# data[].attributes.attachment_link.readable_text
Com a criação do Regulamento Geral Sobre Proteção de Dados na Europa, no ano de 2016, a segurança da informação passou a ser um ponto de grande importância e cuidado por parte das empresas que tratam dados de clientes.

A segurança da informação é crucial se uma empresa deseja proteger todos os dados da instituição, um fator indispensável para o exercício de qualquer atividade empresarial.

1. O que é segurança da informação?

2. Como a segurança da informação se aplica à LGPD?

3. Como aplicar estas medidas a fim de aprimorar a segurança de dados em empresas?

4. O que é um plano de segurança de informação?

5. Melhores práticas de medidas de segurança da informação

6. Como garantir que as medidas de segurança da informação serão aplicadas e evitar erros?

7. Qual a diferença entre sistema de segurança de informação e gestão de segurança de informação?

8. Existe algum curso ou certificação nesta área?

O que é segurança da informação?

Segurança da informação é um conjunto de ações e boas práticas que têm como finalidade proteger um grupo de dados.

De tal maneira, essas medidas de segurança podem ser aplicadas em todas as empresas que trabalham com dados, uma vez que toda organização gera informações próprias.

A segurança da informação se baseia em quatro pilares que sustentam todas as medidas tomadas para garantir a proteção dos dados, que são:

confidencialidade;

autenticidade;

integridade; e

disponibilidade.

Por que cada um destes pontos são importantes para a segurança de dados?

Para entendermos a importância dos conceitos de confidencialidade, autenticidade, integridade e disponibilidade, traremos exemplos sobre cada um deles.

Um erro na confidencialidade, por exemplo, pode acabar deixando os dados de uma organização livres para que concorrentes possam acessá-los, sejam eles destinados para estratégias ou não.

Por outro lado, pode ocorrer um ataque nos servidores por parte de hackers, fazendo com que os dados de clientes armazenados sejam vazados ou roubados.

De toda forma, para ambos os casos a empresa terá prejuízos financeiros, uma vez que ela pode ser multada ou então perder novos clientes.

E, além disso, a imagem da instituição no mercado no qual ela trabalha será manchada por causa das falhas de segurança para com os clientes, sendo um ponto que atrapalha na obtenção de clientela.

Agora, quando falamos sobre autenticidade, mencionamos principalmente garantir que as informações preservadas sejam autênticas para evitar fraudes.

Um exemplo claro disso é o uso dos dados do cartão de crédito do cliente, fator que pode levar a clonagem e que eventualmente acaba sendo mostrado ao público que, por sua vez, perde a confiança.

Já a integridade está fortemente ligada à ferramentas e mecanismos de segurança, como os backups, a fim de garantir que os dados não sejam perdidos em caso de erros no sistema adotado pela empresa.

Por fim, quando falamos de disponibilidade, estamos falando justamente da possibilidade de acessar os dados a qualquer momento.

Ou seja, é necessário que todas as informações estejam disponíveis quando requisitadas, sendo este um fator que gera agilidade em processos.

Agora, caso uma empresa não preste atenção em todos estes pontos, o prejuízo virá sobre a instituição nas mais variadas áreas.

Afinal, com o uso cada vez mais intenso da redes sociais, as informações se espalham muito mais rapidamente no ambiente virtual.

Dessa forma, caso algum cliente faça uma reclamação na internet, ou haja dados vazados nesse ambiente, a reputação e imagem da empresa será prejudicada.

Sendo assim, todas as ações devem possuir base nos quatro pilares principais aqui citados para evitar problemas.

Quais os objetivos almejados por essas medidas?

A primeiro momento, é possível entender que o principal propósito de todas as ações tomadas aqui tem como fim proteger os dados e informações.

Contudo, é preciso entender que a segurança da informação vai além de uma estratégia adotada por uma instituição. Afinal, ela é uma das principais encarregadas pelo bom funcionamento e evolução do negócio.

Isso se dá tendo em vista que, atualmente, quem detém dados e informações possui poder.

E, por outro lado, no âmbito corporativo, é válido pontuar que as informações têm sido utilizadas de forma estratégica para que as instituições cresçam e se destaquem entre concorrentes.

Um bom exemplo para ilustrar isso é o uso do Big Data, algo que tem sido cada vez mais comum.

Analisando por outra perspectiva, os crimes cibernéticos estão crescendo, o que faz com que seja cada vez mais necessário possuir consciência do cenário atual.

Por isso é preciso tomar medidas para evitar problemas como invasões e roubo de dados, evitando que a empresa possua qualquer prejuízo.

Mas, para isso, é necessário possuir um bom planejamento para implementar tais medidas de proteção aos dados.

Como a segurança da informação se aplica à LGPD?

Um dos pontos que tem sido mais comentados ao falar sobre dados é o advento da LGPD, a Lei Geral de Proteção de Dados, sancionada em agosto de 2018.

Essa nova lei terá efeito sobre todos os setores da economia para empresas de todos os tamanhos.

A lei solicita que seja adotada uma forma diferente de trabalhar com dados, então pontos como segurança, transparência e privacidade e proteção de dados pessoais se tornaram mais importantes.

Agora, para as empresas que não respeitarem as diretrizes da lei, as multas podem chegar a valores de até R$50 milhões.

De tal forma, neste momento se tornou mais forte ainda a importância de garantir que todos os pontos colocados pela LGPD sejam garantidos.

E, para isso, todas as soluções de segurança devem estar em conformidade, a fim de garantir uma proteção completa dos dados de clientes.

Essas medidas, além de serem requisitadas pela lei, servem justamente para evitar que os dados sejam roubados através de invasões de hackers ou extraviados por compartilhamentos realizados incorretamente ou até mesmo má fé de colaboradores internos das empresas.

Assim, é possível analisar que o principal desafio enfrentado por todas as empresas que trabalham com dados no momento é justamente garantir a proteção de todos eles.
Quer se tornar um especialista em LGPD e GDPR certificado pela EXIN? Clique e tenha acesso às primeiras vagas e desconto exclusivo!
Com a chegada da lei, os profissionais deste ramo são prejudicados?

