LGPD e TI | Suporte de TI - Resolve Tecnologias

Como a infraestrutura de TI participa da proteção de dados pessoais: identidades, acessos, endpoints, rede, servidores, nuvem, backup, logs e o que avaliar tecnicamente na empresa.

Quando o assunto é LGPD, a conversa costuma começar por documentos: política de privacidade, cláusulas, termos. Essa camada é necessária, mas descreve compromissos. Os dados pessoais em si continuam existindo em outro lugar — dentro da infraestrutura de tecnologia da empresa.

Eles estão em computadores, servidores e NAS, bancos de dados, caixas de e-mail, pastas compartilhadas, serviços de nuvem, backups e contas de usuários. Circulam por redes, acessos remotos, integrações e dispositivos móveis. É nesse plano concreto que um acesso indevido, uma perda ou uma exposição acontecem.

A Lei nº 13.709/2018 (LGPD) trata, entre outros pontos, da adoção de medidas de segurança, técnicas e administrativas, aptas a proteger dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão. A infraestrutura de TI é uma das camadas onde essas medidas técnicas se materializam — e apenas uma delas. Este artigo trata desse recorte.

Resposta rápida: a infraestrutura de TI precisa proteger os ambientes em que dados pessoais são armazenados, acessados, transmitidos ou processados: identidades e contas, permissões, dispositivos dos usuários, rede e acesso remoto, servidores, nuvem e e-mail corporativo, backups, registros (logs) e monitoramento, além do descarte de equipamentos e dos acessos de terceiros. Endereçar esses pontos reduz riscos técnicos, mas não equivale, por si só, a conformidade com a LGPD: a lei também envolve governança, finalidade, bases legais, contratos e direitos dos titulares.

Qual é a relação entre LGPD e TI?

Proteção de dados pessoais é o objetivo. Segurança da informação é a disciplina que trata de confidencialidade, integridade e disponibilidade. Infraestrutura de TI é onde as informações vivem. A sobreposição entre eles é parcial: a LGPD não é um manual de segurança, e segurança de TI não é sinônimo de adequação — uma empresa pode ter firewall, backup e MFA e ainda assim coletar dados sem finalidade clara ou não ter como responder a um titular. A TI cuida de uma parte necessária, não da parte inteira.

Onde os dados pessoais podem estar?

Dados de clientes, funcionários, candidatos e fornecedores tendem a aparecer em mais lugares do que a gestão imagina:

Computadores e notebooks: planilhas, propostas, currículos, documentos digitalizados;
Servidores locais e NAS: pastas de RH, financeiro, comercial e jurídico;
Bancos de dados internos: ERP, CRM, folha e sistemas próprios;
E-mail corporativo: anexos e históricos de atendimento;
Microsoft 365, OneDrive e SharePoint: arquivos sincronizados e links de compartilhamento;
Serviços em nuvem: formulários, assinaturas eletrônicas e sistemas contratados;
Backups: cópias que preservam versões antigas do que já existiu;
Dispositivos móveis e integrações: celulares com e-mail e rotinas que copiam dados.

O primeiro desafio técnico não é escolher uma ferramenta, e sim responder a uma pergunta frequentemente sem resposta: onde os dados estão e por onde circulam?

Inventário técnico: o que mapear?

A LGPD trabalha com a ideia de registro das operações de tratamento — documento de natureza jurídica e organizacional, que não é competência da TI. O que a TI levanta é o inventário técnico do ambiente: equipamentos e atualização; servidores e NAS; sistemas e hospedagem; contas ativas, genéricas e administrativas; serviços em nuvem; pastas compartilhadas e links públicos; integrações e credenciais; backups e retenção; acessos remotos e privilégios.

Esse levantamento costuma revelar surpresas: contas de ex-funcionários ativas, pastas abertas a "todos", servidores sem atualização há anos e serviços de nuvem contratados sem conhecimento da TI.

Identidade, usuários e controle de acesso

Acesso é o ponto mais decisivo e o mais barato de melhorar. Contas individuais — logins compartilhados tornam impossível saber quem fez o quê. Permissões por função, refletindo o que a pessoa precisa. Menor privilégio, boa prática consolidada em segurança da informação, não exigência prevista em lei, mas eficaz para reduzir exposição. Privilégios administrativos limitados, já que contas admin no dia a dia ampliam o impacto de um comprometimento. E revisão periódica: acesso concedido tende a permanecer.

