# data[].attributes.body
O termo é usado para se referir à defesa de dados e à prática que assegura que informações sigilosas possam ser acessadas somente por aqueles a quem estas se referem (em outras palavras, seus responsáveis de direito).

A segurança da informação é uma grande aliada de empresas, pois é responsável por evitar que qualquer pessoa distribua, de forma indevida, dados sobre vendas, margem de lucro, concorrentes, entre outras. Em um mundo no qual diversas tarefas são realizadas ao mesmo tempo e e-mails confidenciais podem ser enviados em apenas um clique, é fundamental que exista proteção para eventuais erros.
Nesses casos, a Segurança da Informação permite construir políticas e métodos que são empregados na circulação de dados confidenciais e são controlados pelo departamento de Tecnologia da Informação (TI) de uma empresa.
Geralmente, programas são instalados para garantir que os computadores serão utilizados somente para fins de trabalho. Além disso, é imprescindível garantir que os funcionários não baixarão nenhum tipo de programa no computador, uma vez que um simples bug ou malware pode colocar tudo a perder. Por isso, corporações preveem punições rigorosas (e até o risco de demissão) para qualquer colaborador que quebrar as regras de uso das informações, quer estejam em um e-mail com relatórios sobre vendas, quer em planilhas sobre a porcentagem dos lucros ou em apresentações salvas no computador.
Além disso, a Segurança da Informação também pode ser utilizada por indivíduos, principalmente em redes sociais, para proteger seus dados. Para garantir sua privacidade, é imprescindível que as pessoas possuam um bom antivírus, troquem sempre suas senhas de acesso, evitem compartilhá-las com outras pessoas e também evitem acessar suas redes usando computadores ou redes públicas. Tudo isso faz parte das propriedades básicas da Segurança da Informação, que são: confidencialidade, disponibilidade, autenticidade, integridade e legalidade.

# data[].attributes.attachment_link.readable_text
A Internet é um dos principais pontos por onde a informação é distribuída na forma de bits e bytes. Notícias, opiniões, tutoriais e produtos, tudo isso é espalhado na Web em uma velocidade nunca vista em outro meio de comunicação. Justamente por isso, com tantos dados disponíveis a apenas um clique, a segurança da informação é mais que necessária. Afinal de contas, espalhar informações sigilosas, falsas ou que simplesmente não deveriam ser publicadas por expor alguém, é uma prática que deve ser evitada e traz consequências. Mas afinal, o que é Segurança da Informação e como funciona?

O que é Segurança da Informação?

O termo é usado para se referir à defesa de dados e à prática que assegura que informações sigilosas possam ser acessadas somente por aqueles a quem estas se referem (em outras palavras, seus responsáveis de direito).

Continua após a publicidade

A segurança da informação é uma grande aliada de empresas, pois é responsável por evitar que qualquer pessoa distribua, de forma indevida, dados sobre vendas, margem de lucro, concorrentes, entre outras. Em um mundo no qual diversas tarefas são realizadas ao mesmo tempo e e-mails confidenciais podem ser enviados em apenas um clique, é fundamental que exista proteção para eventuais erros.

Nesses casos, a Segurança da Informação permite construir políticas e métodos que são empregados na circulação de dados confidenciais e são controlados pelo departamento de Tecnologia da Informação (TI) de uma empresa.

Geralmente, programas são instalados para garantir que os computadores serão utilizados somente para fins de trabalho. Além disso, é imprescindível garantir que os funcionários não baixarão nenhum tipo de programa no computador, uma vez que um simples bug ou malware pode colocar tudo a perder. Por isso, corporações preveem punições rigorosas (e até o risco de demissão) para qualquer colaborador que quebrar as regras de uso das informações, quer estejam em um e-mail com relatórios sobre vendas, quer em planilhas sobre a porcentagem dos lucros ou em apresentações salvas no computador.

Além disso, a Segurança da Informação também pode ser utilizada por indivíduos, principalmente em redes sociais, para proteger seus dados. Para garantir sua privacidade, é imprescindível que as pessoas possuam um bom antivírus, troquem sempre suas senhas de acesso, evitem compartilhá-las com outras pessoas e também evitem acessar suas redes usando computadores ou redes públicas. Tudo isso faz parte das propriedades básicas da Segurança da Informação, que são: confidencialidade, disponibilidade, autenticidade, integridade e legalidade.

Cursos sobre Segurança da Informação

Por conta da importância da área para a proteção de dados sigilosos, existem cursos de pós-graduação, MBA e também cursos que não requerem graduação prévia e podem ser encontrados em plataforma como a Udemy. Os profissionais da área de Tecnologia da Informação já reconhecem essa disciplina como sendo uma das mais importantes.

Um bom profissional de Segurança da Informação é capaz de monitorar riscos e projetar respostas adequadas a cada um deles, protegendo as máquinas contra o acesso de hackers e espiões. Além disso, ele também pode evitar a apropriação de dados sigilosos por criminosos que buscam fraudar e aplicar golpes na empresa.

Continua após a publicidade

Casos de falhas famosas de Segurança da Informação

Pacific Bank

O caso Pacific Bank ocorreu em 1978, quando um funcionário, Stanley Mark Rifkin, aplicou um golpe no banco onde trabalhava. Para executar seu plano, tudo o que ele precisou foi obter acesso a três códigos utilizados pelos funcionários responsáveis por realizar transferências eletrônicas: o Código Diário Secreto, o número do escritório e o número de estabelecimento entre escritórios (que foi obtido através de uma simples ligação).

Continua após a publicidade

Com esses três códigos, Stanley se passou por um membro do Departamento Internacional do banco e solicitou uma transferência de 10 milhões de dólares para uma conta na Suíça. Até hoje, o caso é lembrado como uma das maiores fraudes por vazamento de informações da história.

Hewlett-Packard (HP)

Já o incidente envolvendo a popular empresa HP ocorreu em 2005, quando informações sigilosas da corporação foram espalhadas por um dos diretores mais antigos da empresa, que as vendeu para o Wall Street Journal.
Antes da confissão, no entanto, a empresa grampeou telefones e contratou detetives particulares para descobrir o responsável pela quebra no sigilo dos dados - o que não teve um bom resultado, uma vez que a justiça dos EUA os acusou de utilizar meios ilegais para a investigação.

Continua após a publicidade

Petrobrás

O caso Petrobrás é a prova de que, além de proteger os dados no meio virtual, a Segurança da Informação também deve se precaver contra imprevistos envolvendo componentes físicos. Em 2008, notebooks e discos rígidos da Petrobrás sumiram misteriosamente. Todos continham informações extremamente importantes sobre o projeto do Pré-Sal, o que resultou em uma preocupação no país inteiro.

O caso foi investigado pela Polícia Federal e resultou na prisão de quatro pessoas.

Continua após a publicidade

E aí, você consideraria a Segurança da Informação um dos principais investimentos de uma empresa?

