Seus Dados Mais Valiosos Estão em Movimento, e Protegidos?
Migração para nuvem traz agilidade e escalabilidade, mas e a segurança dos dados durante o processo? Um único vazamento de informações pessoais, dados de saúde ou registros financeiros pode resultar em multas LGPD de até 2% do faturamento, processos judiciais e destruição irreversível de reputação. Como garantir que dados sensíveis cheguem à nuvem protegidos por criptografia adequada, com conformidade regulatória e zero perda ou exposição?
O Que Torna Dados "Sensíveis" Sob Perspectiva LGPD
LGPD (Lei Geral de Proteção de Dados) diferencia dados pessoais de dados sensíveis, que exigem proteção adicional:
Dados pessoais: qualquer informação relacionada a pessoa identificada ou identificável (nome, CPF, e-mail, IP, cookies).
Dados sensíveis (Art. 5º, II da LGPD):
Origem racial ou étnica
Convicção religiosa ou filosófica
Opinião política
Filiação sindical ou organizacional
Dados genéticos ou biométricos
Dados de saúde
Dados sobre vida sexual ou orientação sexual
Além da LGPD, setores específicos enfrentam regulamentações adicionais: HIPAA (saúde nos EUA), PCI-DSS (cartões de pagamento), BACEN (instituições financeiras no Brasil), ANVISA (dados clínicos).
Você tem visibilidade clara de onde dados sensíveis residem atualmente? Migração segura começa com mapeamento completo de ativos e classificação por criticidade.
Riscos Específicos de Migração de Dados Sensíveis
Migração não é simples transferência de arquivos, é operação de alto risco:
Exposição em trânsito:
Interceptação durante transferência (man-in-the-middle)
Transmissão através de canais não criptografados
Vazamento acidental em logs ou sistemas de monitoramento
Exposição em repouso:
Storage temporário sem criptografia durante sincronização
Snapshots e backups intermediários sem proteção
Acesso não autorizado a ambientes de staging
Riscos de conformidade:
Transferência internacional de dados sem cláusulas contratuais adequadas
Perda de rastreabilidade (quem acessou o quê, quando)
Falta de consentimento para processamento em novo ambiente
Riscos operacionais:
Corrupção de dados durante transferência
Perda de dados por falhas de sincronização
Downtime excessivo impactando operações críticas
A Infomach migrou dados sensíveis de clientes nos setores de saúde, financeiro e varejo com zero incidentes de vazamento, aplicando criptografia em todas as camadas e controles de acesso rigorosos desde o planejamento.
Criptografia em Trânsito: Protegendo Dados Durante Transferência
Dados em movimento são mais vulneráveis. Proteção adequada exige:
Túneis VPN criptografados:
Site-to-site VPN (IPsec) entre datacenter local e VPC na AWS
Client VPN (OpenVPN, AWS Client VPN) para acesso de administradores
Criptografia AES-256 com chaves gerenciadas centralmente
TLS 1.3 para transferências via internet:
AWS Transfer Family (SFTP, FTPS) com criptografia fim-a-fim
Desabilitar protocolos legados (SSLv3, TLS 1.0/1.1)
Certificados válidos com renovação automatizada
AWS DataSync e Direct Connect:
DataSync com criptografia TLS nativa para transferências massivas
Direct Connect (conexão dedicada) para dados ultra-sensíveis que não devem trafegar pela internet pública
Redução de latência e aumento de bandwidth para migrações de grande volume
Validação de integridade:
Checksums MD5/SHA-256 para cada arquivo transferido
Comparação de hashes origem vs destino antes de deletar dados locais
Logs detalhados de cada transferência para auditoria
Durante migração do setor de saúde, a Infomach utilizou Direct Connect com criptografia em camadas, garantindo conformidade HIPAA e zero downtime durante transferência de 15TB de registros médicos.