Agora, olhando pelo lado do profissional dessa área, o advento da lei é um ponto benéfico.

Afinal, perante a norma, devem ser utilizadas medidas técnicas e administrativas para proteger os dados, o que faz necessário existir uma Governança dos Dados.

Ou seja, serão identificados pontos como:

onde o cliente mora;

qual o fluxo do dado;

classificação de nível (se é um dado pessoal, sensível ou se não);

gerenciamento de uso e ciclo de vida dos dados.

Tudo isso possui uma finalidade comum: evitar vazamentos e a perda, total ou parcial, de informações enquanto é feito um monitoramento do uso.

Porém, o aconselhado é buscar que todas as dicas que iremos trazer sejam seguidas em conjunto.

Como aplicar estas medidas a fim de aprimorar a segurança de dados em empresas?

Após entendida a importância e tendo ciência de que a segurança da informação nas empresas é um dos pontos fundamentais para o seu bom funcionamento, a dúvida que fica é sobre como implementá-la.

Para isso, existe uma série de práticas que podem ser implementadas na área de TI para que a empresa mantenha-se alinhada à lei. Confira então as recomendações para estar adequado a lei e evitar eventuais problemas:

1. acompanhar tendências e evoluções na área de tecnologia, uma vez que as evoluções deste segmento são constantes;

2. procure sempre manter os softwares e drives atualizados;

3. tenha controle sobre o acesso que os colaboradores tem aos dados;

4. possua um bloqueio de sistema de saída, evitando que qualquer dado seja liberado sem que os funcionários de TI tenham ciência;

5. possua políticas de segurança dentro da empresa;

6. mantenha todos os processos e políticas de segurança alinhados;

7. faça treinamentos com a equipe de pessoas que trabalham na empresa para deixar todos a par das medidas de segurança;

8. invista em ferramentas para realizar o monitoramento na rede ou servidor aos quais os dados estão armazenados;

9. faça uso da criptografia de dados para impedir o acesso sem chaves privadas;

10. tenha parceria ou contato de empresas especializadas no ramo de segurança da informação;

11. possua planos de contingência a fim de saber como agir em situações que ofereçam riscos para os dados coletados; e

12. sempre realize um backup dos dados, sendo indicado principalmente em nuvem, para possuir uma alternativa em termos de recuperação de dado caso seja necessário devido algum incidente.

E tendo isso em vista, a principal recomendação ao falarmos sobre este assunto é justamente adotar uma boa política de segurança com todas estas dicas.

O que é um plano de segurança de informação?

Ao falar sobre os possíveis procedimentos de segurança da informação de uma empresa, é necessário a implementação de medidas técnicas, administrativas e organizacionais, principalmente colocando em prática o SGSI (Sistema de Gestão de Segurança da Informação).

Este, por sua vez, é um conjunto de normas específicas as quais devem ser seguidas.

Este plano foi aprovado no ano de 2012 e ele dita que os sistemas de administração de informações e dados devem seguir os seguintes critérios:

Para isso são levados em conta os quatro pilares que citamos anteriormente. Ou seja, é necessário que somente as pessoas autorizadas pela empresa tenham acesso às informações e dados, gerando confidencialidade.

Além disso, todas as alterações nos dados apenas poderão ser realizadas caso exista uma autorização pela empresa, o que traz a integridade.

Por outro lado, é altamente necessário que as informações fiquem disponíveis a qualquer momento para quando as pessoas forem utiliza-las, o que traz a disponibilidade.

E por fim, mas não menos importante, este plano requer que os dados sejam autênticos de maneira a evitar fraudes ou uma eventual clonagem.

Agora, para seguir todas esses pontos imprescindíveis, os dados devem ser gerenciados e protegidos contra fraudes, roubos, espionagem ou perda de dados, além de outras ameaças.

Melhores práticas de medidas de segurança da informação

Ao analisar as medidas tomadas para garantir a segurança de informações, é possível entender que podem existir práticas básicas e sofisticadas.

O aconselhado é que todas elas sejam seguidas para que uma empresa esteja adequada em relação a Segurança da Informação e LGPD, principalmente.

Para ficar mais simples, trouxemos então uma série de práticas para garantir que tudo seja seguido corretamente, veja:

detectar possíveis vulnerabilidades no hardware e no software utilizados;

sempre realizar cópias de segurança dos dados, o chamado backup;

as redundâncias de sistemas não são uma opção ruim, ou seja, possuir mais de um servidor ou equipamento para poder dar continuidade às operações do negócio pode ser interessante;

possua alta eficácia no controle de acesso através de um firewall, assinatura digital ou por meio da biometria das pessoas que possuem autorização;

tenha um documento que sentencie diretrizes comportamentais para os colaboradores da instituição, chamada de política de segurança da informação;

opte por uma estrutura de nuvem, seja ela pública, privada ou híbrida;

tome cuidado com eventuais ameaças através de uma gestão de riscos apropriada, evitando falta de orientação, erros em procedimentos internos, negligência ou malícia;

as regras do negócio e da empresa em tudo que diz respeito aos dados devem estar bem definidas;

organização é um ponto imprescindível;

contratos de confidencialidade com organizações e terceirizados vinculados à área de TI são bem vindos;

sempre possua uma boa gestão de continuidade de negócios, chamada de GCN; e

o benchmarking é um instrumento de gestão que auxilia muito a empresa.

Como garantir que as medidas de segurança da informação serão aplicadas e evitar erros?

Uma vez colocadas todas as medidas e práticas para manter dados protegidos, é preciso considerar que de nada adianta apenas possuir mecanismos de segurança da informação, mas não garantir que os mesmos sejam colocados em prática.

Sendo assim, se torna necessário ter certeza de que tudo está tendo aplicação no dia a dia, evitando eventuais problemas relacionados a segurança da informação.

