Dino Schwingel, Autor em E-TRUST

Como fazer proteção de dados para a LGPD: Controle de Acesso aos Dados

por Dino Schwingel | dez 9, 2019 | Gestão de Identidade, LGPD

Aprenda como fazer a proteção de dados pessoais sensíveis da sua empresa!

Nesse artigo iremos abordar o tema: Como fazer proteção de Dados para a LGPD, que tem como foco os aspectos mais críticos para estar em conformidade à LGPD. Você passará a entender o porque é importante fazer o controle de acesso aos dados pessoais e porque é necessário ter ainda mais cuidados nos acessos aos dados pessoais sensíveis.

Para situar o desafio que todas as empresas têm com a entrada em vigor da LGPD, começo com uma pergunta: você consegue agora gerar um relatório com todas as pessoas que têm acesso aos dados pessoais armazenados na sua empresa?

Você e sua empresa podem não ter feito nada de errado, mas alguém pode acusar sua empresa de vazamento de dados. Os dados podem ter vazado sem nenhuma relação com a sua empresa, mas a sua empresa pode ser suspeita porque processa aqueles dados.

A Autoridade Nacional de Proteção de Dados (ANPD) ou o Ministério Público (MP) vão querer saber quem são as pessoas que têm acesso aos dados pessoais na sua empresa. E você pode responder de várias formas:

Dados Pessoais? Como assim!?
Aqui é o João que cuida dos sistemas, tem que falar com ele.
É, veja bem…, a nossa equipe de TI é que cuida disso.

Ou você pode responder

Sem problemas, aqui está a lista de todas as pessoas que têm acesso aos dados pessoais processados na nossa empresa. E esta outra lista tem todas as pessoas que têm acesso a dados pessoais sensíveis.

Como é possível ter uma lista como essa pronta?

Tudo começa com a implantação de um sistema de gestão de identidades e acessos (GIA). Um sistema de GIA automatiza, controla e registra todos os direitos de acesso das pessoas aos dados pessoais.

A automação permite que uma nova colaboradora chegue ao seu posto de trabalho já com todas as contas criadas nos sistemas que ela vai usar no dia-a-dia, sem necessidade de intervenção manual de TI. Da mesma forma, quando encerra o contrato de trabalho de um colaborador, todos os acessos são revogados automaticamente, seja via conexão com a folha de pagamento seja via clique na tela pelo gestor ou RH.

O controle ocorre por meio dos fluxos necessários para aprovar acessos eventuais. Por exemplo, um colaborador substituindo outro nas férias ou uma participação em um novo projeto. Essas mudanças funcionais são aprovadas por fluxos de trabalho (workflows) e os acessos são automaticamente provisionados. Além disso, é possível garantir que colaboradores afastados do trabalho por licenças médicas férias e outros eventos similares têm os seus acessos bloqueados automaticamente pelo período de afastamento. Tudo para evitar uso indevido dos dados pessoais e, até mesmo, reduzindo riscos trabalhistas.

E os registros ocorrem quando ações são executadas como, por exemplo, as aprovações mencionadas acima. Os registros é que permitem comprovar, em qualquer circunstância, que a empresa possui processos e controles adequados para proteger os dados pessoais conforme mandado pela LGPD.

Causas de um vazamento de dados:

Objetivamente, um vazamento de dados pode ocorrer por diversos motivos: falha de sistema, falha humana ou, até mesmo, intencionalmente. O que vai diferenciar as empresas que serão multadas das que terão sanções mais leves vai ser o nível de proteção de dados que as empresas provarem que têm.

Eventualmente, o caso do Hospital de Barreiro em Portugal exemplifica muito bem o que falamos aqui. O hospital teve a multa agravada pela ausência de controles de acesso aos dados pessoais sensíveis porque pessoas com cargos que não precisavam ter acesso aos dados, tinham esses acessos concedidos nos sistemas.

