Quase todo provedor diz que criptografa os dados. Poucos explicam contra o quê, e quase nenhum diz quem fica com a chave.
Uma empresa de contabilidade com 40 funcionários migrou todos os arquivos de clientes para um serviço de armazenamento em nuvem. Na proposta comercial estava escrito, em destaque, “criptografia AES-256”.
Seis meses depois, a senha de um analista vazou num site qualquer que não tinha nada a ver com o trabalho. Era a mesma senha que ele usava no painel da nuvem. O acesso durou dois dias e levou arquivos de 11 clientes.
A criptografia funcionou perfeitamente o tempo todo. Ela simplesmente não servia para aquilo.
De fato, esse é o mal-entendido mais caro em torno do armazenamento em nuvem criptografado. A palavra passa uma sensação de proteção total, quando na prática ela cobre um conjunto específico de riscos e deixa outros completamente de fora.
Este artigo explica o que a criptografia resolve, o que ela não resolve, os três tipos que aparecem nos contratos e a pergunta que separa um fornecedor sério dos demais.
O que é armazenamento em nuvem criptografado
É o armazenamento em que os arquivos são convertidos em um formato ilegível por meio de um algoritmo, e só voltam ao formato original com a chave correta.
Na prática, se alguém conseguir acesso físico ao disco onde seus dados estão, ou interceptar os arquivos durante a transmissão, vai encontrar um bloco de caracteres sem sentido em vez do contrato do seu cliente.
Em geral, o padrão de mercado é o AES-256, um algoritmo adotado inclusive por governos para informação classificada. Ou seja, quando um fornecedor diz que usa AES-256, ele está dizendo o mínimo esperado, não um diferencial.
A pergunta útil não é se o provedor criptografa. Praticamente todos criptografam. A pergunta é em que momento e quem guarda a chave.
Os três tipos de criptografia que aparecem nos contratos
São três, e na prática cada um cobre um momento diferente da vida do dado.
1. Em trânsito. Protege o arquivo enquanto ele viaja entre o seu computador e o servidor. É o que impede alguém de interceptar a transmissão numa rede pública. Normalmente aparece como TLS ou HTTPS.
2. Em repouso. Protege o arquivo enquanto ele está parado no disco do provedor. É o que torna inútil o roubo físico de uma mídia ou o vazamento de um snapshot de armazenamento.
3. De ponta a ponta. O arquivo é criptografado no seu dispositivo, antes de sair, e só é decifrado quando volta para você. Nem o provedor consegue ler o conteúdo. É o mais restritivo e também o mais raro em serviços corporativos, porque quebra recursos como busca dentro de documentos e pré-visualização.
A maioria dos contratos corporativos cobre os dois primeiros. Por isso vale perguntar explicitamente, porque “criptografado” sozinho não diz qual dos três.
| Tipo | Protege contra | Não protege contra |
|---|---|---|
| Em trânsito | Interceptação na rede | Acesso com credencial válida |
| Em repouso | Roubo de disco, snapshot vazado | Acesso com credencial válida |
| De ponta a ponta | Tudo acima e o próprio provedor | Dispositivo do usuário comprometido |
O que a criptografia não protege
Este é o ponto que quase nunca aparece na proposta comercial: criptografia não protege contra credencial comprometida.
Isto é, quem entra com usuário e senha válidos recebe o dado já decifrado. O sistema não tem como distinguir o analista legítimo do atacante que está usando a senha dele. Para o servidor, os dois são a mesma pessoa.
Por isso, no caso da empresa de contabilidade do início, o AES-256 continuou funcionando durante todo o incidente. Ele cumpriu exatamente a função para a qual existe.
Além disso, a criptografia também não protege contra:
- Erro de configuração, como deixar uma pasta com permissão pública
- Exclusão acidental ou maliciosa, já que o arquivo apagado estava criptografado mas continua apagado
- Ransomware, que criptografa de novo por cima e cobra resgate
- Ex-funcionário com acesso ativo, que continua sendo um usuário legítimo até alguém revogar
Ou seja, criptografia é uma camada entre várias. Sozinha ela resolve um recorte estreito do risco. A visão completa das camadas está em segurança do banco de dados.
Criptografia do lado do servidor e do lado do cliente
A diferença está em onde o arquivo é embaralhado, e isso define quem consegue lê-lo.
Na criptografia do lado do servidor, o arquivo sai do seu computador como está e é criptografado quando chega na infraestrutura do provedor. É transparente para quem usa: ninguém precisa instalar nada nem mudar o jeito de trabalhar. Por outro lado, existe uma janela em que o provedor manipula o conteúdo legível.
Já na criptografia do lado do cliente, o arquivo é embaralhado antes de sair da sua máquina. O provedor recebe e guarda algo que não consegue abrir. Em compensação, você perde recursos que dependem de o servidor entender o conteúdo, como busca por texto dentro dos documentos, pré-visualização e indexação.
Na prática, a maior parte das empresas de médio porte opera bem com criptografia do lado do servidor somada a um controle de acesso rigoroso. Criptografia do lado do cliente costuma fazer sentido em dados de saúde, jurídico sensível e propriedade intelectual, em que o risco justifica a perda de praticidade.
Vale um alerta de operação: sistemas que usam criptografia do lado do cliente dependem inteiramente da guarda da chave pelo usuário. Perdeu a chave, perdeu o arquivo. Não existe suporte que recupere.
Quem guarda a chave, e por que isso muda tudo
Em outras palavras, a chave de criptografia é o que transforma o bloco ilegível de volta em arquivo. Quem tem a chave, tem o dado.
