Estamos analisando a ideia de migrar um aplicativo ASP.NET MVC para o Windows Azure, mas estou interessado em saber se o SQL Azure é seguro o suficiente para armazenar dados de clientes, como endereços residenciais, etc.
Não estamos armazenando dados bancários nem nada parecido e estamos procurando utilizar o poder da nuvem por motivos de escalabilidade, mas não queríamos que o fator de segurança fosse um problema de bloqueio.
Alguma ideia? Ou devo criptografar TODOS os dados pessoais e descriptografar sempre que acessar?
Responder1
Recomendo fortemente que você classifique os dados que você está manipulando (o nome e o endereço residencial de um cliente constituem PII?) e compreenda as regulamentações estaduais e federais relevantes sobre o envio desses dados a terceiros. Não são apenas os “dados bancários” que estão protegidos.
A lei estadual de MA pode exigir que os dados sejam criptografados em trânsito para qualquer residente. Ver201 CMR 17,00. A lei estadual de NV pode exigir que algumas informações também sejam protegidas para os residentes. Veja NVSB347. CASB 1386impõe certos requisitos se houver "acreditação razoável de que os dados do residente foram [...] adquiridos por uma pessoa não autorizada". Se você tiver dados não criptografados na nuvem e um provedor relatar uma violação não especificada, talvez seja necessário notificar os clientes.
Esta é apenas uma amostra do que está por aí. Portanto, (1) entenda que tipo de dados você possui e (2) entenda quais são seus requisitos legais e regulatórios para ajudar a informar sua decisão.
Para obter mais informações específicas da nuvem, consulteCSAe aProjeto de nuvem OWASP.
Responder2
Estive em uma pequena conferência de segurança com representantes da Microsoft, Google etc. Se você perguntar, eles dizem que é seguro e provavelmente estão certos.
Não creio que suas plataformas sejam tecnicamente insuficientes quando se trata de segurança, mas a Microsoft tem acesso total aos seus dados. No entanto, eles possuem medidas que limitam como e quando seus funcionários podem acessá-lo.
Existem muitos aplicativos hospedados na nuvem, acho que é seguro usá-los se você não lidar com nada particularmente secreto, como registros médicos, por exemplo. Então provavelmente nem é legal em alguns países.
No final das contas, trata-se de confiar em outra empresa para cuidar dos seus dados para você.