Quando uma empresa pensa em LGPD, é comum que a atenção se concentre em políticas de privacidade, contratos, consentimento e processos internos. Esses elementos são importantes, mas a proteção de dados pessoais também depende de algo que muitas vezes fica em segundo plano: a infraestrutura utilizada diariamente pela organização.
Servidores, computadores, redes, sistemas de armazenamento, câmeras, controles de acesso, dispositivos corporativos, plataformas em nuvem e sistemas de backup podem participar direta ou indiretamente do tratamento de dados pessoais.
Isso significa que proteger os dados de acordo com a LGPD também envolve entender onde essas informações estão, quem pode acessá-las, como são armazenadas, por quanto tempo permanecem disponíveis e quais medidas existem para protegê-las.
O que a infraestrutura tem a ver com a LGPD?
Dados pessoais podem estar presentes em praticamente todas as áreas de uma empresa.
Um sistema de gestão pode armazenar nome, CPF, telefone e endereço de clientes. O RH pode tratar documentos e informações de colaboradores. Sistemas de controle de acesso podem registrar entradas e saídas. Câmeras podem gerar imagens de pessoas. Servidores e backups podem armazenar grandes volumes de informações.
Portanto, a infraestrutura tecnológica não é apenas o suporte para os sistemas da empresa. Ela também participa do ambiente em que os dados pessoais são armazenados, processados, transmitidos ou acessados.
A LGPD estabelece que os agentes de tratamento devem adotar medidas de segurança técnicas e administrativas capazes de proteger os dados pessoais. Essas medidas devem fazer parte da proteção desde a concepção até a execução do tratamento.
O primeiro passo é saber onde estão os dados
Não é possível proteger adequadamente aquilo que a empresa não consegue identificar.
Por isso, uma estratégia de proteção começa pelo mapeamento dos dados pessoais tratados pela organização.
É importante identificar:
Quais dados pessoais são coletados;
Em quais sistemas eles estão armazenados;
Quem possui acesso a essas informações;
Quais departamentos utilizam os dados;
Quais fornecedores ou terceiros podem acessá-los;
Onde os dados são armazenados;
Quais informações possuem maior risco;
Por quanto tempo os dados precisam ser mantidos.
Esse levantamento ajuda a identificar pontos de exposição e permite direcionar os controles de segurança para os ambientes realmente críticos.
Controle de acesso: quem pode acessar os dados?
Um dos principais pontos de atenção é o controle de acesso.
Nem todos os colaboradores precisam acessar todas as informações da empresa. Um funcionário do departamento financeiro, por exemplo, pode precisar acessar determinados dados que não são necessários para uma equipe comercial.
Por isso, os acessos devem ser definidos de acordo com as funções e necessidades de cada usuário.
Algumas boas práticas incluem:
Criar usuários individuais;
Evitar o compartilhamento de credenciais;
Utilizar autenticação adequada;
Revisar permissões periodicamente;
Remover acessos de colaboradores desligados;
Limitar privilégios administrativos;
Monitorar atividades relacionadas a informações sensíveis.
A ANPD destaca a importância de controles de acesso e de permissões adequadas como parte das medidas técnicas e organizacionais destinadas à proteção de dados.
A infraestrutura física também precisa ser protegida
A proteção de dados não termina no ambiente digital.
Servidores, equipamentos de rede, dispositivos de armazenamento e outros ativos que podem conter ou permitir acesso a dados pessoais precisam estar protegidos fisicamente.
Uma pessoa não autorizada que consiga acessar diretamente um equipamento pode representar um risco tão relevante quanto uma ameaça digital.
Por isso, medidas como controle de acesso às áreas restritas, monitoramento por CFTV, proteção das salas técnicas e organização adequada da infraestrutura contribuem para reduzir riscos.
Nesse contexto, a infraestrutura física e a segurança eletrônica precisam estar alinhadas aos controles digitais.
Redes e equipamentos fazem parte da estratégia de segurança
Os dados pessoais circulam entre diferentes sistemas e dispositivos.
Computadores, servidores, switches, roteadores, pontos de acesso e outros equipamentos conectam os diferentes ambientes da organização. Uma falha de configuração ou um equipamento inadequadamente protegido pode criar uma porta de entrada para ameaças.
Por isso, a infraestrutura de rede precisa ser planejada considerando também os requisitos de segurança.
Segmentação de ambientes, atualização dos equipamentos, controle de acesso à rede e monitoramento são algumas das práticas que podem contribuir para reduzir a exposição.
Nesse cenário, a Plantec, parceira e distribuidora de tecnologia, atua junto ao ecossistema de integradores disponibilizando soluções de infraestrutura e segurança eletrônica que podem compor projetos corporativos de redes, conectividade, CFTV e controle de acesso.
A escolha dos equipamentos e o dimensionamento adequado da infraestrutura são importantes para criar uma base tecnológica mais organizada e preparada para receber as diferentes camadas de proteção.
Backup também é uma questão de proteção de dados
Imagine que uma empresa tenha seus servidores comprometidos por uma falha, ataque de ransomware ou outro incidente.
Além da interrupção das operações, os dados pessoais armazenados nesses ambientes podem ser afetados.
Por isso, uma estratégia de backup faz parte da proteção e da continuidade do ambiente.
