A LGPD (Lei Geral de Proteção de Dados Pessoais) E A SEGURANÇA DA INFORMAÇÃO by Gustavo Mariano Caria Trindade

A LGPD (Lei Geral de Proteção de Dados Pessoais) E A SEGURANÇA DA INFORMAÇÃO by Gustavo Mariano Caria Trindade https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta O Tratamento de Dados pelo Profissional de Segurança da Informação en-us 2022-08-22 22:58:23 UTC 2022-10-17 01:57:06 UTC hello@padlet.com https://padlet.net/icons/png/1f6e1.png Firewall Proxy gustavotrindade1 https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2267976066 Proxy firewall, também conhecido como "application firewall" ou "gateway firewall", é um sistema de segurança de redes que protege uma rede filtrando mensagens na camada de aplicação. Um proxy é um sistema de computador ou uma aplicação que age como um intermediário entre clientes e servidores, fazendo pedidos no lugar dos clientes e devolvendo respostas no lugar do servidor. De maneira semelhante, um proxy firewall age como intermediário entre o cliente local e um servidor da Internet. Porém, diferentemente de um simples servidor proxy, o proxy firewall monitora o tráfego entre eles, a fim de proteger contra possíveis ameaças.
Por ter seu próprio endereço de IP, o Proxy Firewall impede o acesso direto com a rede local de servidores externos e, diferentemente do Firewall de Filtro de Pacotes, realiza inspeções nos protocolos da camada de aplicação, como nos tipos de conexão FTP e HTTP, o que garante mais segurança. (https://www.gta.ufrj.br/grad/15_1/firewall/tiposdefirewall.html

, acesso em 08/06/2022); ( https://www.ibm.com/docs/pt/power9?topic=support-ip-packet-filter-firewall , acesso em 08/06/2022).

]]> 2022-08-22 22:58:50 UTC https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2267976066 gustavotrindade1 https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2267981094 https://lgpd.mg.gov.br/materiais-disponiveis?download=19:projeto-de-adequacao-fase-3]]> 2022-08-22 23:06:39 UTC https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2267981094 Exemplo de registro de Armazenamento de Dados em um Inventário de Dados Pessoais gustavotrindade1 https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282010732 2022-09-04 14:48:26 UTC https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282010732 Planilha proposta pela Secretaria de Governo Digital para se confeccionar um Inventário de Dados Pessoais em formato ODS (LibreOffice) gustavotrindade1 https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282013643 2022-09-04 14:52:47 UTC https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282013643 Exemplo de registro de Agentes de Tratamento em um Inventário de Dados Pessoais gustavotrindade1 https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282016733 2022-09-04 14:58:05 UTC https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282016733 Importância da LGPD e seu Artigo 5º: gustavotrindade1 https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282030633 Proteger os dados pessoais pode ser de extrema importância para os cidadãos. Por exemplo, se uma pessoa for testemunha de um grave crime e seus dados de endereço que eventualmente tenha confiado a alguma empresa não forem corretamente protegidos, poderão indevidamente ser obtidos pelos criminosos e, assim, proporciona-lhes a chance de matar essa determinada testemunha.

Para que houvesse uma melhor proteção aos dados pessoais por empresas e órgãos públicos no Brasil, foi criada, em 2018, a LGPD. E, como a maioria das informações das pessoas são armazenadas pela via digital, é a área de TI das instituições a principal responsável pelo cumprimento dessa lei.

Portanto, é indispensável ao profissional de TI ter um bom conhecimento sobre a LGPD, para que a possa cumprir bem. E, para isso, um dos principais artigos a serem conhecidos é o artigo 5º dessa lei, pois trata dos principais itens contidos por todo o texto da LGPD. O artigo 5º da LGPD é o seguinte:

“Art. 5º Para os fins desta Lei, considera-se:
I - dado pessoal: informação relacionada a pessoa natural identificada ou identificável;
II - dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;
III - dado anonimizado: dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento;
IV - banco de dados: conjunto estruturado de dados pessoais, estabelecido em um ou em vários locais, em suporte eletrônico ou físico; V - titular: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento;
VI - controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;
VII - operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;
VIII - encarregado: pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD); (Redação dada pela Lei nº 13.853, de 2019) Vigência
IX - agentes de tratamento: o controlador e o operador;
X - tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;
XI - anonimização: utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo;
XII - consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada;
XIII - bloqueio: suspensão temporária de qualquer operação de tratamento, mediante guarda do dado pessoal ou do banco de dados;
XIV - eliminação: exclusão de dado ou de conjunto de dados armazenados em banco de dados, independentemente do procedimento empregado;
XV - transferência internacional de dados: transferência de dados pessoais para país estrangeiro ou organismo internacional do qual o país seja membro;
XVI - uso compartilhado de dados: comunicação, difusão, transferência internacional, interconexão de dados pessoais ou tratamento compartilhado de bancos de dados pessoais por órgãos e entidades públicos no cumprimento de suas competências legais, ou entre esses e entes privados, reciprocamente, com autorização específica, para uma ou mais modalidades de tratamento permitidas por esses entes públicos, ou entre entes privados;
XVII - relatório de impacto à proteção de dados pessoais: documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco;
XVIII - órgão de pesquisa: órgão ou entidade da administração pública direta ou indireta ou pessoa jurídica de direito privado sem fins lucrativos legalmente constituída sob as leis brasileiras, com sede e foro no País, que inclua em sua missão institucional ou em seu objetivo social ou estatutário a pesquisa básica ou aplicada de caráter histórico, científico, tecnológico ou estatístico;
XVIII - órgão de pesquisa: órgão ou entidade da administração pública direta ou indireta ou pessoa jurídica de direito privado sem fins lucrativos legalmente constituída sob as leis brasileiras, com sede e foro no País, que inclua em sua missão institucional ou em seu objetivo social ou estatutário a pesquisa básica ou aplicada de caráter histórico, científico, tecnológico ou estatístico; e (Redação dada pela Medida Provisória nº 869, de 2018)
XVIII - órgão de pesquisa: órgão ou entidade da administração pública direta ou indireta ou pessoa jurídica de direito privado sem fins lucrativos legalmente constituída sob as leis brasileiras, com sede e foro no País, que inclua em sua missão institucional ou em seu objetivo social ou estatutário a pesquisa básica ou aplicada de caráter histórico, científico, tecnológico ou estatístico; e (Redação dada pela Lei nº 13.853, de 2019) Vigência XIX - autoridade nacional: órgão da administração pública indireta responsável por zelar, implementar e fiscalizar o cumprimento desta Lei.
XIX - autoridade nacional: órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento desta Lei. (Redação dada pela Medida Provisória nº 869, de 2018) XIX - autoridade nacional: órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento desta Lei em todo o território nacional. (Redação dada pela Lei nº 13.853, de 2019) Vigência (BRASIL, 2018) ]]> 2022-09-04 15:26:10 UTC https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282030633 A DMZ evita o tráfego de dados direto da internet com a rede interna gustavotrindade1 https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282034681 DMZ, sigla em inglês para Demilitarized Zone, é um modo de se criar uma terceira zona, no meio de uma zona confiável (geralmente a rede da organização) e uma zona não confiável (geralmente a internet), para que essa zona intermediária funcione como um isolante da rede interna da organização, não permitindo, assim, que a internet acesse diretamente seus recursos e somente acesse diretamente os servidores isolados contidos na DMZ. Esse sistema, idealmente, é criado por dois ou mais firewalls. Até pode ser criado com somente um firewall, mas isso o tornaria um tanto vulnerável, pois ele sozinho teria que lidar com as requisições da rede interna e da DMZ. Mas, sendo criado por dois ou mais firewalls, um deles, o que pode ser chamado de firewall exterior, se encarregaria sozinho de lidar com o tráfego vindo da internet para a DMZ, deixando os outros livres para lidar com o tráfego vindo da DMZ para a rede interna. Com isso, uma falha de segurança seria mais difícil acontecer, pois seria necessário que mais de um firewall fosse comprometido e, se a falha acontecesse somente no firewall exterior, que geralmente é o mais vulnerável por estar em contato diretamente com a internet, então somente os sistemas operando na DMZ poderiam ser afetados, poupando, assim, a rede interna da organização. E, para se aumentar ainda mais a segurança, pode-se instalar um sistema DMZ com firewalls de fabricantes diferentes, pois dificilmente as falhas de um produto de um determinado fabricante seriam as mesmas dos outros. ]]> 2022-09-04 15:33:31 UTC https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282034681 DIREITOS DO TITULAR e Artigos 9º, 15º, 16º, 17º e 18º da LGPD gustavotrindade1 https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282046734 Os direitos dos titulares, elencados nos artigos 9º, 15º, 16º, 17º e 18º da LGPD, trazem novos desafios ao profissional de TI, pois caberá a ele desenvolver tecnologias para assegurar esses direitos aos titulares. Essas tecnologias a serem desenvolvidas envolvem, por exemplo, poder realizar rápida e eficazmente a portabilidade de dados de algum cliente para outra empresa, assim que esse determinado cliente realizar um simples requerimento para isso. Esse tipo de portabilidade está descrita no artigo 18, inciso V, da LGPD e deve ser feita a qualquer momento e mediante requisição do titular, de forma semelhante ao que já acontece com a portabilidade de números de telefones celulares de uma empresa para outra (DONDA, 2020).

Como citado no artigo 17º da LGPD, Toda pessoa natural tem assegurada a titularidade de seus dados pessoais e garantidos os direitos fundamentais de liberdade, de intimidade e de privacidade, nos termos desta Lei (Brasil, 2018). A seguir, para melhor entendimento ao profissional de TI desses princípios e das tecnologias e políticas que deverá desenvolver para cumprir com eficiência os direitos do titular, está o texto completo dos artigos 9º, 15º, 16º, 17º e 18º da LGPD:

“Art. 9º O titular tem direito ao acesso facilitado às informações sobre o tratamento de seus dados, que deverão ser disponibilizadas de forma clara, adequada e ostensiva acerca de, entre outras características previstas em regulamentação para o atendimento do princípio do livre acesso:
I - finalidade específica do tratamento;
II - forma e duração do tratamento, observados os segredos comercial e industrial;
III - identificação do controlador;
IV - informações de contato do controlador;
V - informações acerca do uso compartilhado de dados pelo controlador e a finalidade;
VI - responsabilidades dos agentes que realizarão o tratamento; e
VII - direitos do titular, com menção explícita aos direitos contidos no art. 18 desta Lei.
§ 1º Na hipótese em que o consentimento é requerido, esse será considerado nulo caso as informações fornecidas ao titular tenham conteúdo enganoso ou abusivo ou não tenham sido apresentadas previamente com transparência, de forma clara e inequívoca.
§ 2º Na hipótese em que o consentimento é requerido, se houver mudanças da finalidade para o tratamento de dados pessoais não compatíveis com o consentimento original, o controlador deverá informar previamente o titular sobre as mudanças de finalidade, podendo o titular revogar o consentimento, caso discorde das alterações.
§ 3º Quando o tratamento de dados pessoais for condição para o fornecimento de produto ou de serviço ou para o exercício de direito, o titular será informado com destaque sobre esse fato e sobre os meios pelos quais poderá exercer os direitos do titular elencados no art. 18 desta Lei.” (BRASIL, 2018).