Como o HORACIUS pode te ajudar?

Com um sistema de GIA, como o HORACIUS da E-TRUST, é possível registrar quais os tipos de acesso (perfis de acesso) dão direito a ver dados pessoais e dados pessoais sensíveis. Para isso basta definir um atributo em cada perfil de acesso que indique:

Se o perfil dá acesso a dados pessoais;
Se o perfil dá acesso a dados pessoais sensíveis.

Dessa forma, sua empresa sempre terá visão centralizada sobre todas as pessoas que acessam dados pessoais na empresa, não precisando ir perguntar para o pessoal de TI ou pedir para alguém listar os usuários do ERP, do CRM, das pastas de rede etc para ter essa informação, que será um grande atenuante caso sua empresa seja alvo de uma investigação por vazamento de dados.

Portanto, é importante lembrar que um sistema de GIA reduz falhas operacionais, diminui riscos de fraude, automatiza processos, aumenta o nível de satisfação dos usuários e reduz a complexidade dos acessos. Os usuários deixam de ter que memorizar ou anotar diferentes senhas, protegendo-se de esquecimentos ou perda. A centralização desse processo, facilita o acesso e descomplica o compartilhamentos de contas.

Espero que este artigo sobre proteção de dados para LGPD tenha sido útil. Nosso blog contém dezenas de outros artigos sobre o tema que podem auxiliar na adequação à lei.

A E-TRUST é líder em Gestão de Identidades e Acessos e seu sistema HORACIUS atende todos os requisitos de controle de acesso aos dados pessoais mandados pela LGPD e comentados aqui.

Você pode se interessar também pelo artigo: 8 perguntas e respostas sobre a LGPD

Quer receber conteúdos em primeira mão, além de convite para webinars e eventos? Então se inscreva na nossa newsletter:

Como Autenticar Google Suite (G Suite) no E-TRUST Cloud Single Sign-On

por Dino Schwingel | out 8, 2019 | Acessos e SSO

Neste artigo, você vai aprender como configurar a autenticação do G Suite no E-TRUST Cloud SSO.

Para configurar a autenticação do G Suite no E-TRUST Cloud SSO basta seguir os passos abaixo, mas antes de iniciar, recomenda-se que você tenha duas janelas de navegador internet abertas, uma para acessar o E-TRUST Cloud Single Sign-On e outra para acessar o G Suite, ambos como administrador.

O uso de duas janelas de navegador internet vai facilitar seguir os passos aqui apresentados, pois você terá que copiar dados de uma janela para a outra quando estiver fazendo a configuração da autenticação do G Suite no E-TRUST Cloud SSO.

1. Acessar o E-TRUST Cloud SSO como Administrador

O primeiro passo para configuração do G Suite é se autenticar como administrador no E-TRUST Cloud Single Sign-On através da URL:

https://<empresa>.sso.e-trust.com.br/login/admin

onde, <empresa> será o nome fornecido pela E-TRUST na contratação do serviço. As credencias de administrador (usuário e senha) também são fornecidas após a contratação do serviço.

2. Criar uma Aplicação SAML para o G Suite

A configuração do G Suite é feita via a criação de uma nova aplicação SAML. Isso pode ser feito clicando no Item “Nova Aplicação” no menu “Aplicações”, como apresentado na imagem a seguir:

“Nome da Aplicação”: por exemplo, G Suite ou GMail ou outro nome que faça sentido para seus usuários.Na tela de Nova Aplicação, preencha os seguintes campos, conforme a explicação e a figura a seguir:

“URL da Página Inicial da Aplicação”: página inicial da aplicação, que será aberta quando o usuário clicar na aplicação, na tela inicial do usuário no Cloud SSO (veja a seguir). Para o G Suite, use “https://accounts.google.com/”

3. Configurar a Integração SAML com o G Suite no E-TRUST CSSO

Após preencher os campos acima, clique em Salvar, para salvar a nova aplicação SAML G Suite no E-TRUST Cloud Single Sign-On.

