# data[].attributes.body
A Segurança da Informação, ou InfoSec, é uma matéria muito vasta e, tendo em vista o crescimento de métodos invasivos contra sistemas, o gerenciamento de vulnerabilidades me chamou a atenção, pois, por experiência , presenciei o quão leigas a maioria das pessoas são quando se trata de onde clicar, por assim dizer, na internet. Fatores como esses tornam o tópico citado de extrema relevância no mundo corporativo.

# data[].attributes.attachment_link.title
O que é Gerenciamento de Vulnerabilidades?

# data[].attributes.attachment_link.description
O gerenciamento de vulnerabilidades é um processo contínuo, que inclui descoberta proativa de ativos, monitoramento constante, eliminação, correção e táticas de defesa, para proteger a superfície de ataque de TI moderna da sua organização contra a Cyber Exposure.

# data[].attributes.body
Segurança de aplicações;
Segurança na nuvem;
Criptografia;
Segurança de infraestrutura;
Resposta a incidentes;
Gerenciamento de vulnerabilidades.

# data[].attributes.attachment_link.readable_text
A segurança da informação, frequentemente chamada de InfoSec, se refere aos processos e às ferramentas projetados e implantados para proteger informações corporativas confidenciais contra modificações, interrupções, destruições e inspeções.

# data[].attributes.attachment_link.title
O que é segurança da informação (InfoSec)?

# data[].attributes.attachment_link.description
A segurança da informação, frequentemente chamada de InfoSec, se refere aos processos e às ferramentas projetados e implantados para proteger informações corporativas confidenciais contra modificações, interrupções, destruições e inspeções.

# data[].attributes.headline
6 erros de segurança da informação que você nunca deve cometer

# data[].attributes.subject
6 erros de segurança da informação que você nunca deve cometer

# data[].attributes.body
A informação nunca foi tão valiosa para as empresas como é atualmente. Em razão da dinâmica acelerada do mercado e da alta conectividade que marca o cenário empresarial, os dados e as informações hoje ocupam a posição de verdadeiro ativo para as companhias, servindo de base para a tomada de decisão, as otimizações e a personalização de produtos e serviços.

# data[].attributes.attachment_link.readable_text
A informação nunca foi tão valiosa para as empresas como é atualmente. Em razão da dinâmica acelerada do mercado e da alta conectividade que marca o cenário empresarial, os dados e as informações hoje ocupam a posição de verdadeiro ativo para as companhias, servindo de base para a tomada de decisão, as otimizações e a personalização de produtos e serviços.

Em contrapartida a esse movimento de utilização e valorização crescente da informação, há também que se considerar o aumento dos riscos envolvendo a manipulação de dados. Na dinâmica atual do mercado, erros de segurança da informação podem implicar prejuízos incalculáveis, colocando em xeque as operações de uma empresa.

Apesar da pouca maturidade das companhias brasileiras em segurança da informação, há uma grande preocupação com o tema. Segundo levantamento realizado pela F5, o qual contou com a participação de 184 CISOs de países como Brasil, Inglaterra, EUA, Alemanha, México, Índia e China, 53% dos gestores brasileiros consideram a segurança da informação como prioridade para os negócios.

Em razão da grande importância desse tema, a seguir listamos 6 erros de segurança da informação que não devem nunca ser cometidos em uma empresa. Continue a leitura e saiba como proteger a sua empresa dos prejuízos!

1. Lembretes de senha

Embora pareça algo trivial e que jamais aconteceria em uma empresa que se preocupa com a segurança da informação, a ruptura na segurança de dados em razão de simples lembretes de senhas é um erro que toda companhia deve evitar.

Por mais robusto e eficiente que um sistema possa ser, o fato de o usuário deixar a sua senha visível em uma nota adesiva colada no seu monitor por não tê-la memorizado, por exemplo, pode expor a integridade dos dados a riscos, além de tornar inútil todos os investimentos e cuidados adotados para que falhas mais graves não ocorram.

Para se ter uma ideia mais ampliada de como o comportamento do usuário ainda é um dos fatores principais para falhas na segurança, uma análise das ameaças enfrentadas pelas organizações realizada no primeiro trimestre de 2017 revela que os hackers ainda dependem da interação do usuário para agir. É o que diz Bo Yuan, Ph.D., professor e presidente do departamento de segurança de computação do Rochester Institute of Technology.

2. Políticas de segurança mal implantadas

Outra falha grave que a sua empresa não pode incorrer diz respeito à política de segurança. Estratégias de segurança e compliance de dados mal elaboradas e implantadas, além de desperdiçarem recursos valiosos da empresa, não promovem a segurança necessária às informações, o que significa que rupturas são fatos totalmente possíveis.

Nesse sentido, as políticas de segurança devem ser tão amplas quanto possível, de modo a abarcar mais quantidade de profissionais e setores. Assim, estabelece-se um padrão de expedientes e cuidados básicos, os quais são de conhecimento geral e que podem ser aplicados de maneira adequada.

Vale lembrar, contudo, que a política de segurança deve ser adaptada para cada tipo de profissional. Isso porque alguém que lida diretamente com TI, por exemplo, e tem acesso profundo aos sistemas da empresa necessita de orientações mais robustas, já que a sua atuação gera mais riscos.

Por outro lado, um colaborador do setor financeiro, apesar de também ter acesso ao sistema da empresa e a alguns dados financeiros, não necessita de complexas instruções para trabalhar de forma segura.

3. Entender a segurança da informação como gasto e não como investimento

Embora essa cultura esteja se transformando, muitas empresas ainda insistem em visualizar os custos com segurança da informação como gastos. Na realidade, em razão da importância dos dados no cenário atual, esses custos são verdadeiros investimentos, visto que contribuem para a regularidade do negócio e permitem que a empresa utilize os seus dados de maneira ainda mais competitiva.

Assim sendo, é preciso ter em mente que cada centavo investido em segurança da informação tem o potencial de garantir ainda mais resultados e lucros para a sua empresa. Afinal, a jornada digital pela qual o mercado passa atualmente só reforça a ideia de que o valor da informação passará a ser ainda maior no futuro.