O que acontece quando um funcionário é desligado?

O desligamento é um dos momentos de maior risco técnico, porque envolve pressa e várias áreas. O que costuma ficar em aberto:

A conta de usuário continua ativa, com acesso a sistemas e arquivos;
O e-mail permanece acessível, inclusive em celular pessoal já sincronizado;
O acesso remoto ou VPN continua funcionando de fora da empresa;
Arquivos em nuvem seguem sincronizados no equipamento pessoal;
Credenciais compartilhadas permanecem válidas para toda a equipe.

Uma conta ativa sem dono é um risco permanente e desnecessário. O procedimento técnico em ambientes Microsoft está detalhado no artigo sobre a conta de um funcionário desligado no Microsoft 365.

MFA e proteção de contas

Senha sozinha é um fator único: quem a obtém, entra. E senhas vazam por reuso, phishing e ataques automatizados. A autenticação multifator (MFA) acrescenta uma segunda comprovação e reduz de forma relevante o risco de comprometimento por credencial vazada — especialmente em e-mail corporativo, contas administrativas, acesso remoto e sistemas com dados sensíveis. Duas ressalvas: MFA reduz risco, não elimina; e não coloca a empresa "em conformidade".

Endpoints: computadores e notebooks

O equipamento do usuário é onde o dado é aberto, editado, baixado e, frequentemente, esquecido:

Atualização do sistema operacional e dos programas do dia a dia;
Proteção contra malware ativa e efetivamente acompanhada;
Contas administrativas locais limitadas — usuário comum no uso cotidiano;
Bloqueio de tela automático;
Armazenamento local: o que fica só no notebook não entra em backup de servidor;
Perda ou roubo: o que estaria acessível a quem ligasse aquele equipamento?

Não se trata de escolher uma marca de antivírus, e sim de saber se o parque está atualizado e se alguém acompanha os alertas.

Atualizações e correções

Boa parte dos incidentes explora falhas já conhecidas e corrigidas pelo fabricante — em sistemas, aplicações, servidores e também em equipamentos de rede, cujo firmware é um ponto cego frequente. Gestão de atualização não significa aplicar tudo imediatamente: ambientes críticos exigem janela, teste e plano de retorno. Significa que alguém acompanha, decide e registra.

Firewall, segmentação, Wi-Fi e acesso remoto

A rede define quem consegue chegar até onde. O firewall controla o tráfego entre rede interna, internet e segmentos; um roteador de operadora não cumpre esse papel, diferença tratada na página sobre firewall corporativo. A segmentação separa ambientes com riscos distintos — servidores, estações, câmeras, visitantes; sem ela, um equipamento comprometido enxerga toda a rede. O Wi-Fi de visitantes não deveria dividir o mesmo espaço lógico da rede administrativa. O acesso remoto pede VPN ou equivalente, com contas individuais. O que preocupa é o oposto: painéis administrativos publicados direto na internet, expostos a varreduras automatizadas.

Servidores, nuvem e armazenamento

"Local é inseguro" ou "nuvem é segura" são simplificações que não se sustentam. Um servidor local pode ser bem administrado, atualizado e com backup testado — ou estar em uma sala sem controle de entrada, com senha padrão. Um serviço em nuvem opera em infraestrutura robusta, mas a configuração continua sendo responsabilidade de quem contrata: quem administra, quem acessa o quê e quais compartilhamentos existem. Onde o dado está importa menos do que como aquele ambiente é administrado.

Microsoft 365 e e-mail corporativo

O ambiente de produtividade em nuvem concentra grande volume de dados pessoais — quase sempre com configuração padrão. Merecem revisão periódica: contas ativas conferidas com a lista real de colaboradores; papéis administrativos; compartilhamentos por link, sobretudo os públicos; MFA nas contas críticas; regras de encaminhamento criadas sem conhecimento da empresa, sinal clássico de conta comprometida; e o fluxo de desligamento.

