Central de atendimento +55 (24) 2232-5850 - contato@future.com.br

lei

27 junho 2019
adm.future
0
Categories: Blog, Dicas, Segurança

Por que a LGPD deve orientar a tomada de decisão dos CIOs

Sancionada em agosto de 2018, a Lei Geral de Proteção de Dados (LGPD) é mais do que uma lei de alcance federal, com escopo de aplicação ao poder público e em empresas do setor privado. Os requisitos foram criados como instrumento para fortalecer a privacidade dos consumidores e exige consentimento explícito para coleta e uso dos dados, além da apresentação de opções para o usuário visualizar, corrigir e excluir as informações coletadas.

Essa evolução dos mecanismos de controle tem como base e motivação o Regulamento Geral de Proteção de Dados (GDPR, na sigla em inglês), da União Europeia, os constantes e recorrentes vazamentos de dados pessoais após inúmeros ataques cibernéticos aos bancos de dados de todos os tipos de organizações, aliados ao fato de vivermos em uma economia cada vez mais baseada em dados, com o uso de Big Data, Internet das Coisas (IoT) e inteligência artificial.

A partir de agosto de 2020 a lei entra em vigor e até essa data as empresas devem se adequar e repensar como os dados estão sendo tratados desde o momento da coleta das informações até a disposição final conforme definido pela lei. Trata-se de uma lei rigorosa que pode alcançar multas diárias de até R$ 50 milhões aos negócios que registram informações dos clientes sem sua autorização, ou que os repassem, armazenem sem necessidade comprovada, ou que tenham esses dados vazados de alguma forma.

O volume de dados gerados pela população mundial é de 2,5 quintilhões de bytes diariamente, de acordo com uma publicação realizada pela revista Forbes no primeiro trimestre de 2018. Diante dessa quantidade de dados e um cenário regulador cada vez mais rigoroso, as organizações devem realizar uma análise de risco contextual para identificar quais são as atividades em seus processos que requerem uma adequação e ou implementação da lei. Sendo necessário considerar os processos, sistemas e ferramentas para avaliar como os dados pessoais de seus clientes/usuários são tratados, reforçando a proteção, com responsabilidade e transparência.

Caminhando na direção da economia e na sociedade digital, atualmente 75% dos CIOs de todo mundo consideram que um dos aspectos que mais exige e ocupa suas agendas está em torno do planejamento, execução e monitoramento de mecanismos de segurança cibernética, de acordo com a pesquisa CIO Survey 2019 realizada pela Grant Thornton. Ainda neste detalhado e técnico levantamento, conclui-se que 83% dos líderes dos departamentos de tecnologia incrementaram seus investimentos e gastos em segurança digital.

Casos emblemáticos e recentes de ataques cibernéticos e sequestro de dados à grandes corporações e organizações públicas configuram claramente uma nova preocupação não somente no âmbito da privacidade do indivíduo, mas sobretudo em questões de segurança pública e internacional. Tal cenário vem influenciando não somente aos chefes de estados a se debruçarem cada vez mais sobre segurança digital, como também grandes e médias organizações vêm aumentando seus investimentos em capital humano e financeiro nas áreas de Tecnologia da Informação e compliance.

Quer adequar sua empresa a LGPD? Conte com a Future! Preencha o formulário abaixo e entre em contato conosco.

Fonte: CIO.

Read More
11 junho 2019
adm.future
0
Categories: Blog, Dicas, Segurança

O que tem em comum GDPR e LGPD?

A similaridade das leis GDPR e LGPD ultrapassam a grafia com siglas de quatro letras. Pioneira na regulamentação e proteção de dados, a General Data Protection Regulation (GDPR) é a lei europeia que entrou em vigor em maio de 2018. Seu objetivo é proteger todos os cidadãos da UE contra a violação de privacidade e dados.

Na América Latina, o Brasil é um dos países com a regulamentação mais atrasada. A Lei Geral de Proteção de Dados (LGPD), que entrará em vigor em dezembro de 2020, chega para fixar parâmetros do mesmo tema da lei européia. No Chile, a legislação de proteção de dados foi decretada em 1999 e, na Argentina, em 2000. Países como Colômbia e Uruguai também seguem avançados quando o assunto é a segurança da informação. Independente do local do decreto, as leis indicam que a proteção de dados é uma necessidade e tendência mundial.

Sobre ataques ou invasão de hacker nos sistemas das empresas, de acordo com a Wired, foi este ano que aconteceu a maior violação de dados da história. Apelidada de ”Coleção # 1” a invasão atingiu quase 800 milhões de emails e senhas, totalizando 2.692.818.238 linhas de milhares de fontes diferentes. A invasão, que foi relatada pelo Troy Hunt, especialista em segurança digital , apresentou mais de 12 mil arquivos, com 87 gigabytes de dados, postados em um fórum hacker. Ela envolveu 772.904.997 endereços de e-mail únicos, além de mais de 21 milhões de senhas únicas, superando os hacks dos vazamentos do Equifax e do Yahoo por uma margem extremamente significativa.

Casos como o relatado por Hunt, do Equifax e do Yahoo, de brechas de segurança, são mais frequentes do que imaginamos. Só em 2018, o site Business Insider publicou uma lista dos 21 maiores episódios de violações revelados, classificados de acordo com o número de usuários afetados.

Para as organizações brasileiras, com a LGPD, além de se adequar a uma nova realidade de segurança da informação, conhecer a legislação sobre consentimento e transparência será essencial. Por mais que pareça distante, dezembro de 2020 não é um prazo longo para que todas as obrigações e responsabilidades criadas sejam atendidas. Há bastante a ser realizado com a intenção de adequar-se às regras da nova lei brasileira.

Diferente da realidade europeia, que implantou a General Data Protection Regulation (GDPR) depois da criação de uma cultura de discussão entre organizações sobre o tema, o mercado brasileiro não terá muito tempo para se adequar ao mercado com nova regulação. Mesmo que a portas fechadas, há uma correria e uma preocupação de empresas com essa adaptação.

Se segurança da informação, brechas de segurança e LGPD ainda forem temas distantes para a sua empresa, calma. Listamos abaixo dois passos essenciais para você inserir no seu planejamento organizacional.

