# data[].attributes.body
A EXIN Information Security Foundation baseada na ISO / IEC 27001 é uma certificação que valida o conhecimento de um profissional sobre:

▪ Informação e segurança: o conceito, o valor, a importância e a confiabilidade da informação;
▪ Ameaças e riscos: os conceitos de ameaça e risco e a relação com a confiabilidade das informações;
▪ Abordagem e organização: a política de segurança e a organização de segurança, incluindo os componentes da organização e o gerenciamento de incidentes (de segurança);
▪ Medidas: a importância de medidas de segurança, incluindo medidas físicas, técnicas e organizacionais
▪ Legislação e regulamentos: a importância e o impacto da legislação e dos regulamentos O exame para a EXIN Information Security Foundation baseado na ISO / IEC 27001 é destinado a todos na organização que estejam processando informações. O módulo também é adequado
para empresários de pequenas empresas independentes para as quais é necessário algum conhecimento básico de segurança da informação.

Dado e Informação
Os dados podem ser processados pela tecnologia da informação, mas se tornam informações depois que
adquirem um certo significado.

• As informações podem assumir a forma de texto, mas também das palavras faladas e imagens de vídeo

Para poder compreender o valor da informação é muito importante analisar o papel da informação em cada um dos vários processos do negócio

O que é segurança da informação ?
É a Preservação da Confidencialidade, Integridade e
Disponibilidade de informação; Além disso, outras propriedades, como autenticidade, responsabilidade, não repúdio e a confiabilidade também pode estar envolvida.

Fonte 1

# data[].attributes.headline
ISO 27001                                                  Confidencialidade

# data[].attributes.subject
ISO 27001                                                  Confidencialidade

# data[].attributes.body
Confidencialidade é propriedade que limita o acesso à informação somente às entidades legítimas, ou seja, aquelas
autorizadas pelo proprietário da informação.

É o grau em que o acesso à informação é restrito a um grupo definido autorizado a ter esse acesso. Isso também inclui
medidas para proteger a privacidade.

Em relação à confidencialidade, os principais requisitos do item 4.2 são:

Gestão e proteção das informações obtidas e geradas durante as atividades de laboratório;

Controle de como todas as partes envolvidas no processo metrológico (laboratório, clientes, fornecedores e colaboradores) do laboratório irão agir em relação ao cuidado na proteção dos dados do cliente;

Ênfase no ponto de que as informações do cliente são propriedade dele e só podem ser divulgadas com seu consentimento expresso, independentemente da situação. (Nota: neste ponto há uma ressalva, no item 4.2.2, no que diz respeito a questões judiciais).

Em um primeiro momento, parece que tudo está relacionado com a gestão da informação e de dados, assim, bastaria você ter um sistema de informação adequado, uma pessoa fiscalizando o trabalho e tudo estaria resolvido. Porém, não é somente a gestão da informação de dados que necessita de atenção.

Ao examinar um pouco melhor esses requisitos da norma e suas recomendações, você irá perceber um aspecto mais importante do que ter um sistema para gestão da informação: cuidar de como está sendo conduzido o relacionamento do laboratório com o cliente.

De maneira bem simples: a confidencialidade trata principalmente sobre como você vai cuidar dos dados do seu cliente para que ele tenha confiança não apenas no seu serviço, como também na parceria que escolheu ao te contratar.

Dificilmente você tornaria os dados técnicos do seu cliente públicos, isto é bastante claro, no entanto, às vezes a simples divulgação de que você atende uma empresa no seu site ou ainda, comentar em alguma conversa comercial sem o consentimento dessa empresa pode representar uma quebra de confidencialidade.

Quais as ações que podem ser tomadas

No momento que um cliente fecha um contrato com sua empresa, houve uma confiança depositada em você e seus serviços. Seu laboratório e a sua equipe precisam estar preparados para garantir o cumprimento dos procedimentos e também o atendimento às necessidades expressas e não expressas pelo seu cliente.

