A classificação de dados ajuda as empresas a deixar de tratar cada informação como se comportasse o mesmo risco. Um e-mail de fornecedor, uma nota de processo interno, um registo de pagamento de cliente e um código de recuperação de administrador não devem circular pela empresa sob as mesmas regras.
Os dados sensíveis estão armazenados em toda a sua rede empresarial: circulam por CRM, caixas de entrada, armazenamento na nuvem, folhas de cálculo, sistemas de RH, plataformas de apoio ao cliente, software financeiro e ferramentas de fornecedores. Sem um sistema partilhado para os classificar, as equipas dependem frequentemente do instinto: se algo parece seguro para partilhar, ou provavelmente precisa de aprovação, optam pelo caminho mais rápido e fácil.
Isto pode funcionar durante algum tempo, mas não é dimensionável. Uma política de classificação de dados clara dá à sua empresa uma linguagem comum para decidir que informação pode ser pública, qual deve manter-se interna, qual precisa de controlos mais rigorosos e qual deve estar disponível apenas para cargos específicos.
O que é a classificação de dados?
Porque é que a classificação de dados é importante
Uma estrutura simples de classificação de dados
Exemplos de classificação de dados para equipas empresariais
Como a classificação rege o controlo de acesso
Partilhar dados classificados de forma segura
Começar com uma auditoria de dados
Como criar uma política de classificação de dados
Como o Proton Pass for Business apoia a classificação de dados
Tornar a classificação parte da proteção de dados diária
O que é a classificação de dados?
A classificação de dados é o processo de etiquetar os dados empresariais de acordo com a sua sensibilidade e o nível de danos que poderiam causar se fossem expostos, alterados, perdidos ou utilizados incorretamente. Na prática, significa agrupar a informação em níveis claros para que as pessoas saibam como armazená-la, partilhá-la, protegê-la e, eventualmente, eliminá-la.
Um sistema de classificação útil integra-se no trabalho diário. Dá aos colaboradores uma forma rápida de compreender quando a informação pode circular livremente, quando precisa de aprovação e quando o acesso deve ser limitado a um pequeno grupo. O objetivo é tornar óbvia a decisão mais segura antes que os dados sejam copiados, partilhados, exportados ou armazenados num local onde não deveriam estar.
As orientações do National Cyber Security Centre do Reino Unido sobre gestão de ativos(nova janela) tratam a informação como um ativo que necessita de visibilidade, propriedade e proteção. Esta é uma forma útil de enquadrar a classificação: antes de decidir quem pode aceder a dados sensíveis, precisa de saber que dados são esses e onde se encontram.
Porque é que a classificação de dados é importante
Não é possível proteger o que a sua empresa não identificou. Isto é especialmente verdade para as PME, que normalmente não dispõem de recursos para proteger cada sistema e cada tipo de informação com o mesmo nível de controlo. Antes que uma empresa possa decidir quem deve aceder a dados sensíveis, quais os sistemas que necessitam de proteções mais fortes ou onde o MFA e a partilha segura são mais urgentes, necessita de saber que informação possui e quais os dados mais importantes.
A classificação de dados é o primeiro passo numa estratégia prática de proteção contra incidentes de dados. Separa a informação empresarial de rotina dos dados que poderiam causar danos reais se fossem expostos, alterados, perdidos ou partilhados com a pessoa errada.
Isto é especialmente útil à medida que a informação se espalha por CRM, caixas de entrada, armazenamento na nuvem, sistemas de RH, ferramentas de apoio ao cliente, software financeiro, exportações e plataformas de fornecedores. A classificação dá aos colaboradores um sinal claro: o que pode ser tratado normalmente, o que precisa de aprovação e o que deve estar disponível apenas para cargos específicos.
Também apoia a conformidade. O Information Commissioner’s Office (ICO) do Reino Unido, a autoridade responsável pela aplicação da proteção de dados e pelas orientações do GDPR do Reino Unido(nova janela), espera que as organizações apliquem medidas técnicas e organizacionais adequadas. A classificação ajuda a tornar isso prático, adaptando a proteção à sensibilidade dos dados.
Para a prevenção de incidentes, o princípio é simples: os dados sensíveis não devem estar acessíveis a mais pessoas do que o necessário. O guia da Proton sobre prevenção de perda de dados para empresas explica como a redução da exposição desnecessária antes de um incidente pode limitar os danos posteriores.
Uma estrutura simples de classificação de dados
Uma estrutura de classificação não precisa de ser complicada. Quatro níveis são normalmente suficientes para pequenas e médias empresas:
- Público
- Interno
- Confidencial
- Restrito
Público
Os dados públicos são informações aprovadas para utilização externa. Uma versão publicada deste artigo que está a ler, por exemplo, seria considerada Dados públicos: pode ser lida, é segura para partilhar abertamente e indexada sem criar riscos significativos de segurança ou de privacidade.
