Prevenção de perda de dados: como aplicar DLP na empresa

Uma planilha de clientes está pronta para envio, mas o endereço escolhido pertence a uma conta pessoal. A prevenção de perda de dados pode ajudar a identificar esse tipo de saída e aplicar uma regra antes do compartilhamento. Para funcionar, a empresa precisa definir quais envios são permitidos e quem resolve os bloqueios. Este artigo mostra como organizar um piloto de DLP, ajustar alertas e preservar a privacidade dos trabalhadores.

O que é prevenção de perda de dados e como funciona o DLP

DLP é a sigla de Data Loss Prevention, um conjunto de práticas e tecnologias para identificar e controlar o compartilhamento inadequado de informações. Uma regra pode procurar determinados dados em um arquivo e avaliar seu destino. Conforme a configuração, a ferramenta registra a atividade, avisa o usuário ou bloqueia a saída. A explicação da Microsoft sobre DLP descreve essa proteção aplicada ao uso e à circulação dos dados.

Na planilha do exemplo, detectar números semelhantes a documentos pessoais é apenas parte da decisão. A empresa também precisa saber se aquele destinatário pode receber o arquivo e se o canal foi autorizado. Por isso, a prevenção de perda de dados depende de regras que representem o trabalho real. Comprar uma ferramenta sem definir essas condições deixa decisões importantes sem responsável.

A LGPD exige medidas técnicas e administrativas para proteger dados pessoais contra acessos e usos indevidos. Seu artigo 46 não determina que toda empresa compre um produto chamado DLP. A escolha deve responder aos riscos da operação, dentro do dever de proteção explicado no guia de segurança da informação da ANPD. O próximo passo é localizar as saídas que merecem atenção primeiro.

Comece pelos canais de saída usados pela equipe

Para escolher onde atuar, acompanhe um envio desde a origem até o destinatário. No exemplo da planilha, pergunte quem prepara o arquivo, para qual finalidade e por qual serviço ele sai. Registre também a alternativa autorizada, como uma pasta corporativa com acesso restrito. Esse levantamento transforma a prevenção de perda de dados em decisões concretas sobre cada canal.

A documentação de DLP para dispositivos da Microsoft descreve controles sobre atividades como uploads e cópias para armazenamento removível. O suporte varia conforme dispositivo, navegador e configuração. Antes da contratação ou ativação, peça à TI uma demonstração no ambiente usado pela equipe. Uma função disponível no produto precisa funcionar no caminho específico que a empresa pretende proteger.

Inclua os caminhos menos visíveis na conversa com cada área. Um fornecedor pode pedir que o cadastro seja enviado por um portal diferente do habitual. O financeiro pode usar uma pasta sincronizada para entregar arquivos ao escritório contábil. Registre essas necessidades antes de bloquear canais, para que a equipe tenha uma forma segura de concluir o serviço.

Faça um piloto antes de ampliar os bloqueios

Com os canais identificados, comece por um fluxo delimitado e uma equipe que participe dos testes. Escolha um responsável de TI e alguém que conheça os envios daquele setor. A orientação de implantação do Microsoft Purview recomenda avaliar as políticas em simulação antes de aplicar controles mais restritivos. Nesse modo, as ações de bloqueio da política não são executadas.

Para testar a planilha, use arquivos preparados com dados fictícios e destinos sob controle da empresa. Experimente tanto um envio permitido quanto um envio que deveria ser impedido. Registre o resultado esperado e o observado em cada tentativa. Inclua os formatos e tamanhos realmente usados no trabalho, verificando na documentação quais deles a solução consegue analisar.

Na prevenção de perda de dados, um falso positivo é um alerta sobre uma atividade que, após conferência, não deveria ter sido sinalizada. Uma sequência numérica pode parecer um documento pessoal sem ser um. Também pode existir um envio legítimo que a regra não levou em conta. Separe erro de detecção de erro no desenho da regra, porque cada um exige uma correção diferente.

Antes de encerrar o piloto, teste novamente as regras ajustadas. Confirme que o envio permitido passou e que o envio proibido recebeu a ação esperada. Verifique ainda se o aviso explica o motivo e indica uma alternativa. A equipe precisa conseguir resolver a situação sem recorrer a uma conta pessoal para contornar o bloqueio.

Defina quem recebe o alerta e quem autoriza exceções

Depois dos testes, cada alerta precisa chegar a uma pessoa capaz de decidir o próximo passo. Recomenda-se que a segurança confira a regra acionada e que o responsável da área esclareça a necessidade do envio. A orientação da Microsoft para desenhar políticas relaciona o objetivo de negócio às condições e ações da ferramenta. Documente essa relação em linguagem que a área usuária consiga entender.

Para a planilha bloqueada, o registro pode reunir canal, destino, motivo do alerta e ação tomada. Evite anexar uma cópia completa do cadastro ao chamado de suporte. Quando um trecho for necessário para esclarecer o problema, limite o acesso a quem fará a análise. Assim, a rotina de prevenção de perda de dados não cria outra circulação desnecessária das mesmas informações.

