Dicas de conformidade de cópias de segurança para transformar requisitos legais em vantagens comerciais

A forma como gere os seus dados de cópia de segurança é tão importante como a existência de cópias de segurança.

Os seus ficheiros de cópia de segurança são cópias de todos os seus dados activos, o que significa que estão abrangidos pelas mesmas leis de privacidade, regulamentos de segurança e normas da indústria.

Nesta publicação do blogue, vou explicar-lhe tudo o que precisa de saber sobre a conformidade das cópias de segurança.

Aprenderá:

• O que significa a conformidade das cópias de segurança e como se aplica à sua empresa
• Principais requisitos legais do GDPR, CCPA, HIPAA e outros regulamentos importantes
• Medidas essenciais de conformidade de cópias de segurança, como encriptação e controlos de acesso
• Como criar políticas de retenção e eliminação de dados em conformidade
• Passos práticos para testar, documentar e auditar os seus sistemas de cópia de segurança
• Uma lista de verificação de conformidade completa que pode implementar imediatamente

Índice

O que é a conformidade das cópias de segurança?

A conformidade da cópia de segurança significa que a sua estratégia de cópia de segurança segue todas as regras legais e do sector que se aplicam aos seus dados.

Quando cria uma cópia de segurança, está a fazer uma cópia exacta dos dados do seu sítio Web ativo. Se o seu sítio Web ativo contiver informações pessoais, registos financeiros ou dados de saúde, as suas cópias de segurança conterão essas mesmas informações sensíveis.

A lei não quer saber se os dados estão "activos" ou "com cópia de segurança". Os dados sensíveis são dados sensíveis, independentemente do local onde se encontram.

Isto significa que as suas cópias de segurança devem seguir as mesmas leis de privacidade, normas de segurança e regulamentos do sector que o seu sítio Web principal. Não pode simplesmente despejar os ficheiros de cópia de segurança em qualquer lugar e dar por terminado o processo.

A conformidade das cópias de segurança abrange todo o ciclo de vida dos seus dados de cópia de segurança. Desde o momento em que cria um ficheiro de cópia de segurança até ao dia em que o elimina permanentemente, cada passo tem de seguir as regras.

Isso inclui:

• Como criar cópias de segurança
• Onde os armazena
• Quem pode aceder a eles
• Quanto tempo os guarda
• Como os apagar de forma segura quando já não são necessários

Aspectos fundamentais da conformidade da cópia de segurança

A conformidade das cópias de segurança é um conjunto de requisitos que funcionam em conjunto para proteger os seus dados e mantê-lo em conformidade com a lei. Compreender estes aspectos fundamentais ajudá-lo-á a criar uma estratégia de cópia de segurança que cubra todas as bases.

Conformidade regulamentar

A sua estratégia de cópia de segurança deve seguir as leis baseadas no local onde os seus utilizadores estão localizados e não apenas no local onde a sua empresa se encontra.

Se tem visitantes da Europa, o RGPD aplica-se às suas cópias de segurança. Clientes da Califórnia? As regras da CCPA entram em ação. A localização dos seus utilizadores determina quais os regulamentos que tem de seguir.

Não se preocupe, explicarei estes requisitos legais em pormenor mais adiante neste tutorial.

Segurança dos dados

Há duas coisas que são mais importantes neste caso: encriptação e controlos de acesso.

Os seus dados de cópia de segurança devem ser encriptados quando se deslocam para o armazenamento (em trânsito) e quando se encontram no armazenamento (em repouso). Sem encriptação, os seus ficheiros de cópia de segurança podem ser lidos por qualquer pessoa que lhes aceda.

Os controlos de acesso significam seguir o princípio do menor privilégio. Apenas as pessoas que necessitam absolutamente de acesso aos ficheiros de cópia de segurança o devem ter. Todos os outros devem ser bloqueados.

Conservação de dados

É necessário manter as cópias de segurança durante o tempo suficiente para satisfazer as necessidades da empresa. No entanto, também precisa de as apagar eventualmente para respeitar os direitos de privacidade.

Uma política de retenção formal não é opcional. São necessárias regras escritas que especifiquem exatamente durante quanto tempo os diferentes tipos de cópias de segurança são mantidos e quando são eliminados.

