Guia de LGPD para TI em empresas que não param

Um computador perdido, uma senha compartilhada ou um backup que nunca foi testado podem transformar dados pessoais em um incidente operacional e jurídico. Este guia de LGPD para TI foi feito para empresas que dependem de sistemas, arquivos, e-mails e atendimento digital para trabalhar sem parar - e que não podem tratar segurança como uma correção de última hora.

A LGPD não é responsabilidade exclusiva do jurídico ou do encarregado de dados. A TI sustenta grande parte das medidas que tornam a adequação possível: controle de acesso, disponibilidade, rastreabilidade, proteção de endpoints, cópias de segurança e resposta a incidentes. Sem esses fundamentos, políticas bem escritas não protegem a operação quando ocorre uma falha.

Guia de LGPD para TI: onde começa a responsabilidade técnica

A Lei Geral de Proteção de Dados regula o tratamento de dados pessoais, isto é, qualquer informação capaz de identificar ou tornar identificável uma pessoa. Nome, CPF, telefone, e-mail, endereço, imagem de câmera, IP e registros de acesso podem entrar nessa categoria, dependendo do contexto.

Na prática, empresas de contabilidade tratam dados de clientes e colaboradores diariamente. Escritórios de advocacia lidam com informações confidenciais em processos e contratos. Indústrias armazenam dados de funcionários, fornecedores, visitantes e contatos comerciais. Em todos esses cenários, a infraestrutura de TI precisa impedir acessos indevidos e manter evidências de que os dados foram tratados de forma controlada.

A empresa normalmente define as finalidades do tratamento e atua como controladora. Já fornecedores de nuvem, sistemas, suporte ou processamento podem atuar como operadores, conforme o serviço contratado. A classificação correta depende do caso concreto, mas a TI deve saber onde os dados estão, quem tem acesso e quais fornecedores participam do fluxo. Sem esse mapa, não existe gestão de risco confiável.

Mapeie dados, sistemas e pontos de exposição

O primeiro passo não é comprar uma ferramenta de segurança. É identificar o que precisa ser protegido e onde o risco está concentrado. Muitas empresas descobrem dados pessoais em planilhas salvas em computadores locais, caixas de e-mail antigas, grupos de WhatsApp corporativo, pastas compartilhadas sem permissão adequada e equipamentos fora do inventário.

Faça um levantamento objetivo dos sistemas corporativos, servidores, estações de trabalho, notebooks, celulares utilizados no trabalho, serviços em nuvem, câmeras, controles de acesso e backups. Para cada ambiente, registre quais dados pessoais são tratados, quem utiliza, quem administra, onde ficam armazenados e por quanto tempo precisam permanecer disponíveis.

Esse inventário deve incluir os fluxos menos visíveis. Um colaborador que exporta uma base de clientes para uma planilha, por exemplo, cria uma nova cópia de dados que talvez não esteja protegida pelo backup, pela política de retenção ou pelo controle de acesso do sistema original. A LGPD exige propósito e necessidade. A TI ajuda a aplicar esses princípios reduzindo cópias desnecessárias e evitando armazenamento sem dono definido.

Controle acesso antes de discutir tecnologia avançada

Boa parte dos incidentes não começa com uma invasão sofisticada. Começa com acesso excessivo, conta compartilhada ou desligamento de colaborador sem revogação de permissões. Por isso, a regra deve ser simples: cada usuário acessa apenas o necessário para executar sua função.

Contas individuais são indispensáveis. Quando uma equipe utiliza o mesmo login, não há rastreabilidade sobre quem acessou, alterou ou exportou informações. Contas administrativas também precisam ser separadas das contas usadas no dia a dia. Um administrador não deve abrir e-mails e navegar na internet usando privilégios elevados.

A autenticação multifator merece prioridade em e-mail corporativo, VPN, sistemas financeiros, plataformas em nuvem e acessos remotos. Ela não elimina o risco, mas reduz muito o impacto de senhas vazadas. Senhas fortes continuam necessárias, porém não resolvem sozinhas ataques de phishing, reutilização de credenciais e vazamentos externos.

Também é necessário formalizar o ciclo de vida dos acessos. Na admissão, o usuário recebe permissões compatíveis com a função. Em uma mudança de cargo, os acessos são revisados. No desligamento, são removidos imediatamente. Esse processo precisa ter responsável, prazo e registro. Depender de memória ou de um aviso informal por e-mail é abrir espaço para falhas previsíveis.

Proteja a infraestrutura que mantém os dados disponíveis

LGPD não se resume a confidencialidade. Perder a disponibilidade de dados por ransomware, falha de servidor ou exclusão acidental também pode interromper atendimento, faturamento e obrigações contratuais. Segurança e continuidade operacional precisam caminhar juntas.

