Por que a classificação vem em primeiro lugar
A maioria das organizações não consegue proteger tudo no nível mais alto. Isso é caro demais e paralisa o trabalho do dia a dia. A classificação resolve o problema ao responder a uma pergunta anterior: quais dados realmente precisam de qual proteção? Quando um conjunto de documentos tem um nível de sensibilidade, cada controle posterior pode referenciar esse nível em vez de decidir caso a caso. Uma política como «não enviar dados Restritos a destinatários externos» passa a ser aplicável no e-mail, nos uploads da web, no armazenamento em nuvem e nas mídias removíveis, porque o rótulo acompanha os dados.
A mesma lógica sustenta a prevenção de perda de dados (DLP), que precisa saber o que protege antes de bloquear qualquer coisa. A maioria dos esquemas começa pelos dados sensíveis e desce a partir daí.
Níveis comuns de classificação
Os esquemas variam por setor, mas a maioria se resume a três a cinco níveis:
Esquemas governamentais e de defesa acrescentam marcações formais e restrições de manuseio, mas a lógica é a mesma: menos categorias, aplicadas de forma consistente, vencem categorias granulares aplicadas de forma inconsistente.
| Nível | O que abrange |
|---|---|
| Pública | Aprovada para divulgação. A exposição não causa dano, como preços publicados. |
| Interna | Informação corporativa de rotina, não destinada a terceiros, como planos de projeto. |
| Confidencial | A exposição causaria dano mensurável: contratos, registros financeiros, dados pessoais. |
| Restrita / Secreta | O menor conjunto, com exposição grave: credenciais, código-fonte, fusões. |
Como a classificação é aplicada
Existem quatro métodos para atribuir um nível. Na classificação manual, o autor escolhe o nível ao criar ou salvar um documento, normalmente em um seletor de rótulos do aplicativo. Funciona quando os usuários são treinados e motivados, mas é inconsistente em grande escala.
A classificação automatizada analisa o conteúdo e atribui um nível com base em padrões: correspondências de palavras-chave e dicionários, expressões regulares para identificadores estruturados (números de cartão, números de documentos), impressões digitais e modelos de documentos, além de modelos estatísticos ou de aprendizado de máquina.
A classificação baseada em contexto infere o nível a partir de onde os dados estão ou de quem os criou, como um repositório, uma pasta compartilhada de um departamento ou um aplicativo conhecido por guardar registros regulados. A classificação herdada dá aos arquivos derivados o nível da origem, o que mantém exportações, cópias e anexos sob governança.
Na prática, os métodos se combinam: a automação propõe, os usuários confirmam ou alteram, e o contexto fornece um valor mínimo para que nada fique sem rótulo. O rótulo que carrega o resultado é descrito em rotulagem de dados.
Comparação dos métodos
Cada método troca esforço por consistência. A tabela mostra onde cada um funciona melhor.
| Método | Como define o nível | Força e limite |
|---|---|---|
| Manual | O autor escolhe o nível ao salvar | Precisa quando os usuários são treinados; inconsistente em escala |
| Automático | Padrões, dicionários, impressões digitais e modelos | Lida com grandes volumes; falsos positivos exigem revisão |
| Baseado em contexto | Local, dono ou aplicativo de origem | Dá um nível rápido a repositórios inteiros; ignora o conteúdo |
| Herdado | O nível do arquivo de origem | Mantém cópias sob governança; falha se a origem não tem rótulo |
Onde a classificação falha
A classificação é uma superfície de controle, não uma garantia. Três modos de falha se repetem. Lacunas de cobertura deixam dados antigos não estruturados sem rótulo, então as políticas nunca os veem. A perda de rótulo acontece quando copiar, capturar a tela ou colar em um chat leva o conteúdo, mas descarta o rótulo. A deriva significa que os dados são classificados uma vez e nunca revisados: os antigos ficam superprotegidos enquanto os novos ficam subprotegidos.
Por isso, a aplicação baseada no conteúdo costuma ser combinada com rótulos. Um controle que reconhece conteúdo sensível diretamente continua funcionando quando o rótulo falta ou está desatualizado, o que mais importa para os dados não estruturados que ninguém rotulou.
Como isso aparece no Anexet
No console do Anexet DLP, uma única regra de bloqueio pode combinar uma condição de rótulo com uma condição de texto, e os conjuntos de palavras-chave fornecem as correspondências de texto. Ambas são definidas no editor de regras de bloqueio com reconhecimento de conteúdo.
1 / 2
Classificação e conformidade
Estruturas regulatórias raramente exigem um esquema específico, mas pressupõem que ele exista. As obrigações do GDPR se aplicam a dados pessoais e de categorias especiais, e regras setoriais cobrem registros de pagamento, de saúde e financeiros. A classificação mostra quais obrigações se aplicam a quais dados. Ela é a base prática para solicitações de titulares, cronogramas de retenção e avaliações de notificação de violação.
Por onde começar
Comece pelos dados cujo vazamento causaria mais dano e depois mapeie os canais que esses dados realmente usam. Políticas escritas para todos os arquivos de uma vez acabam bloqueando o trabalho e são desligadas. Mantenha poucos níveis, para que as pessoas escolham certo sem um manual, e registre cada escolha em um rótulo descritivo.
Leitura adicional: Auditoria de Acesso a Dados Sensíveis e Controle de Acesso Discricionário.
Um esquema com quatro níveis que todos aplicam vence um com doze que ninguém lembra.
Anexet TeamComo a Anexet resolve isto
O Anexet usa a classificação como uma entre várias entradas, para que as políticas continuem funcionando quando os rótulos estão ausentes ou incompletos:
Integração com rótulos de confidencialidade
rótulos existentes aplicados em aplicativos corporativos são lidos como condições de política, de modo que o esquema de classificação da organização orienta a aplicação diretamente.
Reconhecimento baseado em conteúdo
onde faltam rótulos, o conteúdo é avaliado por tesauros de segurança (170 dicionários prontos), regras de padrões para identificadores estruturados, bancos de hashes para correspondências exatas de arquivos e bibliotecas de impressões digitais para modelos de documentos.
Aplicação em todos os canais
o veredito da classificação define a ação: permitir, registrar, alertar, colocar em quarentena para revisão ou bloquear. Vale para e-mail, web, armazenamento em nuvem, mensageiros, dispositivos removíveis, impressão e área de transferência.
Trilha de auditoria completa e atribuível
cada decisão é registrada com usuário, data e hora, canal, classificação do conteúdo e ação tomada.
Arquitetura on-premise
regras de classificação, conteúdo inspecionado e logs permanecem dentro da própria infraestrutura da organização.
Anexet DLP
Saiba mais