4. Falta de controle de usuários

Uma boa parte das empresas ainda não realiza um controle mais rigoroso de acesso dos usuários aos diferentes níveis de informação utilizados no dia a dia de atividades. Esse fato, sem dúvida, é um erro grave e que expõe a companhia a riscos consideráveis de quebra de sigilo e invasão.

Evidentemente, cada tipo de negócio lida com informações diferentes, as quais exigem níveis de segurança distintos. Por isso, com base nessa realidade, é preciso compor uma política de controle de acesso suficientemente robusta para manter o acesso às informações somente por quem de fato necessita.

A lógica é que, quanto menos pessoas tenham acesso a dados sensíveis, menores são os riscos de rupturas na segurança. Além disso, um controle mais incisivo ajuda a monitorar acessos suspeitos, compartilhamento de credenciais e outras falhas que podem contribuir negativamente para a quebra da integridade das informações.

5. Não realizar as devidas atualizações

Devido à sofisticação da atuação de criminosos, é necessário manter os sistemas de segurança da empresa atualizados. Todos os dias surgem novas ameaças, de modo que ter um sistema desatualizado significa ter brechas que podem ser exploradas por pessoas mal-intencionadas.

Nesse contexto, fica claro que um dos principais erros que uma empresa pode cometer é não atualizar as suas barreiras de segurança, sejam elas lógicas ou mesmo relacionadas ao pessoal responsável pela segurança da informação.

Assim, é fundamental que as equipes de TI estejam atualizadas e treinadas para lidar com novas ameaças, assim como a infraestrutura da companhia também deve estar alinhada aos novos padrões de riscos.

6. Não desenvolver um plano de contingência

Tão importante quanto adotar uma postura de prevenção de riscos é também estabelecer medidas emergenciais de caráter repressivo, a fim de que, quando for identificada uma ameaça, todos os envolvidos na segurança dos dados saibam exatamente como proceder para minimizar os danos.

Apesar da importância de um plano de contingência, muitas empresas ainda não dão a devida atenção a esse tipo de medida. Vale destacar que agir de maneira pontual e ágil, caso alguma ruptura na segurança ocorra, pode fazer toda diferença, evitando prejuízos mais graves à empresa.

O plano de contingência, então, funciona como um plano B, guiando as equipes na hora de contornar riscos ao estabelecer as diretrizes ideais para cada tipo de ameaça ao qual a empresa possa estar exposta. Nesse ponto, desde treinamentos até orientações por escrito podem ser utilizados como forma de educar e preparar os membros da empresa para lidar com os riscos.

Por fim, erros na segurança da informação, como vimos, podem implicar danos graves para a companhia, sobretudo atualmente, período em que cada vez mais dados sensíveis compõem a estratégia de negócios. Por isso, estar atento aos riscos e evitar os erros citados ao longo deste post certamente podem melhorar a integridade da sua empresa, minimizando a ocorrência de ameaças.

Então, o que achou deste post sobre erros de segurança da informação? Tem interesse em saber mais sobre esse e outros assuntos relacionados? Assine a nossa newsletter e fique atualizado com os nossos conteúdos!

# data[].attributes.attachment_link.title
6 erros da segurança da informação: saiba quais são - TOTVS

# data[].attributes.attachment_link.description
A informação nunca foi tão valiosa para as empresas como é atualmente. Em razão da dinâmica acelerada do mercado e da alta conectividade que marca o cenário empresarial, os dados e as informações hoje ocupam a posição de verdadeiro ativo para as companhias, servindo de base para a tomada de decisão, as otimizações e a personalização de produtos e serviços.

# data[].attributes.body
A LGPD, ou a Lei Geral de Proteção de Dados, foi criada com o intuito de estabelecer regras para a regulamentação das práticas do uso de dados no ambiente digital, criando um cenário de segurança jurídica para proteger o direito à liberdade e privacidade dos usuários.

# data[].attributes.attachment_link.readable_text
A segurança de dados tem se tornado uma preocupação em todo o mundo. Seguindo os passos da União Europeia, que sancionou o Regulamento Geral sobre a Proteção de Dados em 2018, visando reforçar a privacidade e os direitos do cidadão digital, o Brasil passou a adotar uma conduta semelhante. Com isso, surgiu a LGPD.

E não poderia ser diferente. Com a hiperconectividade e processos cada vez mais digitalizados, a segurança dos dados pessoais tornou-se uma questão cada vez mais relevante. Assim, para adequar-se à nova legislação, é preciso que as empresas brasileiras conheçam a LGPD, e é sobre isso que trataremos neste artigo.

1. Quais as principais mudanças e impactos para as empresas?

2. Quais sãos as principais regras da LGPD?

3. E se a empresa descumprir as normas?

4. Quando a LGPD entra em vigor?

5. Como se enquadrar à LGPD?

O que é LGPD?

A LGPD, ou a Lei Geral de Proteção de Dados, foi criada com o intuito de estabelecer regras para a regulamentação das práticas do uso de dados no ambiente digital, criando um cenário de segurança jurídica para proteger o direito à liberdade e privacidade dos usuários.

A necessidade da criação da LGPD surgiu da proporção que a gestão de dados tomou na economia digital. Afinal, a coleta de dados tornou-se um recurso estratégico para garantir vantagens competitivas às grandes empresas do meio.

Além disso, a era digital também trouxe consigo diversos dilemas éticos nos quais não nos preocupávamos antes.

Nesse contexto, temos visto grandes empresas envolvidas em escândalos de vazamento de dados, atingindo e expondo milhares de usuários ao redor do mundo.

Diante disso, reforçar e regimentar às práticas de tratamento de dados tornou-se algo primordial.

Assim, a principal proposta da LGPD é proporcionar mais controle ao cidadão digital no tocante ao tratamento dado às suas informações pessoais.

Ela baseia-se nos direitos fundamentais de liberdade e privacidade, demandando mais transparência e responsabilidade às empresas e órgãos públicos que detém e manejam esses dados.

Isso inclui, por exemplo, o consentimento explícito do usuário para a coleta e uso dos dados, além de obrigar as empresas detentoras desses dados a oferecer opções para que o usuário possa acessar, corrigir, apagar e realizar portabilidade dos dados.
Quer se tornar um especialista em LGPD certificado pela EXIN? Acesse a página de cursos do Certifiquei e confira nosso curso Privacy & Data Protection - Essentials!
Como a LGPD surgiu?

