Shield Security reforça a importância da governança de dados no setor público
A digitalização dos serviços públicos trouxe mais agilidade, ampliou o acesso dos cidadãos e permitiu que órgãos governamentais tomassem decisões com base em grandes volumes de informações. Ao mesmo tempo, essa evolução aumentou a responsabilidade sobre a coleta, o armazenamento, o compartilhamento e a proteção dos dados.
Para a Shield Security, a governança de dados deve ser tratada como uma disciplina essencial de segurança cibernética. A avaliação é de Isabella Correia, líder de Inteligência Artificial, Governança de Dados e Privacidade da empresa, que abordará o tema na palestra “Ninguém protege o que não governa: governança de dados como disciplina de segurança”, durante o CONIP Gestão Pública, marcado para 3 de setembro, no Hotel Royal Tulip Alvorada, em Brasília.
O encontro deverá reunir aproximadamente 200 gestores de tecnologia da informação de ministérios, órgãos do Poder Judiciário, secretarias, defensorias e do Ministério Público. Entre os principais assuntos estão os desafios da transformação digital, a proteção de informações sensíveis e a necessidade de estabelecer políticas mais consistentes para o uso de dados e de inteligência artificial.
O desafio de saber quais dados existem
Um dos principais problemas enfrentados pelas instituições públicas é a falta de visibilidade sobre o próprio acervo informacional. Em muitos casos, os órgãos não conseguem identificar com precisão quais dados possuem, onde estão armazenados, quem pode acessá-los e qual é o impacto de uma eventual exposição.
Esse cenário favorece a existência dos chamados dados órfãos: informações sem responsável claramente definido, armazenadas em sistemas antigos, bases paralelas, planilhas, ambientes em nuvem ou dispositivos que já não fazem parte do fluxo oficial de trabalho.
Além de dificultar a proteção, a ausência de inventário pode provocar retenção desnecessária de informações, duplicidade de registros, gastos elevados com armazenamento e falhas no cumprimento de normas de privacidade e segurança.
A expansão do uso de ferramentas de inteligência artificial tornou o panorama ainda mais complexo. Funcionários podem inserir documentos, dados pessoais ou informações estratégicas em plataformas sem que a organização tenha definido regras claras para esse tipo de uso. Assim, uma tecnologia criada para aumentar a produtividade pode criar novos pontos de vazamento e ampliar a superfície de ataque.
Violações de dados geram custos cada vez maiores
A falta de governança também tem impacto financeiro. De acordo com o relatório “Cost of a Data Breach 2025”, da IBM, o custo médio de uma violação de dados chegou a R$ 7,19 milhões em 2025, ante R$ 6,75 milhões no ano anterior.
No setor público, os prejuízos não se limitam às despesas com investigação, recuperação de sistemas e comunicação do incidente. Um vazamento pode interromper serviços essenciais, comprometer benefícios sociais, expor informações pessoais de cidadãos e prejudicar a confiança da população nas instituições.
” A governança precisa acompanhar essa nova realidade. No setor público, onde estão concentrados grandes volumes de dados de cidadãos e serviços essenciais, ela é ainda mais fundamental. Simultaneamente, a expansão da IA reforça a urgência do tema”, afirma Isabella Correia.
O impacto dos incidentes pode incluir ainda custos jurídicos, sanções administrativas, contratação emergencial de especialistas, substituição de sistemas comprometidos e necessidade de reforçar controles que deveriam estar implementados antes do ataque.
Indicadores mostram a dimensão do problema
A quantidade de ocorrências registradas no ambiente governamental reforça a necessidade de uma abordagem estruturada. Dados do CTIR Gov apontam que, em 2025, foram registradas 18.092 notificações. Desse total, 10.387 foram classificadas como incidentes cibernéticos e 7.705 como vulnerabilidades.
