Checklist de Conformidade em Partilha de Ficheiros 2026

Uma falha de conformidade em partilha de ficheiros raramente começa por um ataque sofisticado — começa pela ausência de controlo documentado numa auditoria da CNPD. Uma checklist de conformidade para empresas em 2026 cobre dez áreas: inventário e classificação de dados, base jurídica para o tratamento, Acordos de Tratamento de Dados com fornecedores, encriptação (AES-256-GCM em repouso, TLS 1.3 em trânsito), controlos de acesso com autenticação multifator, políticas de retenção e eliminação, registo de auditoria com integração SIEM, procedimentos de notificação de violação ao abrigo do artigo 33.º do RGPD e da Regra de Notificação de Violação da HIPAA, gestão do risco de terceiros e formação de colaboradores. Cada área necessita de política escrita, aplicação técnica e evidência para auditores. Falhar numa única pode fazer uma empresa regulada reprovar num exame SOC 2 Tipo II ou enfrentar uma ação de fiscalização.

Comece com o Inventário e a Classificação de Dados

Antes de qualquer decisão sobre ferramentas, saiba que dados está a partilhar e qual a sua sensibilidade. Construa um inventário organizado por categoria de dados (pessoal, financeiro, de saúde, propriedade intelectual), por origem (colaboradores, clientes, parceiros) e por estatuto regulado (dados pessoais ao abrigo do RGPD, PHI ao abrigo da HIPAA, dados de portador de cartão ao abrigo do PCI DSS). A classificação liga-se às regras de tratamento. Um esquema de quatro níveis (Público, Interno, Confidencial, Restrito) serve a maioria das empresas. O inventário é atualizado trimestralmente. Ferramentas como Microsoft Purview, Google DLP e Varonis analisam sistemas e produzem classificações candidatas. Sem inventário e classificação, todos os outros controlos operam por conjetura.

Base Jurídica e Documentação do Consentimento

O artigo 6.º do RGPD exige uma base jurídica para cada atividade de tratamento. Para transferências de ficheiros com dados pessoais, as bases comuns são a execução do contrato (enviar uma fatura a um cliente), a obrigação jurídica (registos de RH sujeitos a legislação laboral), os interesses legítimos (relatórios internos) ou o consentimento. Documente qual a base que se aplica a cada fluxo. Para categorias especiais ao abrigo do artigo 9.º (saúde, biometria, opiniões políticas), o limiar mais elevado requer consentimento explícito ou outra condição específica. Os registos de consentimento devem ser granulares, revogáveis e mantidos enquanto durar o tratamento. Para as leis estatais dos EUA, os mecanismos de aviso e opt-out diferem do RGPD; alinhe a sua abordagem com o regime mais restrito que afeta os seus clientes.

Contratos com Fornecedores e ATDs

Cada fornecedor de transferência de ficheiros que trate dados pessoais precisa de um ATD que satisfaça o artigo 28.º, n.º 3, do RGPD. Verifique que o ATD especifica o objeto, a duração, a natureza e a finalidade, os tipos de dados, as categorias de titulares, as obrigações do responsável e os compromissos do subcontratante. Para contextos regulados nos EUA, acrescente Acordos de Parceiro Comercial HIPAA onde PHI está envolvida, atestações de Controlos de Organização de Serviços onde aplicável, e prazos de notificação de violação específicos. Reveja os ATDs anualmente e em alterações materiais de serviço. Mantenha cópias assinadas num arquivo acessível com alertas de expiração. Fornecedores sem ATD ou com ATDs modelo em falta de especificidades do RGPD não devem passar na aquisição.

Configuração de Encriptação Verificada

Confirme que a postura criptográfica da ferramenta corresponde à política. Ficheiros em repouso encriptados com AES-256 (GCM ou CBC-HMAC). Ficheiros em trânsito protegidos por TLS 1.3 com sigilo de encaminhamento. Chaves geridas num HSM ou KMS com rotação documentada (chaves mestras anualmente, chaves de sessão por ligação). Para serviços com encriptação ponta-a-ponta, verifique a função de derivação de chave (PBKDF2 com 600.000 ou mais iterações, ou Argon2id com parâmetros calibrados) e confirme que o servidor não pode recuperar chaves a partir de fragmentos de ligação. Solicite o documento de arquitetura criptográfica do fornecedor. Para cargas de trabalho reguladas, prefira ferramentas em que um compromisso do lado do servidor não exponha texto simples.