Outros exemplos incluem:
- Textos do sítio web
- Comunicados de imprensa
- Descrições de funções públicas
- Materiais de vendas aprovados
- Páginas de produtos
- Descrições públicas da empresa.
A informação pública ainda necessita de uma revisão de precisão e de marca, mas normalmente não precisa de um controlo de acesso rigoroso após ter sido aprovada.
Interno
Os dados internos destinam-se apenas a colaboradores e parceiros aprovados, mas não à distribuição pública. A exposição pode não causar danos graves, mas pode criar confusão, riscos de reputação ou problemas operacionais.
Alguns exemplos incluem:
- Documentos de processos internos
- Notas de equipa
- Procedimentos operativos normalizados
- Materiais de formação
- Planos de projeto não sensíveis
- Calendários internos
- Listas gerais de contactos de fornecedores.
Os dados internos devem permanecer nos sistemas empresariais aprovados. Por exemplo, um rascunho de um briefing de campanha, uma lista de verificação de integração ou notas de uma reunião de planeamento de equipa podem não ser altamente sensíveis, mas pertencem ao espaço de trabalho aprovado da empresa, não a uma pasta pessoal, caixa de entrada privada ou transferência não gerida.
Confidencial
Os dados confidenciais são informações comerciais sensíveis ou informações de identificação pessoal (PII) que poderiam prejudicar a empresa, os clientes, os colaboradores ou os parceiros se fossem expostas. O acesso deve ser limitado a cargos aprovados com uma necessidade comercial clara.
Alguns exemplos incluem:
- Registos de clientes
- Ficheiros de colaboradores
- Contratos
- Condições comerciais
- Relatórios financeiros
- Detalhes do pipeline de vendas
- Pedidos de apoio ao cliente que contêm dados pessoais
- Planos de negócios não publicados
- Acordos com fornecedores não públicos
Os dados confidenciais devem estar acessíveis apenas a cargos aprovados. Não devem residir em unidades pessoais, pastas partilhadas abertas, folhas de cálculo não geridas ou caixas de entrada onde ninguém revê o acesso. Se precisarem de ser partilhados externamente, a empresa deve utilizar um armazenamento na nuvem empresarial encriptado de ponto a ponto (E2EE) e limitar a partilha a destinatários autorizados com um propósito comercial claro.
Restrito
Os dados restritos são a categoria mais sensível. Se forem expostos, utilizados incorretamente ou alterados, a empresa poderá enfrentar graves consequências financeiras, jurídicas, operacionais ou de segurança.
Alguns exemplos incluem:
- Credenciais de administrador
- Códigos de recuperação
- Segredos de autenticação
- Detalhes de pagamento de clientes
- Registos de RH altamente sensíveis
- Ficheiros de litígios jurídicos
- Relatórios de incidentes de segurança
- Registos de acesso privilegiado
- Chaves de encriptação
- Detalhes de acesso de cópias de segurança
Os dados restritos necessitam dos controlos mais fortes: acesso limitado, autenticação forte e gestão de credenciais, armazenamento na nuvem encriptado de ponto a ponto, partilha segura e capacidade de auditoria.
| Nível de classificação | Sensibilidade | Exemplos | Nível de acesso | Regras de partilha |
| Público | Baixa | Artigos publicados, textos do sítio web, comunicados de imprensa, anúncios de emprego públicos, materiais de vendas aprovados | Aprovado para utilização externa | Pode ser partilhado publicamente após revisão e aprovação |
| Interno | Moderada | Notas de equipa, rascunhos de briefings de campanha, listas de verificação de integração, documentos de processos internos | Funcionários e colaboradores aprovados | Manter dentro de sistemas empresariais aprovados |
| Confidencial | Alta | Registos de clientes, ficheiros de colaboradores, contratos, relatórios financeiros, pedidos de apoio ao cliente com dados pessoais | Apenas cargos aprovados | Partilhar apenas com destinatários autorizados e para um propósito comercial claro |
| Restrito | Mais alta | Credenciais de administrador, códigos de recuperação, detalhes de pagamento, relatórios de incidentes de segurança, registos de acesso privilegiado | Utilizadores designados ou grupos rigorosamente controlados | Não partilhar por e-mail, chat, capturas de ecrã ou documentos não geridos |
Exemplos de classificação de dados para equipas empresariais
A classificação torna-se mais fácil quando as equipas a conseguem reconhecer no seu próprio trabalho. As equipas financeiras podem tratar uma página de preços pública como pública, enquanto faturas, ficheiros de processamento de salários, documentos fiscais e registos de pagamento são normalmente confidenciais. As credenciais bancárias e o acesso de administrador a plataformas de pagamento devem ser restritos, uma vez que podem expor informações, alterar definições ou movimentar dinheiro.