Primeiro passo

É preciso conhecer a legislação sobre consentimento e transparência presentes nas dinâmicas de segurança da informação. A LGPD traz algumas definições tais como:

  • Dado pessoal é a informação relacionada à pessoa natural identificada ou identificável;
  • Dados pessoais sensíveis são informações de origem racial/étnica, religiosa, política, filosófica, referentes à saúde, vida sexual, genética ou biométrica;
  • Titular é a pessoa natural a quem se referem os dados pessoais;
  • Controlador é a pessoa que toma decisões sobre o tratamento de dados pessoais;
  • Operador é a pessoa que trata dados pessoais em nome do controlador;
  • Tratamento é a coleta, processamento, armazenamento, eliminação, dentre tantos outros.

Segundo Passo

Para ajudar na educação digital da segurança da informação, é essencial que as empresas tenham parceiros confiáveis, com revisão de contratos, e acompanhamento diário da gestão dessas informações e adequação às novas regras.

É preciso garantir a conformidade com os regulamentos de privacidade e segurança, gerenciar e controlar ameaças cibernéticas com eficiência, assegurar a segurança e privacidade em toda a cadeia digital (serviços, aplicativos, dados, infraestruturas e terminais) e controlar os impactos de qualquer incidente de segurança ou violação de dados.

Falhas provam que até mesmo gigantes como Google, Microsoft e Facebook não estão a salvo de falta de segurança que podem expor os dados confidenciais de seus usuários.

Adeque-se às leis! Conte com a Future!!! Somos parceiros dos maiores fabricantes de soluções de Segurança, Disponibilidade e Performance do mundo! Preencha o formulário abaixo e entre em contato conosco.

Fonte: IT Forum 365.

Read More
7 junho 2019
adm.future
0
Categories: Blog, Dicas, Segurança

LGPD: controlador e operador devem estar em sintonia para mitigar riscos!

Você já deve ter ouvido falar da Lei nº 13.709, de 14 de agosto de 2018, também conhecida como Lei Geral de Proteção de Dados (LGPD), certo? Desde quando foi promulgada com o objetivo de proteger os direitos fundamentais de liberdade, bem como de privacidade das pessoas a partir dos seus dados pessoais, a LGPD tem despertado diferentes reações pelas partes que compõem a dinâmica.

Por um lado, nas pessoas naturais, essa garantia despertou um sentimento de proteção, haja vista a série de incômodos que sofrem diariamente com abordagens de terceiros que tiveram acesso aos seus dados pessoais de forma não autorizada.

Por outro, nas empresas, a sensação despertada ainda é o desconforto em função da alteração cultural que ela implica, assim como um mar de incertezas (como exemplo, a demora na conversão em lei da Medida Provisória nº869/18, que prorrogou a vigência da LGPD para agosto/2020). Isso suscita perguntas como “será que a lei vai pegar?”, que se tornam mais comum a cada dia.

Mas a grande questão é que, independentemente das inseguranças, fato é que o respeito à proteção dos dados não é passageiro. É mais do que tendência. É um fenômeno global que nasceu com bastante força e que veio para ficar.

No próprio Brasil, no final de 2018, um caso emblemático chamou atenção. Um banco digital que figura dentre os líderes do País acordou o pagamento de uma multa de R$1,5 milhão ao Ministério Público do Distrito Federal em função da perda de dados de clientes em um episódio que veio à tona em maio do mesmo ano.

Ou seja, estamos diante de um prazo desafiador para se adequar à uma realidade que propõe uma mudança sensível que passa por toda a operação de qualquer empresa, desde as internas (que abrange, por exemplo, não apenas os gestores, mas sim todos os colaboradores), até as terceirizadas e realizadas em parcerias em geral.

Uma organização que falha nas medidas de segurança adequadas pode ser responsabilizada por negligência, independente da esfera e do nível em que o problema ocorrer.

Em relação aos parceiros, destaca-se a figura do operador, que pode ser pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador (a quem competem as decisões referentes a tal tratamento).

Conforme disposição da LGPD, o operador responde solidariamente pelos danos causados quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador, hipótese em que o operador se equipara ao controlador. Ou seja, o titular dos dados pode acionar judicialmente um ou outro, conjunta ou isoladamente, para buscar responsabilização e o ressarcimento do que lhe foi causado em descumprimento à LGPD.

Ainda, o controlador que estiver diretamente envolvido no tratamento do qual decorram danos ao titular dos dados também responde de forma solidária junto com o operador pelo que for causado por esse último.

Temos aí um ponto sensível: a escolha e contratação da figura do operador, sendo recomendável que o controlador exija daquele comprovações de cumprimento à LGPD. Ou seja, aqueles que mais cedo estiverem em compliance com a legislação, mais oportunidades de negócios terão, pois poderão se destacar no mercado e trazer segurança aos potenciais parceiros na possível contratação.

Importante dizer que o tratamento de dados pessoais será irregular quando não atender as disposições da legislação ou quando não fornecer a segurança que o titular de dados pode esperar do referido tratamento, considerando o modo de realização do tratamento, o resultado e os riscos razoavelmente esperados, bem como as técnicas de tratamento de dados pessoais disponíveis à época de sua realização.Daí nascem dúvidas como seria necessário comprovar culpa ou dolo do controlador ou operador (responsabilidade subjetiva), ou bastaria ao titular de dados demonstrar uma ação ou omissão pelo controlador/operador que acarretou um dano ao titular dos dados (responsabilidade objetiva)?

Conforme o texto da LGPD, o controlador ou o operador apenas não serão responsabilizados se demonstrarem que: (a) não realizaram o tratamento de dados pessoais que lhes é atribuído; (b) embora tenham realizado o tratamento de dados pessoais que lhes é atribuído, não houve violação à legislação de proteção de dados; ou (c) o dano é decorrente de culpa exclusiva do titular dos dados ou de terceiro. A partir da análise das excludentes de responsabilidade do controlador e do operador, é possível concluir que essas acabariam por afastar,por completo,o nexo de causalidade entre a ação/omissão e o dano causado ao titular de dados, fato característico de quando está se tratando da responsabilidade objetiva.

