Por Segurança da informação na LGPD envolve medidas técnicas e administrativas aptas a proteger dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou tratamento inadequado. A escolha dos controles considera riscos, natureza dos dados e contexto do tratamento.
Onde esse conceito aparece?
Controles comuns incluem gestão de acesso, autenticação, cópias de segurança, atualização, treinamento, registro de incidentes e avaliação de fornecedores. A segurança deve existir desde a concepção do produto ou serviço e durante o ciclo de tratamento. Conecte com tratamento de dados, retenção e risco jurídico.
Por que importa em uma decisão?
Mantenha inventário de sistemas e dados, análise de riscos, plano de resposta, responsáveis e testes. Em incidente, avalie natureza dos dados, titulares afetados, risco ou dano relevante e deveres de comunicação nos termos da LGPD e da regulamentação da ANPD.
Limites e cuidados de interpretação
A LGPD não prescreve uma ferramenta única nem garante segurança absoluta. Certificação, criptografia ou política escrita isoladamente não comprovam adequação. Controles devem ser proporcionais e efetivamente aplicados, revisados e documentados.
Governança começa por inventário e responsabilidade
Segurança da informação é o conjunto coordenado de práticas, controles e responsabilidades que busca preservar confidencialidade, integridade e disponibilidade de informações. Não é apenas instalar antivírus ou contratar uma ferramenta: a organização precisa saber quais dados e sistemas possui, quem responde por eles, onde estão, quais dependências externas existem e que impacto a indisponibilidade teria. Comece por inventariar ativos, classificar informação conforme sensibilidade e criticidade e atribuir responsáveis de negócio e técnicos. Relacione sistemas a processos, fornecedores, pessoas autorizadas e planos de continuidade. A classificação deve orientar acesso e proteção sem criar burocracia inútil. Dados pessoais exigem também análise dos princípios e deveres da LGPD. Uma política útil define objetivos, papéis, exceções, treinamento, revisão e consequências; deve corresponder à prática e ser aprovada por quem pode financiar e cobrar controles. Sem patrocínio da direção, a equipe técnica não consegue priorizar riscos que atravessam áreas e contratos.
Avaliação de risco orientada a cenários
Risco de segurança pode ser estimado pela combinação de probabilidade e impacto sobre pessoas, operação, finanças, obrigações e reputação. Trabalhe com cenários concretos: conta comprometida, ransomware, envio de dado ao destinatário errado, falha de fornecedor, alteração não autorizada, perda de equipamento ou indisponibilidade prolongada. Para cada cenário, identifique ativos afetados, ameaça, vulnerabilidade, controles existentes, consequência e risco residual. Uma planilha com nota sem critério reproduzível não é análise robusta; registre escalas, premissas, evidências e incertezas. Priorize medidas que reduzam exposição de modo verificável e atribua prazo e responsável. Considere risco de concentração: um único serviço em nuvem pode ser seguro tecnicamente e ainda representar ponto único de falha. Reavalie após incidente, mudança de arquitetura, aquisição, alteração de fornecedor ou transformação do tratamento de dados. Decisões de aceitar risco residual devem ser explícitas e tomadas por quem tem autoridade para assumir seus efeitos.
Controles de acesso, identidade e proteção técnica
Aplique menor privilégio: cada pessoa recebe somente o acesso necessário à função e pelo tempo necessário. Use autenticação multifator em contas críticas, gestão de credenciais, revisão periódica de permissões, revogação imediata em desligamento ou mudança de função e contas administrativas separadas das rotineiras. Criptografia, cópias de segurança segregadas, atualização de software, segmentação de rede, monitoramento e proteção de dispositivos precisam ser configurados e testados conforme o risco. A existência de ferramenta não comprova eficácia: verifique cobertura, alertas, retenção de logs e capacidade de restaurar dados. Evite contas compartilhadas que impedem atribuir ações. Em desenvolvimento, controle dependências, segredos, ambientes e revisão de código; em operação, monitore mudanças e vulnerabilidades. Medidas devem considerar acessibilidade e continuidade, para que controles não incentivem atalhos inseguros. Registre exceções com justificativa, prazo de expiração e medida compensatória.
Resposta a incidentes e recuperação
Um plano de resposta define como detectar, classificar, conter, investigar, comunicar e recuperar após incidente. Indique canal de acionamento que funcione fora do sistema comprometido, papéis de liderança, jurídico, segurança, comunicação e operação, critérios de severidade, preservação de evidências e autoridade para desligar serviços. A equipe deve saber quando acionar fornecedores, seguradora, autoridades e titulares conforme a lei e o contexto. Simule casos realistas, inclusive perda de credencial, vazamento e indisponibilidade, e transforme lições em correções com responsável e prazo. Backups devem ser protegidos contra alteração pelo mesmo atacante e sua restauração testada; uma cópia que nunca foi recuperada não é plano de continuidade. Preserve logs e cadeia de custódia sem atrasar contenção. Após o evento, analise causa-raiz, duração, dados afetados, controles que falharam e medidas preventivas. Incidente não é apenas evento confirmado de invasão: falha humana e erro de configuração também podem exigir avaliação.
