Os três pilares da proteção de dados
A maioria das definições de proteção de dados se apoia em três objetivos relacionados, mas distintos. Cada pilar protege os mesmos dados de um jeito diferente, por isso um programa que cobre apenas um deles deixa lacunas. A tabela mostra o que cada objetivo significa na prática para os dados sensíveis:
| Pilar | O que garante | Controles típicos |
|---|---|---|
| Confidencialidade | Apenas pessoas e sistemas autorizados podem ler ou usar os dados | Controle de acesso, criptografia e monitoramento de conteúdo sensível |
| Integridade | Os dados estão corretos e não foram alterados nem corrompidos | Somas de verificação, controle de versões e trilhas de auditoria |
| Disponibilidade | Usuários autorizados acessam os dados quando precisam | Backups, redundância e planos de recuperação de desastres |
Proteção de dados e termos relacionados
O termo proteção de dados é usado de forma imprecisa com frequência, então vale separá-lo de três termos vizinhos:
Segurança de dados é mais restrita. Refere-se aos controles técnicos, como criptografia, controle de acesso e firewalls, que mantêm os dados confidenciais e íntegros. A proteção de dados é mais ampla e inclui também backup, recuperação, retenção e política de ciclo de vida.
Privacidade de dados trata dos direitos que as pessoas têm sobre suas informações pessoais: o que é coletado, para quê e com quem é compartilhado. A proteção de dados é a disciplina operacional que faz esses compromissos de privacidade funcionarem na prática.
A governança de dados define regras, responsabilidades e prestação de contas sobre como os dados são gerenciados na organização. A proteção de dados implementa a parte dessas regras que mantém os dados seguros.
Principais medidas técnicas e organizacionais
Regulamentos que exigem proteção de dados, como o RGPD europeu e a LGPD brasileira, não definem um conjunto único de ferramentas. Na prática, a maioria dos programas combina os mesmos elementos:
- Criptografia de dados em repouso e em trânsito, para que dados interceptados ou roubados continuem ilegíveis sem a chave.
- Controle de acesso e autenticação, limitando quem pode visualizar, alterar ou exportar dados conforme o papel e a necessidade.
- Backup e recuperação, mantendo cópias recuperáveis para que uma falha de hardware, um ransomware ou um erro humano não signifique perda permanente.
- Prevenção contra perda de dados (DLP), monitorando e bloqueando os canais pelos quais dados sensíveis poderiam sair do controle da organização, por engano ou de propósito.
- Classificação de dados e descoberta, para que os controles sejam aplicados onde o conteúdo sensível realmente está, e não de forma uniforme ou em lugar nenhum.
- Política de retenção e descarte, mantendo os dados apenas pelo tempo necessário e depois sanitizando-os ou destruindo-os.
Quem responde pela proteção de dados na empresa
A proteção falha quando ninguém é dono das decisões. Ameaças internas agravam o problema, porque funcionários que já têm acesso legítimo também podem expor dados.
| Papel | Responsabilidade | Acesso |
|---|---|---|
| Dono dos dadosGestor da unidade de negócio | Decisões de classificação e retenção | Total, para os próprios dados |
| Custodiante dos dadosAdministrador de TI | Armazenamento, backups e controles técnicos | Somente acesso técnico |
| Usuário dos dadosColaborador | Tratamento dos dados dentro das regras aprovadas | Apenas o que o papel exige |
Como isso aparece no Anexet
No console do Anexet, dicionários de palavras-chave definem quais tipos de conteúdo sensível o sistema reconhece, como números de cartão, números de seguro social ou termos financeiros. Uma regra de bloqueio decide então o que acontece quando esse conteúdo aparece em uma transferência. As duas coisas são configuradas no Anexet DLP, e a lógica de aplicação está descrita em bloqueio de transferência de dados.
