O que é classificação de dados e por onde começar?

Por onde começar na prática?

Uma classificação que funciona começa pequena e ligada a riscos concretos. Uma sequência possível:

1. Mapeie onde estão as informações mais relevantes: servidores de arquivos, SharePoint e OneDrive, e-mail, sistema de gestão (ERP) e sistemas específicos de cada área.
2. Identifique os tipos de dados que mais preocupam, como dados pessoais de clientes, folha de pagamento, contratos, propostas comerciais e projetos de produto.
3. Defina os níveis e escreva, para cada um, regras objetivas de acesso, compartilhamento, armazenamento e descarte.
4. Faça um piloto com uma área que lida com dados sensíveis, como RH ou financeiro, e ajuste as regras com base nas dúvidas que surgirem.
5. Configure um rótulo padrão para novos documentos e e-mails. Ele reduz os arquivos sem classificação, mas não alcança o acervo já existente nem formatos fora dos aplicativos compatíveis, que pedem rotulagem automática ou revisão.
6. Expanda para as demais áreas e treine as pessoas com exemplos tirados do próprio trabalho delas.

Como uma regra funciona no dia a dia?

Os níveis só têm efeito quando se traduzem em comportamento dos sistemas e das pessoas. Um exemplo de desdobramento:

• Público: pode ser divulgado externamente sem restrição, como catálogos e materiais de marketing.
• Interno: acessível a qualquer colaborador; o compartilhamento externo pede cuidado e pode gerar um aviso ao usuário.
• Confidencial: acesso limitado às equipes envolvidas, envio externo apenas para parceiros autorizados e armazenamento somente em repositórios corporativos.
• Restrito: acesso nominal, criptografia obrigatória, bloqueio de cópia para dispositivos pessoais e registro de quem abriu o arquivo.

Em plataformas como o Microsoft Purview, rótulos de confidencialidade ficam gravados no próprio arquivo e podem aplicar criptografia e marcas visuais, como cabeçalho ou marca d'água. Assim, a proteção acompanha o documento mesmo quando ele sai da pasta original.

Qual a relação com LGPD, DLP e IA?

A classificação serve de base para vários outros controles. Uma política de DLP, por exemplo, fica mais precisa quando consegue usar o rótulo do arquivo além de procurar padrões como CPF ou número de cartão.

A LGPD distingue dados pessoais de dados pessoais sensíveis, como informações de saúde, dados biométricos e origem racial ou étnica. Ter esses dados identificados facilita atender pedidos dos titulares, aplicar controles mais rigorosos onde eles são necessários e demonstrar cuidado em uma eventual fiscalização.

Com a chegada de assistentes de IA corporativos, o tema ganhou urgência. Essas ferramentas costumam respeitar as permissões que o usuário já tem, mas um arquivo sensível aberto para toda a empresa pode aparecer em respostas para quem não deveria vê-lo. Por isso, a classificação faz parte da preparação conhecida como Copilot readiness.

Quais erros comprometem a classificação?

• Marcar quase tudo como confidencial. Quando tudo é sensível, o rótulo perde significado e as pessoas passam a ignorá-lo.
• Classificar uma vez e esquecer. A sensibilidade muda com o tempo. O resultado trimestral de uma empresa de capital aberto é restrito até a divulgação e público depois dela.
• Olhar só para documentos. Bancos de dados, relatórios exportados do ERP e anexos de e-mail também precisam de regra.
• Criar rótulos sem consequência. Se um arquivo restrito pode ser enviado para fora como qualquer outro, a classificação vira um adesivo sem função.