Maturidade · Proteção de dados sensíveis e criptografia avançada

Este referencial avalia como uma organização identifica, classifica e protege seus dados sensíveis, e como ela gerencia os mecanismos criptográficos que os protegem. Ele cobre a classificação de dados, a criptografia em repouso, em trânsito e em uso, a gestão do ciclo de vida de chaves e segredos, as técnicas de anonimização e pseudonimização, o compartilhamento seguro com terceiros, além da antecipação das evoluções criptográficas. Não se trata de um controle técnico de configuração, mas de uma avaliação das práticas de gestão e governança.

Na prática, esses temas são difíceis de gerenciar porque o conhecimento está disperso. A criptografia é decidida pelas equipes de infraestrutura, a classificação pelas áreas de negócio, as chaves por administradores às vezes externos. Três perguntas bastam para revelar a lacuna: você sabe quais bases contêm dados sensíveis, e desde quando esse inventário não é revisado? Quem pode tecnicamente acessar uma chave de produção, e esse acesso é rastreado? O que acontece se um fornecedor detém ao mesmo tempo os dados criptografados e as chaves?

Um ponto de contexto se impõe. A transição para a criptografia pós-quântica está em andamento: autoridades de segurança, como a ANSSI na França, recomendam a hibridização dos mecanismos e a construção de um inventário criptográfico para preparar as migrações. Isso desloca o assunto do registro técnico para o de programa de transformação, com um inventário a ser constituído, dependências de fornecedores a qualificar e uma trajetória plurianual a financiar. Muitas organizações tomaram conhecimento do tema sem ter iniciado o inventário, que é o pré-requisito.

O diagnóstico de maturidade responde a uma pergunta diferente de uma auditoria de conformidade. A auditoria conclui por uma lacuna ou uma conformidade em relação a uma exigência. O diagnóstico posiciona cada prática em uma escala progressiva e indica a ação precisa que leva ao nível seguinte: passar de uma classificação documentada para uma classificação aplicada, de uma rotação de chaves manual para uma rotação automatizada e rastreada. O resultado não é um veredito, é uma trajetória mensurável, comparável entre unidades de negócio e ao longo do tempo.

Na Datamensio, o referencial está pronto para uso e é modificável. A IA ajusta os temas, reformula as perguntas segundo seu vocabulário interno, refina os níveis seguindo a lógica CMMI, ou constrói uma versão personalizada a partir de sua política de segurança e de seus padrões criptográficos existentes.