Ainda assim, não há como negar que a excludente de responsabilidade de culpa exclusiva de terceiroacaba por alargar o rol de defesa do controlador e do operador em detrimento do titular de dados, ao permitir a discussão e prova quanto à configuração da culpa de terceiros estranhos à atividade.

Contudo, não parece de acordo com espírito trazido pela LGPDque a jurisprudência se incline no sentido de admitir qualquer responsabilidade de terceiro, sendo mais coerente que tal discussão apenas seja cabível em relação a riscos externos ao negócio, ou seja, quando não seria razoável esperarque o controlador ou o operador assumissem o referido risco, sendo tal ação/omissão de terceiro totalmente estranha, inevitável e imprevisível para o negócio.

A infração à LGPD pode acarretar penalidades de até R$50 milhões por infração, assim como a obrigação da empresa publicizar a ocorrência, trazendo inevitáveis problemasde reputação. Todo esse cenário ilumina então um aspecto fundamental no processo de adaptação: não basta conhecer os seus riscos, mas sim agir para mitigá-los, sendo tal mitigaçãotão importante quanto escolher o parceiro comercial que tenha em evidência a mesma preocupação e o mesmo propósito.

Quer se adequar a LGPD? Conte com a Future! Preencha o formulário abaixo e entre em contato conosco.

Fonte: Computer World.

Read More
24 maio 2019
adm.future
0
Categories: Blog, Notícias

Transição para LGPD gera a confiança necessária em segurança da informação

Com os objetivos de dar aos cidadãos e residentes europeus formas de controlar os dados pessoais e de unificar o quadro regulamentar dos membros da União Europeia e Espaço Econômico Europeu, o Regulamento Geral sobre a Proteção de Dados (GDPR) deu início à uma onda de melhores medidas para a segurança de dados em diversos países. Aprovado em 15 de abril de 2016, mas entrando em vigor apenas em 25 de maio de 2018, o conjunto de leis busca garantir a privacidade e proteção de informações pessoais e prevê multas de até 4% do faturamento total da empresa que não estiver de acordo com as novas regras.

Porém, os reflexos da GDPR começaram a serem sentidos para além da União Europeia. Isso porque, o regulamento deve ser seguido por toda e qualquer empresa que armazena dados de cidadãos europeus, independente de onde a companhia opera. Isso fez com que inúmeros países se adequassem às novas leis e, consequentemente, pensassem em como as informações pessoais eram geridas dentro de casa. Como reflexo, os anos seguintes ao anúncio do novo regulamento viram aparecer conjuntos de leis semelhantes em outras regiões.

Na América Latina, países como México, Colômbia, Argentina, Chile e Peru se juntam ao Brasil entre aqueles que aprovaram os próprios regulamentos para a gestão de dados pessoais. Por aqui foi criada a Lei Geral de Proteção de Dados Pessoais (LGPD), ratificada no dia 14 de agosto de 2018, que determina como as informações dos cidadãos podem ser coletadas e tratadas, e que prevê punições para transgressões de até 2% sobre o lucro da empresa, com teto máximo de 50 milhões de reais.

Segundo estudo da IDC Brasil, 70% das PMEs nacionais enfrentam dificuldades na jornada digital, e garantir a segurança da informação é um desses desafios. No entanto, o tempo para se adequar às novas regras já está correndo. As empresas brasileiras têm até agosto de 2020 para adequar todos os processos de armazenamento, processamento, acesso, transferência e divulgação dos dados as regras da LGPD. Para fiscalizar o mercado, o governo brasileiro criou, no final de 2018, a Agência Nacional de Proteção de Dados (ANPD), órgão que responde diretamente à Presidência da República.

Esses regulamentos representam um período de transição, do qual sairão empresas mais conscientes sobre a importância da segurança da informação. Para atravessar esse processo sem grandes contratempos, as companhias devem apostar em soluções que estejam atualizadas de acordo com os requisitos de cada lei, o que traz benefícios a curto e a longo prazo. De imediato, as ferramentas ajudam a promover uma cultura de segurança no ambiente de trabalho e, no futuro, a evitar multas por falta de compliance.

Porém, diferentes interpretações do que é ou não é informação pessoal fazem com que as leis estejam em constante debate, e passíveis de mudança. No Brasil, a LGPD não faz nenhuma menção direta às imagens coletadas por vídeos de monitoramento, o que gerou um alerta entre empresas de monitoramento de vídeo.

Com a evolução do setor e a aplicação de tecnologias como cloud computing para transmissão e armazenamento, abre-se uma brecha na interpretação da legislação. Por exemplo, empresas que possuem soluções de câmeras inteligentes, capazes de detectar movimentos e pessoas com sensores, podem ser afetadas se um vídeo que identifica um indivíduo for considerado como dado pessoal.

Para não correr riscos, é necessário ficar atento às mudanças que a LGPD pode sofrer até 2020, ano em que a lei entrará, de fato, em vigor. Dessa forma, é importante utilizar esse período de transição para construir uma relação de confiança com a solução de segurança da empresa, para que a equipe tenha a certeza que, em caso de mudanças na legislação, a ferramenta irá manter a proteção de dados dentro da lei. Encontrar o equilíbrio no investimento de tempo e recursos financeiros para Pessoas – Processos – Tecnologia pode ser o fator determinante para o sucesso na proteção de dados ou pagamento de multas.

Quer adequar sua empresa a LGPD? Conte com a Future! Preencha o formulário abaixo e entre em contato conosco.

Fonte: CIO.

Read More
20 maio 2019
adm.future
0
Categories: Blog, Dicas

A LGPD chegou. Você sabe onde estão os dados dos seus clientes?

Os consumidores hiperconectados e multicanal do Século 21 trazem para as corporações dois novos desafios: estar presentes em todos os pontos onde eles estão, e cuidar com segurança de todas as informações captadas e geradas por essas interações. Com as legislações de proteção aos dados pessoais – GDPR e LGPD – entrando em vigor no mundo todo, cumprir o segundo desafio é mandatório, porque falhar pode causar perdas financeiras consideráveis.

Para o cumprimento das novas regras de proteção de dados, os líderes corporativos devem se perguntar se estão usando os dados corretamente, diz Katia Ortiz, country manager da ServiceNow no Brasil.