Após ter salvo a aplicação, vamos configurá-la. Para isso deve-se clicar sobre o botão de editar representado pela engrenagem, conforme figura a seguir.

Na tela de configuração da aplicação SAML para o G Suite, preencha os seguintes campos, observando que <domínio> deve ser substituído pelo domínio que a sua empresa tem configurado no G Suite:

“EntityID”: o valor a ser inserido deve ser “google.com”.
“Assertion Consumer Service” deve possuir o valor “https://www.google.com/a/<domínio>/acs”.
“Method Binding” deve ser “HTTP-POST”.
“Audience”, “Recipient” e “Destination” devem possuir o valor “https://www.google.com/a/<domínio>/acs”.

A figura abaixo exibe a configuração desses campos. Novamente, observe que <domínio> é o nome do domínio que sua empresa tem configurado no G Suite, sendo que na figura abaixo foi usado um domínio apenas de exemplo como “desenvolvimento.e-trust.com.br”.

“NameID Format”: deve ser escolhida a opção que possui o valor “urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress”
“Identificador de usuários da base de dados interna”: deve ser “E-mail”. Basicamente, isso indica que usuários autenticados via base de dados interna do E-TRUST Cloud Single Sign-On terão seu endereço de e-mail enviado como identificador ao G Suite.
“Authentication Context Class Reference”: deve ser escolhida a opção que possui o valor “urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified”.

A imagem abaixo apresenta a configuração desses campos.

“Necessita que o Logout Response seja assinado”: Sim
“Necessita que a SAML Response seja assinada”: Sim
“Necessita que a Assertion seja assinada”: Sim
“Necessita que a Assertion seja criptografada”: Não

A imagem abaixo apresenta apresenta as configurações desses campos.

4. Obter o Certificado do G Suite

Para obter o valor do certificado do G Suite é necessário se autenticar com a sua conta de administrador da sua empresa no G Suite através da seguinte URL:

https://admin.google.com

Após se autenticar será apresentada a seguinte tela:

A seguir, basta clicar no botão “DOWNLOAD CERTIFICATE” para baixar o certificado do G Suite, conforme apresentado na imagem abaixo.O próximo passo é clicar na opção “Security” apresentado na figura acima, onde, após esse processo é necessário clicar na opção “Set up Single Sign-On (SSO)”, conforme apresentado na figura abaixo.

Continue a configuração na tela do Cloud Single Sign-On, preenchendo o campo abaixo:

“SP X.509 Cert”: copie e cole neste campo o certificado baixado no passo acima.

No exemplo, o campo ficou com o seguinte conteúdo (note que este conteúdo é fictício e não irá funcionar. Você deve baixar o certificado via sua conta de administrador no G Suite).:

