ValidaAuditoria
Nota 05 · 24/09/2026
Veja o que se prova e o que se assumeToda apresentação bem ensaiada tem o seu minuto perfeito. O painel abre na hora, o relatório sai em um clique, o indicador da cópia de segurança brilha verde. Depois que a sala esvazia, sobra a pergunta: aquilo funciona quando o usuário real entra, numa segunda-feira, com o perfil dele e os dados do empreendimento? A Lei Geral de Proteção de Dados (LGPD), a Lei 13.709/2018, usa a palavra “demonstração” num sentido mais exigente. No art. 6º, X, pede a “demonstração, pelo agente, da adoção de medidas eficazes” e, “inclusive, da eficácia dessas medidas”.
Na leitura da Valida, uma plataforma só está verificada quando o que se afirma dela foi exercitado em produção, com o perfil real, e quando se tentou também o que ela não deveria deixar fazer. Nenhuma norma fala em “demonstração versus produção”; a distinção é da Valida. As normas e os guias oficiais, porém, pedem a mesma prova, cada um no seu vocabulário: cópia restaurada de verdade, acesso individual, operador identificado, dados que saem inteiros.
No apartamento decorado, os móveis são sob medida, a luz foi estudada e o armário está vazio. Ninguém mora ali, e não há desonestidade nisso. A demonstração de um sistema segue a mesma receita: dados de exemplo, um administrador que pode tudo, conexão boa, roteiro ensaiado. Serve para mostrar o desenho do produto.
Produção é o prédio habitado, numa segunda-feira de chuva: usuários reais, dados reais, consequência real. Ali o caminho é escolhido por quem tem pressa, pouco treino e permissão restrita. Certas falhas só aparecem nesse trajeto: a tela que só funciona para o administrador, a exportação que não aguenta o volume real, o histórico que registra a ação e esquece o autor.
A verificação não pergunta “existe?”. Pergunta se funciona, em produção, para quem deveria usá-la, e se deixa de funcionar para quem não deveria. A primeira metade se exercita função por função: criar o registro, fechar, reabrir e conferir que o que voltou é o que entrou. A mensagem “salvo com sucesso” não prova nada; o dado que volta prova.
A segunda metade se testa pelo avesso. Com o perfil de leitura, tentar escrever; com o usuário de um empreendimento, tentar abrir o de outro. O guia de segurança da informação da Autoridade Nacional de Proteção de Dados (ANPD) para agentes de pequeno porte resume o controle de acesso em três verbos. A autenticação “identifica quem acessa”, a autorização “determina o que o usuário identificado pode fazer” e a auditoria “registra o que foi feito”. Vale também o princípio do menor privilégio: a cada usuário, o menor acesso necessário.
Um cuidado separa o teste do teatro: o controle negativo. Pergunta-se o que se veria se a função estivesse quebrada. Teste que passaria igual com ela ligada e desligada não mediu nada, como detector de fumaça testado sem fumaça.
O que não pôde ser exercitado em produção entra como assumido, com a ressalva “não exercitado em produção” e a lista do que faltou, quase sempre o acesso. É vocabulário da Valida, não de norma, tratado em outra nota: descreve o estado da afirmação, não o caráter de quem a fez.
O princípio da segurança, no art. 6º, VII, fala em medidas “aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão”. O inciso X acrescenta o ônus da prova: demonstrar que as medidas existem e que são eficazes. Medida existente é o extintor na parede; medida eficaz é o extintor carregado, que alguém sabe usar.
O art. 46, §2º, manda observar as medidas “desde a fase de concepção do produto ou do serviço até a sua execução”, e o art. 47 mantém o dever “mesmo após o seu término”. A lei olha o produto em uso, não só o desenho. Mas não diz tudo: não manda testar backup nem menciona ambiente de demonstração. O como provar está em outras normas e guias, alguns obrigatórios só para quem está no seu alcance.
Backup é a cópia dos dados guardada em outro lugar: a chave reserva, que só vale se abrir a porta. O teste de restauração é experimentar a chave. Pega-se a cópia, reconstrói-se o sistema num ambiente separado e observa-se se ele volta inteiro, e em quanto tempo. É ensaiar a saída de emergência, em vez de conferir se a placa “SAÍDA” está acesa.
