E-mail é infraestrutura crítica: trate como tal

O e-mail corporativo carrega contratos, negociações, dados de clientes, credenciais e decisões estratégicas. É o canal onde a empresa vive. E, na maioria das organizações que converso, ele opera sem backup real, sem visibilidade operacional e sem trilha de auditoria que aguente uma pergunta séria de um auditor ou de um juiz.

Passei as últimas semanas explorando esse tema em diferentes ângulos, e a conclusão a que cheguei foi sempre a mesma: o e-mail é o sistema mais crítico e menos observado da infraestrutura corporativa brasileira. Não é exagero. É diagnóstico.

Quando a empresa perde um servidor de banco de dados, o impacto é visível em minutos. Quando uma caixa de e-mail é comprometida, o atacante pode permanecer lá por semanas sem que ninguém perceba. Essa assimetria de atenção é o problema central. E ela tem solução, desde que o gestor decida tratar o e-mail com o mesmo rigor que trata qualquer outro ativo de missão crítica.

Foi a partir desse diagnóstico que construímos o AHSU 360 (AntiHacking System UNODATA), nossa plataforma de monitoramento e proteção de correio corporativo. Não para enviar e receber melhor, que isso o mercado já resolve. Para dar ao gestor a visão completa do que acontece no e-mail, na hora em que acontece.

Backup de e-mail: a lixeira do tenant não conta

A confusão mais comum que encontro nas empresas é confundir retenção de plataforma com backup. São coisas distintas, com implicações completamente diferentes.

A maioria dos serviços de e-mail em nuvem oferece alguma forma de retenção dentro do próprio tenant, o ambiente locatário da empresa na plataforma do fornecedor. A lixeira fica disponível por 30 dias. O arquivo tem uma política de retenção configurável. Isso tudo existe e tem utilidade operacional. Mas não é backup.

Backup de verdade tem três características que a retenção de plataforma raramente cumpre:

1. Fica fora do tenant, em ambiente separado e sob controle da empresa, não do fornecedor.
2. É imutável: ninguém consegue apagar ou alterar a cópia sem um processo formal e auditado.
3. É testado: a empresa sabe, com frequência, que consegue restaurar uma mensagem específica de uma data específica em tempo previsível.

Se a conta da empresa for suspensa, se o fornecedor sofrer um incidente ou se um administrador com más intenções apagar mensagens deliberadamente, a retenção de plataforma vai junto. O backup externo e imutável sobrevive.

Cópia que serve mora fora do tenant, é imutável e é sua. O resto é conforto, não proteção.

Na prática, o que vejo na maioria das empresas médias é o seguinte: o e-mail está em nuvem, o gestor sente que está protegido porque o fornecedor é grande, e não existe nenhuma rotina de backup externo nem teste de restauração. É um ponto cego que só aparece quando o dano já está feito.

Visibilidade em tempo real: o que falta não é envio, é enxergar

As plataformas de e-mail modernas são muito boas no que se propõem a fazer. Entregam mensagens com alta disponibilidade, filtram spam com razoável eficiência e oferecem interface limpa para o usuário final. O problema está no que elas não fazem por padrão: observabilidade operacional em tempo real.

Login fora do horário habitual. Acesso de uma localização geográfica incomum. Volume de envios muito acima do padrão da conta. Regra de encaminhamento criada silenciosamente. Esses são sinais de comprometimento. E eles estão disponíveis nos logs da plataforma, mas raramente alguém está olhando para eles enquanto acontecem.

O modelo tradicional é o do relatório mensal: o time de segurança consolida eventos, produz um PDF e apresenta na reunião de governança. Se a conta foi comprometida no dia 3 e o relatório sai no dia 30, o atacante teve 27 dias de acesso livre.

O que uma visão 360 de e-mail precisa cobrir

Visibilidade útil não é volume de dados. É dado certo, na hora certa, para quem precisa agir. Uma visão operacional completa de e-mail corporativo precisa cobrir pelo menos:

• Autenticação: quem entrou, de onde, com qual dispositivo e em qual horário.
• Geolocalização: acessos de países ou regiões que a empresa não opera são sinal imediato de investigação.
• Contas comprometidas: detecção de comportamento anômalo baseado no histórico da própria conta, não em regras genéricas.
• Eventos de servidor: falhas de entrega, rejeições, alterações de configuração de domínio.
• Encaminhamentos e regras: qualquer regra criada na caixa deve ser visível para o administrador em tempo real.

Essa é a base do que o AHSU 360 entrega. O gestor não precisa esperar o relatório do mês seguinte para saber que algo está errado.

LGPD e trilha de auditoria: sem registro, não tem defesa

A Lei Geral de Proteção de Dados (LGPD) estabelece obrigações claras para empresas que tratam dados pessoais. E-mail corporativo trata dados pessoais o tempo todo: nome, CPF, endereço, histórico de relacionamento com cliente. Quando esse dado vaza pelo e-mail, a responsabilidade recai sobre a empresa controladora, não sobre o fornecedor da plataforma.

