O vazamento que sua empresa nem sabe que sofreu

Existe uma diferença importante entre o vazamento que aparece na mídia e o que a empresa não sabe que aconteceu. O primeiro é o que alguém descobre e publica. O segundo é a maioria, e é muito maior.

A fonte mais comum de exposição silenciosa não é invasão. É a planilha de clientes que circula por e-mail e aplicativo de mensagem, o sistema de backup que fica acessível com a senha padrão, o formulário de cadastro que guarda mais do que deveria, o arquivo de clientes que a equipe de vendas baixa para o notebook e leva para casa. Nenhum desses eventos gera alerta, e nenhum deles deixa rastro.

A consequência prática é que, quando a empresa recebe uma notificação da autoridade ou é citada em um vazamento, ela não consegue responder a três perguntas básicas: que dados foram expostos, de quem eram e por quanto tempo ficaram expostos. A resposta é sempre a mesma, e é a mesma desde a LGPD: não sabemos.

Essa incapacidade de responder tem consequences beyond o processo. A notificação à ANPD precisa ser feita, com o prazo e o conteúdo mínimos. A exposição dos dados precisa ser comunicada aos titulares afetados, e isso exige saber quem são. E a organização precisa de um plano de resposta que só funciona com inventário.

A ferramenta que resolve isso é o inventário de dados, e ele não é caro. Começa pelo que a empresa coleta, onde guarda, quem tem acesso e por quanto tempo. A partir daí, as perguntas do incidente têm resposta, e o plano de resposta deixa de ser um documento escrito na véspera.

E o que costuma ser mais útil no inventário não é a lista de campos, e sim a lista de lugares onde o dado se multiplica. O cadastro de clientes que existe em três sistemas e numa planilha compartilhada. O backup que está no servidor e a cópia no notebook de alguém. É aí que está a exposição, e é aí que a empresa pode agir.