“Art. 15. O término do tratamento de dados pessoais ocorrerá nas seguintes hipóteses: I - verificação de que a finalidade foi alcançada ou de que os dados deixaram de ser necessários ou pertinentes ao alcance da finalidade específica almejada;
II - fim do período de tratamento;
III - comunicação do titular, inclusive no exercício de seu direito de revogação do consentimento conforme disposto no
§ 5º do art. 8º desta Lei, resguardado o interesse público; ou
IV - determinação da autoridade nacional, quando houver violação ao disposto nesta Lei.” (BRASIL, 2018).

“Art. 16. Os dados pessoais serão eliminados após o término de seu tratamento, no âmbito e nos limites técnicos das atividades, autorizada a conservação para as seguintes finalidades: I - cumprimento de obrigação legal ou regulatória pelo controlador;
II - estudo por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais;
III - transferência a terceiro, desde que respeitados os requisitos de tratamento de dados dispostos nesta Lei; ou
IV - uso exclusivo do controlador, vedado seu acesso por terceiro, e desde que anonimizados os dados.” (BRASIL, 2018).

“Art. 17. Toda pessoa natural tem assegurada a titularidade de seus dados pessoais e garantidos os direitos fundamentais de liberdade, de intimidade e de privacidade, nos termos desta Lei.” (BRASIL, 2018).

“Art. 18. O titular dos dados pessoais tem direito a obter do controlador, em relação aos dados do titular por ele tratados, a qualquer momento e mediante requisição:
I - confirmação da existência de tratamento;
II - acesso aos dados;
III - correção de dados incompletos, inexatos ou desatualizados;
IV - anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com o disposto nesta Lei;
V - portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa e observados os segredos comercial e industrial, de acordo com a regulamentação do órgão controlador; V - portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa, de acordo com a regulamentação da autoridade nacional, observados os segredos comercial e industrial; (Redação dada pela Lei nº 13.853, de 2019) Vigência
VI - eliminação dos dados pessoais tratados com o consentimento do titular, exceto nas hipóteses previstas no art. 16 desta Lei;
VII - informação das entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados;
VIII - informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
IX - revogação do consentimento, nos termos do § 5º do art. 8º desta Lei.
§ 1º O titular dos dados pessoais tem o direito de peticionar em relação aos seus dados contra o controlador perante a autoridade nacional.
§ 2º O titular pode opor-se a tratamento realizado com fundamento em uma das hipóteses de dispensa de consentimento, em caso de descumprimento ao disposto nesta Lei.
§ 3º Os direitos previstos neste artigo serão exercidos mediante requerimento expresso do titular ou de representante legalmente constituído, a agente de tratamento.
§ 4º Em caso de impossibilidade de adoção imediata da providência de que trata o § 3º deste artigo, o controlador enviará ao titular resposta em que poderá:
I - comunicar que não é agente de tratamento dos dados e indicar, sempre que possível, o agente; ou
II - indicar as razões de fato ou de direito que impedem a adoção imediata da providência.
§ 5º O requerimento referido no § 3º deste artigo será atendido sem custos para o titular, nos prazos e nos termos previstos em regulamento.
§ 6º O responsável deverá informar, de maneira imediata, aos agentes de tratamento com os quais tenha realizado uso compartilhado de dados a correção, a eliminação, a anonimização ou o bloqueio dos dados, para que repitam idêntico procedimento, exceto nos casos em que esta comunicação seja comprovadamente impossível ou implique esforço desproporcional. (Redação dada pela Lei nº 13.853, de 2019) Vigência
§ 7º A portabilidade dos dados pessoais a que se refere o inciso V do caput deste artigo não inclui dados que já tenham sido anonimizados pelo controlador.
§ 8º O direito a que se refere o § 1º deste artigo também poderá ser exercido perante os organismos de defesa do consumidor. (BRASIL, 2018). ]]> 2022-09-04 15:55:30 UTC https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282046734 RESPONSABILIDADE e Artigos 42º e 46º da LGPD gustavotrindade1 https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282054103 A LGPD trouxe uma série de responsabilidades para os envolvidos com o tratamento de dados pessoais. E, com a descrição dessas responsabilidades, trouxe também um conjunto de penalidades, com o intuito de, justamente, fazer cumprir a lei. Como, geralmente, é o profissional de TI o encarregado pelo correto tratamento de dados, é importante para ele conhecer essas responsabilidades e penalidades contidas na LGPD, que estão descritas em seu artigo 42º:

“Art. 42. O controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo.
§ 1º A fim de assegurar a efetiva indenização ao titular dos dados:
I - o operador responde solidariamente pelos danos causados pelo tratamento quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador, hipótese em que o operador equipara-se ao controlador, salvo nos casos de exclusão previstos no art. 43 desta Lei;
II - os controladores que estiverem diretamente envolvidos no tratamento do qual decorreram danos ao titular dos dados respondem solidariamente, salvo nos casos de exclusão previstos no art. 43 desta Lei.
§ 2º O juiz, no processo civil, poderá inverter o ônus da prova a favor do titular dos dados quando, a seu juízo, for verossímil a alegação, houver hipossuficiência para fins de produção de prova ou quando a produção de prova pelo titular resultar-lhe excessivamente onerosa.
§ 3º As ações de reparação por danos coletivos que tenham por objeto a responsabilização nos termos do caput deste artigo podem ser exercidas coletivamente em juízo, observado o disposto na legislação pertinente.
§ 4º Aquele que reparar o dano ao titular tem direito de regresso contra os demais responsáveis, na medida de sua participação no evento danoso. (BRASIL, 2018).”

O que significa dizer que o responsável pelo tratamento de dados pode ter que reparar danos causados por violação à LGPD. E uma das formas de se violar a referida lei, entre outras, é não cumprir o disposto em seu artigo 46º, que prevê:

“Art. 46. Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito. (BRASIL, 2018)”.

Ou seja, o fato de o profissional de TI não adotar medidas de segurança satisfatórias e, com isso, permitir um ataque cibernético que ocasione danos a um ou vários titulares de dados, pode ser motivo de responsabilização dos envolvidos com o tratamento desses dados, pois isso poderia ser considerado uma violação à LGPD. Dada a importância de se implementar boas medidas de segurança para se evitar a violação da LGPD, convém demonstrar ao profissional de TI as principais ameaças cibernéticas ao bom cumprimento da lei para, com isso, haver uma melhor capacidade de se combatê-las. ]]> 2022-09-04 16:05:20 UTC https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282054103 Mapeamento de Dados para LGPD gustavotrindade1 https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282063735 https://www.youtube.com/watch?v=8zrNMhyyre4&t=451s]]> 2022-09-04 16:25:18 UTC https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282063735 Top 10 de ameaças segundo a organização OWASP gustavotrindade1 https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282071928 OWASP é uma organização sem fins lucrativos, formada quase totalmente por voluntários profissionais de TI de todo o planeta, voltada a disponibilizar materiais e treinamento para o combate a ameaças cibernéticas. ]]> 2022-09-04 16:44:21 UTC https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282071928 LISTA DE AMEAÇAS STRIDE gustavotrindade1 https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282077689 Além da lista atualizada das dez ameaças de maior ocorrência do site da organização OWASP, é importante para o profissional de TI melhor poder assegurar o bom tratamento de dados conhecer as ameaças STRIDE. O modelo STRIDE, desenvolvido por Praerit Garg e Loren Kohnfelder na Microsoft, é um mnemônico que descreve seis categorias de ameaças, servindo como base para ajudar profissionais de TI a descobrirem erros em determinadas situações em que eventualmente estiverem trabalhando. As ameaças STRIDE são as seguintes:

Spoofing: Pode se traduzir como “falsificação”. Consiste em entrar de maneira falsa ou enganosa em determinado sistema, geralmente usando de autenticação de outro usuário.

Tampering: Pode se traduzir como “adulteração”. Consiste na alteração de dados, tanto os que estão fluindo quanto os que estão armazenados em algum tipo de banco de dados.

Repudiation: Pode se traduzir como “repúdio”. Consiste em uma maneira de alguém mal-intencionado cometer alguma irregularidade e fazer com que esse ato não possa ser comprovado ou que não se possa provar o verdadeiro autor desse ato.

Information disclosure: Pode se traduzir como “divulgação de informações confidenciais”. É a disponibilização de dados para pessoas que não têm autorização para acessá-los.

Denial of service: Pode se traduzir como “negação de serviço”. É a sobrecarga de um sistema, normalmente com excesso de envio de informações, para torná-lo indisponível ou inutilizável e, assim, impossibilitar o acesso a ele e, consequentemente, aos dados nele contidos por seus titulares legítimos.