—–BEGIN CERTIFICATE—–

MIIDdDCCAlygAwIBAgIGAWPgZ3eTMA0GCSqGSIb3DQEBCwUAMHsxFDASBgNVBAoT

C0dvb2dsZSBJbmMuMRYwFAYDVQQHEw1Nb3VudGFpbiBWaWV3MQ8wDQYDVQQDEwZH

b29nbGUxGDAWBgNVBAsTD0dvb2dsZSBGb3IgV29yazELMAkGA1UEBhMCVVMxEzAR

BgNVBAgTCkNhbGlmb3JuaWEwHhcNMTgwNjA4MTcxNzQwWhcNMjMwNjA3MTcxNzQw

WjB7MRQwEgYDVQQKEwtHb29nbGUgSW5jLjEWMBQGA1UEBxMNTW91bnRhaW4gVmll

dzEPMA0GA1UEAxMGR29vZ2xlMRgwFgYDVQQLEw9Hb29nbGUgRm9yIFdvcmsxCzAJ

BgNVBAYTAlVTMRMwEQYDVQQIEwpDYWxpZm9ybmlhMIIBIjANBgkqhkiG9w0BAQEF

AAOCAQ8AMIIBCgKCAQEAp4Gj37jzqFfv5kJ6JU4U6mtdkovcgUxwAsOfwcaQVR4y

6ErP8Dzt2Ilbfl0Z4NIudrPcGrrdUKS5yFtqpGXiQzT/7EkgfIMup8P6NZs0JHO9uiyt

Sd34R5NDtrPIwS0wCWLvAeYU1rGdkkL9L2BkkV7tFwa5Y5J+eH48e94s07X5HD5P

jmfyKZIMtyGbnylgTUPKdIY2WuItJ/SSl1GvBqzUnpLL+nXhn9ljj/yWz+rxkP5q

JgU6oZyRtmZdbkB3MlBWRM08rHqMetYO0JT2HxcB6q1aq8d0nUZNIMIVk6TXinks

ol86j5a9FZVZ/ITnmR8ya93QpPGIIT/oxCdTved2ZwIDAQABMA0GCSqGSIb3DQEB

CwUAA4IBAQAv1GcWBvPmF27EiRh0QpGjwcm8h+iJY6NthN4yyHodV6bcyQySjafn

RK1ALPLFJ9+DTQ9wfSxNIX9vycO7sKO6ReYdfyzcMgkWCfKp0UGE2HJXH2hR8ge86FA

qRCeHzeIC/Kb2hoxRAl9ro3LJGTMVGhXchppEpadoeHWrGN2u3rCkc3Yp+HOh0S+

f0FWFSOR2m1ezsGM9d8QWoWxOXoRw+Qm2lqZ5wovE7oz+bfIP6CyEdaWABsq0KwU

3gkqD2iivmu7VbUJmuwXlX3gb/3RIEEbQxtOxBaqJyIERICHXJfB9tEhhHuCBvTd

KtesQUFA/TVBglonE6wUEYDBHgltWXnL

—–END CERTIFICATE—–

“Signature Algorithm”: deve ser selecionada a opção cujo valor é “rsa-sha1”.
“Digest Algorithm”: deve ser selecionada a opção cujo valor é “sha1”.

A figura abaixo apresenta a configuração dos campos efetuada:

Para finalizar a configuração basta clicar no botão “Salvar”, exibido na figura acima.

5. Configurar o Cloud Single Sign-On no G Suite

Agora, você deve configurar o Cloud Single Sign-On no G Suite. Para isso é necessário voltar na tela “Set up single sign-on (SSO)” vista anteriormente.

O próximo passo é habilitar o Single Sign-On. Para isso é necessário clicar no checkbox “Setup SSO with third party identity provider” e preencher os campos abaixo:

“Sign-in page URL”: deve possuir o valor do campo “SSO REDIRECT URL” presente na página da aplicação que você configurou no E-TRUST Cloud Single Sign-On. Para isso, abra a página de configuração da aplicação G Suite no E-TRUST Cloud SSO, copie e cole na página do G Suite.
“Sign-out page URL”: deve possuir o valor do campo “SLO URL” presente na página da aplicação configurada no E-TRUST Cloud Single Sign-On. Proceda como descrito no item anterior para copiar e colar o dado.

Agora, o campo “Verification certificate”, exige um pouco mais de trabalho, conforme explicado a seguir:

“Verification certificate”: neste campo, deve ser inserido o certificado do Cloud Single Sign-On. Para isso, utilize um navegador internet para acessar a URL apresentada no campo “Metadata URL” na página da aplicação no Cloud Single Sign-On.

Ao acessar essa URL, será baixado um arquivo com os dados que precisamos. Localize o arquivo baixado e renomeie o arquivo de modo a adicionar a extensão “.xml” no mesmo. Clique no arquivo para abri-lo e localize o campo “<ds:X509Certificate>”, conforme apresentado na figura abaixo:

Copie o conteúdo do campo “<ds:X509Certificate>”, conforme destacado na figura acima. Após copiar o certificado, há a necessidade de formatá-lo antes de salvá-lo em um arquivo. É possível fazer essa formatação através da ferramenta disponibilizada em https://www.samltool.com/format_x509cert.php.

