Como a Classificação de Dados (ou a falta dela) afeta o seu Negócio?

30.06.2023 – Uma das maiores preocupações atuais nos ambientes corporativos é o risco de vazamento ou compartilhamento não autorizado de informações confidenciais.

É igualmente notório que a exfiltração de informações confidenciais pode se dar por meio do acesso não autorizado de um agente externo, mas também pode ocorrer por meio de um colaborador interno mal intencionado.

Algumas empresas encaram esse problema de forma mais séria que outras, seja porque criam, desenvolvem ou aperfeiçoam produtos ou serviços e tal know-how tem um valor crítico para o negócio.

Não obstante, é surpreendente que até hoje alguns médios e grandes conglomerados de empresas somente comece a dar valor para a segurança da sua informação aprendendo com o prejuízo causado pelo compartilhamento indevido de algum dado confidencial seu.

A revista Isto É Dinheiro publicou o artigo Vazamento de informações: “Meu ex-funcionário levou informações da minha empresa. E agora?” em 13.09.2019, de autoria da advogada Gisele Truzzi, na qual expõe com clareza os principais riscos que empresas estão sujeitas ao perder colaboradores para a concorrência; quando, esses podem intencionalmente compartilhar, de forma indevida e não autorizada, dados para o novo empregador, que doravante lhe fornecerá o sustento ou poderá até mesmo prover um bônus generoso. Existem casos em que o colaborador inclusive se aproveita dos dados em proveito de um negócio próprio.

O fato é que antes de se preocupar com a segurança da informação, é preciso classificá-la!!! A classificação dos dados certamente traz as seguintes vantagens:

Vantagens Auferidas com a Classificação de Dados
1. Aperfeiçoamento da proteção dos dados confidenciais.
2. Modulação dos sistemas de segurança da informação, consoante os dados a serem protegidos.
3. Customização e otimização dos recursos a serem alocados.
4. Facilitação do alinhamento interno a respeito da criticidade dos dados.
5. Facilitação de mapeamento dos dados dentro da organização.

Quando se fala em classificação de dados, o primeiro pensamento é em rótulos como “público”, “confidencial”, “restrito”, “secreto”, “ultrassecreto”, etc… Embora existam ferramentas de segurança da informação bastante eficientes no mercado que, dentre outras características, rotulam dados e informações utilizando de 5 a 10 rótulos diferentes, a experiência tem indicado que se aplica nesse caso o famoso ditado em que “o ótimo é inimigo do bom”, ou seja, quanto mais simplificados forem os rótulos, mais fáceis de serem aplicados, de serem armazenados, de serem mapeados e menos recursos serão necessários para o seu tratamento.

Um dos conjuntos de softwares mais utilizados em todo o mundo, ou seja, o Office 365 da Microsoft já utiliza igualmente a rotulação de documentos gerados pelo Word, Excel, Powerpoint e até mesmo para os e-mails trafegados via Outlook.

Entretanto, não confundamos rótulos, que expressam a classificação subjetiva feita pelo usuário, com a classificação do rótulo em si. A subjetividade de classificar um dado é onde reside o sucesso ou o fracasso de uma classificação de dados feita de maneira adequada ou não.

Embora, a classificação de dados possa se dar por diversos critérios, existem 3 principais tipos que acabam sendo utilizados, devendo os colaboradores da empresa receber treinamento adequado para entender de que maneira devem ser aplicados os rótulos, de maneira pertinente ao critério de classificação adotado pela empresa.

Tipos de Classificação de Dados
1. Baseada no conteúdo do dado – de acordo com a criticidade da informação contida no dado, é atribuída a classificação subjetiva de acordo com o juízo de valor do colaborador que a rotula.
2. Baseada em um contexto – de acordo com a criticidade da informação atribuída pela empresa a determinada área da empresa, a determinados projetos, etc.
3. Baseada no usuário – de acordo com a criticidade de determinado usuário, em razão deste lidar com informações com um nível mais alto ou não de confidencialidade de informações.

De qualquer forma, dados são dinâmicos e produzidos praticamente a cada segundo dentro de uma organização. Dessa forma, qualquer iniciativa visando a classificação de dados precisa levar em consideração os dados já existentes e a classificação dos dados que serão criados a partir de então.