Uma grande seguradora descobriu, durante a investigação de uma violação, que os dados comprometidos incluíam registros de onze anos atrás, muito além do período de retenção de dados declarado pelo fornecedor. A origem não era o banco de dados de produção. Era um repositório de backup automatizado que vinha acumulando snapshots desde o início do relacionamento com o fornecedor e nunca havia sido submetido a uma política de retenção, a uma revisão de acesso ou a qualquer dos controles de segurança aplicados ao ambiente de produção. Os backups ficavam armazenados em outra região de nuvem, eram acessados por um conjunto separado de contas de serviço e nunca apareceram em nenhuma avaliação feita pelo cliente. O ambiente de produção do fornecedor era bem governado. Seu ambiente de backup era um arquivo de onze anos de dados de clientes guardado em um armazenamento, na prática, sem governança. A violação não mirou o que o fornecedor estava protegendo. Mirou o que o fornecedor havia esquecido.
O que é, de fato, a exposição do armazenamento de backups de fornecedores?
A exposição do armazenamento de backups de fornecedores é o risco que surge quando um fornecedor mantém cópias de backup de dados de clientes sob controles de segurança mais fracos, menos monitorados e governados com menos rigor do que o ambiente de produção principal avaliado durante a diligência devida do fornecedor. Não é uma categoria de risco exótica: é uma consequência estrutural de como os sistemas de backup costumam ser arquitetados e governados. Os ambientes de produção recebem atenção de segurança porque são a face do sistema: são o que é testado, monitorado e avaliado. Os ambientes de backup existem para cumprir uma função de recuperação, e essa perspectiva operacional tende a deixar em segundo plano as disciplinas de segurança que protegem os dados de produção.
A exposição é agravada por várias características comuns às arquiteturas de backup. Os backups acumulam dados ao longo do tempo sem necessariamente aplicar as mesmas políticas de exclusão e retenção dos sistemas de produção: dados eliminados da produção em conformidade com um período contratual de retenção podem persistir indefinidamente em snapshots de backup. O armazenamento de backups costuma ser provisionado em regiões geográficas ou contas separadas para fins de recuperação de desastres, o que significa que pode ficar fora do escopo dos controles de segurança, das revisões de acesso e do monitoramento configurados para o ambiente principal. E os sistemas de backup são frequentemente acessados por processos automatizados que usam contas de serviço com permissões amplas e raramente estão sujeitas à mesma governança do acesso humano aos dados de produção.
O que torna isso particularmente relevante nos relacionamentos com fornecedores é a lacuna de escopo que cria na diligência devida. Uma avaliação padrão de fornecedores examina os controles de segurança do fornecedor para o ambiente que ele apresenta: seus sistemas de produção, sua conta principal de nuvem, sua infraestrutura documentada. O armazenamento de backups raramente é apresentado, raramente é objeto de perguntas e raramente é incluído no escopo de certificações de conformidade como o SOC 2, a menos que o fornecedor defina especificamente o escopo de sua auditoria para incluí-lo. Um fornecedor com um SOC 2 sem ressalvas cobrindo seu ambiente de produção pode ter um armazenamento de backups com anos de dados de clientes que nunca estiveram no escopo de nenhuma avaliação de segurança já realizada por alguém.
O risco do armazenamento de backups de fornecedores se concentra em cinco padrões de falha específicos:
- Padrões de criptografia mais fracos no armazenamento de backups: dados de produção criptografados com chaves gerenciadas pelo cliente, enquanto os snapshots de backup usam chaves gerenciadas pelo provedor ou nenhuma criptografia, criando um modelo de proteção assimétrico
- Acesso mais amplo do que em produção: sistemas de backup acessados por contas de serviço ou usuários administrativos com permissões que abrangem dados de vários clientes, sem os controles de acesso granulares aplicados aos sistemas de produção
- Lacunas na política de retenção: dados de produção excluídos conforme requisitos contratuais ou regulatórios, enquanto os snapshots de backup continuam se acumulando, criando um repositório de dados paralelo sem data de término da retenção governada
- Excluído do escopo de conformidade: ambientes de backup não incluídos no escopo da auditoria SOC 2, no escopo dos testes de intrusão nem nas avaliações internas de segurança, permanecendo totalmente sem exame
- Nenhum monitoramento ou alerta: o acesso ao armazenamento de backups não é registrado, revisado nem gera alertas, o que significa que o acesso não autorizado aos dados de backup não gera nenhum sinal de detecção
Por que isso importa
O armazenamento de backups é para onde os dados vão para serem esquecidos, não intencionalmente, mas como consequência estrutural de como os sistemas de backup são concebidos e priorizados. Para profissionais de TPRM, isso cria um ponto cego específico na diligência devida: a avaliação de riscos do fornecedor abrange o ambiente que o fornecedor gerencia ativamente e apresenta, enquanto o ambiente de backup, que pode conter um volume maior de dados históricos, sob controles mais fracos e com menos supervisão, fica totalmente sem exame. Os dados nesse ambiente de backup continuam sendo seus dados. As obrigações regulatórias associadas a eles continuam sendo suas obrigações. Os requisitos de notificação de violação, se forem expostos, continuam sendo seus requisitos.
