Os dados se tornaram parte da operação

Informações financeiras, contratos, propostas comerciais, documentos internos, dados de clientes, projetos e históricos de atendimento circulam diariamente pelos sistemas das empresas.

Essas informações estão em e-mails, computadores, servidores, aplicações, dispositivos móveis e ambientes em nuvem.

Por isso, segurança de dados não deveria ser tratada apenas como uma preocupação da equipe de TI.

Quando uma informação importante é perdida, compartilhada de forma inadequada ou acessada por quem não deveria, o impacto pode alcançar diferentes áreas da organização.

O risco não está apenas em ataques externos

Quando falamos em segurança, é comum imaginar imediatamente ataques cibernéticos.

Esse risco existe, mas não é o único.

Problemas relacionados aos dados também podem surgir de situações comuns da rotina empresarial:

• permissões concedidas além do necessário;
• arquivos enviados para pessoas erradas;
• informações armazenadas em locais inadequados;
• dispositivos sem os controles definidos pela empresa;
• compartilhamentos externos esquecidos;
• contas antigas que continuam com acesso;
• documentos sensíveis enviados por canais inadequados;
• ausência de políticas claras de armazenamento e compartilhamento.

Em muitos casos, o desafio não é simplesmente impedir alguém de fora de entrar.

É saber onde estão as informações importantes e quem realmente precisa ter acesso a elas.

Nem todo dado possui o mesmo nível de criticidade

Uma apresentação institucional e uma planilha com dados financeiros não deveriam necessariamente receber o mesmo tratamento.

O mesmo vale para um material público e um documento contendo informações pessoais de clientes ou colaboradores.

Por isso, uma estratégia de proteção começa pela identificação das informações utilizadas pela empresa.

É necessário entender:

Quais dados existem?

Onde estão armazenados?

Quem possui acesso?

Como são compartilhados?

Por quanto tempo precisam ser mantidos?

Quais informações são realmente sensíveis?

Sem essa visibilidade, torna-se mais difícil estabelecer controles adequados.

Segurança precisa acompanhar todo o ciclo da informação

Proteger um arquivo apenas enquanto ele está armazenado não é suficiente.

Informações são criadas, acessadas, modificadas, compartilhadas, copiadas, arquivadas e eventualmente eliminadas.

A segurança precisa considerar esse ciclo.

Imagine, por exemplo, uma planilha com informações estratégicas.

Ela pode estar corretamente protegida em um repositório corporativo, mas posteriormente ser baixada, copiada ou compartilhada de forma inadequada.

Nesse momento, a empresa precisa de mais do que armazenamento seguro.

Precisa de governança sobre a informação.

Microsoft 365 também precisa de governança de dados

Microsoft 365 oferece diferentes recursos para colaboração e produtividade.

Equipes trabalham utilizando soluções como SharePoint, OneDrive, Teams, Exchange e aplicativos do Office.

Quanto maior o volume de colaboração, maior também é a necessidade de organizar como determinadas informações podem circular.

Dentro do ecossistema Microsoft, tecnologias como o Microsoft Purview podem fazer parte de uma estratégia de segurança e governança de dados.

A tecnologia, porém, deve ser consequência de uma política bem definida.

Primeiro a empresa precisa entender o que deseja proteger.

Depois, é possível avaliar quais controles são adequados.

Prevenção contra perda de dados

Um dos conceitos importantes nessa estratégia é o Data Loss Prevention, conhecido como DLP.

O objetivo é reduzir situações em que informações sensíveis sejam compartilhadas de maneira inadequada.

Uma política pode considerar determinado tipo de informação e estabelecer ações relacionadas à sua utilização.

Isso permite criar controles mais próximos do contexto dos dados.

Mas existe um cuidado importante:

uma política mal planejada pode dificultar o trabalho dos usuários.

Por isso, proteção e produtividade precisam caminhar juntas.

Pessoas continuam fazendo parte da segurança

Nenhuma estratégia deve depender exclusivamente da tecnologia.

Usuários precisam conhecer as regras da empresa e compreender por que determinados controles existem.

Uma pessoa que não sabe identificar uma informação sensível pode compartilhar um arquivo incorretamente mesmo utilizando uma plataforma segura.

