A classificação de dados ajuda as empresas a pararem de tratar cada informação como se ela trouxesse o mesmo risco. Um e-mail de fornecedor, uma nota de processo interno, um registro de pagamento de cliente e um código de recuperação do administrador não devem circular pela empresa sob as mesmas regras.
Dados confidenciais são armazenados em toda a rede da sua empresa: eles passam por CRMs, caixas de entrada, armazenamento em nuvem, planilhas, sistemas de RH, plataformas de suporte, softwares financeiros e ferramentas de fornecedores. Sem um sistema compartilhado para classificá-los, as equipes costumam confiar no instinto: se algo parece seguro para compartilhar ou provavelmente precisa de aprovação, elas escolhem o caminho mais rápido e fácil.
Isso pode funcionar por um tempo, mas não é escalável. Uma política de classificação de dados clara oferece à sua empresa uma linguagem comum para decidir quais informações podem ser públicas, quais devem permanecer internas, quais precisam de controles mais rígidos e quais devem estar disponíveis apenas para funções específicas.
O que é classificação de dados?
Por que a classificação de dados é importante
Uma estrutura simples de classificação de dados
Exemplos de classificação de dados para equipes de negócios
Como a classificação orienta o controle de acesso
Compartilhando dados classificados com segurança
Comece com uma auditoria de dados
Como criar uma política de classificação de dados
Como o Proton Pass for Business apoia a classificação de dados
Faça da classificação parte da proteção de dados do dia a dia
O que é classificação de dados?
A classificação de dados é o processo de rotular dados comerciais de acordo com a sua sensibilidade e o nível de dano que poderiam causar se fossem expostos, alterados, perdidos ou usados indevidamente. Na prática, isso significa agrupar informações em níveis claros para que as pessoas saibam como armazená-las, compartilhá-las, protegê-las e, eventualmente, excluí-las.
Um sistema de classificação útil se adapta ao trabalho diário. Ele oferece aos funcionários uma maneira rápida de entender quando as informações podem circular livremente, quando precisam de aprovação e quando o acesso deve ser limitado a um pequeno grupo. O objetivo é tornar óbvia a decisão mais segura antes que os dados sejam copiados, compartilhados, exportados ou armazenados em um local inadequado.
As orientações do National Cyber Security Centre do Reino Unido sobre gestão de ativos(nova janela) tratam as informações como um ativo que precisa de visibilidade, propriedade e proteção. Essa é uma maneira útil de estruturar a classificação: antes de decidir quem pode acessar dados confidenciais, você precisa saber quais são esses dados e onde eles estão.
Por que a classificação de dados é importante
Você não pode proteger o que a sua empresa não identificou. Isso é especialmente verdadeiro para PMEs, que geralmente não têm recursos para proteger todos os sistemas e todos os tipos de informações com o mesmo nível de controle. Antes que uma empresa possa decidir quem deve acessar dados confidenciais, quais sistemas precisam de proteções mais fortes ou onde o MFA e o compartilhamento seguro são mais urgentes, ela precisa saber quais informações possui e quais dados são mais importantes.
A classificação de dados é o primeiro passo em uma estratégia prática de proteção contra violação de dados. Ela separa as informações rotineiras da empresa dos dados que podem causar danos reais se forem expostos, alterados, perdidos ou compartilhados com a pessoa errada.
Isso é especialmente útil à medida que as informações se espalham por CRMs, caixas de entrada, armazenamento em nuvem, sistemas de RH, ferramentas de suporte, softwares financeiros, exportações e plataformas de fornecedores. A classificação dá aos funcionários um sinal claro: o que pode ser tratado normalmente, o que precisa de aprovação e o que deve estar disponível apenas para funções específicas.
Isso também apoia a conformidade. O Information Commissioner’s Office (ICO) do Reino Unido, a autoridade responsável pela aplicação da proteção de dados e orientações do GDPR do Reino Unido(nova janela), espera que as organizações apliquem medidas técnicas e organizacionais adequadas. A classificação ajuda a tornar isso prático ao adequar a proteção à sensibilidade dos dados.
Para a prevenção de violações, o princípio é simples: dados confidenciais não devem ser acessíveis a mais pessoas do que o necessário. O guia da Proton sobre prevenção de perda de dados para empresas explica como reduzir a exposição desnecessária antes de um incidente pode limitar os danos causados depois dele.
Uma estrutura simples de classificação de dados
Uma estrutura de classificação não precisa ser complicada. Quatro níveis geralmente são suficientes para pequenas e médias empresas:
- Público
- Interno
- Confidencial
- Restrito
Público
Dados públicos são informações aprovadas para uso externo. Uma versão publicada deste artigo que você está lendo, por exemplo, seriam dados públicos: ele pode ser lido, é seguro para compartilhar abertamente e indexado sem criar riscos significativos de segurança ou privacidade.