Criptografia em Repouso: Dados Protegidos na Nuvem
Dados chegando à AWS devem ser criptografados imediatamente:
AWS KMS (Key Management Service):
Gerenciamento centralizado de chaves de criptografia
Customer Master Keys (CMK) com rotação automática anual
Integração nativa com S3, EBS, RDS, DynamoDB
CloudTrail registra todo uso de chaves para auditoria
S3 bucket encryption:
Server-side encryption (SSE-S3, SSE-KMS, SSE-C)
Políticas de bucket forçando criptografia (deny upload se não criptografado)
Versionamento habilitado para recuperação de dados
EBS volume encryption:
Criptografia de volumes root e data de instâncias EC2
Snapshots automaticamente criptografados
Performance sem impacto (criptografia transparente)
RDS encryption:
Criptografia de banco de dados em repouso
Backups automatizados criptografados
Read replicas mantêm mesma configuração de criptografia
Redshift e data warehouses:
Criptografia de clusters com AES-256
Proteção de dados analíticos sensíveis (PII, PHI)
Você gerencia chaves internamente ou confia em provedor? Para ambientes ultra-regulados (bancos, saúde), recomendamos CloudHSM, hardware dedicado onde você controla chaves sem AWS ter acesso.
Estratégias de Migração para Dados Sensíveis
Migração big bang (tudo de uma vez):
Janela de manutenção estendida
Transferência completa em período off-peak
Maior risco mas menor complexidade de sincronização
Ideal para volumes menores (abaixo de 5TB) ou sistemas que toleram downtime
Migração faseada (incremental):
Sincronização inicial de dados históricos (bulk transfer)
Replicação contínua de mudanças (CDC, Change Data Capture)
Cutover final com downtime mínimo (menos de 1 hora)
Ideal para sistemas críticos que exigem alta disponibilidade
Estratégia híbrida (coexistência temporária):
Ambientes on-premise e cloud operando simultaneamente
Sincronização bidirecional durante período de transição
Rollback facilitado em caso de problemas
Ideal para organizações que precisam validar cloud antes de descomissionar datacenter
A Infomach utiliza AWS Database Migration Service (DMS) para migrações com downtime próximo a zero, aplicando CDC para manter sincronização contínua até cutover final.
AWS Database Migration Service: Migração Contínua e Segura
DMS é serviço gerenciado que simplifica migração de bancos de dados:
Funcionalidades críticas:
Homogênea: Oracle para RDS Oracle, SQL Server para RDS SQL Server
Heterogênea: Oracle para Aurora PostgreSQL, SQL Server para Aurora MySQL
Replicação contínua: CDC mantém origem e destino sincronizados
Transformação de schemas: AWS Schema Conversion Tool (SCT) automatiza conversão
Segurança integrada:
Dados criptografados em trânsito via TLS
Endpoints dentro de VPC privada (sem exposição pública)
IAM roles com least privilege para acesso a dados
CloudWatch Logs registra toda atividade de replicação
Casos de uso típicos:
Migração de SQL Server on-premise para RDS com menos de 5 minutos de downtime
Conversão de Oracle licenciado para Aurora PostgreSQL (economia de 90% em licenças)
Replicação contínua para disaster recovery ou analytics
Classificação e Tokenização de Dados Sensíveis
Nem todos os dados exigem mesmo nível de proteção. Classificação permite aplicar controles proporcionais:
Níveis de classificação:
Público: informações disponíveis publicamente (sem proteção especial)
Interno: dados corporativos não sensíveis (criptografia básica)
Confidencial: dados que causariam dano moderado se vazados (criptografia + controle de acesso)
Restrito: dados sensíveis regulados (criptografia forte + tokenização + auditoria)
Tokenização para proteção adicional:
Substituir dados sensíveis (CPF, cartão de crédito) por tokens sem valor
Manter dados reais em vault segregado e altamente protegido
Aplicações operam com tokens, eliminando risco de exposição
Conformidade PCI-DSS facilitada (redução de escopo)
Data masking para ambientes não-produtivos:
Desenvolvimento e testes não devem usar dados reais
Masking automatizado preserva formato mas altera valores (CPF válido estruturalmente, mas fictício)
Reduz risco de vazamento em ambientes menos controlados
A Infomach implementa Amazon Macie para descoberta automática e classificação de dados sensíveis em S3, identificando PII/PHI e aplicando políticas de proteção automaticamente.