Após a formatação do certificado, salve o conteúdo em um arquivo e faça o upload do mesmo no campo “Verification certificate”, clicando no botão “UPLOAD”. A figura abaixo apresenta todas as configurações efetuadas conforme detalhado anteriormente:

6. Validar a Configuração do G Suite no E-TRUST Cloud Single Sign-On

Para validar as configurações acesse a URL abaixo em um navegador diferente daquele na qual estava sendo feita a configuração do Cloud Single Sign-On ou use o modo privado do navegador, pois será necessário usar uma conta diferente da conta de administrador do G Suite.

https://accounts.google.com

Insira as credenciais de um usuário que possua acesso ao G Suite de acordo com o domínio configurado. Caso o usuário não tenha permissão de acesso o mesmo não conseguirá finalizar o processo de autenticação.

Após informar as credenciais o usuário será redirecionado ao Cloud Single Sign-On, conforme apresentado na tela abaixo:

Após informar as credenciais válidas o usuário será redirecionado para o G Suite. A figura abaixo apresenta a imagem após a autenticação ter sido feita com sucesso:

É importante ressaltar que esse usuário deve estar autorizado a acessar a aplicação.

O valor enviado pelo Cloud Single Sign-On como identificador do usuário é o seu e-mail, neste caso “[email protected]”.

Caso o valor enviado seja diferente, haverá falha na autenticação quando o G Suite fizer a validação. Portanto, em caso de falha, analise primeiro a configuração feita no E-TRUST Cloud Single Sign-On referente ao parâmetro “identificador do usuário a ser enviado” para certificar-se que está conforme este artigo.

Com a configuração concluída, você está apto a passar a usar o E-TRUST Cloud Single Sign-On para autenticar seus usuários no G Suite.

Esperamos que este artigo tenha sido útil para você! A

Para saber mais sobre a solução E-TRUST Cloud Single Sign-On CLIQUE AQUI.

8 perguntas e respostas sobre a LGPD

por Dino Schwingel | set 2, 2019 | Lei Geral de Proteção de Dados Pessoais, LGPD

A nova Lei Geral de Proteção de Dados (Lei Federal n. 13.709/2018) regulamentará a troca de informações entre pessoas físicas e pessoas jurídicas, sendo um marco na segurança digital.

Neste artigo apresentamos oito perguntas e respostas para profissionais e empresas se posicionarem durante a adequação da nova regulamentação.

1. Quais as bases da Lei de Proteção de Dados Pessoais?

As leis de proteção de dados pessoais, na qual se inclui a LGPD, estão sendo baseadas na interpretação de que o direito à privacidade dos dados pessoais passa a ser um direito fundamental do cidadão.

A nova lei se baseou não apenas na lei europeia, GDPR, mas sim nos tempos modernos, pois a divulgação de dados pessoais na internet é um fenômeno recente, que não tinha lei específica. Hoje, são divulgados muitos dados pessoais na internet e os usuários/consumidores precisam saber como esses dados são utilizados.

2. Como essa lei impactará o mundo corporativo? E a sociedade em um geral?

A grande transformação que a lei traz é o direito das pessoas sobre a propriedade dos seus dados pessoais. Os titulares dos dados – ou seja, cada um de nós – é que dirão se o dado pode ser usado, como pode ser tratado e se e quando deve ser eliminado. Esta é a grande mudança na sociedade: nunca antes na história as pessoas puderam determinar como os seus dados pessoais seriam usados. Historicamente existiam as leis de privacidade, de sigilo bancário, proteção aos dados de saúde, da ética profissional médica, ética profissional de advogados, mas nunca houve uma clareza de que o dado pessoal pertence à pessoa e que só pode ser utilizado com uma previsão legal. A previsão legal pode ser um contrato que a pessoa assina com uma empresa e aqueles dados pessoais serão usados para a prestação do serviço, ou no caso de serviços online, a previsão legal é o consentimento através do portal. A pessoa consente que o Google ou o Facebook, por exemplo, utilize seus dados para ações próprias.

