Os sistemas de gestão de documentos (DMS) são o equivalente em software do arquivo de um escritório. É onde a sua empresa armazena, categoriza, organiza ou protege documentação confidencial. Provavelmente, já tem um em funcionamento.

Poderá ser o Google Drive, o SharePoint ou um sistema interno de armazenamento na nuvem empresarial que tenha criado. Poderá estar a utilizá-lo para recolher contratos, faturas, extratos bancários, registos de funcionários ou brochuras de produtos. Mas a forma como gere estes documentos também pode ser o motivo pelo qual enfrenta perdas financeiras astronómicas, sanções do setor e ações regulatórias.

Porquê? Porque os sistemas DMS foram concebidos para manter os seus documentos organizados, e não para proteger os dados contra as ameaças que surgiram nos últimos anos.

Eis como é, na verdade, uma gestão segura de documentos e por que razão o sistema que está a utilizar atualmente poderá não estar a proporcioná-la.

O que é um sistema de gestão de documentos?

Um sistema de gestão de documentos é qualquer software utilizado como um repositório central para armazenar, acompanhar e distribuir documentos digitais. Com as práticas de armazenamento corretas, um DMS pode remover a necessidade de papelada física e manter os ficheiros arquivados difíceis de localizar ao seu alcance.

Um DMS pode ajudar a::

  • Armazenar e organizar ficheiros: numa única localização onde todos os documentos outrora dispersos por pastas, anexos de e-mail e ficheiros físicos estão acessíveis e podem ser encontrados numa única pesquisa, independentemente de quem os criou ou quando.
  • Acompanhar quem viu ou contribuiu para um ficheiro: pode ver uma perspetiva estruturada de todo o seu processo de aprovação para verificar as alterações ao documento. Com definições de permissão e de gestão de credenciais, também pode limitar a exposição interna e manter os registos confidenciais protegidos.
  • Manter uma pista de auditoria defensável: regras predefinidas podem ajudá-lo a arquivar ou a eliminar documentos após períodos definidos, para ajudar a cumprir as normas de conformidade. Também pode acompanhar cada visualização, edição ou transferência para prestar contas às entidades reguladoras.
  • Automatizar fluxos de trabalho de aprovação: as notificações e os alertas podem encaminhar os documentos por fases de pedidos de aprovação, etapas de validação e ciclos de revisão, para que não tenha de procurar as pessoas pessoalmente.

Os três sistemas de gestão de documentos mais comuns — e por que razão não protegem os seus dados

As três plataformas abaixo foram concebidas para colaboração e escala, e cumprem ambas as funções. Mas as empresas deveriam exigir mais do seu DMS.

Os incidentes de dados acontecem todos os dias e as PME correm um risco particular. Cerca de 25% das PME sofreram um incidente ou um ciberataque no ano passado. E mesmo que a sua empresa não sofra um incidente, poderá deixar de estar em conformidade com regulamentos como o GDPR e a HIPAA, ou falhar auditorias a normas como a ISO 27001, uma vez que estas exigem uma proteção proativa de dados. A vulnerabilidade em si é motivo de penalização.

Tendo em conta a segurança, analisamos as plataformas que muitos gestores de TI e CEO escolhem por predefinição.

Microsoft SharePoint

Porque é a predefinição do escritório: o SharePoint está profundamente incorporado no ecossistema do Microsoft 365, o que o torna o caminho de menor resistência para as empresas que já utilizam o Outlook, o Teams ou o Excel. Gere grandes volumes de documentos, suporta definições de permissões detalhadas e integra-se com as restantes ferramentas da Microsoft sem necessidade de configuração adicional. Para as equipas que utilizam o Microsoft 365 no seu dia a dia, funciona.

Como introduz riscos de segurança: as vulnerabilidades do SharePoint são maioritariamente estruturais. Funciona sob o modelo alargado de acesso a dados da Microsoft — o que significa que a Microsoft mantém a capacidade de aceder ao seu conteúdo armazenado para fins que incluem a prestação de serviços, conformidade e pedidos de aplicação da lei. É aplicada encriptação, mas a Microsoft possui as chaves. Os seus documentos estão protegidos de atacantes externos, mas não da própria plataforma. O SharePoint também tem um histórico de problemas de configuração incorreta: as definições de partilha excessivamente permissivas são fáceis de configurar e fáceis de esquecer, e a dispersão interna de dados — documentos partilhados entre equipas sem uma propriedade ou expiração clara — é um modo comum de falha de conformidade.

O que deve procurar em alternativa: um sistema onde o fornecedor não possa aceder ao seu conteúdo por conceção — e não por política. Procure uma encriptação ponto a ponto com chaves que possa controlar, compromissos claros de residência de dados e definições de partilha que, por predefinição, concedem o menor número de privilégios em vez de um acesso aberto.

