Provavelmente já viu o Box no trabalho: é um dos grandes nomes da gestão de conteúdos na cloud para empresas, construído em torno da colaboração, dos fluxos de trabalho e do controlo de administração. Mas «usado por grandes empresas» não é o mesmo que «privado», por isso a verdadeira pergunta é: o Box é realmente seguro, e seguro em relação a quem? Este guia dá uma resposta honesta e mostra como tornar os seus ficheiros verdadeiramente privados.
O que o Box protege de facto
O Box leva a sério a segurança de base e é sólido contra ameaças externas.
- Cifragem em trânsito e em repouso - os ficheiros viajam por TLS e são armazenados cifrados com AES-256 nos servidores do Box.
- Duplo fator e SSO - o Box suporta 2FA e o início de sessão único empresarial (SAML), tornando o sequestro de contas muito mais difícil.
- Controlos de administração granulares - os administradores definem permissões de pastas, ligações partilhadas com validade, confiança de dispositivos e políticas de acesso muito precisas.
- Muita conformidade - o Box exibe certificações como HIPAA, FedRAMP, PCI DSS, ISO 27001 e alinhamento com o RGPD, uma grande razão para a sua adoção em setores regulados.
Os extras empresariais: KeySafe e Shield
Dois suplementos pagos levam o Box mais longe do que a maioria dos clouds de consumo. O Box KeySafe permite a uma organização gerir as suas próprias chaves de cifragem (apoiadas num serviço de gestão de chaves) e obter um registo de auditoria de cada uso de chave - útil para a conformidade e para revogar acessos. O Box Shield acrescenta deteção de ameaças, alertas de anomalia e controlos de acesso baseados em classificação. São verdadeiras vantagens empresariais.
A ressalva de privacidade: o Box não é zero-knowledge
Aqui está o limite honesto. Por predefinição, o Box detém as chaves de cifragem. É isso que permite a pesquisa, as pré-visualizações, a partilha e a recuperação pelo administrador - mas também significa que o Box pode tecnicamente ler o seu conteúdo e, como empresa dos EUA, pode ser obrigado a entregar dados legíveis ao abrigo de leis como o CLOUD Act. «Cifrado» aqui significa cifrado contra terceiros, não contra o fornecedor.
Nem o KeySafe torna o Box zero-knowledge: as chaves continuam a ser usadas para processar os seus ficheiros do lado do Box. Isso é diferente da cifragem do lado do cliente, zero-knowledge, em que o fornecedor só vê texto cifrado e nunca detém uma chave utilizável.
Como tornar os ficheiros no Box realmente privados
Se quer ficheiros que ninguém além de si possa abrir, mantenha a chave no seu dispositivo:
- Cifre antes de enviar com uma ferramenta gratuita e de código aberto como o Cryptomator. Cria um cofre cifrado dentro da sua pasta do Box: só é enviado texto cifrado e só você detém a palavra-passe.
- Use um fornecedor zero-knowledge para os seus dados mais sensíveis, onde a cifragem do lado do cliente seja a predefinição e não um suplemento.
Prefere zero-knowledge? pCloud + Crypto
Jurisdição suíça · Cifragem do lado do cliente com o suplemento Crypto · Planos vitalícios
Conclusão
O Box é uma plataforma realmente segura e pronta para a conformidade, feita para a colaboração empresarial, e contra atacantes externos aguenta-se bem. O que não é, por predefinição, é privado em relação ao próprio Box: o fornecedor detém as chaves e responde à jurisdição dos EUA. Se isso importa para um dado ficheiro, cifre-o do lado do cliente antes de chegar ao Box, ou guarde-o num serviço zero-knowledge - então «seguro» e «privado» passam finalmente a significar o mesmo.
Perguntas frequentes
- O Box é seguro?
- Contra atacantes externos, sim: o Box é um dos clouds de consumo mais seguros. Cifra os ficheiros em trânsito (TLS) e em repouso (AES-256), suporta duplo fator e SSO, oferece permissões de administração granulares e exibe fortes certificações (HIPAA, FedRAMP, ISO 27001, RGPD). A ressalva é que isto é «seguro contra terceiros», não «privado em relação ao Box». Por predefinição o Box detém as chaves de cifragem, por isso pode tecnicamente aceder ao seu conteúdo e pode ser obrigado a entregar dados legíveis ao abrigo da lei dos EUA. Para colaboração empresarial é sólido; para dados que só você deve poder ler, não é zero-knowledge.
- O Box usa cifragem de ponta a ponta?
- Não, não por predefinição. O Box cifra os dados em trânsito e em repouso, e o Box gere essas chaves, por isso o modelo é cifragem do lado do servidor, não de ponta a ponta. Isso protege contra interceção e roubo de discos, mas como o Box detém as chaves, ele (e quem o obrigar legalmente) pode aceder ao conteúdo. A verdadeira cifragem de ponta a ponta ou zero-knowledge, em que só você detém a chave, não é a predefinição do Box. Pode acrescentá-la cifrando os ficheiros localmente antes de os enviar.
- O Box é zero-knowledge?
- Não. Mesmo com o seu suplemento empresarial de gestão de chaves (KeySafe), as chaves são usadas para processar o seu conteúdo do lado do Box, por isso o Box não é um serviço zero-knowledge como o pCloud Crypto, o Tresorit ou um cofre Cryptomator. O KeySafe dá a uma organização mais controlo e um registo de auditoria sobre o uso das chaves, valioso para a conformidade, mas não é o mesmo que a cifragem do lado do cliente, em que o fornecedor nunca vê uma chave utilizável nem o seu texto em claro.
- O Box cumpre a HIPAA e o RGPD?
- O Box é muito usado em setores regulados e suporta a conformidade com quadros como HIPAA, FedRAMP, PCI DSS, ISO 27001 e o RGPD, e assina um acordo de subcontratante para clientes de saúde. Mas «pronto para conformidade» não é «privado por conceção»: esses quadros regem como os dados são tratados e protegidos, não se o fornecedor os pode ler. O Box pode, a não ser que cifre primeiro do lado do cliente.
- Como torno os ficheiros no Box realmente privados?
- Cifre-os antes de chegarem ao Box. Uma ferramenta gratuita e de código aberto como o Cryptomator cria um cofre cifrado dentro da sua pasta do Box: só é enviado texto cifrado e só você detém a chave. Em alternativa, para dados realmente sensíveis, use um fornecedor zero-knowledge cuja cifragem do lado do cliente seja a predefinição. Em ambos os casos o objetivo é o mesmo: a chave nunca sai do seu controlo.
Armazenamento cloud cifrado → pCloud
Sediada na Suíça · add-on Crypto do lado do cliente · planos vitalícios