Obviamente, esse consentimento e as mudanças necessárias não acontecerão da noite para o dia. Será uma transformação gradual em que as pessoas passarão a entender como isso funcionará. E também vai depender de como as empresas cumprirão a lei, tornando mais fácil ou mais difícil para as pessoas exercerem esse direito. Pode ser tão fácil quanto entrar no portal e dizer: “Apaguem os dados que vocês têm sobre mim” ou pode ser tão difícil quanto a enviar uma carta e ficar esperando um tempo longo para obter um retorno. Então a grande mudança na sociedade é o entendimento que as pessoas terão sobre propriedade de seus dados pessoais.

E no mundo corporativo o impacto será diferente, porque influenciará no modelo de negócio. Empresas que baseiam seus modelos de negócio na comercialização de dados pessoais sofrerão um impacto muito forte. Empresas que utilizam dados pessoais apenas para cumprimento de contratos no sentido mais restrito como a assinatura de um jornal ou como a venda de um produto, terão um impacto pequeno, porque é basicamente cumprir a lei, mas isso não afetará o seu modelo de negócio.

3. Como ás empresas irão se adequar para solicitar esses consentimentos?

As empresas deverão utilizar soluções e sistemas para automatizar esse processo, não é possível imaginar que esses consentimentos serão obtidos de uma forma manual. O que nós trazemos para o mercado, inclusive como solução, são sistemas de gestão de consentimento em que a empresa integrará os seus sistemas ao nosso, para a gestão de consentimento e facilitando as permissões através de um clique.

4. E os dados que já foram coletados?

Esses dados podem não estar sob a lei, porque eles foram coletados previamente. Mas quando a lei entrar em vigor será necessário obter o consentimento. Imagine assim: você assina o serviço de uma empresa de notícias e até o dia que a lei a lei entrar em vigor, você precisará dar o consentimento para que continue utilizando aquele serviço.

5. E sem esse consentimento os dados já fornecidos serão excluídos?

Não necessariamente. Como mencionado, existe a previsão legal do dado necessário para prestação do serviço. Se você tem um contrato, paga por uma assinatura e aqueles dados pessoais são necessários para que seja enviado um boleto ou cobrança, por lei aquele dado pode ser processado pela a empresa, mas apenas para prestação do serviço. Se aquela empresa utiliza seu nome, seu endereço e vender para uma lista de marketing, por exemplo, isso já necessitará do consentimento, com base na lei.

6. Como ocorrerá a fiscalização do cumprimento dessa lei?

Essa é sem dúvidas a parte mais complexa, a Agência Nacional de Proteção de Dados (ANPD) é o órgão que em tese regula tudo isso no Brasil. Mas diferentemente da GDPR nos países da Europa, aqui existem o Ministério Público e órgãos de proteção ao consumidor. E há um entendimento de que esses órgãos atuarão fortemente na proteção dos dados pessoais.

Já vimos o MP com uma comissão especial de proteção de dados propondo multas para o Banco Inter e para Netshoes, sendo que nos dois casos houve um acordo judicial para pagamento de multa.

Então, no Brasil diferente da Europa, vemos que o MP será um órgão fiscalizador importante. A ANPD pode exigir relatórios a qualquer momento. Havendo uma suspeita ou comunicação de um vazamento de informação, ela notificará a empresa exigindo a confirmação da ocorrência e informações sobre os relatórios de impacto, que descrevem como os dados estão sendo protegidos. A partir do que a empresa responder, poderá ser aberto ou não uma investigação, que pode até envolver o Ministério Público.

