A maior parte dos vazamentos não vem de invasão sofisticada. Vem de acesso amplo demais mantido por tempo demais.
Relatórios setoriais de incidentes apontam consistentemente o fator humano e o acesso indevido como vetores dominantes. Isso desloca a prioridade: antes de investir em ferramenta, vale corrigir quem pode ver o quê.
O princípio é o do menor privilégio: cada pessoa acessa apenas o que precisa para a função, pelo tempo em que precisa. Ele se operacionaliza em quatro rotinas. Matriz de acesso por cargo, revisada quando a função muda. Revogação no desligamento, executada no mesmo dia e com checklist assinado. Revisão periódica de contas ativas, trimestral ou semestral. E segregação de funções, para que quem cadastra não seja quem aprova.
A LGPD trata disso no art. 46, ao exigir medidas de segurança aptas a proteger os dados de acessos não autorizados. O art. 50 acrescenta que a adoção de programa de governança em privacidade é considerada na aplicação de sanções.
Do ponto de vista de prova, o que importa é o registro. Log de acesso preservado, política escrita, evidência de treinamento e ata de revisão. Empresa que tem esses quatro documentos demonstra diligência mesmo quando o incidente ocorre; empresa que não tem depende da boa vontade do fiscal.
O custo dessas rotinas é de processo, não de licença. É por isso que continuam sendo a melhor relação entre esforço e redução de risco.
Referências
- Lei 13.709/2018, arts. 46, 47 e 50
- ABNT NBR ISO/IEC 27001
- ANPD, Guia Orientativo de Segurança da Informação para Agentes de Pequeno Porte
Conteúdo informativo. Não constitui parecer nem substitui análise do caso concreto.
