Porque classificar
Sem classificação, a organização tem duas opções, ambas más: proteger toda a informação da mesma forma, com custos elevados e entraves ao trabalho, ou proteger pouco, deixando expostos os documentos que realmente importam. A classificação permite aplicar controlos mais exigentes apenas onde são necessários.
Um esquema à medida da organização
O esquema deve ser simples o suficiente para ser usado todos os dias. Na maioria das organizações, quatro níveis são suficientes:
| Nível | Exemplos | Tratamento habitual |
|---|---|---|
| Público | Brochuras, conteúdos do site | Sem restrições |
| Interno | Procedimentos, comunicações internas | Partilha apenas dentro da organização |
| Confidencial | Contratos, propostas, dados de clientes | Acesso limitado às equipas envolvidas e cifragem no envio externo |
| Restrito | Dados de saúde, informação estratégica, credenciais | Acesso nominal, cifragem permanente e registo de todos os acessos |
Rotulagem automática e pelo utilizador
A etiqueta pode ser aplicada de duas formas, que normalmente se combinam. A rotulagem automática reconhece padrões, como números de identificação fiscal, IBAN ou números do cartão de cidadão, e aplica a etiqueta adequada sem intervenção. A rotulagem pelo utilizador cobre o que nenhuma ferramenta consegue avaliar, como a sensibilidade de uma proposta ou de uma decisão interna. Nesse caso, a ferramenta sugere uma etiqueta e o utilizador confirma.
A etiqueta fica nos metadados do documento, pode acrescentar uma marca visível no cabeçalho ou no rodapé e, nos níveis mais altos, pode aplicar cifragem que se mantém mesmo fora da organização.
Como trabalhamos
- Descoberta. Fazemos o levantamento da informação existente em servidores, repositórios de documentos e serviços cloud.
- Esquema e política. Definimos os níveis, os critérios de atribuição e as regras de tratamento de cada nível.
- Configuração. Criamos as etiquetas e as regras automáticas nas ferramentas da organização.
- Formação. Preparamos sessões curtas para as equipas, com exemplos dos documentos que usam no dia a dia.
- Ligação à DLP e revisão. Usamos as etiquetas nas regras de prevenção de fuga de dados e revemos o esquema periodicamente.
Enquadramento normativo
A norma ISO/IEC 27001:2022 inclui no Anexo A os controlos 5.12, sobre a classificação da informação, e 5.13, sobre a rotulagem da informação. A Diretiva NIS2 e o Decreto-Lei n.º 125/2025 exigem a gestão dos ativos de informação. Um esquema de classificação documentado e aplicado é uma das evidências mais pedidas em auditorias de segurança.
Perguntas frequentes
Quantos níveis de classificação devemos ter?
Recomendamos três ou quatro. Com mais níveis, os utilizadores têm dificuldade em escolher e a classificação deixa de ser aplicada de forma coerente.
O que acontece aos documentos que já existem?
Tratamos os repositórios existentes por fases, começando pelos que guardam informação mais sensível. A rotulagem automática permite classificar grandes volumes sem intervenção manual.
A proteção mantém-se quando o documento é enviado para fora?
Nos níveis em que a etiqueta aplica cifragem, sim. Só as pessoas autorizadas conseguem abrir o documento, mesmo que este seja reencaminhado.