A dimensão da retenção cria um risco regulatório específico que se agrava com o tempo. O direito à eliminação do GDPR, os requisitos de exclusão da CCPA e os limites contratuais de retenção de dados criam obrigações de garantir que os dados de clientes sejam excluídos dentro de prazos definidos. Quando os dados de produção são excluídos conforme esses requisitos, mas os snapshots de backup continuam guardando cópias históricas, a obrigação de exclusão foi cumprida em um lugar e violada em outro. Os reguladores não aceitam a distinção entre produção e backup como motivo válido para o descumprimento da política de retenção: dados são dados, independentemente da camada de armazenamento em que estejam.
Do ponto de vista de um atacante, o armazenamento de backups de fornecedores é um alvo atraente justamente porque costuma ser menos monitorado, ter menos controle de acesso e receber menos correções do que os sistemas de produção, ao mesmo tempo que contém dados de valor equivalente ou maior. Um agente de ameaça que, ao fazer o reconhecimento da infraestrutura de um fornecedor, identifica um repositório de backup com anos de dados de clientes acumulados e controles de acesso mais fracos do que os do ambiente de produção encontrou um alvo ideal. Os controles de segurança do ambiente de produção não protegem o ambiente de backup. Os controles próprios do ambiente de backup, se é que existem, são o que se interpõe entre o atacante e esses dados.
Onde a maioria das equipes erra
A falha mais recorrente é limitar o escopo das avaliações de fornecedores ao ambiente de produção, sem perguntar explicitamente sobre a infraestrutura de backup. A maioria dos questionários de fornecedores pergunta sobre criptografia em repouso, controles de acesso e monitoramento de segurança no contexto dos sistemas principais do fornecedor. Não pergunta se esses controles se aplicam igualmente ao armazenamento de backups, se o armazenamento de backups está no escopo do SOC 2 do fornecedor nem se as políticas de retenção de backups estão alinhadas aos requisitos contratuais de exclusão de dados. A avaliação abrange o ambiente em que o fornecedor mais pensa. O ambiente de backup é aquele em que o fornecedor menos pensa, e é exatamente por isso que é preciso perguntar sobre ele explicitamente.
A segunda falha é tratar os requisitos de retenção de dados como uma preocupação exclusiva da produção. Quando as organizações incluem cláusulas de exclusão de dados nos contratos com fornecedores, exigindo a exclusão dos dados do cliente dentro de um prazo especificado após a rescisão do contrato, essas cláusulas quase nunca são redigidas para incluir explicitamente o armazenamento de backups. Os sistemas de produção do fornecedor são limpos, a confirmação da exclusão é fornecida e os snapshots de backup continuam guardados no armazenamento frio indefinidamente. A obrigação contratual foi cumprida no sentido literal e violada no sentido prático, e ninguém de nenhum dos lados considerou a lacuna.
