Halloween: por que sua empresa precisa mascarar dados sensíveis

RESUMO ＋

O mascaramento de dados substitui informações sensíveis por valores modificados ou fictícios para reduzir a exposição sem inviabilizar tarefas. Abilio Branco, diretor de segurança de dados da empresa Thales no Brasil, recomenda localizar as informações, revisar permissões e combinar mascaramento, tokenização e criptografia. Com agentes de IA, os controles devem limitar o acesso aos dados originais.

Depois de mais de 25 anos trabalhando com cibersegurança, aprendi a encontrar lições nos lugares mais inesperados. Até no Halloween, uma festa cada vez mais popular aqui no Brasil.

Entre as fantasias, as maquiagens e, claro, as máscaras, existe uma lição que vale também para os dados sensíveis: às vezes, o que temos de mais valioso fica mais protegido quando não aparece como realmente é.

As empresas estão criando, movimentando e compartilhando dados sensíveis em uma velocidade impressionante.

A nuvem, as aplicações SaaS e, agora, a IA generativa e os agentes de IA ampliaram muito os ambientes por onde esses dados circulam, e também quem, ou o que, pode acessá-los. Não basta manter os invasores do lado de fora.

Quem cuida da segurança precisa saber onde estão os dados sensíveis, como estão sendo usados e como protegê-los em qualquer lugar por onde passem. E isso significa que, às vezes, é preciso colocar uma máscara nesses dados.

O que é mascaramento de dados?

O mascaramento de dados (data masking) troca a informação sensível por um valor modificado ou fictício, que permite fazer determinadas tarefas sem expor o dado original.

Dependendo da técnica, é possível manter o formato e outras características de que as equipes precisam para desenvolver, testar ou analisar aplicações, sem mostrar o dado real quando isso não é necessário.

Isso importa porque uma das formas mais eficientes de reduzir risco é evitar a exposição desnecessária desde o começo.

Se um funcionário, um prestador de serviço, uma aplicação ou um modelo de IA não precisa ver o nome real do cliente, o CPF ou o número da conta para fazer o seu trabalho, por que mostrar?

Com o mascaramento, a empresa mantém a utilidade do dado e reduz o impacto se essa informação acabar onde não deveria.

Como saber quais dados sensíveis precisam de proteção?

Claro que ninguém protege um dado que nem sabe que existe. E esse é um dos maiores desafios das equipes de segurança hoje.

Um dado sensível pode estar em um repositório na nuvem criado anos atrás, duplicado em um data lake, esquecido dentro de um documento qualquer ou acessível a uma aplicação de IA que nem existia quando aquela informação foi coletada.

É aí que entra o DSPM (Data Security Posture Management), que vem ganhando espaço justamente por isso.

Ele ajuda a descobrir e classificar os dados sensíveis e a entender o contexto de cada um: onde estão, quem tem acesso, como estão sendo usados, se estão protegidos do jeito certo e quais riscos merecem atenção de verdade.

Visibilidade é só o primeiro passo. Depois de identificar os dados sensíveis e o risco de exposição de cada um, é preciso agir: revisar permissões, cortar acessos que não fazem sentido e aplicar controles como mascaramento, tokenização ou criptografia, de acordo com o tipo de dado e o uso que se faz dele.

O objetivo não é só saber onde os dados estão, é reduzir a chance de que sejam expostos ou usados de forma indevida.

IA e dados sensíveis: doces ou travessuras?

Isso fica ainda mais importante com a corrida das empresas para adotar IA. Os funcionários já estão descobrindo novas formas de usar os dados da empresa com copilotos, modelos e agentes de IA.

E o desafio vai além do que as pessoas escrevem no prompt. Um sistema de IA também consulta documentos, bancos de dados e repositórios da empresa, de acordo com as permissões que recebeu.

Se esses acessos forem amplos demais, ele pode expor informações de que nem o usuário nem o próprio sistema precisam para concluir a tarefa. Por isso, proteger dados em ambientes de IA exige combinar visibilidade, controle de acesso e técnicas de proteção que limitem a exposição do que é sensível.

A oportunidade de negócio é enorme, mas as organizações precisam garantir que os sistemas de IA acessem só o que precisam. Senão, a inovação pode trazer sustos que ninguém quer levar.

A pergunta que mais tenho feito aos clientes é simples: você sabe quais dados a IA da sua empresa consegue acessar? A partir daí, avaliamos juntos de quais informações esses sistemas realmente precisam para fazer o que foi pedido e onde é possível limitar o acesso ao dado original.

Na Thales, ajudamos os clientes a definir a medida certa para cada caso: criptografar, tokenizar ou mascarar a informação, ou simplesmente restringir o acesso quando for preciso.

O Halloween passa, mas a necessidade de proteger os dados fica.

Em um cenário em que as informações circulam entre aplicações, pessoas e sistemas de IA, o mascaramento ajuda a reduzir a exposição dos dados sensíveis sem atrapalhar o uso legítimo. Porque a melhor proteção não é deixar de compartilhar informação, é compartilhar só o que for necessário, com os controles certos.

'Perguntas frequentes'

O que é mascaramento de dados e para que serve? ＋

O mascaramento de dados, ou data masking, é uma técnica que substitui informações sensíveis por valores modificados ou fictícios. Ela permite realizar tarefas como desenvolvimento, testes e análises sem expor os dados originais quando isso não é necessário.

Quais informações podem ser protegidas com mascaramento de dados? ＋

Informações como nomes de clientes, CPF e números de contas podem ser mascaradas quando funcionários, prestadores de serviço, aplicações ou modelos de IA não precisam acessar os valores originais. Segundo Abilio Branco, diretor regional de Segurança de Dados e Aplicações da Thales para o Brasil, a técnica preserva a utilidade dos dados e reduz o impacto de uma exposição indevida.

O que é DSPM e como ajuda a proteger dados sensíveis? ＋

DSPM significa Data Security Posture Management e ajuda a descobrir, classificar e avaliar dados sensíveis em diferentes ambientes. A abordagem permite identificar onde estão as informações, quem pode acessá-las, como são utilizadas e quais riscos de exposição exigem atenção.

Por que a inteligência artificial aumenta os riscos de exposição de dados? ＋

Sistemas de IA podem consultar documentos, bancos de dados e repositórios corporativos de acordo com as permissões que recebem. Quando esses acessos são amplos demais, informações sensíveis podem ser expostas mesmo sem serem necessárias para a execução de uma tarefa.

Como as empresas podem proteger dados sensíveis usados por agentes de IA? ＋

As empresas precisam identificar os dados acessíveis aos sistemas de IA, avaliar quais informações são realmente necessárias e limitar permissões excessivas. Segundo Abilio Branco, da Thales, as medidas podem incluir mascaramento, tokenização, criptografia e restrição de acesso, conforme o tipo de informação e sua utilização.

O mascaramento de dados impede o uso das informações pelas empresas? ＋

Não. O mascaramento permite preservar determinadas características dos dados para atividades como desenvolvimento, testes e análises sem revelar as informações originais. O objetivo é reduzir a exposição desnecessária sem prejudicar o compartilhamento legítimo das informações.