Uma empresa pode possuir antivírus, firewall, autenticação multifator, backup e sistemas de monitoramento e, ainda assim, enfrentar um problema crítico: não saber exatamente quais dados estão saindo de seus computadores e sistemas.
Esse é um dos principais desafios relacionados à segurança da informação atualmente.
Nos últimos meses, empresas e organizações de diferentes setores sofreram ataques que resultaram em exposição de informações pessoais, documentos internos, dados financeiros e registros de clientes.
Em um dos incidentes recentes, dados relacionados a aproximadamente 8,7 milhões de pessoas foram expostos após um ataque cibernético. Em outro caso recente, informações de mais de 1.400 pacientes foram acessadas durante uma invasão.
Os episódios mostram que o problema não está apenas em impedir que um criminoso entre.
É preciso também impedir que informações importantes sejam retiradas da organização.
O que é DLP?
DLP significa Data Loss Prevention, ou Prevenção contra Perda de Dados.
Na prática, uma solução DLP monitora informações e atividades para identificar situações em que dados sensíveis possam estar sendo copiados, transferidos, enviados ou compartilhados de maneira inadequada.
Dependendo da configuração, uma solução desse tipo pode identificar documentos contendo informações como CPF, CNPJ, dados bancários, informações de clientes, contratos, documentos internos ou outros padrões definidos pela própria empresa.
O sistema pode então registrar a atividade, gerar um alerta ou bloquear a operação.
O problema de não ter DLP
Imagine um funcionário abrindo uma planilha contendo milhares de CPFs de clientes.
Agora imagine que esse arquivo seja copiado para um pendrive, enviado para um e-mail pessoal, carregado em um serviço de armazenamento em nuvem ou anexado a uma conversa em uma plataforma de comunicação.
Sem mecanismos específicos de prevenção contra perda de dados, a empresa pode não perceber imediatamente o que aconteceu.
O antivírus pode não considerar o arquivo malicioso.
O firewall pode permitir a conexão.
O usuário pode estar utilizando credenciais legítimas.
O sistema operacional pode considerar a operação completamente normal.
Mas, do ponto de vista da segurança da informação, milhares de dados podem ter acabado de deixar a empresa.
O funcionário pode ser o ponto de saída
Um dos grandes desafios atuais é que nem todo vazamento acontece porque um hacker invade diretamente um servidor.
Em muitos ataques modernos, criminosos utilizam engenharia social para convencer funcionários a fornecer informações, credenciais ou acesso.
Relatórios recentes mostram criminosos utilizando telefonemas e técnicas de manipulação para se passar por equipes de TI e obter credenciais de funcionários.
Depois que uma conta legítima é comprometida, o invasor pode utilizar os próprios sistemas da organização para acessar informações.
Isso torna a identificação do comportamento anormal ainda mais importante.
O arquivo pode ser legítimo. O comportamento não.
Essa é uma das diferenças fundamentais entre antivírus tradicional e DLP.
Um arquivo contendo milhares de registros de clientes pode ser completamente legítimo.
O problema pode estar no que acontece com esse arquivo.
Se um funcionário normalmente trabalha com documentos administrativos e, de repente, começa a copiar centenas de arquivos para um dispositivo externo, enviar grandes quantidades de informações para serviços pessoais ou acessar documentos que não fazem parte de sua rotina, esse comportamento pode representar um risco.
Uma solução DLP pode ajudar a identificar esse tipo de atividade.
O risco de dados enviados para a inteligência artificial
Um novo problema também ganhou força com a popularização das ferramentas de inteligência artificial.
Funcionários podem copiar informações internas e colá-las em ferramentas de IA para resumir documentos, analisar contratos, escrever textos ou solucionar problemas.
O problema é que uma informação que estava dentro da organização pode acabar sendo enviada para um serviço externo.
Pesquisas recentes sobre segurança em ambientes corporativos indicam que uma parcela relevante dos prompts enviados a ferramentas de IA pode conter informações potencialmente sensíveis.
Isso cria um novo desafio para as empresas: controlar não apenas arquivos, mas também o fluxo de informações utilizado pelos funcionários.
Um vazamento pode começar com uma ação aparentemente simples
Copiar.
Colar.
Enviar.
Baixar.
