A restauração terminou num domingo à noite. Na terça-feira os livros contábeis abrem, os contratos estão de volta nas suas pastas e o responsável financeiro está numa chamada com o auditor. O auditor faz a pergunta que o software de backup não consegue responder: como sabemos que estes arquivos são os mesmos que vocês tinham antes do incidente?
Um backup mostra o que você tem agora. Não mostra que nada mudou entre a última cópia limpa e a que você restaurou. Se alguém esteve dentro da rede durante dias antes de a criptografia começar, um arquivo restaurado pode já carregar uma edição que ninguém notou.
O que um arquivo restaurado não consegue provar sozinho
Um PDF retirado do backup carrega uma data de modificação escrita pelo computador que o salvou por último. Essa data pode ser definida como qualquer valor. O arquivo não guarda registro de como estava no mês passado, e nenhum terceiro o atestava na época. A sua palavra de que ele corresponde é todo o caso.
A legislação contábil suíça espera mais. O artigo 3 da Ordenança sobre os livros comerciais (GeBüV) exige que os livros comerciais e os comprovantes contábeis sejam guardados de forma que não possam ser alterados sem que isso seja detectável. O artigo 9, parágrafo 1, letra b admite suportes de armazenamento modificáveis desde que procedimentos técnicos garantam a integridade da informação armazenada e que o momento do armazenamento possa ser provado de forma não falsificável; a própria ordenança cita procedimentos de assinatura digital e carimbos de tempo como exemplos. O artigo 10 acrescenta verificações regulares da integridade e legibilidade dos suportes, e um registro de qualquer migração, guardado junto com os dados.
Uma restauração move dados de um suporte para outro, e o critério do artigo 10 é o que o seu auditor vai aplicar: os dados foram preservados completos e corretos, e você consegue mostrar isso?
O que um selo acrescenta
Quando um documento é selado na Swiss Trust Layer, é calculada uma impressão digital criptográfica do arquivo. Essa impressão, não o arquivo, é enviada à Swisscom Trust Services, o prestador qualificado de serviços de confiança, que a assina com uma chave que nunca sai do seu hardware. A assinatura carrega um carimbo de tempo conforme a RFC 3161 e é incorporada ao PDF. O arquivo original não é alterado. Cada versão selada de uma pasta recebe também um certificado de prova que lista cada arquivo com a sua impressão e a hora de selagem em UTC.
Pelo artigo 41, parágrafo 2, do Regulamento eIDAS, um selo temporal qualificado beneficia da presunção de exatidão da data e da hora que indica e de integridade dos dados aos quais a data e a hora estão associadas. O carimbo de tempo prova que exatamente este arquivo existia naquele momento e não mudou desde então. Não prova quem o escreveu, se o seu conteúdo é verdadeiro ou quem detém os direitos. Para uma questão de integridade depois de uma restauração, é justamente dessa afirmação estreita que você precisa.
A verificação depois de uma restauração
Pegue a cópia restaurada de um PDF selado e envie-a ao validador público em swisstrustlayer.com/validate. Sem conta, sem cadastro. Ele verifica a cadeia de assinatura, a autoridade certificadora emissora, a validade do certificado e a integridade do carimbo de tempo, e então informa quem assinou, quando, com qual certificado e se o conteúdo foi modificado depois da assinatura. Ele processa os metadados da assinatura e não armazena o documento.
Se o arquivo restaurado está intocado, o validador diz isso, e o carimbo de tempo data esse estado para antes do incidente. Se algo mudou, a impressão já não corresponde e o validador informa uma modificação após a assinatura. De qualquer forma, a resposta não depende da sua própria palavra, e um banco, uma seguradora, uma contraparte ou um auditor podem rodar a mesma verificação na própria máquina.
O limite, dito com clareza
Isto ajuda para arquivos que foram selados antes do incidente. Nada mais.
Selar um arquivo depois da restauração prova como esse arquivo estava no dia em que você o selou, e vai mostrar qualquer mudança a partir desse dia. Não diz nada sobre as semanas anteriores. Se um registro foi alterado durante a invasão e depois selado no sistema limpo, o selo fixa a versão alterada. Um carimbo de tempo não pode ser adicionado para trás. Para tudo o que não foi selado antes, você volta à sua própria palavra e aos logs de backup, e o passo sensato é começar a selar agora.
Quais registros selar, e quando
Selar tudo não é o objetivo. Os registros sobre os quais um auditor ou uma contraparte vai perguntar formam uma lista curta, e a maioria fecha num calendário:
- Livros de fechamento e as exportações por trás deles, a cada fim de mês, de trimestre e de ano.
- Contratos assinados, assim que a última assinatura estiver feita.
- Atas do conselho, depois de assinadas pelo presidente e por quem redigiu a ata.
- Políticas e procedimentos, a cada revisão aprovada.
- Manifestos de backup, o inventário do que cada execução de backup contém. Depois de uma restauração, um manifesto selado mostra qual conjunto de backup você usou e que o seu inventário não foi editado desde então.
Cada pasta selada na Swiss Trust Layer mantém um histórico de versões. Uma nova versão pode ser adicionada e selada separadamente, com o seu próprio certificado e uma nota, de modo que uma pasta de fim de mês pode conter doze versões seladas até o fim do ano.
Guarde o original selado em outro lugar
O selo cobre uma impressão digital do seu documento, então o arquivo selado e o seu certificado também precisam sobreviver ao incidente. Se o ransomware chegar à pasta onde os PDFs selados estão, a impressão não consegue reconstruí-los. Guarde os dois num segundo lugar, longe dos sistemas com mais chance de serem atingidos.
O portal oferece o ESCROW Storage como opção de armazenamento, hospedado na Suíça e vinculado à identidade verificada do titular da conta. As pastas seladas depositadas ali recebem um ESCROW ID para recuperação. A Swisscom Trust Services fornece o armazenamento, a ProLitteris opera o escrow, a Swiss Trust Layer fornece a tecnologia. Se todas as credenciais forem perdidas no incidente, a identidade pode ser verificada de novo, online ou presencialmente por meio de um agente KYC, e o acesso restaurado.
Um passo nesta semana
O artigo 10 pede verificações regulares de integridade e um registro de cada migração. Depois de qualquer restauração, passe os arquivos selados pelo validador, registre os resultados e guarde esse registro junto com os dados.
Depois escolha o registro que você menos gostaria de defender de memória. O último livro de fechamento é um bom candidato. Sele-o, coloque o arquivo selado e o seu certificado onde o próximo incidente não consegue chegar, e marque o próximo fim de mês no calendário. O mecanismo completo está em como funciona.
Sele o seu primeiro documento na Swiss Trust Layer e dê uma resposta à próxima pergunta.
