O que o DLP cobre, o que não cobre, sem letra miúda
Esta é a mesma matriz que existe dentro do produto, na tela de cobertura. Se o seu auditor ou o seu time de segurança perguntar, mande este link. Preferimos perder a venda a prometer bloqueio que não existe.
| Canal ou capacidade | Situação | Como funciona |
|---|---|---|
| Arquivos em repouso e em criação | ativo | Varredura ociosa, hash incremental, 35 extensões, leitura real de PDF, Office e OCR |
| Copiar (Ctrl+C) texto ou arquivo | ativo | Com screenshot do instante |
| Colar (Ctrl+V) com destino | ativo | Aplicativo de destino e, em navegador, a URL |
| USB e mídia removível | ativo | Detecta e registra. Não bloqueia |
| Impressão | ativo | Documento, impressora, usuário, páginas |
| Upload por navegador | ativo | Chrome, Edge, Brave, Opera, Vivaldi e Firefox. Só o hash sai do navegador |
| Arrastar ou anexar sem extensão | best-effort | Por correlação de leitura de arquivo, com screenshot |
| Apps de mensageria desktop | best-effort | Teams, WhatsApp, Slack, Discord, Signal, Telegram. Sem ver conteúdo (TLS e E2E), pode dar falso positivo |
| Anexo de e-mail no Outlook | ativo | Clássico e Web/New/Mac. Único canal com bloqueio real |
| Captura de tela | ativo | Detectada e lida por OCR |
| Bloqueio de USB e área de transferência | não cobre | Exige driver de kernel. Fora de escopo |
| Inspeção de tráfego HTTPS | roadmap | Driver WFP, sem data |
| Mac, Linux, iOS, Android | não cobre | Só Windows |
Por que não bloqueamos USB e área de transferência
Bloqueio real nesses canais exige driver em modo kernel. Driver mal feito trava máquina e vira incidente maior que o vazamento. Preferimos detectar, alertar, registrar e pedir justificativa, que é o que sustenta o controle A.8.12 numa auditoria.
Onde existe bloqueio de verdade
No anexo de e-mail do Outlook. O add-in verifica o arquivo antes do envio e cancela se violar a política, no Outlook clássico e no novo. É o canal com maior volume de vazamento acidental.