É seguro levar nossos dados para a nuvem ou devemos mantê-los em nosso próprio servidor?

Quando se fala de um novo software, de um assistente de atendimento ou de um sistema de agendamento, uma pergunta aparece com frequência: "Onde nossos dados vão ficar, na nuvem? A nuvem é segura?" É uma pergunta pertinente. Mas, muitas vezes, ela se concentra no ponto errado: em qual prédio os dados ficam fisicamente. O que determina se um dado está seguro não é tanto a sua localização, e sim quem o protege, quem consegue abri-lo e como ele volta caso se perca.

Servidor próprio e nuvem: onde está a diferença real?

Quando se diz "nosso próprio servidor", na maioria das vezes se quer dizer um computador num canto do escritório ou um servidor alugado de uma empresa de hospedagem. Já a "nuvem" são servidores que funcionam no data center de um grande provedor de infraestrutura. A diferença entre os dois aparece nestes pontos:

• Proteção física. O servidor no escritório está exposto a incêndio, inundação, queda de energia e roubo. Os data centers têm medidas específicas para esses riscos.
• Atualização e manutenção. No seu próprio servidor, alguém precisa fazer regularmente as atualizações do sistema operacional e dos programas. Uma atualização não feita significa uma falha conhecida esperando na porta.
• Controle. No seu próprio servidor, tudo está nas suas mãos; isso é ao mesmo tempo uma vantagem e um peso. Na nuvem, o provedor gerencia parte da infraestrutura, e você gerencia a parte que cabe a você.

Em resumo, servidor próprio significa "nós mesmos protegemos"; mas, se não houver alguém que realmente faça isso, os dados podem não estar tão protegidos quanto se imagina.

Quem protege o quê? Responsabilidade compartilhada

Na nuvem, a segurança é dividida entre duas partes. O provedor protege o prédio, o hardware e a infraestrutura básica. Já a conta, as senhas, quem pode ver qual arquivo, o próprio aplicativo e o controle dos backups costumam ser gerenciados pelo cliente ou pela empresa de software que trabalha em nome dele. Boa parte dos vazamentos de dados não vem da quebra da infraestrutura, e sim de um link de compartilhamento mal configurado, de uma senha fraca ou compartilhada, ou da conta não desativada de alguém que saiu da empresa. Esses erros podem acontecer da mesma forma na nuvem e no servidor próprio.

Backup: a metade mais esquecida da segurança

Segurança não é só impedir que alguém mal-intencionado chegue aos dados; é também evitar que os dados se percam. Um disco pode estragar, um funcionário pode apagar uma pasta por engano, um ransomware pode bloquear os arquivos. Nesses casos, a única salvação é um backup feito regularmente e guardado em outro lugar. As perguntas a fazer são estas:

• Com que frequência o backup é feito?
• O backup é guardado separado do lugar onde estão os dados originais?
• Por quanto tempo os backups são mantidos?
• Quando foi a última vez que se testou a restauração a partir do backup?

A última pergunta é especialmente importante: um backup nunca testado é um backup cujo funcionamento não foi comprovado. Nos produtos da URİKEM, deixamos claro na seção de segurança de dados onde ficam os registros de clientes, agendamentos e do assistente, com que frequência são copiados e por quanto tempo são mantidos.

Acesso: quem consegue ver os dados?

Tão importante quanto onde os dados ficam é quem consegue abri-los. Num sistema em que todos entram com o mesmo nome de usuário, não se sabe quem alterou o quê. Numa boa organização, cada pessoa tem sua própria conta, cada um vê apenas os dados necessários para o seu trabalho, o acesso de quem sai da empresa é encerrado no mesmo dia e, se possível, pede-se uma segunda etapa de verificação no login. A mesma lógica vale para o site e para os painéis de administração; manter o site atualizado, monitorado e com backup faz parte desse trabalho. Explicamos como fazemos isso no nosso produto de manutenção e segurança de sites.

Quando a inteligência artificial entra em cena

Numa ferramenta que funciona com inteligência artificial, surge uma pergunta a mais: o que acontece quando o texto é enviado ao serviço de inteligência artificial? Tratamos esse tema separadamente no artigo a inteligência artificial aprende com os seus dados?. Em resumo: os dados enviados devem ser reduzidos ao mínimo, o contrato deve dizer se o provedor do serviço usa ou não os dados para treinar modelos e, se os dados forem transferidos para o exterior, isso exige, no que diz respeito aos dados pessoais, informação e consentimento específicos.

Perguntas a fazer antes de decidir

• Em que país e na infraestrutura de qual provedor os dados ficam?
• Quem gerencia a infraestrutura e quem gerencia o aplicativo e as contas?
• Com que frequência e para onde o backup é feito, e por quanto tempo é mantido?
• Quem tem acesso e como o acesso é encerrado?
• Se o serviço terminar, em que formato recebemos os dados de volta?

Pontos de atenção

Não tome a decisão com base em frases genéricas como "a nuvem é segura" ou "o nosso próprio servidor é mais seguro". As duas opções são seguras quando bem gerenciadas e arriscadas quando negligenciadas. Se você trata dados pessoais, onde os dados ficam e se são transferidos para o exterior também importa do ponto de vista da KVKK (a lei turca de proteção de dados pessoais); sobre isso, peça a opinião do seu próprio assessor jurídico. Peça por escrito à empresa de software com que trabalha as respostas às perguntas acima; uma empresa que não consegue respondê-las talvez também não saiba como protege os seus dados.

Perguntas frequentes

A nuvem é mais segura do que o nosso próprio servidor?

Não por si só. O provedor de nuvem protege a infraestrutura física; as contas, as senhas, as permissões de acesso e o controle dos backups continuam sob a responsabilidade sua ou da sua empresa de software. As duas opções, bem gerenciadas, podem ser seguras.

O que devemos fazer para fazer backup dos nossos dados?

Certifique-se de que o backup é feito regularmente, guardado num lugar separado dos dados originais e mantido por um período definido. O mais importante é testar de fato, de vez em quando, a restauração a partir do backup.

Se deixarmos o serviço, podemos receber nossos dados de volta?

Esse é um ponto que deve estar escrito no contrato desde o início. Antes de começar, pergunte em que formato (por exemplo, Excel ou CSV) os dados serão entregues quando o serviço terminar e como serão apagados depois.