# data[].attributes.attachment_link.description
A Internet é um dos principais pontos por onde a informação é distribuída na forma de bits e bytes. Notícias, opiniões, tutoriais e produtos, tudo isso é espalh

# data[].attributes.attachment_link.readable_text
A criptografia é essencial para a troca de dados pela internet.

A segurança da informação (SI) está diretamente relacionada com proteção de um conjunto de informações, no sentido de preservar o valor que possuem para um indivíduo ou uma organização. São propriedades básicas da segurança da informação: confidencialidade, integridade, disponibilidade, autenticidade e legalidade.

A SI não está restrita somente a sistemas computacionais, informações eletrônicas ou sistemas de armazenamento. O conceito aplica-se a todos os aspectos de proteção de informações e dados. O conceito de Segurança Informática ou Segurança de Computadores está intimamente relacionado com o de Segurança da Informação, incluindo não apenas a segurança dos dados/informação, mas em si o sistema.

Atualmente o conceito de Segurança da Informação está padronizado pela norma ISO/IEC 17799:2005, influenciada pelo padrão inglês ( British Standard) BS 7799. A norma técnica de segurança da informação em vigor é: ABNT NBR ISO/IEC 27002:2013

A maioria das definições de Segurança da Informação (SI) (Brostoff, 2004; Morris e Thompson, 1979; Sieberg, 2005; Smith, 2002) pode ser sumarizada como a proteção contra o uso ou acesso não-autorizado à informação, bem como a proteção contra a negação do serviço a usuários autorizados, enquanto a integridade e a confidencialidade dessa informação são preservadas. A SI não está confinada a sistemas de computação, nem à informação em formato eletrônico. Ela se aplica a todos os aspectos de proteção da informação ou dados, em qualquer forma. O nível de proteção deve, em qualquer situação, corresponder ao valor dessa informação e aos prejuízos que poderiam decorrer do uso impróprio da mesma. É importante lembrar que a SI também cobre toda a infraestrutura que permite o seu uso, como processos, sistemas, serviços, tecnologias, e outros.

A Segurança da informação refere-se à proteção existente sobre as informações de uma determinada empresa ou pessoa, isto é, aplica-se tanto às informações corporativas quanto às pessoais. Entende-se por informação todo e qualquer conteúdo ou dado que tenha valor para alguma organização ou pessoa. Ela pode estar guardada para uso restrito ou exposta ao público para consulta ou aquisição.

Podem ser estabelecidas métricas (com o uso ou não de ferramentas) para a definição do nível de segurança existente e, com isto, serem estabelecidas as bases para análise da melhoria ou piora da situação de segurança existente. A segurança de uma determinada informação pode ser afetada por fatores comportamentais e de uso de quem se utiliza dela, pelo ambiente ou infraestrutura que a cerca ou por pessoas mal intencionadas que têm o objetivo de furtar, destruir ou modificar tal informação.

A tríade CIA (Confidentiality, Integrity and Availability) - Confidencialidade, Integridade e Disponibilidade - representa os principais atributos que, atualmente, orientam a análise, o planejamento e a implementação da segurança para um determinado grupo de informações que se deseja proteger. Outros atributos importantes são não-repúdio ( irretratabilidade), autenticidade e conformidade. Com a evolução do comércio eletrônico e da sociedade da informação, a privacidade é também uma grande preocupação.

Portanto os atributos básicos da segurança da informação, segundo os padrões internacionais ( ISO/IEC 17799:2005) são os seguintes:

Confidencialidade: propriedade que limita o acesso a informação tão somente às entidades legítimas, ou seja, àquelas autorizadas pelo proprietário da informação;

Integridade: propriedade que garante que a informação manipulada mantenha todas as características originais estabelecidas pelo proprietário da informação, incluindo controle de mudanças e garantia do seu ciclo de vida (Corrente, intermediária e permanente). O ciclo de vida da informação orgânica - criada em ambiente organizacional - segue as três fases do ciclo de vida dos documentos de arquivos; conforme preceitua os canadenses da Universidade do Quebec (Canadá): Carol Couture e Jean Yves Rousseau, no livro Os Fundamentos da Disciplina Arquivística;

Disponibilidade: propriedade que garante que a informação esteja sempre disponível para o uso legítimo, ou seja, por aqueles usuários autorizados pelo proprietário da informação;

Autenticidade: propriedade que garante que a informação é proveniente da fonte anunciada e que não foi alvo de mutações ao longo de um processo;

O suporte para as recomendações de segurança pode ser encontrado em:

Controles físicos: são barreiras que limitam o contato ou acesso direto a informação ou a infraestrutura (que garante a existência da informação) que a suporta. Mecanismos de segurança que apoiam os controles físicos: portas, trancas, paredes, blindagem, guardas, etc.

Controles lógicos: são barreiras que impedem ou limitam o acesso a informação, que está em ambiente controlado, geralmente eletrônico, e que, de outro modo, ficaria exposta a alteração não autorizada por elemento mal intencionado. Mecanismos de segurança que apoiam os controles lógicos:

Mecanismos de cifração ou encriptação: permitem a transformação reversível da informação de forma a torná-la ininteligível a terceiros. Utiliza-se para tal, algoritmos determinados e uma chave secreta para, a partir de um conjunto de dados não criptografados, produzir uma sequência de dados criptografados. A operação inversa é a decifração.

Assinatura digital: Um conjunto de dados criptografados, associados a um documento do qual são função, garantindo a integridade e autenticidade do documento associado, mas não a sua confidencialidade.

Mecanismos de garantia da integridade da informação: usando funções de "Hashing" ou de checagem, é garantida a integridade através de comparação do resultado do teste local com o divulgado pelo autor.

Mecanismos de controle de acesso: palavras-chave, sistemas biométricos, firewalls, cartões inteligentes.

Mecanismos de certificação: atesta a validade de um documento.

Honeypot: é uma ferramenta que tem a função de propositalmente simular falhas de segurança de um sistema e colher informações sobre o invasor enganando-o, fazendo-o pensar que esteja de fato explorando uma vulnerabilidade daquele sistema. É uma espécie de armadilha para invasores. O honeypot não oferece nenhum tipo de proteção.

Protocolos seguros: uso de protocolos que garantem um grau de segurança e usam alguns dos mecanismos citados aqui.

Atualmente existe uma grande variedade de ferramentas e sistemas que pretendem fornecer segurança. Alguns exemplos: antivírus, firewalls, filtros anti-spam, fuzzers, detectores de intrusões (IDS), analisadores de código, etc.

As ameaças à segurança da informação são relacionadas diretamente à perda de uma de suas três principais características, quais sejam:

Perda de confidencialidade: há uma quebra de sigilo de uma determinada informação (ex: a senha de um usuário ou administrador de sistema) permitindo que sejam expostas informações restritas as quais seriam acessíveis apenas por um determinado grupo de usuários.

Perda de integridade: determinada informação fica exposta a manuseio por uma pessoa não autorizada, que efetua alterações que não foram aprovadas e não estão sob o controle do proprietário (corporativo ou privado) da informação.