- Avaliações de fornecedores limitadas aos sistemas de produção, sem perguntas explícitas sobre infraestrutura de backup, controles de acesso ou políticas de retenção
- Cláusulas de exclusão de dados que não incluem explicitamente o armazenamento de backups, criando uma lacuna de conformidade entre a intenção contratual e o ciclo de vida real dos dados
- Presume-se que o escopo do SOC 2 abranja os ambientes de backup quando muitas vezes isso não ocorre: a infraestrutura de backup é frequentemente excluída do escopo da auditoria sem que o cliente saiba
- Nenhum padrão de criptografia especificado para o armazenamento de backups: contratos que exigem criptografia em repouso em produção sem que o mesmo requisito se aplique explicitamente às cópias de backup
- Acesso aos backups não incluído nas revisões de acesso: as contas de serviço e os usuários administrativos com acesso ao armazenamento de backups não estão sujeitos à mesma revisão periódica do acesso de produção
Como é uma boa prática
Uma governança madura dos dados de fornecedores estende ao armazenamento de backups os mesmos requisitos de segurança e conformidade aplicados ao armazenamento de produção, não como uma avaliação separada, mas como uma extensão explícita dos requisitos principais de manuseio de dados. O princípio é simples: todo controle de segurança, requisito de retenção e padrão de governança de acesso aplicável aos dados de produção se aplica igualmente a todas as cópias desses dados, independentemente da camada de armazenamento em que estejam.
- Armazenamento de backups incluído explicitamente nos requisitos de manuseio de dados: contratos que especificam que criptografia, controles de acesso, políticas de retenção e obrigações de exclusão se aplicam às cópias de backup com o mesmo padrão dos dados de produção
- Escopo do SOC 2 confirmado como incluindo a infraestrutura de backup: não presumido, mas confirmado por meio de revisão do escopo com verificação explícita de que os sistemas de backup que manuseiam dados de clientes estão incluídos
- Políticas de retenção de backups alinhadas aos requisitos contratuais de exclusão: a exclusão em produção aciona a eliminação correspondente dos backups em um cronograma definido, com evidências da conclusão da eliminação
- Acesso aos backups governado junto com o acesso de produção: contas de serviço que acessam o armazenamento de backups incluídas nas revisões de acesso, com permissões limitadas à necessidade operacional
- Padrão de criptografia do armazenamento de backups equivalente ao de produção: mesmo padrão de criptografia, mesmo modelo de gestão de chaves e mesmos requisitos de registro de acesso aplicados ao armazenamento de backups e ao armazenamento principal
- Ambientes de backup incluídos no escopo dos testes de intrusão: testes de segurança que abrangem os controles de acesso ao armazenamento de backups, e não apenas os sistemas de produção
Ferramentas
Governar a segurança do armazenamento de backups de fornecedores exige estender à infraestrutura de backup a mesma cobertura de ferramentas aplicada aos sistemas de produção. A lacuna, para a maioria das organizações, não é a disponibilidade de ferramentas (as ferramentas existem), mas a extensão explícita do seu escopo para abranger os ambientes de backup.
Segurança de backups em nuvem: AWS Backup, Azure Backup, GCP Cloud Backup and DR
As principais plataformas de nuvem oferecem serviços nativos de backup com controles de segurança integrados: criptografia, políticas de acesso e registro de auditoria que podem ser aplicados ao armazenamento de backups com o mesmo rigor do armazenamento de produção. Para fins de avaliação de fornecedores, perguntar se um fornecedor usa um serviço gerenciado de backup com controles de segurança integrados, em vez de scripts de backup próprios que depositam snapshots em um armazenamento sem governança, é um sinal significativo de maturidade. Os serviços nativos de backup tornam muito mais fácil aplicar controles de segurança consistentes aos dados de backup.
Gestão da postura de segurança de dados: Varonis, Cyera, Laminar Security
As plataformas de DSPM descobrem e classificam dados sensíveis em todos os ambientes de armazenamento, incluindo repositórios de backup, camadas de armazenamento frio e sistemas de arquivamento, que frequentemente ficam de fora das varreduras de segurança convencionais. Elas identificam onde os dados de clientes existem em todo o cenário de armazenamento do fornecedor, e não apenas no armazenamento que o fornecedor apresentou na avaliação. Para organizações que avaliam fornecedores com relações significativas de tratamento de dados, o DSPM fornece a base de evidências para confirmar que o armazenamento de backups está coberto por controles adequados.
