Um cliente me ligou desesperado depois que o notebook da empresa foi roubado do carro — a boa notícia é que o disco tinha BitLocker ativado, então quem levou o equipamento ficou só com uma peça de hardware, sem acesso a nenhuma planilha ou contrato. A má notícia é que, na mesma empresa, três outros notebooks não tinham a mesma proteção porque “ninguém tinha tempo de configurar”. Criptografia não é sobre parecer paranoico, é sobre não perder tudo quando (não se) o aparelho for perdido, roubado ou invadido.
A parte boa é que criptografar dados hoje não exige entender matemática de chaves assimétricas — os sistemas operacionais já vêm com ferramentas prontas, e o trabalho real é decidir o que proteger e configurar direito uma vez.
Criptografia de disco inteiro: a proteção que mais compensa pelo esforço
Criptografar o disco inteiro (não só uma pasta) é o que salva o cliente do exemplo acima: se o notebook é roubado desligado ou bloqueado, o disco vira um pedaço de metal ilegível sem a senha de login.
No Windows 10/11 Pro, o caminho é Painel de Controle > Sistema e Segurança > BitLocker, selecionando a unidade e seguindo o assistente. Um detalhe que trava muita gente: o BitLocker completo (não a versão “Device Encryption” mais limitada) exige TPM 1.2 ou superior na placa-mãe — em notebooks mais antigos ele simplesmente não aparece como opção, e nesse caso vale usar o VeraCrypt como alternativa gratuita e igualmente confiável. No Windows Home, o BitLocker tradicional nem aparece no Painel de Controle; só o “Device Encryption” simplificado, que exige conta Microsoft vinculada.
No macOS, é o FileVault, em Preferências do Sistema > Segurança e Privacidade > FileVault. A chave de recuperação gerada nesse processo precisa ser guardada em lugar seguro e fora do próprio Mac — perder essa chave e esquecer a senha significa perder o acesso aos dados de vez, sem exceção.
O erro mais comum: guardar a chave de recuperação no mesmo lugar dos dados
Isso acontece com uma frequência que surpreende: a pessoa criptografa o disco, salva a chave de recuperação num arquivo de texto na área de trabalho do mesmo computador, e no dia que precisa da chave (perda de senha, troca de hardware, erro do sistema) ela está trancada exatamente no lugar que não consegue acessar. A chave de recuperação do BitLocker e do FileVault precisa ficar em outro dispositivo, num gerenciador de senhas, ou impressa e guardada fisicamente — nunca só dentro do disco que ela protege.
Criptografando arquivos e pastas específicos
Quando não faz sentido criptografar o disco todo (por exemplo, num computador compartilhado onde só uma pasta é sensível), o VeraCrypt cria um “cofre” criptografado que funciona como uma unidade virtual: só monta e fica acessível depois de digitar a senha. É gratuito, auditado publicamente e funciona em Windows, macOS e Linux — vale mais a pena que ferramentas pagas de nicho, porque o código é aberto e revisado pela comunidade de segurança.
Para quem já usa o Windows Pro, o recurso nativo EFS (Propriedades do arquivo > Avançado > Criptografar conteúdo) é mais simples de configurar, mas tem uma pegadinha real: a chave EFS fica atrelada ao perfil do usuário do Windows. Se o perfil for corrompido ou o Windows for reinstalado sem exportar a chave antes, os arquivos criptografados com EFS ficam ilegíveis pra sempre — mais um motivo pra preferir VeraCrypt quando o arquivo é realmente importante.
E-mail e mensagens: onde a criptografia depende do outro lado também
WhatsApp e Signal já criptografam ponta a ponta por padrão, sem configuração extra — a diferença prática entre os dois é que o Signal não guarda metadados de quem fala com quem, e o WhatsApp guarda. Para uso corporativo sensível, isso importa.
E-mail é mais complicado: criptografia ponta a ponta de verdade (S/MIME ou PGP) só funciona se as duas pontas da conversa configurarem certificado — mandar um e-mail criptografado pra alguém que não tem certificado configurado simplesmente não funciona, o destinatário não consegue abrir. Na prática, pra maioria das empresas pequenas, é mais realista usar um serviço com criptografia nativa como o ProtonMail para as comunicações mais sensíveis do que tentar configurar S/MIME com todo mundo que a empresa troca e-mail.
Nuvem: a criptografia do provedor não é suficiente sozinha
Google Drive e OneDrive criptografam os dados em trânsito e em repouso nos servidores deles, mas isso protege contra invasão externa ao provedor — não contra alguém que acessa sua conta com a senha roubada, nem contra o próprio provedor tecnicamente conseguir ler os arquivos (mesmo que a política diga que não faz isso). Para arquivos realmente sensíveis, ferramentas como o Cryptomator criptografam o arquivo antes dele subir pra nuvem — o provedor armazena só o conteúdo já embaralhado, sem conseguir abrir mesmo que quisesse.
Perguntas frequentes
Criptografia deixa o computador mais lento?
Em hardware de 2018 pra cá, praticamente não há diferença perceptível — os processadores atuais têm aceleração de hardware pra AES. Em máquinas bem antigas pode haver uma perda pequena de performance em leitura/gravação de disco.
Se eu formatar o disco criptografado, os dados somem de vez?
Sim, e é justamente esse o objetivo — inclusive é uma forma rápida de “apagar com segurança” um SSD inteiro sem precisar rodar ferramenta de sobrescrita: formatando o disco criptografado, os dados antigos ficam irrecuperáveis porque a chave se perde.
A LGPD exige criptografia por lei?
A LGPD não especifica uma tecnologia obrigatória, mas exige “medidas técnicas adequadas” para proteger dados pessoais — criptografia é amplamente reconhecida como uma dessas medidas e ajuda a demonstrar diligência em caso de fiscalização ou vazamento.
Vale a pena criptografar o celular também?
Sim, e a boa notícia é que Android e iPhone já vêm criptografados por padrão desde versões razoavelmente antigas, desde que exista uma senha, PIN ou biometria configurada — sem isso, a criptografia do aparelho não é ativada de fato.
Leia também: Vazamento de Dados: Como Descobrir se Você Foi Atingido, Como Evitar Golpes de Phishing ao Navegar na Internet e WPA3 na Rede Doméstica: Como Ativar Sem Perder Dispositivos Antigos.