Perda de disponibilidade: a informação deixa de estar acessível por quem necessita dela. Seria o caso da perda de comunicação com um sistema importante para a empresa, que aconteceu com a queda de um servidor ou de uma aplicação crítica de negócio, que apresentou uma falha devido a um erro causado por motivo interno ou externo ao equipamento ou por ação não autorizada de pessoas com ou sem má intenção.

No caso de ameaças à rede de computadores ou a um sistema, estas podem vir de agentes maliciosos, muitas vezes conhecidos como crackers, ( hackers não são agentes maliciosos, pois tentam ajudar a encontrar possíveis falhas). Os crackers são motivados a fazer esta ilegalidade por vários motivos, dentre eles: notoriedade, autoestima, vingança e enriquecimento ilícito. De acordo com pesquisa elaborada pelo Computer Security Institute, mais de 70% dos ataques partem de usuários legítimos de sistemas de informação ( insiders), o que motiva corporações a investir largamente em controles de segurança para seus ambientes corporativos ( intranet).

Todo sistema de computação necessita de um sistema para proteção de arquivos. Este sistema é um conjunto de regras que garantem que a informação não seja lida, ou modificada por quem não tem permissão.

A segurança é usada especificamente para referência do problema genérico do assunto, já os mecanismos de proteção são usados para salvar as informações a serem protegidas. A segurança é analisada de várias formas, sendo os principais problemas causados com a falta dela a perda de dados e as invasões de intrusos. A perda de dados na maioria das vezes é causada por algumas razões:

Fatores naturais: incêndios, enchentes, terremotos, e vários outros problemas de causas naturais;

Erros de hardware ou de software: falhas no processamento, erros de comunicação, ou bugs em programas;

Erros humanos: entrada de dados incorreta, montagem errada de disco ou perda de um disco.

Para evitar a perda destes dados é necessário manter um backup confiável, armazenado geograficamente distante dos dados originais.

Em 1988, um estudante colocou na internet um programa malicioso ( malware), escrito em linguagem C, derrubando milhares de computadores pelo mundo, que foi identificado e removido logo após. Mas até hoje há controvérsias de que ele não foi completamente removido da rede. Até hoje não se sabe qual era seu objetivo, o que se sabe é que ele tentava descobrir todas as senhas que o usuário digitava. Mas esse programa se autocopiava em todos os computadores em que o estudante invadia. Essa "brincadeira" não durou muito, pois o estudante foi descoberto pouco tempo depois, processado e condenado a liberdade condicional, e teve que pagar uma alta multa.

Um dos casos mais recentes de invasão por meio de vírus foi o do worm Conficker (ou Downup, Downadup e Kido) que tinha como objetivo afetar computadores dotados do sistema operacional Microsoft Windows, e que foi primeiramente detectado em outubro de 2008. Uma versão anterior do malware propagou-se pela internet através de uma vulnerabilidade dos sistemas de rede do Windows (2000, XP, Vista, Server 2003, Server 2008, 7 Beta e Server 2008 R2 Beta, que tinha sido lançado anteriormente naquele mês). O worm bloqueia o acesso a websites destinados à venda, protegidos com sistemas de segurança e, portanto, é possível a qualquer usuário de internet verificar se um computador está infectado ou não, simplesmente por meio do acesso a websites destinados a venda de produtos dotados de sistemas de segurança.

Em 15 de outubro de 2008, a Microsoft liberou um bugfix de emergência para corrigir a vulnerabilidade MS08-067, através da qual o worm prevalece-se para poder se espalhar. As aplicações da atualização automática se aplicam somente para o Windows XP SP2, SP3, Windows 2000 SP4 e Windows Vista; o Windows XP SP1 e versões mais antigas não são mais suportados.

Em janeiro de 2009, o número estimado de computadores infectados variou entre 9 e 15 milhões. Em 13 de fevereiro de 2009, a Microsoft oferecia US$ 250mil em recompensa para qualquer informação que levasse à condenação e à prisão de pessoas por trás da criação e/ou distribuição do Conficker.

Os softwares antivírus não-ligados a Microsoft, tais como a BitDefender, Enigma Software, Eset, F-Secure, Symantec, Sophos, e o Kaspersky Lab liberaram atualizações com programas de detecção em seus produtos e são capazes de remover o worm. A McAfee e o AVG também são capazes de remover o vírus através de escaneamentos de discos rígidos e mídias removíveis.

Através dessas informações históricas percebemos que os antivírus devem estar cada vez mais atualizados, porque estão surgindo novos vírus rapidamente, e com a mesma velocidade deve ser lançado atualizações para os bancos de dados dos antivírus para que os mesmos sejam identificados e excluídos. Com a criação da internet essa propagação de vírus é muito rápida e muito perigosa, pois se não houver a atualização dos antivírus o computador e usuário estão vulneráveis, pois com a criação da internet várias empresas começarão a utilizar internet como exemplo empresas mais precisamente bancos, mas como é muito vulnerável esse sistema, pois existem vírus que tem a capacidade de ler o teclado (in/out), instruções privilegiadas como os keyloggers. Com esses vírus é possível ler a senha do usuário que acessa sua conta no banco, com isso é mais indicado utilizar um teclado virtual para digitar as senhas ou ir diretamente ao banco.

Depois de identificado o potencial de ataque, as organizações têm que decidir o nível de segurança a estabelecer para uma rede ou sistema os recursos físicos e lógicos a necessitar de proteção. No nível de segurança devem ser quantificados os custos associados aos ataques e os associados à implementação de mecanismos de proteção para minimizar a probabilidade de ocorrência de um ataque.

Considera as ameaças físicas como incêndios, desabamentos, relâmpagos, alagamento, algo que possa danificar a parte física da segurança, acesso indevido de estranhos (controle de acesso), forma inadequada de tratamento e manuseio dos veículos.

Atenta contra ameaças ocasionadas por vírus, acessos remotos à rede, backup desatualizados, violação de senhas, furtos de identidades, etc.

Segurança lógica é a forma como um sistema é protegido no nível de sistema operacional e de aplicação. Normalmente é considerada como proteção contra ataques, mas também significa proteção de sistemas contra erros não intencionais, como remoção acidental de importantes arquivos de sistema ou aplicação. É fácil manipular a informação usando palavras-chave, como nesse caso: informação; segurança; e controle.

Conforme Bluephoenix(2008) apud Espírito Santo(2012), após identificar os riscos, os níveis de proteção e determinar as decorrências que os riscos podem causar, deve-se executar os pontos de controle para reduzir riscos. Os controles podem aplicar-se na seguinte forma:

1. Políticas de segurança da informação;

2. Organização da segurança da informação;

3. Gestão e controle de ativos;

4. Segurança em recursos humanos;

5. Segurança física e do ambiente;

6. Gestão das operações e comunicações;

7. Controle de acessos;

8. Aquisição, desenvolvimento e manutenção de sistemas de informação;

9. Gestão da continuidade do negócio;

10. Conformidade legal.

Outra abordagem é a pontuação de ciber-segurança. Aqui, o servidor público na rede é automaticamente digitalizado para detectar vulnerabilidades de segurança conhecidas e a partir daí é determinada uma pontuação objectiva, o que torna possível comparar diferentes níveis de segurança entre organizações. Por exemplo, é possível comparar todos os fornecedores de uma grande empresa.

