Classificação de dados: como fazer na sua empresa

Um diretor pede ao TI para "ligar o DLP" depois de saber que uma planilha de clientes foi parar num e-mail pessoal. A ferramenta é instalada, o modo de monitoramento fica ativo por duas semanas e o relatório chega com milhares de alertas. Ninguém sabe quais importam.

O problema aparece na primeira reunião de ajuste. A ferramenta pergunta o que é confidencial, e a empresa não tem resposta escrita. Cada área acha que os seus arquivos são os mais sensíveis, e ninguém assina embaixo de uma regra.

Este post trata de classificação de dados em segurança da informação: decidir quanto cada informação vale e quanto dano causa se vazar, para aplicar o controle certo. O mesmo termo aparece em estatística e em machine learning, com outro sentido, e esse uso fica de fora aqui.

Classificação de dados é o pré-requisito que quase todo projeto de DLP pula. Sem ela, a ferramenta não sabe o que proteger, e a equipe passa meses ajustando regra para um critério que ninguém definiu.

O que a classificação de dados resolve

Uma empresa média guarda informação em dezenas de lugares: servidor de arquivos, nuvem de documentos, ERP, CRM, caixa de e-mail, grupos de mensagem e o notebook de cada pessoa. Proteger tudo com o mesmo rigor é caro e atrapalha o trabalho. Proteger tudo com pouco rigor deixa o que importa exposto.

A classificação de dados resolve esse dilema com uma régua. A tabela de preço público vai para o site sem controle nenhum. A folha de pagamento só abre para quem precisa, viaja criptografada e dispara alerta se sair por e-mail. A régua diz qual controle vale para cada caso, e a área de segurança para de discutir arquivo por arquivo.

Ela também dá linguagem comum. Quando um gestor diz que um relatório é "restrito", todo mundo sabe o que pode e o que não pode fazer com ele, sem precisar perguntar ao jurídico.

Os níveis mais usados (e por que três ou quatro bastam)

A maioria das políticas usa quatro níveis. Os nomes variam, a lógica se repete.

Mais níveis parecem dar precisão e acabam gerando dúvida. Com seis ou sete opções, a pessoa que está salvando um arquivo não sabe a diferença entre o quarto e o quinto e escolhe o mais alto por segurança. Em poucos meses, quase tudo está no topo, e o rótulo deixa de informar.

Um bom teste é o do corredor. Pegue cinco pessoas de áreas diferentes, mostre o mesmo arquivo e peça o nível. Se a resposta variar muito, a régua tem níveis demais ou definição de menos.

Quem decide o nível: o dono do dado

A TI não sabe se uma planilha de comissões é confidencial ou restrita. Quem sabe é a área comercial, que conhece o conteúdo e o estrago que ele causa nas mãos erradas. Por isso a classificação de dados precisa de um dono por tipo de informação, sempre na área de negócio.

O dono tem três tarefas. Ele define o nível, aprova quem pode acessar e revisa a decisão quando o dado muda de natureza (um projeto confidencial vira público no dia do lançamento, por exemplo).

A TI e a segurança cuidam do resto. Elas escrevem o método, oferecem o rótulo nas ferramentas, configuram o controle de cada nível e medem se a regra está sendo seguida. A divisão fica clara num registro simples: tipo de dado, dono, nível, onde está e qual controle se aplica.

A ISO/IEC 27001:2022 segue a mesma lógica. No Anexo A, o controle 5.9 trata do inventário e do proprietário dos ativos de informação, o 5.12 da classificação e o 5.13 da rotulagem, conforme o índice aberto da norma. A ordem dos controles bate com a do diagrama: inventário primeiro, rótulo depois. Custo e prazo de uma certificação estão em ISO 27001 na prática.

O critério de impacto: vazar, alterar ou sumir

A pergunta "isso é sigiloso?" cobre só uma parte do risco. Um critério melhor olha para três perdas diferentes, as mesmas que o padrão FIPS 199 do NIST usa para categorizar informação e sistemas desde fevereiro de 2004: confidencialidade, integridade e disponibilidade. O documento do NIST define cada perda e três níveis de impacto (baixo, moderado e alto).

Traduzido para a empresa, o dono do dado responde três perguntas:

• Se este dado vazar, qual o estrago para clientes, para a empresa e para quem aparece nele?
• Se alguém alterar este dado sem autorização, o que dá errado? Uma conta bancária trocada num cadastro de fornecedor causa prejuízo direto.
• Se este dado sumir por uma semana, o que para? A base de pedidos parada derruba o faturamento, e o catálogo antigo não faz falta.

O nível final costuma seguir a pior das três respostas. A tabela de preço é pública quanto ao sigilo, mas uma alteração indevida nela gera venda com prejuízo, e isso justifica controle de quem edita.

