Os desafios do Encarregado de Proteção de Dados

Os desafios do Encarregado de Proteção de Dados

A Lei Geral de Proteção de Dados (Lei Federal 13.709/2018) no Art. 5 inciso VII, define o papel do encarregado de proteção de dados para as empresas, conforme o texto abaixo:

Art. 5º Para os fins desta Lei, considera-se:

VIII – encarregado: pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD);    (Redação dada pela Lei nº 13.853, de 2019)   

Em seguida, no Art. 41., a Lei define algumas das atribuições do Encarregado de Proteção de Dados Pessoais:

Art. 41. O controlador deverá indicar encarregado pelo tratamento de dados pessoais.

  • 1º A identidade e as informações de contato do encarregado deverão ser divulgadas publicamente, de forma clara e objetiva, preferencialmente no sítio eletrônico do controlador.
  • 2º As atividades do encarregado consistem em:

I – aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;

II – receber comunicações da autoridade nacional e adotar providências;

III – orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais; e

IV – executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.

  • 3º A autoridade nacional poderá estabelecer normas complementares sobre a definição e as atribuições do encarregado, inclusive hipóteses de dispensa da necessidade de sua indicação, conforme a natureza e o porte da entidade ou o volume de operações de tratamento de dados.

Pensando nas atribuições destacas na Lei e, ainda, aquelas que poderão vir em normas complementares a serem editadas pela ANPD, o encarregado terá alguns grandes desafios para desempenhar este papel dentro das organizações.

Posso afirmar que será impossível o Encarregado exercer suas funções o auxílio da tecnologia, mas não estou falando das tecnologias para monitorar, proteger ou detectar possíveis incidentes de segurança, mas estou falando de ferramentas que efetivamente ajudem o dia a dia do Encarregado na gestão da privacidade e da conformidade com as Leis de Privacidade de uma forma geral.

Para desafiar a pensar sobre o dia a dia de um Encarregado, vamos começar com algumas perguntas sobre temas que ele deverá saber responder:

  1. Quantos registros de Dados Pessoais a sua organização gerencia atualmente?
  2. Do total de repositórios (Bancos de Dados, Servidores de Arquivos, Sistemas, Serviços em Nuvem, entre outros) que uma organização utiliza, quantos tratam dados pessoais?
  3. Uma vez conhecidos os repositórios, como encontrar os dados pessoais e, como associar estes dados a uma identidade ou um indivíduo?
  4. Quando houver Dados Pessoais sob a custódia de uma base legal de consentimento, será necessário fazer a gestão desta informação adicional, quantas repositórios estão sobre esta base legal e quanto já possuem funcionalidades prontas para fazer esta gestão?
  5. Qual a estrutura que as organizações irão disponibilizar ao encarregado, para que ele consiga exercer as suas atividades?
  6. Quantos titulares deverão exercer algum dos seus direitos? Como atender esta demanda? Ou seja, identificar os Dados Pessoais de um Titular nos diversos repositórios e responder o Titular se houver centenas ou milhares de solicitações?

 

Refletindo sobre cada umas destas questões, o primeiro desafio para o Encarregado é efetivamente conhecer os processos de negócios que capturam e tratam dados pessoais, mas mais do que isto entender onde os Dados Pessoais são armazenados e processados, pois eles podem estar distribuídos em dados estruturados – quando os dados estão dentro de um sistema ou um banco de dados e, podem ser não-estruturados – quando os dados estão dentro de documentos ou planilhas sem uma estrutura padrão ou conhecida. Portanto, o primeiro desafio é saber onde eles estão e como encontra-los, mas mais do que isto, como manter este inventário de dados atualizado constantemente, pois os dados que as organizações processam crescem e se modificam todos os dias.

O outro desafio diante do volume de dados pessoais que podem ser encontrados nas organizações é como correlacioná-los de uma forma, que possamos conectar todos os registros de dados pessoais de um indivíduo, independente do repositório que este registro se encontra. Desta forma, será muito mais fácil de atender a demanda de um Titular, senão o desafio será encontrar os possíveis identificadores do Titular e procurar em cada repositório utilizando o identificador correspondente. Como fazer isto com centenas ou milhares de solicitações e, como consolidar as respostas? Estas demandas serão atendidas pelo Encarregado ou a área de TIC ou compliance quem ajudarão nestas atividades? Será que as organizações estão planejando estrutura ou métodos ou ferramentas para executar isto?