RTO e RPO

O objetivo de tempo de recuperação (RTO) é a rapidez com que precisa de voltar a estar online após um desastre. O objetivo de ponto de recuperação (RPO) é a quantidade de perda de dados que pode aceitar.

Ambos os números afectam a sua conformidade porque determinam a rapidez com que pode restabelecer os serviços e a quantidade de dados dos clientes que podem estar em risco durante uma interrupção.

Testes e validação

Deve testar regularmente as suas cópias de segurança, restaurando-as efetivamente. Isto prova que o seu sistema de cópias de segurança funciona e que pode cumprir os seus compromissos de RTO e RPO.

Documentar todos os testes. Se for auditado, precisará de provas de que o seu sistema de cópia de segurança funciona efetivamente como pretendido.

Documentação

Tudo precisa de ser documentado. As suas políticas de cópia de segurança, resultados de testes, calendários de retenção, medidas de segurança -tudo.

Se os auditores vierem, vão querer ver provas de que está realmente a seguir as regras e não apenas a afirmar que o faz.

Armazenamento em nuvem

A utilização de um fornecedor de serviços na nuvem não o torna automaticamente compatível. Continua a ser responsável por configurar tudo corretamente.

Isto significa configurar a encriptação, escolher as opções de residência de dados corretas e escolher um fornecedor com as certificações de segurança adequadas ao seu sector.

O fornecedor da nuvem trata da infraestrutura, mas a responsabilidade pela conformidade continua a ser sua.

Que regulamentos de dados deve conhecer?

Regulamentos diferentes têm regras diferentes, mas todas elas afectam a forma como lida com os dados de cópia de segurança. Eis as principais que deve conhecer para a sua empresa:

• RGPD: Lei europeia sobre privacidade com requisitos de "direito a ser esquecido
• CCPA/CPRA: Leis de privacidade da Califórnia com direitos de eliminação de dados
• HIPAA: Proteção de dados de cuidados de saúde nos EUA com normas de encriptação rigorosas
• PCI DSS: Requisitos de segurança dos dados do cartão de crédito
• PIPEDA: lei canadiana sobre a privacidade com salvaguardas de segurança
• Diretiva NIS2: Requisitos de cibersegurança da UE
• DORA: Normas de resiliência operacional dos serviços financeiros da UE

RGPD

O Regulamento Geral sobre a Proteção de Dados (RGPD) é a lei de privacidade mais abrangente da Europa. Aplica-se a qualquer empresa que processe dados pessoais de residentes na UE, independentemente da localização da sua empresa.

Há duas coisas que são mais importantes para as suas cópias de segurança: o "direito ao apagamento" (também chamado "direito a ser esquecido") e os requisitos de residência dos dados.

Quando alguém pede para apagar os seus dados pessoais, não pode simplesmente apagar os dados do seu sítio Web ativo e dar o assunto por terminado. Também precisa de um processo documentado para tratar os dados pessoais em todos os seus ficheiros de cópia de segurança.

É necessária uma política de retenção razoável que elimine automaticamente as cópias de segurança antigas que contêm os seus dados dentro de um período de tempo específico. Não pode manter dados pessoais em cópias de segurança indefinidamente só porque é conveniente.

A outra parte, a residência dos dados, torna-se complicada com as cópias de segurança.

O RGPD exige geralmente que os dados pessoais da UE permaneçam na UE ou em países que a Comissão Europeia tenha considerado como tendo uma proteção de dados adequada. Isto significa que tem de saber exatamente onde os seus ficheiros de cópia de segurança estão fisicamente armazenados e garantir que essas localizações cumprem os requisitos do RGPD.

CCPA/CPRA

A Lei da Privacidade do Consumidor da Califórnia (CCPA) e a sua sucessora, a Lei dos Direitos de Privacidade da Califórnia (CPRA), conferem aos residentes da Califórnia direitos específicos sobre as suas informações pessoais. Estas leis aplicam-se se o utilizador recolher informações pessoais de residentes na Califórnia.

Tal como o RGPD, isto afecta a sua política de retenção de cópias de segurança. Quando alguém solicita a eliminação, é necessário um processo claro para tratar o pedido em todo o armazenamento de dados, incluindo as cópias de segurança.

