Checklist: Seu Provedor Está em Conformidade com o Marco Civil?

Por Que Este Checklist é Importante

O Marco Civil da Internet (Lei 12.965/2014) e seu decreto regulamentador (Decreto 8.771/2016) estabelecem obrigações claras para provedores de internet no Brasil. A LGPD (Lei 13.709/2018) adiciona outra camada de exigências sobre como os dados dos assinantes são tratados.

O problema é que muitos provedores — especialmente os de pequeno e médio porte — não sabem exatamente onde estão em relação a essas obrigações. Sabem que precisam "guardar logs", mas não têm certeza se estão fazendo certo.

Este checklist foi criado para dar uma visão clara e objetiva. Responda cada item com Sim ou Não, some os pontos e descubra onde seu provedor está.

Como Usar Este Checklist

• Para cada item, responda Sim (1 ponto) ou Não (0 pontos)
• Seja honesto — ninguém está vendo sua pontuação
• Some os pontos ao final e veja sua classificação
• Use os itens com "Não" como seu plano de ação prioritário

Categoria 1: Coleta e Armazenamento de Logs

Item 1: Logs de conexão (RADIUS) estão sendo armazenados

O que verificar: A tabela radacct (ou equivalente no seu ERP) contém registros de sessões PPPoE com username, IP atribuído, data/hora de início e fim.

Por que importa: O Art. 13 do Marco Civil obriga a guarda de registros de conexão. Sem RADIUS accounting, você não tem como provar quem estava conectado em determinado momento.

Como testar: Execute uma consulta no RADIUS para uma data de 6 meses atrás. Se retornar dados, está funcionando.

Item 2: Logs de tradução NAT/CGNAT estão sendo armazenados

O que verificar: Se usa CGNAT, os logs de tradução (IP privado → IP público + porta) estão sendo coletados e armazenados em local persistente (não apenas no buffer do roteador).

Por que importa: Sem log de NAT, é impossível identificar qual assinante estava por trás de um IP público compartilhado. O registro RADIUS sozinho não é suficiente quando há CGNAT.

Como testar: Consulte os logs NAT de ontem. Se existem e são legíveis, está OK.

Item 3: Logs incluem porta de origem (source port)

O que verificar: Os registros de CGNAT incluem não apenas IP de origem e destino, mas também a porta de origem (source port) após a tradução.

Por que importa: Com CGNAT, o IP público é compartilhado. A porta é o único diferenciador entre assinantes. Sem porta nos logs, a identificação é impossível.

Como testar: Abra um registro de log NAT e verifique se contém campos de porta.

Item 4: Retenção mínima de 1 ano

O que verificar: Tanto logs RADIUS quanto logs NAT são retidos por no mínimo 12 meses. Idealmente 24 meses.

Por que importa: O Art. 13 e Art. 15 do Marco Civil estabelecem 1 ano como período mínimo de retenção. Intimações podem se referir a eventos de meses atrás.

Como testar: Tente consultar logs de exatamente 13 meses atrás. Se não existem, a retenção está abaixo do mínimo.

Item 5: Backup dos logs existe e é testado

O que verificar: Existe uma cópia de segurança dos logs em local separado (outro servidor, outro disco, cloud). E esse backup é testado periodicamente (restauração funciona).

Por que importa: Se o servidor de logs falhar (disco queimou, ransomware, erro humano), os dados são irrecuperáveis sem backup. E backup que nunca foi testado pode estar corrompido.

Categoria 2: Precisão e Integridade

Item 6: NTP configurado em todos os equipamentos

O que verificar: Roteadores, concentradores PPPoE, servidor RADIUS e servidor de logs estão sincronizados via NTP com servidores confiáveis (ex: a.ntp.br).

Por que importa: Um timestamp errado em 30 segundos pode apontar para o assinante errado. Isso pode significar identificar uma pessoa inocente. Além disso, logs com timestamps inconsistentes podem ser contestados judicialmente.

