O OneDrive é seguro? Tudo sobre a segurança de dados do OneDrive

O OneDrive, serviço de nuvem da Microsoft, é usado para armazenar, organizar e compartilhar dados de usuários. Conheça o padrão de proteção de dados da Microsoft e descubra se ele é suficientemente alto para a sua demanda.

Fatos sobre a segurança do OneDrive

De acordo com informações fornecidas pela Microsoft, os uploads, downloads e backups utilizam uma criptografia de ponta a ponta com o padrão de criptografia AES-256-Bit.

Além disso, a autenticação em dois fatores e o padrão de criptografia TLS/SSL complementam a segurança do OneDrive, oferecendo uma proteção satisfatória para dados na nuvem. Contudo, apesar da boa criptografia, a localização dos servidores nos EUA levanta a possibilidade de compartilhamento de dados com autoridades americanas. Por isso, outros provedores com servidores localizados na Alemanha ou na Europa geralmente oferecem alternativas melhores em termos de proteção de dados.

O que é OneDrive?

Com o OneDrive, você pode armazenar e organizar seus arquivos, documentos e outros dados, como contatos, notas, senhas ou fotos, na nuvem da Microsoft. O OneDrive está disponível para os sistemas Windows mais populares, mas exige uma conta Microsoft. Quem utiliza o Microsoft 365 possui automaticamente acesso ao OneDrive.

Se desejar, é possível sincronizar os dados do OneDrive entre dispositivos ou ativar a sincronização apenas para aplicativos e dispositivos selecionados. O serviço também permite criar backups automáticos e compartilhar arquivos com outras pessoas para colaboração. Um benefício adicional: o OneDrive está integrado a todas as contas Microsoft, oferecendo 5 GB de armazenamento gratuito.

Qual é a criptografia utilizada pelo OneDrive?

Informações detalhadas sobre as medidas de segurança do OneDrive podem ser encontradas na página de suporte da Microsoft. A Microsoft destaca o uso de criptografia de ponta a ponta com o padrão AES-256-Bit para garantir proteção adicional aos dados. Para ilustrar, quebrar essa criptografia exigiria bilhões de anos, mesmo com um supercomputador. Como método de criptografia, o AES-256-Bit oferece uma proteção robusta, mesmo contra ataques de força-bruta. Além disso, a transmissão de dados entre cliente e servidor é protegida pelo uso de TLS.

Como o OneDrive acessa dados?

Assim como no Google Drive, o OneDrive permite que arquivos e pastas sejam compartilhados com pessoas específicas, permitindo visualização, abertura e edição. O menu “Compartilhar” está disponível para arquivos e pastas, onde você pode selecionar as pessoas, gerar um link de compartilhamento ou enviá-lo diretamente por e-mail. É possível editar ou revogar as permissões a qualquer momento, mantendo o controle total sobre os direitos de acesso e decidindo quem pode visualizar ou editar os arquivos.

A Microsoft afirma que o acesso aos dados do OneDrive segue o princípio do “Zero Standing Access”, ou seja, os técnicos só podem acessar os dados em casos excepcionais, mediante permissão explícita e sob rigorosas medidas de segurança e manutenção. No entanto, há uma exceção importante: autoridades governamentais dos EUA. A Microsoft é obrigada a cumprir solicitações legítimas de informações dessas autoridades e pode conceder acesso aos dados armazenados no OneDrive. Devido a leis norte-americanas como o Cloud Act e o Foreign Intelligence Surveillance Act (FISA), que estabelecem critérios baixos para vigilância e compartilhamento de dados, existe o risco de que autoridades dos EUA possam acessar os dados do OneDrive com relativa facilidade.

OneDrive e Cloud Act

O Cloud Act é uma legislação dos EUA aprovada em 2018, que amplia significativamente os poderes de vigilância das autoridades norte-americanas. Empresas dos EUA, como a Microsoft, são obrigadas a fornecer dados a autoridades, mesmo que estejam armazenados em servidores fora dos EUA. Assim, a Microsoft é legalmente obrigada a liberar dados do OneDrive quando as autoridades apresentam uma ordem judicial. Em alguns casos, esse acesso pode ser concedido até mesmo sem essa ordem.

Outra vulnerabilidade no que diz respeito à segurança do OneDrive quanto aos dados: como os EUA não atendem mais aos padrões europeus de proteção de dados, o Tribunal de Justiça da União Europeia invalidou, em 2020, o “EU-US Privacy Shield”. Isso significa que as empresas que transferem dados para os EUA devem garantir por conta própria que o armazenamento e a transferência de dados comerciais e de clientes cumpram as diretrizes europeias de soberania de dados na computação em nuvem. Apesar disso, a Microsoft afirma que sempre que possível contesta legalmente as solicitações de dados feitas pelo governo. A empresa se certificou no EU-US Data Privacy Framework, sucessor do Privacy Shield, mas, como se trata de um processo de auto-certificação, não há garantias completas de que os usuários podem confiar totalmente nessas práticas.

A segurança do OneDrive evita ataques cibernéticos?

De maneira geral, a Microsoft, assim como o Google e a Apple, oferece uma segurança sólida e confiável em sua solução de armazenamento em nuvem. Isso é especialmente válido para quem utiliza o OneDrive para fins pessoais ou para armazenar dados não críticos para os negócios.

