Política de Segurança da Informação: Como Criar

O que é uma Política de Segurança da Informação e por que ela existe

A Política de Segurança da Informação (PSI) é o documento que define, de forma objetiva, como a informação da empresa deve ser tratada: quem pode acessar o quê, sob quais condições, com quais responsabilidades e quais são as consequências do descumprimento. Ela não é um manual técnico nem um procedimento operacional — é o instrumento de governança que estabelece as regras do jogo e a partir do qual todas as normas, procedimentos e controles técnicos derivam.

Muitas empresas confundem PSI com uma lista de recomendações de senha forte e antivírus atualizado. Isso é um sintoma clássico de política mal construída. Uma PSI madura responde a perguntas de negócio: qual o apetite de risco da organização, quem é o dono de cada informação, o que acontece quando um colaborador usa o e-mail corporativo em um dispositivo pessoal, como tratamos dados de clientes sob a LGPD, e quem tem autoridade para aprovar exceções.

Existe também um motivo prático e cada vez mais frequente: exigência externa. Contratos com grandes clientes, processos de due diligence, auditorias de certificação (ISO/IEC 27001), requisitos de seguradoras de cyber risk e a própria LGPD pedem evidência de que a empresa possui uma política formal, aprovada pela alta direção e comunicada aos colaboradores. Sem PSI, a empresa não consegue demonstrar governança — apenas boa vontade.

Estrutura mínima: o que toda PSI precisa conter

Não existe modelo único, mas há um conjunto de blocos que praticamente toda política madura contempla. O erro mais comum é o oposto do que se imagina: não é falta de conteúdo, é excesso. Políticas de 80 páginas com detalhamento técnico de firewall viram documentos mortos, que ninguém lê e ninguém aplica. O padrão que funciona é uma política enxuta (10 a 20 páginas) apoiada por normas específicas.

• Objetivo e escopo — o que a política cobre (unidades, sistemas, terceiros, contratados) e o que está explicitamente fora.
• Papéis e responsabilidades — quem é o gestor da segurança, quem são os proprietários de informação, o que cabe a cada colaborador, o que cabe à TI e o que cabe à direção.
• Classificação da informação — categorias como pública, interna, confidencial e restrita, com regras de manuseio, armazenamento, transmissão e descarte para cada uma.
• Controle de acesso — princípio do menor privilégio, segregação de funções, regras de concessão, revisão periódica e revogação imediata no desligamento.
• Uso aceitável de recursos — e-mail, internet, dispositivos corporativos, BYOD, instalação de software, uso de nuvem pessoal, IA generativa.
• Segurança física e do ambiente — acesso a salas técnicas, mesa limpa, tela bloqueada, descarte de mídia.
• Backup e continuidade — periodicidade, retenção, testes de restauração e objetivos de recuperação (RTO e RPO).
• Gestão de incidentes — como reportar, para quem, em quanto tempo, e o compromisso de não punir quem reporta de boa-fé.
• Conformidade legal — LGPD, sigilo contratual, propriedade intelectual, retenção de logs.
• Sanções e exceções — consequências gradativas do descumprimento e o processo formal para pedir exceção temporária.

Um ponto frequentemente esquecido: a política precisa de metadados de governança. Versão, data de aprovação, aprovador, periodicidade de revisão e histórico de alterações. Sem isso, um auditor não consegue determinar se o documento está vigente, e a empresa perde o valor probatório do esforço.

Passo a passo para criar a PSI

Criar uma política do zero costuma levar de quatro a doze semanas em uma empresa de porte médio, dependendo da maturidade existente e da disponibilidade das áreas. O caminho abaixo evita o principal fracasso do processo, que é escrever a política isolado na TI e depois tentar empurrá-la para a organização.

1. Obtenha patrocínio da direção antes de escrever a primeira linha. PSI sem sponsor executivo é sugestão, não regra. Apresente o risco em linguagem de negócio: custo de parada, multa de LGPD, perda de contrato, exposição reputacional.
2. Levante o cenário atual. Inventarie sistemas, dados sensíveis, integrações, fornecedores com acesso, dispositivos e as práticas informais já existentes. Você vai descobrir controles que já funcionam e merecem ser formalizados.
3. Faça uma análise de risco simplificada. Liste os cenários mais prováveis (ransomware, phishing com fraude bancária, vazamento por ex-colaborador, indisponibilidade de sistema crítico) e classifique por probabilidade e impacto. A política deve tratar prioritariamente esses cenários.
4. Escreva o rascunho com foco no leitor. Frases curtas, voz ativa, sem jargão desnecessário. Se um colaborador administrativo não entende a regra, ela não será cumprida.
5. Circule para revisão multidisciplinar. Jurídico valida cláusulas trabalhistas e LGPD, RH valida aplicabilidade disciplinar, as áreas de negócio apontam onde a regra inviabiliza o trabalho. Regra que inviabiliza o trabalho gera contorno, e contorno gera risco maior que o original.
6. Aprove formalmente. Assinatura da diretoria, registro em ata ou sistema de gestão documental. Sem aprovação registrada, a política não tem força.
7. Comunique e colha o aceite. Treinamento de onboarding, campanha interna, termo de ciência assinado. O aceite documentado é o que sustenta uma eventual sanção.

