Segurança do alojamento SIG: o que protege os seus dados no LizPack

Segurança do alojamento SIG: o princípio no LizPack

O LizPack é uma infraestrutura geoespacial de código aberto: implementa, liga, atualiza e monitoriza software livre reconhecido (Lizmap, QGIS Server, PostgreSQL e PostGIS, GeoServer, QField), sem o substituir. A segurança dos seus dados assenta, portanto, em duas coisas: a segurança própria desse software, mantido pelas respetivas comunidades, e a forma como o LizPack o instala, isola, atualiza e monitoriza.

Este guia descreve unicamente as medidas publicadas nas páginas de produto do LizPack. Não fala de certificações nem da localização dos servidores, porque essas informações não constam das nossas páginas públicas. Se a sua organização tiver requisitos precisos sobre estes pontos, deve colocar a questão ao suporte antes de subscrever, ou resolvê-la instalando o LizPack Entreprise na sua própria infraestrutura.

As medidas dividem-se em cinco famílias, detalhadas nas secções seguintes: a cifragem das comunicações, o isolamento dos espaços, a proteção contra a perda de dados, a monitorização dos serviços e a portabilidade, ou seja, a possibilidade de levar os seus dados consigo.

Comunicações cifradas ao longo de todo o percurso

Os seus dados circulam em vários momentos: quando um visitante consulta um mapa, quando publica a partir do QGIS, quando um técnico de SIG se liga a uma base de dados. Cada um destes trajetos é cifrado.

A renovação automática do certificado conta tanto como o próprio certificado. Um certificado expirado desencadeia alertas nos navegadores e leva os visitantes a aceitar avisos de segurança sem os ler, um mau hábito. Numa instância do LizPack Map, não tem de pensar nisso.

A cifragem protege o trajeto, não o conteúdo depois de chegar: um mapa público continua a ser público, mesmo servido em HTTPS. É por isso que as secções seguintes tratam do isolamento dos espaços e da configuração das permissões, que são o que decide quem pode ver o quê.

Espaços isolados e acessos separados

Numa infraestrutura partilhada, a primeira pergunta é saber se os outros clientes podem ver os seus dados. Cada solução do LizPack responde à sua maneira.

• GeoServer Cloud. Cada conta dispõe do seu próprio espaço de trabalho GeoServer, com as suas próprias credenciais. As suas camadas e os seus estilos só são visíveis para si; as camadas das outras contas não são nem visíveis nem acessíveis.
• Bases PostgreSQL e PostGIS. Cada base dedicada tem as suas próprias credenciais, fornecidas no momento da criação. É dedicada exclusivamente à sua conta.
• Instâncias Lizmap. Uma base PostgreSQL/PostGIS por instância. A partir do plano Basic, cada instância tem também o seu próprio QGIS Server. As permissões de acesso aos mapas configuram-se na administração do Lizmap.
• LizPack Field. Os colaboradores são convidados projeto a projeto, com uma função atribuída a cada um.
• LizPack Viewer. O que se partilha é o mapa, não os dados: cada pessoa só vê as camadas dos projetos a que tem acesso. Sem conta, só são apresentadas as camadas dos projetos públicos.
• LizPack Catalogue. Um dado à venda só mostra a sua pré-visualização; os seus atributos e ficheiros estão reservados aos compradores.

Na oferta alojada, o LizPack não dá acesso de administrador aos servidores partilhados. É uma escolha deliberada: é isso que permite garantir a sua segurança e as suas atualizações. Trabalha a partir da área de cliente, do gestor de ficheiros online e da extensão do QGIS, sem nunca abrir uma sessão num servidor.

Controlar o que partilha

Uma boa parte da segurança de um mapa configura-se do seu lado, com as ferramentas fornecidas. As predefinições não substituem uma decisão consciente sobre o que deve ser público e o que não deve.

• No Lizmap, configure as permissões de acesso de cada mapa na administração do Lizmap: mapa público, ou reservado a determinadas contas ou grupos. Uma camada que não deve ser vista não deve constar de um projeto publicado publicamente.
• No LizPack Viewer, a partilha de um mapa oferece três níveis: apenas o utilizador, as contas do LizPack Field que têm a ligação, ou toda a gente. Escolhe também as camadas, os campos visíveis e o cabeçalho. Só um mapa aberto a qualquer pessoa que tenha a ligação fornece um código de incorporação para um sítio web.
• No GeoServer Cloud, cada serviço publicado tem um endereço próprio do seu espaço: publique em WMS ou WFS apenas as camadas destinadas a ser divulgadas.
• Na sua equipa, convide os colaboradores de que precisa (até cinco no plano Pro do LizPack Map), e não mais.
• No seu computador, se utilizar o LizPack Publisher, guarde as suas credenciais no gestor de autenticação do QGIS em vez de as deixar em texto simples.

O guia Partilhar um mapa online detalha as diferentes formas de divulgar um mapa e as respetivas consequências na visibilidade dos dados.

Nenhuma perda silenciosa: quotas e alertas

Os incidentes de dados mais frequentes não são ataques, mas sim espaços cheios e eliminações involuntárias. As regras do LizPack foram concebidas para que ultrapassar um limite nunca faça desaparecer dados.

1. Avisar. Os alertas avisam-no antes de um espaço ficar cheio. Para uma base dedicada, é enviado um e-mail logo aos 60 % de ocupação, e depois aos 75, 80, 90 e 95 %.
2. Dar tempo. Ultrapassada a quota, um período de tolerância de 24 horas permite-lhe libertar espaço.
3. Parar sem esvaziar. Decorrido esse prazo, a base é parada. Nunca é esvaziada: nenhum dado é eliminado.