Os números evidenciam que a segurança não depende apenas de ferramentas de detecção ou de respostas rápidas a ataques. É necessário compreender o valor das informações, definir prioridades e estabelecer processos capazes de reduzir riscos antes que eles se transformem em incidentes.
Durante a palestra, Isabella apresentará cinco perguntas para ajudar as instituições a localizar dados sem gestão definida e três medidas práticas para iniciar uma estratégia de governança. Entre os pontos destacados estão o mapeamento das informações críticas, a atribuição de responsabilidades e a definição de critérios objetivos de acesso.
Como iniciar uma estratégia de governança
O primeiro passo é criar um inventário atualizado dos dados. A instituição deve identificar os tipos de informação que coleta, os sistemas utilizados, os responsáveis por cada conjunto de dados, os locais de armazenamento e as formas de compartilhamento interno e externo.
Depois, é importante classificar as informações de acordo com seu grau de sensibilidade. Dados pessoais, registros de saúde, informações financeiras, documentos estratégicos e dados relacionados à segurança pública exigem controles diferentes daqueles aplicados a conteúdos públicos ou administrativos.
A definição de responsabilidades também é indispensável. Cada base precisa ter um responsável por sua qualidade, utilização, retenção e proteção. Sem essa atribuição, decisões importantes ficam dispersas e os problemas tendem a ser tratados somente depois da ocorrência de um incidente.
Outro controle relevante é a revisão periódica dos acessos. Permissões devem seguir o princípio do menor privilégio, permitindo que cada servidor ou prestador utilize apenas as informações necessárias para executar suas atividades. Mudanças de função, desligamentos e contratos encerrados precisam gerar revisões imediatas.
Governança deve acompanhar todo o ciclo de vida
Proteger dados não significa apenas impedir acessos indevidos. A governança precisa acompanhar todo o ciclo de vida da informação, desde a coleta até o descarte seguro.
Isso envolve verificar se a coleta é realmente necessária, limitar o uso às finalidades estabelecidas, controlar compartilhamentos, registrar alterações e eliminar dados que já não tenham justificativa operacional, legal ou administrativa para permanecer armazenados.
Políticas de retenção ajudam a reduzir a exposição. Quanto maior o volume de dados mantidos sem necessidade, maior será o impacto potencial de um ataque. A eliminação segura de arquivos e registros antigos também diminui custos e simplifica auditorias.
Inteligência artificial exige regras específicas
O uso de inteligência artificial deve ser incluído nas políticas de governança desde o início. As instituições precisam estabelecer quais ferramentas são autorizadas, que tipos de informação podem ser processados e quais conteúdos são proibidos em plataformas externas.
Também é recomendável manter registros sobre o uso de sistemas de IA, realizar avaliações de risco e exigir revisão humana em decisões que possam afetar direitos, benefícios ou serviços oferecidos aos cidadãos.
Treinamentos são igualmente importantes. Os usuários devem compreender que inserir dados sigilosos em uma ferramenta não homologada pode provocar exposição, perda de controle sobre a informação e descumprimento de normas internas.
Cultura e monitoramento completam a proteção
Tecnologia, por si só, não resolve problemas de governança. É necessário desenvolver uma cultura organizacional baseada em responsabilidade, transparência e prevenção. Servidores e colaboradores precisam saber como identificar informações sensíveis, comunicar incidentes e utilizar os sistemas de forma segura.
A organização também deve acompanhar indicadores, como quantidade de dados sem proprietário, tempo de correção de vulnerabilidades, número de acessos privilegiados, sistemas sem atualização e ocorrências relacionadas ao uso inadequado de informações.
Com inventário, classificação, controles de acesso, políticas para inteligência artificial, treinamento e monitoramento contínuo, órgãos públicos conseguem reduzir riscos, controlar custos e oferecer serviços digitais com mais confiabilidade. A governança de dados, portanto, deixa de ser apenas uma atividade administrativa e passa a integrar diretamente a estratégia de segurança e continuidade dos serviços públicos.