Imprimir.
Sincronizar.
Compartilhar.
Essas ações fazem parte da rotina de qualquer empresa.
O problema surge quando uma informação sensível é movimentada para um destino que não deveria receber aquele conteúdo.
Sem monitoramento adequado, a organização pode descobrir o incidente somente depois que o arquivo já foi compartilhado ou publicado.
O custo não é apenas o valor dos dados
Quando ocorre um vazamento, a empresa pode enfrentar diversos tipos de prejuízo.
Existe o custo direto da investigação e da recuperação dos sistemas.
Existe o custo relacionado à interrupção das operações.
Existe o risco de fraude envolvendo clientes.
Existe o impacto sobre a reputação da marca.
Também podem surgir custos jurídicos, notificações, investigações regulatórias e possíveis penalidades dependendo da legislação aplicável e das circunstâncias do incidente.
Em casos de ransomware, ainda existe a possibilidade de criminosos copiarem os dados antes de bloquear os sistemas e posteriormente utilizarem essas informações como instrumento de extorsão.
Ransomware mudou de estratégia
Durante muito tempo, o ransomware ficou conhecido principalmente por criptografar arquivos e exigir pagamento para recuperar o acesso.
Hoje, muitos grupos adotam uma estratégia diferente ou complementar.
Primeiro roubam os dados.
Depois ameaçam publicar as informações.
Em alguns casos, os criminosos nem precisam criptografar todos os sistemas para causar um problema grave.
Se conseguirem copiar informações estratégicas, documentos financeiros, dados pessoais ou propriedade intelectual, já possuem uma ferramenta de extorsão.
DLP não é apenas bloquear pendrive
Uma implementação moderna de DLP pode trabalhar com diferentes canais.
Entre eles estão dispositivos USB, arquivos locais, compartilhamentos de rede, e-mail, navegadores, armazenamento em nuvem e outros meios de transferência.
Também é possível trabalhar com regras específicas para determinados tipos de informação.
Uma empresa pode, por exemplo, criar uma regra para identificar documentos contendo CPF, outra para CNPJ e outra para determinados números de cartão, contratos ou informações internas.
Regex pode identificar informações sensíveis
Uma das técnicas utilizadas para identificar informações dentro de documentos é o uso de padrões.
Uma expressão regular pode, por exemplo, procurar automaticamente estruturas semelhantes a um CPF ou CNPJ.
Isso permite que a empresa não dependa exclusivamente do nome do arquivo.
Um documento chamado relatorio.xlsx pode parecer inofensivo.
Mas, se o conteúdo possuir milhares de CPFs, o sistema pode reconhecer a informação e aplicar uma política de segurança.
Bloquear ou apenas alertar?
Nem toda operação precisa ser bloqueada imediatamente.
Uma estratégia de segurança pode trabalhar com diferentes níveis de resposta.
Monitoramento: registra a movimentação do arquivo.
Alerta: informa a equipe de segurança sobre uma possível violação.
Confirmação: solicita autorização antes de permitir a transferência.
Bloqueio: impede que o dado saia da organização.
Essa flexibilidade é importante porque nem toda transferência de informação é maliciosa.
O contexto é tão importante quanto o conteúdo
Uma solução eficiente precisa analisar mais do que simplesmente encontrar uma sequência de números.
O contexto da operação também pode ser relevante.
Quem abriu o arquivo?
Qual computador realizou a operação?
Qual usuário estava conectado?
Qual arquivo foi acessado?
O arquivo possuía informações sensíveis?
Para onde o arquivo foi enviado?
Quantos arquivos foram movimentados?
A operação aconteceu dentro do horário normal?
Esse conjunto de informações pode ajudar a diferenciar uma atividade normal de um comportamento potencialmente suspeito.
Um funcionário não precisa ser criminoso para causar um vazamento
Esse é outro ponto importante.
Nem todo vazamento acontece de forma intencional.
Um funcionário pode enviar um documento para o e-mail errado.
Pode copiar um arquivo para seu computador pessoal.
Pode utilizar uma ferramenta de IA para analisar um contrato.
Pode colocar uma planilha em uma nuvem pessoal para trabalhar de casa.
Pode conectar um pendrive sem perceber que está transferindo informações confidenciais.