No entanto, existem três arranjos possíveis, e eles mudam completamente a responsabilidade:
Chave gerenciada pelo provedor. O provedor cria, guarda e rotaciona a chave. É o arranjo mais comum e o mais simples de operar. Em compensação, o provedor tecnicamente consegue acessar o conteúdo, e uma ordem judicial dirigida a ele alcança os seus dados sem passar por você.
Chave gerenciada pelo cliente. Você gera e controla a chave, geralmente em um cofre dedicado, e o provedor a utiliza sob sua autorização. Dá mais controle e cria uma responsabilidade real: chave perdida significa dado perdido, sem recuperação possível.
Chave do próprio cliente, fora do provedor. A chave nunca entra na infraestrutura do fornecedor. É o modelo mais restritivo, usado em setores regulados, e o que mais exige maturidade operacional.
Portanto, antes de escolher, vale responder uma pergunta interna: a sua empresa tem processo para guardar uma chave com segurança e para rotacioná-la periodicamente? Se a resposta for não, chave gerenciada pelo provedor é mais segura na prática do que uma chave própria mal administrada.
Criptografia e LGPD
A Lei Geral de Proteção de Dados não exige criptografia com todas as letras, mas ela aparece de forma indireta e relevante.
Primeiro, a LGPD (Lei 13.709/2018) obriga o controlador a adotar medidas de segurança aptas a proteger dados pessoais. Criptografia é uma das medidas técnicas mais reconhecidas para cumprir esse dever.
Há também um efeito prático importante na comunicação de incidentes. Quando ocorre um vazamento, a empresa precisa comunicar a Autoridade Nacional de Proteção de Dados e os titulares afetados. Se o dado vazado estava criptografado e a chave não foi comprometida, o risco concreto para o titular é substancialmente menor, e isso pesa na avaliação do incidente.
Vale a ressalva: isso só vale se a chave realmente não tiver sido comprometida. No caso da senha vazada, o dado foi acessado em formato legível, então a criptografia não ajuda em nada nessa conta.
O ponto cego mais comum: o backup
Na maioria dos ambientes que avaliamos, a cópia principal está criptografada e o backup não.
Isso acontece porque as duas coisas costumam ser contratadas em momentos diferentes, às vezes de fornecedores diferentes. O armazenamento principal entra no projeto com todos os requisitos de segurança discutidos, e o backup entra depois, tratado como item de infraestrutura.
O resultado é um ambiente em que o dado está protegido no lugar onde as pessoas trabalham e desprotegido no lugar onde ele fica guardado por anos. Como backup costuma ter retenção longa, ele acaba concentrando mais histórico sensível do que o próprio ambiente de produção.
Portanto, vale conferir três coisas na política atual: se o backup é criptografado, se usa a mesma força de algoritmo e se a chave dele é controlada pela mesma pessoa. A conversa completa sobre tirar o backup do escritório está em vantagens do backup em nuvem.
Como avaliar o armazenamento que você já tem
Por isso, seis perguntas que o seu fornecedor atual precisa responder com objetividade:
- Os dados são criptografados em trânsito e em repouso? Se a resposta cobrir só um dos dois, existe uma lacuna.
- Qual algoritmo e qual tamanho de chave? AES-256 é o esperado.
- Quem gera e guarda a chave? Provedor, cliente ou arranjo misto.
- Com que frequência a chave é rotacionada? Chave que nunca muda em cinco anos é um risco acumulado.
- Os backups também são criptografados? É comum a cópia principal estar protegida e o backup não.
- Existe segundo fator de autenticação nos acessos administrativos? É esta resposta, e não a criptografia, que teria evitado o caso do início.
Se as perguntas 3 e 6 ficarem vagas, o problema não é de criptografia. É de controle de acesso, e nenhum algoritmo resolve isso.
Checklist rápido
☐ Criptografia em trânsito ativa
☐ Criptografia em repouso ativa
☐ Algoritmo e tamanho de chave documentados em contrato
☐ Responsável pela chave definido por escrito
☐ Política de rotação de chave estabelecida
☐ Backups criptografados com a mesma política
☐ Segundo fator ativo em todos os acessos administrativos
☐ Nenhuma conta ativa de pessoa que saiu da empresa
Três ou mais itens em branco indicam uma lacuna que vale endereçar antes de qualquer investimento novo em ferramenta.
Como a Prodb trata isso
Na Prodb, criptografia não é um item vendido à parte. Ela faz parte do desenho do ambiente desde o início, junto com controle de acesso, isolamento de rede e política de backup.
Assim, o trabalho começa com um levantamento do que existe hoje: onde o dado está, como está protegido, quem tem acesso e quem guarda as chaves. Esse mapeamento costuma revelar lacunas que ninguém sabia que existiam, e na maioria dos casos as primeiras correções são de processo, não de compra.
Operamos infraestrutura em nuvem no Brasil há 15 anos, com mais de 550 clientes, e a estrutura de backup acompanha a mesma política de proteção aplicada ao ambiente principal. Se quiser comparar com o que você tem hoje, o roteiro completo de avaliação está em armazenamento em nuvem seguro.
Afinal, criptografia bem feita é invisível no dia a dia. Ou seja, ela só aparece no dia em que alguém tenta ler o que não deveria, e nesse dia ela precisa estar no lugar certo.
Avalie a proteção dos seus dados em nuvem
Fale com o time da Prodb e receba um diagnóstico do seu ambiente atual: tipo de criptografia em uso, controle das chaves, cobertura dos backups e lacunas de acesso, priorizadas por risco.