7. Quais os tipos de dados serão protegidos?

Serão os dados relativos às pessoas naturais e os dados chamados identificáveis. Se a empresa utiliza um código interno para designar que determinada pessoa é a dona daquele número de CPF, esse código interno é um dado identificável e precisará ser protegido da mesma forma.

As empresas terão o cuidado de identificar dentro dos seus bancos de dados, quais são os dados identificáveis. Um cookie, por exemplo, que é uma técnica utilizada para identificar o navegador de internet quando navegamos no site. Neste caso, o site grava um código no navegador do usuário e esse código passa a identificar aquele computador, ainda não necessariamente àquela pessoa. A partir do momento que a pessoa faz o login no site, por exemplo, está vinculado o código ao login e já é possível identifica-la. Então, aquele código também é um dado identificável e está sob a lei.

8. Como posso proteger os dados coletados?

O primeiro passo para a empresa proteger os dados coletados, é saber quais são os dados pessoais que armazena, coleta e processa. Isto é um inventário de dados que precisa ser feito para identificar todos dados pessoais, dados identificáveis e dados pessoais sensíveis.

A empresa precisará fazer um mapeamento e tratar com níveis de rigor diferentes os dados protegidos pela lei.

Isso será feito através de processos e de sistemas que garantem que somente as pessoas autorizadas terão acesso aos dados pessoais, e garantindo, que estarão protegidos de vazamentos acidentais. Para isso além do inventário é necessário implantar processos e ferramentas de sistemas, como gestão de acessos e identidades (GIA ou IAM na sigla em inglês), além de outros sistemas complementares, de acordo com o tamanho da empresa.

Quer saber como a sua empresa pode se preparar para esse processo de maneira segura e ágil?

Você pode se interessar também pelo artigo: 6 erros mais comuns no processo de adequação à LGPD

Conheça as vantagens de usar o Horacius LGPD:

ACESSE JÁ!

É possível evitar o vazamento de dados?

por Dino Schwingel | dez 19, 2018 | LGPD

Este ano de 2018 foi repleto de casos de vazamento de dados que expuseram a vida pessoal de milhões de pessoas e geraram dezenas de milhões de reais em prejuízo para as empresas envolvidas.

Somente no caso do Banco Inter, o Ministério Público do Distrito Federal ajuizou ação em julho deste ano, demandando uma indenização de R$ 10 milhões em razão de, supostamente, o banco não ter tomado os cuidados necessários para garantir a segurança dos dados pessoais de seus clientes e não clientes.

E, mais recentemente, vieram a público as notícias sobre os vazamentos de dados na Tivit, uma das maiores empresas de serviços de TI do Brasil, e no Sicredi, a maior rede de cooperativas de crédito do país, cada um deles com características próprias. Vendo empresas desse porte – que investem milhões em tecnologia – sofrerem com vazamentos de dados é lícito perguntar se, na prática, é possível evitar vazamento de dados.

E mais ainda, como uma média empresa, com orçamento de tecnologia bem mais enxuto, vai evitar o que nem grandes empresas conseguem? E além disso, a partir de fevereiro de 2020, com a entrada em vigor da Lei de Proteção de Dados (LGPD) o risco para as empresas vai aumentar, pois será obrigatório divulgar publicamente os casos de vazamento de dados.

Eu imagino que, por exemplo, uma clínica de saúde regional com algumas unidades na região metropolitana de uma grande cidade pode ter seu negócio inviabilizado caso divulgue publicamente que os exames de seus pacientes foram vazados. Outras empresas de mesmo porte, especialmente da área de saúde, podem ter o mesmo destino.

Mas é possível evitar vazamento de dados? Baseado na experiência de atuar em casos como esses há duas décadas e na experiência internacional bem documentada, sabemos que as duas principais causas de vazamentos de dados são:

Ataques externos aos sistemas da empresa.