O ponto que poucos gestores percebem antes de um incidente é que a LGPD não pune apenas o vazamento. Ela penaliza a ausência de controles adequados. E controle adequado, no contexto de e-mail, significa trilha de auditoria com retenção legal, registro de quem acessou o quê e quando, e capacidade de demonstrar isso para a Autoridade Nacional de Proteção de Dados (ANPD) ou para um processo judicial.

Sem trilha e sem retenção legal, o que sobra para a empresa numa investigação é desculpa. A defesa técnica exige evidência, e evidência exige registro. Empresa que não tem o log não tem como provar que tomou precaução. E quem não prova precaução, paga multa.

O AHSU 360 foi construído com esse requisito como premissa, não como funcionalidade opcional. Toda ação relevante no ambiente de e-mail gera registro auditável, com carimbo de tempo e identificação de origem, armazenado fora do alcance do próprio administrador de e-mail.

Soberania de dados: contrato em real, lei daqui, sem prêmio de câmbio

Há um ponto menos discutido na conversa sobre e-mail corporativo que tem impacto direto no orçamento e no risco jurídico das empresas brasileiras: a soberania contratual e regulatória.

Grande parte das plataformas de e-mail corporativo disponíveis no Brasil opera com contratos regidos por lei estrangeira, precificados em dólar e com foro no exterior. Para uma empresa de médio porte com receita em real, isso significa exposição cambial sobre um serviço de missão crítica e limitação prática de acesso à Justiça brasileira em caso de disputas.

Além do aspecto contratual, existe a questão de onde os dados ficam armazenados. Dados de e-mail de empresa brasileira armazenados em servidores fora do país podem estar sujeitos a legislações de outros países, o que cria conflito com a LGPD e com a soberania da informação corporativa.

Na UNODATA, decidimos construir o AHSU 360 como uma plataforma com contrato em real, regido pela lei brasileira, com dados armazenados em território nacional. Não porque somos contra o mercado global, mas porque acreditamos que infraestrutura crítica precisa de respaldo jurídico e regulatório alinhado com o ambiente onde a empresa opera. Gestor não deveria pagar prêmio de câmbio por e-mail, nem abrir mão do Código Civil brasileiro para ter correio corporativo sério.

O que muda quando você trata e-mail como infraestrutura crítica

Infraestrutura crítica você filma, audita e protege. Não deixa no escuro confiando que está tudo bem. Essa é a linha que costura tudo que escrevi aqui.

Mudar a postura em relação ao e-mail não requer substituir o cliente de e-mail nem mudar a experiência do usuário final. Requer adicionar camadas que a maioria das plataformas não entrega por padrão: backup externo e imutável, visibilidade operacional em tempo real, trilha de auditoria com retenção legal e contrato com respaldo jurídico local.

O gestor que decide tomar esse passo está, na prática, fechando um dos maiores pontos cegos da sua infraestrutura. E está fazendo isso antes do incidente, que é o único momento em que a decisão tem custo gerenciável.

Se você opera e-mail corporativo no Brasil e ainda não passou por essa revisão, vale a pergunta: o que acontece com a sua operação se a caixa do CEO for comprometida hoje? E em quanto tempo você saberia?

Perguntas frequentes

O que diferencia backup de e-mail de retenção de plataforma?

Retenção de plataforma é a cópia que o próprio fornecedor mantém dentro do seu ambiente. Se a conta for suspensa, comprometida ou deletada, essa cópia vai junto. Backup real fica fora do tenant, em ambiente separado e sob controle da empresa, é imutável e é testado periodicamente para garantir que a restauração funciona.

Quais eventos de e-mail indicam comprometimento de conta?

Os principais sinais são: login de localização geográfica incomum, acesso fora do horário habitual da conta, criação silenciosa de regras de encaminhamento para endereços externos, volume de envios muito acima do padrão histórico e falhas de autenticação repetidas seguidas de sucesso. Esses eventos precisam de monitoramento em tempo real, não de relatório mensal.

Como a LGPD se aplica ao e-mail corporativo?

E-mail corporativo trata dados pessoais de forma contínua: nomes, documentos, histórico de relacionamento com clientes e colaboradores. Em caso de vazamento, a empresa responde como controladora dos dados. Sem trilha de auditoria e sem política de retenção legal, a empresa não consegue demonstrar que adotou medidas adequadas de proteção, o que agrava a responsabilidade perante a ANPD.

O que é o AHSU 360 e para que ele foi criado?

AHSU 360, abreviação de AntiHacking System UNODATA, é a plataforma de monitoramento e proteção de e-mail corporativo da UNODATA. Foi criado para dar ao gestor visibilidade operacional completa do ambiente de correio em tempo real, backup externo e imutável, trilha de auditoria com retenção legal e contrato em real regido pela lei brasileira, cobrindo lacunas que as plataformas convencionais de e-mail não endereçam por padrão.