Como já dissemos anteriormente, a criação da Lei Geral de Proteção de Dados baseou-se na constituição do GDPR ( General Data Protection Regulation) na União Europeia em 2018.

Por sua vez, o GDPR tem os mesmos objetivos de regulamentação e segurança, mas aplicados aos países que fazem parte da área econômica europeia.

Contudo, antes mesmo da vigência do GDPR, o Brasil já desenhava as primeiras discussões sobre a necessidade de uma lei de proteção de dados.

Mas foi apenas em 2010 que o Ministério da Justiça lançou uma pesquisa relacionada ao tema.

Com isso, alguns parlamentares começaram a apresentar alguns Projetos de Leis relacionados à segurança de dados, porém apenas com a criação do GDPR na Europa o tema passou a ser discutido com mais urgência e seriedade.

No mesmo ano em que o GDPR entrou em vigor, o Congresso Brasileiro reuniu as propostas do Projeto de Lei da Câmara PLC 53/2018, avançando até a provação e transformando-se na Lei 13.709 de 2018, que pode ser conferida na íntegra aqui.

Quais as principais mudanças e impactos para as empresas?

Na prática, a LGPD traz muitas mudanças à maneira com que se gere os dados dos cidadãos digitais nas empresas atualmente. Afinal, adequar-se à nova lei de privacidade e proteção de dados não é opcional, mas uma obrigação.

Mas isso deve ser visto como algo bom pelas empresas. Hoje, já há um grande movimento internacional no sentido de que as empresas tratem os dados com mais transparência e controle no tratamento, visando o respeito e a privacidade dos usuários.

Com isso, observa-se um impacto, também, moral às organizações, de modo que adequar-se às novas regras também é uma questão de manter-se competitivo, alinhado às demais empresas que já oferecem tal segurança.

Portanto, ajustar-se à LGPD não propicia apenas uma gestão mais eficientes dos processos da organização, mas também tem impacto direto nas suas relações comerciais e reputação no mercado.

Assim, as organizações não devem analisar e alterar sua dinâmica de tratamento de dados em suas operações apenas para diminuir os riscos de possíveis aplicações das sanções previstas em lei para quem descumpri-la, mas deve ter como objetivo agregar maior valor ao seu negócio, uma vez que os dados são, hoje, essenciais para tais organizações.

Quanto às mudanças propriamente ditas, há de se esperar que sejam diversas. As empresas terão de revisar seus contratos, sistemas e processos, a fim de garantir que estão ajustadas à lei de proteção de dados.

Isso porque um dos pontos de maiores destaque da LGPD exige que o titular dos dados consinta de maneira explícita com a utilização dos mesmos. Além disso, a empresa deve comprovar que a coleta desses dados é de, alguma forma, útil para sua interação com seus consumidores.

Além dessas, outras condutas devem ser observadas pelas empresas, dentre as quais falaremos mais a frente.

O cenário em que vivemos atualmente

Não é preciso dizer que essas mudanças afetarão muitas empresas que hoje usam os dados do titular para os mais variados fins.

O que vemos atualmente são organizações solicitando aos usuários digitais, no momento da feitura de cadastro para a realização de compras e afins, uma sucessão de dados que, muitas vezes, não possuem relação com a finalidade da empresa.

Embora esses dados devessem ser sigilosos, o cenário mostra algo diferente. É comum que essas informações sejam comercializadas e usadas para outros fins.

Não à toa já estamos acostumados a receber diversas ligações e mensagens de empresas para as quais nunca fornecemos nossos dados. Todavia, a LGPD promete mudar esse cenário.

Como a LGPD afeta o mercado de trabalho?

Outra mudança já possível de se visualizar está relacionada ao mercado de trabalho.

Isso porque a LGPD determina que todas as empresas que realizam gestão de dados devem ter um profissional chamado de Encarregado dos dados, o que corresponde ao Data Protection Officer, ou DPO, no GDPR.

O Encarregado é um executivo responsável pela proteção dos dados, isto é, o profissional responsável por eles.

Ele deve ter uma formação interdisciplinar que inclui conhecimentos da nova legislação, de governança de bases de dados pessoais e de segurança da informação, por exemplo.

Além de proteger tais dados, o Encarregado também deve atuar como porta-voz da organização diante das autoridades e dos titulares dos dados, especialmente quando se trata de reportar situações de incidentes de violações de dados pessoais.

A necessidade desse profissional nas empresas deve ter impacto positivo no mercado de trabalho, com a criação de milhares de empregos e novos cargos dentro dessas companhias.

Ainda não se sabe ao certo quantos novos postos devem ser criados no Brasil, mas é possível se ter uma ideia. Quando o GDPR vigorou na Europa, por exemplo, foram criados cerca de 28 mil novos cargos.

Um estudo realizado pela International Association of Privacity Professionals (Associação Internacional de Profissional de Privacidade) prevê a criação de 75 mil novos postos de trabalho em todo o mundo devido a implementação de regras como a europeia.

Quais sãos as principais regras da LGPD?

Agora que você já sabe o que é e como a LGPD pode afetar a sua empresa, é hora de conhecer, de fato, quais são as regras sobre as quais comentamos ao longo deste artigo.

Antes de começarmos é preciso que você entenda alguns conceitos descritos na LGPD quanto ao processo de tratamento de dados. Vamos lá?

Nomenclaturas

O artigo 1º traz algumas definições de certos termos para o entendimento completo da Lei Geral de Proteção de Dados Pessoais. São eles:

Dados pessoais: informações relacionadas a pessoa natural identificada ou identificável

Dado pessoal sensível: informação pessoal relativa à origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;

Dado anonimizado: dado que diz respeito a um titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento;

Banco de dados: conjunto estruturado de informações pessoais, estabelecido em um ou em vários locais, em suporte eletrônico ou físico;

Titular: a quem se refere os dados pessoais que são objeto de tratamento;

Controlador: a quem competem as decisões referentes ao tratamento de dados pessoais;

Operador: pessoa que realiza o tratamento de dados pessoais em nome do controlador;

Encarregado: pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre controlador, titular e autoridades competentes;

Tratamento: toda operação realizada com dados pessoais, como coleta, produção, recepção, distribuição, processamento, armazenamento, eliminação etc.;

Consentimento: manifestação livre pela qual o titular permite o uso dos dados para determinada finalidade;

Eliminação: exclusão de dados armazenados em banco de dados, independentemente do procedimento empregado;

Transferência internacional de dados: transferência dos dados pessoais para país estrangeiro ou organismo internacional do qual o país seja membro;

Uso compartilhado de dados: comunicação, difusão, transferência internacional, interconexão de dados pessoais ou tratamento compartilhado de bancos de dados pessoais; e

Relatório de impacto á proteção de dados pessoais: documento do controlador que contém a descrição dos processos de tratamento de dados que podem gerar riscos.

