Análise de Segurança e Privacidade Do Google Workspace e Microsoft 365

This post is also available in: English

Apesar de que o título do artigo faça uma referência a um comparativo de segurança entre Google Workspace e a solução de nuvem Microsoft 365. O nosso objetivo não é analisar lado a lado, quem é melhor ou pior na questão segurança e tratamento de dados. Tanto o Google Workspace quanto o Microsoft 365 são seguros, pois ambos são produtos de nível empresarial.

Examinaremos a lista de quais ações e recursos que Google e Microsoft vem tomando para manter os dados de seus clientes protegidos, no mesmo tempo, os funcionários de seus clientes seguros.

Áreas abordadas

Os aplicativos de escritórios na nuvem são amplamente usados, desta forma vamos abordar as três principais áreas, que são:

Segurança de e-mail

Por que? O e-mail é um formato aberto, e amplamente utilizado nos negócios. Por conta disto, também é frequentemente utilizado para espalhar ataques de malware, spam e phishing. Os invasores usam essa porta de entrada comum para obter dados valiosos da empresa.

Como serviços de gerenciamento de e-mail empresarial o Google tem o Gmail, e a Microsoft 365 o Outlook. Vamos ver que ações essas duas grandes empresas estão fazendo para proteger as contas de e-mail de seus clientes empresariais.

Segurança de login usuários

Por que? As empresas não contratam o Google Workspace ou Microsoft 365 apenas para enviar e receber mensagens de e-mail. Em alguns casos, funcionários não precisam ter acesso a contas de e-mail profissionais. Mas, usam frequentemente outros aplicativos independentes, como Google Sheets e o Microsoft Excel.

Esses usuários precisam fazer login na plataforma. Vamos analisar quais melhores práticas de segurança Google e Microsoft vem tomando para proteção o login dos usuários.

Segurança de dados e informações sigilosas

Por que? Uma empresa precisa proteger seu capital intelectual e informações de clientes. Quais meios para proteção de dados sigilosas Google e Microsoft vem praticando, quais informações elas coletam para suas próprias analises? Esse levantamento não se trate de segurança física dos data centers do Google ou Microsoft.

Antes de começar vamos conhecer um pouco sobre eles.

Google Workspace e Microsoft 365 em poucas palavras

O Microsoft 365 (anteriormente conhecido como Office 365) traz Outlook, Word, Excel, PowerPoint, OneNote e OneDrive como opções de aplicativos de escritório online.

O Google Workspace (anteriormente G Suite) tem Gmail, Calendar, Meet, Chat, Drive, Docs, Sheets, Slides, como opção de pacote de aplicativos de produtividade de escritório.

Parece uma descrição boa, certo? Agora vamos ao que interessa.

---

Segurança no Google Workspace

Como administrador, o Google Workspace permite que você definam regras personalizadas para proteger os e-mails recebidos contra phishing e softwares prejudiciais (malware), inclui proteção contra tipos de anexos incomuns.

Você pode ativar a proteção contra spoofing para grupos privados ou para todos os grupos. Esse tipo de ataque é quando o hacker tenta passar por alguém que ele não é, como um nome de domínio, ou nomes de funcionários.

A parte interessante no Google Workspace é que as etapas de configuração são simples e fica a cargo do administrador.

Admin Console> Menu> Aplicativos> G Suite> Gmail> Segurança

Para proteger as mensagens de e-mail, o Gmail utiliza técnicas padrão da industria. Permitindo que os administradores de TI definam regras personalizadas que exigem que as mensagens de e-mail sejam assinadas e criptografadas usando Secure/Multipurpose Internet Mail Extensions (S/MIME).

• Criptografia S/MIME disponível no plano Enterprise;

Existe o programa de Proteção Avançada que proporciona uma proteção mais forte para usuários sob risco de ataques direcionados. No Programa de Proteção Avançada é aplicado um conjunto específico de políticas para usuários inscritos, incluindo aplicação de chave de segurança, bloqueio de acesso a aplicativos não confiáveis e verificação aprimorada de ameaças de e-mail.

Segurança de login de usuários no Google Workspace

Agora abordando a área de segurança para autenticação de usuários, vamos analisar os principais métodos que o Google utiliza.

Começando pelas questões fundamentais, é oferecido opção de autenticação de 2-fatores (dois fatores e aplicá-la a todos os seus usuários), e detecção de logins suspeitos. Sempre que um login suspeito é detectado, o administrador é notificado para que possam trabalhar para garantir a segurança da conta do usuário.

Acesso unificado, por meio de Single Sign-On (SSO) permite acesso a outros aplicativos empresariais na nuvem, como por exemplo, fazer login direto na Bybrand. O serviço Google Identity and Access Management (IAM) permite também que administradores ajudem a gerenciar todas as credenciais do usuário.