Por fim, mas não menos importante, são os dados pessoais que possuem como base legal o consentimento. Quando um dado pessoal é capturado e tratado com base no consentimento será necessário fazer a gestão do consentimento, pois o Titular poderá exercer o direito de revogar o consentimento, portanto aquela captura e tratamento deverá ser encontrada e revogada e, em consequência, identificar os dados capturados e, estes, deverão ser removidos. Recentemente, visitei uma empresa que fornecia acesso à Internet para os seus visitantes e, para que eles pudessem usufruir, eles deveriam preencher um cadastro, consentir e concordar com a Politica de Privacidade, ou seja, uma captura e tratamento de dados tipicamente baseada no consentimento do Titular. Diante disto, questionei a empresa se eles tinham a lista dos visitantes que eles tinham capturado o consentimento no dia de ontem para usar o serviço de internet deles e, se algum visitante voltasse no dia seguinte e revogasse o consentimento, como eles fariam? Enfim, descobri que na verdade a empresa que prestava o serviço havia apenas modificado o texto do captive portal de autenticação dos visitantes, adicionando as questões relacionadas com a nova Lei de Privacidade e se o usuário autorizava a captura dos seus dados, mas não havia qualquer registro efetivo do consentimento em si e que a única maneira de remover o consentimento seria apagando os dados dos visitantes, mas não teria como registrar a revogação do consentimento. Enfim, faltava ferramenta efetiva para fazer a gestão efetiva do consentimento e, é isto que observamos de uma forma geral para cookies, formulários e outros serviços que capturam dados com base no consentimento – não há gestão.

O Encarregado vai necessitar de uma ou mais ferramentas para auxiliá-lo nas suas atividades, sem nenhuma dúvida. Pois, gerenciar dados pessoais dentro das organizações de uma forma geral é uma necessidade nova e sem conhecimento profundo da quantidade e da dinâmica de como estes dados são utilizados no dia a dia de cada organização.

Revise as perguntas acima e reflita a respeito e veja se consegue responde-las no contexto da organização em que você trabalha.

Na próxima semana, vamos explorar ferramentas que podem ajudar o encarregado a tratar estes desafios.

Um abraço,

Airton Coelho Vieira Jr, MsC
Chief Technology Officer

 

 

 

O que o vazamento de dados da Operação Lava Jato pode ensinar às empresas?

Garantir a proteção dos dados, tanto pessoais, quanto corporativos, é uma preocupação constante. E por bons motivos. Segundo dados da IDC, só no Brasil os ataques de hackers, vírus e ransomwares, entre outras pragas virtuais, geraram cerca de US$ 10 bilhões em prejuízo no ano passado, o que explica o fato de as empresas da América Latina terem aumentado seus investimentos em segurança da informação em 12% no último ano.

O recente vazamento de conversas entre o ex-juiz e atual ministro da Justiça Sérgio Moro e contatos como o promotor Deltan Dallagnol, entretanto, traz à tona outro viés, muitas vezes, negligenciado pelas empresas: a segurança das comunicações via dispositivos móveis e aplicativos, como WhatsApp e Telegram, protagonistas do caso envolvendo a alta cúpula da Justiça brasileira.

O fato, amplamente noticiado, leva a um debate importante, mas é preciso, antes de tudo, ressaltar que a brecha ocorreu não porque não havia segurança na Operação Lava Jato, mas sim porque os dispositivos corretos não foram utilizados. O então juiz Sérgio Moro não usou o TCS, telefone fornecido pela Abin (Agência Brasileira de Inteligência) e dotado de recursos avançados no que tange à privacidade das informações trafegadas. Assim como o presidente da República, Jair Bolsonaro, Moro optou por utilizar outro smartphone em suas comunicações, e, com isso, acabou ficando tão vulnerável à ação de hackers quanto um empresário comum.

Ou seja, não se trata de um ataque realizado a um dispositivo altamente seguro, de um hacker que quebrou controles militares de segurança dos quais civis não disporiam. Trata-se, antes, de autoridades que, apesar de terem à disposição recursos fortes de cibersegurança, optaram por fazer uso de soluções comuns.