Para ter um bom controle dos processos e lidar com aspecto confidencialidade, talvez seja a hora de você começar a olhar para o gerenciamento de riscos. Isso está tratado no item 8.5 – Ações para abordar riscos e oportunidades – e permite a identificação do que pode dar errado e assim, tomar medidas iniciais de prevenção. Pode ser feito um levantamento dos riscos que possam estar ligados a segurança da informação ou a quebra de confidencialidade.

Fonte 1

# data[].attributes.body
• Integridade é a propriedade que garante que a informação
manipulada mantenha todas as características originais estabelecidas pelo proprietário da informação durante seu ciclo de vida (nascimento,
manutenção e destruição).

• É o grau em que as informações estão atualizadas e sem erros.

As características da integridade são:

A correção da informação
• A integridade das informações

Medidas de Integridade

Alterações nos sistemas e dados são autorizadas. Por exemplo, um membro da equipe insere um novo preço para um artigo no site e outro verifica a exatidão desse preço antes de ser publicado.

• Sempre que possível, são criados mecanismos que forçam as pessoas a
usar o termo correto. Por exemplo, um cliente sempre é chamado de
'cliente', o termo 'cliente' não pode ser inserido no banco de dados
• As ações dos usuários são registradas (registradas) para determinar quem fez uma alteração nas informações.
• Ações vitais do sistema, por exemplo, a instalação de um novo software, não podem ser executadas por apenas uma pessoa. Segregando deveres, posições e autoridades, pelo menos duas pessoas serão necessárias para realizar uma mudança que tenha grandes consequências.

A integridade dos dados pode ser garantida em grande parte por meio de técnicas de criptografia, que protegem as informações contra acesso ou alteração não autorizada. Os princípios de política e gerenciamento para criptografia podem ser definidos em um documento de política separado.

Existem mais 2 propriedades que buscam garantir a integridade:

Autenticidade: Garante que a informação é proveniente da fonte anunciada e que não foi alvo de qualquer mutação desde sua origem até o seu destino Final.

Não repúdio: É a propriedade visa garantir que o autor não negue ter criado e assinado o documento

Fonte 1

# data[].attributes.body
Disponibilidade é o grau em que as informações estão
disponíveis para o usuário e para o sistema de informações que está em operação no momento em que a organização exige.

As características da disponibilidade são :
Linhas de tempo: os sistemas de informação estão
disponíveis quando necessário

▪ Continuidade: a equipe pode continuar trabalhando em
caso de falha;

▪ Robustez: existe capacidade suficiente para permitir que
todo o pessoal do sistema trabalhe

Medidas de Disponibilidade
O gerenciamento e armazenamento de dados é tal que a chance de perder a informações é mínima. Os dados são, por exemplo, armazenados em um disco de rede e não no disco rígido do PC.

• Os procedimentos de backup estão configurados. Os requisitos regulamentares para quanto tempo os dados devem ser armazenados são levados em consideração. O local do backup é fisicamente separado da empresa, a fim de garantir a disponibilidade em casos de emergência
• Procedimentos de emergência são estabelecidos para garantir que as atividades possam retomar o mais rápido possível após uma interrupção em grande escala.

Fonte 1

# data[].attributes.body
O que é a LGPD

A Lei 13709/2018 Federal que dispõe sobre o tratamento de pessoais de pessoas físicas, baseou-se no GDPR da Europeia
O GDPR elevou o direito à privacidade de dados pessoais a um direito fundamental

A quem se aplica a LGPD ?
Art. 3º Esta Lei aplica-se a qualquer operação de tratamento realizada por pessoa natural ou por pessoa jurídica de direito público ou privado, independentemente do meio, do país de sua sede ou do país onde estejam localizados os dados, desde que:

I - a operação de tratamento seja realizada no território nacional

Art. 3º
II - a atividade de tratamento tenha por objetivo a oferta ou o fornecimento de bens ou serviços ou o tratamento de dados de indivíduos localizados no território nacional;
§ 1º Consideram-se coletados no território nacional os dados pessoais cujo titular nele se encontre no momento da coleta.