Vazamento intencional por pessoas de dentro da empresa.

Um plano abrangente para evitar essas duas causas deve conter diversas ações que vão desde implantar sistemas de proteção até fazer seminários de conscientização, em suma deve abranger pessoas, processos e tecnologia.

Mas existem regras e proteções básicas que podem e devem ser implantadas e que já são consenso entre profissionais da área de segurança da informação. Fazendo uma analogia com os cuidados com a saúde pessoal, é consenso que exercício físico moderado faz bem para a saúde, não sendo necessário consultar um especialista para saber isso.

Na proteção de vazamento de dados, algumas regras básicas também são consenso:

Tenha um sistema antivírus.

Tenha um sistema de controle de acesso aos dados.

Sistemas de antivírus já são bem conhecidos e são a primeira barreira contra os ataques externos. Podem ser complementados por proteções de segurança mais avançadas, que fogem ao escopo deste texto, mas cito aqui pelo menos uma que recomendo implantar: WAF, ou Web Application Firewall. Sistemas de controle de acesso aos dados, ou de Gestão de Identidades e Acessos (GIA), estão sendo cada vez mais adotados pelas empresas que estão aumentando o seu nível de proteção contra vazamento de dados.

Devido à inerente complexidade e à variedade de tecnologias existentes nas empresas, somente com um sistema de GIA é possível saber, imediatamente, quem tem acesso efetivo aos dados em uma empresa e também quem autorizou esses acessos.

Pense bem: é impossível evitar vazamento de dados se você nem sabe quem tem direito de acesso a eles dentro da sua empresa. Um sistema de GIA permite o controle centralizado dos direitos de acesso aos dados, com fluxos de trabalho distribuídos, automatizando tarefas manuais, diminuindo erros operacionais e diminuindo os riscos legais da sua empresa.

E, no caso de sua empresa sofrer um vazamento de dados e estar sujeita a uma multa, um sistema de GIA será um grande atenuante para provar em juízo que a empresa fez o que as melhores práticas de segurança do mercado recomendam para proteger os dados de seus clientes, parceiros e fornecedores.

Acidentes acontecem, e um vazamento de dados pode ocorrer por acidente. A diferença no valor das multas – que podem chegar a 2% do faturamento da empresa – será em virtude dos atenuantes que cada empresa vai apresentar para caracterizar que não houve imperícia ou negligência na proteção dos dados.

Desde 1999, a e-trust tem auxiliado empresas de diversos portes a se proteger no mundo digital. Se quiser saber mais como podemos proteger sua empresa de vazamentos de dados, entre em contato com nossos especialistas. Só fica uma dica: aumente suas proteções antes de a LGPD entrar em vigor.

Você também pode gostar:

E-TRUST presente no Fórum RNP 2018 no debate sobre Gestão de Identidade no meio acadêmico

por Dino Schwingel | ago 29, 2018 | Gestão de Identidade, Horacius IAM, Inovação, Segurança da Informação

Vice-presidente da E-TRUST aborda a importância da Gestão de Identidade (GIA) no meio acadêmico

Com o tema “Patrimônio Digital, dados abertos e tecnologias de memória” a 5ª edição do Fórum RNP, promovido pela Rede Nacional de Ensino e Pesquisa, levou em dois dias de evento assuntos políticos e estratégicos para o setor de Tecnologia da Informação e Comunicação.

E para o primeiro dia de evento, o vice-presidente da E-TRUST, Mauro Souza, participou do painel com o tema “A confiança auditada: Novas perspectivas na Gestão de Identidade no meio acadêmico”.

Mauro abordou sobre como o mercado está vendo a Transformação Digital e a Gestão de Identidades e Acessos e como a governança e boas práticas podem ajudar aos órgãos de pesquisas e universidade a entregarem melhores resultados e melhores condições para alunos e pesquisadores.