Nada que justifique, vamos deixar muito claro que toda invasão é criminosa, errada, e não deveria jamais ser realizada. Isto posto, e sem tomar qualquer viés político, uma lição básica fica clara a partir deste caso: a segurança dos dados vai muito além dos sistemas internos das empresas, atinge a esfera dos dispositivos pessoais ou compreendidos em estratégias BYOD (Bring Your Own Device) e CYOD (Choose Your Own Device), e este é um caminho sem volta.

No caso da Lava Jato, o vazamento envolveu mensagens do Telegram, app russo conhecido por sua criptografia e segurança. Os desenvolvedores do aplicativo chegaram a se pronunciar na imprensa, alegando que não houve qualquer invasão ou ataque hacker sobre o sistema.

Em sua conta no Twitter, o aplicativo Telegram informou que “não há evidência de nenhum hack” no caso e que o mais provável é que o vazamento das conversas tenha se dado “por malware” ou pelo fato de “as pessoas não usarem sistema de verificação em dois passos”.

A explicação do Telegram não chega a ser uma surpresa. Um estudo da Flipside aponta que 58% dos ataques sofridos por empresas brasileiras são causados por falhas humanas, como cliques em malware, não verificação de senhas, uso de senhas fracas, entre outros erros.

É por isso que, além da tecnologia, as empresas também devem investir em políticas e práticas de segurança especializadas e comandadas por profissionais, com vistas a evitar ataques comportamentos de risco que possam ameaçar seus dados, seus clientes e seus negócios.

E quando se fala em gestão profissional de segurança, não se está falando de uma pessoa, especificamente, mas de equipes multidisciplinares, que somem conhecimento para assegurar que, de ponta a ponta, redes, sistemas, dados e operações estejam protegidos. Privacidade, proteção e conformidade de informações passam por um compilado de capacidades e tecnologias para se tornarem, de fato, efetivas.

A proteção de dados precisa se tornar parte da cultura organizacional, o que inclui trazer ferramentas como o WhatsApp e Telegram para dentro da estratégia. Por mais que aplicativos como estes possuam seus sistemas de criptografia, isso de nada adiantará se os usuários forem descuidados na gestão dos dispositivos, clicando em links suspeitos, aceitando contatos desconhecidos ou agindo de “N” outras maneiras que podem abrir a porta para ataques maliciosos cujos resultados nunca serão aprazíveis.

Tecnologia, gestão especializada de segurança, treinamento, adoção de uma cultura voltada à proteção dos dados. Este é o cenário ideal para toda empresa, privada ou pública. A segurança da informação deve estar no cerne das estratégias de negócio e isso vai do data center aos smartphones, sem pular nenhuma etapa, nenhuma pessoa, nenhum equipamento, sistema ou conteúdo.
Não é preciso temer os aplicativos – WhatsApp, Telegram e afins estão aí para facilitar a comunicação, e cumprem esta missão muito bem. Mas é necessário, sim, redobrar o cuidado ao tratar de informações potencialmente críticas. Agir de forma preventiva e contar com um excelente plano de reação, comandado por quem realmente domina o assunto, caso o pior aconteça.

Segurança da informação é compromisso de todos, o tempo inteiro, sem exceção.

A Future possui uma Solução de Conscientização Sobre Segurança da Informação. Para conhecê-la clique aqui!

Fonte: CIO.

Read More

O que tem em comum GDPR e LGPD?

A similaridade das leis GDPR e LGPD ultrapassam a grafia com siglas de quatro letras. Pioneira na regulamentação e proteção de dados, a General Data Protection Regulation (GDPR) é a lei europeia que entrou em vigor em maio de 2018. Seu objetivo é proteger todos os cidadãos da UE contra a violação de privacidade e dados.

Na América Latina, o Brasil é um dos países com a regulamentação mais atrasada. A Lei Geral de Proteção de Dados (LGPD), que entrará em vigor em dezembro de 2020, chega para fixar parâmetros do mesmo tema da lei européia. No Chile, a legislação de proteção de dados foi decretada em 1999 e, na Argentina, em 2000. Países como Colômbia e Uruguai também seguem avançados quando o assunto é a segurança da informação. Independente do local do decreto, as leis indicam que a proteção de dados é uma necessidade e tendência mundial.

