Por Lucas Martins de Oliveira, analista sênior de dados e consultor de engenharia analítica com mais de 12 anos de experiência

No varejo de moda, uma etiqueta informa como uma peça deve ser lavada, armazenada e manuseada. Com os dados de uma empresa, a lógica é semelhante: sem uma classificação adequada, fica difícil saber quais informações exigem mais proteção e como devem ser tratadas. Empresas investem em firewalls, criptografia e ferramentas de monitoramento, mas existe uma pergunta anterior a todas essas tecnologias: a organização sabe exatamente quais dados possui, onde eles estão e quem deveria ter acesso a eles?

Classificar dados é justamente estabelecer níveis de criticidade e regras de tratamento. O problema começa quando uma informação sensível ou crítica recebe proteção insuficiente – ou quando sequer é identificada como tal. Um CPF exportado para uma planilha de marketing, documentos de clientes em uma pasta compartilhada ou informações corporativas copiadas para uma ferramenta externa continuam tendo valor e risco. A diferença é que podem ter se tornado menos visíveis para quem deveria protegê-las.

O excesso de classificação também traz problemas, porque quando praticamente tudo é tratado como confidencial, multiplicam-se restrições e as equipes podem recorrer a atalhos, como planilhas locais, pastas pessoais e ferramentas não homologadas. É nesse cenário que surge o chamado shadow data: dados que existem fora dos mecanismos formais de visibilidade e governança da empresa.

O problema já aparece nas estatísticas: o Cost of a Data Breach Report 2024, conduzido pelo Ponemon Institute e analisado pela IBM, apontou que 35% das violações estudadas envolveram dados armazenados em ambientes não gerenciados. Nos incidentes envolvendo shadow data, foram necessários, em média, 291 dias para identificar e conter a violação, e o custo médio chegou a US$ 5,27 milhões. Porém, a questão central não é apenas financeira.

Quando uma empresa não sabe quais dados possui, também pode ter dificuldade para descobrir rapidamente o que foi comprometido. Ao invés de simplesmente responder ao incidente, a equipe precisa descobrir durante a crise onde estavam as informações, quem tinha acesso a elas e quantas cópias existiam.

A inteligência artificial acrescenta outra camada a esse desafio, com informações corporativas podendo ser inseridas em ferramentas externas sem que esse fluxo esteja integrado aos controles tradicionais de governança. Ou seja, quanto mais fácil fica copiar, transformar e movimentar dados, mais importante se torna saber o que está circulando.

No Brasil, a Lei Geral de Proteção de Dados (LGPD) adiciona ainda uma dimensão regulatória, especialmente quando estão envolvidos dados pessoais e dados pessoais sensíveis. Uma classificação inadequada, portanto, pode representar não apenas uma fragilidade operacional, mas também ampliar riscos relacionados à privacidade e à conformidade. Por isso, classificar dados uma vez por ano já não é suficiente. Bases mudam, novos campos são criados, sistemas são integrados e informações circulam por diferentes aplicações. O dado muda e sua classificação precisa acompanhar essa mudança.

A resposta para a questão está em incorporar descoberta, catalogação e classificação ao próprio ciclo de vida dos dados, com automação sempre que possível e regras claras de governança. Dessa forma, a tecnologia pode identificar padrões e sinalizar informações potencialmente críticas, mas contexto, responsabilidades e políticas continuam essenciais.

A segurança dos dados, portanto, começa quando a empresa consegue responder a três perguntas: quais dados temos, onde eles estão e quem pode acessá-los? Se essas respostas só forem procuradas depois de um incidente, a vulnerabilidade começou muito antes do ataque.