• Serviço de logon único (SSO) baseado em SAML;
• Serviço de logon único (SSO) baseado em OAuth2;
• SSO com um provedor de identidade (IdP) de terceiro (Okta, OneLogin, 1password);

Mas apenas protocolos não são suficientes, o Google Workspace fornece aos administradores a opção de solicitar que seus usuários cadastre uma senha forte e que essa senha atenda a certos caracteres (por exemplo, número de caracteres, força da senha, etc.). E vai além, você pode aplicar as configurações para os dispositivos móveis de seus funcionários, para fins profissionais.

O administrador pode proteger os dados da sua organização exigindo que os dispositivos gerenciados tenham um bloqueio de tela ou senha.

Você pode personalizar o controle de acesso com base em atributos específicos, usando o controle de acesso granular para aplicativos SAML, incluindo o usuário, geolocalização, status de segurança do dispositivo e endereço IP, reduzindo assim as chances de acesso não intencional a aplicativos específicos ou a informações dentro eles.

Segurança de dados no Google Workspace

Vamos agora examinar os controles de segurança do Google Workspace que podem ajudá-lo a gerenciar a proteção de dados, para atender às necessidades de sua organização.

No passado, o Google sofreu uma série de críticas relacionado a tratamento de dados de usuários (máquina de dados de publicidade), a coleta de informações é usado para anúncios direcionados. Mas isso não se aplica para contas corporativos, no ambiente corporativo, no ultimo ano o Google vem aprimorando suas politicas de tratamento de dados de usuários.

Para os administrador TI, uma das suas maiores prioridades é manter as informações internas seguras e protegidas. Com a Políticas de prevenção de perda de dados (DLP) você pode escolher quais tipos de dados são confidenciais e exatamente como protegê-los.

O programa permite a detecção fácil de uma ampla variedade de tipos de informações comuns (como números de cartão de crédito em e-mail) e você pode configurar ações baseadas em políticas e impedir que usuários compartilhem e-mails ou arquivos do Google Drive quando conteúdo confidencial for detectado.

Uma ferramenta poderosa que ajuda administradores a evitar abusos e comportamentos maliciosos é o Google Vault. Você pode criar regras de retenção e guardar documentos como mensagens de e-mail e arquivos do Drive. Com o Vault é possível controlar o acesso e quais ações estão disponíveis no aplicativo.

Isso garante que apenas usuários autorizados tenham acesso aos dados da sua organização.

Dentro da área de certificações o Google Cloud Platform recebeu o certificado ISO / IEC 27701. Um padrão global projetado para ajudar as organizações a se alinharem com as estruturas e leis internacionais de privacidade. Ele fornece orientação para implementar, manter e melhorar continuamente a segurança em processadores de dados – importante para organizações que seguem o GDPR.

• Lista de certificações recebidas;

Segurança no Microsoft 365

Microsoft 365 viu um crescimento expressivo de seus serviços, especialmente o Microsoft Teams durante o ano de 2020. As ferramentas de comunicação como o Microsoft Teams e Outlook versão web, são essenciais para manter as empresas em operação. Mas essas ferramentas não estão imunes a riscos de segurança e conformidade regulamentar.

Para segurança no e-mail, o Outlook tem proteção avançada para anexos ou links em mensagens recebidas, o serviço usa técnicas para detectar vírus e malware. E se algo for encontrado, ele será removido para que você não abra-o acidentalmente. Para links suspeitos em mensagens, caso clique em um, você é redirecionado para uma página de aviso.

Como o uso de e-mail cresceu, o número de abusos também seguiu o mesmo caminho. O Microsoft Defender (anteriormente Microsoft Threat Protection), usa inteligência artificial para reduzir a quantidade de spam e e-mail fraudulentas (phishing) na plataforma.

Diretamente na caixa de correio do Outlook você também pode usar as opções de relatório internas para enviar falsos positivos (emails bons marcados como spam), falsos negativos (e-mail incorreto) e mensagens de phishing.

• 

• 

As caixas de e-mail podem se tornar repositórios para grandes quantidades de informações potencialmente confidenciais como dados financeiros, contratos legais ou informações sobre a saúde do paciente.

Na parte de criptografia de mensagens de e-mail o Microsoft 365 tem o Office Message Encryption (OME) onde sua organização pode enviar e receber mensagens de e-mail criptografadas entre pessoas dentro ou fora de sua organização, independentemente do endereço de e-mail de destino.

O serviço oferece mais duas opções de criptografia para ajudá-lo a atender às necessidades de segurança de e-mail.

• Extensões de correio da Internet seguras / multifuncionais (S / MIME);
• Gerenciamento de direitos de informação (IRM).