A CCPA permite que as empresas mantenham informações pessoais em cópias de segurança para "utilizações internas razoavelmente alinhadas com as expectativas dos consumidores". No entanto, continua a ser necessário adotar políticas claras sobre o período de conservação dos dados de cópia de segurança e sobre o momento em que são permanentemente eliminados.

A CPRA introduziu o conceito de "informações pessoais sensíveis", que inclui dados precisos de geolocalização, origem racial ou étnica, crenças religiosas e identificadores biométricos.

Estes dados têm requisitos de tratamento mais rigorosos que se estendem ao armazenamento de cópias de segurança. São necessárias medidas de segurança reforçadas para ficheiros de cópia de segurança que contenham informações pessoais sensíveis e os consumidores têm direitos adicionais para limitar a forma como estes dados são utilizados.

HIPAA

O Health Insurance Portability and Accountability Act (HIPAA) protege as informações de saúde nos Estados Unidos. Se o seu sítio Web lida com informações de saúde protegidas (PHI), como registos de pacientes, informações de seguros de saúde ou mesmo dados básicos relacionados com a saúde, a conformidade com a HIPAA é obrigatória.

Os requisitos de cópia de segurança da HIPAA são particularmente rigorosos. Todas as PHI nos ficheiros de cópia de segurança devem ser encriptadas utilizando a encriptação validada FIPS 140-2. Também é necessário um registo para controlar quem acede aos dados de cópia de segurança e quando.

Os Acordos de Associados Comerciais (BAAs) são necessários com qualquer fornecedor terceiro que possa ter acesso aos seus dados de cópia de segurança. Isto inclui o seu fornecedor de armazenamento na nuvem, o fornecedor de serviços de cópia de segurança e até a sua empresa de alojamento, caso possam aceder aos seus ficheiros de cópia de segurança.

O regulamento também exige procedimentos específicos de retenção e eliminação de dados. São necessárias políticas documentadas sobre o período de conservação dos dados de cópia de segurança que contêm PHI e procedimentos de eliminação segura.

PCI DSS

A Norma de Segurança de Dados da Indústria de Cartões de Pagamento (PCI DSS) aplica-se se armazenar, processar ou transmitir informações de cartões de crédito. Mesmo que utilize um processador de pagamentos, os requisitos da PCI DSS estendem-se frequentemente aos dados de cópia de segurança que possam conter informações do titular do cartão.

Todos os ficheiros de cópia de segurança que contenham números de cartões de crédito, datas de validade ou nomes de titulares de cartões devem ser encriptados com criptografia forte. A norma exige a encriptação AES com um comprimento mínimo de chave de 128 bits.

O PCI DSS também exige a gestão segura de chaves para a encriptação de cópias de segurança. As chaves de encriptação devem ser armazenadas separadamente dos dados de cópia de segurança encriptados e protegidas com fortes controlos de acesso.

Só pode manter os dados do titular do cartão durante o tempo necessário para fins comerciais ou legais. A sua política de retenção de cópias de segurança deve estar em conformidade com estes requisitos e incluir procedimentos de eliminação seguros.

PIPEDA

A Lei de Proteção de Informações Pessoais e Documentos Electrónicos do Canadá (PIPEDA) rege a forma como as organizações do sector privado recolhem, utilizam e divulgam informações pessoais durante actividades comerciais.

A PIPEDA exige "salvaguardas de segurança adequadas" para as informações pessoais, o que se estende aos dados de cópia de segurança. A lei não especifica requisitos técnicos exactos, mas exige que as medidas de segurança sejam adequadas à sensibilidade das informações.

Para a conformidade da cópia de segurança, isto significa implementar encriptação razoável, controlos de acesso e políticas de retenção com base no tipo de informações pessoais que está a proteger.

A lei também inclui requisitos de notificação de violação. Se os dados de segurança que contêm informações pessoais forem comprometidos, poderá ser necessário notificar o Comissário para a Proteção da Privacidade e as pessoas afectadas.

Diretiva NIS2

A Diretiva Segurança das Redes e da Informação (NIS2) actualizada alarga significativamente os requisitos de cibersegurança para os sítios Web em toda a União Europeia.

