Uma base criada anos atrás para automatizar um sistema pode deixar de fazer parte da operação cotidiana e ainda continuar armazenada na infraestrutura da organização. O incidente cibernético comunicado pela Agência Nacional do Cinema (Ancine) mostra por que o ciclo de vida dos dados precisa incluir não apenas coleta e uso, mas também revisão periódica do que permanece guardado.
O ataque foi identificado em 12 de junho e divulgado publicamente em 3 de setembro. Segundo a Agência, os invasores acessaram uma base estática e desatualizada que havia sido utilizada para automatizar o Sistema Ancine Digital (SAD). O conteúdo reunia dados cadastrais de pessoas físicas e jurídicas até 2019, como nomes, CPF ou CNPJ e informações de contato.
A Ancine afirma que não houve exposição de dados protegidos por sigilo fiscal e classificou como baixo o risco de dano aos titulares, considerando a natureza cadastral e a desatualização das informações. A estrutura atualmente utilizada para consultar dados junto à Receita Federal, por meio de API no Conecta.gov.br, não foi afetada.
Base desatualizada
O fato de uma informação estar desatualizada reduz alguns riscos, mas não elimina o valor que ela pode ter para um atacante. Nome, CPF, CNPJ e contatos ainda podem ser combinados com informações obtidas em outras fontes, utilizados em tentativas de fraude ou servir de insumo para abordagens direcionadas.
O caso também chama atenção para algo menos visível do que a proteção dos sistemas atuais: as cópias de dados produzidas ao longo da evolução tecnológica de uma organização.
Bases podem surgir para permitir integrações, automações, migrações, testes, relatórios ou funcionamento temporário de aplicações. Quando o processo muda, a cópia nem sempre desaparece junto com ele.
A questão passa a ser se a organização consegue responder quais bases ainda existem, por que continuam armazenadas, quem pode acessá-las e por quanto tempo precisam permanecer disponíveis.
Ciclo de vida
Esse controle está diretamente relacionado aos princípios da Lei Geral de Proteção de Dados (LGPD). O princípio da necessidade determina que o tratamento de dados seja limitado ao mínimo necessário para determinada finalidade.
Essa avaliação não termina quando a informação é coletada. A própria Autoridade Nacional de Proteção de Dados orienta órgãos públicos a examinar a necessidade de tratamentos posteriores, incluindo armazenamento e processamento.
Isso não permite afirmar, apenas a partir do incidente, que a Ancine deveria ter eliminado aquela base. Podem existir obrigações legais, administrativas ou técnicas que justifiquem períodos de conservação. O ponto de governança é outro: a retenção precisa continuar vinculada a uma finalidade identificável e ser periodicamente reavaliada.
Quando uma cópia permanece armazenada apenas porque ninguém decidiu o que fazer com ela, o dado continua produzindo risco sem necessariamente produzir valor.
Inventário e descarte
Um inventário de dados ajuda a localizar essas situações. Além das bases principais, ele precisa alcançar repositórios utilizados em integrações antigas, cópias intermediárias, ambientes de desenvolvimento, arquivos de migração e estruturas que deixaram de participar dos processos atuais.
Para cada conjunto, a administração precisa conhecer a finalidade, o responsável, as regras de acesso, o prazo de retenção e a forma prevista para descarte ou anonimização.
O descarte também precisa ser tratado como processo de segurança. Apagar uma referência em um sistema não significa necessariamente remover todas as cópias existentes em bancos, servidores, backups ou ambientes auxiliares.
O incidente da Ancine traz uma diferença especialmente útil para essa discussão. A base antiga utilizada na automação foi comprometida; a consulta atual, realizada por integração via Conecta.gov.br, permaneceu fora do incidente.
Não significa que APIs sejam, por definição, imunes a ataques ou superiores a qualquer outra arquitetura. Mostra, porém, como mudanças no desenho de integração podem alterar também a quantidade de cópias que uma organização precisa manter.
Governança de dados não termina quando um sistema novo entra em produção. Uma parte importante do trabalho começa justamente depois: descobrir quais bases perderam função, quais ainda precisam existir e quais riscos continuam armazenados junto com elas.
Informação confiável qualifica conversas e decisões.
» Compartilhe nosso conteúdo e ajude a transformar conhecimento em ação.
📲 Siga a gente também nas redes sociais!