Na prática, esse acesso deve ser controlado através de permissões baseadas em cargos, autenticação forte, revisões regulares de acesso e um gestor de palavras-passe empresarial que ajude as equipas a gerir e a controlar as credenciais associadas a sistemas sensíveis.
Os dados de RH seguem um padrão semelhante. Um anúncio de emprego pode ser público, ao passo que contratos de trabalho, informações salariais, registos de baixas médicas, detalhes de benefícios e dados de candidatos são normalmente confidenciais. Investigações sensíveis, credenciais de administrador de RH e o acesso amplo a registos de colaboradores devem ser restritos.
Isto não é uma anomalia histórica: a multa do ICO de 2022 à Interserve(nova janela), no total de 4,4 milhões de libras, é um aviso claro de que os dados dos colaboradores devem ser classificados e protegidos como informação empresarial sensível, e não tratados como documentação interna comum.
As equipas de vendas, customer success, marketing e TI também precisam de limites claros. Os registos de clientes e os pedidos de apoio ao cliente que contêm informações pessoais ou ao nível da conta são frequentemente confidenciais. O trabalho de segmentação interna, o planeamento de campanhas e os relatórios de desempenho podem ser internos ou confidenciais, dependendo de incluírem dados ao nível do cliente, sensibilidade comercial ou estratégia de negócio não pública.
A documentação de fornecedores deve ser classificada com base no seu conteúdo, especialmente se incluir detalhes de acesso, condições comerciais ou informações de segurança. Conjuntos de dados de clientes exportados, acesso de administrador ao CRM, acesso de administrador a plataformas de publicidade como o Google Ads ou o Meta Business Manager, credenciais de cópias de segurança, códigos de recuperação, registos de acesso privilegiado e credenciais de ferramentas de segurança devem ser restritos, uma vez que um único ficheiro ou conta exposto pode afetar muito mais do que uma pessoa.
Como a classificação rege o controlo de acesso
Assim que os dados são classificados, o acesso deixa de ser uma definição de permissão genérica e passa a ser uma decisão comercial. A questão já não é apenas se alguém pode abrir um sistema, mas sim se o seu cargo justifica o acesso à informação que este contém.
Uma equipa de apoio ao cliente pode precisar de conversas com os clientes, mas não de todos os ficheiros de clientes exportados. O departamento financeiro pode precisar de registos de pagamentos e de contabilidade, mas não de investigações de RH. Um prestador de serviços externo pode precisar de acesso a um único espaço de trabalho de projeto, e não ao Arquivo completo de ficheiros de clientes da empresa.
Para dados confidenciais e restritos, o acesso deve deixar um registo de auditoria. A empresa deve saber quem acedeu a quê, porque existe o acesso e se as permissões são revogadas imediatamente após uma alteração de cargo ou offboarding.
Um gestor de palavras-passe para equipas de TI apoia a gestão centralizada, a partilha segura, políticas, relatórios e registos de administrador, aprovisionamento SCIM e integrações de SSO. Isto ajuda as equipas a limitar o acesso às credenciais que desbloqueiam sistemas sensíveis, em vez de deixarem palavras-passe em navegadores, folhas de cálculo ou tópicos de chat.
Partilhar dados classificados de forma segura
As regras de partilha devem acompanhar a sensibilidade da informação. Um ativo publicado pode circular livremente após ser aprovado, mas um contrato, um ficheiro de cliente, um registo de pagamento ou um código de recuperação precisam de mais controlo. Quanto mais sensíveis forem os dados, menos pessoas deverão recebê-los e mais ponderado deverá ser o método de partilha.
Isto é especialmente importante para o e-mail. Muitas empresas ainda enviam informações sensíveis através de anexos, capturas de ecrã ou texto copiado, perdendo depois o rasto do destino dessas informações. O guia da Proton sobre como enviar informações sensíveis por e-mail de forma segura explica formas mais seguras de tratar informações sensíveis quando o e-mail é necessário.
As credenciais e os segredos necessitam de regras mais rigorosas do que os documentos comuns. Palavras-passe, códigos de recuperação, chaves de acesso e detalhes de acesso de administrador não devem ser enviados por e-mail, chat, capturas de ecrã ou documentos partilhados. Devem ser armazenados e partilhados através de um gestor de palavras-passe empresarial como o Proton Pass for Business, onde o acesso pode ser controlado, revisto e revogado de forma mais segura.