Gestão da postura de segurança em nuvem: Wiz, Orca Security, Prisma Cloud
As plataformas de CSPM fazem varreduras contínuas dos ambientes de nuvem e não limitam sua cobertura aos recursos de produção: elas revelam configurações incorretas no armazenamento de backups, nas camadas de armazenamento frio e nos ambientes de arquivamento, além da infraestrutura principal. Uma varredura de CSPM identificará buckets de backup sem criptografia, contas de serviço de backup com acesso privilegiado em excesso e repositórios de backup sem registro de acesso, os modos de falha com maior probabilidade de criar exposição do armazenamento de backups. Para fornecedores que concedem acesso de avaliação aos seus ambientes de nuvem, a varredura de CSPM oferece cobertura dos backups sem exigir um processo de avaliação separado.
Conformidade e governança de backups: Druva, Cohesity, Rubrik
As plataformas corporativas de backup incluem cada vez mais recursos de governança de segurança e conformidade: criptografia em repouso e em trânsito, controles de acesso baseados em funções, aplicação de políticas de retenção e registro de auditoria de todas as operações de backup. Para fornecedores que usam essas plataformas, os controles de segurança disponíveis são significativamente mais robustos do que as soluções de backup próprias, e as evidências de sua configuração são mais fáceis de produzir. Perguntar a um fornecedor se a sua plataforma de backup inclui esses recursos, e se eles estão ativados, é uma pergunta de avaliação prática com um padrão de evidência concreto.
Desafios de governança
O desafio de governança do armazenamento de backups de fornecedores é que ele fica na interseção de duas disciplinas que raramente se coordenam: proteção de dados e operações de backup. As equipes de proteção de dados definem os requisitos de segurança e conformidade para o manuseio de dados. As equipes de operações de backup definem os objetivos de recuperação e a arquitetura de backup. Na maioria das organizações fornecedoras, a segurança do armazenamento de backups cai na lacuna entre essas duas funções: as equipes de backup não pensam em termos de classificação de dados e conformidade com a retenção, e as equipes de proteção de dados não pensam nos repositórios de backup como repositórios de dados que exigem governança de segurança.
Eliminar essa lacuna nos relacionamentos com fornecedores exige tornar o armazenamento de backups um componente explícito dos requisitos de manuseio de dados, em vez de presumir que ele esteja coberto por cláusulas gerais de segurança de dados. Todo acordo de manuseio de dados que exija criptografia em repouso, controles de acesso e conformidade com a retenção deve declarar explicitamente que esses requisitos se aplicam às cópias de backup, ao armazenamento de arquivamento e aos repositórios de recuperação de desastres com a mesma força do armazenamento principal. Esse único esclarecimento contratual elimina a ambiguidade que permite que o armazenamento de backups exista fora da estrutura de governança de segurança.
- Alterar os acordos de manuseio de dados para incluir explicitamente o armazenamento de backups, os sistemas de arquivamento e os repositórios de recuperação de desastres em todos os requisitos de segurança e retenção
- Acrescentar perguntas específicas sobre backups às avaliações de fornecedores: onde os dados de backup ficam armazenados, qual padrão de criptografia se aplica, quem tem acesso e quando esses controles de acesso foram revisados pela última vez
- Exigir uma confirmação do escopo do SOC 2 que trate explicitamente da inclusão da infraestrutura de backup que manuseia dados de clientes, sem presumir nada
- Incluir o armazenamento de backups nos requisitos de confirmação de exclusão: a rescisão do contrato deve exigir a confirmação explícita de que as cópias de backup dos dados do cliente foram eliminadas, e não apenas de que os dados de produção foram excluídos
- Avaliar as políticas de retenção de backups em relação aos requisitos regulatórios nos relacionamentos que envolvem os seus dados sensíveis mais críticos: o desalinhamento entre a retenção de backups e as obrigações regulatórias de exclusão é um risco de conformidade que aparece em auditorias e investigações
Se você faz parte de uma equipe pequena
Comece pelos seus cinco relacionamentos com fornecedores de maior risco e acrescente três perguntas à sua próxima conversa de avaliação: onde os dados de backup ficam armazenados, o mesmo padrão de criptografia se aplica aos backups e à produção, e a rescisão do contrato gera a obrigação de eliminar as cópias de backup? Essas três perguntas revelarão a exposição mais significativa de armazenamento de backups na sua carteira de fornecedores mais rapidamente do que qualquer estrutura abrangente. Em seguida, revise os contratos com seus fornecedores mais críticos em busca de cláusulas explícitas sobre armazenamento de backups: a maioria não as terá, e incluí-las na próxima renovação é uma melhoria simples.