Responsabilidade Solidária x Subsidiária

Art. 42. O controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo

§ 1º A fim de assegurar a efetiva indenização ao titular dos dados:

I - o operador responde solidariamente pelos danos causados pelo tratamento quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador, hipótese em que o operador equipara-se ao controlador, salvo nos casos de exclusão previstos no art. 43 desta Lei;

O que é violação de dados ?

uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso, não autorizados, a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento.

Tratamento de dados pessoais

Art. 1º Esta Lei dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural*

* A LGPD não se aplica a PJ, entretanto, a MEI pode ser uma exceção

Tratamento de dados pessoais

Art 5º
X - tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;

Dados Pessoais

Art. 5º Para os fins desta Lei, considera-se:

I - dado pessoal: informação relacionada a pessoa natural identificada ou identificável;

Fonte 1

# data[].attributes.body
O que é uma auditoria de segurança de TI?
rata-se de uma avaliação sistemática da segurança do sistema de informações de uma empresa, medindo o quanto ele está em conformidade com um conjunto de critérios estabelecidos. Uma auditoria completa, normalmente, avalia a segurança da configuração da infraestrutura, do ambiente, dos sistemas, de softwares, dos processos de manipulação de informações e de práticas do(a) usuário(a).

Em suma, toda organização deve realizar auditorias de segurança de rotina para ampliar a proteção de dados e ativos.

Como a auditoria é realizada?
O processo de auditoria compreende desde a análise de configurações de sistemas operacionais, compartilhamentos de redes, aplicações, softwares, sistemas, processos, dados históricos, acessos e consciência dos usuários etc. A seguir, apresentamos uma lista de soluções de segurança comuns para você pensar durante esse processo.

Proteção de e-mail
Os ataques de phishing estão cada vez mais populares hoje em dia e mais difíceis de identificar. Uma vez clicado, um e-mail de phishing fornece várias opções para obter acesso aos seus dados por meio da instalação do software. Os filtros de spam ajudam, mas a identificação de e-mails como “interno” ou “externo” à sua rede também é altamente valiosa.

Segurança de senha e gerenciamento de acesso
As senhas são complicadas, porque precisam ser complexas e exclusivas para cada conta, além de terem uma validade, ou seja, necessitam de renovação de tempos em tempos. Invista em um gerenciador de senhas comerciais, elimine a reutilização de senhas, aprimore a complexidade delas e ative o compartilhamento seguro de senhas.

Como administrador(a), você também pode gerenciar quem tem acesso a quais senhas na organização, para garantir que contas confidenciais estejam disponíveis apenas para a equipe apropriada.

Backup de dados
Faça backup de seus dados de forma consistente e garanta que eles sejam seguros e separados em caso de ataque de malware ou físico aos seus servidores principais.

Atualizações de software
Manter todos(as) os(as) usuários(as) da sua rede com o software mais recente é inestimável para garantir seus pontos de acesso. Você pode impor atualizações de software manualmente ou pode usar um software específico para manter suas contas confidenciais bloqueadas para funcionários(as) cujo software não está atualizado.

Quando ela deve ser feita?

A segurança da informação não deve ser encarada apenas como um requisito para o departamento de TI da empresa: ela é responsabilidade de todos(as) os(as) funcionários(as). Porém, muitas empresas assumem que seus sistemas são plenamente seguros, mas isso é difícil de saber sem realizar auditorias aprofundadas regulares de sua segurança. Em geral, existem dois tipos de auditoria, que são realizadas com frequências distintas.

Auditoria de rotina
Uma auditoria de rotina é um método automático que as equipes de TI usam para executar atividades de auditoria. Ela é feita com mais frequência e de forma regular. A decisão sobre quando executar uma auditoria de rotina é da gerência de TI.