Começar com uma auditoria de dados
Antes de redigir uma política de classificação de dados, mapeie onde já residem os dados empresariais. A primeira auditoria não precisa de ser perfeita. Precisa apenas de mostrar quais os sistemas que contêm informações sensíveis, quem lhes pode aceder e onde podem existir cópias não controladas.
Comece por localizações do dia a dia, tais como CRM, plataformas de RH, software financeiro, armazenamento na nuvem, caixas de entrada de e-mail, unidades partilhadas, ferramentas de apoio ao cliente, gestores de palavras-passe, portais de fornecedores, transferências, exportações e cópias de segurança.
| Campo | O que registar |
| Localização | Onde residem os dados |
| Tipo de dados | Dados de clientes, colaboradores, financeiros, de credenciais ou operacionais |
| Nível de classificação | Público, interno, confidencial ou restrito |
| Proprietário | Pessoa ou equipa responsável |
| Acesso | Quem pode visualizar, editar, exportar ou partilhar |
| MFA | Se a autenticação de vários fatores está ativada |
| Partilha com fornecedores | Se terceiros lhe podem aceder |
| Estado de retenção | Manter, rever, eliminar ou anonimizar |
Como criar uma política de classificação de dados
Uma política de classificação de dados deve ser suficientemente curta para ser utilizada pelos colaboradores e suficientemente específica para orientar decisões reais. Deve definir os níveis de classificação, explicar quem é o proprietário dos dados sensíveis e ligar cada nível ao acesso, armazenamento, partilha, retenção e revisão.
Uma política simples pode incluir:
- Objetivo e âmbito: O que a política abrange e a quem se aplica.
- Níveis de classificação: Público, interno, confidencial e restrito, com exemplos.
- Propriedade: Quem aprova o acesso e trata da revisão das categorias de dados sensíveis.
- Regras de acesso: Quem pode aceder a cada nível e como o acesso é aprovado ou removido.
- Regras de partilha: Que canais estão aprovados para cada nível de classificação.
- Armazenamento e retenção: Onde deve residir cada tipo de dados e durante quanto tempo deve ser conservado.
- Cadência de revisão: Com que frequência a política e as regras de acesso são revistas.
- Processo de retenção legal: Quando as regras de eliminação ou retenção devem ser colocadas em pausa durante investigações ativas, litígios ou processos judiciais.
A política deve também deixar espaço para o bom senso. Nem todos os documentos se enquadrarão perfeitamente numa categoria. Em caso de dúvida, os colaboradores devem saber a quem perguntar e que predefinição seguir. Para dados sensíveis, a predefinição mais segura é normalmente restringir o acesso até que o proprietário correto confirme o contrário.
Como o Proton Pass for Business apoia a classificação de dados
A classificação de dados diz à sua empresa que informações necessitam de maior proteção. O controlo de acesso transforma essa decisão numa prática diária.
As credenciais fazem parte desse nível de acesso. Se uma palavra-passe concede acesso a dados restritos, tais como definições de administrador, exportações de clientes, sistemas financeiros, códigos de recuperação ou registos de segurança, essa credencial necessita de um tratamento mais rigoroso do que um início de sessão para um serviço interno de baixo risco.
Um gestor de palavras-passe empresarial seguro como o Proton Pass for Business ajuda as equipas a aplicar essas decisões de acesso na prática. As credenciais podem ser armazenadas em cofres encriptados, organizadas por equipa ou função, e partilhadas apenas com as pessoas que delas necessitam.
Os administradores também obtêm uma melhor visibilidade do acesso a credenciais através de relatórios e registos, ao passo que as políticas, as integrações de SSO e o aprovisionamento SCIM ajudam as equipas de TI a gerir a integração e a saída de colaboradores de forma mais consistente.
Isto torna a classificação mais fácil de aplicar no trabalho diário. As credenciais financeiras podem permanecer no departamento financeiro. O acesso de administrador de RH pode ser restrito aos responsáveis de RH autorizados. Os códigos de recuperação de cópias de segurança e os inícios de sessão de administrador privilegiados podem ser limitados às pessoas responsáveis pela recuperação e segurança.
Tornar a classificação parte da proteção de dados diária
A classificação de dados não é burocracia por si só. É uma forma de tornar a proteção contra incidentes de dados mais fácil de seguir no trabalho diário.
Assim que a sua empresa souber quais os dados mais sensíveis, o passo seguinte consiste em controlar quem pode aceder-lhes. Um gestor de palavras-passe pode ajudar as equipas a controlar e a monitorizar as credenciais que desbloqueiam sistemas sensíveis e dados restritos.
Controle o acesso a dados classificados em toda a sua organização com um gestor de palavras-passe empresarial.