De acordo com o RFC 2196 ( The Site Security Handbook), uma política de segurança consiste num conjunto formal de regras que devem ser seguidas pelos utilizadores dos recursos de uma organização.

As políticas de segurança devem ter implementação realista, e definir claramente as áreas de responsabilidade dos utilizadores, do pessoal de gestão de sistemas e redes e da direção. Deve também adaptar-se a alterações na organização. As políticas de segurança fornecem um enquadramento para a implementação de mecanismos de segurança, definem procedimentos de segurança adequados, processos de auditoria à segurança e estabelecem uma base para procedimentos legais na sequência de ataques.

O documento que define a política de segurança deve deixar de fora todos os aspectos técnicos de implementação dos mecanismos de segurança, pois essa implementação pode variar ao longo do tempo. Deve ser também um documento de fácil leitura e compreensão, além de resumido.

Algumas normas definem aspectos que devem ser levados em consideração ao elaborar políticas de segurança. Entre essas normas estão a BS 7799 (elaborada pela British Standards Institution) e a NBR ISO/IEC 17799 (a versão brasileira desta primeira). A ISO começou a publicar a série de normas 27000, em substituição à ISO 17799 (e por conseguinte à BS 7799), das quais a primeira, ISO 27001, foi publicada em 2005.

Existem duas filosofias por trás de qualquer política de segurança:

a proibitiva (tudo que não é expressamente permitido é proibido) e

a permissiva (tudo que não é proibido é permitido).

Os elementos da política de segurança devem ser considerados:

Disponibilidade: o sistema deve estar disponível de forma que quando o usuário necessitar, possa usar. Dados críticos devem estar disponíveis ininterruptamente;

Integridade: o sistema deve estar sempre íntegro e em condições de ser usado;

Confidencialidade: dados privados devem ser apresentados somente aos donos dos dados ou ao grupo por ele liberado;

Autenticidade: o sistema deve ter condições de garantir de que a informação e/ou a identidade dos usuários, são quem dizem ser;

Legalidade: valor legal das informações dentro de um processo de comunicação.

Dentre as políticas utilizadas pelas grandes corporações a composição da senha é a mais controversa. Por um lado profissionais com dificuldade de memorizar várias senhas de acesso com mais de 10 caracteres diferenciados, por outro funcionários displicentes que anotam a senha sob o teclado, no fundo das gavetas e, em casos mais graves, até em post-it no monitor.

Recomenda-se a adoção das seguintes regras para minimizar o problema, mas a regra fundamental é a conscientização dos colaboradores quanto ao uso e manutenção das senhas:

Senha com data para expiração.

Adota-se um padrão definido onde a senha possui prazo de validade de 30 ou 45 dias, obrigando o colaborador ou usuário a renovar sua senha;

Adota-se através de regras predefinidas que uma senha não poderá ter mais que 60% dos caracteres utilizados nas últimas senhas. Por exemplo: caso a senha anterior fosse "123senha", a nova senha deve ter mais de 60% dos caracteres diferentes, como "456seuse", neste caso foram repetidos somente os caracteres "s" "e" os demais diferentes;

Obrigar a composição com número mínimo de caracteres numéricos e alfabéticos.

Define-se obrigatoriedade de 4 caracteres alfabéticos e 4 caracteres numéricos. Por exemplo: 1432seus ou até 1s4e3u2s ;

Criar um conjunto com possíveis senhas que não podem ser utilizadas.

Monta-se uma base de dados com formatos conhecidos de senhas e proibir o seu uso. Exemplos: o nome da empresa ou abreviatura, caso o funcionário chame-se José da Silva, sua senha não deveria conter partes do nome como 1221jose ou 1212silv etc., nem sua data de nascimento/aniversário, número de telefone, e similares.

Recomenda-se ainda utilizar senhas que mesclam caracteres em cAiXa aLtA e bAiXa, além da utilização de caracteres especiais como: @ # $ % & * ;

Usar a técnica leet na composição das senhas, substituindo letras por números e símbolos;

Automaticamente gerar a senha para os usuários ou deixar que eles escolham entre um número limitado de opções exibidas.

A gestão de riscos, por sua vez, fundamental para garantir o perfeito funcionamento de toda a estrutura tecnológica da empresa, engloba a Segurança da Informação, já que a quantidade de vulnerabilidades e riscos que podem comprometer as informações da empresa é cada vez maior.

Ao englobar a gestão da segurança da informação, a gestão de riscos tem como principais desafios:

proteger um dos principais ativos da organização - a informação - assim como a reputação e a marca da empresa;

implementar e gerir controles que tenham como foco principal os objetivos do negócio;

promover ações corretivas e preventivas de forma eficiente;

garantir o cumprimento de regulamentações;

definir os processos de gestão da Segurança da Informação.

Entre as vantagens de investir na gestão de riscos voltada para a segurança da informação estão a priorização das ações de acordo com a necessidade e os objetivos da empresa e a utilização de métricas e indicadores de resultados.

Referências

Bibliografia

Terpstra, John (2005). Segurança para Linux. RJ: Elsevier. ISBN 85-352-1599-9

Melhorar a usabilidade de Gerenciamento de senha com políticas de senha padronizados

Claudia Dias, Segurança e Auditoria da Tecnologia da Informação, 2000, Editora: Axcel Books 142, ISBN 85-7323-231-9

Brostoff, S. (2004). Improving password system effectiveness. Tese de Doutorado. University College London.

Morris, R. & Thompson, K. (1979). Password security: a case history. Communications of the ACM, 22, 594-597.

Sieberg, D. (2005). Hackers shift focus to financial gain. CNN.com - Special Reports - Online Security. Publicado em 26 de setembro de 2005.

Smith, R.E. (2002). The strong password dilemma. Authentication: From Passwords to Public Keys. Chapter 6. Addison-Wesley.

Wikilivros

# data[].attributes.attachment_link.title
Segurança da informação - Wikipédia, a enciclopédia livre

# data[].attributes.attachment_link.description
A segurança da informação (SI) está diretamente relacionada com proteção de um conjunto de informações, no sentido de preservar o valor que possuem para um indivíduo ou uma organização. São propriedades básicas da segurança da informação: confidencialidade, integridade, disponibilidade, autenticidade e legalidade. A SI não está restrita somente a sistemas computacionais, informações eletrônicas ou sistemas de armazenamento.

