Ferramenta aberta

Exposure Scan (LGPD)

Scanner read-only e metadata-only de exposição de dado pessoal: onde está a PII, quem consegue lê-la, e onde o controle está fraco.

O que o Exposure Scan responde

É um scanner read-only e metadata-only de exposição de dado pessoal num workspace Databricks com Unity Catalog. Sem ler um único valor de dado, ele responde três perguntas: onde está a PII, quem consegue lê-la, e onde o controle está fraco.

O que ele faz

Cruza os metadados do Unity Catalog para produzir um mapa de risco de exposição:

Candidatos a PII por nome de coluna, com uma biblioteca em português (cpf, cnpj, email, telefone, endereço e afins), em tiers de confiança — alta, média e baixa — respeitando o que já está classificado por tag no próprio catálogo.

Exposição por grant — tabelas com PII acessíveis por um grupo amplo, considerando herança: o grant pode vir direto na tabela, no schema ou no catálogo.

Saída em duas camadas — um resumo executivo circulável (agregados e score) e um mapa coluna-a-coluna restrito.

O diferencial não é o match por nome, que é table-stakes. É a correlação de metadado — PII cruzada com grants, tags e herança — que aponta o risco real sem tocar no dado.

O que ele não faz, de propósito

Não lê valor de dado. Zero sampling na primeira versão: ler um CPF "para confirmar" dentro de uma ferramenta de LGPD seria contraproducente. Os matches são candidatos; a confirmação é trabalho humano de análise.

Não é um veredito de conformidade. É um levantamento de exposição para priorizar remediação.

Segurança do próprio scan

O output é um mapa de onde está o dado sensível. Gravado num lugar aberto, ele aumentaria a superfície de ataque em vez de reduzir. Por isso, antes de gravar, a ferramenta:

exige um catálogo e schema de destino restrito, de que quem roda seja dono — o Unity Catalog só expõe todos os grants do destino ao dono, e rodar como não-dono deixaria a checagem incompleta e fail-open;

recusa gravar, fail-closed, se qualquer principal fora da allow-list de autorizados (DPO, segurança) puder ler o destino — incluindo grants herdados do catálogo e os próprios donos;

não persiste nenhum valor de PII, só metadado.

A recomendação é firme: rode como o principal de menor privilégio, nunca como metastore admin — um admin enxergaria tudo e distorceria a leitura de exposição.

LGPD

O cliente é o controlador. A ferramenta roda no ambiente do próprio cliente e nenhum dado sai dele: todo o processamento é Spark SQL local, sem chamada externa.

Mesmo metadata-only, a saída processa identificadores de funcionários (os grantees e donos) — com finalidade limitada à avaliação de exposição, acesso restrito e retenção definida.

O enquadramento operador/controlador e a base legal devem ser confirmados com profissional jurídico habilitado.

Do candidato à remediação

Este scan levanta os candidatos. A confirmação, a análise de risco e a remediação — masking, revisão de grants, RoPA, prontidão ANPD — são o trabalho de DPO-as-a-Service da mldata. O código é aberto, sob Apache 2.0, e está no repositório abaixo.

Ver no GitHub ↗

Código aberto sob Apache 2.0. Implementar e validar no seu ambiente é o trabalho da mldata.