A NIS2 aborda especificamente a continuidade das actividades e a recuperação de desastres. É necessário utilizar sistemas adequados de cópia de segurança e recuperação como parte da gestão global dos riscos de cibersegurança.

O regulamento exige testes regulares dos sistemas de cópia de segurança e dos procedimentos de resposta a incidentes. São necessárias provas documentais de que os seus processos de cópia de segurança e recuperação funcionam e podem cumprir os seus objectivos de continuidade da atividade.

Os incidentes cibernéticos significativos devem ser comunicados às autoridades no prazo de 24 horas, o que significa que o seu sítio tem de suportar uma resposta rápida a incidentes.

DORA

A Lei da Resiliência Operacional Digital (DORA) visa os serviços financeiros na União Europeia, exigindo que as entidades financeiras mantenham a resiliência operacional contra os riscos das TIC (Tecnologias da Informação e da Comunicação).

Para este regulamento, as instituições financeiras devem demonstrar que podem manter funções críticas durante e após interrupções operacionais.

O regulamento exige a realização de testes regulares aos sistemas de salvaguarda através de vários cenários, incluindo ciberataques e falhas do sistema. Estes testes devem ser documentados e comunicados às autoridades de controlo.

A gestão de riscos de terceiros ao abrigo do DORA também afecta a conformidade das cópias de segurança. Se utiliza armazenamento na nuvem ou fornecedores de serviços de cópia de segurança, tem de garantir que estes cumprem as normas da DORA.

Quais são as vantagens de manter as suas cópias de segurança em conformidade?

Acabei de vos apresentar uma série de leis, mas a conformidade com as cópias de segurança não serve apenas para evitar problemas. Se for bem feita, torna a sua empresa mais forte.

Os clientes preocupam-se com a forma como lida com os seus dados. Quando sabem que leva a proteção de dados a sério (incluindo nas suas cópias de segurança), é mais provável que lhe confiem o seu negócio.

Isto torna-se uma vantagem competitiva. Enquanto os seus concorrentes se esforçam por resolver problemas de conformidade a posteriori, pode concentrar-se no crescimento do seu negócio.

Além disso, as sanções regulamentares podem ser enormes. As multas do GDPR podem chegar a 4% da sua receita global anual. As violações da HIPAA podem custar centenas de milhares de dólares por incidente.

Uma estratégia de salvaguarda em conformidade ajuda-o a evitar estes golpes financeiros, mantendo-o do lado correto da lei desde o primeiro dia.

Quando ocorrer uma catástrofe, a recuperação será mais rápida porque os seus sistemas estão documentados, os seus processos estão comprovados e a sua equipa sabe exatamente o que fazer.

O cumprimento dos requisitos de conformidade obriga-o a compreender realmente quais os dados que possui e onde se encontram.

Esta visibilidade melhorada reduz o risco em toda a sua empresa e não apenas nos seus sistemas de cópia de segurança. Irá detetar potenciais problemas mais cedo e tomar melhores decisões sobre o tratamento de dados.

Lista de verificação da conformidade da cópia de segurança

Eis o seu roteiro prático para a conformidade das cópias de segurança.

Conheça os seus dados

Comece com uma auditoria completa dos dados que recolhe e armazena.

Crie um inventário de dados que documente todos os tipos de informação que o seu sítio Web processa. Isto inclui coisas óbvias como dados de registo do utilizador e submissões de formulários de contacto, mas também dados menos óbvios como registos do servidor, registos de erros, conteúdo em cache e ficheiros temporários.

Classifique tudo por nível de sensibilidade. As informações pessoais, os dados financeiros e os registos de saúde necessitam de diferentes níveis de proteção.

Utilize categorias como "público", "interno", "confidencial" e "restrito" para organizar a classificação dos seus dados.

Identifique onde estes dados se encontram no seu sistema. Verifique as tabelas da base de dados, os diretórios de ficheiros carregados, os ficheiros de registo, os dados em cache, o armazenamento de sessões e quaisquer integrações de terceiros.

Não se esqueça dos dados que podem estar armazenados em locais inesperados, como índices de pesquisa ou plataformas de análise.