Outros exemplos incluem:
- Textos do site
- Comunicados à imprensa
- Descrições de vagas públicas
- Materiais de vendas aprovados
- Páginas de produtos
- Descrições públicas de empresas.
As informações públicas ainda precisam de precisão e revisão de marca, mas geralmente não precisam de um controle de acesso rígido depois de aprovadas.
Interno
Dados internos destinam-se apenas a funcionários e colaboradores aprovados, não para distribuição pública. A exposição pode não causar danos graves, mas pode criar confusão, risco de reputação ou problemas operacionais.
Os exemplos incluem:
- Documentos de processos internos
- Notas da equipe
- Procedimentos operacionais padrão
- Materiais de treinamento
- Planos de projeto não confidenciais
- Calendários internos
- Listas gerais de contatos de fornecedores.
Os dados internos devem permanecer nos sistemas de negócios aprovados. Por exemplo, um rascunho de briefing de campanha, uma lista de verificação de integração ou notas de uma reunião de planejamento de equipe podem não ser altamente confidenciais, mas ainda pertencem ao espaço de trabalho aprovado da empresa, não a uma pasta pessoal, caixa de entrada privada ou download não gerenciado.
Confidencial
Dados confidenciais são informações comerciais sensíveis ou informações pessoalmente identificáveis (PII) que podem prejudicar a empresa, clientes, funcionários ou parceiros se forem expostas. O acesso deve ser restrito a funções aprovadas com uma necessidade comercial clara.
Os exemplos incluem:
- Registros de clientes
- Arquivos de funcionários
- Contratos
- Termos comerciais
- Relatórios financeiros
- Detalhes do pipeline de vendas
- Tickets de suporte contendo dados pessoais
- Planos de negócios não publicados
- Contratos de fornecedores não públicos
Os dados confidenciais só devem estar acessíveis para funções aprovadas. Eles não devem ficar em drives pessoais, pastas compartilhadas abertas, planilhas não gerenciadas ou caixas de entrada onde ninguém analisa o acesso. Se precisarem ser compartilhados externamente, a empresa deve usar um armazenamento em nuvem corporativo criptografado de ponta a ponta (E2EE) e limitar o compartilhamento a destinatários autorizados com um propósito comercial claro.
Restrito
Os dados restritos são a categoria mais confidencial. Se forem expostos, usados indevidamente ou alterados, a empresa poderá enfrentar graves consequências financeiras, jurídicas, operacionais ou de segurança.
Os exemplos incluem:
- Credenciais de administrador
- Códigos de recuperação
- Segredos de autenticação
- Detalhes de pagamento do cliente
- Registros de RH altamente confidenciais
- Arquivos de disputas judiciais
- Relatórios de incidentes de segurança
- Registros de acesso privilegiado
- Chaves de criptografia
- Detalhes de acesso ao backup
Os dados restritos precisam dos controles mais fortes: acesso limitado, autenticação forte e gerenciamento de credenciais, armazenamento em nuvem criptografado de ponta a ponta, compartilhamento seguro e auditabilidade.
| Nível de classificação | Sensibilidade | Exemplos | Nível de acesso | Regras de compartilhamento |
| Público | Baixa | Artigos publicados, textos do site, comunicados à imprensa, publicações de vagas públicas, materiais de vendas aprovados | Aprovado para uso externo | Pode ser compartilhado publicamente depois de revisado e aprovado |
| Interno | Moderada | Notas da equipe, rascunhos de briefing de campanha, listas de verificação de integração, documentos de processos internos | Funcionários e colaboradores aprovados | Manter dentro dos sistemas de negócios aprovados |
| Confidencial | Alta | Registros de clientes, arquivos de funcionários, contratos, relatórios financeiros, tickets de suporte com dados pessoais | Apenas funções aprovadas | Compartilhar apenas com destinatários autorizados e com um propósito comercial claro |
| Restrito | Mais alta | Credenciais de administrador, códigos de recuperação, detalhes de pagamento, relatórios de incidentes de segurança, registros de acesso privilegiado | Usuários nomeados ou grupos rigidamente controlados | Não compartilhar por e-mail, chat, capturas de tela ou documentos não gerenciados |
Exemplos de classificação de dados para equipes de negócios
A classificação fica mais fácil quando as equipes conseguem reconhecê-la em seu próprio trabalho. As equipes de finanças podem tratar uma página de preços pública como pública, enquanto faturas, arquivos de folha de pagamento, documentos fiscais e registros de pagamento são geralmente confidenciais. As credenciais bancárias e o acesso de administrador da plataforma de pagamento devem ser restritos porque podem expor informações, alterar configurações ou transferir dinheiro.