1 / 2
O panorama regulatório
Proteção de dados também é um termo jurídico. Muitos países aprovaram leis que transformam algumas dessas medidas em obrigações vinculantes, e não apenas em boas práticas.
O Regulamento Geral sobre a Proteção de Dados da União Europeia (GDPR, ou RGPD) é o exemplo mais influente. Ele se aplica a qualquer organização que trate dados pessoais de residentes na UE e exige salvaguardas técnicas e responsabilização demonstrável.
Os Estados Unidos não têm uma lei federal única de proteção de dados. Aplicam-se regras setoriais, como a HIPAA para informações de saúde e a GLBA para dados financeiros, além de leis estaduais, como a CCPA/CPRA na Califórnia.
Outras jurisdições adotaram estruturas comparáveis, incluindo a LGPD brasileira e diversas leis nacionais de proteção de dados, muitas delas inspiradas em parte na estrutura do GDPR.
Essas leis diferem em escopo e em aplicação, mas compartilham uma estrutura comum. Definem o que é dado protegido, exigem salvaguardas adequadas e prevêem sanções, frequentemente multas elevadas, quando os dados são expostos por negligência.
Por que a proteção de dados é um programa contínuo, e não um projeto
A proteção de dados costuma ser tratada como uma checklist de conformidade feita de uma vez. O risco subjacente, porém, é contínuo: todos os dias surgem dados novos, funcionários mudam de função e de necessidade de acesso, o armazenamento migra para novos serviços em nuvem e atacantes desenvolvem novas técnicas de exfiltração.
Programas eficazes combinam, portanto, três práticas permanentes, em vez de uma única auditoria que logo fica desatualizada:
- 1
Descoberta
Identificar continuamente onde estão os dados sensíveis.
- 2
Monitoramento
Acompanhar como os dados sensíveis circulam entre os canais.
- 3
Revisão de acessos
Verificar periodicamente quem ainda tem acesso a eles.
Por onde começar
Comece pelos dados cujo vazamento causaria mais dano e depois mapeie os canais por onde eles realmente circulam. Políticas escritas para todos os arquivos de uma vez acabam bloqueando o trabalho comum e são desativadas.
Leitura adicional: Como manter meus dados pessoais seguros?; Use o sistema Anexet Ultimate DLP para atender ao RGPD.
Dados raramente vazam em um movimento dramático. Eles saem por um e-mail comum, uma pasta de sincronização ou um pendrive.
Anexet TeamComo a Anexet resolve isto
O Anexet contribui para um programa de proteção de dados principalmente através do seu módulo DLP, que aplica a confidencialidade e monitoriza a movimentação de dados nos canais que os colaboradores efetivamente utilizam.
Deteção baseada em conteúdo
Os tesauros de segurança, as bases de hashes, as impressões digitais e a integração com etiquetas de sensibilidade identificam conteúdo protegido, como dados pessoais, registos financeiros ou segredos comerciais, onde quer que surja nas transferências.
Aplicação em todos os canais
Os agentes de endpoint monitorizam e podem bloquear o correio eletrónico, o tráfego web, as aplicações de armazenamento na nuvem, as mensagens instantâneas, os dispositivos amovíveis, a impressão e a área de transferência. Assim, fecham-se os canais pelos quais os dados protegidos se perdem com mais frequência.
Registo de auditoria para responsabilização
Cada evento detetado é registado com o utilizador, a data e a hora, o canal e a ação tomada, o que sustenta os registos de responsabilização exigidos pelos regulamentos de proteção de dados.
Visibilidade do risco interno
A monitorização de atividade e a análise comportamental assinalam o fator de risco interno, colaboradores negligentes ou mal-intencionados, que as ferramentas baseadas apenas no perímetro não detetam.
Implementação on-premise
O Anexet é implementado dentro da própria infraestrutura da organização. O fornecedor não tem acesso aos dados do cliente, pelo que o controlo sobre os dados protegidos permanece com o seu proprietário.
Anexet DLP
Saiba mais