Documente os fluxos de dados para compreender como as informações circulam no seu sistema. Os dados pessoais enviados através de um formulário de contacto podem acabar na sua base de dados, sistema de correio eletrónico, CRM e ficheiros de cópia de segurança. É necessário acompanhar todos estes pontos de contacto.

Preste especial atenção aos requisitos de retenção de dados para diferentes tipos de informação. Alguns dados podem ter de ser mantidos por razões legais (como registos financeiros), enquanto outros devem ser eliminados assim que deixem de ser necessários (como dados de sessões temporárias).

Definir a sua política de retenção

Anote o objetivo de tempo de recuperação e o objetivo de ponto de recuperação. Estes números orientam tudo o resto na sua estratégia de cópia de segurança.

O seu RTO deve refletir as necessidades reais do negócio. Se o facto de o seu site de comércio eletrónico estar em baixo durante quatro horas lhe custar 10.000 dólares em vendas perdidas, o seu RTO tem de ser muito mais curto do que quatro horas. Seja realista quanto ao que pode conseguir com os seus recursos actuais.

O seu RPO determina a frequência com que precisa de criar cópias de segurança. Se só se pode dar ao luxo de perder uma hora de dados, precisa de cópias de segurança pelo menos de hora a hora.

Tenha em conta o tempo que demora a restaurar uma cópia de segurança ao calcular o seu RPO.

Crie um calendário de retenção formal que especifique exatamente durante quanto tempo são mantidos os diferentes tipos de cópias de segurança. Os seus períodos de retenção devem equilibrar os requisitos de conformidade, os custos de armazenamento e as necessidades de recuperação.

Eis um exemplo de política de retenção de cópias de segurança: Os backups diários são mantidos por 30 dias, os backups semanais por 12 semanas e os backups mensais por 12 meses.

Utilizar controlos de acesso

Definir controlos de acesso e processos de aprovação para cópias de segurança.

Quem pode criar cópias de segurança? Quem pode aceder aos ficheiros de cópia de segurança? Quem pode restaurar uma cópia de segurança? Que aprovação é necessária para cada tipo de acesso?

Uma ferramenta como o Duplicator pode tornar estas regras específicas. Trata-se de um plug-in de cópia de segurança que inclui controlos de acesso personalizáveis. Isto ajuda-o a decidir quem pode aceder, criar ou restaurar cópias de segurança.

Inclua procedimentos de resposta a incidentes na sua política.

O que acontece se os dados de cópia de segurança forem comprometidos? Quem é notificado? Que medidas devem ser tomadas para conter a violação e notificar as partes afectadas?

Com o Duplicator, pode automatizar as políticas de retenção. Elimina automaticamente as cópias de segurança antigas de acordo com o calendário especificado, para que não tenha de as gerir manualmente.

Escolha um armazenamento compatível

Escolha um fornecedor de armazenamento com base nas suas certificações de segurança e capacidades de conformidade, e não apenas no preço.

Certifique-se de que pode manter os dados nas localizações geográficas corretas para os seus requisitos de conformidade. Alguns fornecedores oferecem opções de armazenamento específicas por região, enquanto outros podem replicar dados em vários países sem controlos claros.

Verifique se o seu fornecedor oferece as funcionalidades de encriptação e controlo de acesso de que necessita. Procure encriptação AES-256, serviços de gestão de chaves e integração com sistemas de gestão de identidade e acesso.

Analise os procedimentos de resposta a incidentes e de notificação de violações do fornecedor. Com que rapidez o notificarão se houver um incidente de segurança? Que informações serão fornecidas? Como é que o fornecedor irá apoiar as suas próprias obrigações de notificação de violações?

O Duplicator integra-se com mais de uma dúzia de fornecedores de armazenamento seguro na nuvem, incluindo opções que cumprem vários requisitos de conformidade.

Proteja as suas cópias de segurança

Ativar a encriptação para dados em trânsito e em repouso. Utilizar normas de encriptação fortes - AES-256 é a melhor prática atual.

O Duplicator Pro pode encriptar todos os ficheiros de cópia de segurança com encriptação AES-256, tanto durante a transferência como durante o armazenamento, eliminando as dúvidas.