# data[].attributes.body
A Lei Geral de Proteção de Dados (13.709/2018) tem como principal objetivo proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural. Também tem como foco a criação de um cenário de segurança jurídica, com a padronização de regulamentos e práticas para promover a proteção aos dados pessoais de todo cidadão que esteja no Brasil, de acordo com os parâmetros internacionais existentes.
A lei define o que são dados pessoais e explica que alguns deles estão sujeitos a cuidados ainda mais específicos, como os dados pessoais sensíveis e dados pessoais sobre crianças e adolescentes. Esclarece ainda que todos os dados tratados, tanto no meio físico quanto no digital, estão sujeitos à regulação. Além disso, a LGPD estabelece que não importa se a sede de uma organização ou o centro de dados dela estão localizados no Brasil ou no exterior: se há o processamento de informações sobre pessoas, brasileiras ou não, que estão no território nacional, a LGPD deve ser observada. A lei autoriza também o compartilhamento de dados pessoais com organismos internacionais e com outros países, desde que observados os requisitos nela estabelecidos.

# data[].attributes.attachment_link.title
O que é a LGPD? — Lei Geral de Proteção de Dados

# data[].attributes.attachment_link.description
A Lei Geral de Proteção de Dados (13.709/2018) tem como principal objetivo proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural. Também tem como foco a criação de um cenário de segurança jurídica, com a padronização de regulamen…

# data[].attributes.attachment_link.readable_text
A Lei Geral de Proteção de Dados Pessoais (LGPD ou LGPDP), Lei nº 13.709/2018, é a legislação brasileira que regula as atividades de tratamento de dados pessoais e que também altera os artigos 7º e 16 do Marco Civil da Internet.

O Brasil passou a fazer parte dos países que contam com uma legislação específica para proteção de dados e da privacidade dos seus cidadãos. Outros regulamentos similares à LGPD no Brasil são o Regulamento Geral sobre a Proteção de Dados ( GDPR) na União Europeia, que passou a ser obrigatório em 25 de maio de 2018 e aplicável a todos os países da União Europeia (UE), e o California Consumer Privacy Act of 2018 (CCPA), nos Estados Unidos da América, implementado através de uma iniciativa em âmbito estadual, na Califórnia, onde foi aprovado no dia 28 de junho de 2018 (AB 375).

A legislação se fundamenta em diversos valores, como o respeito à privacidade; à autodeterminação informativa; à liberdade de expressão, de informação, comunicação e de opinião; à inviolabilidade da intimidade, da honra e da imagem; ao desenvolvimento econômico e tecnológico e a inovação; à livre iniciativa, livre concorrência e defesa do consumidor e aos direitos humanos de liberdade e dignidade das pessoas.

A LGPD cria um conjunto de novos conceitos jurídicos (e.g. "dados pessoais", "dados pessoais sensíveis"), estabelece as condições nas quais os dados pessoais podem ser tratados, define um conjunto de direitos para os titulares dos dados, gera obrigações específicas para os controladores dos dados e cria uma série de procedimentos e normas para que haja maior cuidado com o tratamento de dados pessoais e compartilhamento com terceiros. A lei se aplica a toda informação relacionada a pessoa natural identificada ou que possa ser identificável e aos dados que tratem de origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, sempre que os mesmos estiverem vinculados a uma pessoa natural.

Além do fato de o projeto de lei ter sido fruto da aglutinação de outras propostas que há muito tempo vinham tramitando paralelamente sobre o tema, os escândalos de privacidade do Facebook - em que a empresa Cambridge Analytica utilizou de dados dos usuários para que pudessem fazer uma campanha política mais assertiva e customizada na eleição de Donald Trump em 2016 - também trouxeram visibilidade para o assunto.

A segurança de dados e a privacidade passaram a ser pautas recorrentes, recaindo uma cobrança sobre os políticos brasileiros no sentido de tratar dessas questões, já que não havia no país legislação com objetivo específico de defender os dados dos usuários e definir responsabilidades relativas ao tratamento destes. Tal abordagem se justifica mediante as regulamentações estabelecidas pelo Estado brasileiro para a manipulação, tratamento e armazenamento de dados pessoais por organizações.

Há também investigações acontecendo no Brasil. Várias instituições tem se dividido na defesa dos dados pessoais. Muitas vezes são as instituições de São Paulo que atuam nos casos já que é o estado onde geralmente as multinacionais tem sua sede. No final de julho de 2019, o PROCON-SP cobrou explicações sobre coletas de dados ao FaceApp (aplicativo), Google e Apple. Em 2018 o Ministério Público Federal de São Paulo (MPF-SP) processou a Microsoft por coletas de dados dos usuários sem autorização explícita, também em julho o Ministério Publico do Distrito Federal e Territórios (MPDFT) sinalizou um possível comércio entre órgãos públicos, onde o produto são os dados das pessoas, obtidos através de informações pessoais como as informações da Carteira Nacional de Habilitação, sem que houvesse consentimento dos donos e que isso estaria violando o Marco Civil da Internet e a própria LGPD. O Serpro negou as acusações, alegando que disponibiliza por meio de um serviço e citando uma portaria do Ministério da Fazenda.

Em novembro de 2010 teve início no Brasil o debate sobre a proteção de dados pessoais, com o propósito de se elaborar uma lei específica sobre o tema. Até abril de 2011 foram colhidas manifestações por meio de um blog mantido pelo Ministério da Justiça na plataforma Cultura Digital, do Ministério da Cultura. O resultado desse primeiro debate nunca chegou a ser enviado pelo Poder Executivo ao Congresso Nacional.

Em junho de 2012, o Deputado Milton Monti (PR-SP) apresentou na Câmara dos Deputados o Projeto de Lei nº 4060, como produto das discussões do V Congresso Brasileiro da Indústria da Comunicação. E em 2014, o Senador Vital do Rêgo apresentou o PLS 181/2014.

Em janeiro de 2015 o governo federal reiniciou, sob a gestão da Secretaria Nacional do Consumidor do Ministério da Justiça, o debate público para a elaboração de um anteprojeto de lei. As duas consultas públicas somaram 2.500 contribuições nacionais e internacionais, de todos os setores, além de incontáveis eventos presenciais de debate. O texto resultante foi apresentado publicamente em outubro do mesmo ano.

Em maio de 2016, na véspera de seu afastamento do governo, a então presidente Dilma Rousseff encaminhou ao Congresso, em regime de urgência, o anteprojeto de lei, recebido como Projeto de Lei nº 5276/2016. Em julho de 2016, o presidente interino Michel Temer retirou o regime de urgência e o PL 5276/16 tramitou formalmente na Câmara dos Deputados apensado ao 4060/12.

Em julho de 2018 o Projeto Lei da Câmara 53/2018 foi aprovado no plenário do Senado. A Lei Geral de Proteção de Dados foi sancionada em 14 de agosto de 2018, publicada no Diário Oficial da União em 15 de agosto de 2018, e republicada parcialmente no mesmo dia, em edição extra. O início da vigência seria em 18 meses desde a publicação.

O projeto sofreu vetos. Sob a alegação, bastante questionada, de vício de iniciativa, Temer vetou a criação da Autoridade Nacional de Proteção de Dados (ANPD), órgão de fiscalização.

Em dezembro de 2018, Temer editou a Medida Provisória nº 869, de 27 de dezembro de 2018, prevendo a criação da ANPD e alterando o início da vigência da lei para agosto de 2020.