Uma política que ninguém leu tem exatamente o mesmo valor jurídico e operacional de uma política que nunca foi escrita — com o agravante de criar falsa sensação de conformidade na direção da empresa.

Como fazer a política pegar na prática

Este é o ponto onde a maioria dos projetos morre. O documento é aprovado, arquivado em uma pasta de rede e nunca mais consultado. Seis meses depois, o auditor pergunta pela evidência de revisão de acessos e ninguém sabe responder. O que separa política viva de política decorativa é a existência de controles técnicos e rotinas que tornem a regra o caminho de menor esforço.

Se a política diz que senhas devem ter múltiplo fator, o MFA precisa estar imposto no Entra ID por acesso condicional, não pedido por e-mail. Se ela diz que dados confidenciais não saem por e-mail pessoal, é preciso haver regra de DLP no Microsoft Purview bloqueando ou alertando. Se ela exige revisão trimestral de acessos, alguém precisa ter essa tarefa em calendário com evidência gerada. Regra sem controle técnico correspondente depende de disciplina individual — e disciplina individual falha sob pressão de prazo.

Também é essencial medir. Poucos indicadores, revisados mensalmente, mantêm a política sob os olhos da gestão:

• Percentual de colaboradores com termo de ciência assinado e treinamento válido.
• Percentual de contas com MFA ativo e contas privilegiadas inventariadas.
• Tempo médio entre desligamento e revogação total de acessos.
• Número de incidentes reportados (número crescente no início é sinal bom: significa que as pessoas passaram a reportar).
• Percentual de backups com restauração testada no período.
• Exceções abertas, com prazo e responsável.

Por fim, trate a revisão como obrigação e não como intenção. Revisão anual é o mínimo, com revisão extraordinária sempre que houver incidente relevante, mudança regulatória, fusão, migração para nuvem ou adoção de tecnologia nova — a entrada de ferramentas de IA generativa nas empresas, por exemplo, tornou obsoletas praticamente todas as cláusulas de uso aceitável escritas antes de 2023.

Erros comuns que comprometem o resultado

O primeiro erro é copiar um modelo pronto da internet sem adaptação. O texto vem cheio de referências a áreas que a empresa não tem, controles que ela não opera e obrigações que ela não consegue cumprir. Uma política que a própria empresa descumpre no primeiro dia é pior do que não ter política: em um litígio ou auditoria, ela vira prova de que a organização conhecia o requisito e não o atendeu.

O segundo é misturar níveis. Política define o "o quê" e o "porquê"; norma define o "quanto" (tamanho mínimo de senha, retenção de log); procedimento define o "como" (passo a passo de concessão de acesso). Quando tudo vai para o mesmo documento, qualquer ajuste operacional exige nova aprovação da diretoria, e o documento congela.

O terceiro é ignorar terceiros. Prestadores de serviço, desenvolvedores externos, contadores e provedores de nuvem frequentemente têm mais acesso a dados críticos que boa parte dos funcionários. A PSI precisa estabelecer que fornecedores com acesso a informação da empresa aderem às mesmas regras via cláusula contratual, com direito de auditoria e obrigação de notificação de incidente em prazo definido.

Como a Duk apoia a construção e a operação da sua PSI

Política de segurança só entrega valor quando o discurso do documento encontra a realidade da infraestrutura. É exatamente nessa junção que a Duk Informática & Cloud atua: traduzimos as cláusulas da PSI em controles efetivos no ambiente — políticas de acesso condicional e MFA no Microsoft 365, classificação e proteção de dados, gestão de identidades e privilégios, hardening de rede e endpoint, rotinas de backup com teste de restauração comprovado e monitoramento com resposta a incidente.

São mais de 18 anos de experiência e 550+ empresas atendidas, com a chancela de Microsoft Gold Partner e data center próprio em Alphaville. Essa combinação permite entregar tanto o lado documental (levantamento de risco, redação e revisão da política, normas de apoio, evidências para auditoria e adequação à LGPD) quanto o lado operacional, com suporte 24/7 e SLA definido para sustentar os compromissos que a política assume.

Se a sua empresa ainda não tem uma PSI, ou tem um documento antigo que nunca saiu do papel, o caminho mais rápido é começar por um diagnóstico do cenário atual: o que já existe, o que é exigido pelos seus contratos e pela legislação, e qual a menor sequência de ações que fecha as lacunas mais críticas. A partir daí, a política deixa de ser um requisito burocrático e passa a ser o que deveria ser desde o início — a base de governança que protege a operação e sustenta o crescimento do negócio.