- Acrescentar perguntas sobre local de armazenamento, criptografia e controle de acesso dos backups ao seu modelo padrão de avaliação de fornecedores
- Revisar as cláusulas de exclusão de dados dos seus principais contratos com fornecedores e confirmar se o armazenamento de backups está explicitamente incluído ou implicitamente excluído
- Para fornecedores com relatórios SOC 2, verificar especificamente na seção de escopo a cobertura da infraestrutura de backup: um parágrafo da descrição do escopo diz mais do que a própria opinião
- Pedir aos seus fornecedores de maior risco a política de retenção de backups: a resposta, ou a ausência de uma, é um sinal de risco imediato
O que exigir
Pergunte diretamente:
"Onde ficam armazenados os dados de backup que contêm nossas informações (em qual ambiente de nuvem, em qual camada de armazenamento e em qual região geográfica), e o mesmo padrão de criptografia e a mesma estrutura de controle de acesso se aplicam ao armazenamento de backups e ao seu ambiente de produção?"
"O escopo da sua auditoria SOC 2 inclui explicitamente a infraestrutura e os sistemas de backup que armazenam cópias dos nossos dados? Se não incluir, que garantia vocês têm de que esses sistemas atendem a padrões de segurança equivalentes?"
"Quando nosso contrato for rescindido e vocês excluírem nossos dados dos sistemas de produção, qual é o processo e o prazo para eliminar as cópias de backup, e que evidência dessa eliminação vocês fornecem?"
O que esperar como evidência
- Documentação do local de armazenamento, do padrão de criptografia e dos controles de acesso dos backups, equivalentes ou superiores aos padrões de produção
- Confirmação do escopo do SOC 2 que trate explicitamente da infraestrutura de backup, ou um mecanismo alternativo de garantia para os ambientes de backup
- Um processo definido de eliminação de backups acionado pela rescisão do contrato, com prazo comprometido e padrão de evidência
- Documentação da política de retenção de backups alinhada aos requisitos contratuais de exclusão de dados
Um fornecedor que responde à pergunta sobre backups com 'nossos dados são excluídos conforme nossa política de retenção' descreveu seu processo de exclusão em produção. Pergunte especificamente sobre as cópias de backup: se ele hesitar antes de responder, você identificou a lacuna.
Como comprovar
Estruturas regulatórias como o GDPR, a CCPA e requisitos setoriais específicos criam obrigações relativas ao ciclo de vida dos dados que se estendem explicitamente a todas as cópias dos dados, e não apenas ao armazenamento principal. Demonstrar diligência devida no contexto do armazenamento de backups de fornecedores exige evidências de que os ambientes de backup foram avaliados, e não apenas os sistemas de produção.
- Registros de avaliação de fornecedores que documentam as perguntas e respostas sobre a segurança do armazenamento de backups para fornecedores que manuseiam dados
- Acordos de manuseio de dados que incluam explicitamente o armazenamento de backups nos requisitos de segurança e retenção
- Documentação da revisão do escopo do SOC 2 que confirme a avaliação da cobertura da infraestrutura de backup
- Registros de rescisão de contratos, incluindo a confirmação da eliminação dos backups e evidências de sua conclusão
- Documentação da política de retenção de backups alinhada aos requisitos regulatórios de exclusão aplicáveis
Principal conclusão
O armazenamento de backups não é uma categoria de risco separada da segurança de dados: é o mesmo risco em um local que recebe menos atenção, menos controles e quase nenhum escrutínio de governança. Cada dado de cliente de que o seu fornecedor faz backup é uma cópia de todas as obrigações de proteção de dados que você tem, guardada em um ambiente que você quase certamente nunca avaliou, sob controles que provavelmente nunca especificou, por um período de retenção que ninguém definiu. O ambiente de produção é a porta da frente. O armazenamento de backups é onde os dados de fato permanecem por mais tempo, e onde estão menos protegidos. Governe ambos ou nenhum. Não há meio-termo que satisfaça um regulador ou resista a uma investigação de violação.