Como testar: Verifique ntpq -p nos servidores Linux e /system ntp client print nos MikroTiks. O offset deve ser inferior a 100ms.

Item 7: Timezone consistente em todos os sistemas

O que verificar: Todos os equipamentos e servidores usam o mesmo timezone (idealmente UTC ou America/Sao_Paulo de forma consistente).

Por que importa: Se o MikroTik registra em UTC e o RADIUS registra em BRT (-3), a correlação terá 3 horas de diferença. Isso invalida a busca.

Item 8: Logs possuem integridade verificável

O que verificar: Existe algum mecanismo que garanta que os logs não foram adulterados (hashes, assinatura digital, armazenamento write-once).

Por que importa: Em um processo judicial, a parte contrária pode questionar a autenticidade dos logs. Se não há como provar que não foram alterados, o valor probatório é reduzido.

Item 9: Não há gaps nos logs (monitoramento de completude)

O que verificar: Existe monitoramento que alerta quando uma fonte de logs para de enviar dados (ex: syslog parou, RADIUS accounting falhou).

Por que importa: Um gap de horas ou dias nos logs pode coincidir justamente com o período de uma intimação. Se não há monitoramento, você pode descobrir o gap tarde demais.

Categoria 3: Controle de Acesso e Segurança

Item 10: Acesso aos logs é restrito e rastreado

O que verificar: Apenas pessoas autorizadas têm acesso ao sistema de logs. O acesso é com credenciais individuais (não login genérico) e todas as consultas são registradas.

Por que importa: O Decreto 8.771/2016 (Art. 13, §2) exige controle estrito de acesso a dados de conexão. Acesso irrestrito pode caracterizar violação da LGPD e do Marco Civil.

Item 11: Logs são transmitidos de forma segura

O que verificar: O transporte de logs entre o equipamento e o servidor de coleta usa criptografia (syslog sobre TLS, VPN, rede privada). Syslog UDP em rede pública não é seguro.

Por que importa: Logs de CGNAT contêm dados pessoais (atividade de navegação dos assinantes). Transmiti-los em texto claro pela internet viola princípios da LGPD.

Item 12: Existe política de retenção e descarte

O que verificar: Há uma política documentada de quanto tempo os logs são retidos e como são descartados após o período. O descarte é seguro (não apenas deletar, mas sobrescrever).

Por que importa: A LGPD estabelece que dados pessoais não devem ser retidos além do necessário. Guardar logs de CGNAT por 10 anos sem justificativa pode ser considerado excesso. O ideal é 1-2 anos com descarte seguro após.

Item 13: Servidor de logs está protegido contra acesso externo

O que verificar: O servidor de coleta de logs não está exposto à internet. Acesso é possível apenas via VPN ou rede interna. Portas de administração (SSH, painel web) não estão abertas publicamente.

Por que importa: Um servidor de logs exposto é um alvo atrativo para atacantes — contém informações detalhadas sobre toda a atividade dos assinantes.

Categoria 4: Processo de Resposta Judicial

Item 14: Existe processo documentado para responder intimações

O que verificar: Há um procedimento escrito que descreve o passo a passo para quando chega uma intimação: quem é notificado, quem executa a consulta, como o relatório é gerado, quem assina, como é protocolado.

Por que importa: Sem processo, a resposta depende de quem está disponível e do conhecimento individual. Se o técnico que sabe fazer estiver de férias, o prazo judicial pode ser perdido.

Item 15: Tempo de resposta a intimações é inferior a 72 horas

O que verificar: Da recepção da intimação até a entrega do relatório, o processo leva menos de 72 horas (incluindo fins de semana).

Por que importa: Muitas intimações estabelecem prazos curtos (24-72 horas). Atrasos podem resultar em multas diárias (astreintes) significativas.

Item 16: Relatórios judiciais são padronizados

O que verificar: O relatório de resposta segue um formato padrão com: dados da consulta, resultado da correlação, dados do assinante, hash de integridade, responsável técnico.