Controles de Acesso e Auditoria: Quem Toca Seus Dados?
Criptografia protege dados, mas controle de acesso define quem pode descriptografar:
IAM (Identity and Access Management):
Roles com least privilege (permissões mínimas necessárias)
MFA obrigatório para acessos administrativos
Service Control Policies (SCP) em AWS Organizations limitam ações permitidas
Segregation of duties:
Administradores de infraestrutura não têm acesso direto a dados sensíveis
DPO (Data Protection Officer) controla políticas de acesso
Break-glass procedures para emergências (auditadas rigorosamente)
Auditoria contínua:
AWS CloudTrail: registra toda ação na conta AWS (quem criou/deletou/acessou recursos)
VPC Flow Logs: rastreabilidade de tráfego de rede
S3 access logs: quem acessou qual objeto, quando
Database audit logs: queries executadas, dados modificados
SIEM integrado:
Correlação de logs de múltiplas fontes em plataforma única
Alertas em tempo real para acessos anômalos (ex: usuário acessando volume 10x maior que histórico)
Dashboards de conformidade para auditorias regulatórias
A plataforma ElixGuard da Infomach processa bilhões de logs, correlacionando eventos de acesso a dados sensíveis e gerando alertas instantâneos para atividades suspeitas.
Conformidade LGPD Durante e Após Migração
LGPD não é apenas tecnologia, mas processos e governança:
Finalidade (Art. 6º, I): dados migrados devem manter mesma finalidade original (não pode aproveitar migração para mudar propósito de processamento sem novo consentimento).
Adequação (Art. 6º, II): processamento compatível com contexto informado ao titular.
Necessidade (Art. 6º, III): migrar apenas dados estritamente necessários (oportunidade para purge de dados obsoletos).
Transparência (Art. 6º, VI): titulares devem ser informados sobre mudança de ambiente de processamento se alterar riscos ou condições.
Segurança (Art. 6º, VII): medidas técnicas adequadas para proteger dados durante todo ciclo de vida.
Prevenção (Art. 6º, VIII): adotar medidas para prevenir incidentes.
Responsabilização (Art. 6º, X): demonstrar conformidade (documentação de decisões, políticas, logs).
Transferência internacional:
Dados migrados para regiões AWS fora do Brasil (us-east-1, por exemplo) configuram transferência internacional
Exige cláusulas contratuais padrão ou certificações adequadas
Recomendação: usar AWS região São Paulo (sa-east-1) para manter dados em solo brasileiro
Documentação e Evidências para Auditorias
Conformidade exige documentação rigorosa:
RIPD (Relatório de Impacto à Proteção de Dados):
Obrigatório para operações de alto risco (Art. 38 LGPD)
Migração de dados sensíveis em larga escala configura alto risco
Deve descrever: tipos de dados, processos de tratamento, medidas de segurança, análise de riscos
Registro de operações de tratamento:
Quais dados foram migrados, quando, por quem
Base legal para processamento (consentimento, legítimo interesse, obrigação legal)
Medidas de segurança aplicadas (criptografia, controles de acesso)
Políticas de retenção e eliminação:
Dados sensíveis têm prazo de retenção definido
Migração não estende prazo automaticamente
Implementar lifecycle policies no S3 para deleção automática após prazo
Evidências de conformidade:
Screenshots de configurações de criptografia
Relatórios de auditoria de acessos
Certificações de fornecedores (AWS SOC 2, ISO 27001, ISO 27018)
Contratos com cláusulas de proteção de dados
Backup e Disaster Recovery de Dados Sensíveis
Migração é momento ideal para implementar estratégia robusta de continuidade:
Backup automatizado:
AWS Backup centraliza políticas para EC2, RDS, DynamoDB, EFS
Snapshots criptografados com retenção configurável
Cross-region replication para proteção contra desastres regionais
Testes regulares de restore:
Backup sem teste é esperança, não estratégia
Simulações trimestrais de recuperação completa
Medição de RTO (Recovery Time Objective) e RPO (Recovery Point Objective) reais
Segregação de backups:
Conta AWS separada para backups (imune a comprometimento de conta produção)
Vaulting de backups críticos em AWS S3 Glacier (immutable storage)
Proteção contra ransomware (atacante não pode deletar backups)
A Infomach implementou estratégia de backup multi-região para cliente do setor financeiro, atingindo RPO de 5 minutos e RTO de 30 minutos, em conformidade com exigências do BACEN.