“Devem avaliar se precisam criar novas políticas, se é possível implementar medidas corretivas com base em uma abordagem de risco e se os planos de treinamento com os quais conta sua equipe são suficientes. Com o uso de tecnologias de automatização e soluções baseadas em nuvem, as empresas podem identificar aplicativos que lidam com dados pessoais, fornecer meios para coletar evidências e rastrear a conformidade com todas as regulamentações de maneira simples e eficaz”, diz Ortiz.

O risco de não compliance

Imagine, por exemplo, uma empresa de varejo que, além de lojas físicas, inicia suas operações também no e-commerce. Em seguida, ela decide lançar um cartão de crédito co-branded para os clientes, fazendo para isso parceria com um banco e uma bandeira de cartão. Na continuidade da jornada do seu consumidor, a empresa cria também um programa de fidelidade com pontos e prêmios com diferentes parceiros. E lança um aplicativo móvel.

Agora, imagine um cliente dessa empresa que decide fazer uso da da Lei Geral de Proteção de Dados (LGPD) brasileira, que entra em atividade em agosto de 2020 , ou do Regulamento Geral de Proteção de Dados (GDPR), que protege cidadãos da União Europeia, e solicitar que a empresa de varejo lhe envie todos os dados, interações e informações que armazena sobre ele. Ambas as leis exigem que as organizações demonstrem possuir processos adequados para gerenciar e proteger informações pessoais e que respondam, no prazo máximo de 72 horas, ao pedido de qualquer cidadão. Sob pena de multas pesadas.

“São muitos pontos de contato corporativo e muitos canais recebendo informações de diferentes teores e pesos sobre cada cliente. Para cumprir a lei, a empresa solicitada vai precisar acionar todos os parceiros, que usam diferentes plataformas e várias tecnologias, para recuperar, de cada um, o que existe sobre o cliente, e aí consolidar o relatório”, lembra Willians Medeiros, especialista da divisão Risk e Compliance da ServiceNow.

As novas legislações sobre proteção de dados pessoais e privacidade lançam as empresas em uma jornada com múltiplas tarefas urgentes:

  • Elas precisam criar processos para tratar essas solicitações, que incluem procedimentos corretos de como reportar os pedidos à entidade controladora e de como documentar que foram entregues ao solicitante no prazo;
  • Elas precisam mapear seu ecossistema para saber onde estão as informações dos clientes, dentro de casa e em parceiros, identificar o que é capturado ou processado em cada ponto e classificar esses dados de acordo com as especificações das novas leis;
  • E, finalmente, precisam garantir que seus sistemas, e dos parceiros, lidam com os dados da forma correta. Por exemplo, que tipo de informação precisa ficar anônima, que tipo de informação pode ser distribuída por e-mail, que tipo de informação pode ser armazenada etc.

A solução ServiceNow Governance, Risk and Compliance combina recursos de segurança, TI e risco em um programa de risco unificado criado na Now Platform®. A solução é reconhecida como Líder no Quadrante Mágico Gartner 2018 para Gerenciamento Integrado de Riscos. Ela permite que os clientes possam responder aos riscos do negócio em tempo real por meio de monitoramento contínuo, priorização e automação. A plataforma pode identificar os aplicativos que acessam dados pessoais e fornecem meios para coletar evidências, avaliando a conformidade desses aplicativos em grupos funcionais.

Entre as principais possibilidades da solução, estão:

  • Importar requisitos, descrição e gerenciamento de políticas de GDPR e LGPD
  • Gerenciar conformidade com o GDPR e LGPD de terceiros
  • Avaliações de impacto de proteção de dados (DPIAs)
  • Avaliação de riscos e requisitos de gestão
  • Requisitos de auditoria e de tópicos de dados
  • Mapeamento de Informações Pessoais Identificáveis (PII)
  • Notificação de violação de 72 horas
  • Painel de controle de proteção de dados (DPO)

Os primeiros passos para as empresas se adaptarem a leis como a GDPR e a Lei de Proteção de Dados, segundo Willians, é entender como elas usam os dados para definir se precisam fortalecer e projetar novas políticas e sistemas para conformidade com a regulamentação.

“Ela consegue priorizar e implementar as principais medidas corretivas usando uma abordagem baseada no risco sozinha? Seus planos de treinamento da equipe sobre proteção de dados são suficientes? Sem a resposta para essas dúvidas, não é possível prosseguir para o plano tático e se adaptar à nova realidade”, lembra Willians.

Quer adequar sua empresa a LGPD? Conte com a Future! Nossos especialistas são certificados junto aos maiores fabricantes de soluções de segurança, disponibilidade e performance do mundo! Preencha o formulário abaixo e entre em contato conosco.

Fonte: CIO.

Read More
13 maio 2019
adm.future
0
Categories: Blog, Dicas

E-commerce precisa se preparar já para LGPD, alerta ABComm

A Lei Geral de Proteção de Dados (LGDP), que deverá ser implementada a partir de agosto de 2020 no Brasil, vai resultar em mudanças para os mais diferentes setores de mercado, incluindo o e-commerce.

Para a ABComm (Associação Brasileira de Comércio Eletrônico), a nova legislação é positiva, uma vez que traz mais poder aos usuários e penaliza as empresas que descumprirem as regras.

Segundo o diretor jurídico da associação, Márcio Cots, que participou como consultor técnico de discussões sobre o assunto no Senado Federal, as companhias de comércio eletrônico precisam adaptar o mais rápido possível as suas práticas de segurança, compliance e TI.

Além disso, Márcio chama a atenção para a necessidade dessas organizações promoverem treinamentos, modificarem processos e adaptarem documentos para se adequar à LGPD.