E, para isso, existe uma série de medidas as quais podem ser feitas pelo gestor de TI de uma instituição ou alguém encarregado por analisar a segurança de dados, conforme veremos a seguir:

1. Proteger a rede e o uso da internet através de um UTM (Unified Threat Management), restringindo acessos a sites específicos

2. Possuir uma preservação e atualização constante dos sistemas utilizados

3. Orientar os usuários para identificar eventuais riscos, prevenindo possíveis ataques ao sistema

1.Proteger a rede e o uso da internet através de um UTM, restringindo acessos a sites específicos

Dessa maneira é possível impedir que ocorram acidentes que podem ser prejudiciais.

O grande exemplo aqui são os malwares que sequestram os dados, conhecidos como ransomwares.

Para isso podem ser bloqueados o acesso a:

1. sites estranhos;

2. sites para download;

3. algum site de jogos;

4. locais na internet que dão espaço a violência; e

5. sites de pornografia.

Contudo, o aconselhado é ter em vista o investimento necessário para obter um UTM (Unified Threat Management).

Outros pontos importantes são a manutenção e atualizações, bem como a relação entre os benefícios que o investimento proporciona.

2. Possuir uma preservação e atualização constante dos sistemas utilizados

Atualmente existem diversas formas as quais podem ser utilizadas para o roubo e ataques a bancos de dados.

Normalmente elas são causadas por eventuais falhas e vulnerabilidades do sistema ou então através da curiosidade dos usuários.

É justamente por isso que o sistema da empresa deve estar sempre atualizado.

E a preocupação aqui se encontra em:

1. atualizar os sistemas operacionais com periodicidade;

2. revisar as políticas de segurança da empresa e atualizá-las, caso necessário;

3. configurar os roteadores de internet com constância;

4. possuir um bom antivírus;

5. deixar os navegadores dos computadores sempre atualizados; e

6. identificar possíveis falhas na rede de tempos em tempos.

Através de todas estas medidas é possível evitar problemas nos sistemas.

3. Orientar os usuários para identificar eventuais riscos, prevenindo possíveis ataques ao sistema

Este ponto possui grande relação com o que foi citado anteriormente sobre a curiosidade dos usuários.

Afinal, muitas vezes por falta de conhecimento, as pessoas podem acabar clicando em links ou e-mails que levam para sites maliciosos.

Por isso, é altamente importante e recomendado que os funcionários sejam orientados para prevenir ataques e identificar riscos.

Uma dica aqui é elaborar um manual para o uso seguro do sistema e também da internet da instituição.

E a melhor forma de colocar isso em prática é oferecendo informação aos usuários tanto sobre eventuais fraudes como o uso correto dos equipamentos.

Qual a diferença entre sistema de segurança de informação e gestão de segurança de informação?

Quando falamos em gestão de segurança de informação é necessário entender que esta é uma área de TI que possui como principal função elaborar processos e sistemas para monitorar as informações coletadas e indicar ações no intuito de evitar incidentes de segurança da informação.

O profissional desta área é o responsável pela prevenção a possíveis ataques e furtos de dados que uma empresa pode sofrer.

Sendo assim, ele também se torna o incumbido por fazer, de maneira rápida, com que os sistemas sejam restabelecidos em casos de ameaças ou emergências.

Contudo, tanto um gestor nessa área como o sistema de segurança de informações podem trabalhar de maneira conjunta.

Afinal, no primeiro caso falamos de uma pessoa que realiza as funções, a fim de garantir a proteção dos dados, enquanto no segundo caso trata-se de um sistema que gera um local seguro para os dados.

Por isso, uma empresa pode possuir um gestor, ou uma equipe de gestores, para analisar se o sistema está funcionando corretamente e mantendo as informações protegidas.

Vale lembrar que os dois devem ser utilizados de maneira conjunta em uma empresa, fator recomendado por especialistas para que uma instituição possua boa medida de proteção a dados.

Existe algum curso ou certificação nesta área?

Existe atualmente dentro de uma equipe de TI uma alta importância para especialistas na área de segurança da informação.

E isso ocorre principalmente devido ao crescimento do volume de dados bem como o armazenamento e gerenciamento de tudo o que foi coletado de maneira segura.

De tal forma, a necessidade de um profissional especializado neste segmento se dá uma vez que o risco de ataques, seja por vírus ou hackers, e furto de dados tem sido cada vez maior.

Contudo, a dúvida que fica é sobre qual é o caminho para então poder ocupar essa vaga em uma empresa.

Para isso, o primeiro passo é se formar academicamente como profissional desta área a fim de possuir conhecimentos sobre tecnologia da informação e proteção de dados.

No entanto, isso é válido para pessoas que possuem interesse por este segmento e, para tal, pode ser feito um curso superior tecnológico.

O curso segurança da informação dura cerca de dois anos, totalizando quatro semestres, e pode ser feito em módulo EaD caso desejado.

Agora, para quem já atua na área de TI, existem outras opções para se especializar em segurança de informação.

Aqui, por sua vez, se enquadram os profissionais que já possuem bacharelado em alguma área relacionada à tecnologia como Ciência da Computação, por exemplo.

A indicação então é justamente a de realizar uma pós-graduação no segmento de proteção de dados.

Após finalizado o curso, o profissional pode atuar livremente então neste ramo devido aos conhecimentos adquiridos por ele ao longo de ambas as graduações.

Como as certificações agem dentro deste ramo da tecnologia da informação?

É notório que a área de TI possui diversas possibilidades de especialidades e certificações.

E, tendo em vista que novas tecnologias são introduzidas a cada ano, não é para menos.

Os certificados são pontos diferenciais muito valorizados no currículo, principalmente quando falamos sobre o profissional deste ramo, uma vez que são a comprovação de que o indivíduo possui domínio sobre aquele assunto.

Para quem deseja ter destaque dentro do ramo de privacidade e proteção de dados, em especial, existem três certificações principais que podem credenciar o profissional, sendo:

1. Information Security Foundation (ISFS)

2. Privacy and Data Protection Foundation (PDPF)

3. Privacy and Data Protection Practitioner (PDPP)

Essas certificações são oferecidas pelo programa de formação EXIN para o DPO, profissional responsável pelas questões relativas à proteção de dados dentro de uma empresa, conforme determina a lei de proteção de dados.