Direitos do titular

O artigo 9º descreve quais são os direitos garantidos aos titulares. Dentre eles estão:

1. acesso facilitado às informações sobre o tratamento de seus dados;

2. saber qual a forma e duração do tratamento;

3. conhecer quem é e qual é o contato do controlador;

4. ser informado se há uso compartilhado dos dados e com quais entidades públicas ou privadas o controlador compartilhou os dados;

5. saber quais as responsabilidades dos agentes que realizam o tratamento.

Além desses, a lei ainda aborda os seguintes direitos:

à privacidade;

autodeterminação informativa;

liberdade de expressão, de informação, de comunicação e de opinião;

inviolabilidade da intimidade, da honra e da imagem;

desenvolvimento econômico, tecnológico e a inovação;

livre iniciativa, livre concorrência e a defesa do consumidor;

direitos Humanos, livre desenvolvimento da personalidade, a dignidade e o exercício da cidadania pelas pessoas naturais;

revogação do consentimento;

correção, anonimização, bloqueio ou eliminação de dados;

Requisitos para o tratamento de dados pessoais

O artigo 7º descreve em quais hipóteses o tratamento de dados pessoais pode ser realizado:

mediante consentimento do titular;

para o cumprimento de obrigação legal ou regulatória pelo controlador;

pela administração pública, para o tratamento e uso compartilhado de dados necessários á execução de políticas públicas previstas em leis;

para a realização de estudos por órgãos de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais;

quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte do titular, a pedido do titular;

a fim de realizar exercício regular de direitos em processo judicial, administrativo ou arbitral;

com objetivo de proteger a vida ou incolumidade física do titular ou de terceiro;

como meio para a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária;

quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais;

no sentido a proteção do crédito.

Restrições

Por fim, a lei também descreve inúmeras restrições quanto ao processamento dos dados pessoais e dados sensíveis do titular. Dentre elas, podemos citar:

comunicação ou uso compartilhado de dados pessoais sensíveis com o objetivo de obter vantagem econômica;

ceder ou vender informações de contato de potenciais clientes para divulgação de produtos e serviços por telemarketing, por exemplo;

uso dos dados por parte da própria empresa para uma finalidade diferente da qual foi acordada anteriormente com o titular;

processamento de dados de crianças ou menores de idade sem o consentimento de ao menos um dos pais ou responsável legal;

acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação, ou qualquer forma de tratamento inadequado ou ilícito.

Para que as informações seja compreendidas de maneira integral, recomendamos fortemente o acesso à lei na íntegra, conforme link já disponibilizado nesse artigo.

E se a empresa descumprir as normas?

Com a criação de leis, é natural que, com elas, também crie-se sanções legais aplicáveis em caso de descumprimento.

E a existência de sanções para o descumprimentos das normas da LGPD é um dos fortes motivos para que as empresas se adequem à lei o quanto antes.

Porém, a aplicação dessas sanções pode depender da situação analisada e da gravidade que apresenta o desacato. Primeiro, é preciso que as autoridades competentes investiguem se realmente houve infração da LGPD.

Caso positivo, as sanções serão aplicadas após procedimento administrativo que possibilite a oportunidade da ampla defesa do acusado, conforme explica o artigo 52º.

Serão considerados, ainda, alguns parâmetros como critério de escolha da sanções administrativas aplicáveis, como:

gravidade;

a boa fé do infrator;

vantagem euferida ou pretendida pelo infrator;

sua condição econômica;

reincidência;

grau de dano;

cooperação do infrator;

entre outros.

Quanto às sanções nas quais a empresa infratora fica sujeita, podem variar entre:

advertência, com indicação de prazo para adoção de medidas corretivas;

multa simples, de até 2% do faturamento da empresa de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$ 50 milhões por infração;

multa diária, observando o limite total citado no tópico anterior;

publicização da infração após devidamente apurada e confirmada sua ocorrência;

bloqueio dos dados pessoais a que se refere a infração até sua regularização;

eliminação dos dados pessoais a que se refere a infração;

suspensão parcial do banco de dados a que se refere a infração pelo período máximo de seis meses, prorrogável até a regularização da atividade de tratamento pelo controlador;

proibição parcial ou total do exercício de atividades relacionadas ao tratamento de dados.

Quem fiscaliza o cumprimento da LGPD?

Visto a possibilidade de sanções para o descumprimento da lei, é natural que haja uma entidade que fiscalize e garanta a aplicação da LGPD por parte das organizações.

Essa entidade é a ANPD, ou Autoridade Nacional de Proteção de Dados. Vale dizer que, inicialmente, a criação da entidade foi vetada pelo Poder Executivo, uma vez que implicaria em inconstitucionalidade do processo legislativo por trazer vício de iniciativa.

Posteriormente, porém, o presidente em mandato no período, Michel Temer, concordou com a criação do órgão de administração pública indireta, enviando um projeto de lei para essa finalidade.

A LGPD definiu também a figura do Encarregado para atuar como canal de comunicação entre o Controlador, os titulares dos dados pessoais e a ANPD, conforme já mencionamos no tópico de nomenclaturas.

Portanto, todo e qualquer acidente que envolva dados pessoais e que ofereça riscos aos seus titulares deverão ser reportados à entidade por meio dos Encarregados.

Para quem vale as novas regras da LGPD?

Outro ponto a ser tratado aqui é a quem se aplica as regras e, também, sanções da LGPD.

Pode ser óbvio pensar que a lei se restringe às empresas brasileiras, e esse pensamento, é claro, está correto. Contudo, não apenas às empresas brasileiras.