Ferramentas AWS para Migração Segura de Dados
AWS Snow Family (transferência física):
Snowcone, Snowball, Snowmobile para volumes massivos (petabytes)
Dados criptografados em dispositivo antes de transporte
Ideal quando bandwidth de internet inviabiliza transferência online
Cadeia de custódia rastreada durante todo transporte
AWS Transfer Family:
SFTP, FTPS, FTP gerenciados
Integração com S3 para armazenamento
Autenticação via Active Directory ou custom identity providers
Logging completo para auditoria
AWS DataSync:
Transferência automatizada entre on-premise e AWS
Validação de integridade built-in
10x mais rápido que ferramentas open-source
Criptografia TLS e integração com CloudWatch para monitoramento
AWS Storage Gateway:
Interface híbrida (file, volume, tape)
Cache local com backup contínuo para S3
Migração gradual sem impacto em aplicações
Testes de Segurança Pós-Migração
Migração concluída não significa trabalho terminado:
Validação de controles:
Testar se criptografia está efetivamente habilitada (não apenas configurada)
Validar que usuários sem permissão não conseguem acessar dados sensíveis
Confirmar que logs de auditoria estão sendo coletados e retidos
Pentest focado em dados sensíveis:
Simular tentativas de acesso não autorizado
Validar proteções contra exfiltração de dados
Testar segregação entre ambientes (dev não deve acessar produção)
Disaster recovery drill:
Simular perda total de região AWS primária
Medir tempo real de recuperação vs SLA prometido
Documentar lições aprendidas e ajustar runbooks
Gestão de Mudanças e Comunicação com Stakeholders
Migração de dados sensíveis afeta múltiplas áreas:
Comunicação interna:
TI: treinamento em novos procedimentos de acesso e administração
Jurídico: validação de conformidade regulatória
Compliance: atualização de políticas e procedimentos
Áreas de negócio: comunicação de janelas de manutenção e possíveis impactos
Comunicação com titulares (quando aplicável):
Notificação sobre mudança de processamento se alterar riscos
Atualização de política de privacidade
Reforço de direitos LGPD (acesso, correção, portabilidade, eliminação)
Comunicação com autoridades (quando aplicável):
ANPD: notificação de incidentes durante migração (se ocorrerem)
Órgãos reguladores setoriais: BACEN, ANVISA, ANS conforme setor
Custos de Segurança vs Custo de Vazamento
Implementar controles rigorosos tem custo, mas é fração do impacto de incidente:
Investimentos típicos em migração segura:
Licenças de ferramentas de criptografia e DLP: R$ 50-200k/ano
Consultorias especializadas (Infomach): R$ 80-300k (one-time)
Infraestrutura adicional (HSM, Direct Connect): R$ 20-100k/mês
Treinamento de equipes: R$ 30-80k
Custos de vazamento de dados sensíveis:
Multas LGPD: até 2% do faturamento (máximo R$ 50 milhões por infração)
Ações judiciais de titulares: indenizações variáveis
Dano reputacional: perda de clientes e redução de valuation
Custos de resposta a incidente: perícia, notificações, monitoramento de crédito
ROI é evidente: investir 5% do orçamento de migração em segurança pode evitar prejuízos 100x maiores.
