Quando se fala em segurança de dados, a imagem mais comum é a de um invasor externo. Mas boa parte dos incidentes reais em empresas de qualquer setor tem origem interna: um acesso que nunca foi revogado, uma planilha com dados de colaboradores compartilhada por link aberto, um e-mail enviado para o destinatário errado.

Nenhum desses casos exige um atacante sofisticado — só a ausência de controles básicos.

Onde a informação normalmente escapa

› Acessos de ex-funcionários ou ex-motoristas que continuam ativos meses depois do desligamento.

› Arquivos com dados de colaboradores ou propostas de licitação compartilhados por link, sem senha ou prazo de validade.

› Dispositivos pessoais (notebooks, celulares) usados para acessar sistemas da empresa, sem qualquer controle corporativo.

› Cópias de contratos e propostas circulando por e-mail ou aplicativos de mensagem sem criptografia, antes mesmo da abertura oficial de uma concorrência.

› Ausência de registro (log) de quem acessou o quê e quando — o que torna qualquer investigação de incidente muito mais lenta.

O impacto vai além da multa

Um vazamento de dados de colaboradores — ou pior, de uma proposta de licitação antes da abertura oficial — tem consequência dupla: o risco regulatório da LGPD e o risco de a empresa perder credibilidade junto ao

município e a concorrentes, comprometendo inclusive a participação em futuras concorrências.

Controles que fazem diferença real

A boa notícia é que a maior parte da exposição interna se resolve com processos simples, não com grandes investimentos:

› Controle de acesso por função (quem realmente precisa ver cada tipo de dado).

› Checklist de desligamento que revoga acessos no mesmo dia.

› Compartilhamento de arquivos sempre com senha e prazo de validade.

› Criptografia de e-mails e documentos que contenham dados sensíveis ou propostas de licitação.