O Guia de Referência de Prevenção e Resposta a Ransomware da Secretaria de Governo Digital, versão 1.3, escrito para órgãos públicos, diz sem rodeio: “Backup que não restaura é apenas despesa.” E sobre prazos: “O papel aceita qualquer prazo.” Ransomware é o ataque que tranca os dados e cobra para devolvê-los. Contra ele, o guia pede um ensaio de restauração total a cada semestre e uma cópia imutável, que ninguém consegue alterar nem apagar, a “última linha de defesa”.
Os modelos de backup do governo federal, publicados em maio de 2026 no programa PPSI 2.0, detalham o teste. O Modelo de Política afirma que as rotinas de backup e restauração “devem ser periodicamente testadas” (art. 10). O Modelo de Norma manda testar “em equipamentos distintos daqueles utilizados em ambiente de produção” (art. 24), confirmar, quando aplicável, o RTO e o RPO pactuados (art. 25), isto é, o tempo máximo para restaurar e o máximo de dados que se aceita perder, e registrar “o tempo total gasto para a restauração” e o “resultado obtido” (art. 26). São modelos para órgãos federais; ao setor privado não obrigam.
O guia da ANPD acrescenta um detalhe contraintuitivo: as cópias não devem ser “sincronizadas online (em tempo real)”, para não se perderem junto com o original num ataque. Cópia que se atualiza ao vivo herda, ao vivo, o estrago. A preocupação é antiga: o NIST SP 800-34, guia de contingência do instituto de padrões do governo dos Estados Unidos, de 2010, já recomendava testar as fitas de backup com regularidade.
Uma norma brasileira explícita sobre o tema vem do registro de imóveis, onde vive a matrícula, o registro de cada imóvel (tema de outra nota). O Provimento 213 (ato normativo), de 20 de fevereiro de 2026, da Corregedoria Nacional de Justiça, fixa padrões mínimos de tecnologia para os cartórios. O art. 4º, §9º, determina: “As rotinas de backup deverão ser submetidas a testes formais e documentados de restauração”. Os anexos dão o calendário pela classe do cartório, definida pela receita semestral; a Classe 1 vai até R$ 100.000,00 no semestre. A simulação de extração integral é o ensaio de tirar do sistema todo o acervo, isto é, os livros e atos eletrônicos do cartório.
| Classe do cartório | Teste documentado de restauração | Simulação de extração integral do acervo |
|---|---|---|
| Classe 1 | No mínimo anual | No mínimo a cada 36 meses |
| Classe 2 | No mínimo anual | No mínimo a cada 30 meses |
| Classe 3 | No mínimo semestral | No mínimo a cada 24 meses |
| Todas | Registros guardados por no mínimo 5 anos | Imediatamente, se houver alteração relevante de fornecedor |
O Provimento 74/2018, revogado pelo 213, pedia, no trecho de backup lido pela Valida, cópia “em intervalos não superiores a 24 horas”, em mídia e em nuvem; teste de restauração não aparece nesse trecho. No trecho lido, a pergunta de 2018 era “há cópia?”; a de 2026 é “prove que ela volta”.
O limite precisa ficar claro: o Provimento 213 obriga cartórios, não plataformas privadas. Na leitura da Valida, ele é régua de referência, não obrigação.
Duas siglas transformam “temos backup” em número. RPO, ponto de recuperação, é quanto trabalho se aceita perder, medido em tempo: “no máximo as últimas quatro horas de lançamentos”. RTO, tempo de recuperação, é em quanto tempo o sistema precisa voltar: “a loja reabre em duas horas”.
Situação ilustrativa, com números inventados, sem relação com plataforma ou cliente real. Um sistema promete “backup diário”, e o painel aparece verde. O contrato admite, no máximo, 4 horas de perda e 8 horas para voltar; são premissas do exemplo, não exigência de norma.
| Item | Valor | Como se chega |
|---|---|---|
| Perda possível com uma cópia por dia | Até 24 h | Intervalo entre duas cópias (premissa) |
| Perda aceita no contrato (RPO) | 4 h | Premissa do exemplo |
| Excesso sobre o RPO | 20 h | 24 − 4 |
| Tempo medido no teste de restauração | 11 h | Resultado hipotético, cópia real em ambiente separado |
| Prazo aceito para voltar (RTO) | 8 h | Premissa do exemplo |
| Excesso sobre o RTO | 3 h (37,5%) | 11 − 8 = 3; 3 ÷ 8 |
| Classificação no parecer | Verificado, não conforme | Teste feito; sem acesso, seria “assumido” |
O backup existe e o painel está verde. Ainda assim, a promessa falha nas duas pontas: 20 horas além da perda aceita, 3 horas além da volta combinada. O papel aceitou os dois prazos.