No entanto, qualquer profissional que lida diretamente com dados e que deseja especializar-se está habilitado a certificar-se, sendo recomendado ainda, a quem precise, a realização do curso de nível básico PDPE - Privacy & Data Protection Essentials, que vislumbra um embasamento maior sobre o tema.

De toda maneira, o aconselhado para se tornar um bom profissional da segurança da informação é optar pelo investimento na carreira através principalmente das certificações para o ramo. Sendo assim, não perca tempo e dê um up no seu currículo agora mesmo!

# data[].attributes.attachment_link.title
O Que é Segurança da Informação e Qual Sua Importância

# data[].attributes.attachment_link.description
Com a criação do Regulamento Geral Sobre Proteção de Dados na Europa, no ano de 2016, a segurança da informação passou a ser um ponto de grande importância e cuidado por parte das empresas que tratam dados de clientes.

# data[].attributes.attachment_link.readable_text
Sua empresa está passando pelo processo de adequação à nova Lei Geral de Proteção de Dados? Existem muitas dúvidas sobre como implementar essas mudanças? A jornada da LGPD é um processo que exige uma movimentação de toda a companhia.

Portanto, para esclarecer todas essas dúvidas e também ajudar você no processo de adequação às novas normas, preparamos este artigo com algumas dicas. Veja e entenda mais sobre como implementar a LGPD!

Um panorama sobre a proteção de dados no Brasil

Entre as principais mudanças sobre o tema, destaca-se a regra de transparência de informações relacionadas a transações da administração pública.

Ou seja, ao longo dos anos - e especialmente na última década - a proteção aos dados pessoais já era um assunto debatido no âmbito legislativo, como uma forma de preservar a honra e a intimidade dos cidadãos.

Além disso, era necessário ampliar o escopo de normas jurídicas sobre a proteção de dados e o trato das informações pessoais por parte das empresas.

A necessidade originou-se, especialmente, com as seguidas ocorrências de vazamento e sequestro de dados de algumas grandes empresas.

Além disso, a LGPD foi fortemente influenciada por uma lei de moldes semelhantes (e que logo abordaremos), a General Data Protection Regulation (GDPR), que entrou em vigor em 2018 em toda União Europeia.

A LGPD no Brasil estabelece normas mais rígidas em relação ao tratamento de dados pessoais por parte de empresas e órgãos públicos, bem como determina sanções administrativas em caso de descumprimento ou má fé.

A LGPD percorreu um longo caminho até sua sanção em 14 de agosto de 2018. Na verdade, foram 8 anos de discussões e atualizações na redação da lei proposta.

Após algumas idas e vindas (relacionadas especialmente à pandemia), a LGPD entrou em vigor oficialmente em 18 de setembro de 2020 - com as multas passando a ser aplicadas apenas em agosto de 2021.

No fim das contas, a nova lei de proteção de dados é composta de 65 artigos ao todo.

Como surgiu a LGPD?

A LGPD foi resultado de um movimento espontâneo da sociedade e de autoridades brasileiras, inspiradas por alguns acontecimentos e atualizações estrangeiras em relação ao tema, como a GDPR, a lei de proteção de dados pessoais europeia.

Quais acontecimentos? Especialmente situações identificadas como cibercrimes, como:

As perdas não são necessariamente atreladas a crimes financeiros, mas, por exemplo, a problemas que fizeram as pessoas perderem tempo recuperando arquivos ou com a perda de dados sensíveis (como senhas, fotos, informações íntimas etc).

Além disso, talvez o maior exemplo de ocorrência que assustou cidadãos e autoridades foi o sequestro de dados de mais de 57 milhões de contas da Uber em 2016.

Entre os dados roubados na época, a empresa revelou que nomes, e-mails, telefones e até as licenças de mais de 600 mil motoristas foram extraviados.

Os principais objetivos da LGPD

Estabelecer regras claras, objetivas, rígidas e transparentes sobre a coleta, armazenamento, tratamento e compartilhamento de dados pessoais por empresas.

Fortalecer a segurança das relações jurídicas, bem como restabelecer a confiança daquele que é considerado titular de seus dados sobre a oportunidade de cedê-los para isso.

Garantir a livre iniciativa, livre concorrência e a defesa das relações comerciais e de consumo.

Promover a concorrência e a livre atividade econômica, inclusive com portabilidade de dados.

Que tipo de dados são considerados pela LGPD?

De acordo com o artigo 5° da LGPD, consideram-se para fins de suas normas os dados pessoais, dados pessoais sensíveis, dados anonimizados e o banco de dados.

Conforme o texto da lei, estes pontos são definidos como:

dado pessoal: informação relacionada a pessoa natural identificada ou identificável;

dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;

dado anonimizado: dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento;

banco de dados: conjunto estruturado de dados pessoais, estabelecido em um ou em vários locais, em suporte eletrônico ou físico.

Quem é responsável por fiscalizar a LGPD?

A fiscalização do cumprimento das normas da LGPD fica a cargo da Autoridade Nacional de Proteção de Dados (ANPD), órgão que foi criado junto com a lei.

A ANPD tem o poder de auditar e fiscalizar as empresas, requisitando dados, processos, entre outras coisas.

A escolha das empresas alvo das fiscalizações pode seguir tanto um critério aleatório, como também uma determinação interna ou mesmo denúncias anônimas.

Quem deve se adequar à LGPD?

A LGPD aplica-se a todas as empresas que fazem o tratamento de dados pessoais. De acordo com o artigo 3°, " aplica-se a qualquer operação de tratamento realizada por pessoa natural ou por pessoa jurídica de direito público ou privado, independentemente do meio, do país de sua sede ou do país onde estejam localizados os dados ".

Porém, para que isso aconteça, de acordo com o texto vigente da LGPD em novembro de 2021, é preciso que:

o tratamento seja realizado no Brasil;

a atividade de tratamento tenha por objetivo a oferta ou o fornecimento de bens ou serviços ou o tratamento de dados de indivíduos localizados no território nacional;

os dados pessoais objeto do tratamento tenham sido coletados no território nacional.

