Como criar uma Data Classification Policy em Governação de Dados

João Barros 06 de November de 2026 4 min de leitura

Este tutorial explica como criar uma Data Classification Policy em Governação de Dados para identificar, rotular e controlar dados sensíveis de forma consistente. A política ajuda a reduzir riscos, a tornar auditorias mais fáceis e a suportar políticas de acesso e retenção.

Pré-requisitos

Conta com permissões administrativas num serviço de catalogação/metadados (ex.: Microsoft Purview ou equivalente).
Inventário inicial de fontes de dados (bases de dados, data lakes, ficheiros) e exemplos de dados sensíveis.
Conhecimentos básicos de expressões regulares (regex) e das etiquetas/terminologia que a organização usa.
Ferramenta para testar regex (opcional) e acesso a um ambiente de testes.

Passo 1: Definir objetivos e categorias de classificação

Antes de configurar qualquer política, defina que tipos de dados quer identificar (ex.: PII, PCI, PHI, segredos internos) e que ações cada etiqueta desencadeia (ex.: encriptação, restrição de acesso, anonimização). Documente formatos e exemplos para cada categoria — isso facilita regras eficazes e reduz falsos positivos.

Passo 2: Criar um conjunto de regras com regex e heurísticas

Construa regras que detetem padrões concretos (ex.: NIF, cartões de crédito, emails). Combine regex com heurísticas (contexto de coluna/título, tipo de ficheiro) para melhorar precisão. Teste cada regex com exemplos reais e simulados.

# Exemplos de regex (sintaxe PCRE comum)
# NIF (Portugal): 9 dígitos
regex_nif = r"\b\d{9}\b"
# Cartão de crédito (Visa/Master simplificado)
regex_cc = r"\b(?:4[0-9]{12}(?:[0-9]{3})?|5[1-5][0-9]{14})\b"
# Email
regex_email = r"[A-Za-z0-9._%+-]+@[A-Za-z0-9.-]+\.[A-Za-z]{2,}"

Passo 3: Implementar a policy na ferramenta de catalogação

Na sua ferramenta (ex.: Microsoft Purview) crie uma nova Data Classification Policy ou Policy Rule. Para cada categoria, adicione as regras regex e as condições (aplicar apenas a colunas com nome que contenha 'email', 'nif', 'cc' para reduzir falsos positivos).

# Pseudopasso: configurar regra na UI/API da ferramenta
1. Nova Policy -> Nome: "Classificação PII Básica"
2. Categoria: PII -> Etiqueta: "Confidencial - PII"
3. Adicionar Rule:
   - PatternType: Regex
   - Pattern: regex_email
   - Scope: columnName contains 'email' OR fileExtension in (csv,txt)
4. Ativar scan agendado ou manual

Passo 4: Executar scans e refinar com exceções

Execute um scan inicial sobre fontes de teste para medir a taxa de deteção e falsos positivos. Analise amostras e crie exceções ou regras adicionais (ex.: excluir colunas chamadas 'test_email' ou ficheiros em /archive/). Itere até ter precisão aceitável.

# Processo de iteração (exemplo lógico)
1. Run scan -> export results
2. Sample hits -> verificar verdadeiro positivo/negativo
3. Se falso positivo -> adicionar condição de exclusão
4. Se falso negativo -> relaxar regra ou adicionar contexto adicional

Passo 5: Integrar etiquetas com políticas operacionais

Depois de rotular dados, ligue as etiquetas a ações operacionais: criar alertas de acesso, aplicar Column-Level Security, ativar encriptação ou iniciar processos de anonimização. Documente o fluxo para que Data Stewards e equipas de segurança saibam responder a deteções.

# Exemplo conceptual de integração
If data.label == 'Confidencial - PII':
    apply_access_policy(role='PRIV_SECURE')
    log_event('PII_detected', resource_id)

Verificar o resultado

Valide se as etiquetas foram aplicadas corretamente: consulte o relatório da policy na ferramenta, analise exemplos de ficheiros/tabelas rotuladas e verifique que ações foram disparadas (logs, alterações de permissões, alertas). Faça um teste de acesso com um utilizador não privilegiado para confirmar restrições.

Conclusão

Ao criar um Data Classification Policy em Governação de Dados consegue identificar e rotular dados sensíveis de forma escalável, reduzindo risco e facilitando compliance. Próximos passos: automatizar revisões periódicas, envolver Data Stewards para validação humana e integrar deteções com processos de remediação. Dica: comece por poucas regras de alta precisão antes de alargar cobertura — quais categorias vai priorizar primeiro?