Segurança de login de usuários no Microsoft 365

Agora vamos analisar os principais métodos que o Microsoft 365 usa para segurança de autenticação de usuários.

Na Microsoft 365 tem a soluções Azure Active Directory (Azure AD) para gerenciamento de identidade. Os usuários podem fazer logon nos aplicativos (SSO) e desta forma, adiciona segurança e conveniência. O logon único oferece um grande avanço na forma como os usuários entram e usam os aplicativos do Microsoft 365 e aplicativos de software como serviço (SaaS) parceiros.

Não está claro, mas essa opção parece está disponível apenas para Microsoft 365 Enterprise.

A vantagem do Single Sign-On é que você pode usar uma mesma conta, para entrar na área restrita de outros aplicativos web. Com apenas um login de autenticação, o seu trabalho de executar tarefas em outros softwares fora do ecossistema da Microsoft se torna mais eficiência e seguros.

Alguns exemplos populares de aplicativos da web incluem:

• Wrike (gestão de projetos);
• Salesforce;
• SurveyMonkey;

O Microsfot 365 implementa autenticação multifator (MFA). Com a verificação em duas etapas, os administradores podem reduzir o risco de acesso não autorizado, pedindo aos usuários uma prova adicional de identidade ao entrar.

Um exemplo: primeiro você especifica sua senha e, quando solicitado, também digita um código de verificação gerado dinamicamente. A configuração pode ser feito de duas formas: uma é método padrão, usando o aplicativo Microsoft Authenticator gratuito em seu dispositivo móvel.

A oura forma é usar mensagens SMS enviadas para o telefone.

Métodos de backup: em situações em que você não tem o telefone ou dispositivo que configurou como seu método de verificação preferido, você pode configurar métodos de backup para sua conta. Gerando códigos únicos que você guarda em local seguro.

Segurança de dados no Microsoft 365

Para dados importantes ou confidenciais (números de telefone ou registros de CPF), o Microsoft 365 tem a solução de rótulos de sensibilidade (Sensitivity labels), que permitem que você classifique e proteja os dados de sua organização, ao mesmo tempo que garante que a produtividade do usuário e sua capacidade de colaboração não sejam prejudicadas.

A ferramenta é útil para quando o conteúdo não fica mais atrás de um firewall, ou são trocados entre aplicativos e serviços fora do controle da organização. Muito comum para documentos e e-mails.

Os administradores e suas organizações devem proteger informações confidenciais em vários locais, cumprir os padrões de regulamentações do setor e evitar sua divulgação não intencional. Com a solução Política de Prevenção de Perda de Dados (DLP) no Office 365 Security & Compliance Center, você pode identificar, monitorar e proteger automaticamente as informações confidenciais de seus usuários.

Você pode usar o DLP para ajudar a detectar a presença de informações sujeitas à Lei de Portabilidade e Responsabilidade de Seguro Saúde (HIPAA) em arquivos do OneDrive for Business, encontrando qualquer documento que contenha informações confidenciais que são compartilhadas com pessoas fora da sua empresa, e assim, bloquear o acesso ao arquivo (exigindo ações extras).

Dentro da área de certificações, a Microsoft tem trabalhado na construção da soluções de colaboração online mais segura para seus clientes corporativos. A conquista da certificação ISO / IEC 27001, mostra seu compromisso em cumprir as promessas do ponto de vista de conformidade de segurança e negócios.

• Em detalhes todas as certificações obtidas pela Microsoft;

Relacionados

• Participação de Mercado: Google Workspace, Microsoft 365 e Zoho;
• Comparativo: Google Workspace, Microsoft 365 ou Zoho Workplace;

---

Educação de funcionários

A segurança adicional e certificações são um grande benefício. Mas você não deve deixa a responsabilidade de proteção apenas a carga de terceiros ou programas.

CEO, CTOs, e administradores de TI que geralmente estão na linha de frente de proteção de dados também devem criar politicas rígidas para seus funcionários.

• Exigir que os funcionários usem senhas fortes e exigir alterações frequentes de senha. Isso ajuda a garantir que, mesmo se uma senha for comprometida, seu uso indevido possa ser limitado.
• Certifique-se de que os aplicativos de webmail usem criptografia. Esta é uma funcionalidade padrão, mas crítica para evitar que e-mails sejam interceptados por agentes mal-intencionados.
• Use de um gerenciador de tenha para a equipe (LastPass, Dashlane);
• Restringir acesso aos serviços via redes de Wi-fi públicas.

Além da implementação de políticas e procedimentos que promovem a segurança, as empresas podem incentivar seus funcionários a seguir as melhores práticas para garantir a segurança de toda a empresa.

---