Microsoft Purview: classifique e proteja dados sensíveis

O que é o Microsoft Purview e por que ele importa para a sua empresa

O Microsoft Purview é a plataforma unificada de governança, risco e conformidade da Microsoft. Ele nasceu da fusão de duas famílias de produtos que antes viviam separadas: as ferramentas de proteção de informação do Microsoft 365 (antigo Microsoft Information Protection e Compliance Center) e o Azure Purview, voltado a catalogar dados espalhados por bancos, data lakes e serviços em nuvem. O resultado é um único painel onde a empresa consegue responder a três perguntas que, na prática, quase nenhuma organização brasileira sabe responder com precisão: onde estão os meus dados sensíveis, quem tem acesso a eles e o que acontece se saírem daqui.

Essa mudança de escopo é importante porque o problema também mudou. Há dez anos, proteger dados significava proteger um servidor de arquivos dentro do escritório. Hoje, um contrato com dados de clientes pode estar simultaneamente no SharePoint, num anexo de e-mail no Outlook, numa conversa do Teams, no OneDrive pessoal de um colaborador e num backup de notebook. Bloquear a porta de saída não funciona mais, porque existem dezenas de portas. O que funciona é classificar o dado na origem e fazer com que a proteção viaje junto com ele, independentemente de onde ele vá parar.

Para empresas que já usam Microsoft 365, o Purview tem uma vantagem prática que costuma decidir o projeto: ele não é uma camada externa. Os rótulos, as políticas de DLP e as regras de retenção são aplicados pelos mesmos aplicativos que os colaboradores já usam todos os dias — Word, Excel, Outlook, Teams, SharePoint. Não há agente adicional para instalar na maioria dos cenários, nem um segundo portal para o usuário aprender. Isso reduz drasticamente a resistência interna, que historicamente é o maior motivo de fracasso em projetos de classificação de dados.

Rótulos de sensibilidade: a base de toda a classificação de dados

Os rótulos de sensibilidade (sensitivity labels) são o coração do Purview. Na prática, um rótulo é uma etiqueta que você aplica a um documento, e-mail, site do SharePoint, canal do Teams ou até a um contêiner do Azure. Essa etiqueta carrega consigo um conjunto de ações: criptografar o arquivo, restringir quem pode abri-lo, aplicar marca d'água, adicionar cabeçalho e rodapé, bloquear impressão ou impedir encaminhamento externo. O ponto crítico é que a proteção fica embutida no próprio arquivo. Se um documento rotulado como "Confidencial – Somente Interno" for copiado para um pendrive e aberto em casa, ele continuará exigindo autenticação da conta corporativa.

Uma taxonomia de rótulos bem desenhada é simples. O erro mais comum em implantações é criar quinze níveis de sensibilidade com nomes que ninguém entende. Na maioria das empresas de médio porte, quatro ou cinco níveis resolvem:

• Público — material de marketing, releases, conteúdo institucional que pode circular livremente.
• Interno — documentos operacionais do dia a dia, sem restrição entre colaboradores, mas não destinados a terceiros.
• Confidencial — contratos, propostas comerciais, dados financeiros, informações de clientes. Criptografia ativa e acesso restrito a grupos específicos.
• Altamente Confidencial — dados pessoais sensíveis, informações de fusões e aquisições, propriedade intelectual crítica. Criptografia, bloqueio de encaminhamento e auditoria completa.
• Restrito a Projeto — subrótulo opcional para times específicos, com acesso nominal.

A aplicação pode ser manual, recomendada ou automática. No modo manual, o usuário escolhe o rótulo na faixa de opções do Office. No modo recomendado, o Purview detecta que o documento contém, por exemplo, uma sequência de CPFs e sugere o rótulo apropriado com uma justificativa visível — o que tem um efeito educativo importante, porque o colaborador entende por que aquele documento é sensível. No modo automático, o rótulo é aplicado sem intervenção, tanto no cliente quanto no serviço, varrendo o conteúdo já armazenado no SharePoint e no OneDrive.

Na prática, recomendamos começar com rotulagem manual e recomendada por 60 a 90 dias antes de ligar qualquer automação. Esse período gera dados reais de como a empresa classifica seus documentos e evita o cenário clássico de milhares de arquivos criptografados por engano numa madrugada de sexta-feira.

DLP: impedindo o vazamento antes que ele aconteça

Se os rótulos definem o que é sensível, o DLP (Data Loss Prevention, ou Prevenção contra Perda de Dados) define o que pode ser feito com esse conteúdo. Uma política de DLP no Purview é uma regra condicional que observa o fluxo de informação e age quando encontra um padrão de risco. O gatilho pode ser o rótulo de sensibilidade aplicado, mas também pode ser o próprio conteúdo detectado por tipos de informação sensível — e a Microsoft já entrega classificadores nativos para o Brasil, incluindo CPF, CNPJ, RG, número de registro nacional de estrangeiro, dados de cartão de crédito e informações bancárias.

As ações disponíveis vão do mais leve ao mais rígido. O nível mais suave é a dica de política: o usuário recebe um aviso na tela do Outlook informando que o e-mail contém dados pessoais e perguntando se deseja realmente enviá-lo. É pedagógico e não trava a operação. No nível intermediário, o envio é bloqueado, mas o usuário pode sobrescrever o bloqueio mediante justificativa registrada em log — um mecanismo excelente para descobrir processos legítimos que você não conhecia. No nível mais rígido, o bloqueio é absoluto e uma notificação vai para o time de segurança ou para o encarregado de dados.