Sobre ataques ou invasão de hacker nos sistemas das empresas, de acordo com a Wired, foi este ano que aconteceu a maior violação de dados da história. Apelidada de ”Coleção # 1” a invasão atingiu quase 800 milhões de emails e senhas, totalizando 2.692.818.238 linhas de milhares de fontes diferentes. A invasão, que foi relatada pelo Troy Hunt, especialista em segurança digital , apresentou mais de 12 mil arquivos, com 87 gigabytes de dados, postados em um fórum hacker. Ela envolveu 772.904.997 endereços de e-mail únicos, além de mais de 21 milhões de senhas únicas, superando os hacks dos vazamentos do Equifax e do Yahoo por uma margem extremamente significativa.

Casos como o relatado por Hunt, do Equifax e do Yahoo, de brechas de segurança, são mais frequentes do que imaginamos. Só em 2018, o site Business Insider publicou uma lista dos 21 maiores episódios de violações revelados, classificados de acordo com o número de usuários afetados.

Para as organizações brasileiras, com a LGPD, além de se adequar a uma nova realidade de segurança da informação, conhecer a legislação sobre consentimento e transparência será essencial. Por mais que pareça distante, dezembro de 2020 não é um prazo longo para que todas as obrigações e responsabilidades criadas sejam atendidas. Há bastante a ser realizado com a intenção de adequar-se às regras da nova lei brasileira.

Diferente da realidade europeia, que implantou a General Data Protection Regulation (GDPR) depois da criação de uma cultura de discussão entre organizações sobre o tema, o mercado brasileiro não terá muito tempo para se adequar ao mercado com nova regulação. Mesmo que a portas fechadas, há uma correria e uma preocupação de empresas com essa adaptação.

Se segurança da informação, brechas de segurança e LGPD ainda forem temas distantes para a sua empresa, calma. Listamos abaixo dois passos essenciais para você inserir no seu planejamento organizacional.

Primeiro passo

É preciso conhecer a legislação sobre consentimento e transparência presentes nas dinâmicas de segurança da informação. A LGPD traz algumas definições tais como:

  • Dado pessoal é a informação relacionada à pessoa natural identificada ou identificável;
  • Dados pessoais sensíveis são informações de origem racial/étnica, religiosa, política, filosófica, referentes à saúde, vida sexual, genética ou biométrica;
  • Titular é a pessoa natural a quem se referem os dados pessoais;
  • Controlador é a pessoa que toma decisões sobre o tratamento de dados pessoais;
  • Operador é a pessoa que trata dados pessoais em nome do controlador;
  • Tratamento é a coleta, processamento, armazenamento, eliminação, dentre tantos outros.

Segundo Passo

Para ajudar na educação digital da segurança da informação, é essencial que as empresas tenham parceiros confiáveis, com revisão de contratos, e acompanhamento diário da gestão dessas informações e adequação às novas regras.

É preciso garantir a conformidade com os regulamentos de privacidade e segurança, gerenciar e controlar ameaças cibernéticas com eficiência, assegurar a segurança e privacidade em toda a cadeia digital (serviços, aplicativos, dados, infraestruturas e terminais) e controlar os impactos de qualquer incidente de segurança ou violação de dados.

Falhas provam que até mesmo gigantes como Google, Microsoft e Facebook não estão a salvo de falta de segurança que podem expor os dados confidenciais de seus usuários.

Adeque-se às leis! Conte com a Future!!! Somos parceiros dos maiores fabricantes de soluções de Segurança, Disponibilidade e Performance do mundo! Preencha o formulário abaixo e entre em contato conosco.

Fonte: IT Forum 365.

Read More

LGPD: controlador e operador devem estar em sintonia para mitigar riscos!

Você já deve ter ouvido falar da Lei nº 13.709, de 14 de agosto de 2018, também conhecida como Lei Geral de Proteção de Dados (LGPD), certo? Desde quando foi promulgada com o objetivo de proteger os direitos fundamentais de liberdade, bem como de privacidade das pessoas a partir dos seus dados pessoais, a LGPD tem despertado diferentes reações pelas partes que compõem a dinâmica.

Por um lado, nas pessoas naturais, essa garantia despertou um sentimento de proteção, haja vista a série de incômodos que sofrem diariamente com abordagens de terceiros que tiveram acesso aos seus dados pessoais de forma não autorizada.

Por outro, nas empresas, a sensação despertada ainda é o desconforto em função da alteração cultural que ela implica, assim como um mar de incertezas (como exemplo, a demora na conversão em lei da Medida Provisória nº869/18, que prorrogou a vigência da LGPD para agosto/2020). Isso suscita perguntas como “será que a lei vai pegar?”, que se tornam mais comum a cada dia.