Fornecedores, evidências e melhoria contínua
Terceirizar tecnologia não transfere automaticamente toda responsabilidade nem elimina risco. Antes de contratar, avalie acesso a dados, dependência operacional, localização, subcontratação, resposta a incidentes, continuidade e possibilidade de exportar ou eliminar informação. O contrato deve alinhar medidas, comunicação, cooperação, auditoria proporcional, níveis de serviço e transição de saída. Peça evidências dentro do escopo, como relatório de controles, teste, certificação válida e plano de recuperação, mas confirme que cobrem o serviço efetivamente usado. Avaliação baseada apenas em questionário anual pode perder mudanças críticas. Defina indicadores: vulnerabilidades vencidas, contas privilegiadas revisadas, sucesso de restauração, incidentes e tempo de contenção. Faça revisão por evento e não somente por calendário. Registre decisões e riscos aceitos. A segurança deve ser compreensível para usuários e integrada aos processos diários. Este verbete é introdutório e não substitui auditoria técnica ou resposta profissional a incidente.
Privacidade, retenção e direitos de titulares
Segurança e privacidade são relacionadas, mas não idênticas: um controle técnico pode proteger dados sem tornar legítimo qualquer uso. Documente finalidade e hipótese legal, limite coleta e acesso, estabeleça retenção e descarte e responda a pedidos de titulares pelos canais apropriados. Identificadores e cópias de documentos precisam de proteção proporcional ao dano potencial. Em incidente, avalie natureza dos dados, pessoas afetadas, probabilidade de dano e deveres de comunicação; decisão e prazo devem ser fundamentados e registrados. Contratos com operadores precisam prever instruções, medidas e cooperação. Evite armazenar dados pessoais em planilhas, mensagens e ambientes de teste sem necessidade. Consulte LGPD e aplique controles coerentes com o ciclo de vida real da informação.
Indicadores para verificar se os controles funcionam
Meça resultados observáveis, e não somente quantidade de políticas ou treinamentos. Exemplos incluem tempo de remoção de acesso após desligamento, proporção de contas privilegiadas revisadas, sucesso de restauração em teste, vulnerabilidades críticas corrigidas no prazo e tempo entre detecção e contenção de incidente. Defina origem, periodicidade, responsável, meta e exceção para cada indicador. Combine dados quantitativos com revisão de casos e testes controlados. Uma métrica pode incentivar comportamento ruim se for usada sem contexto, como premiar ausência de incidentes reportados em vez de qualidade de resposta. Apresente riscos residuais e dependências à direção em linguagem de impacto operacional. Revise medidas quando produto, ameaça ou fornecedor mudar. Auditoria independente deve verificar amostra e evidência, sem confundir conformidade documental com eficácia contínua.
Controles devem acompanhar o risco e o ciclo de vida dos dados
Segurança da informação combina controles administrativos, técnicos e físicos para preservar confidencialidade, integridade e disponibilidade. A organização deve identificar ativos, classificar informações, limitar privilégios, autenticar acessos, registrar eventos, manter cópias de segurança e testar recuperação. Fornecedores com acesso precisam de requisitos contratuais, avaliação e processo de encerramento de permissões. Um plano de resposta a incidentes deve indicar quem decide, como conter o evento, preservar evidências e comunicar afetados ou autoridades quando a lei exigir. Segurança não é apenas instalar ferramenta: treinamento, atualização, gestão de vulnerabilidades e continuidade operacional também importam. As medidas devem ser proporcionais à informação e ao impacto possível, revisadas quando sistemas, pessoas ou ameaças mudarem.
Controles básicos ao compartilhar um relatório
Minimize
Inclua somente dados necessários ao destinatário e à finalidade.
Revise
Confirme identidade, exatidão, contexto e atualidade.
Restrinja
Defina destinatários, permissões e canal seguro.
Registre
Mantenha histórico de acesso e compartilhamento quando adequado.
Descarte
Aplique prazo de retenção e descarte seguro conforme a política.
Use a sequência como apoio de leitura, não como substituto de análise profissional ou de consulta à fonte oficial.
Fontes e leitura complementar
Consulte o texto institucional e a regra aplicável ao conceito. A interpretação em uma situação concreta depende dos documentos e do contexto.