Mas não basta apenas realizar cópias.
É importante avaliar:
Onde os backups estão armazenados;
Quem pode acessá-los;
Se existe uma cópia isolada;
Se os dados são protegidos contra alterações indevidas;
Com que frequência os backups são realizados;
Se a restauração já foi testada;
Quanto tempo levaria para recuperar os sistemas.
Uma estratégia de backup bem estruturada ajuda a reduzir os impactos de situações que podem resultar em perda ou indisponibilidade de informações.
Criptografia e proteção das informações
Dependendo do tipo de dado e dos riscos envolvidos, mecanismos de criptografia podem contribuir para reduzir a exposição das informações.
A criptografia pode ser utilizada, por exemplo, para proteger dados armazenados ou transmitidos, dificultando que informações sejam compreendidas caso sejam acessadas indevidamente.
Entretanto, a escolha dos mecanismos de proteção deve considerar o contexto da empresa, os riscos identificados e a natureza dos dados tratados.
Não existe uma única tecnologia capaz de resolver todos os riscos relacionados à proteção de dados.
Monitoramento ajuda a identificar comportamentos suspeitos
Outro componente importante é o monitoramento.
A empresa precisa ter condições de identificar comportamentos que possam indicar uma tentativa de acesso indevido, comprometimento de credenciais ou atividade fora do padrão.
Dependendo do ambiente, isso pode envolver o acompanhamento de:
Acessos aos sistemas;
Atividades de usuários;
Dispositivos conectados;
Eventos de segurança;
Servidores;
Redes;
Tentativas de autenticação;
Alterações em arquivos e configurações.
O monitoramento também contribui para a capacidade de investigação e resposta quando um incidente acontece.
E se ocorrer um incidente?
Mesmo com controles de segurança, uma empresa precisa estar preparada para lidar com incidentes.
Isso significa definir previamente:
Quem deve ser acionado;
Como o incidente será identificado;
Quais sistemas precisam ser isolados;
Como preservar informações para investigação;
Como avaliar os dados potencialmente afetados;
Quais medidas devem ser tomadas para conter o problema;
Como realizar a recuperação dos ambientes;
Como serão feitas as comunicações necessárias.
A ANPD possui regulamentação específica sobre comunicação de incidentes de segurança que possam acarretar risco ou dano relevante aos titulares, reforçando a importância de processos preparados para esse tipo de situação.
Por isso, segurança e resposta a incidentes precisam fazer parte da estratégia de proteção de dados.
LGPD não é apenas responsabilidade do departamento jurídico
A adequação à LGPD envolve diferentes áreas da organização.
O jurídico pode participar da análise de contratos e obrigações. O RH pode lidar com dados de colaboradores. O marketing pode tratar informações de clientes e leads. A área de TI atua diretamente na infraestrutura, nos acessos e nos controles técnicos.
Essas áreas precisam trabalhar de maneira coordenada.
A proteção de dados exige uma combinação entre processos, pessoas e tecnologia.
Quando uma política determina que apenas determinados profissionais podem acessar uma informação, por exemplo, a infraestrutura precisa oferecer mecanismos capazes de fazer essa regra funcionar na prática.
Um checklist prático para proteger dados pessoais
Para avaliar a infraestrutura da empresa, algumas perguntas podem ajudar:
1. A empresa sabe quais dados pessoais possui?
2. Os dados estão identificados nos diferentes sistemas e ambientes?
3. Cada usuário possui apenas os acessos necessários?
4. As permissões são revisadas periodicamente?
5. Os acessos de colaboradores desligados são removidos rapidamente?
6. Servidores e equipamentos estão fisicamente protegidos?
7. A rede possui controles de segurança adequados?
8. Existem backups protegidos e testados?
9. Os ambientes são monitorados?
10. Existe um plano para responder a incidentes envolvendo dados pessoais?
11. Os fornecedores que acessam dados pessoais são avaliados?
12. As medidas de segurança acompanham os riscos do ambiente?
Esse tipo de avaliação ajuda a transformar a LGPD de uma preocupação exclusivamente documental em uma prática incorporada à operação da empresa.
Proteção de dados precisa fazer parte da infraestrutura
A LGPD trouxe uma responsabilidade importante para as empresas: proteger os dados pessoais durante todo o ciclo de tratamento.
Na prática, isso significa olhar para além dos documentos e políticas.
É preciso considerar os sistemas, os usuários, os equipamentos, as redes, os servidores, os backups, os ambientes físicos e os processos utilizados diariamente.
Uma infraestrutura bem planejada permite implementar controles de acesso, monitoramento, proteção dos equipamentos, backup e outras medidas que ajudam a reduzir os riscos relacionados aos dados pessoais.
Proteger dados pessoais é também proteger a infraestrutura que permite que esses dados sejam tratados.
Por isso, empresas que desejam fortalecer sua adequação à LGPD devem avaliar seus ambientes de forma integrada, identificando riscos e implementando medidas técnicas e administrativas proporcionais à realidade de suas operações.
A adequação à LGPD também depende de medidas técnicas capazes de proteger sistemas, acessos, equipamentos e informações. Conte com a DeServ para avaliar os riscos do seu ambiente e fortalecer a segurança dos dados da sua empresa.
