A classificação de dados é um dos pilares da segurança da informação, pois estabelece critérios para identificar o nível de sensibilidade de cada informação e definir controles adequados para sua proteção. Nesta aula, exploraremos os principais tipos de classificação — dados sensíveis, públicos e internos — e as práticas recomendadas para armazenamento seguro, garantindo confidencialidade, integridade e disponibilidade.

Entender como classificar dados é fundamental para implementar políticas de segurança eficazes, cumprir regulamentações como a LGPD e evitar vazamentos ou acessos não autorizados. Vamos mergulhar em cada categoria e nas técnicas de proteção.

Dados sensíveis

Dados sensíveis são aqueles cuja exposição não autorizada pode causar danos significativos a indivíduos ou à organização. Incluem informações pessoais (CPF, RG, dados bancários), dados de saúde, segredos comerciais, propriedade intelectual e credenciais de acesso. Esses dados exigem os mais altos níveis de proteção, como criptografia, controle de acesso rigoroso e monitoramento constante.

Exemplos comuns: números de cartão de crédito, prontuários médicos, senhas, chaves privadas de criptografia. A classificação como sensível deve ser explícita, com políticas claras de manuseio, armazenamento e descarte. A LGPD, por exemplo, define dados sensíveis como aqueles sobre origem racial, convicção religiosa, saúde, vida sexual, dados genéticos ou biométricos.

Boas práticas: aplicar criptografia em repouso e em trânsito, usar autenticação multifator, realizar auditorias regulares e garantir que apenas pessoas autorizadas tenham acesso.

Dados públicos

Dados públicos são informações que podem ser divulgadas livremente sem causar prejuízo à organização ou a terceiros. Exemplos incluem materiais de marketing, comunicados de imprensa, informações institucionais disponíveis em sites públicos. Embora não exijam controles rigorosos, ainda assim devem ser verificados para evitar vazamento acidental de dados sensíveis.

É importante destacar que a classificação 'público' não significa ausência de responsabilidade. A organização deve garantir que a informação seja precisa e que não contenha dados confidenciais embutidos. Políticas de revisão antes da publicação são recomendadas.

Exemplo: um relatório anual de resultados financeiros, após aprovação, pode ser classificado como público. O acesso a esses dados geralmente não requer autenticação, mas a integridade deve ser preservada.

Dados internos

Dados internos são aqueles cujo acesso é restrito aos colaboradores da organização, mas que não causariam danos graves se divulgados. Incluem memorandos internos, políticas de RH, manuais de procedimentos, planilhas de planejamento. Embora não sejam tão críticos quanto dados sensíveis, sua exposição pode gerar riscos operacionais ou de imagem.

O controle de acesso para dados internos geralmente é baseado em autenticação (login/senha) e autorização por função. A criptografia pode ser aplicada, mas não é obrigatória em todos os casos. A classificação deve ser claramente identificada em documentos, com marca d'água ou metadados.

Exemplo: uma apresentação de resultados trimestrais para uso interno deve ser protegida contra acesso externo, mas pode ser compartilhada livremente entre departamentos.

Armazenamento seguro

Armazenamento seguro envolve a implementação de controles técnicos e organizacionais para proteger dados em repouso, ou seja, quando estão salvos em dispositivos ou servidores. As principais técnicas incluem:

  • Criptografia em repouso: dados devem ser criptografados no disco ou banco de dados usando algoritmos como AES-256.
  • Controle de acesso: usar listas de controle de acesso (ACLs) e permissões baseadas em função (RBAC).
  • Backup e recuperação: manter cópias seguras em locais distintos, com criptografia e testes periódicos.
  • Segmentação de rede: isolar dados sensíveis em redes ou sub-redes separadas.
  • Monitoramento e auditoria: registrar acessos e alterações para detecção de anomalias.

Além disso, é crucial definir políticas de retenção e descarte seguro de dados, como a destruição física de mídias ou a eliminação criptográfica. O armazenamento seguro não é apenas uma questão técnica, mas também de processos e treinamento de pessoal.

Referências

Exercícios

  1. Cite três exemplos de dados sensíveis no contexto de uma empresa de e-commerce.

    ✓ Resposta: Números de cartão de crédito, senhas de clientes, CPF.

  2. Qual a diferença entre dados públicos e dados internos? Dê um exemplo de cada.

    ✓ Resposta: Dados públicos podem ser divulgados sem restrição (ex.: comunicado de imprensa). Dados internos são restritos à organização (ex.: política de RH).

  3. Liste três medidas de segurança para armazenamento seguro de dados sensíveis.

    ✓ Resposta: Criptografia em repouso (AES-256), controle de acesso baseado em função (RBAC), backups criptografados.

  4. Por que é importante classificar dados antes de definir políticas de segurança?

    ✓ Resposta: Porque permite aplicar controles proporcionais ao risco, evitando gastos excessivos com dados de baixa criticidade e garantindo proteção adequada aos mais críticos.

  5. Qual a diferença entre criptografia em repouso e criptografia em trânsito?

    ✓ Resposta: Criptografia em repouso protege dados armazenados (disco, banco de dados); criptografia em trânsito protege dados durante a transmissão (ex.: TLS).

Boas Práticas e Observações Finais

A classificação de dados deve ser um processo contínuo e revisado periodicamente. Envolva todas as áreas da organização, crie um comitê de governança de dados e documente as políticas. Lembre-se: a segurança não é um produto, mas um processo. Treine os colaboradores para identificar e tratar corretamente cada tipo de dado. O armazenamento seguro é a última barreira; combine controles técnicos com uma cultura de segurança.