Serviços de Mensagens Eletrônicas

Serviços de mensagens eletrônicas são os canais que transportam mensagens e anexos entre pessoas: e-mail corporativo e webmail, chat interno, plataformas de colaboração, aplicativos de mensagens de consumo e SMS. Cada um movimenta dados de um jeito, então uma política escrita para e-mail raramente serve para os demais.

Para a proteção de dados, a categoria importa porque a mensagem é a forma mais comum de informações saírem da organização sem que ninguém pretenda isso. O conteúdo desses canais é tratado pela prevenção contra perda de dados (DLP), e o lado dos arquivos do mesmo problema é coberto por serviços de compartilhamento de arquivos.

A comunicação empresarial usa vários tipos de serviço. Cada um transporta dados de forma diferente e exige atenção própria.

A mensageria foi feita exatamente para a ação que a proteção de dados quer controlar: enviar conteúdo para outra pessoa. Quatro características agravam o risco. O canal é usado o dia inteiro, então só o volume já garante erros. A escolha do destinatário é propensa a falhas, porque o preenchimento automático e nomes parecidos causam divulgação sem intenção. Anexos levam documentos inteiros em um clique. E, em um dispositivo compartilhado, um arquivo enviado para um chat pessoal em vez do canal da equipe já saiu da organização.

O uso deliberado segue os mesmos caminhos. O lado acidental é descrito em divulgação inadvertida, e o deliberado em exfiltração de dados. Por isso o canal não pode simplesmente ser confiado ou bloqueado, porque bloqueá-lo interrompe o negócio.

A criptografia ponta a ponta oculta o conteúdo da mensagem no trânsito e do provedor do serviço, então a inspeção de rede e de gateway vê apenas metadados: quem escreveu para quem, quando e qual era o tamanho do anexo. Duas consequências decorrem disso. O controle de conteúdo precisa funcionar onde o conteúdo ainda é legível, no endpoint, antes da criptografia ou depois da descriptografia, que é o papel do DLP de endpoint. E a organização não pode contar com o provedor para manter registro do que foi enviado, o que pesa em investigações e obrigações de retenção.

Cinco controles juntos cobrem o canal, da política ao conteúdo protegido. Cada um falha sozinho: política sem inspeção é só um documento, e inspeção sem regras de destinatário deixa passar o erro de endereço. Regras que combinam conteúdo com destino amarram os controles, como descrito em controle de fluxo de dados.

Na interceptação de comunicadores da Anexet, cada comunicador web tem seu próprio interruptor, então o administrador decide, serviço por serviço, quais conversas são inspecionadas. O webmail funciona da mesma forma. O e-mail corporativo é tratado pela interceptação de e-mail, enquanto uma caixa pessoal aberta no navegador da empresa é configurada à parte.

1 / 2

• 
• 

Registros de mensagens costumam estar sujeitos a obrigações legais: regras de retenção em serviços financeiros e públicos, pedidos de acesso a dados pessoais pela LGPD e produção de provas em litígios. Comunicação em serviços de consumo não aprovados é difícil de apresentar sob demanda, o que torna a política de canais uma questão de conformidade além da segurança.

O monitoramento da comunicação dos funcionários também é regulado em muitas jurisdições. A governança normalmente combina controles técnicos com aviso aos empregados, proporcionalidade e, quando exigido, acordo com representantes dos trabalhadores. Verifique as regras locais antes de ativar a inspeção de qualquer canal.

Comece pelos dados cujo vazamento mais prejudicaria a empresa e depois veja os canais que esses dados realmente usam. Políticas escritas para todos os arquivos em todos os serviços de uma vez acabam bloqueando o trabalho e são desligadas. Uma lista curta de conteúdos protegidos e de dois ou três canais aprovados rende mais do que uma longa lista de proibições.

Leitura adicional: Sistemas DLP — o que são e como funcionam; Engenharia social vs. sistemas DLP: como proteger sua empresa de vazamentos de dados.