A Suíça emitiu uma recomendação para que órgãos públicos evitem a transferência de dados críticos para ambientes externos.
A Privatim, grupo de encarregados de proteção de dados da Suíça, alertou órgãos governamentais sobre o uso de softwares em nuvem como o Microsoft 365 (antigo Office 365). Eles recomendam que instituições públicas evitem plataformas SaaS — programas online acessados por assinatura — e serviços de grandes provedores internacionais, citando pontos críticos de segurança e privacidade.
O documento, resultado de uma conferência setorial e divulgado na semana passada, destaca a preocupação com a ausência de criptografia de ponta a ponta efetiva e o risco de acessos indevidos a informações estratégicas. Além disso, aponta que plataformas em nuvem sujeitas ao CLOUD Act dos EUA podem não atender aos padrões de proteção para dados sensíveis exigidos pela Suíça.
Por que a Suíça desaprova o SaaS no setor público?
Segundo a autoridade de privacidade suíça, muitos serviços SaaS ainda permitem que os provedores acessem dados em texto puro, o que é incompatível com as práticas de segurança exigidas para informações legalmente protegidas. Outra crítica relevante é a possibilidade de essas empresas alterarem seus termos de serviço unilateralmente, comprometendo garantias previamente acordadas.
“O uso de aplicativos SaaS implica uma perda significativa de controle” – Privatim
Quando uma plataforma opera fora do domínio governamental, a instituição perde a capacidade de intervir em caso de violações de direitos. A orientação é, portanto, evitar a exposição de dados críticos a ambientes externos, exceto quando não houver outra opção.
O relatório conclui que, na maioria dos casos, soluções de grandes fornecedores internacionais, como o Microsoft 365, são consideradas inadequadas para o setor público suíço.
Casos recentes ampliam alerta
Enquanto a Suíça intensifica suas diretrizes, incidentes recentes no cenário digital global continuam a evidenciar fragilidades.
- Um exemplo é a análise do engenheiro de segurança Luke Marshall, que avaliou a exposição de informações em repositórios públicos do GitLab. Utilizando filas da AWS e a ferramenta TruffleHog, ele escaneou 5,6 milhões de projetos e descobriu 17 mil segredos válidos, como credenciais do Google Cloud, chaves da AWS, tokens de bots do Telegram e acessos ao OpenAI. Marshall relatou que o processo custou aproximadamente US$ 770 e permitiu escanear os repositórios em cerca de 24 horas.
- Diversas plataformas estão revisando suas políticas devido a riscos. O aplicativo Strava, por exemplo, atualizou seus termos de uso preliminarmente, atribuindo total responsabilidade ao usuário por questões de rastreamento de localização. Essa mudança ocorreu após mapas compartilhados na plataforma exporem localizações de agentes de segurança.
- No contexto da segurança global, o pesquisador Nariman Gharib divulgou documentos que, supostamente, detalham operações do grupo iraniano Charming Kitten. Estas incluiriam o desenvolvimento de ferramentas ofensivas e ações para identificar alvos considerados inimigos do regime. Gharib declarou: “Cada banco de dados de companhias aéreas violado, cada sistema de reservas de hotéis comprometido, cada clínica médica invadida alimenta um sistema projetado para localizar e matar pessoas que o regime iraniano considera inimigas”.