Gestão de Ativos – Como classificar e atribuir responsável
Ter o inventário é metade do trabalho. A outra metade é o que as normas realmente cobram: cada ativo com um responsável e uma classificação.
Sem responsável, ninguém cuida. Sem classificação, não há como saber que proteção aplicar. É por isso que a própria tela do inventário mostra, em destaque, quantos ativos precisam de responsável e quantos precisam de classificação, com a orientação de que atribuir os dois é o que completa o registro.
As quatro classificações
| Classificação | Significado | Exemplos típicos |
|---|---|---|
| Público | Pode ser divulgado sem restrição | Site institucional, material de marketing |
| Interno | Para uso da empresa, sem dano relevante se vazar | Documentação interna, comunicados |
| Confidencial | Vazamento causa dano real | Dados de clientes, contratos, informação financeira |
| Restrito | O mais sensível, acesso mínimo | Credenciais, dados sensíveis de pessoas, segredos do negócio |
Ativos sem classificação aparecem como Sem classificação.
A regra prática que resolve a maioria das dúvidas: classifique pelo dano se vazar, não pela importância operacional. Um servidor essencial que não guarda dado nenhum pode ser Interno. Uma planilha esquecida com dados de clientes é Confidencial, mesmo que ninguém use.
E não caia na tentação de classificar tudo como Restrito por precaução. Se tudo é máximo, nada é priorizado, e a classificação deixa de orientar decisão.
O marcador de dados pessoais
Separado da classificação existe o marcador Trata PII, para ativos que lidam com dados pessoais.
Vale preencher com cuidado, por dois motivos. Ele permite responder de imediato onde dados pessoais estão, que é a pergunta central de qualquer regime de privacidade. E ele mantém o inventário coerente com o inventário de tratamento do módulo de Privacidade, evitando a situação em que os dois documentos da mesma empresa dizem coisas diferentes.
Quem deve ser o responsável
O responsável é quem toma decisão sobre o ativo, não necessariamente quem o administra tecnicamente.
Um critério que funciona:
- Recursos de nuvem e repositórios: quem lidera a área técnica responsável.
- Aplicativos contratados: quem contratou e usa, não quem instalou.
- Dispositivos: a pessoa que usa, ou quem responde por equipamentos.
- Armazenamentos de dados: quem responde pelos dados ali, que costuma ser a área de negócio.
O erro mais comum é atribuir tudo à tecnologia. Isso parece organizado e cria um responsável nominal para centenas de itens, o que na prática significa que ninguém decide nada.
Aproveite as sugestões, e confira
Quando a plataforma tem um palpite, ele aparece como sugestão, com a instrução de revisar e confirmar, ou escolher a sua.
Use como acelerador. Ela poupa muito trabalho em inventários grandes, e não substitui o seu julgamento: quem sabe se aquele armazenamento guarda dado de cliente é a sua equipe, não a ferramenta.
Depois de salvar, ficam registradas as datas em que o responsável foi atribuído e em que o ativo foi classificado.
Faça em lote, é o que torna isso viável
Aqui está a diferença entre uma tarefa de uma tarde e uma tarefa de semanas. Selecionando vários ativos, você pode definir responsável, definir classificação e marcar trata PII de uma vez, e cada campo tem a opção manter inalterado para você mudar só o que quer.
Combinado com os filtros, isso vira um método:
- Filtre por Sem responsável.
- Refine por tipo e ambiente, para pegar um grupo homogêneo.
- Selecione tudo e aplique responsável e classificação.
- Repita para o grupo seguinte.
O passo 2 é o segredo. Todos os repositórios de um time têm o mesmo responsável. Todos os recursos de nuvem de produção de um serviço têm a mesma classificação. Tratar grupos homogêneos é rápido e dá resultado consistente.
Os filtros de Sem responsável, Sem classificação e Trata PII existem exatamente para isso, e há também um filtro de Atenção para o que precisa de olhar.
Uma ordem que funciona
Se o inventário é grande e o tempo é curto:
- Produção primeiro. É onde o risco está.
- Armazenamentos de dados e repositórios em seguida. É onde a informação mora.
- Aplicativos contratados depois. É onde estão as surpresas.
- Dispositivos e usuários por último, tipicamente em lote, porque são numerosos e homogêneos.
Feche com a atestação
Quando os indicadores mostrarem que todos os ativos têm responsável e classificação, use Atestar completo no inventário.
A atestação registra uma afirmação, com data e nota, de que o registro está completo naquele momento, e informa quantos ativos ativos foram cobertos. Ela se torna evidência para os seus controles de gestão de ativos.
Duas recomendações: ateste só quando for verdade, porque a afirmação é sua e não da ferramenta, e repita periodicamente, porque ambiente muda. Uma atestação por semestre, ou sempre que houver mudança relevante de ambiente, é um ritmo defensável.
Problemas comuns
Falha ao atualizar os ativos selecionados. Reduza o tamanho da seleção e tente novamente.
Os indicadores não zeram. Confira se sobraram ativos de tipos que você não filtrou, tipicamente usuários e dispositivos.
A classificação virou tudo Restrito. Aconteceu por precaução, e anulou o propósito. Reveja pelo critério do dano se vazar.
Ninguém assume a responsabilidade de um ativo. Normalmente indica um ativo órfão de verdade, contratado por alguém que saiu ou por uma área que não sabia que responderia por ele. Vale resolver, porque é exatamente o tipo de item que gera incidente.
Este artigo foi útil?