Confira abaixo três impactos que a nova legislação terá sobre as empresas de e-commerce e que merecem atenção especial, de acordo com a ABComm:

Coleta e uso só de dados com autorização

A nova legislação impede que dados pessoais sejam coletados ou utilizados sem consentimento do usuário. Para recolher informações usando cookies e outras ferramentas, os serviços de e-commerce precisarão de uma autorização específica por parte dos consumidores. Isso atinge não apenas as empresas que dialogam diretamente com os clientes, mas todas as que, por algum motivo, tiverem acesso aos seus dados pessoais, o que inclui serviços de logística, atendimento eletrônico e muitos outros. “E essa autorização não funciona como um ‘cheque em branco’. As informações poderão ser usadas apenas para a finalidade com que foram coletadas, nada além”, pontua o advogado. “Hoje, as empresas utilizam dados de navegação para sugerir produtos conforme o perfil de cada usuário, compartilhando inclusive suas bases de dados com outros parceiros sem informar ao consumidor. Com a LGDP, este tipo de prática será vetado”.

Mais poder ao usuário

Outra novidade introduzida pela LGDP é que o titular do dado tem o direito de questionar qualquer serviço de e-commerce sobre quais informações pessoais ele armazena e exigir que as mesmas sejam editadas ou excluídas. Pode exigir ainda a portabilidade dos dados. “Isso também difere do cenário que temos hoje. Políticas de privacidade e sistemas de busca terão de ser remodelados”, afirma o advogado.

Penalidades financeiras

A LGDP pressupõe um incremento considerável na fiscalização das empresas por parte da Autoridade Nacional de Proteção de Dados (ANPD), autarquia ligada ao Ministério da Justiça, a fim de evitar o mau uso ou o vazamento de informações pessoais. As penalidades incluem multas que oscilam de 2% do faturamento da empresa até R$ 50 milhões por infração cometida. E não é tudo. “A companhia que insistir em práticas inadequadas pode ter sérios problemas com o ministério público”, informa Cots.

Quer adequar sua empresa a LGPD? Conte com a Future! Somos parceiros dos maiores fabricantes de soluções de segurança, disponibilidade e performance do mundo! Preencha o formulário abaixo e entre em contato conosco.

Fonte: CIO.

Read More
9 maio 2019
adm.future
0
Categories: Blog, Notícias

MP que altera lei geral de proteção de dados avança no Congresso

A comissão mista que analisa a Medida Provisória (MP) 869/2018 aprovou nesta terça-feira (7) o relatório do deputado Orlando Silva.

O texto altera competências e garante autonomia técnica e decisória à Autoridade Nacional de Proteção de Dados (ANPD).

O órgão deve zelar pela proteção de dados pessoais e segredos comerciais e industriais.

A medida provisória altera a Lei 13.709, de 2018— conhecida como Lei Geral de Proteção de Dados Pessoais (LGPD).

A norma prevê regras para proteger informações dos cidadãos gerenciadas por empresas públicas ou privadas.

Editada em dezembro do ano passado, a MP 869 previu a criação da Autoridade Nacional de Proteção de Dados como um ente ligado à Presidência e não como autarquia independente como trazia a LGPD.

A medida diminuiu o poder da autoridade, retirando sanções e medidas de fiscalização.

Além disso, a MP suprimiu outros pontos da Lei, como a possibilidade de revisão de decisões tomadas por processo automatizado (como uma “nota” de crédito definida por um algoritmo de um banco).

A redação flexibilizava a gestão de dados pessoais pelo Poder Público, retirando limites colocados pela Lei Geral de Proteção de Dados.

O relator, deputado Orlando Silva (PCdoB-SP), apresentou relatório há duas semanas com uma solução “alternativa”: a autoridade continuaria sob a Presidência da República como um ente dependente, mas em no máximo dois anos o Executivo encaminharia proposta para sua transformação em autarquia.

O parlamentar acrescentou a exigência de sabatina pelo Senado dos diretores indicados pelo governo federal.

Hoje, o relator colocou na comissão especial uma complementação de voto alterando essa formulação, deixando a mudança apenas como uma recomendação.

O recuo foi resultado de debates entre membros da comissão e do risco do trecho ser vetado pelo Executivo Federal.

Com isso, ela será uma área a ser estruturada pela Presidência, sem previsão de contratação de pessoal especializado. “Inexiste imposição, mas é uma alternativa ao Poder Executivo”, explicou Silva na sessão da comissão.

O relatório de Silva, entretanto, resgatou prerrogativas e sanções da Autoridade Nacional de Proteção de Dados, como a suspensão parcial de banco de dados que tiver desrespeitado a Lei e a proibição parcial ou total do exercício de atividades de tratamento de dados.

Revisão

A revisão de decisões automatizadas foi um tema polêmico ao longo da discussão da Lei.

O uso destes sistemas vem crescendo e envolve diversas esferas da vida, da contratação de diversos serviços ou a obtenção de empréstimos.

O relatório de Orlando Silva resgatou a possibilidade desta revisão, que havia sido vetada pela MP.

Na complementação de voto, no entanto, Silva incluiu que esta prática dependerá de regulamentação pela autoridade nacional e que “levará em consideração a natureza e o porte da entidade e o volume de operações de tratamento de dados”.

Orlando Silva apresentou nesta terça-feira uma complementação de voto com mudanças em relação ao relatório original, apresentado em abril.

Detalhes do projeto de lei de conversão (PLV) apresentado no relatório de Orlando Silva

Sabatina

Os membros do Conselho Diretor da Autoridade Nacional de Proteção de Dados (ANPD) devem passar por sabatina no Senado, como ocorre com os integrantes de agências reguladoras. Os conselheiros só podem ser afastados preventivamente pelo presidente da República após processo administrativo disciplinar.

Mandato

O relatório restaura mandato de dois anos para integrantes do Conselho Nacional de Proteção de Dados Pessoais e da Privacidade. A previsão havia sido abolida no texto original da MP 869/2018, mas estava prevista em trechos da Lei Geral de Proteção de Dados Pessoais que foram vetados pela Presidência da República. Na complementação de voto, o deputado Orlando Silva flexibiliza essa regra para os integrantes nomeados pelo Poder Executivo, que podem ser substituídos pelo presidente da República a qualquer tempo.

Composição

O número de membros do Conselho cai de 23 previstos na MP original para 21. São cinco representantes indicados pelo Poder Executivo, três pela sociedade civil, três por instituições científicas, três pelo setor produtivo, um pelo Senado, um pela Câmara dos Deputados, um pelo Conselho Nacional de Justiça, um pelo Conselho Nacional do Ministério Público, um pelo Comitê Gestor da Internet, um por empresários e um por trabalhadores.

