Prevenção de Perda de Dados (DLP).

A Prevenção de Perda de Dados (DLP) é uma categoria de controlos que inspeciona conteúdo em trânsito, em repouso e em uso, aplicando políticas para manter dados regulados ou confidenciais dentro de fronteiras confiáveis. Os motores DLP combinam correspondência de padrões, regras léxicas, exact data matching, aprendizagem automática e impressões digitais de documentos para reconhecer PII, dados de pagamento, código-fonte ou propriedade intelectual. As ações típicas incluem bloquear um e-mail de saída, colocar um ficheiro em quarentena, exigir justificação ou ocultar conteúdo antes da saída. Implementações maduras integram DLP com classificação de dados, IAM e SIEM/SOAR, triando incidentes, preservando evidências e afinando políticas para reduzir falsos positivos em conformidade com RGPD, HIPAA e PCI DSS.

Canais, deteção e o problema dos insiders

O DLP é habitualmente implementado em três pontos de aplicação: agentes de endpoint (bloqueando cópia para USB, impressão, área de transferência e capturas de ecrã), gateways de rede/e-mail (inspecionando SMTP, uploads web e sincronização cloud) e conectores cloud/API que analisam dados em repouso em SaaS e armazenamento de objetos. A qualidade da deteção depende de identificar o conteúdo certo: só regex sinaliza demasiado, pelo que os programas sérios acrescentam camadas de exact data matching (aplicando hash às linhas de uma base de clientes real), impressões digitais de documentos para ficheiros proprietários e dicionários para termos regulados. O Requisito 4 do PCI DSS e o Artigo 32 do RGPD são motivadores comuns, mas a regra mais valiosa é muitas vezes a menos engenhosa — alertar quando um único utilizador exporta milhares de registos de uma só vez.

Os casos mais difíceis são os insiders e a saída pelo endpoint, e não os ataques em massa. Em 2022, a Yahoo processou o cientista de investigação Qian Sang, que estava de saída, alegando que ele transferiu cerca de 570 000 ficheiros de propriedade intelectual do AdLearn da empresa para dispositivos pessoais minutos depois de receber uma oferta de emprego de um concorrente — exatamente a exfiltração "em uso" que o DLP deve apanhar. Como os insiders motivados podem fotografar um ecrã ou usar canais cifrados, o DLP funciona melhor como uma camada de um programa mais amplo: acesso de menor privilégio, monitorização da atividade dos utilizadores (UEBA) e cifra, afinados continuamente para impedir que os falsos positivos ensinem o pessoal a ignorar os alertas.

flowchart TD
  D[Dados sensíveis<br/>PII / PCI / código-fonte] --> C{Inspeção DLP}
  C -->|Endpoint| E[USB / impressão / área de transferência]
  C -->|Rede / e-mail| N[SMTP / upload web]
  C -->|Cloud / API| S[SaaS / armazenamento de objetos]
  E --> P{Corresponde à política?}
  N --> P
  S --> P
  P -->|Sim| B[Bloquear / quarentena / ocultar<br/>+ alerta para SIEM]
  P -->|Não| A[Permitir]