A cobertura do DLP no Purview vai além do e-mail. As políticas se aplicam a:

1. Exchange Online — e-mails enviados internamente ou para fora do domínio, incluindo anexos.
2. SharePoint e OneDrive — compartilhamento de arquivos por link, especialmente links do tipo "qualquer pessoa com o link".
3. Microsoft Teams — mensagens de chat e canal, bloqueando o envio de dados sensíveis em conversas.
4. Endpoint DLP — o dispositivo do colaborador. Controla cópia para USB, impressão, upload para nuvens não autorizadas (Google Drive pessoal, Dropbox, WeTransfer) e até colagem em navegadores.
5. Aplicações de nuvem de terceiros — via integração com o Defender for Cloud Apps.

Vale um alerta operacional: toda política de DLP deve nascer em modo de simulação. O Purview permite rodar a regra sem aplicar nenhuma ação, apenas coletando o que teria sido bloqueado. Duas a quatro semanas nesse modo revelam falsos positivos que, se aplicados direto em produção, paralisariam o setor financeiro ou o RH numa manhã de fechamento.

Governança, retenção e a conexão direta com a LGPD

Classificar e bloquear resolve o presente. Governança resolve o passado e o futuro. O Purview traz o gerenciamento de ciclo de vida dos dados, onde você define políticas de retenção que determinam por quanto tempo cada tipo de informação deve ser mantida e o que acontece depois — exclusão automática, revisão por um responsável ou arquivamento. Isso ataca diretamente um dos princípios centrais da LGPD: o da necessidade, segundo o qual o tratamento deve se limitar ao mínimo necessário para a finalidade, o que inclui não guardar dados pessoais indefinidamente "por precaução".

O Explorador de Conteúdo e o Explorador de Atividades dão a visão que o encarregado de dados precisa para responder a um incidente ou a uma solicitação de titular. É possível localizar todos os documentos do tenant que contenham CPF, ver quem os acessou nos últimos 90 dias, quem os compartilhou externamente e quais rótulos foram removidos manualmente. Em uma eventual notificação à ANPD, a diferença entre "acreditamos que aproximadamente 200 registros foram expostos" e um relatório preciso com escopo, horário e contas envolvidas é enorme — tanto na dosimetria da sanção quanto na credibilidade da resposta.

O Gerenciador de Conformidade complementa esse conjunto com uma pontuação de maturidade e um plano de ação. Ele traz modelos prontos para diferentes normas, incluindo a LGPD e a ISO 27001, e lista controles concretos com instruções de implementação, responsável e status. Não substitui uma consultoria jurídica de adequação, mas transforma o esforço técnico em algo mensurável e apresentável para a diretoria — que é, em geral, o que destrava orçamento para o projeto continuar.

Licenciamento e pré-requisitos: o que realmente é necessário

Este é o ponto que costuma gerar mais frustração, então vale ser direto. Nem todo recurso do Purview está disponível em todos os planos. Rótulos de sensibilidade manuais e políticas básicas de DLP para Exchange, SharePoint e OneDrive já vêm no Microsoft 365 Business Premium e no E3. Os recursos avançados — rotulagem automática no cliente, Endpoint DLP completo, classificadores treináveis, gerenciamento de risco interno e retenção baseada em eventos — exigem o Microsoft 365 E5 ou o complemento E5 Compliance, que pode ser adicionado sobre um E3.

Antes de contratar qualquer coisa, três verificações evitam desperdício: confirmar se o Azure Information Protection unified labeling client está corretamente distribuído nas máquinas que precisam de rotulagem em aplicativos desktop antigos; validar se os dispositivos estão onboarded no Microsoft Defender for Endpoint, pré-requisito técnico para o Endpoint DLP funcionar; e mapear quais aplicativos de linha de negócio consomem arquivos do SharePoint, porque documentos criptografados podem quebrar integrações que leem arquivos por conta de serviço.

Também é honesto dizer que o Purview não é um projeto de "ligar e esquecer". Ele exige uma decisão de negócio — quais dados importam — que a TI não pode tomar sozinha. Jurídico, RH e financeiro precisam estar na mesa para definir a taxonomia. A parte técnica de implantação leva semanas; a parte de acordo interno costuma levar mais.

Como a Duk conduz um projeto de Purview

Na Duk Informática & Cloud, tratamos o Purview como um projeto de governança apoiado por tecnologia, não como uma configuração de portal. Somos Microsoft Gold Partner e acumulamos mais de 18 anos ajudando empresas a estruturar seus ambientes Microsoft 365 — hoje são mais de 550 clientes atendidos, de escritórios com trinta usuários a operações industriais com múltiplas unidades e requisitos de auditoria.

Nosso método começa com um diagnóstico de dois pontos: um levantamento técnico do tenant, mostrando o que já existe de compartilhamento externo, links abertos e dados sensíveis expostos, e uma reunião com as áreas de negócio para desenhar a taxonomia de rótulos. Só depois disso configuramos qualquer política — e sempre em modo de simulação primeiro, com relatório semanal do que teria sido bloqueado. A ativação é gradual, área por área, com treinamento dos usuários antes de cada onda. Terminada a implantação, permanecemos no acompanhamento: revisão mensal dos alertas de DLP, ajuste de falsos positivos e atualização das políticas conforme novas normas e novos fluxos de trabalho aparecem.

Se a sua empresa já paga por licenças Microsoft 365 e ainda não sabe responder onde estão seus dados sensíveis, provavelmente existe capacidade contratada e não utilizada no seu ambiente. Uma avaliação inicial identifica exatamente o que dá para ativar hoje, sem custo adicional de licença, e o que justificaria um upgrade de plano. Fale com a nossa equipe para agendar esse diagnóstico e transformar conformidade em um processo controlado, em vez de uma preocupação recorrente.