Skip to main content

Processo de Aquisição e Implantação de Ferramenta DLP (Data Loss Prevention)

1. Objetivo

Este documento descreve o processo que seguirá para planejar, adquirir, implantar e operar uma solução de Data Loss Prevention (DLP). O objetivo principal é proteger as informações classificadas como Confidenciais e Internas, prevenindo o vazamento ou a exfiltração de dados sensíveis, seja de forma acidental ou maliciosa, e garantindo a conformidade com a LGPD.

2. Escopo do Projeto (Fase 1 - 6 Meses)

Dada a natureza de uma pequena empresa, a implantação será focada nos vetores de vazamento mais críticos:

  • DLP de Endpoint: Monitoramento e controle de ações em desktops e notebooks.

    • Canais Cobertos: E-mail, Upload em navegadores web, Dispositivos USB (pen drives, HDs externos), Serviços de armazenamento em nuvem (Google Drive, Dropbox, OneDrive).

  • Futuro (Fora do Escopo da Fase 1): Proteção de impressão, compartilhamentos de rede (File Servers).

3. Papéis e Responsabilidades

  • Diretoria/Gestor: Aprovar o orçamento, apoiar a iniciativa e reforçar a importância da política para todos os colaboradores.

  • Responsável de TI: Liderar o projeto, realizar a avaliação técnica, implantar a ferramenta e gerenciar as políticas de segurança.

  • Líderes de Departamento (Ex: Comercial, Financeiro): Atuar como "Proprietários dos Dados", ajudando o TI a identificar quais informações são sensíveis em suas áreas e a validar as regras de DLP.

  • Colaboradores (Usuários): Cumprir com as políticas de segurança, participar dos treinamentos e relatar quaisquer dificuldades ou falsos positivos.

4. Fases do Processo

O projeto será dividido em quatro fases principais:

  1. Planejamento e Descoberta: Entender quais dados proteger e onde eles estão.

  2. Seleção da Ferramenta: Avaliar e escolher a solução de DLP mais adequada.

  3. Implantação e Configuração: Instalar a ferramenta e criar as regras de proteção.

  4. Operação e Melhoria Contínua: Lançar para todos os usuários, monitorar e ajustar as regras.

Plano de Ação Detalhado (6 Meses)

Mês 1-2: Fase 1 - Planejamento e Descoberta

Ação Específica Responsável Entregável / Resultado Esperado
Kick-off do Projeto e Alinhamento Responsável de TI, Diretoria Apresentação do projeto, objetivos e cronograma para a diretoria. Orçamento pré-aprovado.
Revisar/Criar a Política de Classificação da Informação Responsável de TI Documento que define dados Públicos, Internos e Confidenciais. (Base para as regras de DLP).
Mapear Fluxos de Dados Sensíveis Responsável de TI, Líderes de Depto. Entrevistas com as áreas (Financeiro, RH, Comercial) para entender quais dados sensíveis eles manipulam e para onde os enviam.
Definir Requisitos da Ferramenta Responsável de TI Lista de requisitos técnicos e de negócio. Ex: "Deve bloquear cópia de arquivos com CPF para USB", "Deve ser gerenciado em nuvem", "Deve ter baixo impacto no desempenho".

Mês 3: Fase 2 - Seleção da Ferramenta

Ação Específica Responsável Entregável / Resultado Esperado
Pesquisa de Fornecedores de DLP Responsável de TI Lista curta de 2-3 fornecedores que atendam pequenas empresas (Ex: Soluções integradas como Microsoft Purview, ou de fornecedores como Trellix, Proofpoint, Sophos).
Solicitar Demonstrações e Cotações Responsável de TI Realizar reuniões com os fornecedores para ver a ferramenta em ação e obter propostas comerciais.
Realizar Prova de Conceito (PoC) Responsável de TI Selecionar 1 fornecedor para um teste prático em 2-3 máquinas (do time de TI). Este é um passo CRÍTICO para validar a eficácia da ferramenta.
Escolha e Aprovação Final Responsável de TI, Diretoria Apresentar a recomendação final para a diretoria com base na PoC e na proposta comercial. Contrato assinado.

Mês 4: Fase 3 - Implantação Técnica e Piloto

Ação Específica Responsável Entregável / Resultado Esperado
Instalação do Agente no Grupo de TI Responsável de TI Ferramenta DLP instalada e funcionando nos computadores da equipe de TI.
Configurar Políticas Iniciais em MODO AUDITORIA Responsável de TI Criar as primeiras regras (ex: detectar CPFs, palavras-chave como "confidencial", "salários") APENAS PARA MONITORAR, SEM BLOQUEAR.
Analisar Descobertas e Ajustar Regras Responsável de TI Analisar os logs para entender o comportamento normal dos usuários e identificar potenciais falsos positivos. Refinar as regras.
Expandir o Piloto para um "Departamento Amigo" Responsável de TI, Líder de Depto. Instalar o agente em um departamento voluntário (ex: Financeiro) ainda em modo auditoria.

Mês 5: Fase 3 - Expansão e Ajuste Fino

Ação Específica Responsável Entregável / Resultado Esperado
Criar Comunicação e Material de Treinamento Responsável de TI Elaborar um e-mail explicativo e um guia rápido para os usuários sobre o que é o DLP e como ele funcionará.
Habilitar Políticas de Bloqueio no Grupo Piloto Responsável de TI Mudar as regras mais críticas para MODO BLOQUEIO apenas para o grupo piloto. Ex: "Bloquear envio de planilha de salários para e-mails pessoais".
Coletar Feedback do Grupo Piloto Responsável de TI Entender o impacto no dia a dia dos usuários, ajustar mensagens de alerta e refinar regras para minimizar o atrito.
Planejar o Rollout Completo Responsável de TI Definir a data e a estratégia para a instalação em todos os computadores da empresa.

Mês 6: Fase 4 - Lançamento Completo e Operação Inicial

Ação Específica Responsável Entregável / Resultado Esperado
Comunicar Oficialmente a Todos os Colaboradores Responsável de TI, Diretoria Enviar o comunicado oficial explicando a iniciativa, os benefícios e a data de início.
Realizar o Rollout Completo (Implantação em Massa) Responsável de TI Instalar o agente de DLP em todos os computadores restantes da empresa.
Realizar Treinamento para Todos os Usuários Responsável de TI Sessão de 30-45 minutos explicando a importância da ferramenta, como ela funciona e o que fazer em caso de um bloqueio.
Transicionar Políticas para Modo Bloqueio Responsável de TI Mudar gradualmente as políticas de "Auditoria" para "Bloqueio" para toda a empresa.
Estabelecer Rotina de Monitoramento Responsável de TI Definir um processo para revisar os alertas e incidentes de DLP diariamente/semanalmente.
Projeto Concluído (Fase 1) Todos Ferramenta DLP em operação em toda a empresa, protegendo os principais canais de vazamento de dados.
Back to top