Com um mercado aberto, é normal que o Brasil tenha, em seu território, diversas empresas estrangeiras. Ou seja, são organizações que operam em território brasileiro, mas não são brasileiras.

Por atuarem no Brasil e, consequentemente, coletar dados de cidadãos brasileiros, essas empresas não estão livres das normas previstas na LGPD.

Isso quer dizer que as determinações da lei valem para qualquer empresa, ou organização, com operações de tratamento de dados realizado em território brasileiro.

O mesmo vale, ainda, para empresas que não estão sediadas no Brasil, mas que, mesmo assim, coletam dados pessoais de brasileiros. Portanto, o processamento desses dados também deve seguir as diretrizes da LGPD.

Vigência da LGPD

A princípio, a lei entraria em vigor 18 meses após sua publicação, isto é, em fevereiro 2020. Posteriormente, essa data foi alterada, sendo adiada para agosto de 2020.

Porém, a vigência da LGPD ocorreu apenas no dia 18 de setembro de 2020. Contudo, as penalidades da LGPD passam a valer apenas em agosto de 2021. Além disso, a LGPD ainda espera a criação e início da atuação da ANPD.

Como se enquadrar à LGPD?

Apesar da extensão do prazo para a aplicação das sanções, não é momento para esperar. Mudar seus processos é algo que pode levar tempo, o que significa que a empresa deve começar esse planejamento o quanto antes.

O primeiro passo para essa mudança é uma análise atual do seu negócio no tocante à segurança de dados, a fim de identificar os pontos que precisam ser alterados. Essas mudanças podem ser técnicas, como atualização das políticas de proteção e privacidade de dados ou jurídicas, por exemplo.

Também chegará o momento de montar um time especializado para lidar com todos os processos relacionados à nova lei. Como já explicamos ao longo do artigo, para adequar-se às novas normas a organização precisará contar com várias figuras importantes, como o Encarregado de proteção de dados e o Controlador.

Uma das possibilidades, aqui, é capacitar sua equipe para ocupar esses cargos importantes na empresa. Nesse caso, nós, do Certifiquei, podemos te ajudar a passar por essa transição de maneira mais simples com os cursos que preparamos especialmente para suprir essas necessidades.

Não perca mais tempo e comece a se preparar para a LGPD hoje mesmo!

# data[].attributes.attachment_link.title
LGPD: O Que é? O Que Muda Para as Empresas?

# data[].attributes.attachment_link.description
A segurança de dados tem se tornado uma preocupação em todo o mundo. Seguindo os passos da União Europeia, que sancionou o Regulamento Geral sobre a Proteção de Dados em 2018, visando reforçar a privacidade e os direitos do cidadão digital, o Brasil passou a adotar uma conduta semelhante.

# data[].attributes.body
Esta Lei dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural.

# data[].attributes.body
Tendo como base três pilares, o CID (confidencialidade, integridade e disponibilidade), o SI usa de ferramentas projetadas e implantadas com a finalidade de proteger informações corporativas sensíveis contra as mais diversas formas de ataque.

# data[].attributes.attachment_link.readable_text
A segurança da informação é certamente um dos temas mais atuais e de maior relevância no contexto corporativo, e por essa razão, merece toda atenção por parte dos gestores e líderes de uma empresa.

Em razão da necessidade de se obter dados e informações imprescindíveis para as organizações é crucial implantar procedimentos de segurança da informação com o objetivo de prevenir riscos.

Atualmente, ações maliciosas voltadas à invasão de sistemas empresariais, quebra de sigilo de dados e ataques cibernéticos estão em alta, e as ações hackers são sempre prejudiciais, tanto para imagem da empresa, dos prejuízos causados e dos dados divulgados..

Nesse sentido, empresas que não detém o aparato necessário para se proteger certamente estão colocando as suas atividades em risco e prejudicando a segurança de dados de clientes.

Isso tudo pode causar muitos prejuízos, tanto no bolso como na imagem da empresa.

E não se engane: esse é um tema de suma importância. Afinal, em média, apenas 5% dos arquivos das empresas estão devidamente protegidos, conforme levantamento da .

Cientes da importância da segurança da informação, preparamos este post para aprofundar um pouco mais a discussão sobre o tema.

A seguir, você poderá descobrir o que é segurança da informação, seus pilares, sua importância e, principalmente, como promovê-la. Continue a leitura e confira!

O que é segurança da informação?

Segurança da informação nada mais é do que a união de esforços e medidas voltadas para a defesa dos dados, principalmente aqueles mais sensíveis, de usuários e organizações.

Em síntese, o grande cerne da segurança da informação está em manter o acesso aos dados sempre protegido.

Ou seja, livre de invasões e outras ações maliciosas que podem comprometer o sigilo, a integridade e o valor das informações.

A segurança da informação é importante porque protege todas as categorias de dados contra roubo e danos.

Isso inclui dados confidenciais, informações de identificação pessoal, informações de saúde, propriedade intelectual, dados e sistemas de informações, tanto corporativas como governamentais.
Sem uma estratégia de segurança cibernética, sua organização não pode se defender contra ações maliciosas de violação de dados.
Já se foi o tempo em que firewalls simples eram as únicas medidas de segurança. Hoje, é preciso de mais. Por isso, os gestores não podem mais deixar a segurança da informação em segundo plano.

Esse entendimento é essencial, já que o cibercrime e as ameaças digitais exigem que cada vez mais as empresas adotem medidas de proteção.

Você sabe o que isso significa? Um malware polimórfico possui a habilidade de constantemente mudar seu código para fugir dos mecanismos de detecção.

A boa notícia é que existem diversas maneiras de garantir uma comunicação segura dos dados, restringindo o acesso somente por quem, de fato, está autorizado a fazê-lo, como veremos mais adiante.

Os pilares da segurança da informação

A segurança da informação moderna se apoia, basicamente, em três pilares: confidencialidade, integridade e disponibilidade.

Uma abordagem recomendada para a segurança digital é uma que seja constituída de várias camadas, capaz de impedir qualquer ataque cibernético.

Uma combinação de firewalls, software e uma variedade de ferramentas de gestão ajudará sua empresa a combater malwares que podem afetar seu ecossistema de dispositivos e sistemas.