Mantenha sistemas operacionais, aplicativos, firewalls e equipamentos de rede atualizados dentro de uma janela de manutenção planejada. Adiar atualizações críticas por tempo indefinido pode parecer uma forma de evitar indisponibilidade, mas aumenta a exposição a falhas conhecidas. O equilíbrio depende do ambiente: servidores críticos exigem teste e mudança controlada, não abandono de correções.

A segmentação de rede é outro controle importante. Computadores de usuários, servidores, Wi-Fi de visitantes, câmeras e dispositivos industriais não devem compartilhar o mesmo nível de acesso. Se uma estação for comprometida, a segmentação limita o avanço do ataque até os servidores e demais ativos críticos.

Backups merecem atenção especial. Ter arquivos copiados em um disco conectado ao servidor não basta, pois um ransomware pode criptografar a cópia junto com os dados de produção. Uma estratégia consistente mantém versões, separação lógica ou física, proteção contra exclusão indevida e testes periódicos de restauração. O teste é o ponto decisivo: backup sem restauração comprovada é apenas uma expectativa.

Criptografia de notebooks, proteção de endpoint, monitoramento de eventos e revisão de vulnerabilidades completam a camada técnica. Ferramentas open source corporativas podem entregar excelente resultado quando são bem dimensionadas, atualizadas e monitoradas. A economia de licenças não compensa uma implantação sem documentação, sem responsável e sem capacidade de resposta.

Prepare a resposta a incidentes antes da emergência

Quando há suspeita de vazamento, muitos gestores cometem dois erros: desligam tudo sem preservar evidências ou tentam resolver em silêncio até o problema crescer. O plano de resposta deve orientar as primeiras horas, quando a pressão é maior e decisões ruins custam caro.

A equipe precisa saber quem acionar, como isolar um equipamento comprometido, onde registrar o incidente e quais logs preservar. Em um ataque de ransomware, por exemplo, retirar a máquina da rede pode conter a propagação. Em seguida, é necessário analisar a extensão do evento, identificar dados potencialmente afetados e recuperar serviços de forma segura, sem reintroduzir a ameaça.

A avaliação sobre comunicação aos titulares e à Autoridade Nacional de Proteção de Dados deve envolver a liderança, o encarregado e orientação jurídica, considerando os riscos e as exigências aplicáveis ao caso. A TI tem uma função central nessa análise: entregar fatos, linha do tempo, sistemas envolvidos, evidências de acesso e impacto técnico. Sem registros confiáveis, a empresa perde tempo justamente quando precisa agir com precisão.

Simulados são recomendáveis para ambientes críticos. Não precisam paralisar a empresa. Um exercício controlado pode validar contatos de emergência, recuperação de backup, permissões administrativas e capacidade de comunicação entre operação, diretoria e fornecedores.

Exija controles também de fornecedores e nuvem

Contratar um sistema em nuvem não transfere integralmente a responsabilidade pelo uso dos dados. É preciso avaliar quais informações serão enviadas ao fornecedor, como elas são protegidas, quem pode acessá-las, quais subcontratados participam do serviço e como ocorre a devolução ou eliminação dos dados ao fim do contrato.

Os contratos devem prever obrigações de segurança, confidencialidade, comunicação de incidentes, níveis de serviço e apoio em auditorias ou investigações. Para a TI, isso significa evitar integrações improvisadas e contas pessoais usadas para armazenar arquivos corporativos. Conveniência sem governança cria pontos cegos que aparecem apenas após um incidente.

Transforme adequação em rotina de gestão

A conformidade real não nasce de um documento anual. Ela depende de processos repetíveis: revisão de acessos, acompanhamento de alertas, verificação de backups, inventário atualizado, testes de recuperação e registro de mudanças em infraestrutura.

Indicadores simples ajudam a diretoria a enxergar a maturidade do ambiente. Percentual de máquinas atualizadas, número de contas sem uso, sucesso de backups, tempo para revogar acessos e quantidade de incidentes tratados dentro do SLA mostram mais do que uma declaração genérica de segurança. Eles permitem priorizar investimento onde o risco é maior.

Para empresas entre 10 e 300 computadores, uma gestão terceirizada pode ser mais eficiente do que manter ações isoladas e reativas. A SuporteDelivery atua justamente na sustentação preventiva de redes, servidores, backups, monitoramento e resposta técnica, com processos definidos para reduzir paradas e dar visibilidade à operação.

A melhor hora para organizar a LGPD na TI é antes de uma senha vazada, um servidor indisponível ou uma cobrança de auditoria. Comece pelo que é mensurável: saiba onde os dados estão, restrinja quem acessa e teste se sua empresa consegue recuperar a operação quando algo falhar.