Figuras envolvidas na proteção dos dados

A LGPD estabelece alguns dos protagonistas envolvidos na proteção de dados pessoais - ampliando o escopo para além da empresa e da pessoa física. Vamos conhecê-los? Trouxemos a definição atual do texto da LGPD para você conferir:

Titular de dados

Pessoa natural a quem se referem os dados pessoais que são objeto de tratamento. É o "dono" dos dados que a empresa coleta e tem total controle sobre o seu uso, podendo requisitá-los ou pedir sua exclusão a qualquer momento.

Controlador

Pessoa natural ou jurídica, de direito público ou privado, a quem compete as decisões referentes ao tratamento de dados pessoais.

É a empresa que manda, demandando o tratamento ou compartilhamento dos dados - seja o controlador o responsável por isso ou um terceiro, chamado de "operador".

É quem responde por danos patrimoniais, coletivos, individuais e morais relativos à violações à LGPD.

O operador é o ator que cumpre ordens, sendo contratado como terceirizado para realizar o tratamento de dados.

De acordo com o texto da LGPD, é a "pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador".

Digamos que sua empresa contrate uma agência de marketing digital responsável por suas campanhas de e-mail marketing, entre outras.

Encarregado (DPO)

Trata-se da pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a ANPD.

É uma função semelhante à do Data Protection Officer (DPO), que estabelece a comunicação entre os titulares dos dados e com a ANPD, de modo a prestar esclarecimentos, providências e orientações.

O encarregado pode ser um funcionário ou um prestador de serviços com vínculo contratual.

Vale ressaltar que o DPO ou encarregado não pode ser responsabilizado em caso de incidentes.

A importância de se adequar à LGPD

Antes de tudo, é importante entender que o descumprimento das normas que a LGPD impõe pode gerar consequências para a empresa.

Dependendo da infração, a multa pode chegar a até R$ 50 milhões. Além disso, as novas regras podem ajudar a tornar os dados da companhia mais seguros.

Passo a passo da jornada LGPD

Para que a implementação das regulamentações da LGPD seja bem-sucedida, é importante seguir alguns passos. Por isso, a seguir listamos dicas que podem ajudar nesse momento de transição:

Definição de dados pessoais

Tendo sido criada para estabelecer regras mais objetivas e transparentes para o tratamento de dados, a LGPD traz outros assuntos relacionados que demonstram a sua importância.

Além disso, entender a definição de dados pessoais e sua importância ajudará a explicar os demais conceitos de maneira mais clara e objetiva.

Dado pessoal

Um dado é considerado pessoal quando possibilita a identificação, de maneira direta ou indireta, da pessoa natural por trás dele.

Neste sentido, alguns exemplos de dados pessoais são: nome, sobrenomes, documentos pessoais (como RG, CPF, passaporte, título de eleitor etc.), endereço residencial ou comercial, telefone, e-mail, endereço de IP, entre outros.

Dado pessoal sensível

Além do entendimento sobre dado pessoal, a lei também inclui a definição de dados pessoais sensíveis. O tratamento destas informações deve atender a regras ainda mais rígidas, diante da maior possibilidade de uso para propósitos lesivos que apresentam.

São dados pessoais sensíveis, de acordo com a LGPD, aqueles que dizem respeito aos valores e convicções de cada um, como orientação sexual, etnia, opinião política, convicção religiosa, crenças filosóficas e informações de saúde.

Princípios da LGPD

Após o entendimento do que de fato é um dado pessoal, as premissas da LGPD, ou Lei n° 13.709/2018, no artigo 6° do regulamento, tem alguns direcionamentos fundamentais que precisam ser seguidos. Confira a seguir:

Finalidade

O princípio da finalidade determina que o tratamento de dados pessoais poderá ser realizado apenas quando for realmente necessário para propósitos legítimos, específicos, explícitos e informados ao titular.

Diante disso, em momento algum, será possível utilizar os dados coletados de modo divergente das finalidades pré-estabelecidas junto aos titulares.

Na mesma linha da premissa anterior, o princípio da adequação reforça que o processamento de informações pessoais precisa estar alinhado ao uso que foi inicialmente informado ao titular do dado.

Necessidade

Deve haver a limitação do tratamento dos dados ao mínimo necessário para a realização de suas finalidades. É isso que o princípio da necessidade determina.

Sendo assim, a coleta de informações pessoais precisa ser executada de maneira delimitada, focada nos dados imprescindíveis para a finalidade estabelecida previamente.

Livre acesso

O objetivo deste princípio é garantir, aos titulares, o livre acesso para consultar, de modo simples e gratuito, o tratamento de seus dados pela empresa que os coletou, assim como a integralidade destas informações.

A disponibilização poderá ser realizada de forma física ou eletrônica, sempre que houver a requisição do titular.

Qualidade dos dados

O princípio da qualidade dos dados assegura que os titulares tenham as suas informações pessoais armazenadas com exatidão, clareza e que se mantenham atualizadas.

A LGPD resguarda o direito de correção de dados incompletos, inexatos ou desatualizados. Também leva a empresa detentora dos dados a prestar esclarecimentos sobre as entidades públicas e privadas com as quais os compartilhou.

Transparência

Todas as informações dos titulares devem ser claras, precisas e de fácil acesso, segundo o princípio da transparência.

Eles devem saber como os seus dados pessoais serão tratados e os respectivos agentes de tratamento.

Ou seja, é necessário sinalizar os titulares a respeito de como as informações serão processadas, por quanto tempo ficarão retidas e com quem serão compartilhadas.

Por sua vez, o princípio da prevenção indica a necessidade de adoção de medidas para prevenir a ocorrência de danos durante o tratamento de dados pessoais.

Neste caso, é importante que as organizações, além de investirem em tecnologia para garantir a segurança das informações, também promovam um alinhamento de processos organizacionais e criem uma cultura de conscientização dos colaboradores, quanto ao trato de informações pessoais de consumidores ou cidadãos.

