Nosso último texto sobre a certificação digital em nuvem abordou um breve histórico regulatório, destacando a evolução que reduziu a dependência de mídias criptográficas e permitiu a assinatura eletrônica a partir de smartphones com alta segurança, praticidade e conveniência.
Hoje, vamos explorar mais a fundo o background tecnológico desses processos, focando na importância dos Prestadores de Serviço de Confiança (PSC).
Os PSCs desempenham um papel crucial na segurança das transações digitais. Conforme definido pelo DOC ICP 17 da Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil), um PSC é uma entidade credenciada, auditada e fiscalizada pelo ITI. Eles fornecem serviços essenciais, como armazenamento de chaves privadas para usuários finais, conforme os termos do DOC-ICP-04, e serviços de assinatura e verificação de assinaturas digitais padrão ICP-Brasil em documentos e transações eletrônicas.
O papel do PSC na Certificação Digital
Enquanto o modelo tradicional depende de cartões e tokens para o controle dos certificados, o PSC facilita o armazenamento remoto das chaves privadas. Isso permite que essas chaves sejam usadas de qualquer lugar e dispositivo, como computadores, smartphones e tablets. A transição para esse modelo não só simplifica o uso, mas também aumenta a acessibilidade e a conveniência para os usuários.
Requisitos de segurança dos PSC
Para garantir a segurança dos serviços prestados, os PSC devem atender a uma série de requisitos rigorosos, conforme estabelecido no documento DOC-ICP-17.01 da ICP-Brasil. Esses requisitos abrangem várias áreas críticas:
- Política de segurança da informação: inclui diretrizes, normas e procedimentos detalhados que descrevem os controles de segurança a serem seguidos nas atividades do PSC.
- Segurança de pessoal: exige uma Política de Gestão de Pessoas abrangente, cobrindo processos de contratação, demissão, descrição de cargos, avaliação de desempenho e capacitação contínua.
- Segurança física: garante o controle de acesso físico, identificação de pessoas, sincronização de data e hora, registro de trânsito de materiais e medidas de prevenção e controle de incêndios.
- Segurança lógica: envolve a proteção de sistemas, redes e informações contra acessos não autorizados, garantindo a confidencialidade, integridade e disponibilidade dos dados.
- Segurança de rede: implementa medidas para proteger a infraestrutura de rede contra ameaças, assegurando a segurança das comunicações e transmissões de dados.
- Armazenamento de chaves privadas: estabelece procedimentos rigorosos para a geração, armazenamento e uso seguro das chaves privadas dos usuários finais.
- Serviços de assinatura e verificação digital: assegura a autenticidade e integridade das assinaturas digitais, bem como sua verificação eficaz.
Por falar em segurança, a segurança física do PSC é uma garantia à proteção dos ativos relacionados aos serviços de certificação digital. Para isso, todos os Prestadores de Serviços de Confiança devem implantar níveis de acesso físico, com restrições de acordo com as funções e responsabilidades dos indivíduos. O controle de acesso deve ser rigoroso, permitindo a entrada apenas de pessoas autorizadas e com identificação individual. Além disso, é essencial contar com sistemas de monitoramento por imagens para garantir a identificação de pessoas que acessam fisicamente o ambiente do PSC.
O sincronismo de data e hora entre os dispositivos de segurança física é mandatório para garantir a trilha de auditoria. Também é importante manter um registro de acesso físico, incluindo informações sobre quem acessou, data, hora e motivo do acesso. Dispositivos de prevenção e controle de incidentes, como prevenção de incêndios e controle de temperatura, são essenciais para garantir a segurança das instalações. O tratamento adequado de material crítico inservível também é necessário para preservar o sigilo das informações contidas. Todas essas medidas contribuem para assegurar a integridade, confidencialidade e disponibilidade das instalações e dos ativos do PSC, fortalecendo a segurança global dos serviços de certificação digital oferecidos.
Explorando os detalhes
Nas próximas publicações, vamos aprofundar cada um desses requisitos, explicando como são implementados e mantidos pelos PSC. Abordaremos as práticas e tecnologias específicas que garantem a segurança robusta da certificação digital em nuvem, proporcionando aos usuários finais uma experiência segura e confiável.
A certificação digital é um pilar fundamental para a segurança digital moderna. Entender o papel e a estrutura dos PSCs nos ajuda a apreciar a complexidade e a importância dos processos que protegem nossas transações eletrônicas diárias. Fique atento para saber mais sobre como esses prestadores de serviço trabalham nos bastidores para garantir a segurança e integridade da sua identidade digital.
Confira os outros textos da série:
