Segurança de Dados em Trânsito e em Repouso: roteiro prático para compliance

Segurança de dados em trânsito e em repouso é a combinação de controles técnicos e de governança que protege informações enquanto trafegam entre sistemas e enquanto estão armazenadas — e é requisito direto da LGPD para empresas que processam dados pessoais no Brasil. Este roteiro cobre criptografia, gestão de chaves, autenticação, DLP, métricas operacionais e checklist de conformidade com prazos de execução.

O que são dados em trânsito e dados em repouso

Dados em trânsito são informações movendo-se entre sistemas, usuários ou redes — protegidas principalmente por TLS 1.3 ou VPNs/IPsec. Dados em repouso são informações armazenadas em disco, banco de dados ou objeto de storage — protegidas por criptografia de bloco ou de objeto, tipicamente AES-256.

A distinção importa porque os vetores de ataque diferem: dados em trânsito são vulneráveis a interceptação e ataques man-in-the-middle; dados em repouso são alvo de ransomware, acesso indevido e exfiltração por cadeia de suprimento.

Decisões recentes da ANPD e relatórios de 2025 sobre ataques por cadeia de suprimento reforçam que falhas nesses dois estágios geram risco financeiro, reputacional e regulatório simultâneo.

Classificação de dados e controles mínimos por nível

Antes de aplicar qualquer controle técnico, classifique os dados em três níveis e defina os requisitos mínimos para cada um:

Essa classificação orienta o backlog de segurança e evita aplicar controles caros onde o risco não justifica.

Arquitetura recomendada: criptografia em camadas

A arquitetura que reduz superfície de ataque e permite auditoria granular combina três camadas:

Camada de transporte: TLS 1.3 para todas as APIs e serviços internos; VPN/IPsec para túneis legados; ZTNA para acessos remotos de usuários e dispositivos.

Camada de persistência: criptografia a nível de bloco para volumes de VM, criptografia a nível de objeto para buckets de storage, e criptografia em aplicação para campos sensíveis em banco de dados.

Camada de identidade e controle: KMS centralizado para gestão de chaves, HSM certificado para chaves mestras, e DLP integrado a endpoints e cloud para monitorar exfiltração.

A segmentação de rede limita o alcance lateral em caso de invasão. A integração com SIEM oferece visibilidade contínua sobre uso indevido e tentativas de exfiltração.

Fluxo operacional padrão

1. Mapear fontes e destinos de dados e documentar fluxos em diagrama centralizado.
2. Classificar cada fluxo por sensibilidade e aplicar controles mínimos por nível.
3. Aplicar TLS 1.3 entre serviços e ZTNA para acessos remotos.
4. Ativar criptografia em repouso com AES-256 e provisionar KMS/HSM para gestão de chaves.
5. Habilitar DLP para monitorar e bloquear vazamentos em endpoints e cloud.
6. Enviar logs para SIEM com retenção definida por política de auditoria.
7. Executar testes de penetração e simulações de incidente trimestralmente.

Integre o provisionamento de acesso ao processo de onboarding e offboarding para eliminar permissões residuais.

Padrões de criptografia e rotação de chaves

Os algoritmos recomendados para 2026:

• AES-256: padrão para dados em repouso em volumes, buckets e bancos de dados.
• TLS 1.3: obrigatório para dados em trânsito em APIs, microsserviços e integrações.
• ChaCha20: alternativa para plataformas móveis onde AES-256 tem custo computacional elevado.
• ECDHE: troca de chaves em conexões TLS para garantir perfect forward secrecy.

Algoritmos fortes reduzem o risco de decifragem após vazamento e demonstram diligência técnica em auditorias — o que influencia diretamente a avaliação de sanções pela ANPD.

Política de rotação prática:

• Chaves simétricas: rotação a cada 90 dias via KMS automatizado.
• Chaves mestras: rotação anual com cerimônia documentada.
• Chaves de sessão TLS: renovação por sessão (garantida pelo ECDHE).

Armazene chaves mestras exclusivamente em HSM certificado (FIPS 140-2 nível 3 ou superior) e audite o uso via logs imutáveis.

Métrica de referência: antes da implantação, é comum encontrar 30% ou mais dos volumes críticos sem criptografia em repouso. A meta pós-implantação é menos de 5% não criptografado, medido por auditoria de cobertura por volume, bucket e instância.

Autenticação e acesso: Zero Trust na prática

O modelo Zero Trust parte do princípio de que nenhuma identidade é confiável por padrão — nem dentro do perímetro corporativo. Isso exige verificação contínua de identidade e contexto antes de autorizar qualquer acesso a dados sensíveis.

Credenciais comprometidas são o vetor mais comum de violações de dados. ZTNA e políticas de sessão curta reduzem a janela de exposição de tokens e chaves roubadas.

Como implantar em etapas:

1. Implementar SSO com SAML 2.0 ou OIDC integrado ao provedor de identidade corporativo.
2. Exigir MFA em todos os acessos administrativos e operações com dados de nível crítico.
3. Definir regras de step-up authentication: se o score de risco do usuário exceder o limiar configurado, forçar fator adicional e revogar sessões ativas.
4. Conectar logs do IdP ao SIEM para detecção de anomalias de autenticação.

Ferramentas como Okta, Azure AD e Google Workspace oferecem SSO e MFA nativos. Para acesso remoto a ambientes críticos, soluções de ZTNA substituem VPNs tradicionais com controle granular por aplicação e por sessão.

Métricas operacionais para segurança de dados

Métricas conectam controles técnicos a valor de negócio e justificam investimentos em auditorias e para a liderança executiva.

KPIs prioritários:

Defina metas trimestrais, compare antes e depois de cada intervenção e transforme desvios em tickets priorizados no backlog de segurança. Use dashboards com alertas acionáveis para reduzir tempo de resposta sem depender de revisão manual.

Ferramentas operacionais recomendadas: SIEM para correlação de eventos, UEBA para detecção comportamental e DLP para prevenção de exfiltração. Soluções com machine learning integrado reduzem falsos positivos e priorizam alertas de maior risco.

Checklist de conformidade LGPD: criptografia, auditoria e governança

Governança gera as evidências que protegem a empresa em processos administrativos e judiciais. Casos de 2025 mostram que falhas de governança — não apenas técnicas — elevam sanções e prejuízos reputacionais.

Checklist operacional:

• Inventário de dados atualizado com mapa de fluxo documentado.
• DPIA concluída para processos de alto risco e operações com IA.
• Política de criptografia documentada com algoritmos, escopos e ciclos de rotação.
• KMS/HSM provisionado com logs imutáveis de uso de chaves.
• Logs centralizados com retenção definida por política de auditoria.
• DLP ativo em endpoints e ambientes cloud com regras por classificação de dado.
• MFA obrigatório para acessos administrativos e dados críticos.
• Plano de resposta a incidentes com SLAs definidos e simulações trimestrais.
• DPO nomeado e responsáveis por chaves identificados formalmente.
• Evidências de treinamento técnico e campanhas de conscientização registradas.

Realize auditorias técnicas e jurídicas em conjunto e mantenha prova documental de todas as decisões de design de segurança para inspeção pela ANPD.

Roadmap de 90 dias: prioridades de execução

Dias 1 a 30 — fundação:

• Mapear e classificar todos os fluxos de dados críticos.
• Criptografar volumes e buckets de nível crítico com AES-256.
• Ativar MFA em todos os acessos administrativos.
• Iniciar coleta de logs no SIEM.

Dias 31 a 60 — controles avançados:

• Provisionar KMS centralizado e migrar gestão de chaves.
• Implantar DLP em endpoints e ambientes cloud.
• Substituir VPNs legadas por ZTNA nos acessos remotos críticos.
• Executar primeiro teste de penetração e documentar achados.

Dias 61 a 90 — governança e métricas:

• Concluir DPIA para processos de alto risco.
• Estabelecer dashboards de KPIs com metas trimestrais.
• Executar simulação de incidente e revisar plano de resposta.
• Documentar evidências para auditoria e atualizar políticas.

Estabeleça responsáveis e prazos para cada etapa. Execute simulações de incidente imediatamente após cada mudança técnica relevante.

Conclusão

Proteção de dados em trânsito e em repouso exige criptografia robusta (AES-256 e TLS 1.3), gestão centralizada de chaves via KMS/HSM, autenticação Zero Trust com MFA, DLP ativo e governança documentada para atender a LGPD e reduzir exposição operacional. Meça cobertura de criptografia, MTTD e MTTR para validar progresso e priorizar investimentos. O roadmap de 90 dias entrega os controles fundamentais com responsáveis e prazos claros — e auditorias técnicas periódicas mantêm conformidade e resiliência ao longo do tempo.