A finalidade deste tipo de posicionamento é antecipar possíveis riscos e trabalhar para mitigá-los ao máximo.

Não discriminação

O princípio da não discriminação aborda a impossibilidade do tratamento de dados pessoais para fins discriminatórios ilícitos ou abusivos.

A LGPD, inclusive, conta com regras específicas para o processamento de informações que costumam ser utilizadas de forma discriminatória, classificadas como dados sensíveis, sobre os quais falaremos mais adiante.

Responsabilização e prestação de contas

Entre os princípios da LGPD, está ainda o da responsabilização e prestação de contas. Abordando a necessidade de demonstração pelo agente que captou os dados e adoção de medidas eficazes que comprovem o cumprimento das normas. Inclusive, deve-se demonstrar a eficácia destas medidas.

Isso quer dizer que as empresas precisam prestar contas de que estão alinhadas com todas as diretrizes apresentadas pela LGPD.

Diagnóstico LGPD

Muitas companhias estabelecidas no Brasil ainda têm o seguinte questionamento: como aplicar a LGPD? Para ajudar nesse processo, é preciso conhecer a importância do diagnóstico da empresa.

Segundo o estudo, realizado com a participação de 192 organizações, as companhias têm alguns mecanismos para atenderem à LGPD, mas precisam de foco, maturação e eficiência operacional para ficar em dia com a norma.

Kallyna Lopes Antunes, gerente de projetos de negócios da TOTVS Consulting, afirma que o diagnóstico é o ponto de partida para a adequação. "É quando você descobre como são os seus processos perante a lei e o que você tem que fazer para se adequar", explica.

Etapas do diagnóstico

Não há como aplicar a LGPD em uma empresa sem o conhecimento sobre a situação atual da companhia no que diz respeito ao tratamento de dados pessoais.

Neste caso, o diagnóstico funciona como uma ferramenta para avaliação estruturada, cuja finalidade é ajudar a identificar os pontos a serem ajustados e nortear as ações para a adequação à lei.

De acordo com Kallyna, o diagnóstico é composto por três etapas. Saiba mais sobre elas adiante!

Mobilização

Na etapa da mobilização, há uma avaliação da estrutura organizacional. Kallyna explica que estabelecer o cumprimento da LGPD é um processo estratégico corporativo, que deve envolver a empresa inteira.

Por isso, ela ressalta a importância da participação de todos os colaboradores - líderes e equipes.

Nesta etapa, deve haver a criação de um comitê na companhia, que ficará responsável por analisar a situação atual dos procedimentos internos e definir as próximas ações. O grupo também ajudará a mobilizar as diferentes áreas da empresa ao longo da empreitada.

Inventário de dados

A próxima etapa do diagnóstico consiste no levantamento de um inventário de dados pessoais. É necessário identificar onde estão estes dados.

Por meio de questionários aplicados entre as áreas e colaboradores durante o diagnóstico, o comitê começa a identificar como são coletadas e onde são armazenadas as informações pessoais que a companhia tem em mãos.

Quem utiliza os dados, por quanto tempo ficam retidos e em que formatos, de que forma são manipulados e qual a sua relevância para o negócio são algumas das questões respondidas nesta etapa.

Concluído o processo, é possível que a organização verifique que possui dados pessoais armazenados que estão obsoletos ou já não são mais relevantes para o negócio. Deste modo, pode removê-los de sua base, reduzindo riscos e, adicionalmente, poupando custos de armazenamento.

Análise do inventário e plano de adequação

A última etapa do diagnóstico consiste na avaliação do inventário levantado anteriormente, com a priorização dos pontos mais sensíveis e com maior potencial de risco. Desta forma, começa-se a traçar o caminho para chegar à adequação à LGPD.

O plano de adequação deve definir a implantação de procedimentos e controles, além de prazos e responsáveis, para a empresa realizar a gestão de dados pessoais da maneira mais apropriada.

Ao seguir todas as etapas e se organizar de forma estruturada, a organização acelera o alinhamento às diretrizes da nova legislação e minimiza o risco de incidentes, que podem afetar negativamente a imagem da empresa por meio da aplicação das sanções previstas na lei.

Direitos do titular

Para que a Lei Geral de Proteção de Dados possa dar às pessoas maior controle e consciência sobre a utilização de seus dados, principalmente para uso de empresas, é necessário saber quais são os direitos do titular LGPD.

É importante estar ciente do propósito da solicitação de dados feita por qualquer tipo de organização.

Direitos do titular LGPD

A implementação da LGPD possibilita aos cidadãos acessarem seus dados quando bem quiserem, observando como suas informações estão sendo tratadas e aplicadas, ao mesmo tempo em que têm conhecimento sobre quais empresas contam com os dados.

Confirmação da existência de tratamento

O usuário tem plena capacidade de pedir a confirmação de tratamento e acesso aos seus dados, desde a origem da coleta, até os critérios aplicados e a finalidade de sua utilização.

Anonimização: é uma técnica de processamento de dados que remove ou modifica informações que possam identificar uma pessoa. No tocante à anonimização, a LGPD define como a "utilização de meios técnicos razoáveis e disponíveis no momento do tratamento por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo." O termo "anonimização de dados" é utilizado para descrever o processo que elimina qualquer tipo de conexão das informações armazenadas que possam ser utilizadas para identificar o titular,

Pseudonimização: substitui o material pessoalmente identificável por identificadores artificiais, codificando mensagens para que apenas pessoas autorizadas possam ler.

Explicação

A LGPD e os direitos do titular dão total liberdade para saber quais outras empresas, sejam elas públicas, privadas ou até mesmo órgãos do governo, terão acesso aos seus dados pessoais.

Dados que estejam incompletos, errados ou desatualizados podem ser corrigidos. Se o titular mudou de endereço, conta com um novo número de telefone ou atua em um novo cargo ou emprego, ele pode solicitar a mudança.