Elevation of privilege: Pode se traduzir como “elevação de privilégio”. É a obtenção indevida de autorização para se acessar determinados sistemas e, com isso, tornar possível causar um ou vários danos. ]]> 2022-09-04 16:55:05 UTC https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282077689 ARTIGO 6º da LGPD evidencia necessidade de resguardo dos direitos do titulares de dados, especialmente quanto à Segurança da Informação gustavotrindade1 https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282207632 “Art. 6º As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios:
I - finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;
II - adequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento;
III - necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;
IV - livre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais;
V - qualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;
VI - transparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;
VII - segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão; VIII - prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;
IX - não discriminação: impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos;
X - responsabilização e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.” (BRASIL, 2018). ]]> 2022-09-04 21:33:17 UTC https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282207632 Next-Generation Firewalls gustavotrindade1 https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282210516 Os next-generation firewalls (NGFWs) filtram o tráfego da rede para proteger a organização contra ameaças internas e externas. Além de manter os recursos dos firewalls de estado, tais como a filtragem de pacotes, compatibilidade com Ipsec, VPN, SSL, monitoramento de rede e mapeamento de IP, os NGFWs trazem recursos para inspeção mais profunda do conteúdo. Esses recursos proporcionam a capacidade de identificar ataques, malware e outras ameaças e permitem que o NGFW bloqueie essas ameaças. Os NGFWs disponibilizam para as organizações a inspeção SSL, application control, intrusion prevention e visibilidade avançada de toda a superfície de ataque. À medida que o cenário de ameaças se expande rapidamente, devido à colocalização e à adoção de multinuvem, e as empresas se expandem para satisfazer as crescentes necessidades dos clientes, os firewalls tradicionais ficam mais obsoletos, incapazes de oferecer proteção em grande escala, provocando uma experiência do usuário ruim e uma postura de segurança fraca. Além de bloquear malwares, os NGFWs também trazem caminhos para futuras atualizações, dando a eles a flexibilidade de evoluir com o cenário de ameaças e manter 29 a segurança da rede à medida que surgem novas ameaças. Os next-generation firewalls são um componente de vital importância na implementação da segurança da rede. (https://www.fortinet.com/br/products/next-generation-firewall , acesso em 08/06/2022) ]]> 2022-09-04 21:41:07 UTC https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282210516 Web Aplication Firewall gustavotrindade1 https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282212651 O WAF (Web Aplication Firewall) visa intermediar o fluxo de dados entre a internet e um site ou um aplicativo específico. Por isso, é bastante utilizado por empresas de comércio eletrônico. Enquanto um servidor proxy protege a identidade da máquina cliente com o uso de um intermediário, o WAF é um tipo de proxy reverso que protege o servidor contra a exposição, já que seus clientes passam pelo WAF antes de chegar ao servidor. (NUNES, 2021). O WAF é mais um tipo de firewall entre outros. Uma das diferenças reside no fato de ele agir sobre a camada de aplicação de rede e, assim, evitar ataques cibernéticos invisíveis a outros firewalls como, por exemplo, o ataque SQL Injection. Além disso, o valor de um WAF deve-se, em parte, à velocidade e à facilidade com que a modificação das políticas podem ser implantadas, permitindo uma resposta mais rápida a variados vetores de ataque. Durante um ataque DDoS, o rate limiting pode ser implantado rapidamente, modificando-se as políticas do WAF. (https://www.cloudflare.com/pt-br/learning/ddos/glossary/web-application-firewall-waf/ , acesso em 08/06/2022) Portanto, isso o torna indispensável para o tratamento de dados da maioria das organizações. Porém, não deve ser usado unicamente em um sistema de segurança: deve ser usado, pois, como um complemento em conjunto com outros firewalls e outros sistemas. ]]> 2022-09-04 21:46:41 UTC https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282212651 Os sistemas IDS (Intrusion Detection System) e IPS (Intrusion Prevention System) gustavotrindade1 https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282213784 Os sistemas IDS (Intrusion Detection System) e IPS (Intrusion Prevention System) são mais dois dispositivos que o gerenciador da área de TI de uma organização pode contar para a segurança do tratamento de dados.
A diferença entre eles é bem sutil e essa diferença também é sutil entre eles e o sistema firewall.
O IDS monitora a rede, analisando pacotes inteiros, cabeçalho e carga, buscando por ameaças cibernéticas previamente conhecidas e catalogadas. Quando uma ameaça é detectada, o IDS gera um relatório detalhando o evento. A principal diferença para o IPS é que o IDS não toma alguma medida contra eventuais ameaças e somente busca detectá-las (BERTOLLI, 2018).
O IPS, além das funções do IDS, é programado para tomar medidas quando uma ameaça é detectada.
Portanto, sua diferença funcional, geralmente, nada mais significa que a alteração de algumas configurações que transformam um IDS em um IPS (PACK, 2013).
E essa característica do IPS de detectar e agir sobre alguma eventual ameaça torna seu funcionamento muito parecido com o de um firewall, podendo se diferenciar pelo fato de o IPS trabalhar também no nível host, além de trabalhar no nível de rede como o firewall. (GERA, 2015)