As chaves de encriptação devem ser armazenadas separadamente dos dados de cópia de segurança encriptados e protegidas com fortes controlos de acesso. Considere a possibilidade de utilizar um serviço de gestão de chaves dedicado ou módulos de segurança de hardware para dados sensíveis.

Configure controlos de acesso abrangentes utilizando ferramentas de Gestão de Identidade e Acesso (IAM). Implementar o princípio do menor privilégio - os utilizadores só devem ter acesso aos dados de cópia de segurança específicos de que necessitam.

Configure a monitorização e os alertas para o acesso ao backup. Deve receber notificações quando os dados de cópia de segurança são acedidos, quando são criadas novas cópias de segurança e quando são efectuadas quaisquer alterações de configuração nos sistemas de cópia de segurança.

Se utilizar o Duplicator para gerir as cópias de segurança, receberá notificações automáticas de falhas de cópia de segurança.

Além disso, pode configurar resumos regulares por correio eletrónico enviados diretamente para a sua caixa de entrada. Estes incluem todas as suas novas cópias de segurança, localizações de armazenamento e horários.

Duplicator pode enviar-lhe resumos por e-mail todos os dias, semanas ou meses. Saberá exatamente quando os seus sites foram salvaguardados!

Teste regularmente as cópias de segurança

Programe testes de restauro pelo menos trimestralmente. Mais frequentemente é melhor, especialmente para sistemas críticos.

Crie um calendário de testes formal que abranja diferentes tipos de cenários de restauro. Teste restaurações completas do site, restaurações parciais, restaurações somente de banco de dados e restaurações somente de arquivo.

Cada tipo de restauro pode revelar problemas diferentes.

Não teste as restaurações no seu Web site ativo - utilize um servidor de teste ou um ambiente de desenvolvimento que tenha o mesmo sistema operativo, software de servidor Web e versões de bases de dados.

Se precisar de criar um novo site de teste, configure-o localmente com o LocalWP ou o XAMPP. Crie uma cópia de segurança completa do seu sítio Web com o Duplicator.

Faça o download do arquivo de backup. Quando terminar de criar o site de teste local, importe o backup. O Duplicator irá configurar automaticamente uma cópia dos seus dados na área de teste para que possa testá-la.

Meça e documente o desempenho do restauro em relação aos seus objectivos de RTO e RPO. Se os restauros demorarem consistentemente mais tempo do que o RTO permite, é necessário melhorar a estratégia de cópia de segurança ou ajustar os objectivos.

Perguntas mais frequentes (FAQs)

Faça da conformidade uma pedra angular da sua estratégia de cópia de segurança

A conformidade das cópias de segurança consiste em ser intencional e organizado na forma como protege o seu ativo comercial mais valioso: os seus dados.

Quando integra a conformidade na sua estratégia de cópia de segurança desde o início, transforma as cópias de segurança de uma simples tarefa técnica num processo empresarial responsável.

Dormirá melhor sabendo que os seus dados estão protegidos. Os seus clientes confiarão mais em si. E quando ocorrer uma catástrofe, a recuperação será mais rápida e completa.

Mas a realidade é a seguinte: gerir todos estes requisitos de conformidade manualmente é moroso e propenso a erros. Precisa de ferramentas que possam automatizar o trabalho pesado, mantendo-o em conformidade.

O Duplicator Pro pode lidar automaticamente com a complexidade técnica da conformidade. Possui encriptação AES-256, políticas de retenção automatizadas, testes programados e integração perfeita com uma dúzia de fornecedores de armazenamento seguro na nuvem.

Deixe de se preocupar com o facto de as suas cópias de segurança cumprirem os requisitos de conformidade. Deixe o Duplicator Pro tratar dos pormenores técnicos para que se possa concentrar no crescimento do seu negócio com confiança.

Já que está aqui, penso que vai gostar destes outros recursos escolhidos a dedo:

• Estratégias de redundância de cópias de segurança de sítios Web + porque é que a localização é importante
• Por que seu site WordPress precisa de monitoramento de backup (não apenas de backups)
• Como proteger as suas cópias de segurança contra ransomware
• PARE de cometer estes erros de cópia de segurança do sítio Web
• Regra de backup 3-2-1: O que os proprietários de sites bem-sucedidos sabem que você não sabe