Mas a grande questão é que, independentemente das inseguranças, fato é que o respeito à proteção dos dados não é passageiro. É mais do que tendência. É um fenômeno global que nasceu com bastante força e que veio para ficar.

No próprio Brasil, no final de 2018, um caso emblemático chamou atenção. Um banco digital que figura dentre os líderes do País acordou o pagamento de uma multa de R$1,5 milhão ao Ministério Público do Distrito Federal em função da perda de dados de clientes em um episódio que veio à tona em maio do mesmo ano.

Ou seja, estamos diante de um prazo desafiador para se adequar à uma realidade que propõe uma mudança sensível que passa por toda a operação de qualquer empresa, desde as internas (que abrange, por exemplo, não apenas os gestores, mas sim todos os colaboradores), até as terceirizadas e realizadas em parcerias em geral.

Uma organização que falha nas medidas de segurança adequadas pode ser responsabilizada por negligência, independente da esfera e do nível em que o problema ocorrer.

Em relação aos parceiros, destaca-se a figura do operador, que pode ser pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador (a quem competem as decisões referentes a tal tratamento).

Conforme disposição da LGPD, o operador responde solidariamente pelos danos causados quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador, hipótese em que o operador se equipara ao controlador. Ou seja, o titular dos dados pode acionar judicialmente um ou outro, conjunta ou isoladamente, para buscar responsabilização e o ressarcimento do que lhe foi causado em descumprimento à LGPD.

Ainda, o controlador que estiver diretamente envolvido no tratamento do qual decorram danos ao titular dos dados também responde de forma solidária junto com o operador pelo que for causado por esse último.

Temos aí um ponto sensível: a escolha e contratação da figura do operador, sendo recomendável que o controlador exija daquele comprovações de cumprimento à LGPD. Ou seja, aqueles que mais cedo estiverem em compliance com a legislação, mais oportunidades de negócios terão, pois poderão se destacar no mercado e trazer segurança aos potenciais parceiros na possível contratação.

Importante dizer que o tratamento de dados pessoais será irregular quando não atender as disposições da legislação ou quando não fornecer a segurança que o titular de dados pode esperar do referido tratamento, considerando o modo de realização do tratamento, o resultado e os riscos razoavelmente esperados, bem como as técnicas de tratamento de dados pessoais disponíveis à época de sua realização.Daí nascem dúvidas como seria necessário comprovar culpa ou dolo do controlador ou operador (responsabilidade subjetiva), ou bastaria ao titular de dados demonstrar uma ação ou omissão pelo controlador/operador que acarretou um dano ao titular dos dados (responsabilidade objetiva)?

Conforme o texto da LGPD, o controlador ou o operador apenas não serão responsabilizados se demonstrarem que: (a) não realizaram o tratamento de dados pessoais que lhes é atribuído; (b) embora tenham realizado o tratamento de dados pessoais que lhes é atribuído, não houve violação à legislação de proteção de dados; ou (c) o dano é decorrente de culpa exclusiva do titular dos dados ou de terceiro. A partir da análise das excludentes de responsabilidade do controlador e do operador, é possível concluir que essas acabariam por afastar,por completo,o nexo de causalidade entre a ação/omissão e o dano causado ao titular de dados, fato característico de quando está se tratando da responsabilidade objetiva.

Ainda assim, não há como negar que a excludente de responsabilidade de culpa exclusiva de terceiroacaba por alargar o rol de defesa do controlador e do operador em detrimento do titular de dados, ao permitir a discussão e prova quanto à configuração da culpa de terceiros estranhos à atividade.

Contudo, não parece de acordo com espírito trazido pela LGPDque a jurisprudência se incline no sentido de admitir qualquer responsabilidade de terceiro, sendo mais coerente que tal discussão apenas seja cabível em relação a riscos externos ao negócio, ou seja, quando não seria razoável esperarque o controlador ou o operador assumissem o referido risco, sendo tal ação/omissão de terceiro totalmente estranha, inevitável e imprevisível para o negócio.

A infração à LGPD pode acarretar penalidades de até R$50 milhões por infração, assim como a obrigação da empresa publicizar a ocorrência, trazendo inevitáveis problemasde reputação. Todo esse cenário ilumina então um aspecto fundamental no processo de adaptação: não basta conhecer os seus riscos, mas sim agir para mitigá-los, sendo tal mitigaçãotão importante quanto escolher o parceiro comercial que tenha em evidência a mesma preocupação e o mesmo propósito.