As particulariedades dos sistemas IDS, IPS e firewall trazem a discussão de que o NGFW (New Generation Firewall) possa ser considerado um tipo de mistura, entre outras, de um firewall tradicional com um IPS, pois, em um mesmo dispositivo de NGFW, é permitido impor-se políticas baseadas em informações além de cabeçalhos de pacotes de rede, como, por exemplo, informações de qual usuário determinAdado tráfego foi originado. (PACK, 2013) . Independentemente do fato de o NGFW ser ou não considerado uma mescla de IPS, IPS e firewall tradicional, a implementação desses sistemas em conjunto é uma excelente alternativa para o reforço da segurança do tratamento de dados e deve ser adaptada de acordo com os recursos de determinada organização. ]]> 2022-09-04 21:50:14 UTC https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282213784 Virtual Private Network gustavotrindade1 https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282216487 VPN significa “Virtual Private Network” (rede virtual privada) e basicamente permite que os sites visitados e os dados enviados e recebidos por seu usuário não sejam vistos pelo servidor de internet e/ou por um eventual criminoso cibernético, além de disfarçar a localização de seu usuário. Para isso, o usuário da VPN acessa a internet através de um servidor VPN, que muitas vezes fica localizado em outros países. É preferível que esse servidor VPN seja confiável ao resguardar os dados do cliente e que fique localizado em um país que, através de suas leis e outros procedimentos, costume proteger a privacidade dos usuários dos servidores que nesse país estão localizados.
Para as organizações, a melhor opção são as VPNs corporativas que, além de outras vantagens, disponibilizam servidores dedicados, que garantem uma maior velocidade e confiabilidade que as VPNs pessoais, pois estas têm a velocidade da conexão com a internet que disponibilizam reduzidas ao conectarem milhares de pessoas a um único servidor (VEALE, acesso em 22/05/2022). ]]> 2022-09-04 21:58:26 UTC https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282216487 DLP monitora o tráfego para prevenir movimentação inadequada dados gustavotrindade1 https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282219138 DLP significa Data Loss Prevetion (prevenção de perda de dados). É o monitoramento da movimentação de arquivos e/ou dados que permite a aplicação de procedimentos quando há a detecção de possível movimentação irregular de determinado dado, sendo que, para isso, costuma-se usar softwares específicos, que, entre outros recursos, contam com componentes para detecção de possíveis movimentações irregulares de dados, como a utilização de palavras-chave e expressões regulares a arquivos indexados e leitura de digitalização por meio de tecnologia OCR (Reconhecimento Óptico de Caracteres). Um exemplo disso é a detecção de dados e/ou arquivos enviados indevidamente através de e-mail por algum funcionário de uma organização. Outro exemplo é a detecção de salvamento indevido de algum arquivo da organização em um pen-drive.
Então, detectado algum possível tratamento de dados irregular, pode-se aplicar algum tipo de resposta, como a notificação ao usuário infrator de que ele está violando uma política de DLP ou qualquer outra resposta que a organização achar adequada e, assim, permitir que esse tipo de ocorrência aconteça menos vezes.
Portanto, para o cumprimento da LGPD por determinada organização, é essencial que o gestor de TI dessa organização instale bons softwares de DLP, principalmente, entre outros motivos, para evitar que funcionários internos, por negligência ou por má intenção, vazem dados indevidamente dos clientes ou usuários da organização e, assim, evitar problemas jurídicos e financeiros e danos aos titulares de dados (https://tripla.com.br/solucao-de-dlp/ , acesso em 08/06/2022). ]]> 2022-09-04 22:08:21 UTC https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282219138 COFRES DE SENHAS gustavotrindade1 https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282220008 Reutilizar a mesma senha para acessar diversos serviços da internet pode ser muito perigoso, pois essa atitude facilitaria para um criminoso cibernético roubar essa senha e acessar várias das contas da vítima. E, neste caso, se a senha roubada for a de uma vítima que, com ela, tem acesso à rede interna de determinada organização por ser funcionária desta, então a organização poderia ser seriamente prejudicada, inclusivamente os dados dos titulares que ela trate.
Com isso, o cofre de senha é uma opção de defesa cibernética importante para a proteção do acesso à rede das organizações, tanto dos seus funcionários como de seus clientes, pois é um aplicativo que guarda com segurança as senhas de seus utilizadores, para que eles não precisem se lembrar de todas.
Esse cofre também pode sincronizar as senhas guardadas com outros dispositivos, para que o utilizador acesse o que quiser onde estiver, com mais segurança. E também pode criar e/ou alterar senhas exclusivas para o utilizador, quando este precisar criar uma nova senha ou alterar uma já existente.
Portanto, o gerenciador da área de TI deve estimular os funcionários da organização para a qual trabalha a usar o gerenciador de senhas, assim como estimular também o uso pelos clientes dessa organização. ]]> 2022-09-04 22:11:20 UTC https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282220008 PAM, Privileged Access Management (gerenciador de acesso privilegiado) gustavotrindade1 https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282224252 PAM, Privileged Access Management (gerenciador de acesso privilegiado) é um conjunto de estratégias e tecnologias que visa controlar as permissões de acesso privilegiado dos usuários a determinados sistemas de um ambiente tecnológico de determinada organização.
Por exemplo: em uma organização, seria possível, com a utilização do PAM, pré-definir dois usuários com privilégios para acessar e modificar configurações em um servidor de mensagens, como o Microsoft Exchange. Então, o PAM permitiria que a configuração desse tipo de servidor fosse realizada apenas no caso de usuários com privilégios de administrador e, assim, somente esses dois usuários poderiam, neste exemplo, excluir ou criar contas de e-mail de funcionários ou terceiros.
Basicamente, uma solução PAM age como um repositório seguro de credenciais dos dispositivos instalados no ambiente. Com base na gestão dos privilégios de usuários, é possível permitir que eles acessem apenas os dados necessários para a execução de suas atividades. Assim, o time de segurança pode configurar os perfis de acessos dos usuários, evitando-se acessos indevidos a sistemas e dados (https://senhasegura.com/pt-br/afinal-o-que-e-gestao-de-acesso-privilegiado/ , acesso em 08/06/2022).

