Auditoria de e-mail: o que entra e o que sai

A maioria das empresas que conheço tem pelo menos uma camada de proteção para o que chega no e-mail corporativo. Antispam, antivírus, filtro de phishing. Às vezes mais de uma camada, em redundância. Isso é correto: a maior parte dos ataques de engenharia social e de entrega de malware ainda passa pela caixa de entrada. Proteger o que entra é inegociável.

Mas tem uma metade da história que quase nunca aparece nas avaliações de segurança que o nosso time na UNODATA conduz com clientes novos. O que sai.

Não é uma lacuna técnica menor. É um ponto cego estratégico. E quando ele vira incidente, a origem costuma estar à vista: um funcionário que encaminhou uma planilha de clientes para o e-mail pessoal três semanas antes de pedir demissão. Um número de cartão de crédito que trafegou em texto puro num anexo porque ninguém configurou regra de inspeção nenhuma. Uma proposta comercial confidencial que saiu pela porta da frente, com logo da empresa no rodapé, sem ninguém saber.

A minha tese é direta: uma plataforma de e-mail corporativo que não controla o que sai não é uma plataforma de mensageria segura. É um canal aberto com antivírus na entrada.

A assimetria que ninguém discute na hora de contratar e-mail

Quando uma empresa avalia uma plataforma de e-mail, o checklist costuma seguir o mesmo roteiro. Tamanho de caixa, suporte a dispositivos móveis, integração com calendário, disponibilidade de SLA, preço por assento. Segurança aparece como item genérico, geralmente representada pelo filtro de spam e pela autenticação de dois fatores.

O que raramente entra na conversa é a pergunta sobre saída. O que a plataforma faz com uma mensagem que contém um CPF, um número de cartão, uma senha ou um arquivo classificado como confidencial? Ela deixa passar? Ela avisa? Ela bloqueia? Ela registra?

Essa distinção separa dois modelos completamente diferentes de pensar mensageria. O primeiro modelo trata o e-mail como canal de comunicação com proteção perimetral. O segundo trata o e-mail como superfície de controle de dados, com visibilidade bidirecional.

Controlar só o que entra é metade da segurança. A outra metade está em entender, em tempo real, o que a sua empresa está enviando para fora.

O segundo modelo exige mais. Exige que a plataforma consiga ler o conteúdo que está saindo, aplicar políticas sobre ele e tomar uma ação antes que a mensagem chegue ao destinatário externo. Isso é o que o mercado de segurança chama de DLP, Data Loss Prevention, ou prevenção contra vazamento de dados. Não é funcionalidade nova. Mas ainda é rara no e-mail corporativo de pequenas e médias empresas, que são exatamente onde os incidentes mais doem porque a capacidade de resposta é menor.

O que acontece quando não há controle de saída

Vou ser objetivo sobre os cenários que vejo com mais frequência. Não são hipóteses de manual. São situações que o nosso time encontrou em auditorias e em análises de incidente com clientes que chegaram até nós depois do problema.

Exfiltração antes do desligamento. Um colaborador em processo de saída encaminha para o e-mail pessoal arquivos que ele considera relevantes para a carreira: carteiras de clientes, propostas, históricos de projeto. Sem controle de saída, essa ação passa invisível. Com controle, ela gera alerta ou bloqueio imediato.

Dado de pagamento em texto puro. Ambientes que processam transações financeiras têm regras rígidas sobre como dados de cartão podem trafegar. Na prática, e-mails com número de cartão em texto corrido ainda acontecem, especialmente em processos manuais de cobrança. Uma regra de inspeção de conteúdo interrompe esse fluxo antes que o dado saia.

Vazamento acidental de informação confidencial. Nem todo incidente é intencional. Um arquivo anexado no e-mail errado, uma resposta que incluiu destinatário externo por engano, uma thread que foi encaminhada com histórico completo. O controle de saída não elimina erro humano, mas cria um ponto de revisão antes que o dano seja irreversível.

Compartilhamento de credenciais por e-mail. Senhas, tokens de acesso e chaves de API ainda circulam por e-mail em muitas empresas. Uma regra de detecção de padrão identifica esse conteúdo e aciona o protocolo adequado.

Os quatro cenários têm uma característica comum: são silenciosos sem instrumentação de saída. A empresa só descobre depois, quando o dado já está fora do perímetro.

O que uma plataforma precisa fazer para controlar a saída de forma efetiva

Controle de saída não é uma feature que se liga com um clique. Ele depende de uma arquitetura específica e de uma postura operacional que a plataforma precisa suportar.