Quer se adequar a LGPD? Conte com a Future! Preencha o formulário abaixo e entre em contato conosco.

Fonte: Computer World.

Read More

12 segredos obscuros da criptografia

A criptografia está se tornando uma solução rápida para o desenvolvedor, seja qual for a privacidade de dados ou a preocupação com a segurança. Com medo de colocar seu cartão de crédito em um formulário web? Não se preocupe. Estamos usando criptografia. Não tem certeza se um site é autêntico? A criptografia está de volta. A boa notícia é que os algoritmos de criptografia funcionam algumas vezes. A matemática oferece alguma proteção contra a espionagem e uma base sólida para a confiança.

Mas toda a magia tem seus limites e a coisa complicada com a criptografia é que pode ser impossível ter certeza de onde esses limites estão. A matemática pode ser tão inspiradora que só podemos nos sentar e olhar boaquiaberto. É fácil se perder e apenas se resignar a confiar que tudo dará certo quando os cálculos forem muito complexos.

No final, com criptografia, o melhor que podemos fazer é gerenciar nossas expectativas e nossa compreensão. Não podemos viver sem criptografia, mas não podemos presumir que funcionará com a mesma facilidade ou confiabilidade que um interruptor de luz.

Então, aqui estão uma dúzia de segredos obscuros da criptografia para se ter em mente ao procurar soluções para problemas intratáveis em sua arquitetura de informações.

Nós não entendemos isso

A maior parte do poder da criptografia depende do fato de não sabermos o suficiente sobre a matemática envolvida para revertê-la. Sabemos como calcular as funções, mas não como invertê-las. Podemos multiplicar e multiplicar números grandes, mas não podemos calcular o logaritmo. Em outras palavras, não sabemos a matemática de trás para frente, só a conhecemos somente pela frente. Quando um grupo de pessoas inteligentes não consegue descobrir como retroceder, ficamos por aqui, damos de ombros e abraçamos os algoritmos. É o melhor que podemos fazer. O algoritmo mais comumente implementado depende do fato de que ninguém descobriu publicamente qualquer maneira de atacá-los.

Nossas estimativas são apenas estimativas

Alguns matemáticos encontraram algoritmos básicos para atacar as funções de criptografia conhecidas, mas eles são lentos demais para quebrar a criptografia com chaves reais. Os algoritmos funcionam apenas com números pequenos e sua velocidade aumenta exponencialmente com o tamanho do problema. Esses algoritmos geram todas essas estimativas surpreendentes sobre como seriam necessários bilhões de quatrilhões de quintilhões de bilhões de anos para serem quebrados. Isso soa tranquilizador, mas é como um golfista iniciante dizendo que pode levar bilhões de anos no golfe para acertar um buraco na primeira. Isso pode ser verdade para o iniciante, mas não para os profissionais que os atingem regularmente. No mundo da criptografia, somos todos iniciantes lançando estimativas.

As provas são parciais

Alguns dos cientistas e matemáticos mais dedicados trabalham duro para fornecer uma “prova” de seu algoritmo. Essas cadeias de etapas lógicas bem avaliadas nos ajudam a entender a força do algoritmo de criptografia, mas isso não é a mesma coisa que garantir que seus dados estarão seguros. As provas apenas iluminam algum trabalho, e sempre há monstros escondidos na escuridão. Na maioria dos casos (exceto códigos de uso único), as provas não cobrem tudo e dependem de suposições sobre como alguns problemas são realmente difíceis. Isso pode ser verdade no passado, mas isso não é garantia para o futuro.

Nós não podemos medir a força

As equipes de vendas de tecnologia de segurança gostam de usar termos como “grau bancário” ou misturar números como 1024 bits, mas a realidade é que não temos uma boa maneira de fazer mais do que adivinhar a força dos algoritmos. O dobro de 2048 bits é igual a 1024 bits? Ou a diferença é astronômica?

A pesquisa só começa a arranhar a superfície. Alguns dos ataques funcionam apenas em uma faixa estreita de mensagens e apenas quando um milhão de estrelas se alinham. Outros ataques tornam tudo acessível. Podemos ver como esses ataques funcionam no laboratório, mas é difícil estender a ação até quanto eles podem ameaçar nossos dados.