Atribuições

O relatório recupera atribuições da ANPD que haviam sido suprimidas pelo texto original da MP 869/2018, como zelar pela observância de segredos comerciais e industriais e realizar auditorias sobre o tratamento de dados pessoais. Mas o relator também mantém competências previstas na medida provisória, como requisitar informações e comunicar às autoridades sobre infrações penais ou descumprimento da Lei Geral de Proteção de Dados Pessoais (LGPD).

Natureza Jurídica

A primeira versão do relatório obrigava a transformação da ANPD em autarquia após dois anos de funcionamento. Na complementação de voto, o deputado Orlando Silva tira esse caráter mandatório, já que poderia ser vetado por invadir competência do Poder Executivo. O projeto de lei de conversão indica apenas que a vinculação à Presidência da República é “transitória” e deve ser reavaliada pelo Poder Executivo.

Punições

A ANPD recupera a competência para aplicar punições, como a suspensão do funcionamento de banco de dados e a proibição do exercício de atividades relacionadas a tratamento de informações. A primeira versão do relatório previa a substituição das penalidades de suspensão total e proibição total por intervenções administrativas. Mas, segundo o deputado Orlando Silva, a medida “imporia um ônus desproporcional sobre o setor produtivo de tratamento de dados”. Na complementação de voto, ele prevê a pena de suspensão das atividades por seis meses, prorrogável por igual período em caso de reincidência.

Multas

São restauradas fontes de receita para a ANPD, como dotações previstas no Orçamento Geral da União, doações e valores apurados com a venda de bens ou com aplicações no mercado financeiro. Mas a autoridade não pode mais ficar com o dinheiro arrecadado com multas. Esses recursos serão repassados ao Fundo de Defesa de Direitos Difusos.

Revisão de Dados

O cidadão que se sentir prejudicado pela análise de dados realizada exclusivamente por computadores pode solicitar a revisão dos resultados por pessoas. A regra vale para os casos em que o tratamento automatizado for usado para fundamentar decisões que afetem os interesses do usuário, como a definição de perfis pessoal, profissional, de consumo ou de crédito. Na complementação de voto, o deputado Orlando Silva prevê que o regulamento da ANPD, ao disciplinar a revisão, deve levar em conta a natureza e o porte da entidade, assim como o volume de operações de tratamento de dados.

Indenizações

Na complementação de voto, o deputado Orlando Silva acatou uma sugestão para permitir a negociação e o eventual pagamento de indenização nos casos em que o usuário seja prejudicado por falhas no tratamento de informações. Por exemplo: se os dados financeiros de uma pessoa são digitados com erro e isso provoca uma restrição de crédito no mercado, o usuário pode negociar o pagamento de uma reparação diretamente com a empresa responsável pela falha. Se houver acordo, o caso não precisa ser comunicado à ANPD.

Reclamações

O usuário pode formalizar reclamações junto à ANPD por eventuais irregularidades no tratamento de dados. Mas a medida vale apenas como um recurso: primeiro, o cidadão deve comprovar que tentou e não conseguiu resolver o problema junto ao responsável direto pela análise dos dados no prazo legal. Na complementação de voto, o deputado Orlando Silva prevê a implantação de mecanismos simplificados, inclusive por meio eletrônico, para o registro de reclamações sobre o tratamento de dados pessoais.

Comunicação e Compartilhamento

A comunicação ou o uso compartilhado de dados mantidos pelo Poder Público com empresas privadas depende de consentimento do titular. Mas há algumas exceções: quando os dados sejam “manifestamente públicos”; quando a coleta de dados pessoais de crianças for necessária para contatar os pais ou responsáveis legais; para cumprir atribuições legais do serviço público; para a execução de políticas públicas; e para a prevenção de fraudes e irregularidades. Na complementação de voto, o deputado Orlando Silva prevê que a informação à ANPD depende de regulamentação.

Lei de Acesso à Informação

O texto protege o sigilo dos dados pessoais de cidadãos que requerem informações públicas por meio da Lei de Acesso à Informação (Lei 12.527, de 2011). Fica proibido o compartilhamento desses dados com órgãos públicos ou empresas privadas.

Dados de Saúde

É vedada a comunicação ou o uso compartilhado de dados pessoais sensíveis referentes à saúde com objetivo de obter vantagem econômica. A intenção é evitar a negação de acesso ou a seleção de risco para seguros médicos e planos de saúde. A primeira versão do relatório só permitia a transferência de informações na hipótese de prestação de serviços de saúde, incluídos os serviços auxiliares de diagnose e terapia. Na complementação de voto, o deputado Orlando Silva incluiu a possibilidade de compartilhamento para garantir a assistência farmacêutica do usuário. O projeto de lei de conversão estabelece critérios para o compartilhamento. A comunicação só pode ocorrer se for “exclusivamente para a tutela da saúde, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária”.

Idosos e Microempresários

O relatório prevê atendimento diferenciado para idosos. A ANPD deve garantir que o tratamento de dados dos maiores de 60 anos seja efetuado “de maneira simples, clara e acessível e adequada ao seu entendimento”. A ANPD também deve editar normas, orientações e procedimentos simplificados e diferenciados para atender as empresas de pequeno porte. Na complementação de voto, o deputado Orlando Silva estendeu o benefício às start ups — empresas emergentes que têm como objetivo inovar, desenvolver ou aprimorar um modelo de negócio.

Conte com a Future

Sua empresa está preparada para a LGPD? Conte com a Future! Preencha o formulário abaixo e saiba como podemos ajudar a sua empresa a se adequar a nova lei!

Fontes: Relatório e complementação de voto do deputado Orlando Silva à MP 869/2019 e com informações da Agência Senado e Agência Brasil; e CryptoID.

Read More
15 março 2019
adm.future
0
Categories: Blog, Notícias

Controle de acesso será fundamental para atender regras do LGPD

Um dos pontos chave da Lei Geral de Proteção de Dados Pessoais (LGPD), que entra em vigor em agosto de 2020, são as regras relacionadas ao registro de atividades de processamento em relação aos dados pessoais, incluindo a necessidade de controladores e operadores manterem o registro das operações de tratamento de dados (Artigo 37) e a formulação de boas práticas de governança (Artigo 50). Mas será que as empresas estão preparadas para atender às novas exigências?