Dado pessoal: informação relacionada a pessoa natural identificada ou identificável;

Dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;

Dado anonimizado: dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento;

Banco de dados: conjunto estruturado de dados pessoais, estabelecido em um ou em vários locais, em suporte eletrônico ou físico;

Titular: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento;

Controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;

Operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;

Encarregado: pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD);

Agentes de tratamento: o controlador e o operador;

Tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;

Anonimização: utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo;

Consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada;

Bloqueio: suspensão temporária de qualquer operação de tratamento, mediante guarda do dado pessoal ou do banco de dados;

Eliminação: exclusão de dado ou de conjunto de dados armazenados em banco de dados, independentemente do procedimento empregado;

Transferência internacional de dados: transferência de dados pessoais para país estrangeiro ou organismo internacional do qual o país seja membro;

Uso compartilhado de dados: comunicação, difusão, transferência internacional, interconexão de dados pessoais ou tratamento compartilhado de bancos de dados pessoais por órgãos e entidades públicos no cumprimento de suas competências legais, ou entre esses e entes privados, reciprocamente, com autorização específica, para uma ou mais modalidades de tratamento permitidas por esses entes públicos, ou entre entes privados;

Relatório de impacto à proteção de dados pessoais: documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco;

Órgão de pesquisa: órgão ou entidade da administração pública direta ou indireta ou pessoa jurídica de direito privado sem fins lucrativos legalmente constituída sob as leis brasileiras, com sede e foro no País, que inclua em sua missão institucional ou em seu objetivo social ou estatutário a pesquisa básica ou aplicada de caráter histórico, científico, tecnológico ou estatístico; e

Autoridade nacional: órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento desta Lei em todo o território nacional.

Tanto as empresas como os profissionais autônomos que utilizam dados pessoais em seu negócio devem iniciar um projeto de adequação à LGPD.

Porém, a LGPD não é aplicada as pessoas físicas que usam dados pessoais com finalidades domésticas.

Por exemplo:

utilização de rede social, troca de correspondências, lista de contatos, blogs etc.

São informações de pessoas naturais vivas que, direta ou indiretamente, identificam um indivíduo.

A informação direta é aquela que permite a imediata individualização da pessoa.

A informação indireta é a que permite por meio da reunião de informações, chegar à identificação do sujeito.

Para facilitar o entendimento vejamos os exemplos:

identificação direta: um cliente, ao fazer uma compra online, informa seu nome completo e CPF, ou seja, a loja virtual com essas informações consegue identificar o indivíduo que realizou a compra.

identificação indireta: uma empresa não cadastrou o nome completo ou o CPF de um cliente, a princípio, a companhia não teria como identificá-lo. Porém, utilizando outras informações que possui, é possível descobrir sua identidade. Tais como: profissão, endereço, gênero, ou qualquer outro dado que ajude a identificá-lo.

Direito dos titulares dos dados pessoais

Em seu artigo 18, a LGPD traz os direitos dos titulares de dados pessoais. Os titulares poderão solicitar, a qualquer momento:

Confirmação da existência de tratamento.

Acesso aos seus dados.

Correção de dados incompletos, inexatos ou desatualizados.

Anonimização, bloqueio ou eliminação de dados tratados em desconformidade com a LGPD.

Portabilidade dos dados a outro fornecedor de serviço ou produto.

Eliminação dos dados pessoais tratados com o consentimento do titular

Informação das entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados.

Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa.

Revogação do consentimento.

Oposição ao tratamento realizado com fundamento em uma das hipóteses de dispensa de consentimento, em caso de descumprimento ao disposto na lei.

Princípio da boa-fé

Princípio da finalidade

Princípio da adequação

Princípio da necessidade

Princípio do livre acesso

Princípio da qualidade dos dados

Princípio da transparência

Princípio da segurança

Princípio da prevenção

Princípio da não discriminação

Princípio da responsabilização e prestação de contas

Bases legais para o tratamento de dados pessoais

Em outras palavras, o controlador é obrigado a informar qual base legal ele utiliza para cada tratamento de dados.

Vejamos agora quais são elas:

Consentimento do titular dos dados

Cumprimento de obrigação legal

Administração Pública

Estudos por órgão de pesquisa

Execução de contrato

Processo Judicial, administrativo ou arbitraL

Proteção da vida

Tutela da Saúde

Interesse legítimo

Proteção de Crédito

Do encarregado pelo tratamento de dados pessoais

Um dos pontos fundamentais em um projeto de adequação é a escolha do Encarregado de dados pessoas.

Inclusive, o controlador - de direito público ou privado -, é obrigado a indicar alguém para exercer esse cargo.

Segundo as orientação da ANPD e da LGPD, o Encarregado pode ser pessoa natural (física) ou jurídica.

Suas as atividades são:

aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;

receber comunicações da autoridade nacional e adotar providências;

orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais;

e executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.

Portanto, o encarregado é quem irá auxiliar o controlador (dentro de um processo de adequação) e também fará a intermediação entre os titulares de dados e a Autoridade Nacional de Proteção de Dados (ANPD).

Além disso, o Encarregado deve ter liberdade e independência para exercer suas atividades.

Segundo as recentes diretrizes da ANPD, o encarregado pode ser:

um funcionário da empresa

um agente externo

pessoa física ou jurídica

A lei entrará em vigor 24 meses após a sua publicação no Diário Oficial da União, ou seja, a partir de agosto de 2020. As infrações deverão ser aplicadas pela ANPD. A criação da ANPD havia sido vetada pelo presidente Michel Temer, criando o questionamento sobre a efetividade da lei caso a autoridade nacional não fosse criada.

Após o veto às disposições relacionadas à Autoridade Nacional de Proteção de Dados (ANPD) originalmente previstas na Lei Geral de Proteção de Dados, o então presidente Michel Temer editou a medida provisória nº 869, de 27 de dezembro de 2018, que criou a ANPD e tratou do tema separadamente.

Em julho de 2019 foi sancionada pelo presidente Jair Bolsonaro como Lei nº 13.853, com veto a nove dispositivos.

Na Lei nº 13.853, de 8 de julho de 2019, foi atribuída à Autoridade Nacional de Proteção de Dados natureza transitória de órgão da administração pública federal, vinculado à Presidência da República, podendo ser transformada em autarquia após dois anos, a critério do Poder Executivo.

Apesar da vinculação administrativa da ANPD à Presidência, a lei assegura sua autonomia técnica e decisória.

Quanto à organização interna da ANPD, esta deverá seguir a seguinte estrutura:

Um Conselho diretor (órgão máximo de direção).

Um Conselho Nacional de Proteção de Dados Pessoais e da Privacidade.

Uma Corregedoria.

Uma Ouvidoria.

Um Órgão de assessoramento jurídico próprio.

Unidades administrativas e especializadas necessárias à aplicação do disposto na lei.

Os diretores, que integrarão o Conselho Diretor da ANPD, terão mandatos fixos e serão escolhidos pelo Presidente da república, embora sujeitos à aprovação pelo Senado Federal.