Eliminação ou revogação de consentimento

Visando sempre sua própria segurança na internet, o titular pode exigir que seus dados sejam eliminados dos arquivos das instituições que desejar. Há ressalvas em algumas operações, que necessitam de informações com fins legais, como transações bancárias.

As penalidades previstas pelo descumprimento da LGPD

Que tal conferir as sanções válidas atualmente para violações à LGPD? Confira:

Advertência, com indicação de prazo para adoção de medidas corretivas;

Multa simples, de até 2% do faturamento da empresa no seu último exercício, excluídos os tributos, limitada, a R$ 50.000.000,00 por infração;

Multa diária;

Publicização da infração após devidamente apurada e confirmada a sua ocorrência;

Bloqueio dos dados pessoais a que se refere a infração até a sua regularização;

Eliminação dos dados pessoais a que se refere a infração;

Suspensão parcial do funcionamento do banco de dados a que se refere a infração pelo período máximo de 6 meses, prorrogável por igual período, até a regularização da atividade de tratamento pelo controlador;

Suspensão do exercício da atividade de tratamento dos dados pessoais a que se refere a infração pelo período máximo de 6 (seis) meses, prorrogável por igual período;

Proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.

Consultoria alinhada à adequação

Após todos os conceitos e definições apresentados, fica claro que se adequar à LGPD é um processo que requer atenção.

Além da adequação de processos e tecnologias, as empresas são impulsionadas para a adoção de uma nova cultura, que desperte em seus colaboradores uma nova forma de pensar e agir, em relação à privacidade e à governança de dados.

Neste sentido, a consultoria pode atuar como um parceiro estratégico para mapear as ações necessárias e estruturar um plano de adequação à LGPD que contemple as principais dimensões organizacionais, pessoas, processos e tecnologia.

Além disso, que seja perene no longo prazo, reduzindo assim os riscos de exposição.

Os desafios para a adequação dependem das características de cada negócio e do segmento de atuação.

Contudo, por mais complexa que esta jornada pareça, a partir de um diagnóstico e compreensão de como os dados transitam em seus processos e tecnologias, é possível definir um modelo funcional e técnico para a governança de dados na organização e, a partir disso, desenvolver estratégias para a conscientização de seus colaboradores.

A especialista da TOTVS Consulting Juliana Pauleti explica que a consultoria pode atuar como um parceiro, contribuindo de forma significativa em função de seus conhecimentos prévios de mercado e também por sua isenção em relação aos processos praticados pela empresa que a contrata.

A consultoria pode contribuir de uma forma ampla no diagnóstico para mapear todos os gaps e, por consequência, identificar as ações necessárias para a adequação.

Ou seja, por meio deste mapeamento e entendimento dos modelos e práticas do negócio, é possível identificar todos os elementos capazes de expor a companhia, no tocante às diretrizes da LGPD.

De acordo com a especialista, uma consultoria deve avaliar tanto o ambiente interno quanto o externo de uma empresa. Essa análise ajuda a identificar como os dados transitam nestes ambientes e qual a finalidade e uso dos mesmos e, assim, traçar ações para assegurar a aderência às exigências da LGPD.

Transformação cultural nas empresas

Todo processo de transformação - seja ele em função da adesão de uma nova tecnologia, novos modelos de atuação ou até mesmo atendente a novas exigências legais - é feito por pessoas e para pessoas. Desta forma, neste movimento de adequação à LGPD, é imprescindível atentar-se à cultura organizacional.

Isso significa que os colaboradores precisam tomar conhecimento da LGPD, saber como se comportar ante as diretrizes da lei e, mais do que isto, em função da abrangência do tema, a LGPD precisa ser inserida em todos os atributos que reforçam a cultura.

"As empresas precisam responder rapidamente à LGPD, que já é uma realidade. Processos, tecnologias e pessoas são pilares essenciais e a sinergia entre eles é fundamental para a correta transição", afirma Juliana.

Quanto antes começar a trabalhar nas revisões e adaptações necessárias, mais tempo a empresa terá para mudar a forma de pensar dos colaboradores. "Não adianta ter [apenas] processos e tecnologias prontos, as pessoas precisam estar prontas também", pontua.

A especialista reforça que a adequação à LGPD exige uma transformação cultural. "Não dá mais para pegar o currículo de um candidato, deixar na mesa de um recrutador e ir tomar um café. Não dá para criar um mailing ou abrir um canal de suporte sem se preocupar com a LGPD", enfatiza.

Consultoria LGPD: jornada de adequação

Juliana indicou alguns pilares-chave para a jornada de adequação à nova lei de proteção de dados.

1. Entender o modelo de atuação / processos da empresa (internos e externos);

2. Avaliar as tecnologias utilizadas pela companhia;

3. Mapear onde estão e como são utilizados os dados (compreender a finalidade de uso);

4. Identificar os gaps e traçar ações para adequação dos processos e tecnologias para reduzir o risco de exposição;

5. Criar um plano de gestão de mudança para preparar a empresa para o novo e implementar elementos à cultura organizacional com foco em proteção de dados.

A consultoria consegue apoiar as empresas de uma forma abrangente, do diagnóstico à adequação à LGPD. Mas, talvez você esteja se perguntando quanto tempo leva este processo.

Juliana explicou que a duração depende não só do trabalho realizado pela consultoria, mas também do contexto organizacional e da velocidade com que a empresa responde às mudanças. Ou seja, conta muito o quanto a organização está engajada na adequação.

Conclusão: governança de dados, um processo contínuo

Além de criar um plano de adequação, a consultoria consegue criar um modelo de governança de dados para que a empresa continue a jornada de forma mais autônoma no futuro.

Deste modo, consegue elaborar um plano de transição para que a companhia se adeque às regras impostas pela LGPD.

Mais do que adequar as práticas existentes à lei, é preciso assegurar que processos futuros, novos produtos e tecnologias tenham a LGPD como "pano de fundo". Isso significa que a atenção deve ser contínua.

Bem, diante do que foi exposto, você percebeu que é importante antecipar a adequação da sua empresa para que o mindset voltado à proteção da privacidade e governança de dados se consolide o quanto antes.