Os elementos que considero fundamentais são os seguintes:

1. Inspeção de conteúdo em tempo real. A plataforma precisa ser capaz de analisar o corpo da mensagem e os anexos antes da entrega. Não depois, não em lote noturno. Antes.
2. Políticas baseadas em padrão e em classificação. Regras que reconhecem CPF, CNPJ, número de cartão, padrões de senha e arquivos com marcadores de confidencialidade. Isso é diferente de filtro de palavras-chave.
3. Ações configuráveis por política. Bloquear, colocar em quarentena para revisão humana, alertar o administrador, notificar o remetente. O nível de intervenção precisa ser ajustável por tipo de dado e por contexto.
4. Registro auditável. Todo evento de saída que disparou uma regra precisa gerar log com remetente, destinatário, conteúdo detectado e ação tomada. Isso é o que sustenta a resposta a incidentes e o compliance com LGPD.
5. Integração com identidade. A política de saída precisa saber quem é o remetente, qual o papel dele na organização e quais destinatários externos são considerados confiáveis. Um diretor financeiro enviando balancete para o auditor externo é diferente de um analista júnior enviando o mesmo arquivo para um domínio pessoal.

Esse conjunto de capacidades é o que o AHSU 360, o AntiHacking System UNODATA, entrega como núcleo da camada de mensageria segura. A lógica do produto partiu exatamente dessa leitura: não faz sentido oferecer e-mail corporativo sem instrumentação bidirecional. A proteção de entrada está consolidada no mercado. A proteção de saída ainda é diferencial.

Por que isso é decisão de CEO, não só de TI

Costuma-se tratar segurança de e-mail como pauta técnica. Define servidor, configura SPF, DKIM e DMARC, contrata filtro de spam, fecha o ticket. Mas o controle de saída tem uma dimensão que extrapola a equipe de infraestrutura.

A LGPD, Lei Geral de Proteção de Dados, atribui responsabilidade ao controlador dos dados, que na maioria dos casos é a própria empresa. Se dados pessoais de clientes ou colaboradores saem pelo e-mail corporativo sem controle, a responsabilidade do incidente recai sobre a organização, independente de quem apertou o botão de envio. O CEO precisa saber se existe ou não existe essa camada de controle, porque o risco jurídico e reputacional está na sua mesa.

Além disso, o controle de saída é parte de qualquer argumento sério de due diligence para empresas que passam por auditoria de clientes enterprise ou por processos de certificação. Quando um cliente grande pergunta como você protege os dados que compartilha com você, a resposta precisa incluir o que acontece com esses dados quando eles trafegam pelo seu e-mail corporativo.

Mensageria como segurança, não como commodity

O e-mail corporativo foi tratado por muito tempo como item de prateleira. Caixa, calendário, contato. Escolhe-se pelo preço por usuário e pela familiaridade da interface. Essa lógica faz sentido quando você enxerga e-mail como ferramenta de produtividade.

Mas e-mail também é o canal por onde circula a maior parte dos dados sensíveis de uma empresa. Propostas, contratos, dados de clientes, informações financeiras, credenciais. Se o canal que transporta esse volume de dado não tem instrumentação de saída, você está operando sem visibilidade sobre um risco real.

Na UNODATA, a decisão de construir o AHSU 360 com controle bidirecional como camada central não foi arbitrária. Veio de observar onde os incidentes acontecem e de entender que proteger só a entrada é proteger metade do perímetro. A outra metade está na saída, e ela precisa de atenção, de política e de ferramenta adequada.

A pergunta que fica para quem lê isso: você sabe o que está saindo pelo e-mail corporativo da sua empresa agora mesmo?

Perguntas frequentes

O que é controle de saída no e-mail corporativo?

Controle de saída é a capacidade de uma plataforma de e-mail de inspecionar, em tempo real, o conteúdo de mensagens antes que elas sejam entregues a destinatários externos. Inclui detecção de dados sensíveis, aplicação de políticas de bloqueio ou quarentena e geração de registros auditáveis. É o componente que falta na maioria das configurações de e-mail corporativo de pequenas e médias empresas.

O que é DLP e como se aplica ao e-mail?

DLP significa Data Loss Prevention, prevenção contra vazamento de dados. No contexto de e-mail, é o conjunto de regras e mecanismos que identificam dados sensíveis no corpo ou nos anexos de uma mensagem e aplicam uma ação antes da entrega: bloqueio, quarentena, alerta ao administrador ou notificação ao remetente. A efetividade do DLP depende da qualidade das políticas configuradas e da capacidade da plataforma de inspecionar conteúdo em tempo real.

Controle de saída de e-mail é obrigação legal no Brasil?

A LGPD não especifica controle de saída de e-mail como obrigação técnica direta, mas exige que o controlador adote medidas de segurança adequadas para proteger dados pessoais. Um incidente de vazamento via e-mail corporativo sem nenhuma instrumentação de saída configura ausência de medida técnica adequada, o que expõe a empresa a sanções administrativas e responsabilidade civil. Empresas sujeitas a marcos setoriais como PCI-DSS têm obrigações ainda mais explícitas sobre o tráfego de dados de pagamento.

O AHSU 360 da UNODATA oferece controle de saída de e-mail?

Sim. O AHSU 360, AntiHacking System UNODATA, é construído com inspeção bidirecional como camada central. Isso inclui políticas de conteúdo de saída, detecção de padrões sensíveis como CPF, número de cartão e credenciais, ações configuráveis por tipo de dado e registro auditável de todos os eventos. A arquitetura parte da premissa de que mensageria corporativa segura exige visibilidade sobre o que entra e sobre o que sai.