Ainda assim, uma estrutura cibernética de qualidade depende dos três pilares que mencionamos. São a base para o desenvolvimento de uma estratégia multicamadas.

Conheça mais sobre elas:

Confidencialidade

Esse conceito se relaciona com o ideal de privacidade das informações, isto é, da restrição do acesso.

A segurança da informação, nesse ponto, é pensada e implantada para garantir o total sigilo de dados sensíveis, evitando que ações maliciosas possam expor o seu conteúdo e causar prejuízos para a organização.

Integridade

Por outro lado, a integridade está associada à confiabilidade dos dados.

Ou seja, por esse viés, o foco maior está em garantir que as informações se mantenham exatas, livre de alterações e possam ser empregadas de maneira eficiente pela empresa.

Vale mencionar que a integridade é de extrema relevância no cenário empresarial atual, em que as decisões precisam se embasar em dados concretos e precisos.

Por isso, qualquer interferência externa pode corromper as informações, conduzindo profissionais a decisões equivocadas e que podem causar perda de competitividade.

Disponibilidade

Aqui, o foco está em manter os dados e as informações sempre ativos, acessíveis e disponíveis para serem utilizados, mas também identificar para quem ele deve estar acessível

A importância da segurança da informação

Como vimos, é nítido que, hoje mais do que nunca, a segurança da informação tem uma grande importância para as organizações.

Ser hackeado não é apenas uma ameaça direta aos dados confidenciais das empresas.

Uma situação dessa também pode arruinar seus relacionamentos com os clientes e até mesmo colocá-los em risco legal.

O fato é que, independente do seu negócio ser pequeno ou uma grande multinacional, ele depende de sistemas computacionais todos os dias.

Não há como relegar essa realidade.

Cada vez mais empresas estão migrando seu negócio para o ambiente online, não só em relação a vendas, mas toda a sua operação, e isso fez com que no último ano, com a ascensão do home office, houve um BOOM de casos de invasões em empresas brasileiras.

Com as novas tecnologias, de carros autônomos a sistemas de segurança doméstica habilitados para internet, os perigos do crime cibernético se tornam ainda mais sérios.

Sem políticas adequadas para garantir a segurança, os riscos de acessos indesejados, quebra de sigilo e fraudes nas comunicações são problemas constantes.

Os dados hoje ocupam a posição de verdadeiros ativos para as empresas , sendo eles indispensáveis para a tomada de decisão, para o relacionamento com o cliente e para a gestão empresarial como um todo.

Logo, algo que é tão valioso merece uma proteção robusta, já que indivíduos mal intencionados reconhecem o valor desses dados e vão querer se apropriar deles para tirar algum tipo de vantagem.

Nesse sentido, é fundamental investir em metodologias que garantam essa proteção, blindando os sistemas e as informações da empresa contra qualquer ação externa que possa prejudicá-la.

Confira, a seguir, quais recursos e ações podem ser adotadas.

Os procedimentos de segurança da informação indispensáveis

Você já entendeu o que é a segurança da informação, mas sabe o que é preciso para torná-la realmente eficiente? Afinal, " proteger os dados " é uma ordem quase subjetiva.

Qual o escopo de ações, processos e decisões que levam uma empresa a melhorar a segurança da informação?

Bom, atingir esse nível de maturidade não depende de uma ação.

Como você deve imaginar, trata-se de uma série de procedimentos que devem ser seguidos, aprofundados e personalizados conforme sua infraestrutura digital e de processos.

Confira alguns deles:

Política de segurança da informação

Antes de investir em infraestrutura, a empresa precisa preparar a sua cultura interna para a segurança da informação.

Nesse ponto, por exemplo, é indispensável criar e implantar uma política que reforce esse ideal, incutindo na mente de cada membro a relevância desse tema.

De nada adianta altos investimentos em equipamentos, softwares e soluções de segurança, se os recursos humanos da organização ainda não estão alinhados.

Assim, o primeiro passo é conscientizar, educar, treinar e preparar o ambiente para, então, seguir com o processo.

Automatização de backups

Como se viu, a disponibilidade é um dos pilares da segurança da informação.

A política de backups é o que garante que os dados se manterão resguardados, protegidos e acessíveis, mesmo em situações críticas, em que o repositório central for comprometido, por exemplo.

A automatização, nesse ponto, evita erros humanos, como o esquecimento de gerar cópias dos dados, e otimiza o cronograma de backup ao aumentar o rigor dessa importante tarefa.

Implantação da gestão de riscos de TI

Por essa razão, também é altamente recomendado que a empresa trabalhe com uma gestão de riscos de TI.

Nela, os profissionais precisam verificar de forma ativas os sistemas, procurando falhas e identificando pontos de atenção que podem dar margem a rupturas na segurança.

Além de ser uma forma mais econômica de aumentar o controle sobre as informações, é a forma mais eficiente de blindar os dados da companhia, solucionando falhas antes mesmo que elas evoluam para algo mais catastrófico.

Utilização de ferramentas de criptografia para senhas

A criptografia é um recurso de segurança que impede que o conteúdo das senhas possa ser acessado por softwares maliciosos, hackers etc.

A tecnologia utiliza chaves próprias para embaralhar os caracteres, inviabilizando a leitura da informação, ainda que o sistema tenha sido invadido.

Sem a chave criptográfica, dificilmente se consegue traduzir o conteúdo, o que impede que criminosos se apropriem de credenciais de acesso dos funcionários de uma empresa, por exemplo.

Configuração de firewalls

Em tempos de jornada digital, o meio on-line e a utilização da rede para as comunicações e operações empresariais é massiva.

Logo, os riscos nessas atividades também são. No entanto, uma das maneiras de proteger as informações da empresa é por meio de firewalls.

Na prática, essa tecnologia é o que qualifica a comunicação de dados entre empresas e fontes externas.

Ela funciona filtrando o fluxo de dados, permitindo somente acessos autorizados em portas específicas.

Atualmente, grande parte dos sistemas operacionais já incluem firewalls.

Porém, quando se trata de empresas, em que os dados são os bens mais valiosos, é preciso adotar sistemas ainda mais robustos e configurações mais sensíveis, o que requer apoio especializado de profissionais de TI.