Levando em consideração um estudo realizado pela Varonis no último ano, que revelou que 64% das organizações dizem não saber onde seu conteúdo sensível está localizado e quem pode acessá-lo, as empresas ainda têm um longo caminho pela frente para atenderem às novas regras.

Segundo a última edição do Varonis Data Risk Report, divulgada em 2018, 21% de todas as pastas em uma empresa são abertas a todos os funcionários, e 88% das organizações com mais de 1 milhão de pastas têm mais de 100 mil abertas para qualquer membro da equipe. Ou seja, quase não há controle e nem registros do que é realizado dentro dos arquivos de dados e por quem.

Saber onde estão localizadas as informações pessoais que precisam ser protegidas é só o primeiro passo para estar em conformidade com a LGPD. Uma vez que você sabe onde está localizado o conteúdo sensível, os maiores desafios vêm a seguir: entender quem tem acesso a essas informações, quem está usando, quem é o dono, se foram violados, se podem ser excluídos, se oferecem riscos e quem vai ser afetado com uma eventual mudança em seu conteúdo.

O LGPD, mesmo sendo algo relativamente novo – especialmente para as empresas que não foram afetadas pelo GDPR, a lei europeia de proteção de dados –, reafirma uma boa prática já bastante conhecida dos especialistas de segurança, mas frequentemente esquecida pelos líderes de negócio: quanto mais sensíveis são as informações, menos pessoas devem ter acesso a esses dados.

Isso reforça a necessidade de contar com as ferramentas adequadas para controle de acesso às informações e, principalmente, para realização de análises de segurança das informações de forma rápida e fácil, focando nos dados de arquivos específicos ou até nas atividades de um indivíduo ou grupo de indivíduos em relação às informações que acessam.

Assim, as empresas vão poder definir amplamente tendências nas atividades de acesso da empresa, incluindo a presença de dados obsoletos sensíveis que estão gerando riscos desnecessários ao negócio. Segundo informações do último Varonis Data Report, 76% de todas as pastas contêm dados obsoletos, um problema que, inclusive, também é previsto pelo LGPD, uma vez que a lei deixa claro que as empresas só podem manter informações enquanto forem necessárias e, caso não atendam a esse requisito, devem eliminá-las permanentemente.

Ou seja, contar com as ferramentas adequadas para controle de acesso e análise de segurança das informações para a LGPD, além de facilitar a geração de relatórios para dar aos auditores o poder de determinar se as políticas de segurança apropriadas estão em aplicação, vai melhorar a estratégia de segurança de dados como um todo, reduzindo os riscos para o negócio.

Diante deste cenário, buscar soluções equipadas com tecnologias de análise do comportamento do usuário, como o User Behaviour Analytics (UBA), vai ser o foco para estar em conformidade com o LGPD. Como detectam atividades em tempo real, mostrando exatamente onde um problema está acontecendo, essas tecnologias permitem identificar com precisão quais dados e quais clientes vão ser afetados, aumentando a velocidade de resposta.

Sua empresa já está adequada à LGPD? A Future pode ajudar! Preencha o formulário abaixo e entre em contato conosco.

Fonte: IT Forum 365.

Read More
21 fevereiro 2019
adm.future
0
Categories: Blog, Notícias

LGPD: a ponta do iceberg da proteção aos dados

A segurança da informação nos acompanha a partir do momento em que nos tornamos usuários da tecnologia, dos cuidados com logins e senhas de e-mail até o compartilhamento de arquivos, fotos, informações íntimas e financeiras, pois as consequências de um vazamento de dados pessoais e profissionais podem ser desastrosas – e irreversíveis. No universo corporativo não é diferente.

Brechas de segurança, espionagem empresarial, vazamentos internos, ataques hackers etc., não faltam motivos para as companhias de todo o mundo investirem na proteção de seus dados, afinal de contas, a informação é o novo petróleo e é necessário protege-la a todo custo para não gerar perdas financeiras, danos à imagem e até a ruína dos negócios. Casos recentes como do Yahoo, Uber, e o mais emblemático, Facebook e Cambridge Analytica, nos mostram um pouco da gravidade do que pode acontecer.

Pouco, porque muitos desses episódios só revelaram a ponta do iceberg dos problemas que as empresas enfrentam quando há um vazamento de dados de clientes ou usuários, seja em maior ou menor proporção. Para proteger as informações, e regulamentar práticas de uso de dados – de forma transparente e com aval do usuário -, por exemplo, foi criada no ano passado a Lei Geral de Proteção aos Dados (LGPD), que coloca o Brasil entre os mais de 100 países que podem ser considerados adequados para proteger a privacidade e o uso de dados.

Prevista para entrar em vigor a partir de fevereiro de 2020, a LGPD segue o mesmo formato da General Data Protection Regulation (GDPR), que existe desde 2016 na Europa, na qual as empresas que não atenderem as especificações da GDPR, mesmo as que encontram fora do continente europeu, estão sujeitas às sanções, como interrompimento de acordos de negócios e multas que podem chegar a 20 milhões de euros ou 4% do volume global de negócios anual da instituição, o que for maior.

Aqui as multas poderão chegar a R$ 50 milhões e, dependendo do caso, as companhias podem ser obrigadas a apagar os dados pessoais dos clientes/usuários coletados, além de arriscarem a imagem dos negócios.

Para evitar essas punições, as empresas brasileiras, ou que as têm negócios no país, terão de investir na adaptação à LGPD, o que tomará tempo e necessitará de investimentos significativos em S.I., desde à adequação de equipamentos de TI (como bancos de dados e redes corporativas), segurança de perímetro, treinamento de funcionários e sistemas de identificação e combate a ameaças virtuais, para citar alguns exemplos.