Agora o controle negativo. Feito na demonstração, com base pequena e dados de exemplo, o mesmo teste daria verde no cenário conforme e no não conforme. Passaria de qualquer jeito; logo, não mediria nada. Só a cópia real, com o volume real, separa um cenário do outro.
Se cinco pessoas usam o mesmo login, o histórico registra a conta, não a pessoa. Ninguém fez nada; “o admin” fez tudo. O Provimento 213, art. 5º, exige dos cartórios autenticação “individualizada”, inclusive de fornecedores, para a “responsabilização individual”. O §2º adota, “como regra”, a autenticação multifator nos acessos críticos e veda, “em qualquer hipótese”, credenciais “compartilhadas, genéricas”. Autenticação multifator, ou MFA, é a senha somada a um segundo comprovante, como um código no celular: o cofre que pede chave e segredo.
Fora dos cartórios, o guia da ANPD recomenda não permitir o compartilhamento de contas ou senhas entre funcionários. O Decreto 8.771/2016, que regulamenta o Marco Civil da Internet, lista para os provedores, no art. 13, “privilégios de acesso exclusivo para determinados usuários” e “sistemas de autenticação dupla”. Em produção, cada porta que abre sem dever é um achado.
A trilha de auditoria, ou log, é o registro de quem fez o quê e quando: o livro de portaria do condomínio, em versão digital. O teste é alterar um registro e procurar a linha correspondente. O Provimento 213, art. 10, diz o que ela deve ter nos cartórios: “identificação de usuários, data, hora, minuto e segundo das operações, natureza da ação executada e resultado obtido”, com proteção “contra alteração, exclusão não autorizada e perda acidental”. Livro de portaria que qualquer um rasura não prova nada.
O Marco Civil da Internet, Lei 12.965/2014, art. 15, obriga o provedor de aplicações (quem oferece funcionalidades acessíveis pela internet) que atue “de forma organizada, profissionalmente e com fins econômicos” a guardar os registros de acesso por seis meses. A regra é desse provedor; não alcança, por si, todo sistema interno de empresa.
O log também decide quando o prazo de um incidente começa. A Resolução CD/ANPD 15/2024 dá ao controlador “três dias úteis” para avisar a ANPD (art. 6º), contados “do conhecimento pelo controlador de que o incidente afetou dados pessoais”, e exige guardar o registro do incidente, mesmo do não comunicado, por “no mínimo cinco anos” (art. 10). São dias úteis, não as 72 horas que às vezes circulam. Sem trilha, o vazamento de uma terça pode ser descoberto meses depois, com o relógio da norma parado e o estrago andando.
A LGPD distingue dois papéis. O controlador toma “as decisões referentes ao tratamento de dados pessoais” (art. 5º, VI); o operador “realiza o tratamento de dados pessoais em nome do controlador” (art. 5º, VII, do texto consolidado). É o dono do restaurante, que decide o cardápio, e a empresa que cuida do estoque seguindo as instruções dele. O art. 39 manda o operador seguir essas instruções e o controlador verificar “a observância das próprias instruções”. Verificar: o verbo está na lei.
O guia da ANPD sobre agentes de tratamento lembra, em nota que cita orientação do órgão europeu EDPB, que os conceitos são funcionais, definidos pelas ações concretas, não pelo rótulo do contrato. Fornecedor de software não é automaticamente operador; quem trata dados em nome de outro é, chame-se como se chamar.
Contratar não transfere a responsabilidade por inteiro. Pelo art. 42, quem causa dano em violação da lei “é obrigado a repará-lo”, e o operador “responde solidariamente” se descumprir a lei ou as instruções lícitas do controlador. O art. 52, II, prevê multa “de até 2%” do faturamento no Brasil, “limitada, no total, a R$ 50.000.000,00 por infração”. É teto, não tabela.
A lei não pede, com essas palavras, uma lista de operadores na política de privacidade. Pede que o titular, a pessoa a quem os dados se referem, saiba das “responsabilidades dos agentes que realizarão o tratamento” (art. 9º, VI) e com quais entidades o controlador compartilhou dados (art. 18, VII). Operador que ninguém sabe nomear é falha de transparência, não detalhe de rodapé.