Instalação e atualização constante de software antivírus

Conforme o tempo passa e os recursos de segurança da informação se tornam mais eficientes e abrangentes, os riscos também seguem pelo mesmo caminho.

Diariamente são criados novos softwares maliciosos, malwares e tantas outras "pragas virtuais" para burlar a segurança dos dados.

Por esse motivo, é fundamental que a empresa não só instale softwares de antivírus em suas máquinas e sistemas, mas mantenha-as sempre atualizadas, para que estejam aptas a identificar e combater ameaças em tempo integral.

Cloud Computing

A computação em nuvem é uma forma eficiente de evitar a perda de documentos, mas a verdade é que sua criptografia dificilmente pode ser quebrada, o que dá a ela uma vantagem competitiva quando o assunto é segurança digital.

Como implementar uma boa SI?

No entanto, não se engane: há uma série de procedimentos que devem ser aplicados em vários níveis do negócio.

Nesse tópico, vamos falar do nível mais essencial: relativo à segurança da sua empresa contra as principais ameaças da atualidade.

Você as conhece bem o suficiente e sabe quais ações pode tomar para evitá-las?

Entender esse ponto é o primeiro passo para fortalecer sua infraestrutura de proteção de dados.

E é justamente isso que vamos explicar agora:

Segurança contra ataques DDoS

Os ataques DDoS (que significa Negação Distribuída de Serviço), são uma ameaça comum que ocorre quando um hacker inunda sua rede, serviço ou servidor com tráfego (diversos computadores simultâneos) para interromper suas operações.

Essas ameaças são lançadas com pacotes de dados, solicitações de conexões ou mensagens falsas.

Tudo isso afeta sua conexão, que fica muito lenta. À princípio, esse tipo de ataque parece não representar muitos riscos.

No entanto, não se engane:

Ataques DDoS não afetam apenas suas oportunidades de negócios, a receita e a produtividade, mas também a reputação de uma organização.

Na maioria dos cenários, os custos operacionais aumentam rapidamente enquanto as organizações lutam para encontrar e resolver seus pontos fracos de segurança.

Os ataques DDoS não miram um tipo de organização em específico. Pelo contrário, costumam atingir qualquer tipo de usuário, desde o pessoal até o corporativo.

Um firewall pode ser uma das soluções, que vai identificar os endereços IPs que estão forçando acesso ao seu servidor, para então bloqueá-los.

Entre outras alternativas, o monitoramento constante do tráfego da empresa, bem como uma rotina de ciber higienização do sistema.

Segurança contra ataques Ransomware

Ransomware é um malware que criptografa os arquivos da vítima, seja uma pessoa física ou uma empresa. Assim, o titular dos dados e arquivos não consegue mais acessar essas informações, apenas mediante pagamento ao hacker.

É um tipo de ameaça que, literalmente, sequestra dados.

Uma vez que a empresa caia no golpe, ela recebe instruções para realizar o resgate - que normalmente deve ser feito em alguma criptomoeda.

Agora, porque um hacker sequestraria os dados da sua empresa?

Existem várias razões, o que já indica que não importa muito o tamanho ou relevância da empresa.

Às vezes é somente uma questão de oportunidade, como a identificação de uma brecha de segurança na empresa ou mesmo um histórico de conivência da diretoria (de ter realizado outros pagamentos no passado).

E como se proteger do ransomware?

Felizmente existem várias medidas protetivas que sua empresa pode adotar, como:

Realização periódica de backup dos arquivos;

Mantenha seu SO atualizado, garantindo que ele apresente menos vulnerabilidades;

Adotar a simples prática de recomendar a não instalação de softwares e arquivos desconhecidos;

Uso de antivírus, capaz de detectar programas maliciosos como ransomware na hora que entram no sistema, colocando-os em quarentena e impedindo-os de agir.

Segurança relacionada a Blockchain

Desse modo, qualquer solução baseada em blockchain é mais resistente a ataques cibernéticos do que os sistemas convencionais.

Funciona com a seguinte lógica:

Isso significa que cada alteração ou mudança em qualquer dado é rastreada e absolutamente nenhum dado é perdido ou excluído, porque os usuários sempre podem olhar para as versões anteriores de um bloco para identificar o que é diferente na versão mais recente.

Ou seja, tudo fica registrado e pode ser resgatado.

O uso dessa forma completa de manutenção de registros torna mais fácil para o sistema detectar blocos com dados incorretos ou falsos, evitando perdas, danos e entre outros prejuízos.

Importância do certificado SSL

O certificado SSL é uma validação de segurança que garante a segurança da conexão do site.

Este é um certificado comprado pela empresa para ser conferido ao seu site, garantindo que a conexão do endereço web com o usuário final seja criptografada.

É algo essencial para manter tanto os dados privados protegidos das mãos de hackers, como também as informações dos usuários.

Para obter um certificado SSL, é preciso que você compre um.

Existem vários tipos diferentes por aí, por isso a dica é buscar exatamente aquele que melhor se encaixe nas suas necessidades.

Além disso, a compra de um certificado SSL só é possível por meio de um provedor certificado, que vai validar principalmente se a sua empresa e o seu pedido de certificação é realmente legítimo.

Validação de domínios (Domain Validation)

Outra certificação popular e bastante necessária é o DV (Domain Validation ou Validação de Domínio).

É um modelo que usa criptografia para conferir a procedência e os mecanismos de segurança básicos do site, também garantindo que tudo esteja correto.

O Domain Validation normalmente é adotado por sites que utilizam de formulários - como é um recurso muito comum, o DV também acaba sendo.

O DV também pode ser adquirido via Internet.

Validação de organização (Organization Validation)

Um passo além no universo das certificações pode ser conquistado através do Organization Validation - ou OV, que pode ser traduzido como Validação da Organização.

No entanto, sua função é bem simples: garantir que a empresa por trás de um site corporativo realmente existe.

Ela faz isso validando o CNPJ junto à Receita Federal.

Sua aquisição é bastante recomendada para sites que armazenam informações de login e outros dados mais sensíveis dos usuários (como dados pessoais ou mesmo financeiras).

A cloud security é outro tema de destaque que deve ser levado em conta.

Quanto mais as empresas adotam soluções e dependem da nuvem, mais é necessário se preocupar com a integridade das soluções.