O PAM também pode combater os efeitos de um malware: sendo fato que muitos malwares precisam de privilégios elevados para sua instalação e execução, com a remoção de privilégios excessivos realizada pelo PAM, um malware poderia ser impedido de se estabelecer ou, se isso acontecesse, ter sua disseminação reduzida (https://minutodaseguranca.blog.br/pam-ou-gerenciadores-de-senhas-qual-a-diferenca/ , acesso em 08/06/2022). ]]> 2022-09-04 22:24:22 UTC https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282224252 ANTIMALWARES (devem ser melhores que os antigos antivírus) gustavotrindade1 https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282225458 Os primeiros sistemas de combate a ameaças cibernéticas foram denominados antivírus, pois as primeiras ameaças, depois do surgimento da internet, em sua maioria, tratavam-se de vírus de computador. Porém, atualmente, os vírus não são as ameaças mais comuns nem, muitas vezes, as mais perigosas, sendo, portanto, somente considerados mais um tipo de malware.

Pode-se considerar que malwares são softwares maliciosos e uma organização deve investir o máximo que puder na instalação de sistemas para proteger-se deles, ou seja, investir nos chamados antimalwares. Esses antimalwares devem ter características mais modernas de combate que os antigos antivírus, pois, além do método de detecção de ameaças baseada em assinaturas dos antivírus, devem poder detectar ameaças com métodos que buscam por comportamentos nocivos.

O antivírus baseado em assinaturas é como o segurança de bar que fica pesquisando as fotos de criminosos em seu livro gigante e vendo se alguém ali se encaixa na descrição. Já a análise de um antimalware moderno é como um segurança que analisa comportamentos suspeitos, confere se não estão armados e manda embora quem de fato estiver armado, o que significa um ganho enorme de eficiência.

Portanto, a importância desse método de detecção dos antimalwares modernos dá-se pelo fato de que, atualmente, as ameaças cibernéticas evoluíram muito em relação à época que eram quase todas resumidas a vírus de computador, tendo essas novas ameaças, portanto, características que lhes permitem imunidade ao combate pelos antigos antivírus. ]]> 2022-09-04 22:27:56 UTC https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282225458 PLANO DE RECUPERAÇÃO DE DESASTRES e o Artigo 50º da LGPD gustavotrindade1 https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282226885 Por mais que se tenha boa vontade em se tentar evitar um tratamento de dados inadequado ao se desenvolver boas tecnologias e políticas para a segurança da informação, desastres podem acontecer mesmo assim. Seria injusto, por exemplo, penalizar um responsável pelo tratamento de dados que tenha implantado, com boa vontade, um excelente sistema de segurança por somente não ter evitado um ataque cibernético de alta complexidade. Mas seria justo penalizá-lo por não ter desenvolvido previamente, além de um satisfatório sistema de segurança, um bom plano de recuperação de desastres, que visa justamente aplicar medidas pré-definidas para se minimizar o impacto de um desastre no tratamento de dados, quando e se acontecesse. (DONDA, 2020).

A previsão de ser necessária a criação de um plano de recuperação de desastres que esteja pronto para ser empregado assim que for preciso pode ser verificada claramente no artigo 50º da LGPD. Portanto, convém transcrevê-lo integralmente para que o profissional de TI, que muitas vezes é o responsável pelo tratamento de dados de uma empresa ou de um órgão público possa ter noção dessa necessidade:

“Art. 50. Os controladores e operadores, no âmbito de suas competências, pelo tratamento de dados pessoais, individualmente ou por meio de associações, poderão formular regras de boas práticas e de governança que estabeleçam as condições de organização, o regime de funcionamento, os procedimentos, incluindo reclamações e petições de titulares, as normas de segurança, os padrões técnicos, as obrigações específicas para os diversos envolvidos no tratamento, as ações educativas, os mecanismos internos de supervisão e de mitigação de riscos e outros aspectos relacionados ao tratamento de dados pessoais.
§ 1º Ao estabelecer regras de boas práticas, o controlador e o operador levarão em consideração, em relação ao tratamento e aos dados, a natureza, o escopo, a finalidade e a probabilidade e a gravidade dos riscos e dos benefícios decorrentes de tratamento de dados do titular.
§ 2º Na aplicação dos princípios indicados nos incisos VII e VIII do caput do art. 6º desta Lei, o controlador, observados a estrutura, a escala e o volume de suas operações, bem como a sensibilidade dos dados tratados e a probabilidade e a gravidade dos danos para os titulares dos dados, poderá:
I - implementar programa de governança em privacidade que, no mínimo:
a) demonstre o comprometimento do controlador em adotar processos e políticas internas que assegurem o cumprimento, de forma abrangente, de normas e boas práticas relativas à proteção de dados pessoais;
b) seja aplicável a todo o conjunto de dados pessoais que estejam sob seu controle, independentemente do modo como se realizou sua coleta;
c) seja adaptado à estrutura, à escala e ao volume de suas operações, bem como à sensibilidade dos dados tratados;
d) estabeleça políticas e salvaguardas adequadas com base em processo de avaliação sistemática de impactos e riscos à privacidade;
e) tenha o objetivo de estabelecer relação de confiança com o titular, por meio de atuação transparente e que assegure mecanismos de participação do titular;
f) esteja integrado a sua estrutura geral de governança e estabeleça e aplique mecanismos de supervisão internos e externos;
g) conte com planos de resposta a incidentes e remediação; e
h) seja atualizado constantemente com base em informações obtidas a partir de monitoramento contínuo e avaliações periódicas;
II - demonstrar a efetividade de seu programa de governança em privacidade quando apropriado e, em especial, a pedido da autoridade nacional ou de outra entidade responsável por promover o cumprimento de boas práticas ou códigos de conduta, os quais, de forma independente, promovam o cumprimento desta Lei.
§ 3º As regras de boas práticas e de governança deverão ser publicadas e atualizadas periodicamente e poderão ser reconhecidas e divulgadas pela autoridade nacional. (BRASIL, 2018)”. ]]> 2022-09-04 22:32:41 UTC https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282226885 RPO e RTO fazem parte de boas práticas de políticas de backup e recuperação de dados gustavotrindade1 https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282227988 Uma boa política de backup e recuperação de dados é essencial para uma empresa ou órgão público estarem preparados para as circunstâncias após um desastre com o tratamento de dados. E convém ao profissional de TI formular, antes da ocorrência de um eventual desastre, essa política, baseando-se em dois itens: o RPO e o RTO.