Backup: proteger dados também é conseguir recuperá-los

Proteção de dados envolve disponibilidade e integridade. Um backup adequado sustenta a recuperação diante de exclusão acidental, falha de hardware, erro humano e ransomware. O que separa "ter backup" de "ter backup confiável": o que é copiado, com qual frequência, por quanto tempo as versões ficam disponíveis, se as cópias estão isoladas da produção, quem consegue apagá-las e — o mais negligenciado — se a restauração já foi testada. Os critérios de uma estratégia corporativa estão na página de backup corporativo. Existir uma cópia não é o mesmo que existir uma estratégia: um NAS na mesma sala, na mesma rede e com as mesmas credenciais compartilha os riscos do ambiente que deveria proteger, como analisa o artigo sobre backup em NAS na empresa. Importante: backup não significa conformidade com a LGPD.

Criptografia

Dados em trânsito — entre usuário e sistema, entre filiais ou até a nuvem — pedem conexões protegidas contra interceptação. Dados armazenados em discos, servidores e backups podem ser protegidos por criptografia: em um notebook perdido, sem a chave o conteúdo não é simplesmente lido em outro computador. Não cabe afirmar, porém, que a lei exige criptografia universal; a adoção é avaliada conforme o dado e a exposição.

Logs e monitoramento

Registros técnicos respondem a perguntas que só aparecem depois do problema: quem acessou, quando, de onde, o que foi alterado. Monitoramento é a camada ativa: acompanhar o ambiente para perceber falhas e comportamentos anômalos antes que virem incidentes maiores — lógica detalhada na página de monitoramento de TI 24x7. Duas ressalvas: logs também contêm dados pessoais e precisam de critério de retenção; e registro que ninguém consulta não protege nada.

Não sabe por onde começar? A Suporte de TI - Resolve Tecnologias analisa a infraestrutura, os acessos e os pontos técnicos frágeis e organiza o que precisa de atenção primeiro. Conheça nossa consultoria de TI.

Descarte e reutilização de equipamentos

Computadores saem de uso, notebooks são repassados, discos são substituídos — o dado tende a permanecer. Apagar arquivos remove a referência, não necessariamente o conteúdo gravado, e a formatação rápida pode deixar dados recuperáveis; em SSDs o comportamento difere do de discos mecânicos. Merecem procedimento definido: equipamentos doados ou vendidos, notebooks repassados, discos que saem para manutenção e mídias guardadas em armários. Vale decidir antes o destino do armazenamento — sanitização adequada à mídia, inutilização física quando o dado for sensível, ou reaproveitamento com reinstalação completa — e registrar o que foi feito.

Fornecedores e acessos de terceiros

Ambientes corporativos costumam ter mais acessos externos do que se imagina: empresa do ERP, contabilidade, desenvolvedor do sistema, integrador de câmeras e prestadores antigos nunca desativados.

Acesso remoto permanente quando a necessidade era pontual;
Credenciais compartilhadas entre vários técnicos do fornecedor;
Contas sem revisão, ativas anos após o fim do contrato;
Privilégios administrativos amplos onde bastaria acesso a um sistema;
Ausência de registro de quando o terceiro entrou e o que fez.

A dimensão contratual desse tema é jurídica. A TI endereça o lado técnico: contas nominais, permissão mínima, acesso ativado quando necessário e revisão periódica.

Incidentes de segurança

Tecnicamente, incidente é um evento que afeta a segurança das informações: acesso indevido, exposição de arquivos, perda de dados, comprometimento por malware, extravio de equipamento ou indisponibilidade relevante.

O que a infraestrutura precisa oferecer nesse momento: detectar que algo ocorreu, delimitar o alcance, conter (bloquear contas, isolar equipamentos, revogar sessões), recuperar a partir de backups confiáveis e registrar o que foi feito.

A LGPD e a regulamentação da ANPD tratam da comunicação de incidentes que possam acarretar risco ou dano relevante aos titulares, com critérios próprios. Avaliar se um caso concreto se enquadra, o que comunicar e em qual prazo deve ser conferido na legislação e nas normas oficiais, com apoio jurídico — não é definição técnica de TI. O papel da infraestrutura é fornecer os fatos que sustentam essa avaliação.