Você pode optar por executá-los mensalmente, trimestralmente ou semestralmente. No entanto, recomenda-se que, no mínimo, essas auditorias sejam realizadas duas vezes por ano.

Auditoria especial
Uma auditoria especial ocorre em uma organização sob uma determinada circunstância e usa tecnologia avançada para se concentrar em uma área específica, depois que um evento ocorre, como uma violação de dados.

Por fim, sua primeira auditoria de segurança em TI deve ser usada como base para todas as auditorias futuras — medir seu sucesso e falhas ao longo do tempo é a única maneira de avaliar verdadeiramente o desempenho. Ao continuar aprimorando seus métodos e processos, você criará uma atmosfera de análise de segurança consistente e terá sempre a melhor posição para proteger seus negócios contra qualquer tipo de ameaça à segurança.

Fonte 1

# data[].attributes.body
Quais as atribuições do encarregado (DPO) segundo a Lei de Proteção de Dados

Com as novas leis de proteção de dados, novas instituições, mercados e até atribuições profissionais estão surgindo. E um dos principais é o Data Protection Officer (DPO) ou encarregado de proteção de dados.

Dependendo da forma e dos objetivos para os quais uma empresa recolhe dados dos seus usuários ela precisa ser monitorada por um DPO. A seguir, vamos entender melhor o papel desse profissional e descobrir se o seu negócio precisa contratá-lo.

Quem é o DPO?

A figura do DPO ganhou maior notoriedade a partir da publicação do Regulamento Geral de Dados da União Europeia (GDPR) no ano passado. De forma geral, esse profissional é um especialista em proteção de dados e monitora empresas para garantir que elas estejam em compliance com as regras e boas práticas do setor. Ele também deve intermediar os interesses da empresa (controlador) e do titular dos dados.

Com a criação da Lei Geral de Proteção de Dados brasileira (LGPD), que se inspirou bastante no GDPR, o DPO recebeu o nome de encarregado e ganhou a seguinte definição, registrada no artigo 5º da lei: “pessoa indicada pelo controlador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD)”.

As funções do DPO de acordo com o GDPR

De acordo com artigo 37 do GDPR a figura do DPO é necessária sempre que o tratamento for feito por órgãos ou autoridades públicas (com exceção de tribunais), a empresa lide com dados especiais e sensíveis (como informações sobre etnia, religião e condenações penais) ou faça um monitoramento em larga escala.

O artigo 39 define que estão entre as tarefas do DPO:

Informar e aconselhar o responsável pelo tratamento e os demais profissionais sobre suas obrigações nos termos do GDPR;

Controlar a conformidade com o GDPR e com as políticas do responsável pelo tratamento, incluindo a atribuição de responsabilidades, a sensibilização e a formação do pessoal envolvido no tratamento;

Prestar aconselhamento, se tal for solicitado, no que se refere à avaliação do impacto da proteção de dados, e acompanhar o seu desempenho;

Cooperar com as autoridades;

Servir de ponte para a autoridade de supervisão em questões relacionadas com o tratamento.

As tarefas do DPO segundo a LGPD

O texto da LGPD também designa algumas atribuições para o encarregado. O artigo 41, parágrafo 2º lista essas atividades:

Aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;

Receber comunicações da autoridade nacional e adotar providências;

Orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais;

Executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.

O parágrafo 3º ainda afirma que “a autoridade nacional poderá estabelecer normas complementares sobre a definição e as atribuições do encarregado, inclusive hipóteses de dispensa da necessidade de sua indicação, conforme a natureza e o porte da entidade ou o volume de operações de tratamento de dados”. Ou seja, essas tarefas podem ser adaptadas ou excluídas de acordo com orientação da ANPD.

Observando os dois “job descriptions” é possível perceber que as tarefas são bem parecidas e se resumem em monitorar, fiscalizar, orientar e fazer a ponte entre os titulares e as empresas.

Fonte 1