LGPD para a TI: o que a rede e os sistemas da empresa precisam ter

Atualizado em 16/10/2026

Quando se fala em adequação à LGPD (Lei Geral de Proteção de Dados Pessoais, Lei nº 13.709/2018), é muito comum que os debates se concentrem em termos jurídicos, contratos e políticas de privacidade publicadas no site. No entanto, quando um incidente de segurança ocorre, as exigências recaem diretamente sobre a infraestrutura técnica: como a rede estava configurada, quem tinha acesso aos arquivos, quais registros foram armazenados e como as cópias de segurança foram preservadas.

Para a equipe de TI (tecnologia da informação) e a diretoria das organizações, a conformidade legal exige a implementação prática de controles técnicos que garantam a integridade, confidencialidade e disponibilidade dos dados pessoais tratados no dia a dia.

> Importante: este artigo possui caráter técnico e informativo sobre arquitetura de infraestrutura de TI. Ele não constitui parecer ou consultoria jurídica. A definição das bases legais de tratamento, o enquadramento regulatório e as decisões estratégicas cabem ao DPO (encarregado de proteção de dados, da sigla em inglês Data Protection Officer) e à assessoria jurídica de cada organização.

Os princípios de segurança na legislação brasileira

A Lei nº 13.709/2018 estabelece em seu artigo 6º, incisos VII e VIII, que o tratamento de dados pessoais deve observar expressamente os princípios da segurança e da prevenção. Isso significa que as empresas devem adotar medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração ou vazamento.

Complementarmente, o artigo 46 da legislação determina que os agentes de tratamento devem empregar padrões de segurança eficazes desde a concepção dos sistemas até a sua execução. E, no caso de ocorrência de incidentes que possam acarretar risco ou dano relevante aos titulares, o artigo 48 estipula a obrigatoriedade de comunicação formal tanto à ANPD (Autoridade Nacional de Proteção de Dados) quanto aos próprios titulares afetados. Pela Resolução CD/ANPD nº 15/2024 (arts. 6º e 9º), o controlador deve comunicar a ANPD e os titulares em até três dias úteis, contados do momento em que souber que o incidente afetou dados pessoais; agentes de pequeno porte têm o prazo em dobro. Para que uma comunicação dessa natureza seja precisa, a equipe técnica precisa dispor de registros detalhados para rastrear a extensão real do incidente.

Pilares técnicos essenciais para a rede e os sistemas

O Guia Orientativo sobre Segurança da Informação para Agentes de Tratamento de Pequeno Porte, da ANPD, e catálogos de controles como o NIST SP 800-53 Rev. 5 trazem medidas técnicas como as abaixo:

1. Controle de acesso e menor privilégio

Compartilhar contas e privilégios administrativos dificulta saber quem fez o quê. Cada colaborador deve ter uma conta nominal e individual, evitando usuários compartilhados (como "admin" ou "financeiro"):

  • Princípio do menor privilégio: Os usuários devem ter permissão de leitura e edição estritamente nas pastas e bancos de dados necessários para desempenhar sua função específica.
  • Autenticação multifator (MFA): Sistemas críticos, e-mail corporativo, servidores e conexões de VPN (rede privada virtual) devem pedir verificação em duas etapas sempre que o sistema permitir.
  • Ciclo de vida de contas: Procedimentos formais para revogar logo o acesso de colaboradores desligados e estagiários ao término de seus contratos.

2. Segmentação de rede e proteção de borda

Manter todos os equipamentos da empresa na mesma rede local (LAN) expõe servidores críticos caso um computador da recepção ou um celular de visitante seja infectado. A rede corporativa deve ser dividida em zonas isoladas por meio de VLANs (redes locais virtuais) e regras de firewall:

  • Rede corporativa principal: Destinada a computadores de trabalho e servidores de sistemas internos.
  • Rede de visitantes isolada: O acesso à internet concedido a clientes e fornecedores deve ter saída direta e bloqueio de comunicação com os computadores internos.
  • Dispositivos conectados (IoT e CFTV): Câmeras de segurança, aparelhos de automação e impressoras devem residir em redes separadas, impedindo que vulnerabilidades nesses dispositivos sirvam de entrada para os bancos de dados corporativos.

3. Gestão e proteção de registros de eventos (logs)

Sem registros de auditoria, fica muito difícil reconstruir o que aconteceu num incidente e mostrar isso à autoridade ou a um perito. A infraestrutura de TI deve armazenar logs de:

  • Tentativas de autenticação (logins bem-sucedidos e falhas repetidas);
  • Conexões de acesso remoto estabelecidas via VPN;
  • Criação, exclusão e alteração de privilégios de usuários;
  • Alterações em configurações de firewalls e roteadores centrais.

Os arquivos de log devem ser centralizados em servidores protegidos contra manipulação ou exclusão acidental e retidos pelo tempo determinado pela política interna de governança e pela legislação aplicável.

4. Continuidade de negócios e rotinas de backup testadas

A perda de dados pessoais por panes elétricas, falhas de disco ou ataques de sequestro de dados (ransomware) pode configurar um incidente de segurança, com os deveres de comunicação do artigo 48. A organização deve manter rotinas automatizadas de cópias de segurança que sigam padrões consolidados de proteção externa, mantendo versões isoladas e imutáveis.

Mais importante que gerar a cópia é documentar e executar testes periódicos de restauração. Um backup que nunca foi testado não dá segurança de que a recuperação vai funcionar na hora da crise. Veja Regra 3-2-1 de backup explicada.

5. Gestão de fornecedores e prestadores de serviços de tecnologia

A LGPD trata das responsabilidades do controlador e dos operadores (quem trata dados em nome da empresa); o enquadramento de cada fornecedor é decisão do jurídico. Do lado técnico, ao contratar soluções em nuvem, ferramentas de e-mail corporativo ou serviços de suporte técnico, a TI deve verificar se os fornecedores mantêm salvaguardas contratuais formais, acordos de confidencialidade e padrões compatíveis de segurança perimetral e criptografia.

Como iniciar a estruturação da TI para a conformidade

Adequar a infraestrutura de rede às exigências da LGPD não começa pela compra de ferramentas caras, mas sim um mapeamento consciente da topologia da empresa. Começar pela eliminação de senhas fracas, implantação de MFA nos acessos remotos, segmentação da rede Wi-Fi e formalização dos backups já reduz boa parte dos riscos mais comuns.

Com uma infraestrutura de rede organizada, políticas documentadas de acesso e monitoramento contínuo de borda, a organização demonstra cuidado com os dados de seus clientes e fica mais bem preparada para responder a incidentes e fiscalizações.

Precisa de ajuda?

Se a sua empresa deseja auditar a segurança da rede interna, implementar controles de acesso, segmentar redes locais e estruturar rotinas de proteção de dados, conheça os serviços de infraestrutura e segurança da MultiCloud Solutions na página de contato.

Fontes

Tecnologias com que trabalhamos

Ver todas

Imprimir ou salvar em PDF

Papel ideal: A4 retrato

Para baixar o arquivo, escolha "Salvar como PDF" na janela de impressão.