Controlos de Acesso e Aplicação de MFA

MFA em todas as contas, sem exceções. TOTP, WebAuthn/FIDO2 ou aplicações de notificação push; SMS aceitável apenas quando não há outra alternativa. Integração SSO com o IdP corporativo (Okta, Azure AD, Google Workspace, Ping Identity) para gestão centralizada do ciclo de vida das contas. Acesso baseado em funções com mínimo privilégio: funções separadas para administrador, revisor de auditoria e remetente comum. Tempos limite de sessão de quinze a trinta minutos sem atividade. Acesso do destinatário através de ligações autenticadas, não URLs partilháveis. Verifique a aplicação nas definições do produto e teste tentando contornar o MFA numa conta de teste.

Políticas de Retenção Tecnicamente Aplicadas

A política no papel não satisfaz os auditores. A ferramenta deve aplicar a retenção. Defina predefinições por nível de dados: sete dias para transferências gerais, expirar no primeiro descarregamento para categorias sensíveis, mais longo apenas com razão documentada. Confirme que a eliminação ocorre na expiração e que a mecânica de eliminação (eliminação ao nível do ficheiro versus apagamento criptográfico) corresponde aos seus requisitos. A funcionalidade de suspensão legal deve bloquear a eliminação de ficheiros em preservação. Teste a retenção carregando um ficheiro de amostra, aguardando a expiração e verificando a inacessibilidade. Documente os resultados do teste como evidência de auditoria.

Registo de Auditoria e Monitorização

Capture registos para cada carregamento, descarregamento, criação de ligação, expiração de ligação, tentativa de autenticação, desafio MFA e ação administrativa. Os registos devem incluir carimbo de data/hora, ator, endereço IP, agente de utilizador, identificador de recurso e ação. Transmita os registos para um SIEM (Splunk, Sentinel, Elastic, Chronicle, Sumo Logic) para correlação com outros eventos da empresa. Retenha os registos pelo prazo da regra mais longa aplicável: seis anos para a HIPAA, sete para a SOX, três ou cinco para muitas leis de violação estaduais. Monitorize anomalias: picos no volume de descarregamentos, acesso de geografias inesperadas, alterações de privilégio de administrador, rajadas de falha de autenticação.

Resposta a Violações Pronta Antes de ser Necessária

A preparação poupa o prazo de setenta e duas horas do RGPD. Documente: responsável pelo incidente nomeado com contacto vinte e quatro horas por dia, árvore de escalada incluindo jurídico, comunicação e patrocinador executivo, modelos de notificação para cada regulador (CNPD, ICO, HHS OCR, procuradores-gerais estaduais, marcas de cartão), e ações de contenção pré-autorizadas (revogação de ligação, rotação de credenciais, desativação de conta). Realize pelo menos dois exercícios de simulação por ano e preserve os relatórios pós-ação. Os contactos de coordenação de incidentes com fornecedores devem estar arquivados e testados.

Gestão do Risco de Terceiros

Mantenha um inventário de fornecedores com evidência atual de SOC 2 Tipo II ou ISO 27001. Exija resumos de teste de penetração anualmente. Subscreva classificações de segurança externas (BitSight, SecurityScorecard, UpGuard) e alerte sobre quedas materiais de pontuação. Faça fluir os requisitos de segurança para os sub-processadores. Reavalie fornecedores anualmente ou em alteração material (aquisição, violação, alteração de pilha tecnológica). Para entidades financeiras ao abrigo do DORA, mantenha o Registo de Informação exigido pelo artigo 28.º.

Formação e Cultura que Resultam

Formação anual para todos os colaboradores que lidam com dados empresariais. Módulos específicos para finanças (PCI DSS), RH (privacidade de colaboradores), pessoal de saúde (HIPAA) e jurídico (considerações de privilégio). O conteúdo deve incluir exemplos reais relevantes para a empresa, não vídeos genéricos. Simulações de phishing quatro vezes por ano. Formação de novos colaboradores na primeira semana. Sanções por violações documentadas na política e aplicadas de forma consistente. As métricas são importantes: taxas de participação, pontuações em testes, redução de incidentes relatados após a formação.

O HexaTransfer executa encriptação AES-256-GCM do lado do cliente, alojamento na UE, eliminação automática aos sete dias e registos exportáveis, encaixando claramente na maioria dos itens da checklist acima. Experimente em https://hexatransfer.com — gratuito, sem conta, máximo de 10 GB.

Uma checklist de conformidade só é útil quando cada item tem um proprietário, um método de verificação e uma próxima data de revisão. Percorrer estas dez áreas uma vez deteta as lacunas óbvias. Repetir o percurso cada trimestre mantém o programa atual à medida que as regras evoluem e à medida que o seu negócio muda. Trate a conformidade como a disciplina operacional contínua que se tornou, e a partilha de ficheiros deixa de ser uma fonte de surpresas em auditorias.