Classificação de Dados em Partilha de Ficheiros

Sem classificação de dados, todos os ficheiros saem pela mesma porta com o mesmo nível de proteção — que normalmente é nenhum. A Comissão Nacional de Proteção de Dados (CNPD) espera que as organizações apliquem medidas de segurança proporcionais à natureza dos dados, tal como exige o RGPD no artigo 32.º. O esquema que funciona na prática tem quatro níveis: Público (brochuras de marketing, relatórios publicados), Interno (atas de reuniões, rascunhos de orçamentos), Confidencial (registos de colaboradores, listas de clientes, informação financeira não pública) e Restrito (dados de saúde, dados de cartão, segredos comerciais, documentos de fusões e aquisições). Cada nível define requisitos de encriptação, destinatários permitidos, prazos de retenção e canais de transferência aprovados. Sem esta estrutura, o padrão de facto é "tratado de forma errada por omissão".

Porque é que a Classificação Importa Mais do que as Equipas Pensam

Equipas sem classificação enviam tudo da mesma forma. Uma brochura pública e um ficheiro de exportação de recursos humanos com 50 MB saem pelo mesmo servidor de correio eletrónico, com os mesmos limites de tamanho e o mesmo nível de encriptação — geralmente nenhum, além do TLS de transporte. A classificação obriga a uma conversa diferente: o que é este ficheiro, quem precisa de o receber e que proteção merece? A resposta define o canal de transferência. Um ficheiro Público vai por e-mail. Um ficheiro Interno vai pelo SharePoint da empresa com partilha por ligação autenticada. Um ficheiro Confidencial usa um serviço de transferência com autenticação do destinatário e expiração de sete dias. Um ficheiro Restrito usa encriptação ponta-a-ponta, aprovações explícitas e registo detalhado de acessos. Sem a etiqueta, os colaboradores adivinham — e normalmente adivinham mal.

Desenhar o Esquema de Quatro Níveis

Quatro níveis é o ponto de equilíbrio mais comum. Três parece demasiado grosseiro; cinco dilui as fronteiras e confunde os utilizadores. Nomeie os níveis de forma clara. "Público, Interno, Confidencial, Restrito" funciona melhor do que códigos de cor porque os utilizadores os pronunciam em voz alta. Defina cada nível com exemplos concretos da realidade da organização: o roteiro de produto em desenvolvimento é Confidencial numa empresa de software, mas pode ser Restrito numa empresa pré-anúncio em bolsa. Materiais do conselho de administração são Restritos. Dados salariais são Restritos. Acrescente uma regra explícita para documentos que misturam níveis: o ficheiro herda o nível mais elevado presente. Um arquivo .zip com um PDF Restrito e vinte ficheiros Públicos é Restrito.

Mecânica de Rotulagem

As etiquetas associam-se aos ficheiros de três formas. Seleção manual, em que o utilizador escolhe o nível num menu pendente no momento de guardar ou de carregar (Microsoft Information Protection no Word, Excel, PowerPoint). Automática, em que a ferramenta inspeciona o conteúdo com base em padrões e regras (Microsoft Purview, Google DLP, Nightfall). Herdada, em que uma biblioteca ou pasta atribui um nível predefinido a tudo o que for aí armazenado. Os melhores resultados advêm da combinação dos três: herança predefinida mais análise automática mais possibilidade de substituição pelo utilizador. A etiqueta em si fica nos metadados do ficheiro e é visível em cabeçalhos e rodapés de documentos. As etiquetas persistentes sobrevivem quando os ficheiros são copiados e partilhados.

Classificação Automatizada à Escala

A classificação manual falha à escala. Uma organização que gera cinquenta mil novos documentos por mês não pode depender de que cada utilizador classifique manualmente. Os motores de classificação automatizada analisam o conteúdo à procura de padrões: números de cartão de crédito via verificação Luhn, números de identificação fiscal, identificadores de registos de saúde, classificações de controlo de exportação. Os modelos de aprendizagem automática detetam contexto (contrato, fatura, currículo) e atribuem etiquetas. O Microsoft Purview com Sensitive Information Types e Trainable Classifiers, Symantec DLP, Forcepoint e Netskope oferecem estas capacidades. A precisão e a cobertura são críticas: afinar para reduzir falsos positivos sem perder conteúdo sensível exige iteração com os responsáveis de segurança, jurídico e negócio.

