Dados Sensíveis

Dados sensíveis formam um grupo amplo. Um cadastro de cliente, um prontuário, um número de cartão e um projeto de produto precisam de proteção, mesmo tendo pouco em comum. O ponto em comum é que a exposição pode prejudicar uma pessoa ou uma organização, com consequências legais, financeiras ou reputacionais.

O conceito abrange registros estruturados em bancos de dados e logs, mas também conteúdo não estruturado, como documentos, planilhas e mensagens de chat. Antes de proteger esses dados, a empresa precisa saber o que é sensível no seu ambiente, e isso é o trabalho da classificação de dados.

Dados sensíveis costumam ser agrupados em categorias reconhecidas. Dados pessoais, por exemplo, identificam uma pessoa específica, diretamente ou quando combinados com outros dados. A tabela mostra os grupos principais e as regras que costumam se aplicar a eles.

Não existe uma lista universal de dados sensíveis. Cada regulamentação a define dentro do seu escopo:

Leis regionais e setoriais, como a CCPA da Califórnia, acrescentam definições próprias. Por isso, as organizações costumam manter um inventário interno de dados ligado a cada regulamento aplicável.

• A LGPD protege dados pessoais, ou seja, qualquer informação sobre uma pessoa identificável. Dados sensíveis, como saúde e origem racial ou étnica, exigem base legal específica antes do tratamento.
• A HIPAA define informações de saúde protegidas como dados de saúde criados ou tratados por uma entidade coberta em qualquer forma: eletrônica, em papel ou oral.
• O PCI DSS foca nos dados do portador do cartão. Após a autorização, proíbe o armazenamento de dados sensíveis de autenticação, como os dados completos da trilha, o CVV e o PIN.

As ferramentas de detecção combinam vários métodos, e cada um tem pontos fortes diferentes:

• Tesauros: dicionários de palavras-chave de um tema, como termos de cartão de crédito ou vocabulário financeiro.
• Padrões: expressões regulares que encontram identificadores, como números de conta bancária, CEP ou o formato do SSN dos EUA.
• Impressões digitais e bancos de hashes: detecção de cópias exatas e de modelos de documentos conhecidos.
• Rótulos de sensibilidade: conteúdo que já traz um rótulo de sensibilidade da Microsoft.

As definições variam conforme a regulamentação, e os dados sensíveis estão espalhados pelos sistemas. A perda de controle gera multas, obrigações de notificação de incidentes e danos à reputação, por isso o primeiro passo prático é descobrir e classificar. Dados sensíveis são o objeto central da prevenção contra perda de dados (DLP), e a ferramenta só consegue proteger o que encontra.

1. 1

   Descobrir

   Encontre onde os dados sensíveis estão nos sistemas, nos endpoints e nos serviços em nuvem.

2. 2

   Classificar

   Rotule os dados para que a sensibilidade fique clara para pessoas e ferramentas.

3. 3

   Aplicar controles

   Defina a proteção proporcional à sensibilidade de cada categoria, começando pelos canais mais expostos.

No Anexet DLP, a aba Objects of analysis reúne os componentes da detecção. O primeiro quadro mostra os dicionários integrados, e o segundo, as expressões regulares para identificadores de formato fixo. O administrador os seleciona ao criar uma regra de bloqueio.

1 / 2

• 
• 

A maioria dos projetos de detecção falha do mesmo jeito: começa pelas regras, e não por uma lista clara do que precisa ser protegido. Um dicionário que pega qualquer menção a folha de pagamento, ou um padrão que casa com qualquer número de nove dígitos, enche a fila de alarmes falsos, e os funcionários logo aprendem a ignorá-los.

• Escrever regras antes de existir um inventário de dados, deixando os repositórios mais sensíveis sem cobertura.
• Usar uma única lista de palavras para todos os departamentos, o que bloqueia o trabalho normal.
• Tratar o rótulo como prova: ele pode faltar, estar errado ou nunca ser aplicado a arquivos copiados.
• Monitorar só o e-mail e ignorar armazenamento em nuvem, mensageiros e mídias removíveis, onde um vazamento de dados pode começar sem ser notado.

Comece pelos dados cujo vazamento causaria mais dano e depois pelos canais por onde eles realmente circulam. Regras escritas para todos os arquivos de uma vez bloqueiam o trabalho legítimo e acabam desligadas. Uma primeira política estreita, que as pessoas aceitam, vale mais do que uma ampla que é desativada em uma semana.

Leitura adicional: Auditoria de Acesso a Dados Sensíveis e Controle de Acesso Discricionário; Os 5 principais tipos de dados que os concorrentes tentam roubar.