Por isso, políticas e ferramentas devem ser acompanhadas por conscientização.

Segurança de dados é uma combinação de:

pessoas + processos + tecnologia.

Quando um desses elementos não funciona corretamente, a proteção fica mais difícil.

Segurança de dados e LGPD

Para empresas que tratam dados pessoais, existe também uma dimensão de privacidade e conformidade.

No Brasil, a Lei Geral de Proteção de Dados Pessoais, a LGPD, estabelece regras para o tratamento de dados pessoais.

O tratamento inclui diferentes atividades realizadas durante o ciclo da informação, como coleta, utilização, armazenamento, compartilhamento e eliminação.

Por isso, proteção de dados pessoais não deve ser considerada somente quando ocorre um incidente.

Governança precisa fazer parte da rotina da empresa.

Cenário ilustrativo: informações compartilhadas sem controle

Imagine uma empresa que utiliza Microsoft 365 há alguns anos.

Ao longo desse período, equipes foram criadas, pessoas mudaram de função e diferentes documentos passaram a ser compartilhados.

Ninguém realizou uma revisão estruturada das permissões.

Com o tempo, a empresa começa a ter dificuldade para responder perguntas aparentemente simples:

Quem possui acesso aos documentos financeiros?

Quais arquivos estão compartilhados externamente?

Existem ex-colaboradores em grupos antigos?

Quais documentos possuem dados pessoais?

O problema não significa necessariamente que houve um vazamento.

Significa que a empresa perdeu parte da visibilidade sobre seus próprios dados.

É justamente nesse momento que uma revisão de governança pode trazer valor.

Cinco pontos para começar uma avaliação

Uma análise inicial de segurança de dados pode observar:

1. Localização das informações

Identificar onde estão os dados relevantes para a operação.

2. Classificação

Separar informações públicas, internas, confidenciais e sensíveis de acordo com a realidade da empresa.

3. Acessos

Verificar quem possui acesso e se essas permissões continuam necessárias.

4. Compartilhamento

Analisar como documentos e dados são enviados para pessoas internas e externas.

5. Proteção e monitoramento

Avaliar quais controles existem para identificar situações que possam representar risco.

Esse levantamento ajuda a determinar quais ações realmente precisam ser priorizadas.

Segurança não deve impedir a empresa de trabalhar

O objetivo da segurança não é bloquear tudo.

Uma empresa precisa continuar compartilhando documentos, colaborando com fornecedores, atendendo clientes e permitindo que seus profissionais acessem as informações necessárias.

O desafio está em permitir essa produtividade com níveis adequados de proteção.

Uma política excessivamente restritiva pode provocar atalhos e prejudicar a experiência dos usuários.

Uma política permissiva demais pode aumentar a exposição.

Encontrar o equilíbrio depende do negócio.

A proteção precisa evoluir com a empresa

Novos colaboradores entram.

Outros mudam de área.

Sistemas são implantados.

Aplicações de inteligência artificial passam a fazer parte da rotina.

A quantidade de informações aumenta.

Por isso, segurança de dados não deveria ser um projeto realizado apenas uma vez.

O ambiente precisa ser revisto periodicamente para acompanhar as mudanças da organização e da tecnologia.

Como a AGB pode apoiar

Segurança precisa estar conectada ao negócio.

Antes de recomendar novas ferramentas, é importante compreender quais informações são críticas, como circulam pelo ambiente e quais riscos precisam ser priorizados.

A AGB trabalha com foco no ecossistema Microsoft e pode apoiar empresas na avaliação de ambientes relacionados a segurança, governança e modernização de TI.

O primeiro passo deve ser um diagnóstico.

A partir dele, a empresa pode estabelecer prioridades e avaliar quais processos, políticas e tecnologias são adequados à sua realidade.

Dados importantes merecem uma estratégia de proteção igualmente importante

Quanto maior a dependência da tecnologia, maior tende a ser a importância das informações digitais para a continuidade do negócio.

Por isso, proteger dados não significa simplesmente criar mais barreiras.

Significa saber o que proteger, onde proteger e como permitir que as pessoas certas continuem trabalhando com segurança.

Converse com a AGB para avaliar como os dados circulam pelo seu ambiente Microsoft e identificar oportunidades de melhoria em segurança e governança.