Por que importa: Relatórios ad hoc ("email com print do terminal") são frágeis judicialmente. Um formato padronizado com hash de integridade demonstra profissionalismo e confiabilidade.

Categoria 5: LGPD e Proteção de Dados

Item 17: Dados de logs são tratados como dados pessoais

O que verificar: A empresa reconhece que logs de conexão e CGNAT constituem dados pessoais (pois permitem identificar um indivíduo) e os trata com as salvaguardas da LGPD.

Por que importa: A ANPD já se manifestou que dados de conexão à internet são dados pessoais. Tratá-los como "apenas dados técnicos" é um risco jurídico.

Item 18: Base legal para o tratamento está definida

O que verificar: Existe definição clara da base legal para armazenamento dos logs: cumprimento de obrigação legal (Marco Civil) e/ou legítimo interesse. Isso está documentado no ROPA (Registro de Operações de Tratamento).

Por que importa: A LGPD exige base legal para todo tratamento de dados pessoais. Para logs de conexão, a base é o cumprimento de obrigação legal (Art. 7, II da LGPD c/c Art. 13 do Marco Civil).

Item 19: Encarregado de dados (DPO) está nomeado

O que verificar: A empresa possui um Encarregado de Proteção de Dados nomeado, conforme exige a LGPD, e essa informação está publicada no site.

Por que importa: É obrigação legal. Além disso, o DPO é o ponto de contato para a ANPD e para titulares de dados que queiram exercer seus direitos.

Item 20: Prontidão para auditoria ANATEL

O que verificar: Se a ANATEL solicitasse hoje uma demonstração da capacidade de identificar assinantes via logs CGNAT, você conseguiria atender em 24 horas?

Por que importa: A ANATEL tem intensificado a fiscalização de provedores de todos os portes. A capacidade de demonstrar conformidade rapidamente evita sanções e demonstra maturidade operacional.

Calculando Sua Pontuação

Some todos os itens respondidos com Sim (1 ponto cada):

0 a 7 pontos — Risco Crítico

Seu provedor está significativamente exposto a riscos legais. Uma intimação judicial pode não ser atendida, uma auditoria da ANATEL pode resultar em sanções, e um incidente de segurança pode ter consequências graves. Ação imediata é necessária.

Priorize: itens 1-4 (coleta e retenção de logs) são os mais urgentes. Sem isso, tudo o mais é irrelevante.

8 a 14 pontos — Precisa Melhorar

Você tem o básico funcionando, mas há lacunas importantes. Provavelmente consegue responder intimações (com esforço), mas não tem segurança operacional nem conformidade plena com LGPD. Um evento adverso (falha de disco, técnico saiu da empresa) pode derrubar sua capacidade de resposta.

Priorize: itens 6-9 (integridade) e 14-16 (processo judicial). Isso vai reduzir significativamente seu risco.

15 a 20 pontos — Conforme

Parabéns! Seu provedor está em boa forma. Você tem coleta, retenção, integridade, processo e governança funcionando. Continue monitorando e atualizando — a legislação e as ameaças evoluem.

Priorize: itens que ficaram como "Não" — mesmo sendo poucos, cada um representa uma vulnerabilidade.

Próximos Passos

Independente da sua pontuação, aqui estão ações concretas:

1. Itens 1-3: Se não coleta logs CGNAT com porta, resolva hoje. Configure syslog no MikroTik (veja nosso tutorial) ou implante uma solução como o NATVault
2. Item 4: Verifique a retenção. Se logs de 13 meses atrás não existem, você já está fora do prazo legal
3. Item 6: Configure NTP. É gratuito e leva 5 minutos por equipamento
4. Item 14: Escreva um procedimento de resposta a intimações. Pode ser simples (1 página), mas precisa existir
5. Item 20: Faça um teste real — simule uma consulta judicial e meça quanto tempo leva