> ## Content Index
> Fetch the complete content index at: https://www.azurebrasil.cloud/llms.txt
> Use this file to discover other available public pages before exploring further.

# Protegendo dados em repouso e em trânsito no Azure: criptografia de ponta a ponta com Key Vault, TLS e BYOK
- URL: https://www.azurebrasil.cloud/blog/protegendo-dados-em-repouso-e-em-transito-no-azure-criptografia-de-ponta-a-ponta-com-key-vault-tls-e-byok/
- Published: 2025-06-23T19:49:17.000Z
- Updated: 2025-06-24T12:28:05.000Z
- Author: Ricardo Martins

## Introdução

A segurança dos dados é uma prioridade em qualquer arquitetura em nuvem, principalmente com a crescente exigência de conformidade com normas como **LGPD**, **HIPAA**, **GDPR**, **ISO 27001** e **PCI DSS**.

Neste artigo, você vai entender como proteger **dados em repouso e em trânsito no Azure** usando os principais mecanismos de criptografia da plataforma, como:

- Criptografia padrão da Microsoft
- **Azure Key Vault**
- **Chaves gerenciadas pelo cliente (CMK)**
- **BYOK (Bring Your Own Key)**
- Criptografia TLS para dados em trânsito

## 1\. Criptografia em repouso no Azure

Todos os dados armazenados no Azure são criptografados por padrão com **encryption at rest**. Essa criptografia é:

- Transparente para o cliente
- Baseada em **AES-256**
- Gerenciada com **chaves da Microsoft por padrão**

Para mais controle, você pode usar **chaves gerenciadas pelo cliente (CMK)** via **Azure Key Vault**.

## 2\. Azure Key Vault: gerenciamento central de chaves e segredos

O **Azure Key Vault** permite armazenar:

- Chaves (RSA, EC, HSM)
- Segredos (senhas, tokens, strings de conexão)
- Certificados (SSL/TLS)

**Exemplo: criar e usar uma chave**

```bash
az keyvault create --name kv-protecao --resource-group rg-segurança
az keyvault key create --vault-name kv-protecao --name chaveCmk --protection software
```

## 3\. CMK: usando chaves do Key Vault para criptografia

Serviços que suportam **CMK** incluem:

- Azure Storage (Blob, File, Queue)
- Azure SQL Database
- Cosmos DB
- Azure Disk Encryption
- Azure Synapse

**Exemplo de configuração no Azure Storage:**

```bash
az storage account update \
  --name mystorageaccount \
  --resource-group rg \
  --encryption-key-source Microsoft.Keyvault \
  --key-name chaveCmk \
  --key-vault-uri https://kv-protecao.vault.azure.net
```

## 4\. BYOK e Azure Dedicated HSM

Você pode importar suas próprias chaves para o Key Vault (BYOK) ou usar um módulo de segurança dedicado (HSM):

- [BYOK com RSA-HSM](https://learn.microsoft.com/en-us/azure/key-vault/keys/byok-overview?ref=azurebrasil.cloud)
- [Azure Dedicated HSM](https://learn.microsoft.com/en-us/azure/dedicated-hsm/?ref=azurebrasil.cloud)

Ideal para bancos, governo ou empresas com alta exigência regulatória.

## 5\. Criptografia em trânsito: TLS/SSL

Todos os serviços PaaS do Azure suportam comunicação segura via HTTPS.

**Boas práticas:**

- Use **TLS 1.2+**
- Ative o **HTTPS Only** nos App Services
- Desabilite ciphers fracos com Azure Front Door ou App Gateway
- Armazene seus certificados no Key Vault
- Renove automaticamente com **App Service Managed Certificates** ou **ACME bots**

## 6\. Diagrama ilustrativo

![](https://storage.ghost.io/c/00/52/0052dced-0017-4d07-b190-1f5c48e0ab59/content/images/2025/06/Editor-_-Mermaid-Chart-2025-06-23-194612.png)

## 7\. Monitoramento e auditoria

Use o **Azure Monitor + Diagnostic Settings** para capturar:

- Logs de acesso a Key Vault
- Eventos de uso de chaves
- Falhas de TLS com App Insights

## Referências oficiais

- [Azure Key Vault documentation](https://learn.microsoft.com/en-us/azure/key-vault/general/?ref=azurebrasil.cloud)
- [Disk encryption overview](https://learn.microsoft.com/en-us/azure/virtual-machines/disk-encryption-overview?ref=azurebrasil.cloud)
- [BYOK with Key Vault](https://learn.microsoft.com/en-us/azure/key-vault/keys/byok-specification?ref=azurebrasil.cloud)
- [Secure traffic with TLS](https://learn.microsoft.com/en-us/azure/security/fundamentals/encryption-overview?ref=azurebrasil.cloud)

## Conclusão

Com os recursos de criptografia e gerenciamento de chaves do Azure, é possível implementar segurança de ponta a ponta para **dados em repouso e em trânsito**.

**Recomendações finais:**

- Use CMK para dados sensíveis
- Habilite HTTPS/TLS para todos os serviços
- Audite o uso de chaves via Log Analytics
- Avalie BYOK/HSM para exigências regulatórias mais rígidas