Dentre as competências da ANPD estabelecidas na legislação, estão a de zelar pela proteção dos dados pessoais, elaborar diretrizes para a Política Nacional de Proteção de Dados Pessoais e da Privacidade, fiscalizar e aplicar sanções nos casos de descumprimento da legislação, promover o conhecimento das normas e políticas públicas sobre proteção de dados pessoais e das medidas de segurança; editar regulamentos e procedimentos sobre proteção de dados pessoais e privacidade; realizar auditorias e celebrar compromissos para eliminação de irregularidades. A lei entrou em vigor na data de sua publicação (9 de julho de 2019).

Os vetos do presidente Jair Bolsonaro

Todos os nove vetos promovidos pelo presidente Jair Bolsonaro se referiram a dispositivos adicionados pelo Congresso por meio do Projeto de Lei de Conversão nº 7 de 2019.

Dentre as matérias que sofreram vetos, um dispositivo proibia os órgãos públicos de compartilharem dados pessoais de cidadãos que utilizarem a Lei de Acesso à Informação (Lei n° 12.527, de 18 de novembro de 2011).

Outros dispositivos aumentavam rol de sanções administrativas possíveis de serem aplicadas pela Autoridade Nacional. Somente restaram previstas, na lei, as punições de advertência e multa de até 2% da organização que realize tratamento indevido de informações, sendo excluídas as seguintes:

Suspensão parcial do funcionamento do banco de dados por seis meses.

Suspensão do exercício da atividade de tratamento dos dados pessoais também por até seis meses.

Proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.

Também foram vetados dispositivos que permitiam à ANPD cobrar pelos serviços prestados.

Os vetos devem ser analisados pelo Congresso, sendo necessária uma quantidade mínima de 257 votos dentre os deputados e 41 dentre os senadores para derrubar um veto presidencial.

A Unidade Especial de Proteção de Dados e Inteligência Artificial (Espec) do Ministério Público do Distrito Federal e Territórios (MPDFT) foi a primeira iniciativa nacional dedicada exclusivamente à proteção dos dados pessoais e da privacidade dos brasileiros. O MPDFT já instaurou ações contra Uber e Netshoes em casos de vazamento de dados pessoais de usuários.

As sanções administrativas para o descumprimento da LGPD estão previstas no art. 52. São elas:

Advertência, com indicação de prazo para adoção de medidas corretivas.

Multa simples, de até 2% do faturamento líquido da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, limitada, no total, a R$ 50.000.000,00 por infração.

Multa diária.

Publicização da infração após devidamente apurada e confirmada a sua ocorrência.

Bloqueio dos dados pessoais envolvidos na infração até a sua regularização.

Eliminação dos dados pessoais envolvidos na infração.

suspensão parcial do funcionamento do banco de dados a que se refere a infração pelo período máximo de 6 (seis) meses, prorrogável por igual período, até a regularização da atividade de tratamento pelo controlador;

suspensão do exercício da atividade de tratamento dos dados pessoais a que se refere a infração pelo período máximo de 6 (seis) meses, prorrogável por igual período;

proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.

No início de julho de 2019, em meio as notícias de vazamentos de dados pessoais do ministro da justiça Sergio Moro, o Senado aprovou o encaminhamento de uma proposta de emenda à Constituição, PEC 17/2019. Essa PEC pretende classificar a proteção de dados como direito fundamental, alterando o inciso XII do art. 5º, que define como "inviolável" o sigilo de correspondência e de comunicações telegráficas, de dados e comunicações telefônicas. Resta agora a aprovação pelo Congresso Nacional.

A Lei Geral de Proteção de Dados (LGPD) representa um avanço na segurança de dados pessoais ao definir uma padronização elevada para a proteção das informações relacionadas à pessoa física. A aprovação dessa lei resulta em transformações no âmbito organizacional e na maneira com que as empresas tratam os dados pessoais ao apresentar as diretrizes sobre a conduta correta para tal tratamento, resultando na necessidade de revisão dos processos de administração e segurança das informações.

Primeiramente, para que os dados pessoais possam ser coletados e tratados, é necessário que o titular, a pessoa com direitos sobre eles e sobre a qual os dados se referem, consinta explicitamente a sua utilização. Este consentimento deve ser fornecido apenas após o titular ter sido devidamente informado sobre os termos de uso, as extensões da autorização e a necessidade da aquisição de tais dados. Para essa regra, aplica-se exceções nas situações em que o uso das informações for indispensável para cumprir alguma obrigação legal ou executar políticas públicas previstas em lei.

A lei também fornece ao cidadão o controle sobre os seus dados e uma série de garantias, entre as quais, o direito de requerer a exclusão dos seus dados e de cancelar o consentimento. Assim, a LGPD fornece ao indivíduo o controle sobre suas informações e a capacidade de punir os responsáveis por danos devido ao uso indevido e nocivo dos dados.

Para assegurar o cumprimento da LGPD foi criada a instituição denominada Autoridade Nacional de Proteção de Dados (ANPD), órgão responsável por fiscalizar a segurança dos dados pessoais por parte das pessoas jurídicas, podendo solicitar relatórios de privacidade às empresas para verificar se a conduta condiz com o estabelecido pela lei. Além disso, terá como tarefa a regulamentação e orientação preventiva sobre como realizar a aplicação da Lei Geral de Proteção de Dados. A autoridade nacional disponibilizará alertas e orientações às organizações antes de aplicar as penalidades, que serão definidas conforme a gravidade da falha.

Além da ANPD, a lei também conta com os agentes de tratamento de dados, sendo eles: agente controlador, responsável pelas decisões sobre o tratamento; agente operador, que executa o tratamento conforme definido pelo controlador; e agente encarregado, cuja função é a interação com os cidadãos e a autoridade nacional, o qual poderá não existir dependendo do porte organizacional.

Por último, há a administração de riscos e falhas, que representa a necessidade de definir medidas preventivas de segurança, adotar boas certificações do mercado, realizar auditorias, elaborar planos de contingência, e apresentar resoluções ágeis perante incidentes. Dessa forma, no caso de vazamento de dados, a empresa deverá imediatamente informar a ANPD e os titulares afetados.

Referências

# data[].attributes.attachment_link.title
Lei Geral de Proteção de Dados Pessoais - Wikipédia, a enciclopédia livre

# data[].attributes.attachment_link.description
A Lei Geral de Proteção de Dados Pessoais (LGPD ou LGPDP), Lei nº 13.709/2018, é a legislação brasileira que regula as atividades de tratamento de dados pessoais e que também altera os artigos 7º e 16 do Marco Civil da Internet.