Isso depende de uma série de ações, como:

Controle e hierarquização de acessos;

Implementação da autenticação multifator;

Escaneamento rotineiro de brechas e falhas;

Uso de criptografia na nuvem, garantindo a segurança dos dados.

Treinamento de equipe

É comum atribuir a responsabilidade da segurança da informação apenas aos profissionais de TI. É verdade que esses especialistas serão responsáveis por fazer a garantia de incorporar sistema que irão apoiar a SI, mas, cabe a todo o time o papel de "guardiões dos dados".

A internet é cheia de oportunidades e sites malfeitores que são as portas de entrada para hackers, por essa razão, orientar a equipe sobre as melhores práticas para uso do computador na empresa é fundamental - especialmente durante o home office.

Principais erros cometidos na Segurança da Informação

Você já notou como, além de ações práticas, a implementação de uma boa estratégia de segurança da informação depende também da forma que a empresa mitiga os erros e falhas?

Para isso, no entanto, é preciso conhecê-los. Nesse tópico, vamos explicar alguns deles para que você fique atento:

1. Falha em ir além da conformidade e se manter na zona de conforto

Algo que acontece com frequência é que, uma vez que a empresa recebe seus certificados, seu compromisso com a SI se afrouxa.

2. Falha em reconhecer a necessidade de segurança centralizada de dados

Uma organização hoje pode ter um ambiente híbrido de várias nuvens, que está em constante mudança e crescimento. É necessário atenção nesse ponto, buscando sempre centralizar os dados de modo a facilitar o controle.

3. Falha em atribuir responsabilidade pelos dados

Mesmo quando cientes da necessidade de segurança de dados, muitas empresas não têm ninguém responsável pela sua proteção.

4. Falha em priorizar o monitoramento de dados

Monitorar o acesso e o uso de dados é uma parte essencial de qualquer estratégia de segurança de informações.

As empresas precisam saber quem, como e quando as pessoas estão acessando essas informações.

Esse monitoramento deve abranger se essas pessoas devem ter acesso, se esse nível de acesso está correto e se representa um risco elevado para a empresa, etc.

Dicas adicionais para implementar SI eficiente na sua empresa

Interessou no assunto? Temos ainda algumas dicas adicionais para que você possa caprichar na estruturação de um modelo de segurança da informação em sua empresa.

Como estabelecer políticas de segurança

Um processo tão repleto de camadas e decisões deve ser guiado por uma série de diretrizes.

Por isso, é essencial entender como estabelecer políticas de segurança para cada setor do negócio, bem como cada operação digital (TI, armazenamento na nuvem, infraestrutura física, etc).

Ferramentas de monitoramento para segurança da informação

Não se esqueça de apostar em ferramentas de monitoramento para segurança da informação.

Elas ajudam a tornar seu processo de segurança de dados mais proativo e eficiente, apresentando dados em tempo real sobre a situação dos sistemas e servidores.

Desse modo, essas ferramentas permitem uma melhor e mais ágil tomada de decisões.

Segurança de dispositivos móveis

A segurança da informação não se trata apenas do que você e seu time fazem no escritório ou no notebook da empresa.

É preciso ampliar o olhar para a segurança de dados dos dispositivos móveis, assegurando mecanismos de defesa tanto nos aparelhos mobile, como também na rede, evitando a criação de brechas.

Como um ERP pode ajudar na segurança da informação?

Buscar por empresas que vão ajudar a criar uma rede segura para suas informações é fundamental. ,. O ideal é procurar por empresas engajadas com a proteção dos dados de seus clientes e processos digitais bastante maduros.

Essas companhias devem assegurar a proteção dos dados corporativos que trafegam por suas soluções, com camadas de segurança, assistência técnica e suporte contínuo.

É algo que se aplica tanto para prestadores de serviço específicos de data security, como nas fornecedoras de outras soluções, como o seu sistema de gestão , , WMS e etc.

O ERP é um sistema de gestão integrado que permite o armazenamento de dados na nuvem, com informações criptografadas que impedem o acesso de pessoas de fora da instituição.

Por meio dele é possível incluir módulos que vão facilitar a rotina, ajudar no alinhamento do time e de quebra garantir maior segurança das suas informações e de seus clientes.

A TOTVS, maior empresa de tecnologia brasileira, oferece diversas tecnologias que podem ajudar a tornar a segurança da informação uma realidade para sua empresa. Quer conhecer mais sobre cada uma delas? Entre em contato com a gente!

TOTVS Cloud

A TOTVS Cloud é uma das plataformas mais eficientes para manter a integridade dos dados da sua empresa em dia. Com ela, você consegue mais tempo, agilidade e segurança para cuidar da sua empresa e focar nos negócios

A solução da TOTVS na Nuvem oferece garantia de segurança e reduz até 50% dos controles exigidos para ficar por dentro da LGPD.

Sempre disponível, é a única nuvem do mercado que oferece total disponibilidade e infraestrutura para o seu sistema.

Quer contar com a TOTVS Cloud para unir segurança e praticidade para sua gestão? Entre em contato com a gente!

Ao longo deste conteúdo, nos aprofundamos no tema da segurança da informação.

Proteger os dados da sua empresa, de seus clientes e de seus colaboradores é obrigatório não apenas diante da lei, mas também como uma forma de se posicionar com seriedade no mercado.

Por isso, adotar mecanismos, recursos, ferramentas e frameworks de segurança de dados é sempre uma ação bem-vinda.

Esperamos que, com esse guia completo sobre o assunto, você possa desenhar uma estratégia de segurança da informação em sua empresa, evitando danos e prejuízos.
E lembre-se: se quiser continuar aprendendo as melhores dicas e práticas de gestão de negócios, continue lendo os conteúdos do Blog da TOTVS!

# data[].attributes.attachment_link.title
Segurança da informação: o que é e boas práticas

# data[].attributes.attachment_link.description
A segurança da informação é certamente um dos temas mais atuais e de maior relevância no contexto corporativo, e por essa razão, merece toda atenção por parte dos gestores e líderes de uma empresa. Em razão da necessidade de se obter dados e informações imprescindíveis para as organizações é crucial implantar procedimentos de segurança da informação com o objetivo de prevenir riscos.