Firewall para LGPD: quais controles técnicos realmente são exigidos
A LGPD não lista firewall no texto da lei, mas exige 'medidas técnicas aptas a proteger dados pessoais'. Na prática, auditor e ANPD procuram controles específicos — e firewall bem configurado é a base de todos eles.
O que a LGPD exige em termos técnicos
O artigo 46 fala em 'medidas de segurança técnicas e administrativas aptas a proteger os dados pessoais'. A ANPD detalhou em guias que isso inclui controle de acesso, segmentação de rede, criptografia em trânsito, logs auditáveis e resposta a incidentes.
Controles que o firewall entrega diretamente
- Controle de acesso por usuário e grupo (integrado ao AD)
- Segmentação de rede por VLAN entre setores
- VPN com MFA para acesso remoto
- Logs de acesso retidos por no mínimo 6 meses
- Bloqueio de exfiltração por DLP básico
- Filtro de conteúdo por categoria (produtividade e segurança)
- IPS/IDS em modo bloqueio para exploits conhecidos
- Inspeção HTTPS para detectar malware em canais criptografados
Documentação que o auditor pede
Ter o controle não basta — você precisa provar. Auditor pede política de firewall aprovada pela diretoria, matriz de responsabilidades, evidência de revisão trimestral de regras e relatório mensal de incidentes tratados.
O que geralmente falta
Nas auditorias que acompanhamos, os gaps mais frequentes são: log centralizado (empresa tem log só no próprio firewall), MFA na VPN, segmentação de rede (Wi-Fi de visitantes na mesma VLAN dos servidores) e inspeção HTTPS.
Multa da ANPD e o papel do firewall
Em incidente de vazamento, a ANPD avalia se a empresa adotou 'medidas técnicas razoáveis'. Firewall corporativo bem configurado, com log e resposta documentada, é a diferença entre multa reduzida e multa máxima.
Quer implementar isso na sua empresa?
Nosso time desenha a solução, faz o projeto e opera com SLA 99,99% e NOC 24/7.
Perguntas frequentes
Um firewall grátis (pfSense) atende à LGPD?+
Tecnicamente sim, se configurado e mantido corretamente. Na prática, exige um especialista dedicado. Firewall gerenciado sai mais barato quando você soma horas de TI interna.
Quanto tempo devo guardar log de firewall?+
Recomendação de mercado: 6 meses ativos + 12 meses em arquivo frio. Setores regulados (financeiro, saúde) exigem mais, sob normas específicas.
Preciso relatar incidente à ANPD toda vez?+
Só quando o incidente 'possa acarretar risco ou dano relevante aos titulares'. Ter log e evidência de contenção ajuda a definir a criticidade e a resposta.
Firewall na nuvem (AWS, Azure) substitui firewall corporativo?+
Complementa, não substitui. Você continua precisando de firewall no perímetro dos escritórios e VPN corporativa entre os dois mundos.