O que um mapa de fluxo de dados documenta
Um mapa de fluxo de dados registra o mesmo conjunto de atributos para cada fluxo de dados na organização:
| Atributo | O que registra |
|---|---|
| Origem | De onde vêm os dados, como um formulário de cliente ou uma base de terceiros |
| Sistemas de processamento | Aplicativos, bancos de dados e processos que tratam os dados |
| Armazenamento | Onde os dados ficam guardados e por quanto tempo |
| Destinos | Destinatários internos, parceiros externos, provedores de nuvem ou transferências internacionais |
| Categoria de dados e base legal | O tipo de dado envolvido e o motivo do tratamento |
Como o mapeamento é feito na prática
A maioria das organizações combina três métodos, e cada um cobre uma lacuna dos outros. A observação técnica só funciona nos sistemas que a descoberta de ativos já encontrou:
- 1
Entrevistar os responsáveis
Percorra cada processo de negócio para saber quais dados ele usa e para onde os envia.
- 2
Inventariar os sistemas
Liste aplicativos, bancos de dados e integrações, com os dados que cada um trata.
- 3
Observar o tráfego
Verifique o tráfego real e a atividade de arquivos, o que revela fluxos que ninguém documentou.
Por que as organizações fazem um
O mapeamento é impulsionado principalmente por obrigações que exigem demonstrar por escrito para onde vão os dados:
- Registro das operações de tratamento exigido pelo artigo 37 da LGPD, que pede a documentação das finalidades, categorias de dados e destinatários.
- Relatórios de impacto à proteção de dados (RIPD), que precisam de um retrato preciso de um fluxo específico antes que seus riscos sejam avaliados.
- Avaliações de risco de fornecedores e terceiros, que dependem de saber quais partes externas recebem dados de fato, e não apenas quais contratos as mencionam.
- Regras de transferência internacional, que se aplicam apenas a fluxos que de fato saem de um país, fato que o mapa precisa comprovar.
Em que se distingue de conceitos próximos
O controle de fluxo de dados aplica regras às transferências em tempo real, enquanto o mapa descreve os fluxos sobre os quais essas regras atuam. A tabela mostra como três termos vizinhos se relacionam com o mapa:
| Conceito | O que faz | Papel em um mapa de fluxo de dados |
|---|---|---|
| Classificação de dados | Rotula os dados por sensibilidade | Um atributo registrado em cada fluxo, não o próprio mapa |
| Linhagem de dados (data lineage) | Acompanha como um conjunto de dados é transformado em pipelines e relatórios | Visão mais restrita e técnica; o mapa também cobre processos de negócio e terceiros |
| Controle de fluxo de dados | Permite, alerta ou bloqueia transferências específicas em tempo real | Atua sobre os fluxos depois que o mapa os mostra |
Como isso aparece na Anexet
O mapa é desenhado a partir de documentos, mas o Anexet Activity mostra quais canais os dados realmente usaram. As estatísticas abaixo contam, ao longo do tempo, e-mails enviados e recebidos, transferências FTP, dispositivos USB, armazenamento em rede e impressoras, para que cada canal possa ser conferido com o mapa.
Manter o mapa atualizado
Um mapa de fluxo de dados é um retrato do momento. Novos aplicativos, integrações e fornecedores mudam os fluxos descritos quase assim que o mapa é desenhado, e um mapa feito uma única vez com base em entrevistas tende a se afastar da realidade. Conferi-lo com o tráfego observado mantém o mapa útil para a conformidade e para responder a um vazamento de dados.
Por onde começar
Comece pelos fluxos que mais prejudicariam a empresa se vazassem e depois verifique os canais que os transportam com a prevenção contra perda de dados. Um mapa que cobre todos os fluxos de uma vez raramente fica pronto, enquanto um que começa pelos fluxos mais arriscados costuma ser usado.
Leitura adicional: Vazamento técnico de informações: o que é e como se proteger?.
Um mapa feito apenas com entrevistas descreve intenções. O tráfego observado mostra o que realmente acontece.
Anexet TeamComo a Anexet resolve isto
A Anexet não produz, por si só, diagramas de fluxo de dados prontos para conformidade nem um registo das atividades de tratamento. A sua monitorização oferece, contudo, uma visão baseada em evidências de como os dados se movem realmente, útil para construir ou validar um mapa face à realidade e não a suposições:
Visibilidade completa de canais
os agentes de endpoint observam os dados a circular por correio eletrónico, carregamentos na web, aplicações de armazenamento na nuvem, mensagens instantâneas, dispositivos removíveis, impressão, área de transferência e partilhas de rede, ou seja, os canais que um mapa de fluxo de dados tem de considerar.
Detecção sensível ao conteúdo
tesauros de segurança, bases de hashes e bibliotecas de impressões digitais identificam que tipo de dados está presente numa dada transferência, para que um fluxo observado possa ser associado a uma categoria de dados em vez de ficar genérico.
Detalhes de transferência registrados
cada fluxo é registado com utilizador, data e hora, canal e destino, oferecendo um registo factual de para onde os dados foram realmente, e não apenas para onde um documento de processo diz que deveriam ir.
Arquitetura on-premise
os dados de atividade e os registos de auditoria usados para validar um mapa de fluxo permanecem na própria infraestrutura da organização.
Anexet DLP
Saiba mais