# data[].attributes.attachment_link.authors[].name
Contribuidores dos projetos da Wikimedia

# data[].attributes.attachment_link.title
Auditoria de sistemas – Wikipédia, a enciclopédia livre

# data[].attributes.attachment_link.description
Auditoria de Sistemas de Informática ou Riscos Tecnológicos é uma atividade independente que tem como missão o gerenciamento de risco operacional envolvido e avaliar a adequação das tecnologias e sistemas de informação utilizados na organização através da revisão e avaliação dos controles, desenvol…

# data[].attributes.attachment_link.readable_text
No setor de TI, engenheiros(as) e especialistas estão constantemente se preparando contra uma violação de segurança em seu sistema. Qualquer situação desse tipo pode resultar na perda de dados e no encerramento de determinadas operações.

Uma auditoria de segurança em TI é uma forma de prevenir incidentes como crimes cibernéticos e outras brechas de segurança, além de avaliar com profundidade a infraestrutura de TI, aplicações, serviços, acessos e funções de pessoal de uma empresa.

Confira, neste artigo, como funciona esse processo e saiba como aplicá-lo na sua empresa!

O que é uma auditoria de segurança de TI?

Trata-se de uma avaliação sistemática da segurança do sistema de informações de uma empresa, medindo o quanto ele está em conformidade com um conjunto de critérios estabelecidos. Uma auditoria completa, normalmente, avalia a segurança da configuração da infraestrutura, do ambiente, dos sistemas, de softwares, dos processos de manipulação de informações e de práticas do(a) usuário(a).

Em suma, toda organização deve realizar auditorias de segurança de rotina para ampliar a proteção de dados e ativos.

Como a auditoria é realizada?

O processo de auditoria compreende desde a análise de configurações de sistemas operacionais, compartilhamentos de redes, aplicações, softwares, sistemas, processos, dados históricos, acessos e consciência dos usuários etc. A seguir, apresentamos uma lista de soluções de segurança comuns para você pensar durante esse processo.

Proteção de e-mail

Os ataques de phishing estão cada vez mais populares hoje em dia e mais difíceis de identificar. Uma vez clicado, um e-mail de phishing fornece várias opções para obter acesso aos seus dados por meio da instalação do software. Os filtros de spam ajudam, mas a identificação de e-mails como "interno" ou "externo" à sua rede também é altamente valiosa.

Segurança de senha e gerenciamento de acesso

As senhas são complicadas, porque precisam ser complexas e exclusivas para cada conta, além de terem uma validade, ou seja, necessitam de renovação de tempos em tempos. Invista em um gerenciador de senhas comerciais, elimine a reutilização de senhas, aprimore a complexidade delas e ative o compartilhamento seguro de senhas.

Como administrador(a), você também pode gerenciar quem tem acesso a quais senhas na organização, para garantir que contas confidenciais estejam disponíveis apenas para a equipe apropriada.

Backup de dados

Faça backup de seus dados de forma consistente e garanta que eles sejam seguros e separados em caso de ataque de malware ou físico aos seus servidores principais.

Atualizações de software

Manter todos(as) os(as) usuários(as) da sua rede com o software mais recente é inestimável para garantir seus pontos de acesso. Você pode impor atualizações de software manualmente ou pode usar um software específico para manter suas contas confidenciais bloqueadas para funcionários(as) cujo software não está atualizado.

Quando ela deve ser feita?

A segurança da informação não deve ser encarada apenas como um requisito para o departamento de TI da empresa: ela é responsabilidade de todos(as) os(as) funcionários(as). Porém, muitas empresas assumem que seus sistemas são plenamente seguros, mas isso é difícil de saber sem realizar auditorias aprofundadas regulares de sua segurança. Em geral, existem dois tipos de auditoria, que são realizadas com frequências distintas.

Auditoria de rotina

Uma auditoria de rotina é um método automático que as equipes de TI usam para executar atividades de auditoria. Ela é feita com mais frequência e de forma regular. A decisão sobre quando executar uma auditoria de rotina é da gerência de TI.

Você pode optar por executá-los mensalmente, trimestralmente ou semestralmente. No entanto, recomenda-se que, no mínimo, essas auditorias sejam realizadas duas vezes por ano.

Auditoria especial

Uma auditoria especial ocorre em uma organização sob uma determinada circunstância e usa tecnologia avançada para se concentrar em uma área específica, depois que um evento ocorre, como uma violação de dados.

Por fim, sua primeira auditoria de segurança em TI deve ser usada como base para todas as auditorias futuras - medir seu sucesso e falhas ao longo do tempo é a única maneira de avaliar verdadeiramente o desempenho. Ao continuar aprimorando seus métodos e processos, você criará uma atmosfera de análise de segurança consistente e terá sempre a melhor posição para proteger seus negócios contra qualquer tipo de ameaça à segurança.

Gostou do artigo e quer receber outros conteúdos sobre segurança da informação, diretamente no seu e-mail? Assine agora a nossa newsletter!

TEM ALGUMA DÚVIDA?
NÃO SE PREOCUPE.

Agende um bate-papo com os especialistas da CCM.

Falar com a CCM

# data[].attributes.attachment_link.title
Como funciona a auditoria de segurança em TI? Descubra! - Blog da CCM - O melhor conteúdo para profissionais de TI

# data[].attributes.attachment_link.description
Uma Auditoria De Segurança Em Ti É Uma Forma De Prevenir Incidentes, Além De Avaliar Com Profundidade A Infraestrutura De Ti, Aplicações, Serviços, Acessos E Funções De Pessoal De Uma Empresa. Confira, Neste Artigo, Como Funciona Esse Processo E Saiba Como Aplicá-Lo Na Sua Empresa!

# data[].attributes.body
Auditoria de Sistemas de Informática ou Riscos Tecnológicos é uma atividade independente que tem como missão o gerenciamento de risco operacional envolvido e avaliar a adequação das tecnologias e sistemas de informação utilizados na organização através da revisão e avaliação dos controles, desenvolvimento de sistemas, procedimentos de TI, infraestrutura, operação, desempenho e segurança da informação que envolve o processamento de informações críticas para a tomada de decisão.
A auditoria de sistemas é um processo realizado por profissionais capacitados e consiste em reunir, agrupar e avaliar evidências para determinar se um sistema de informação suporta adequadamente um ativo de negócio, mantendo a integridade dos dados, e realiza os objetivos esperados, utiliza eficientemente os recursos e cumpre com as regulamentações e leis estabelecidas.

Permite detectar de forma automática o uso dos recursos e dos fluxos de informação dentro de uma empresa e determinar qual informação é crítica para o cumprimento de sua missão e objetivos, identificando necessidades, processos repetidos, custos, valor e barreiras que impactam fluxos de informação eficientes.

Deve compreender não somente os equipamentos de processamento de dados ou algum procedimento específico, mas sim suas entradas, processos, controles, arquivos, segurança e extratores de informações, além disso, deve avaliar todo o ambiente envolvido: Equipamentos, Centro de processamento de dados e Software.

Auditar consiste principalmente em avaliar mecanismos de controle que estão implantados em uma empresa ou organização, determinando se os mesmos são adequados e cumprem com seus determinados objetivos ou estratégias, estabelecendo as mudanças necessárias para a obtenção dos mesmos. Os mecanismos de controle podem ser de prevenção, detecção, correção ou recuperação após uma contingência.