LGPD e segurança da informação: os controles técnicos do artigo 46

O artigo 46 exige medidas de segurança técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração e vazamento. O artigo 47 estende esse dever a todos que participam do tratamento, inclusive após o seu término. E a lei pede que a segurança seja considerada desde a concepção do projeto, não remendada depois.

A lei é neutra em tecnologia de propósito. Ela não manda usar o produto X ou Y, porque isso ficaria velho rápido. Em vez disso, cobra um nível de proteção compatível com o risco. Quanto mais sensível o dado e maior o volume, mais robustos precisam ser os controles.

O primeiro controle é saber quem acessa o quê. Cada pessoa deve ter acesso apenas aos dados de que precisa para o trabalho, seguindo o princípio do menor privilégio. Acessos administrativos merecem autenticação forte, de preferência com múltiplos fatores, e contas de pessoas que saíram da empresa precisam ser desativadas na hora.

No acesso remoto, expor sistemas diretamente na internet é um dos erros mais explorados. Uma VPN com autenticação forte mantém esses sistemas fora do alcance de quem não deveria vê-los, o que reduz muito a superfície de ataque.

Cifrar dados em trânsito e em repouso é uma das medidas mais eficazes e mais valorizadas pela lei. A LGPD trata como atenuante o fato de os dados afetados por um incidente estarem ininteligíveis, ou seja, cifrados ou anonimizados. Em outras palavras, criptografia bem aplicada reduz o dano e o peso de uma eventual sanção.

Em trânsito, isso significa usar conexões cifradas em sites, sistemas e trocas entre servidores, o famoso HTTPS e protocolos equivalentes. Em repouso, significa cifrar bancos de dados, discos e backups, para que uma cópia roubada não vire uma planilha aberta nas mãos de quem a levou. O detalhe que muita gente esquece é proteger também as chaves de criptografia, porque cifra sem controle de chave é uma fechadura com a chave na porta.

Guardar todos os dados em uma rede plana, onde tudo conversa com tudo, é convite para que um único equipamento comprometido dê acesso a tudo. A segmentação separa ambientes e limita a movimentação lateral de um invasor. Dados sensíveis, em especial, se beneficiam de viver em segmentos isolados, com regras estritas de quem entra e sai.

Um exemplo comum: separar a rede de visitantes da rede administrativa, e ambas do segmento onde ficam os servidores com dados de clientes. Assim, um notebook infectado na recepção não alcança o banco de dados do financeiro. Em pfSense, isso se traduz em VLANs e regras de firewall entre elas, uma configuração de baixo custo que muda bastante o estrago possível de um incidente.

Sem registro, um incidente passa despercebido e a empresa não consegue nem dizer o que aconteceu. Manter logs de acesso e de eventos relevantes, com monitoramento, permite detectar comportamento anômalo cedo e reconstruir a história depois. Isso também alimenta a resposta a um pedido da ANPD, que costuma perguntar exatamente quais dados foram afetados.

O ponto prático é que log guardado só no equipamento invadido não serve de nada, porque o atacante costuma apagá-lo. Registros importantes precisam ser enviados para um lugar separado e mantidos por um tempo razoável. Sem isso, quando o incidente aparece, a empresa fica sem a resposta mais básica que a autoridade e os clientes vão exigir: o que exatamente aconteceu e com quais dados.

Proteção de dados também é disponibilidade. Um ataque de ransomware que cifra os dados da empresa é, ao mesmo tempo, um incidente de segurança e uma quebra de continuidade. Backups testados e guardados de forma separada são o que permite retomar a operação sem pagar resgate e sem perder informação.

A regra prática mais conhecida é manter cópias em mais de um lugar, sendo pelo menos uma fora do ambiente principal e desconectada, para que o mesmo ataque não cifre o backup junto. E backup que nunca foi testado é só uma esperança: restaurar de vez em quando, para conferir que os dados voltam mesmo, é parte do controle. Muita empresa descobre que o backup estava quebrado justo no dia em que precisou dele.

A LGPD parte do princípio de que incidentes acontecem e cobra que a empresa saiba reagir. Ter um plano de resposta, com papéis definidos e passos claros, é o que diferencia uma reação organizada de um caos improvisado. Esse plano se conecta diretamente com a obrigação de comunicar incidentes à ANPD e aos titulares, tratada no guia sobre incidentes de segurança.

Um plano útil responde a perguntas simples antes da crise: quem é acionado, quem decide, como se contém o problema, como se preservam as evidências e quem fala com a autoridade e com os clientes. Não precisa ser um calhamaço. Precisa estar escrito, ser conhecido pela equipe e, de preferência, ter sido ensaiado ao menos uma vez, para que na hora ninguém trave.

Nada disso é consultoria jurídica. É segurança de redes, e é exatamente o que fazemos. Firewall bem configurado, segmentação, VPN de acesso remoto, controle de acesso, monitoramento e apoio na resposta a incidentes são a tradução técnica do que o artigo 46 exige. Os guias de segmentação de rede, hardening de firewall e plano de resposta a incidentes aprofundam cada controle.

Trabalhamos com ferramentas open source, com pfSense à frente, o que dá controle de nível corporativo sem licença por funcionalidade. Para a empresa, isso significa cumprir a parte técnica da LGPD com custo previsível e sem ficar preso a um fornecedor. A configuração é sempre ajustada ao risco do ambiente, porque um consultório médico e uma loja online precisam de controles diferentes.