Segurança de dados pessoais: checklist prático

Segurança de dados pessoais se resume a três movimentos: coletar menos, restringir acesso e ter plano para quando algo falha. Este checklist serve para revisar uma aplicação antes de subir e a cada mudança relevante de fluxo. Não é auditoria completa, é a varredura que pega o óbvio antes que vire incidente.

Autenticação e credenciais

• Exija autenticação em dois fatores para contas administrativas. Senha sozinha cai em vazamento de banco de terceiros; o segundo fator quebra o ataque mesmo com credencial exposta.
• Bloqueie login após tentativas repetidas. Sem limite, força bruta vira questão de tempo. Um limite de 5 tentativas com espera progressiva já muda o cenário.
• Não guarde senha em texto puro. Hash com salt é o mínimo. Se sua aplicação ainda compara senha direto no banco, comece por aí.

Permissões e acesso

• Aplique menor privilégio por padrão. Todo usuário começa sem acesso e ganha o que precisa. O contrário gera contas com permissão que ninguém revisa.
• Revise acessos ao sair de um time. Conta de ex-funcionário ativa é uma das falhas mais comuns e mais fáceis de evitar.
• Registre quem acessou dado sensível. Log de leitura, não só de escrita. Sem isso, você não sabe o alcance de um vazamento.

Retenção e descarte

• Defina prazo de guarda por tipo de dado. CPF, endereço e telefone não precisam viver para sempre. Retenção indefinida amplia o dano de qualquer falha.
• Apague de verdade, não só da tela. Exclusão lógica sem expurgo deixa o dado no banco. Verifique backup e réplica também.

Terceiros e integrações

• Liste cada serviço que recebe dado pessoal. Analytics, e-mail, pagamento. Cada um é uma porta. Se não sabe o que envia, não controla o risco.
• Confira o que o SDK coleta por padrão. Muitos enviam identificador de dispositivo sem você perceber.

Resposta a incidentes

• Tenha um contato responsável e um roteiro curto. Quem decide, quem comunica, em quanto tempo. Plano que existe só na cabeça não sobrevive ao primeiro susto.

O erro mais comum não é técnico: é tratar segurança de dados pessoais como projeto com data de fim. Vira checklist assinado uma vez e esquecido. Fluxo muda, integração entra, gente sai, e o documento continua igual. Revisão periódica vale mais que ferramenta nova.

FAQ

O que é segurança de dados pessoais?

É o conjunto de práticas para impedir acesso, alteração ou vazamento indevido de informações que identificam alguém. Envolve reduzir coleta, restringir quem acessa, definir prazo de guarda e ter plano de resposta. Não é só criptografia: processo e revisão pesam tanto quanto tecnologia.

Por que a LGPD importa nesse checklist?

A LGPD estabelece bases legais para tratar dado pessoal e deveres como informar titular e comunicar incidente. O checklist ajuda a cumprir esses deveres na prática, não só no papel. Sem controle de acesso e retenção, dificilmente se sustenta conformidade real.

Qual o primeiro item a resolver?

Autenticação em dois fatores para contas administrativas. É barato, rápido e corta uma das falhas mais exploradas. Depois, revise permissões e retenção, que costumam acumular problema silencioso ao longo do tempo.

Com que frequência revisar?

Antes de cada mudança relevante de fluxo e pelo menos uma vez por semestre. Integração nova, time que muda ou funcionalidade que passa a coletar mais dado pedem revisão imediata. Segurança parada envelhece rápido.

Preciso de ferramenta paga para começar?

Nenhuma. Dois fatores, menor privilégio, log de acesso e prazo de retenção resolvem a maior parte. Ferramenta ajuda a escalar, não a substituir decisão. Comece pelo processo, depois automatize o que dói.