Lista de Palavras Proibidas

Uma lista de palavras proibidas faz um único trabalho: indica ao sistema qual conteúdo merece uma análise mais atenta. A lista, por si só, é inofensiva. O valor vem do canal que ela protege, como e-mail de saída ou upload de arquivos, onde um acerto pode disparar um alerta, uma quarentena ou um bloqueio. Em um programa de prevenção de perda de dados, ela é a forma mais rápida de descrever o que conta como informação sensível.

A ideia é mais antiga que qualquer produto. As equipes de segurança sempre nomearam o que não pode sair da empresa, de nomes de projetos a preços não lançados. Um dicionário transforma esse conhecimento em uma regra que o sistema aplica a cada mensagem ao mesmo tempo.

As listas costumam ser organizadas em dicionários temáticos, e não em um único arquivo plano. Assim, uma política pode acionar “dados de pagamento” ou “registros de RH” em vez de milhares de termos soltos. Marcações da classificação de dados são um bom ponto de partida, porque um rótulo que a equipe já aplica é um sinal confiável.

Dicionários de palavras-chave não exigem registro prévio de documentos. Por isso podem sinalizar dados não estruturados que ninguém havia registrado, nem sequer conhecia.

São transparentes: um analista pode ler a regra e entender exatamente por que ela foi acionada. São também baratos de executar em escala e a forma natural de registrar conhecimento específico de uma organização. Um nome de código não significa nada para um modelo genérico e significa tudo para a empresa que o usa.

A busca bruta por palavras-chave, sozinha, gera volumes inutilizáveis de alertas. As implementações práticas acrescentam os mecanismos abaixo, e cada um deles restringe o que conta como acerto.

A técnica é imprecisa por natureza. Um termo pode aparecer em registros genuínos, em material de treinamento, em discussões sobre política ou em um texto não relacionado que compartilha o mesmo vocabulário. Cada um desses casos é um falso positivo, e falsos positivos ensinam os revisores a descartar alertas.

Falsos negativos surgem de paráfrases, abreviações, erros de grafia deliberados, tradução e conteúdo que foi transformado em imagem. As listas também envelhecem: nomes de código mudam, surgem novos produtos e um dicionário que ninguém mantém protege, aos poucos, os segredos do ano passado.

O Anexet entrega esses tesauros como categorias prontas, que as políticas podem referenciar pelo nome. A lista mostra cada categoria com o número de palavras e de pesquisas, então conjuntos muito ruidosos são fáceis de identificar antes de uma política entrar em produção. As mesmas categorias são usadas no Anexet DLP.

A correspondência por dicionário é uma camada, não uma estratégia. Normalmente é combinada com hashes de correspondência exata para arquivos conhecidos, impressões digitais dos documentos mais importantes e classificadores estatísticos ou baseados em modelos para categorias que resistem à enumeração.

A camada de dicionário se justifica porque capta o que os outros métodos não enxergam: conteúdo não registrado e termos específicos da organização. O Anexet combina essas abordagens; os detalhes estão na página de impressões digitais e correspondência por hash.

Comece pelas palavras cujo vazamento causaria mais dano e depois verifique os canais por onde elas realmente circulam. Uma política escrita para todos os termos de uma vez bloqueia o trabalho comum, e as pessoas encontram formas de contorná-la.

Leitura adicional: Sistemas DLP — o que são e como funcionam.