# data[].attributes.attachment_link.title
LGPD: o que é, objetivos e como sua empresa pode se adequar

# data[].attributes.attachment_link.description
Sua empresa está passando pelo processo de adequação à nova Lei Geral de Proteção de Dados? Existem muitas dúvidas sobre como implementar essas mudanças? A jornada da LGPD é um processo que exige uma movimentação de toda a companhia.

# data[].attributes.attachment_link.readable_text
Uma auditoria de segurança da informação é a descrição de alto nível das muitas maneiras pelas quais as organizações podem testar e avaliar sua postura geral de segurança, incluindo a segurança cibernética. Pode-se empregar mais de um tipo de auditoria de segurança para alcançar os resultados desejados e cumprir os objetivos de negócios. Os auditores do SGSI devem verificar se as informações documentadas, conforme requeridas pelos critérios de auditoria e pertinentes ao escopo da auditoria, existem e estão em conformidade com os requisitos dos critérios de auditoria.

Os auditores do SGSI devem confirmar que os controles determinados no escopo da auditoria estão relacionados aos resultados do processo de avaliação e tratamento de riscos e, posteriormente, podem ser rastreados até a política e os objetivos de segurança da informação. Os métodos possíveis para coletar informações pertinentes durante a auditoria incluem: a análise crítica de informações documentadas (incluindo registros de computador e dados de configuração); a visita a instalações de processamento de informações; a observação de processos de SGSI e controles relacionados; o uso de fer...

continuar lendo

# data[].attributes.attachment_link.title
Os critérios para a auditoria de sistemas de gestão da segurança da informação - Revista AdNormas

# data[].attributes.attachment_link.description
Uma auditoria de segurança da informação é a descrição de alto nível das muitas maneiras pelas quais as organizações podem testar e avaliar sua postura geral de segurança, incluindo a segurança cibernética. Pode-se empregar mais de um tipo de auditoria de seg... Leia mais &rsaquo

# data[].attributes.body
É uma das formas de defesa mais antiga e passou por uma evolução acelerada nos últimos anos com o surgimento do conceito de . Com as ameaças se tornando cada vez mais sofisticadas e se disfarçando de programas ou elementos confiáveis do sistemas, para entrarem mais facilmente e fazerem seu estrago, a resposta dos fabricantes a esse movimento foi a evolução do firewall para um sistema mais robusto que não apenas servisse como uma barreira, mas também como uma lupa para identificar o quem, o que está trafegando em sua rede, como e quando, inclusive as aplicações que estão na nuvem. Esse é um ganho de segurança extraordinário que trouxe várias vantagens para a administração de TI.

# data[].attributes.headline
Fundamentos de auditoria de sistemas - Parte 1

# data[].attributes.subject
Fundamentos de auditoria de sistemas - Parte 1

# data[].attributes.headline
Fundamentos de auditoria de sistemas - Parte 2

# data[].attributes.subject
Fundamentos de auditoria de sistemas - Parte 2

# data[].attributes.attachment_link.title
Fundamentos de auditoria de sistemas - Parte 2

# data[].attributes.attachment_link.title
Lei Geral de Proteção de Dados (LGPD) na prática: o que é e como se adaptar?

# data[].attributes.attachment_link.authors[].name
ATSG - Academia Tecnológica de Sistemas de Gestão

# data[].attributes.attachment_link.title
Norma da Vez - Ep. 1 - ISO 19011 - Rogério Campos Meira

# data[].attributes.body
um pouquinho sobre mim <3

# data[].attributes.headline
O QUE É GDPR (General Data Protection Regulation)

# data[].attributes.subject
O QUE É GDPR (General Data Protection Regulation)

# data[].attributes.attachment_link.title
O QUE É GDPR (General Data Protection Regulation)

# data[].attributes.attachment_link.title
TODAS AS LEIS DE PROTEÇÃO DE  DADOS do mundo (LGPD, GDPR, CCPA, ePrivacy e outras), por país

# data[].attributes.headline
Auditoria em um (SGSI) Sistema de Gestão de Segurança da Informação

# data[].attributes.subject
Auditoria em um (SGSI) Sistema de Gestão de Segurança da Informação

# data[].attributes.attachment_link.title
Aula 4/15  - Segurança da Informação: Implantação de um SGSI

# data[].attributes.headline
Padrões de segurança utilizados hoje em dia

# data[].attributes.subject
Padrões de segurança utilizados hoje em dia

# data[].attributes.body
ISO: A Organização Internacional de Padronização (ISO) desenvolve e publica uma série de diretrizes projetadas para garantir qualidade, confiabilidade e segurança. A família de padrões ISO / IEC 27000 é uma das mais relevantes para os administradores de sistemas, pois esses padrões se concentram em manter ativos de informações em segurança. A ISO / IEC 27001 é conhecida por seus requisitos de sistema de gerenciamento de segurança da informação.

https://www.iso.org

HIPAA: A regra de segurança HIPAA descreve diretrizes específicas referentes exatamente a como as organizações devem proteger as informações eletrônicas de saúde pessoal dos pacientes.

https://www.hhs.gov

PCI DSS: O padrão de conformidade com o PCI DSS se aplica diretamente às empresas que lidam com qualquer tipo de pagamento do cliente. Pense neste padrão como o requisito responsável por garantir que as informações do seu cartão de crédito estejam protegidas toda vez que você realizar uma transação. Realização de conformidade com o PCI DSS não é tarefa fácil e é recomendável o uso de software para auxiliar no processo.

https://www.pcisecuritystandards.org

SOX: A Lei SOX, conhecida formalmente como Lei Sarbanes-Oxley, depois de seus patrocinadores, o senador Paul Sarbanes (D-MD) e o representante Michael G. Oxley (R-OOH-4), foi aprovada em 2002. O objetivo era proteger os investidores, exigindo que todas as empresas públicas fornecessem divulgações financeiras precisas e confiáveis ​​anualmente.

Fonte <https://blog.esisec.com.br/auditoria-em-um-sgsi-sistema-de-gestao-de-seguranca-da-informacao/>