Regras de Tratamento por Nível

Defina regras concretas para cada nível. Público: sem restrições de partilha, mas a etiqueta mantém-se para evitar reclassificação acidental. Interno: partilhe apenas com colaboradores autenticados, sem destinatários externos sem aprovação, expiração predefinida de trinta dias nas transferências. Confidencial: a partilha externa requer parceiros aprovados, encriptação obrigatória (AES-256-GCM em repouso, TLS 1.3 em trânsito), autenticação específica por destinatário, expiração de sete dias, registos de descarregamento retidos doze meses. Restrito: aprovação necessária antes da partilha, encriptação ponta-a-ponta obrigatória, destinatários nomeados apenas, expiração no primeiro descarregamento, trilha de auditoria completa com retenção de seis ou mais anos, autenticação multifator obrigatória para todas as partes. Publique estas regras num documento de política acessível, não enterrado na intranet.

Integração com Ferramentas de Transferência de Ficheiros

As ferramentas de transferência devem ler a etiqueta e aplicar as regras. Se um utilizador carregar um ficheiro Restrito, a ferramenta deve exigir configurações de encriptação ponta-a-ponta e rejeitar a opção de ligação partilhável. Se for enviado um ficheiro Confidencial, deve bloquear o descarregamento até o destinatário se autenticar. O Microsoft Purview integra-se com o OneDrive e o Teams nativamente, além de conectores de terceiros. Para ferramentas ad hoc, a aplicação das regras acontece no gateway ou através de formação dos utilizadores, uma vez que essas ferramentas não leem etiquetas empresariais. Algumas organizações encaminham todos os ficheiros de saída por um gateway único com reconhecimento de classificação.

Formação de Utilizadores que Resulta de Facto

A classificação falha sem a adesão dos utilizadores. A formação eficaz mostra exemplos reais da organização: aqui está o aspeto de um documento de negócio Confidencial, eis o que corre mal quando é classificado como Interno, eis a coima regulatória que se seguiu. Módulos curtos e específicos para cada função superam cursos genéricos de uma hora. As equipas financeiras aprendem a reconhecer dados financeiros regulados. Os recursos humanos aprendem a identificar dados pessoais de colaboradores. As equipas de produto aprendem sobre material pré-lançamento. Atualize anualmente e inclua exercícios de reclassificação onde as equipas revejam ficheiros mais antigos e corrijam etiquetas que derivaram entretanto.

Deriva de Classificação e Auditoria

As etiquetas derivam com o tempo. Os ficheiros são copiados, enviados por e-mail, guardados como novas versões e reexportados — por vezes perdendo as etiquetas. As auditorias periódicas detetam estas derivações. Analise uma amostra de cem ficheiros mensalmente, verifique se as etiquetas correspondem ao conteúdo e reclassifique conforme necessário. Para auditorias SOC 2 Tipo II e ISO 27001, a evidência de um programa de classificação a funcionar melhora as avaliações nos controlos CC6.1 (acesso lógico) e A.8.2 (classificação de ativos). A classificação aparece também no artigo 32.º do RGPD (segurança adequada ao risco) e nas análises de risco do Centro Nacional de Cibersegurança (CNCS) para organizações portuguesas.

O HexaTransfer aplica encriptação ponta-a-ponta AES-256-GCM a todos os ficheiros independentemente do nível, tornando-o adequado para a partilha Confidencial e Restrita sem configuração especial. Experimente em https://hexatransfer.com — gratuito, sem conta, máximo de 10 GB.

A classificação não é glamorosa e raramente recebe financiamento antes de uma violação. Mas, uma vez implementada, transforma cada decisão de partilha de ficheiros de uma suposição numa regra. O nível determina o canal, o canal aplica a proteção e a trilha de auditoria prova que o processo funcionou. Comece com quatro níveis, automatize onde puder, forme os utilizadores com exemplos reais e reveja o programa anualmente face às regulamentações a que a sua organização está sujeita.