Na prática, esse acesso deve ser controlado por meio de permissões baseadas em funções, autenticação forte, revisões regulares de acesso e um gerenciador de senhas corporativo que ajude as equipes a gerenciar e controlar as credenciais por trás de sistemas confidenciais.
Os dados de RH seguem um padrão semelhante. Uma publicação de vaga de emprego pode ser pública, enquanto contratos de trabalho, informações salariais, registros de ausência por doença, detalhes de benefícios e dados de candidatos são geralmente confidenciais. Investigações confidenciais, credenciais de administrador de RH e amplo acesso a registros de funcionários devem ser restritos.
Isso não é uma anomalia histórica: a multa de 2022 do ICO contra a Interserve(nova janela), totalizando £4,4 milhões, é um aviso claro de que os dados dos funcionários devem ser classificados e protegidos como informações comerciais confidenciais, e não tratados como documentação interna comum.
As equipes de vendas, de sucesso do cliente, de marketing e de TI também precisam de limites claros. Registros de clientes e tickets de suporte que contêm informações pessoais ou de nível de conta costumam ser confidenciais. O trabalho de segmentação interna, o planejamento de campanhas e os relatórios de desempenho podem ser internos ou confidenciais, dependendo de incluírem dados do cliente, sensibilidade comercial ou estratégia de negócios não pública.
A documentação do fornecedor deve ser classificada com base no seu conteúdo, especialmente se incluir detalhes de acesso, termos comerciais ou informações de segurança. Conjuntos de dados de clientes exportados, acesso de administrador do CRM, acesso de administrador a plataformas de publicidade como Google Ads ou Meta Business Manager, credenciais de backup, códigos de recuperação, registros de acesso privilegiado e credenciais de ferramentas de segurança devem ser restritos, pois um arquivo ou conta exposto pode afetar muito mais do que uma única pessoa.
Como a classificação orienta o controle de acesso
Depois que os dados são classificados, o acesso deixa de ser uma configuração de permissão genérica e passa a ser uma decisão de negócios. A questão não é mais apenas se alguém pode abrir um sistema, mas se a sua função justifica o acesso às informações contidas nele.
Uma equipe de suporte pode precisar de conversas com clientes, mas não de todos os arquivos de clientes exportados. O setor financeiro pode precisar de registros de pagamento e contabilidade, mas não de investigações de RH. Um prestador de serviços pode precisar de acesso a um espaço de trabalho do projeto, não ao arquivo completo de documentos de clientes da empresa.
Para dados confidenciais e restritos, o acesso deve deixar uma trilha de auditoria. A empresa deve saber quem acessou o quê, por que o acesso existe e se as permissões são revogadas imediatamente após uma mudança de função ou desligamento.
Um gerenciador de senhas para equipes de TI apoia o gerenciamento centralizado, compartilhamento seguro, políticas, relatórios e registros do administrador, provisionamento SCIM e integrações de SSO. Isso ajuda as equipes a limitar o acesso às credenciais que desbloqueiam sistemas confidenciais, em vez de deixar senhas em navegadores, planilhas ou tópicos de chat.
Compartilhando dados classificados com segurança
As regras de compartilhamento devem acompanhar a sensibilidade da informação. Um ativo publicado pode circular livremente depois de aprovado, mas um contrato, arquivo de cliente, registro de pagamento ou código de recuperação precisa de mais controle. Quanto mais sensíveis forem os dados, menos pessoas deverão recebê-los e mais cuidadoso deve ser o método de compartilhamento.
Isso é especialmente importante para e-mails. Muitas empresas ainda enviam informações confidenciais por meio de anexos, capturas de tela ou textos copiados e depois perdem o controle de para onde essas informações vão. O guia da Proton sobre como enviar informações confidenciais por e-mail com segurança explica maneiras mais seguras de lidar com informações confidenciais quando o e-mail é necessário.
Credenciais e segredos precisam de regras mais rígidas do que documentos comuns. Senhas, códigos de recuperação, chaves de acesso e detalhes de acesso do administrador não devem ser enviados por e-mail, chat, capturas de tela ou documentos compartilhados. Eles devem ser armazenados e compartilhados por meio de um gerenciador de senhas corporativo, como o Proton Pass for Business, onde o acesso pode ser controlado, revisado e revogado com mais segurança.