Uma exceção deve indicar quem aprovou, qual envio está autorizado e quando a permissão termina. Prefira autorizar um destino e uma necessidade específicos, em vez de liberar toda a conta de um gestor. Se a exceção se repetir, reavalie o processo e a regra. A recorrência pode mostrar que o canal oficial não atende à operação ou que a configuração precisa mudar.

Defina também quem atende quando o responsável principal está ausente. Combine um prazo interno de resposta compatível com a urgência do processo. Se houver indício de exposição real, encaminhe o caso ao fluxo de resposta a incidentes. O alerta, sozinho, não prova que houve vazamento nem que alguém agiu de propósito.

Preserve a privacidade de quem trabalha na empresa

Como os alertas podem identificar funcionários e registrar suas atividades, o próprio controle precisa ter limites. A LGPD, em seu artigo 6º, exige finalidade definida, uso do mínimo necessário e transparência. Explique à equipe quais canais corporativos são monitorados, para quê e quem pode consultar os registros. Com apoio das equipes de privacidade e jurídico, identifique e registre qual situação prevista na LGPD permite usar esses dados.

Para aplicar esses princípios, restrinja a visualização do conteúdo e estabeleça um período de guarda justificado. Para acompanhar tendências, prefira relatórios com resultados por grupo, sem identificar cada funcionário. Submeta qualquer novo uso dos registros, como avaliação individual de desempenho, a uma análise própria. A finalidade de prevenção de perda de dados não deve virar autorização genérica para acompanhar toda a vida digital do trabalhador.

Meça resultados que ajudem a corrigir o processo

Com responsabilidades e limites definidos, acompanhe a qualidade do controle. O total de alertas ajuda a dimensionar a fila, mas precisa ser lido junto com a cobertura dos canais. Uma queda pode refletir uma regra melhor ou um equipamento que deixou de enviar registros. Compare os resultados com os testes do piloto antes de concluir que o risco diminuiu.

Para acompanhar a prevenção de perda de dados, proponha indicadores que levem a uma ação:

• Proporção de falsos positivos entre os alertas analisados, para ajustar regras.
• Tempo até a primeira análise, para identificar filas sem atendimento.
• Exceções vencidas ainda ativas, para retirar permissões desnecessárias.
• Canais e equipamentos previstos que passaram nos testes, para verificar cobertura.

Registre o período, a origem e o responsável por cada indicador. Na planilha do exemplo, acompanhe se o envio ao destino indevido foi bloqueado e se a alternativa autorizada funcionou. Compare períodos com volume de trabalho semelhante e explique mudanças de configuração. Essa leitura evita tratar qualquer oscilação do painel como melhora ou piora da segurança.

Como a TOGETHER pode apoiar

Para transformar esses controles em uma rotina, a metodologia da TOGETHER começa pelo data mapping, o mapeamento de como os dados circulam. Ele ajuda a localizar os envios relevantes e a direcionar recursos para as prioridades da empresa. A consultoria em LGPD da TOGETHER pode apoiar a definição de responsabilidades e cuidados de privacidade. A configuração técnica deve ser conduzida com a equipe responsável pelos sistemas.

O DPO as a Service, apoio contínuo do responsável por proteção de dados, pode ajudar nas decisões sobre transparência e acesso aos registros. No acompanhamento da prevenção de perda de dados, isso conecta segurança, gestores e privacidade. A empresa passa a ter critérios para discutir exceções e mudanças. O trabalho começa entendendo o fluxo que precisa ser protegido.

Conclusão

A prevenção de perda de dados ganha utilidade quando a empresa sabe qual saída quer controlar e oferece um caminho autorizado para o trabalho. Escolha um fluxo, como o envio da planilha de clientes, e teste as regras com quem o executa. Defina responsáveis pelos alertas e limites de acesso aos registros antes de ampliar os bloqueios. Converse com a TOGETHER para mapear esse primeiro fluxo e organizar as prioridades de proteção.

Perguntas frequentes

DLP substitui backup?

Não. DLP ajuda a controlar usos e compartilhamentos inadequados; backup mantém cópias para recuperação. Uma cópia disponível não impede que alguém envie um arquivo ao destinatário errado. Cada medida responde a uma necessidade diferente.

É preciso bloquear todo envio externo?

Não. A regra deve considerar quais informações podem sair, para quem e em qual canal. Um fornecedor autorizado pode precisar receber arquivos para executar o serviço. Teste esse envio legítimo antes de ativar bloqueios.

Como começar a prevenção de perda de dados em uma empresa pequena?

Escolha um fluxo relevante, identifique os destinos permitidos e confira os recursos já disponíveis nos sistemas. Faça testes com a equipe e defina quem resolverá os alertas. Amplie o controle conforme os resultados e a capacidade de atendimento.

Fontes

• ANPD: guia orientativo de segurança da informação para agentes de pequeno porte.
• Câmara dos Deputados: texto atualizado da LGPD.
• Microsoft: definição e funcionamento de DLP.
• Microsoft Learn: implantação e simulação de políticas DLP.
• Microsoft Learn: controles DLP em dispositivos.
• Microsoft Learn: desenho de políticas DLP.