1. Confidencialidade:

Garante que a informação seja acessada apenas por pessoas autorizadas. Além disso, protege informações sensíveis de serem vistas por pessoas não autorizadas. É muito relevante para proteger dados que devem ser mantidos em sigilo. Alguns exemplos podem ser citados: criptografia, controle de acesso, senhas, autenticação multifator.

2. Integridade:

Assegura que a informação não seja alterada ou corrompida de maneira não autorizada. Além disso, garante que os dados estejam corretos e confiáveis. Qualquer modificação nos dados deve ser feita apenas por pessoas ou processos autorizados e de forma intencional. Podemos citar alguns exemplos: Hashing (códigos de verificação), assinaturas digitais, controle de versão.

3. Disponibilidade:

Garante que a informação e os sistemas estejam disponíveis para os usuários autorizados sempre que necessário. Isso é crucial para o funcionamento contínuo de serviços, evitando que falhas ou ataques prejudiquem o acesso aos dados. Dessa forma, é importante fazer Backup regular, redundância de servidores, manutenção de hardware, proteção contra ataques DDoS.

Esses três pilares são a base para criar e manter um ambiente de segurança eficiente.

• Os profissionais de segurança da informação implementam os princípios do InfoSec em sistemas de informação por meio da criação de programas de segurança da informação. Esses programas são conjuntos de políticas, proteções e planos de segurança da informação destinados a implementar a garantia da informação.

Uma avaliação de risco de segurança da informação audita todos os aspectos do sistema de informações de uma empresa. A avaliação ajuda os profissionais de segurança da informação a entender os riscos exatos que enfrentam e a escolher as medidas de segurançae tecnologias mais apropriadas para mitigar os riscos.

• Identificação de vulnerabilidades;

Uma vulnerabilidade é qualquer ponto fraco na infraestrutura de TI (tecnologia da informação) que os adversários possam explorar para obter acesso não autorizado aos dados. Por exemplo, os hackers podem aproveitar os erros de um programa de computador para introduzir um malware ou código malicioso em um aplicativo ou serviço legítimo. 

• Identificação de ameaças;

Uma ameaça cibernética é uma ameaça que explora uma vulnerabilidade digital. Por exemplo, um ataque de negação de serviço (DoS) é uma ameaça cibernética em que os cibercriminosos sobrecarregam parte do sistema de informação de uma empresa com tráfego, causando falhas.

•  Planejamento de resposta a incidentes;

Um plano de resposta a incidentes (IRP) normalmente orienta os esforços de uma organização na resposta a incidentes.

As equipes de resposta a incidentes de segurança de computadores (CSIRT) geralmente criam e executam IRPs com a participação de partes interessadas de toda a organização. Os membros do CSIRT podem incluir o diretor de segurança da informação (CISO), diretor de IA (CAIO), centro de operações de segurança (SOC), equipe de TI e representantes jurídicos, de gerenciamento de riscos e outras disciplinas não técnicas.

o Marco Civil da Internet, é a legislação que estabelece os princípios, garantias, direitos e deveres para o uso da internet no Brasil, sendo um marco regulatório fundamental para o ambiente digital. Ela consagra a neutralidade da rede, o que significa que os provedores de internet são proibidos de discriminar ou priorizar qualquer tipo de tráfego de dados, garantindo que todo conteúdo seja tratado de maneira igualitária, sem distinção entre serviços, aplicações ou sites.

Outro ponto importante é a proteção à privacidade dos usuários, determinando que os dados pessoais só podem ser coletados, armazenados e tratados mediante o consentimento do titular, além de exigir que as informações sejam devidamente protegidas contra acessos indevidos. A lei também reforça a liberdade de expressão, ao estabelecer que o conteúdo gerado pelos usuários na internet só pode ser removido por decisão judicial, exceto em casos específicos, como violação de direitos autorais. Isso protege os usuários contra a remoção arbitrária de conteúdos.

No que diz respeito à responsabilidade dos provedores de serviços de internet, a lei estipula que eles só podem ser responsabilizados por conteúdo gerado por terceiros se não cumprirem uma ordem judicial que determine a remoção desse conteúdo. Além disso, a legislação prevê a guarda de registros de conexão, obrigando os provedores a manterem os registros de início e término da conexão dos usuários por um período de um ano, embora sem armazenar o conteúdo das comunicações.

Dessa forma, o Marco Civil da Internet é considerado uma legislação avançada e equilibrada, que protege os direitos dos usuários e assegura o acesso democrático e livre à internet, promovendo a neutralidade e a privacidade no ambiente digital.

2 - Lei 13.709/2018, Lei Geral de Proteção de Dados Pessoais (LGPD).

A LGPD estabelece regras sobre o tratamento de dados pessoais no Brasil, tanto em meios físicos quanto digitais, foi criada com o objetivo de garantir maior controle aos cidadãos sobre suas informações e harmonizar a legislação brasileira com as normativas internacionais de proteção de dados, como o Regulamento Geral sobre a Proteção de Dados (GDPR) da União Europeia.

Desta forma a LGPD define dados pessoais como qualquer informação que identifique ou possa identificar uma pessoa, como nome, CPF, endereço, dados bancários, e-mails, entre outros dados. Ela também classifica dados sensíveis, que são informações mais delicadas, como origem racial ou étnica, convicções religiosas, dados de saúde ou orientação sexual, exigindo tratamento ainda mais rigoroso.

Um dos seus principais conceitos é a necessidade de consentimento para o tratamento dos dados pessoais. As organizações precisam obter o consentimento explícito dos titulares antes de coletar, usar, armazenar ou compartilhar seus dados. No entanto, existem exceções, como em casos de cumprimento de obrigação legal, execução de políticas públicas ou proteção de crédito.

A lei também impõe obrigações às empresas e órgãos públicos em relação à transparência, ou seja, os titulares têm o direito de saber como e por que seus dados estão sendo utilizados. Além disso, a LGPD assegura aos titulares o direito de acesso, correção, eliminação e portabilidade de seus dados pessoais.

Outro ponto essencial é a criação da Autoridade Nacional de Proteção de Dados (ANPD), que é responsável por fiscalizar o cumprimento da LGPD, orientar as organizações e aplicar sanções em caso de descumprimento das normas. As sanções podem incluir multas que podem chegar a 2% do faturamento da empresa, limitadas a R$ 50 milhões por infração, além de advertências e bloqueios temporários dos dados.

A LGPD estabelece ainda princípios que devem ser seguidos pelas empresas, como a finalidade, que exige que os dados sejam tratados para fins legítimos, explícitos e informados ao titular; e a segurança, que requer que as empresas adotem medidas técnicas para proteger os dados contra acessos não autorizados, vazamentos ou qualquer outra forma de incidente.

Com a entrada em vigor da LGPD, em setembro de 2020, o Brasil passou a contar com um arcabouço jurídico robusto para proteger os dados pessoais de seus cidadãos, garantindo mais privacidade e transparência no tratamento dessas informações, além de fortalecer a confiança dos usuários no ambiente digital e nas transações comerciais.