Comece com uma auditoria de dados
Antes de escrever uma política de classificação de dados, mapeie onde os dados comerciais já estão armazenados. A primeira auditoria não precisa ser perfeita. Ela só precisa mostrar quais sistemas contêm informações confidenciais, quem pode acessá-los e onde podem existir cópias não controladas.
Comece com locais do dia a dia, como CRMs, plataformas de RH, softwares financeiros, armazenamento em nuvem, caixas de entrada de e-mail, drives compartilhados, ferramentas de suporte, gerenciadores de senhas, portais de fornecedores, downloads, exportações e backups.
| Campo | O que registrar |
| Localização | Onde os dados estão armazenados |
| Tipo de dados | Dados de clientes, funcionários, financeiros, credenciais ou operacionais |
| Nível de classificação | Público, interno, confidencial ou restrito |
| Proprietário | Pessoa ou equipe responsável |
| Acesso | Quem pode visualizar, editar, exportar ou compartilhar |
| MFA | Se a autenticação multifator está ativada |
| Compartilhamento de fornecedores | Se terceiros podem acessá-lo |
| Status de retenção | Manter, revisar, excluir ou anonimizar |
Como criar uma política de classificação de dados
Uma política de classificação de dados deve ser curta o suficiente para que os funcionários a utilizem e específica o suficiente para orientar decisões reais. Ela deve definir os níveis de classificação, explicar quem é o proprietário dos dados confidenciais e conectar cada nível ao acesso, armazenamento, compartilhamento, retenção e revisão.
Uma política simples pode incluir:
- Objetivo e escopo: O que a política cobre e a quem ela se aplica.
- Níveis de classificação: Público, interno, confidencial e restrito, com exemplos.
- Propriedade: Quem aprova o acesso e cuida da revisão de categorias de dados confidenciais.
- Regras de acesso: Quem pode acessar cada nível e como o acesso é aprovado ou removido.
- Regras de compartilhamento: Quais canais são aprovados para cada nível de classificação.
- Armazenamento e retenção: Onde cada tipo de dados deve ficar e por quanto tempo deve ser mantido.
- Frequência de revisão: Com que frequência a política e as regras de acesso são revisadas.
- Processo de retenção legal: Quando as regras de exclusão ou retenção devem ser pausadas durante investigações ativas, disputas ou litígios.
A política também deve dar margem para julgamento. Nem todo documento se encaixará perfeitamente em uma categoria. Em caso de dúvida, os funcionários devem saber a quem perguntar e qual padrão seguir. Para dados confidenciais, o padrão mais seguro geralmente é restringir o acesso até que o proprietário correto confirme o contrário.
Como o Proton Pass for Business apoia a classificação de dados
A classificação de dados diz à sua empresa quais informações precisam de maior proteção. O controle de acesso transforma essa decisão em prática diária.
As credenciais fazem parte dessa camada de acesso. Se uma senha dá acesso a dados restritos, como configurações do administrador, exportações de clientes, sistemas financeiros, códigos de recuperação ou registros de segurança, essa credencial precisa de um tratamento mais rigoroso do que um início de sessão para um serviço interno de baixo risco.
Um gerenciador de senhas corporativo seguro, como o Proton Pass for Business, ajuda as equipes a aplicar essas decisões de acesso na prática. As credenciais podem ser armazenadas em cofres criptografados, organizadas por equipe ou função e compartilhadas apenas com as pessoas que precisam delas.
Os administradores também ganham melhor visibilidade sobre o acesso às credenciais por meio de relatórios e registros, enquanto as políticas, integrações de SSO e o provisionamento SCIM ajudam as equipes de TI a gerenciar a integração e o desligamento de forma mais consistente.
Isso torna a classificação mais fácil de aplicar no trabalho diário. As credenciais financeiras podem ficar com a equipe de finanças. O acesso de administrador de RH pode ser limitado aos líderes de RH autorizados. Os códigos de recuperação de backup e os inícios de sessão do administrador privilegiado podem ser limitados às pessoas responsáveis pela recuperação e segurança.
Faça da classificação parte da proteção de dados do dia a dia
A classificação de dados não é apenas burocracia por si só. É uma maneira de tornar a proteção contra violação de dados mais fácil de seguir no trabalho diário.
Assim que a sua empresa souber quais dados são mais confidenciais, o próximo passo será controlar quem pode acessá-los. Um gerenciador de senhas pode ajudar as equipes a controlar e monitorar as credenciais que desbloqueiam sistemas confidenciais e dados restritos.
Controle o acesso a dados classificados em toda a sua organização com um gerenciador de senhas corporativo.
