SIEM – Fortalecendo a Proteção de Dados na Era da LGPD

Com a implementação da LGPD (Lei Geral de Proteção de Dados), a proteção de dados se tornou uma prioridade em praticamente todas as empresas. Nesse cenário, medidas de segurança, tanto técnicas quanto administrativas, tornaram-se fundamentais para garantir a conformidade e a proteção adequada dos dados. Entre as medidas técnicas, destaca-se a importância da implementação do SIEM (Security Information and Event Management).

Neste artigo, exploraremos, de modo simples e breve, como o SIEM se torna um aliado essencial nesse processo de adequação, fortalecendo a segurança de dados e permitindo que as empresas estejam em consonância com as exigências da LGPD.

 A intenção desse artigo é ajudar o DPO (Data Protection Officer) no entendimento dessa medida de segurança técnica e permitir interações mais confortáveis com a TI ou com a Segurança da Informação.

Visão Geral

 O SIEM (Security Information and Event Management) é uma solução de segurança que combina tecnologias de coleta, normalização, agregação, categorização e correlação de dados de segurança e com isso permitir com que a empresa possa detectar mais facilmente ameaças, aumentar a maturidade do processo de resposta a incidente e fortalecer a conformidade e auditoria da segurança da informação.

A seguir iremos resumir os principais componentes de uma estrutura de SIEM.

1. Coleta de Dados

O SIEM coleta dados brutos de várias fontes, como logs de dispositivos de rede (ex: switches, roteadores, etc ), sistemas operacionais (ex: Windows Servers, Linux, etc ), aplicativos (ex: banco de dados, web servers, etc ), firewalls (Ex: Fortinet, Palo Alto, Sophos, etc ), antivírus (Ex: Trend, Symantec, SentinelOne, etc ) e até mesmo informações de eventos de segurança em tempo real. Essa coleta é centralizada e permite que a equipe de segurança monitore todas as atividades relevantes a partir de uma única plataforma.

2. Normalização e Agregação dos Dados

Os dados coletados são normalizados para um formato padrão, independentemente da fonte original. Isso facilita o tratamento, a análise e a comparação entre diferentes eventos das mais diversas fontes. Além disso, os dados normalizados são agregados facilitando a identificação de tendências e padrões de comportamento malicioso no ambiente da empresa.

3. Categorização

Uma vez normalizados e agregados, os dados são categorizados em diferentes classes de eventos. Essas categorias podem incluir tentativas de acesso não autorizado, malware detectado, atividades suspeitas de usuários privilegiados, entre outras. A categorização ajuda a priorizar a resposta a eventos com base em sua gravidade e impacto potencial.

4. Correlação de Eventos

A correlação é uma das principais capacidades do SIEM. Ela envolve a análise dos eventos de segurança em conjunto, identificando relações e padrões que podem passar despercebidos quando observados isoladamente. Por exemplo, a correlação pode detectar que várias tentativas de login ( falha no login ) em um curto período, seguidas de uma transferência de dados suspeita, podem indicar uma tentativa de intrusão.

5. Arquitetura

A arquitetura típica de um SIEM envolve as seguintes camadas:

Coleta de Dados: Responsável por obter informações de diversas fontes e enviar para a próxima camada.

Processamento: Nesta fase, os dados são normalizados, agregados e categorizados.

Armazenamento: Os dados tratados são armazenados em um repositório centralizado para análise posterior e geração de relatórios.

Análise e Correlação: Aqui ocorre a identificação de padrões, tendências e ameaças potenciais.

Alerta: Caso um evento suspeito seja detectado, são gerados alertas para notificar a equipe de segurança.

Geração de Relatórios: Relatórios são gerados para apresentar uma visão geral da segurança da organização, auxiliando na tomada de decisões.

6. Exemplos de SIEMs de mercado são:

– Splunk

– IBM QRadar

– ArcSight

– SolarWinds

Conclusão

O SIEM é uma ferramenta crucial para uma segurança proativa e eficiente. Ao coletar, normalizar, agregar, categorizar e correlacionar dados de segurança, ele permite que a empresa identifique e responda rapidamente a ameaças cibernéticas. A escolha de um SIEM adequado depende das necessidades específicas de cada organização.

É uma medida de segurança técnica importante para assegurar a proteção de dados pessoais no contexto da LGPD e vale a pena os DPOs terem um entendimento da sua importância e benefícios no contexto de um Programa de Proteção de Dados.

Texto de: Coutinho, Rogério.