Esta escolha tem um custo visível, já que uma base parada deixa de alimentar os seus mapas, mas evita o pior: descobrir mais tarde que foram truncadas tabelas para caberem numa quota. Os alertas sucessivos dão-lhe várias oportunidades de agir antes de se chegar a esse ponto. O guia Compreender os planos e as quotas do LizPack detalha as quotas de cada plano.

Expiração, conservação e cópias de segurança

Uma subscrição pode terminar, por opção ou por esquecimento. O LizPack não elimina os seus dados no próprio dia.

• Conservação de 60 dias. Após a expiração de uma subscrição, a instância para, mas os seus projetos, os seus ficheiros e a sua base de dados são conservados durante 60 dias.
• Três avisos. Três e-mails avisam-no antes de qualquer eliminação.
• Regresso tal como estava. Uma renovação dentro do prazo devolve a instância tal como estava.
• Cópias de segurança opcionais. As cópias de segurança das instâncias são propostas como opção. Os módulos adicionados fazem parte da configuração da instância, que é guardada e restaurada juntamente com ela.

As cópias de segurança das instâncias são uma opção: sem ela, a proteção assenta nas regras de conservação acima e nas suas próprias cópias. Para dados importantes, guarde sempre do seu lado uma cópia dos seus projetos QGIS e uma exportação das suas bases de dados.

No LizPack Field, o plano Enterprise, implementado na sua própria infraestrutura, inclui cópias de segurança diárias. No LizPack Entreprise, as cópias de segurança são agendadas e podem ser copiadas para o seu armazenamento S3.

Monitorização, atualizações e transparência

Um software atualizado é um software mais seguro. Numa instância do LizPack Map, a atualização do Lizmap e do QGIS Server lança-se com um clique a partir da área de cliente. Está incluída a partir do plano Pro; nos planos Free e Basic, custa 10 USD por componente. O GeoServer Cloud, por sua vez, é instalado, protegido e monitorizado pelo LizPack, sem nenhuma atualização a fazer do seu lado.

A monitorização abrange dois níveis. O estado dos serviços de cada instância é verificado continuamente, e uma ligação interrompida entre os componentes de uma instância é detetada e reparada. À escala da plataforma, o estado geral dos serviços é publicado numa página pública: pode verificar por si próprio se está a decorrer um incidente, sem esperar por uma resposta do suporte.

Por fim, o LizPack Publisher mantém um registo de cada operação, que se copia com um clique para ser anexado a um pedido de suporte. Em caso de problema, o diagnóstico parte de factos, não de suposições.

A sua lista de verificação em dez pontos

A segurança de um SIG alojado é partilhada: o LizPack trata da infraestrutura, e o utilizador trata dos conteúdos e dos acessos. Eis as verificações a fazer, desde a subscrição até ao dia a dia, apenas com as ferramentas descritas acima.

1. Escolher o plano certo. Se várias pessoas tiverem de modificar os dados a partir do QGIS, é necessário o plano Pro, que abre a ligação cifrada à base da instância.
2. Separar o público do interno. Uma instância para os mapas públicos e outra para os mapas de trabalho, em vez de permissões complexas num mesmo portal.
3. Configurar as permissões no Lizmap para cada mapa, logo na publicação, e revê-las quando a equipa mudar.
4. Limitar a equipa às pessoas que precisam, e retirar as que saem.
5. Rever os projetos antes de publicar. Retirar as camadas e os campos que não têm de ser vistos.
6. Escolher o nível de partilha de cada mapa do LizPack Viewer, bem como os campos visíveis.
7. Ler os alertas de quota logo a partir do primeiro, para agir enquanto ainda há margem.
8. Lançar as atualizações do Lizmap e do QGIS Server quando forem propostas.
9. Guardar as suas próprias cópias dos projetos e das exportações das bases, e subscrever a opção de cópia de segurança se os seus dados o justificarem.
10. Consultar a página pública de estado dos serviços antes de concluir que a avaria está do seu lado.

Portabilidade: os seus dados ficam em formatos normalizados

Um dado bem protegido é também um dado que se pode levar. O LizPack não o prende: tudo o que deposita ou produz permanece em formatos abertos, legíveis por outros programas.

Na prática, sair do LizPack consiste em recuperar os seus projetos e os seus ficheiros, exportar as suas bases de dados e depois publicá-los com um Lizmap instalado nos seus próprios servidores ou noutro fornecedor de alojamento. O guia Alojar o Lizmap ou instalá-lo por conta própria descreve o que exige uma instalação feita por si.

Quando os dados não devem sair das suas instalações

Algumas organizações não podem confiar os seus dados a um fornecedor de alojamento, sejam quais forem as medidas tomadas: dados sensíveis, obrigações regulamentares, política interna. Para elas, o LizPack Entreprise instala a mesma infraestrutura num servidor que elas controlam.

• Dados no local. Mapas, bases de dados, ficheiros e cópias de segurança ficam na sua infraestrutura, ou no armazenamento que escolher.
• O seu diretório. O início de sessão passa pelo Active Directory, LDAP ou OpenID Connect (Entra ID, Keycloak), com funções, grupos e acesso por mapa.
• Cópias de segurança e recuperação. Cópias de segurança agendadas, cópia para o seu armazenamento S3 e reconstrução completa num servidor novo.
• Atualizações controladas. Aplica-as quando decidir; o gestor de portais descarrega a nova versão com a sua licença e aplica-a sem reinstalar, com os dados conservados.
• Internet limitada. É necessário acesso à internet para instalar e atualizar; no dia a dia, os computadores dos utilizadores só precisam de chegar ao seu servidor.

O guia SIG local e soberania dos dados aprofunda esta abordagem, e Alojado ou nos seus servidores ajuda a escolher entre as duas fórmulas.

Perguntas frequentes