Revisado em por Roberto Lima
Neste artigo
O que e DLP
DLP (Data Loss Prevention), ou Prevenção de Perda de Dados, e um conjunto de tecnologias e práticas para identificar, monitorar e proteger dados sensíveis contra vazamentos, sejam acidentais ou maliciosos. DLP detecta quando dados confidenciais estão sendo transferidos de forma não autorizada e pode bloquear a ação.
Diferente de soluções que protegem o perímetro (firewall) ou endpoints (antivírus), DLP foca especificamente nos dados. Não importa onde o dado esta ou para onde vai - DLP acompanha e protege.
Estados dos dados
- Data at rest: Dados armazenados (arquivos, bancos de dados, backups)
- Data in motion: Dados em trânsito (email, web, transferências)
- Data in use: Dados sendo processados (copy/paste, print screen)
DLP completo protege dados em todos os três estados.
Tipos de DLP
Endpoint DLP
Agente instalado em workstations/laptops. Monitora cópias para USB, uploads, impressao, clipboard. Protege dados mesmo offline.
Network DLP
Monitora tráfego de rede. Inspeciona email, web, FTP, etc. Detecta dados sensíveis saindo pela rede corporativa.
Cloud DLP
Protege dados em SaaS e IaaS. Integra com Office 365, Google Workspace, AWS, Azure. Essencial para ambientes cloud-first.
Storage DLP
Escaneia repositórios de dados (file servers, SharePoint, databases) para descobrir e classificar dados sensíveis armazenados.
Classificação de Dados
DLP só funciona se souber o que proteger. Classificação de dados e o alicerce - identificar quais dados são sensíveis e qual o nível de proteção necessária.
Métodos de classificação
- Baseada em conteúdo: Regex e patterns (CPF, cartão de crédito, keywords)
- Baseada em contexto: Quem acessa, de onde, para onde envia
- Fingerprinting: Hash de documentos específicos para detectar cópias
- Machine learning: Classificação automática baseada em treinamento
- Manual (labels): Usuários marcam documentos com tags de sensibilidade
Níveis típicos de classificação
- Público: Pode ser divulgado externamente
- Interno: Apenas para uso interno, não confidencial
- Confidencial: Acesso restrito, impacto moderado se vazado
- Altamente confidencial: Dados críticos, impacto severo se vazado
Comece pelo que importa
Não tente classificar tudo de uma vez. Comece com dados regulamentados (LGPD, PCI-DSS), propriedade intelectual e informações financeiras. Expanda gradualmente.
Políticas e Regras DLP
Políticas DLP definem: que dados proteger, em quais canais, e qual ação tomar quando detectado.
Componentes de uma política
- Condições: O que dispara a regra (tipo de dado, quantidade, destino)
- Exceções: Quando não aplicar (usuários/grupos específicos, domínios parceiros)
- Ações: O que fazer (alertar, bloquear, criptografar, quarentena)
- Notificações: Quem avisar (usuário, gestor, segurança)
Exemplos de políticas comuns
- Bloquear envio de arquivos com mais de 10 números de CPF por email externo
- Alertar quando código-fonte for copiado para USB
- Criptografar automaticamente anexos confidenciais em emails externos
- Bloquear upload de documentos "Altamente Confidencial" para serviços não aprovados
- Notificar RH quando dados de funcionários forem acessados em volume anômalo
Evite bloqueios excessivos
DLP muito restritivo gera shadow IT - usuários encontram formas de contornar. Comece em modo monitoramento, entenda padrões de uso legítimo, ajuste políticas antes de bloquear.
Principais Soluções de DLP
Microsoft Purview
DLP integrado ao M365. Protege email, Teams, SharePoint, OneDrive e endpoints Windows.
Integrado M365Symantec DLP
Solução enterprise completa. Endpoint, network, cloud e discovery.
EnterpriseDigital Guardian
Forte em endpoint DLP. Data-centric com visibilidade granular.
EndpointGoogle Cloud DLP
API de classificação e desidentificacao. Integra com BigQuery, GCS.
Cloud APIForcepoint DLP
DLP com analytics comportamental. Detecta risco de insider threat.
EnterpriseGuia de Implementação
Fase 1: Discovery e classificação
- Identificar onde estão os dados sensíveis (file servers, cloud, email)
- Escanear repositórios com ferramentas de discovery
- Definir esquema de classificação
- Mapear fluxos de dados (quem envia o que para quem)
Fase 2: Definição de políticas
- Priorizar casos de uso (email externo, USB, cloud storage)
- Criar políticas para dados mais críticos primeiro
- Definir exceções legítimas
- Estabelecer fluxo de aprovação para violações
Fase 3: Deploy em monitoramento
- Implementar DLP em modo alert-only (sem bloqueio)
- Monitorar por 4-8 semanas
- Analisar falsos positivos e ajustar regras
- Identificar padrões de uso legítimo
Fase 4: Enforcement gradual
- Habilitar bloqueio para políticas mais críticas
- Comunicar usuários sobre novas restrições
- Fornecer alternativas seguras (envio seguro de arquivos)
- Monitorar reclamacoes e ajustar
Fase 5: Expansão e otimização
- Expandir para outros canais e tipos de dados
- Implementar classificação automática com ML
- Integrar com SIEM para correlação
- Refinar continuamente baseado em incidentes
DLP e Compliance
DLP e frequentemente implementado para atender requisitos regulatórios:
- LGPD: Proteger dados pessoais contra vazamentos, notificar incidentes
- PCI-DSS: Proteger dados de cartão de crédito, requisito 3 e 4
- HIPAA: Proteger PHI (Protected Health Information)
- SOX: Controles sobre informações financeiras
- GDPR: Similar a LGPD para dados de europeus
DLP fornece evidências de controles implementados (relatórios, logs) e ajuda a demonstrar due diligence em caso de incidente.
Perguntas Frequentes
Agentes modernos são otimizados, mas ha algum overhead. O impacto depende da quantidade de dados escaneados e complexidade das regras. Teste em piloto antes de deploy amplo e ajuste políticas se necessário.
DLP não consegue inspecionar conteúdo criptografado. Soluções: 1) Inspecionar antes da criptografia (endpoint DLP); 2) Usar DLP integrado a solução de criptografia; 3) Política de bloquear upload de arquivos criptografados para destinos não autorizados.
Parcialmente. DLP detecta e bloqueia exfiltração de dados por canais monitorados. Mas insiders determinados podem encontrar formas de contornar (fotos da tela, memorizar informações). DLP e uma camada - combine com UEBA, controle de acessos e monitoramento comportamental.
Conclusão
DLP e essencial para organizações que lidam com dados sensíveis - o que inclui praticamente todas. Em um cenário de trabalho remoto, BYOD e cloud, o perímetro tradicional desapareceu. Os dados fluem livremente, e DLP e a tecnologia que acompanha e protege esse fluxo.
O sucesso de DLP depende mais de planejamento e governança do que da tecnologia em si. Classificação adequada de dados, políticas bem pensadas, e rollout gradual são mais importantes que features da ferramenta. Comece simples, aprenda com o monitoramento, e expanda progressivamente.
Lembre-se que DLP e preventivo, não reativo. Quando um vazamento já ocorreu, DLP não ajuda. O valor esta em prevenir vazamentos antes que acontecam e demonstrar controles adequados para compliance.
Precisa de Ajuda com DLP?
Oferecemos assessment de dados, seleção de solução e implementação de DLP alinhada a sua realidade.
Falar com Especialista