A fim de ajudar os CEOs, CIOs e CSOs a se adequarem à lei, elenco abaixo alguns dos principais cuidados que as empresas devem tomar quando o assunto é LGPD:
Informar aos clientes e usuários sempre que houver coleta de dados pessoais pela empresa;

  • Armazenar os dados somente pelo tempo necessário para diminuir os riscos de vazamento;
  • Manter relatórios sobre as atividades envolvidas no processamento de dados do seu negócio sempre atualizados;
  • Atentar aos contratos com fornecedores ou empresas terceirizadas, que manipulem dados pessoais em nome da sua empresa. A segurança no tratamento das informações também precisa estar garantida nesses casos.
  • Mas para não sofrer com o desgaste que todo esse processo pode gerar, e correr riscos de possíveis falhas que podem deixar a empresa vulnerável a vazamentos de informações, o mais indicado é procurar parceiros de TI que já estejam preparados para lidar com as exigências da nova lei de proteção de dados, para garantir a confiabilidade e a continuidade dos negócios desde já.

A Future está pronta para ajudar a sua empresa a se adequar a LGPD. Somos parceiros dos maiores fabricantes de Soluções de Segurança, Disponibilidade e Performance do mundo! Preencha o formulário abaixo e entre em contato conosco.

Fonte: Computer World.

Read More
11 dezembro 2018
adm.future
0
Categories: Blog, Notícias, Segurança

LGPD deve liderar investimentos em cibersegurança em 2019

O assunto segurança da informação tem ganhado destaque dentro das empresas – seja pelo bem ou pelo mal. O ano de 2018, por exemplo, registrou inúmeros casos de vazamento de dados que resultaram em prejuízos financeiros e desgastes para a reputação de grandes empresas.

Para a Blockbit, fornecedora global de produtos de cibersegurança, esses incidentes representam desafios ainda maiores para organizações nos próximos anos.

Marcel Mathias, Diretor de P&D da Blockbit, comenta que, no Brasil, a partir de 2019 as empresas precisarão definir investimentos para estar em compliance com a LGPD (Lei Geral de Proteção de Dados) – recentemente aprovada pela Presidência da República -, protegendo clientes de forma adequada, prevenindo o vazamento de dados e evitando severas penalidades.

Para o especialista, empresas passarão a se preocupar mais com a proteção de dados por conta do reforço da lei. “Mas essa é uma mudança boa para o mercado, pois nos últimos anos vimos inúmeros incidentes ocorrer por falta de adoção de medidas de segurança da informação, seja em relação a tecnologia basilar, seja em relação a gestão eficaz”, disse.

Liderada pela adaptação à LGPD, as seis tendências de cibersegurança para 2019 são:

Privacidade com transparência

A LGPD determina a adoção de medidas técnicas de segurança, mas não define quais. E para definir medidas adequadas, as empresas precisão aumentar a visibilidade sobre o seu ambiente de TI. As ferramentas de proteção ativa contra ameaças (detecção) serão importantes, mas também as de gestão de vulnerabilidades (prevenção) e registro de atividades (auditoria). Segundo Mathias, além da proteção, para estar em conformidade as organizações também devem estar preparadas para reportar eventuais incidentes e ataques aos órgãos competentes. “Esse estágio também demanda tecnologia integrada a todas as ferramentas e garante não apenas a conformidade com a lei, como mais transparência”, apontou.

Menos complexidade na gestão de cibersegurança

“As empresas devem estar preparadas para ameaças cada vez mais avançadas, mas precisam de soluções que simplifiquem suas análises, tornando a tomada de decisão mais ágil”, alertou o executivo. Para ele, os próximos anos serão decisivos para posicionar a segurança da informação como fator estratégico para as empresas. Para investir mais em cibersegurança, o mercado demandará soluções mais integradas, que diminuam a complexidade da gestão de segurança e overhead financeiro e técnico.

Segurança no escopo

Mathias alerta também para a necessidade urgente que é adotar segurança desde o escopo de desenvolvimento (security by design) de qualquer produto ou serviço. Tecnologias como internet das coisas (IoT), computação em nuvem e soluções para mobilidade avançam ano a ano e será preciso oferecer uma experiência mais segura para os usuários.

Máquinas inteligentes

Outra tendência crescente é o uso de machine learning, mas esta é uma faca de dois gumes. Por um lado, a indústria está evoluindo e empregando técnicas baseadas em aprendizado de máquina para detectar ameaças e ataques. Por outro, esse mesmo aprendizado pode ser aplicado pelos criminosos, para desenhar e customizar suas técnicas. Ou seja, como é utilizada para garantir a segurança das informações, a tecnologia também será aplicada para desenvolver ataques cada vez mais sofisticados.

A onda de sequestros virtuais continua

Ransomware continuará a preocupar nos próximos anos, porém inaugurando uma nova era de ataques mais direcionados. Com a perspectiva maior retorno financeiro, os alvos serão principalmente as pessoas jurídicas e os ataques mais customizados.

Contudo, a onda de sequestros abrangentes não perderá força, porém a principal ameaça será o criptojacking, um golpe baseado na exploração de dispositivos (mobile e desktop) para minerar criptomoeadas. A diferença desta técnica é que não interessa ao atacante bloquear as funções do dispositivo, como no caso do ransomware. Ao contrário, interessa a exploração anônima de um dispositivo em pleno funcionamento, para minerar por mais tempo.

Em ambos os casos, haverá uma grande demanda de uso de serviços de Threat Intelligence, monitorando atividades na Deep Web, onde há uma rede de troca de informações e venda de aplicações maliciosas para promover estes tipos de ataque.

Atenção às técnicas básicas

Embora não sejam novidades, ataques distribuídos (DDoS), ataques baseados em força bruta e, principalmente, as técnicas a serviço da engenharia social, que focam na camada humana, continuarão crescendo. A evolução dos formatos de phishing e fraudes cibernéticas é um grande ponto de atenção e demanda que as empresas sejam diligentes na gestão de segurança e incentivem os seus usuários a conhecer mais sobre cibersegurança. “O aperfeiçoamento na engenharia social é constante, pois funciona como uma primeira etapa para diversos tipos de golpes, explorando a camada mais suscetível a falhas, que é o usuário”, finalizou Mathias.

Quer investir em cibersegurança em 2019 e adequar sua empresa ao LGPD? Conte com uma consultoria Future! Somos parceiros dos maiores fabricantes de segurança, disponibilidade e performance do mundo! Clique aqui e entre em contato conosco.

Fonte: ComputerWorld.

Read More

Receba conteúdos exclusivos