Entre as medidas de proteção do OneDrive contra ataques cibernéticos e acessos não autorizados, destacam-se:

• Proteção por senha com uma senha segura
• Autenticação em dois fatores
• Criptografia AES-256-Bit
• Criptografia TLS
• Zero-Standing-Access
• Proteção de rede por meio de redes isoladas e firewalls
• Criptografia móvel de dados com o aplicativo OneDrive
• Recuperação de conta (por e-mail, número de telefone ou pergunta de segurança)
• Notificações de conta em caso de logins suspeitos
• Filtro de spam para e-mails do OneDrive e varredura de vírus com o Microsoft Defender
• Proteção contra ransomware (no Microsoft 365)
• Cofre pessoal do OneDrive
• Centros de dados seguros com georredundância
• Backups automáticos do OneDrive
• Sincronização de dados com dispositivos conectados
• Verificação automática de uploads em busca de malware ou conteúdos ilegais
• Criptografia de ponta a ponta para backups, uploads e downloads

Onde ficam localizados os servidores do OneDrive?

Os servidores da Microsoft para o OneDrive estão principalmente nos Estados Unidos, mas também em países da Ásia e da União Europeia (UE). Assim, é muito provável que os dados sejam transferidos e armazenados nos EUA ou em outros países fora da UE. De acordo com as regulamentações da UE, isso constitui uma transferência para um país terceiro, o que não está alinhado com os padrões europeus de proteção de dados e não oferece uma base jurídica sólida para a privacidade. Por conta disso, as empresas precisam implementar suas próprias medidas para garantir a segurança dos dados dos clientes e contestar legalmente possíveis acessos governamentais.

Desde maio de 2021, no entanto, a Microsoft oferece uma fronteira de dados na UE, permitindo que clientes europeus optem por processar os dados exclusivamente dentro da União Europeia.

A segurança do OneDrive atende ao GDPR e às normas de proteção de dados da UE?

Devido à transferência de dados para servidores nos EUA e em países fora da UE, o OneDrive não é considerado compatível com o GDPR. A distribuição para servidores localizados fora da União Europeia significa que os dados não recebem proteção suficiente. Além disso, a Microsoft reserva, em seus termos de uso, direitos para utilizar os dados armazenados, o que torna incerta a conformidade com o GDPR no processamento e transmissão de dados.

A Microsoft informa que o armazenamento e processamento de dados do OneDrive ocorre em regiões geográficas e zonas de disponibilidade distribuídas. Contudo, não fica claro para os usuários a quais regiões geográficas pertencem os servidores utilizados. Outra área nebulosa é que a Microsoft realiza varreduras de uploads no OneDrive, como documentos e fotos, para melhorar a segurança contra malware e conteúdos ilegais. A base técnica dessas varreduras e o destino dos dados analisados não são transparentes, deixando claro que, sem medidas adicionais por parte das empresas, o OneDrive não cumpre integralmente os requisitos do GDPR.

O OneDrive é seguro para empresas e compliance?

Sob a perspectiva de privacidade e compliance, o OneDrive apresenta problemas. Se você deseja usar o OneDrive para fins comerciais, precisará adotar medidas proativas para atender às normas de proteção de dados da UE relacionadas à segurança de dados empresariais e dos usuários. No entanto, tais precauções individuais não alteram o fato de que o OneDrive é um serviço de uma empresa dos EUA com servidores internacionais, transferências de dados para países terceiros pouco transparentes, isenções de responsabilidade e obrigação de fornecimento de dados às autoridades.

Mesmo com medidas técnicas e jurídicas, ainda existe a possibilidade de que autoridades dos EUA acessem seus dados. Em 2020, a Conferência das Autoridades Independentes de Proteção de Dados da Alemanha (DSK) declarou que o OneDrive não é compatível com o GDPR para uso empresarial.

As empresas que ainda decidirem usar o OneDrive devem incluir na política de privacidade as seguintes informações:

• Por quais razões o OneDrive é utilizado para o armazenamento de dados?
• Qual é a base legal para o armazenamento e processamento dos dados?
• Foi firmado um contrato de processamento de dados com a Microsoft?
• Como as pessoas podem contestar a coleta e o processamento de seus dados?
• Onde é possível encontrar os termos de uso e as políticas de privacidade vigentes da Microsoft?

De acordo com o artigo 28 do GDPR, as empresas devem firmar um contrato de processamento de dados com a Microsoft ao armazenar dados comerciais no OneDrive. Nesse contrato, é necessário definir:

• Quais dados pessoais a Microsoft recebe.
• O motivo da transferência de dados para a Microsoft.
• O período pelo qual a Microsoft armazenará os dados.
• Quais direitos, obrigações e exclusões de responsabilidade são aplicáveis.

Se você deseja usar o OneDrive em conformidade com o GDPR e as diretrizes de compliance, siga estas orientações:

• Obtenha o consentimento do usuário por meio de um opt-in para cookies essenciais e não essenciais.
• Assine um contrato de processamento de dados com a Microsoft.
• Atualize sua política de privacidade com informações claras e detalhes sobre o processamento de dados pela Microsoft.
• Analise as cláusulas contratuais padrão da Microsoft.
• Documente os riscos relacionados à transferência de dados e proteja-se juridicamente contra violações de privacidade.

Quais são as principais alternativas ao OneDrive?

Caso você tenha dúvidas sobre as medidas de segurança da Microsoft e esteja se perguntando qual é a nuvem mais segura, conheça provedores de nuvem alemães. Entre os provedores com maior proteção de dados e locais de servidores em conformidade com o GDPR, destacam-se o HiDrive Cloud da IONOS, a leitzcloud da vBoxx e a Secure Cloud.

Com a nossa comparação entre soluções de armazenamento em nuvem, você pode obter uma visão geral dos serviços oferecidos e do nível de segurança oferecido pelas alternativas ao OneDrive.