Muita apresentação traz a frase “exportamos quando quiser”. Reversibilidade é sair do fornecedor com os dados inteiros e utilizáveis, como mudar de casa sem que a transportadora segure a mobília. O Provimento 213 deu nome ao contrário: dependência estrutural de terceiros (art. 2º, XVIII), quando o cartório não controla a hospedagem, “a custódia de chaves criptográficas” ou “a extração integral, autônoma e documentada do acervo em formato interoperável”, aquele que outro sistema consegue ler. A chave que só o fornecedor guarda cabe nessa definição; a que só uma pessoa guarda é risco parecido, de outra natureza.
Pelo art. 15, a dependência só fica mitigada com cláusula de “reversibilidade integral”, “comprovação documental de realização de teste de extração integral do acervo” e sem migração condicionada à “anuência discricionária do fornecedor”. O §2º fecha a porta ao jogo de palavras: prevalece “o conteúdo material da relação sobre a nomenclatura adotada pelas partes”. Para quem não é cartório, é régua. Promessa de exportação só vale depois de uma exportação completa, conferida e feita sem pedir licença.
A cópia nunca restaurada, a chave que só uma pessoa tem, o operador que a política de privacidade não cita. Nenhum costuma aparecer na demonstração. Todos aparecem no dia em que faltam.
| Pergunta | Na demonstração | Em produção, o que se exercita | Base |
|---|---|---|---|
| A cópia de segurança existe? | Painel mostra “backup concluído” | Restaurar em ambiente separado e medir o tempo | Provimento 213, art. 4º; Modelo de Norma de Backup, arts. 24 a 26 |
| Cada pessoa tem seu acesso? | Um administrador faz tudo | Entrar com cada perfil e tentar o que não é dele | Provimento 213, art. 5º; guia da ANPD |
| Dá para saber quem mexeu? | A tela de histórico aparece | Alterar um registro e achar a linha com usuário, data e hora | Provimento 213, art. 10; Decreto 8.771, art. 13 |
| Dá para sair com os dados? | “Exportamos quando quiser” | Extrair o acervo inteiro, em formato aberto, sem pedir licença | Provimento 213, art. 15 |
| Quem mais trata os dados? | Não aparece | Operadores identificados e informados ao titular | LGPD, arts. 9º e 39 |
| E se algo vazar? | Não aparece | Saber quem comunica em três dias úteis e ter registro | Resolução CD/ANPD 15/2024, arts. 6º e 10 |
E plataforma verificada não substitui matrícula conferida nem medição feita em campo.
Não necessariamente. O painel mostra que a cópia foi feita, não que ela volta. As normas e guias oficiais examinados pedem teste de restauração com tempo medido e resultado registrado: o Provimento CNJ 213/2026, art. 4º, §9º, para os cartórios, e o Modelo de Norma de Backup do governo federal, arts. 24 a 26, para órgãos públicos.
Pela LGPD, controlador e operador respondem pelo dano causado em violação da lei, e o operador responde solidariamente quando descumpre a lei ou as instruções lícitas do controlador (art. 42, §1º, I). O juiz pode inverter o ônus da prova a favor do titular. Contratar um fornecedor não transfere a responsabilidade por inteiro.
A Resolução CD/ANPD 15/2024 fixa três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais, para o incidente que possa acarretar risco ou dano relevante aos titulares (art. 6º). São dias úteis, não horas corridas. O registro do incidente deve ser guardado por no mínimo cinco anos (art. 10).
Porque a demonstração roda com dados de exemplo e perfil de administrador, e a pergunta que importa é o que acontece em produção, com o perfil real. O que não foi exercitado ali entra no parecer como assumido. A distinção é leitura da Valida; a LGPD pede, em termos próprios, a demonstração da eficácia da medida (art. 6º, X).
Depende do contrato e de um teste. A norma dos cartórios só considera mitigada a dependência quando há cláusula de reversibilidade integral e extração integral testada e documentada (Provimento 213, art. 15). Para plataforma privada, isso é boa prática de referência, não obrigação legal demonstrada nas normas examinadas.
Antes de contratar, a pergunta útil não é se a plataforma funcionou na apresentação. É o que ela faz quando quem apresentou já foi embora. A demonstração mostra o desenho. O produto se verifica.