Tabela: risco técnico x controle a avaliar

Área	Risco técnico	Controle/medida a avaliar	O que não significa
Contas de usuário	Contas genéricas ou compartilhadas impedem saber quem acessou	Contas individuais, nominais, com ciclo de vida definido	Contas individuais não garantem permissões adequadas
Permissões	Acesso amplo a pastas e sistemas que a função não exige	Permissão por função, menor privilégio e revisão periódica	Revisar uma vez não substitui rotina de revisão
MFA	Senha vazada permite acesso direto a e-mail e sistemas	Segundo fator em contas críticas, administrativas e acesso remoto	MFA não elimina todo ataque nem gera conformidade
Endpoints	Equipamentos desatualizados ou com dados apenas no local	Atualização, proteção contra malware, bloqueio de tela, privilégios limitados	Antivírus instalado não é sinônimo de estação protegida
Rede	Ambiente único, sem separação entre servidores, estações e visitantes	Firewall corporativo, segmentação e rede de convidados separada	Firewall no perímetro não protege contra o que já está dentro
Acesso remoto	Serviços internos expostos diretamente à internet	VPN ou equivalente, com contas nominais e permissão restrita	Ter VPN não resolve se as credenciais forem compartilhadas
Servidores	Falta de atualização, acesso físico livre, administração informal	Gestão de atualização, controle de acesso e responsabilidade definida	Servidor "que nunca deu problema" não é servidor avaliado
Nuvem e e-mail	Compartilhamentos abertos, excesso de administradores, regras indevidas	Revisão de permissões, links, papéis administrativos e MFA	Estar em nuvem não transfere a responsabilidade pela configuração
Backup	Perda definitiva por exclusão, falha ou ransomware	Frequência, retenção, isolamento e restauração testada	Backup não significa conformidade automática com a LGPD
Logs e monitoramento	Impossibilidade de reconstruir o que aconteceu em um incidente	Registros úteis, acompanhamento do ambiente e critério de retenção	Guardar tudo para sempre não é, por si só, boa prática
Terceiros	Fornecedores com acesso permanente e privilégios excessivos	Contas nominais, permissão mínima e revisão dos acessos externos	Controle técnico não substitui as tratativas contratuais cabíveis
Descarte	Dados residuais em discos reutilizados ou descartados	Procedimento de sanitização ou inutilização conforme a mídia	Apagar arquivos ou formatar rapidamente pode não bastar

Checklist técnico da infraestrutura

Sabemos onde os dados pessoais estão armazenados e por onde circulam?
As contas são individuais, sem logins compartilhados entre pessoas?
As permissões de acesso a pastas e sistemas são revisadas periodicamente?
Contas de funcionários desligados são bloqueadas de forma consistente?
O MFA foi avaliado para e-mail, contas administrativas e acesso remoto?
Os equipamentos estão atualizados, com acompanhamento das atualizações?
Existe controle sobre privilégios administrativos e sobre quem os detém?
A rede está segmentada e o Wi-Fi de visitantes é separado do ambiente interno?
O acesso remoto é controlado, com contas nominais e permissões definidas?
Os backups são testados com restaurações reais, não apenas no relatório?
Existem registros úteis para investigar um acesso indevido depois que ele ocorre?
Os acessos de fornecedores são conhecidos, nominais e revisados?
Equipamentos descartados ou repassados recebem tratamento definido?
Há procedimento técnico para incidentes: quem aciona, o que conter, o que registrar?
Os controles são reavaliados periodicamente, acompanhando mudanças no ambiente?

O que a TI não resolve sozinha

Nenhum conjunto de controles técnicos adequa uma empresa à LGPD, porque a lei trata de temas que não vivem na infraestrutura:

Finalidade do tratamento e bases legais de cada dado;
Governança e responsabilidades: quem decide, quem responde, quem acompanha;
Políticas e processos internos conhecidos por quem lida com os dados;
Direitos dos titulares: como a empresa recebe e responde às solicitações;
Contratos com fornecedores e parceiros que tratam dados;
Retenção e descarte: por quanto tempo cada informação deve ser mantida;
Treinamento e cultura de quem opera o ambiente;
Aspectos jurídicos e regulatórios aplicáveis ao caso concreto.

A Suporte de TI - Resolve Tecnologias atua no componente técnico: infraestrutura, acessos, redes, servidores, nuvem, backup, monitoramento e suporte. Não prestamos consultoria jurídica: interpretação da lei, bases legais, contratos e comunicação de incidentes exigem assessoria especializada, em conjunto com a área técnica.

Como priorizar os controles?

Não existe lista idêntica para todas as organizações: um consultório com prontuários, uma contabilidade, uma indústria e um e-commerce têm exposições diferentes. Orientam a priorização: quais dados são tratados e em qual volume; sensibilidade; sistemas e dependência deles; exposição do ambiente; criticidade operacional; impacto potencial de um incidente; e realidade de equipe e orçamento.