Casos de Uso: Setores Altamente Regulados
Saúde (HIPAA/LGPD):
Migração de prontuários eletrônicos com 15TB de imagens médicas
Direct Connect + criptografia AES-256 + HSM para chaves
Zero downtime durante migração de 3 meses
Conformidade HIPAA e LGPD validada por auditoria externa
Financeiro (BACEN/PCI-DSS):
Migração de sistema core banking com 8 milhões de clientes
Tokenização de dados de cartão antes de migração
DMS com CDC garantindo RPO abaixo de 5 minutos
Certificação PCI-DSS mantida durante e após migração
Varejo (LGPD/PCI-DSS):
E-commerce com histórico de transações e dados de pagamento
Segregação: dados de catálogo em S3 público, dados de clientes em RDS criptografado
Macie para descoberta automática de PII em arquivos históricos
Economia de 40% em custos de compliance ao usar serviços gerenciados AWS
A Infomach possui competência setorial em saúde, financeiro e varejo, com cases documentados e certificações específicas (PCI-DSS QSA, ISO 27001).
Monitoramento Contínuo Pós-Migração
Segurança de dados sensíveis é processo permanente:
Amazon GuardDuty:
Detecção de ameaças usando ML
Identifica acessos anômalos, comunicação com IPs maliciosos, tentativas de exfiltração
AWS Config:
Monitoramento contínuo de conformidade
Alertas quando recursos fogem de baseline segura (ex: bucket S3 perde criptografia)
AWS Security Hub:
Dashboard centralizado de postura de segurança
Integração com múltiplos serviços (GuardDuty, Inspector, Macie)
Benchmarks automatizados (CIS AWS Foundations, PCI-DSS)
SIEM customizado (ElixGuard):
Correlação avançada de eventos
Alertas em tempo real para acessos suspeitos
Dashboards de conformidade para auditorias
Checklist Final: Migração Segura de Dados Sensíveis
Pré-migração:
Mapeamento completo de dados sensíveis
Classificação por criticidade e regulamentação aplicável
RIPD elaborado e aprovado por DPO/jurídico
Arquitetura de segurança validada (criptografia, controles de acesso)
Testes de transferência com dataset não-sensível
Durante migração:
Criptografia em trânsito habilitada (VPN/TLS)
Validação de integridade (checksums)
Monitoramento em tempo real de transferências
Logs detalhados de todas operações
Backup antes de qualquer deleção de dados locais
Pós-migração:
Criptografia em repouso validada
Controles de acesso testados (IAM, MFA)
Auditoria de logs funcionando
Testes de disaster recovery realizados
Documentação atualizada (runbooks, políticas)
Comunicação com stakeholders concluída
Migre com Segurança, Durma Tranquilo
Migração de dados sensíveis para cloud não precisa ser fonte de ansiedade. Com estratégia adequada, ferramentas certas e parceiro experiente, você transforma risco em oportunidade de elevar postura de segurança.
Principais benefícios de migração bem executada:
Proteção superior a datacenters legados (criptografia nativa, HSM, controles automatizados)
Conformidade facilitada com frameworks regulatórios (LGPD, ISO, PCI-DSS)
Auditoria simplificada através de logs centralizados e imutáveis
Disaster recovery robusto com custos reduzidos
Precisa migrar dados sensíveis para AWS mantendo conformidade LGPD e zero risco de vazamento? A Infomach é AWS Advanced Partner com competência em Generative AI e cases documentados em setores altamente regulados (saúde, financeiro, varejo). Oferecemos migração com criptografia em todas as camadas, Direct Connect para máxima segurança e suporte pós-migração com monitoramento 24x7.
