Quando se fala em segurança de dados, a imagem mais comum é a de um invasor externo. Mas boa parte dos incidentes reais em empresas de qualquer setor tem origem interna: um acesso que nunca foi revogado, uma planilha com dados de compradores compartilhada por link aberto, um e-mail enviado para o destinatário errado. Nenhum desses casos exige um atacante sofisticado — só a ausência de controles básicos.

• Onde a informação normalmente escapa

1. Acessos de ex-funcionários ou ex-fornecedores que continuam ativos meses depois do desligamento.
2. Arquivos com dados de compradores e investidores compartilhados por link, sem senha ou prazo de validade.
3. Dispositivos pessoais (notebooks, celulares) usados para acessar sistemas da empresa, sem qualquer controle corporativo.
4. Cópias de contratos e propostas circulando por e-mail ou aplicativos de mensagem sem criptografia.
5. Ausência de registro (log) de quem acessou o quê e quando — o que torna qualquer investigação de incidente muito mais lenta

• O impacto vai além da multa

Um vazamento de dados de compradores e investidores — CPF, renda, contratos de financiamento — tem consequência dupla: o risco regulatório da LGPD e o risco reputacional direto, já que esses são justamente os clientes com maior poder de decisão sobre lançamentos futuros. A confiança, uma vez quebrada nesse ponto, é difícil de recuperar.

• Controles que fazem diferença real

1. A boa notícia é que a maior parte da exposição interna se resolve com processos simples, não com grandes investimentos:
2. Controle de acesso por função (quem realmente precisa ver cada tipo de dado).
3. Checklist de desligamento que revoga acessos no mesmo dia.
4. Compartilhamento de arquivos sempre com senha e prazo de validade.
5. Criptografia de e-mails e documentos que contenham dados sensíveis.