O futuro da computação é um mistério

Ninguém sabe se computadores quânticos serão construídos com energia suficiente para lidar com problemas significativos, mas sabemos que as pessoas estão tentando e divulgando comunicados à imprensa sobre como fazer progressos. Sabemos também que, se as máquinas quânticas aparecerem, alguns algoritmos de criptografia serão quebrados.

Muitos cientistas de criptografia estão trabalhando duro na construção de novos algoritmos capazes de resistir a computadores quânticos, mas ninguém sabe realmente a extensão dos poderes de um computador quântico. Será limitado aos algoritmos conhecidos? Ou alguém encontrará outra maneira de usar o computador quântico para quebrar todos os novos algoritmos.

Dados criptografados não são dados seguros

Às vezes, a criptografia funciona muito bem. Ele bloqueia os dados dentro de um cofre matemático e, de alguma forma, a chave desaparece. É fácil fazer backup de dados criptografados, mas é um desafio fazer backup de chaves e senhas. Se você for muito cuidadoso, poderá acabar bloqueando-se dos próprios dados. Se você morrer inesperadamente, ninguém poderá descobrir a senha ou a chave que falta. Dados criptografados não são os mesmos que dados seguros. Dados criptografados são frágeis.

A criptografia é fácil. O gerenciamento de chaves é difícil!

Alguns padrões de criptografia são bem confiáveis porque foram desenvolvidos por meio de um processo árduo de vários anos. É fácil conseguir um de uma biblioteca de código aberto e ter certeza de que a criptografia será segura. A parte difícil, no entanto, é distribuir as chaves entre todos que precisam delas. Sistemas simétricos como o AES exigem que a chave viaje separadamente por meio de um canal seguro, mas se tivéssemos um canal seguro, não precisaríamos de criptografia. Se planejarmos com antecedência, geralmente podemos obter as chaves certas para as pessoas certas.

Os sistemas de chave pública tornaram mais fácil para as pessoas configurar um caminho seguro sem se reunir antecipadamente, mas elas têm seus próprios problemas. Como você sabe que está usando a chave pública certa para uma pessoa? A autoridade de certificação é confiável? Ainda há necessidade de voto de confiança no sistema.

O código de suporte é frágil

A distribuição de chaves não é a única faceta que cria pesadelos para os desenvolvedores de criptografia. Muitas partes do algoritmo podem vazar informações, às vezes deliberadamente. É comum, por exemplo, misturar números aleatórios com uma mensagem, mas encontrar esses números aleatórios pode ser complicado. Alguns dos chamados geradores de números aleatórios têm falhas, que os tornam longe de serem aleatórios, e sua previsibilidade pode ser usada para adivinhar a chave e quebrar a mensagem. O algoritmo de criptografia é apenas parte do jogo.

Hardware compartilhado é perigoso

Ultimamente mais e mais códigos estão sendo executados na nuvem devido ao custo e flexibilidade. O problema é que ninguém sabe o que os vizinhos que estão compartilhando sua máquina estão fazendo. Existem inúmeras vulnerabilidades que permitem que um software espie a memória de outra peça no mesmo computador. Os desenvolvedores do sistema operacional tentam pará-lo, mas novas falhas como o RowHammer aparecem com frequência. Parece que há dezenas de possíveis ataques a computadores na nuvem e estamos apenas começando a perceber o quanto precisamos nos preocupar com isso.

É impossível detectar um hardware invadido

Você já viu os transistores em seus chips? Você já se certificou de que eles são leais a você, o desenvolvedor de software? Alguns hackers perspicazes fizeram engenharia reversa de um chip e descobriram que ele tinha um modo de deus oculto e não documentado, o qual era acionado por uma sequência aleatória de bytes. Quem os colocou ali? Ninguém tem pressa para levar o crédito.

Assinaturas digitais apenas mudam a responsabilidade

A matemática por trás de alguns dos melhores algoritmos de assinatura digital é encantadora e hipnotizante. Somente o proprietário da chave privada pode executar os cálculos que produzem uma assinatura digital legítima. Isso soa muito, muito melhor do que uma assinatura manuscrita, que geralmente pode ser forjada por um aluno da quarta série que precisa de um pai para assinar um teste ruim.