O RPO, que é a sigla em inglês para Recovery Point Objective, é o método de controle para calcular a quantidade limite de dados que uma organização toleraria perder em caso de pane ou de paralisação, decorrente de uma iminente ameaça de invasão. O objetivo é não atingir esse limiar de tolerância para a empresa não ter os trabalhos comprometidos. O RPO tem relação com a periodicidade dos backups. Por exemplo, se uma empresa toma essa medida todos os dias às 17h, e ocorrer uma pane no servidor às 9h, o ponto de recuperação será às 17h do dia anterior. Nesse caso, temos um RPO de 24 horas. Se a empresa faz 2 backups diariamente, temos um RPO de 12 horas (GAZOLA, 2019).

Já o RTO, que é a sigla em inglês para Recovery Time Objective, está relacionado ao período máximo de tempo que o sistema levará para voltar a operar após uma parada ou pane. Isso inclui download dos dados, reinstalações, atualizações, etc. Esse período máximo entre um desastre e a volta ao funcionamento do tratamento de dados já deve estar pré-definido e pronto para ser usado. O cálculo desse período deve levar em conta um limite razoável de tempo para que a organização volte a disponibilizar o tratamento de dados, incluindo sua disponibilização, ou seja, que afete minimamente os direitos dos titulares desses dados.

Também se deve pré-definir os procedimentos a serem realizados durante o RTO e torná-los disponíveis para aplicação assim que for necessário. (GAZOLA, 2019) ]]> 2022-09-04 22:36:23 UTC https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282227988 TRÊS SITES DE RECUPERAÇÃO: HOT, COLD E WARM gustavotrindade1 https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282230117 Explicado o que é RPO e RTO, torna-se necessário definir algumas tecnologias que podem ser utilizadas para efetuar o backup de dados e a retomada do tratamento de dados de seus titulares após a ocorrência de algum desastre. Para isso, existem tecnologias denominadas hot sites, cold sites e warm sites.

A tecnologia de hot site funciona como um espelho do datacenter principal, pois os dados deste são armazenados simultaneamente naquele através de software especializado, que também permite a reprodução em sincronicidade do ambiente de produção no datacenter principal e no hot site. Isto significa dizer que, em caso de desastre com o tratamento de dados que cause, por exemplo, uma interrupção na disponibilização de dados para seus titulares, com a utilização de um hot site operando desde antes dessa eventual ocorrência, há a possibilidade de o hot site substituir o datacenter principal afetado imediatamente e, assim, reduzir a zero o tempo que os dados de algum titular fiquem indisponíveis depois de algum desastre, como um ataque cibernético que comprometa o datacenter principal. Essa é a tecnologia ideal a ser implantada pelo gestor de TI responsável pelo tratamento de dados. No entanto, um hot site não sai barato, e pode ser justificável utilizar uma tecnologia mais barata para recuperação de dados e retomada do tratamento de dados se determinada empresa não contar com grande capacidade financeira para implementar o hot site.

Então, no caso de determinada organização não puder contar com o hot site, existe a possibilidade de ela implementar o cold site, que é um espaço de escritório preferencialmente distante do datacenter principal, sem algum equipamento previamente conectado com este e que fica à espera de uma eventual interrupção do tratamento de dados do datacenter principal para receber todos os equipamentos necessários à retomada do serviço, ou seja, do tratamento de dados, inclusive sua disponibilização. A preferência pela distância do local do cold site em relação ao local do datacenter principal explica-se pelo fato de que algum desastre no tratamento de dados poder ser ocasionado por um incêndio no local deste. Essa opção exige amplo suporte dos profissionais de TI para a migração e instalação dos equipamentos onde fica localizado o cold site, mas é a opção mais barata que uma organização pode contar no caso de uma interrupção do tratamento de dados. (https://www.seguetech.com/three-stages-disaster-recovery-sites/ , acesso em 08/06/2022); (HOFFMAN, acesso em 08/06/2022 .https://wisdomplexus.com/blogs/hot-site-vs-cold-site/).

Ainda há uma terceira opção para ser viável o backup e a retomada do tratamento de dados: trata-se do warm site. Ele funciona como um meio termo entre o hot site e o cold site em uma recuperação de desastres, pois, diferentemente do cold site, contará com servidores e equipamentos pré-instalados em um determinado escritório para prontamente receberem a instalação de um ambiente de produção, mas, diferentemente do hot site, não reproduz em tempo real as operações do datacenter principal. Por isso, faz sentido implementar o warm site em tratamento de negócios que não são tão críticos, mas requerem um certo nível de redundância.

Portanto, a decisão de qual dos três sistemas serão implantados deverá ser baseada na capacidade financeira de determinada organização. Não seria justo exigir, por exemplo, que uma empresa de pequeno porte disponibilizasse um hot site, visto que este é geralmente muito caro e, neste caso, algum tempo para essa empresa voltar a disponibilizar os dados de seus titulares depois de um desastre seria aceitável e não estaria em desacordo com a LGPD, desde que esse tempo fosse razoável, pré-definido pelo sistema RTO e sua ciência facilmente disponível aos titulares de dados. ]]> 2022-09-04 22:42:58 UTC https://padlet.com/gustavotrindade1/lfl7pzq5ggapwvta/wish/2282230117