Na prática, os primeiros ganhos raramente vêm de investimento alto: mapear onde os dados estão, revisar quem acessa o quê, encerrar contas sem dono, avaliar MFA nas contas críticas e testar a restauração do backup. Vale mais um conjunto menor bem operado do que uma lista ambiciosa que envelhece.

Perguntas frequentes sobre LGPD e infraestrutura de TI

1. O que a LGPD tem a ver com TI? A LGPD prevê, entre outros pontos, medidas de segurança técnicas e administrativas. A infraestrutura de TI é onde boa parte dessas medidas se materializa.

2. O que a infraestrutura de TI precisa proteger? Os ambientes em que dados pessoais são armazenados, acessados ou transmitidos: contas, permissões, dispositivos, rede, acesso remoto, servidores, nuvem, e-mail, backups e logs.

3. A LGPD exige firewall? A lei fala em medidas adequadas, não em produtos. Firewall corporativo é um controle usual, mas necessidade e configuração dependem do contexto.

4. A LGPD exige backup? A lei não determina tecnologia específica; trata da proteção contra perda e destruição acidental ou ilícita, e o backup é o controle usual para sustentar recuperação.

5. A LGPD exige MFA? Não há obrigatoriedade universal. É um controle reconhecido, avaliado conforme a criticidade das contas e a exposição do ambiente.

6. Ter backup deixa a empresa em conformidade com a LGPD? Não. Backup é controle de disponibilidade e recuperação; conformidade envolve finalidade, bases legais, governança, contratos e direitos dos titulares.

7. Antivírus é suficiente para proteger dados pessoais? Não. É uma camada entre várias: sem controle de acesso, atualização, backup testado e registros, o ambiente continua exposto.

8. Como controlar o acesso aos dados? Com contas individuais, permissões por função, privilégios administrativos limitados e revisão periódica dos acessos.

9. O que fazer com contas de funcionários desligados? Bloquear o acesso, encerrar sessões ativas, revisar acesso remoto e definir o destino de e-mails e arquivos, com procedimento combinado entre TI e RH.

10. Qual o papel do firewall na proteção de dados? Controlar o tráfego entre internet, rede interna e segmentos, reduzindo a exposição de serviços internos.

11. Qual o papel da criptografia? Proteger dados em trânsito, como acessos remotos, e armazenados, como discos de notebooks e backups, conforme o dado e a exposição.

12. Logs são importantes para segurança? São. Sem registros é difícil saber quem acessou o quê e delimitar o alcance de um incidente; a retenção deve ter critério.

13. O Microsoft 365 precisa de configuração de segurança? Sim. A configuração padrão não reflete a realidade de cada empresa: contas ativas, papéis administrativos, compartilhamentos por link, MFA e regras de encaminhamento merecem revisão.

14. Como proteger dados em notebooks? Mantendo o sistema atualizado, limitando privilégios administrativos, usando bloqueio de tela, avaliando criptografia de disco e evitando arquivos que existam apenas no equipamento.

15. Como tratar o acesso de fornecedores? Com contas nominais, permissão mínima, acesso ativado conforme a necessidade, registro do que foi feito e revisão periódica.

16. O que fazer com HDs e SSDs antigos? Definir um procedimento antes do descarte ou reuso: conforme a sensibilidade e o tipo de mídia, aplica-se sanitização adequada ou inutilização física, com registro.

17. A TI consegue adequar uma empresa sozinha à LGPD? Não. A TI cobre a camada técnica; finalidade, bases legais, governança, contratos e interpretação legal exigem outras competências, incluindo apoio jurídico.

18. Como começar uma avaliação técnica da infraestrutura? Mapeando onde os dados estão, quem acessa o quê, como funcionam backup e acesso remoto e quais registros existem. Esse diagnóstico permite priorizar.

Solicite uma avaliação do seu ambiente de TI

A Suporte de TI - Resolve Tecnologias avalia a infraestrutura da sua empresa — acessos, contas, rede, servidores, nuvem, backup e monitoramento — e aponta, de forma priorizada, os pontos técnicos que merecem atenção.

Solicitar Avaliação

LGPD e TI: o que a infraestrutura da empresa precisa proteger?