientes. Utilizamos toda a nossa rede para entregar mitigação de DDoS, com capacidade de rede superior a 172 Tbps, possibilitando que nossos clientes permaneçam on-line mesmo diante dos maiores ataques. Essa enorme capacidade de proteger os clientes contra ataques é resultado da natureza global da rede da Cloudflare, auxiliada pela capacidade de restringir o tráfego de ataques aos países de origem. E uma rede que permanece on-line tem menos probabilidade de lidar com invasões de rede e perda de dados que são frequentemente conectadas a ataques DDoS bem-sucedidos.
Segurança Zero Trust para redes corporativas
Algumas das maiores violações de dados nos últimos anos aconteceram como resultado de algo bastante simples, um invasor usa um e-mail de phishing ou de engenharia social para fazer um funcionário de uma empresa visitar um site que infecta o computador do funcionário com malware, ou inserir suas credenciais em um site falso que permite que o malfeitor capture as credenciais e as use para se passar pelo funcionário e fazer login nos sistemas de uma empresa. Dependendo do tipo de informação comprometida, esses tipos de violação de dados podem ter um grande impacto na privacidade dos indivíduos. Por esse motivo, a Cloudflare investiu em várias tecnologias projetadas para proteger as redes corporativas e os dados pessoais nessas redes.
Como observamos durante nossa recente CIO Week, o último relatório de crimes na internet do FBI mostra que o comprometimento de e-mail corporativo e o comprometimento de conta de e-mail, um subconjunto de campanhas de phishing maliciosas, são os mais caros, com empresas americanas perdendo quase US$ 2,4 bilhões. A Cloudflare investiu em várias soluções Zero Trust para ajudar a combater esse problema:
- Isolamento de link significa que, quando um funcionário clicar em um link em um e-mail, ele será aberto automaticamente usando a tecnologia de Isolamento do navegador remoto da Cloudflare, que isola links, downloads ou outros ataques de dia zero potencialmente perigosos, impedindo que afetem o computador desse usuário e a rede corporativa mais ampla.
- Com nossas ferramentas de prevenção contra perda de dados, as empresas podem identificar e parar a exfiltração de dados.
- Nossa solução Area 1 identifica tentativas de phishing, e-mails contendo código malicioso e e-mails contendo cargas de ransomware e evita que cheguem à caixa de entrada de funcionários desavisados.
Essas ferramentas Zero Trust, combinadas com o uso de chaves de hardware para autenticação multifator, foram essenciais para a capacidade da Cloudflare de evitar uma violação por um ataque de phishing por SMS que teve como alvo mais de 130 empresas em julho e agosto de 2022. Muitas dessas empresas relataram a divulgação de informações pessoais do cliente como resultado de funcionários serem vítimas desse esforço de phishing por SMS.
Lembra da vulnerabilidade Atlassian Confluence RCE que mencionamos anteriormente? A Cloudflare permaneceu protegida não apenas devido à rápida atualização de nossas regras WAF, mas também porque usamos nossa própria solução Cloudflare Access (parte de nosso pacote Zero Trust) para garantir que apenas indivíduos com credenciais da Cloudflare pudessem acessar nossos sistemas internos. O Cloudflare Access verificou todas as solicitações feitas a um aplicativo Confluence para garantir que elas vinham de um usuário autenticado.
Todas essas soluções Zero Trust exigem aprendizado de máquina sofisticado para detectar padrões de atividade maliciosa, e nenhuma delas exige que os dados sejam armazenados em um local específico para mantê-los seguros. Frustrar esses tipos de ameaças de segurança não é importante apenas para proteger as redes internas das organizações contra invasões, é essencial para manter conjuntos de dados em grande escala privados para o benefício de milhões de indivíduos.
Tecnologias de ponta
Os serviços de segurança da Cloudflare permitem que nossos clientes rastreiem riscos de segurança cibernética na rede da Cloudflare antes que esses riscos cheguem à rede interna do cliente. Isso ajuda a protege-los e seus dados contra várias ameaças cibernéticas. Ao fazer isso, os serviços da Cloudflare estão cumprindo essencialmente uma função de aprimoramento da privacidade. Desde o início, construímos nossos sistemas para garantir que os dados sejam mantidos privados, até mesmo para nós, e assumimos políticas públicas e compromissos contratuais sobre como manter esses dados privados e seguros. Mas, além de proteger nossa rede para o benefício de nossos clientes, investimos pesadamente em novas tecnologias que visam proteger as comunicações contra malfeitores; olhares indiscretos de provedores ou outras máquinas man-in-the-middle que podem achar suas comunicações na internet de interesse para fins publicitários; ou entidades governamentais que possam querer reprimir os indivíduos que exercem sua liberdade de expressão.
Por exemplo, a Cloudflare opera parte do sistema iCloud Private Relay da Apple, o que garante que nenhuma parte que manipule os dados do usuário tenha informações completas sobre quem é o usuário e o que ele está tentando acessar. Em vez disso, o endereço de IP original de um usuário é visível para a rede de acesso (por exemplo, a cafeteria em que você está sentado ou seu provedor doméstico) e o primeiro retransmissor (operado pela Apple), mas o nome do servidor ou site é criptografado e não fica visível para qualquer um. O primeiro retransmissor entrega dados criptografados para um segundo retransmissor (por exemplo, a Cloudflare), mas não consegue ver “dentro” do tráfego para Cloudflare. E os retransmissores operados pela Cloudflare sabem apenas que estão recebendo tráfego de um usuário de retransmissão privada, mas não especificamente quem ou o endereço de IP do cliente. Os retransmissores da Cloudflare encaminham o tráfego para o servidor de destino.
E, é claro, qualquer post sobre como as medidas de segurança permitem maior privacidade de dados seria negligente se não mencionasse o resolvedor público 1.1.1.1 que prioriza a privacidade da Cloudflare. Ao usar o 1.1.1.1, os indivíduos podem pesquisar na internet sem que seus provedores vejam o que acessam. Ao contrário da maioria dos resolvedores de DNS, o 1.1.1.1 não vende dados do usuário para anunciantes.
Juntas, essas várias tecnologias e medidas de segurança protegem a privacidade dos dados pessoais contra vários tipos de ameaças, publicidade comportamental, ataques man-in-the-middle, códigos maliciosos e muito mais. Neste Dia da privacidade de dados de 2023, pedimos aos reguladores que reconheçam que a ênfase atualmente colocada na localização dos dados talvez tenha ido longe demais e excluiu os muitos benefícios que as transferências de dados internacionais podem ter para a segurança dos dados e, portanto, para a privacidade dos dados.