Mas será mesmo? As chaves privadas não estão vinculadas à pessoas. Uma assinatura digital só pode ser produzida por alguém com acesso à chave privada. Esse pode ser o dono legítimo, ou pode ser alguém que invadiu o computador ou usou uma senha ou inseriu um registrador de chaves ou encontrou uma maneira de obter a chave. Se a sua chave está no seu computador e o seu computador está na rede, poderia ser qualquer pessoa no mundo que também estivesse conectada à rede.

Os cientistas estão se esforçando para construir hardware seguro e soluções fortes, mas eles apenas dificultam o trabalho dos invasores. A matemática maravilhosa é facilmente minada por fragilidades comuns.

Nem todos falam

Alguns matemáticos e especialistas em criptografia gostam de falar publicamente sobre a tecnologia. Outros não dizem nada. Nós nem sabemos quantos silenciosos estão por aí.
É realmente um milagre que a sociedade tenha desenvolvido tanto conhecimento em códigos e cifras quanto nós. Quanto mais usamos a tecnologia, no entanto, maior o incentivo para ficar inquieto sobre qualquer fraqueza. Quando dinheiro real e segredos reais estão fluindo através dos tubos blindados de criptografia da internet, bem, o conhecimento sobre qualquer rachadura na armadura se torna mais valioso. Em outras palavras, quanto mais usamos criptografia, mais profundos e obscuros se tornam os segredos.

A Future é parceira dos maiores fabricantes de soluções de segurança, disponibilidade e performance do mundo! Preencha o formulário abaixo e entre em contato conosco.

Fonte: CIO.

Read More

70% das vítimas de ransomware na América Latina perderam dinheiro, dados ou ambos

Quase 30% das pessoas na América Latina já foram vítimas de ransomware, conforme uma nova pesquisa, que entrevistou usuários e executivos de mais de 15 países da região.

Segundo o levantamento da companhia de segurança, 70% desse percentual perderam informações, dinheiro ou ambos como resultado de um ataque desse tipo.

Os países com o maior número de detecções de ransomware em 2018 na América Latina foram Colômbia, Peru e México – enquanto EUA e Rússia lideram o ranking global.

Além disso, o estudo também aponta que 93% das vítimas de ransomware afirmaram ter mudado de opinião quanto à importância do backup de informações.

E, apesar de os pesquisadores da área recomendarem não pagar pelo resgate dos dados sequestrados, 1 em cada 4 pessoas entrevistadas na pesquisas afirmaram que pagariam para tentar recuperar suas informações.

Mantenha-se protegido! Conte com a Future!!! Nossos profissionais são certificados pelos maiores fabricantes de Soluções de Segurança, Disponibilidade e Performance do mundo! Preencha o formulário abaixo e entre em contato conosco.

Fonte: ComputerWorld.

Read More

Reino Unido multa Facebook em R$ 2,3 milhões por violação de privacidade

O órgão regulador de informação do Reino Unidos (Information Comissioner’s Office) multou o Facebook em R$ 2,3 milhões pela violação da privacidade de usuários no escândalo do vazamento de dados para a empresa de marketing digital britânica Cambridge Analytica, informou nesta quinta-feira, 25, a Agência Brasil. O episódio ganhou visibilidade depois que veículos de mídia do Reino Unido revelaram o uso indevido das informações, inclusive em processos eleitorais, como a disputa presidencial dos Estados Unidos em 2016.

O órgão abriu a investigação em julho e ao longo do processo, foram analisadas evidências e a empresa apresentou suas explicações. Ao final, o ICO decidiu manter a multa no nível possível no momento do fato.

A apuração confirmou as denúncias feitas. Entre 2007 e 2014, o Facebook permitiu o acesso a informações pessoais por desenvolvedores de aplicativos sem consentimento dos usuários. Entre esses, estavam testes comuns. O app adotado para coletar as informações repassadas à Cambridge Analytica foi um teste de personalidade, de autoria de um cientista chamado Aleksandr Kogan.

Na avaliação do órgão, o Facebook violou o direito à proteção de dados de seus usuários e falhou também por não ter garantias suficientes de como tais informações seriam usados por esses desenvolvedores.

Em nota à Agência Brasil, o Facebook disse que estava “revisando a decisão do ICO”, mas discordava de algumas de suas descobertas e agradeceu ao órgão britânico por ter reconhecido sua “total cooperação durante a investigação”.

Fonte: Terra.

Read More

Receba conteúdos exclusivos