Em todos esses casos, o funcionário pode estar tentando realizar seu trabalho normalmente.
O problema é que a informação pode estar deixando o ambiente corporativo.
O risco cresce com o trabalho remoto
O ambiente corporativo moderno possui muito mais pontos de saída de informação.
Funcionários trabalham em notebooks.
Utilizam redes domésticas.
Acessam sistemas em nuvem.
Utilizam aplicativos de comunicação.
Compartilham documentos por diferentes plataformas.
Utilizam dispositivos externos.
Essa flexibilidade aumenta a produtividade, mas também cria novos caminhos para que dados corporativos sejam movimentados.
Quanto custa não controlar os dados?
O custo de um sistema de prevenção contra perda de dados precisa ser comparado ao custo potencial de um incidente.
Uma violação pode provocar paralisação operacional, investigação forense, recuperação de sistemas, comunicação com clientes, contratação de especialistas, processos judiciais e danos à reputação.
Além disso, dados roubados podem permanecer disponíveis para criminosos durante anos.
Uma senha pode ser trocada.
Um cartão pode ser cancelado.
Mas determinadas informações pessoais não podem simplesmente ser substituídas.
A empresa precisa saber onde estão seus dados
Antes de proteger uma informação, é necessário saber onde ela está.
Documentos podem estar armazenados em servidores, notebooks, computadores, bancos de dados, sistemas em nuvem e dispositivos externos.
Quanto maior a empresa, maior tende a ser a dificuldade de acompanhar todos esses ambientes.
Por isso, políticas de classificação de dados e mecanismos automatizados de monitoramento podem desempenhar um papel importante.
DLP não substitui segurança
É importante destacar que DLP não resolve sozinho todos os problemas de segurança de uma organização.
Firewall, antivírus, EDR, autenticação multifator, backups, gestão de identidades, criptografia, treinamento e monitoramento continuam sendo importantes.
O DLP atua em uma camada diferente: ajudar a controlar o que acontece com os dados.
O novo perímetro da segurança
Durante muitos anos, empresas concentraram grande parte de sua segurança na proteção da rede.
Hoje, o perímetro ficou muito mais difícil de definir.
O usuário pode estar em casa.
O arquivo pode estar na nuvem.
A aplicação pode estar hospedada em outro país.
A informação pode ser acessada por um celular.
E uma ferramenta de inteligência artificial pode estar a apenas um navegador de distância.
Nesse cenário, proteger apenas a rede já não é suficiente.
É necessário proteger também a própria informação.
Três cenários para uma empresa sem DLP
Cenário 1 — Vazamento acidental: um funcionário envia ou copia um documento confidencial para um destino incorreto e a empresa só descobre posteriormente.
Cenário 2 — Funcionário comprometido: criminosos assumem o controle de uma conta legítima e utilizam o acesso para localizar e copiar informações.
Cenário 3 — Exfiltração silenciosa: um invasor permanece dentro do ambiente durante determinado período e retira informações gradualmente, tentando evitar mecanismos tradicionais de detecção.
O futuro será de controle de dados
A evolução dos ataques mostra que a segurança da informação está mudando.
Não basta perguntar se a empresa possui antivírus.
Não basta perguntar se possui firewall.
Não basta perguntar se existe backup.
Uma pergunta cada vez mais importante será:
Se alguém tentar retirar um dado sensível da empresa agora, nós vamos perceber?
Se a resposta for não, existe uma lacuna de segurança que precisa ser analisada.
Conclusão
Os ataques recentes mostram que dados corporativos continuam sendo um dos principais alvos dos criminosos digitais.
Empresas de todos os tamanhos podem armazenar informações capazes de gerar valor para criminosos: dados pessoais, documentos financeiros, contratos, propriedade intelectual, informações de clientes e credenciais.
O desafio não é apenas impedir que alguém entre.
É também impedir que informações importantes saiam.
O DLP surge justamente nesse ponto, criando uma camada adicional de proteção capaz de identificar informações sensíveis e controlar sua movimentação.
Em um mundo onde os dados se tornaram um dos ativos mais valiosos de uma empresa, não saber para onde suas informações estão indo pode ser um risco tão grande quanto não saber quem está entrando em seus sistemas.