Classificação de dados e LGPD

A LGPD não usa a expressão, mas cria dois degraus que qualquer régua precisa respeitar. O art. 5º, inciso I, define dado pessoal como "informação relacionada a pessoa natural identificada ou identificável". O inciso II define dado pessoal sensível, que inclui origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado de saúde ou da vida sexual e dado genético ou biométrico, quando ligado a uma pessoa natural.

O art. 46 da Lei 13.709/2018 exige que os agentes de tratamento adotem "medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados". Para mostrar que a medida é adequada, a empresa precisa saber onde estão esses dados e quanto eles pesam. A classificação de dados é o registro que responde às duas perguntas.

Uma regra prática ajuda: dado pessoal comum nunca fica abaixo de interno, e dado pessoal sensível entra direto em restrito. O resto da conformidade, com bases legais e direitos do titular, está em LGPD para PMEs.

Rótulo manual ou automático

Depois de definido o nível, o dado precisa carregar a marca. O rótulo pode ficar no próprio arquivo (metadado e marca d'água no rodapé), na pasta ou no sistema onde o dado mora.

A maioria das empresas acaba com os dois. O rótulo manual cobre o que exige julgamento, e a regra automática pega o que tem formato reconhecível. A regra também serve para conferir o manual: um arquivo marcado como interno com cem números de CPF dentro merece revisão.

O rótulo automático funciona melhor em dado organizado. Planilha e banco de dados têm campos previsíveis. Texto livre, PDF digitalizado e áudio dão mais trabalho, porque não têm campo fixo onde a regra possa procurar.

Onde a classificação vira controle

O rótulo só tem valor quando muda o comportamento de alguma ferramenta. Três controles dependem da classificação de dados de forma direta.

O primeiro é o DLP. Com níveis definidos, a política diz, por exemplo, que arquivo restrito não sai para domínio externo e que arquivo confidencial gera alerta quando sai. O volume de alertas cai, e cada alerta passa a ter dono.

O segundo é a criptografia. Criptografar tudo custa desempenho e complica a recuperação. Criptografar o nível restrito em repouso e em trânsito, e o confidencial em trânsito, é uma regra que a TI consegue manter.

O terceiro é o controle de acesso. O nível define quem entra: grupo da área para confidencial, lista nominal para restrito, com revisão a cada trimestre. A ligação entre identidade, grupo e permissão está em IAM e SSO.

Os erros que mais aparecem

Quatro falhas se repetem em quase toda implantação.

• Níveis demais. A régua com seis degraus vira dúvida no dia a dia, e a dúvida empurra para o topo.
• Tudo confidencial. Quando o rótulo mais alto é o padrão, ele perde o sentido, e o controle forte passa a atrapalhar todo mundo.
• Classificação sem dono. A TI escreve a política sozinha, as áreas não reconhecem as decisões e ninguém atualiza.
• Nunca revisar. O dado muda de natureza, o projeto sigiloso é anunciado, o contrato vence, e o rótulo continua o mesmo de dois anos atrás.

Os quatro têm a mesma causa: a empresa tratou a classificação de dados como documento a entregar, sem rotina e sem responsável pela revisão.

Classificação de dados em 30 dias

Um plano curto, para uma empresa que ainda não tem nada escrito:

1. Semana 1, inventário mínimo. Liste os dez tipos de dado que mais preocupam (clientes, folha, contratos, propostas, dados de saúde) e anote onde cada um está hoje.
2. Semana 1, régua. Escreva os quatro níveis com uma frase de definição e dois exemplos reais de cada.
3. Semana 2, donos. Indique um dono por tipo de dado, com nome e cargo, e peça que ele confirme o nível usando as três perguntas de impacto.
4. Semana 2, LGPD. Marque tudo que tem dado pessoal sensível como restrito e confira se o acesso atual bate com isso.
5. Semana 3, controle mínimo. Para restrito e confidencial, aplique o que já existe nas ferramentas atuais: grupo de acesso, bloqueio de link público, criptografia de disco e de anexo.
6. Semana 4, rótulo. Ative o rótulo nas ferramentas de documento e treine as duas áreas com mais dado restrito.
7. Semana 4, agenda. Marque a primeira revisão para daqui a seis meses e defina quem a conduz.

Com isso pronto, a conversa sobre comprar ou ajustar um DLP muda de figura. A ferramenta recebe uma lista de tipos de dado, níveis e donos, e o primeiro relatório de monitoramento já chega separado por nível.

A régua de quatro níveis cabe numa página. Na ISO/IEC 27001:2022, essa página é o ponto de partida do controle 5.12, e o rótulo que nasce dela cobre o 5.13.