Google Drive

Porque é a predefinição do escritório: Google Drive é a escolha por predefinição para as empresas que já se encontram no ecossistema da Google — Gmail, Docs, Sheets, Meet. É rápido de configurar, não exige custos de TI adicionais e as suas funcionalidades de colaboração em tempo real são genuinamente as melhores da sua classe. Para pequenas equipas que precisam de avançar rapidamente, cumpre o seu propósito.

Como introduz riscos de segurança: o modelo de negócio da Google baseia-se em dados. Mesmo ao abrigo de um acordo do Google Workspace, a Google mantém direitos alargados para processar o seu conteúdo — para melhoria do serviço, infraestrutura de anúncios e conformidade com pedidos legais. Tal como no SharePoint, a encriptação é padrão, mas a Google possui as chaves. Há também a questão da dispersão: o Drive torna a partilha externa de documentos muito simples, o que significa que ficheiros confidenciais podem acabar silenciosamente acessíveis a qualquer pessoa com uma ligação, muitas vezes sem que o proprietário original se aperceba.

O que deve procurar em alternativa: uma plataforma que trate os seus documentos como seus — e não como dados a serem processados. Encriptação com zero acesso, em que o fornecedor não consegue ler os seus ficheiros sob circunstância alguma, e controlos de partilha externa que exigem uma ação deliberada em vez de um único clique.

Dropbox

Porque é a predefinição do escritório: Dropbox construiu a sua reputação com base na simplicidade. Sincroniza ficheiros instantaneamente entre dispositivos, funciona bem com ferramentas de terceiros e tem uma curva de aprendizagem reduzida que o torna popular entre equipas mais pequenas e freelancers. Para partilha e armazenamento simples de ficheiros, é difícil encontrar falhas na facilidade de utilização.

Como introduz riscos de segurança: o Dropbox encripta ficheiros em trânsito e em repouso — mas, mais uma vez, possui as chaves de encriptação. Isso significa que os funcionários do Dropbox e, por extensão, os pedidos governamentais, podem aceder ao seu conteúdo. Também tem um histórico notável de incidentes: um incidente em 2012 expôs as credenciais de 68 milhões de utilizadores e a plataforma enfrentou críticas pelo tempo que demorou a divulgar a dimensão desse incidente. Para empresas que lidam com dados regulados, a cobertura de conformidade do Dropbox também é mais reduzida do que as alternativas empresariais, o que pode criar lacunas em relação aos requisitos do GDPR ou da HIPAA.

O que deve procurar em alternativa: armazenamento concebido de raiz para a conformidade de cibersegurança — com encriptação ponto a ponto, residência de dados documentada e um fornecedor cuja arquitetura torna o acesso aos seus ficheiros tecnicamente impossível, e não apenas contratualmente proibido.

Como é, na verdade, uma gestão segura de documentos

As três plataformas acima não são inseguras por acidente. Foram concebidas para colaboração e escala, e cumprem ambas as funções. A segurança não era o problema que esses fornecedores pretendiam resolver.

Se a segurança de dados é uma prioridade para a sua empresa, estas são as funcionalidades que distinguem um DMS genuinamente seguro de um que apenas o parece ser.

  • Encriptação de conhecimento zero: o seu DMS deve encriptar os seus documentos antes de estes saírem do seu dispositivo. Isso significa que o fornecedor nunca tem acesso ao seu conteúdo — nem para a prestação de serviços, nem em resposta a pedidos legais. Se o fornecedor possuir as chaves de encriptação, está a confiar na política dele. Se este não as puder possuir por conceção, não precisa de o fazer.
  • Arquitetura de código aberto e auditorias independentes: as alegações de segurança são fáceis de fazer. Procure fornecedores cuja arquitetura seja de código aberto — o que significa que qualquer pessoa a pode inspecionar — e cuja postura de segurança seja verificada por auditorias independentes de terceiros, e não apenas por afirmações internas.
  • Certificações de conformidade reconhecidas: as certificações ISO 27001, SOC 2 Tipo II e HIPAA não são apenas caixas de verificação a assinalar. São provas de que os controlos de segurança de um fornecedor foram testados em relação a uma norma externa. Se opera num setor regulado, estas certificações não são opcionais.
  • Jurisdição e residência de dados: o local da sede do seu fornecedor determina quais os governos que podem forçar o acesso aos seus dados. As plataformas sediadas nos EUA estão sujeitas à lei CLOUD Act. Certifique-se de que sabe quais as leis que regem os seus documentos — e se isso é aceitável para a sua empresa.
  • IA segura para a privacidade: se o seu DMS incluir funcionalidades de IA, confirme que a IA funciona sem visibilidade sobre o conteúdo dos seus documentos — e que os seus dados não são utilizados para treinar o modelo subjacente.

Escolher um DMS que realmente proteja os seus dados

O sistema de gestão de documentos que escolher determina quem pode ver os ficheiros mais confidenciais da sua empresa enquanto os conservar. O Proton Workspace alia o armazenamento seguro de documentos a ferramentas de colaboração de equipa, para que a sua empresa obtenha as funcionalidades de colaboração de que necessita sem entregar a chave dos seus dados a um fornecedor.