Com a digitalização de dados nos diferentes processos em que uma pessoa pode estar envolvida (site de compras, cartões, empresa em que trabalha), a importância de manter essas informações seguras é cada vez maior. É preciso sempre ter em mente a possibilidade de um incidente de segurança.
À luz da nova Lei Geral de Proteção de Dados, um elenco de responsabilidades é instituído, assim como medidas que devem ser tomadas. Além disso, é preciso que os colaboradores e usuários estejam adequadamente orientados para os procedimentos rotineiros que devem ser adotados.
Quer saber mais? Continue a leitura e descubra agora o que é incidente de segurança e como reportá-lo.
O que é um incidente de segurança?
Quando a referência é para os dados pessoais, considera-se a utilização da terminologia incidente de segurança da informação. Por essa denominação, é conhecido qualquer evento confirmado de violação de dados que traga risco para a segurança das informações pessoais de alguém.
Essas violações podem ocorrer por acesso não autorizado ao ambiente de seus dados, de forma ilícita ou ainda que acidental, como um descuido na gestão de dados na empresa em que labora. Os danos que costumeiramente ocorrem em um incidente de segurança de dados podem ser, entre outros:
- perda de parte ou de todos os dados;
- alteração nos dados acessados;
- destruição de informação pessoal (cadastral ou confidencial);
- vazamento de informações pessoais, confidenciais ou não;
- tratamento de dados de modo irregular (ilícito ou apenas inadequado).
O principal instrumento da legislação que trata do assunto é a Lei No 13.709/2018, conhecida como Lei Geral de Proteção de Dados (LGPD). Essa lei determina que os agentes que operam com tratamento de dados pessoais precisam adotar medidas técnicas, administrativas e de segurança para proteção desses dados.
Esse cuidado deve impedir acessos não autorizados e a ocorrência de ilicitudes com vistas à destruição ou a qualquer forma de abordagem inadequada ou irregular de dados pessoais. Veja a seguir os principais incidentes de segurança de dados.
Quais são os principais incidentes de segurança?
Diversas ações, sejam de natureza acidental ou intencional, podem resultar nos danos exemplificados. Essas iniciativas ilícitas e demais procedimentos irregulares costumam ser consolidadas por meio de:
- furto de equipamentos com informações;
- vazamento de dados não tornados públicos anteriormente;
- envio de e-mails não autorizados por meio do endereço invadido;
- instalação de ferramentas não autorizadas;
- impressão não autorizada de documentos;
- utilização de pendrive de modo irregular;
- tentativas de acesso irregular;
- e-mails com finalidades de coletar informações;
- obstrução de mídia de comunicação;
- comprometimento de dados e informações.
Principais causas de incidentes de segurança de dados
De maneira geral, a prática de alguns procedimentos e a falta de outros costumam ser os responsáveis por facilitar a ocorrência de incidentes de segurança de dados. Veja os principais:
- utilização de senhas fracas;
- remessa de dados pessoais via mensagens de WhatsApp;
- não fechamento de arquivos e programas após a sua utilização;
- envio de dados por e-mail sem camada de proteção;
- falhas de processo;
- inexistência ou pouco controle para acesso;
- permissão de acesso irrestrito;
- ausência de controle de acesso de arquivo físico;
- viabilidade de inserção de códigos maliciosos;
- falha ou erro humano;
- ausência de organização e de medidas técnicas e físicas;
- falta de treinamento de equipe e capacitação dos usuários.
Como lidar com incidentes de segurança e reportá-los?
Diante da percepção de que ocorreu um incidente de segurança de dados pessoais, que medidas devem tomadas? Existem caminhos formais oficiais. Para esse fim, o Governo Federal disponibiliza para os controladores de dados pessoais a página “Comunicação de incidente de segurança“, da Autoridade Nacional de Proteção de Dados (ANPD).
Veja como proceder:
- Avaliar internamente o incidente ocorrido.
- Comunicar ao supervisor responsável.
- Comunicar ao controlador.
- Comunicar à ANPD.
- Informar aos titulares dos dados vazados.
- Elaborar relatório interno do incidente, destacando análise de riscos e medidas efetivamente tomadas.
Segundo a referida LGPD, a responsabilidade por informar à ANPD é do controlador de dados. O profissional também é responsável por manter o titular dos dados informado da ocorrência.
Também é importante deixar claro para as pessoas titulares dos dados afetados, que a ANPD disponibiliza uma página com diferentes canais de atendimento específicos para essas pessoas. Do mesmo modo, são também atendidos os agentes de tratamento de dados e outros segmentos.
Como uma boa gestão de segurança pode evitar incidentes ?
O primeiro aspecto a ser considerado é a existência de uma cultura de segurança cibernética. Esse é o ponto de partida para uma adequada gestão, sobretudo com a chegada da tecnologia 5G permitindo fluxo bem maior de dados.
Embora as empresas tenham responsabilidade legal na incidência, por exemplo, de vazamentos de dados, cada pessoa titular de dados deve cuidar para que as suscetibilidades não viabilizem incidentes. Assim, as empresas devem promover e orientar no sentido de:
- não compartilhar dados confidenciais em ambientes virtuais públicos;
- fazer uso dos mecanismos de segurança de dados das redes sociais;
- manter os equipamentos operando com programas atualizados;
- operar apenas com programas originais evitando os clandestinos;
- criar e manter um disco de recuperação;
- instalar um programa antivírus e mantê-lo sempre atualizado;
- realizar varreduras frequentes e automáticas;
- fazer uso de firewall pessoal;
- evitar o download de aplicativos em locais desconhecidos;
- avaliar a coerência das permissões;
- realizar backups regularmente e mantê-los fora da rede local;
- conduzir testes de penetração e intrusão;
- ter atenção com links diversos e com mídias removíveis.
Como você pôde ver, o incidente de segurança não ocorre aleatoriamente, mas, sobretudo, a partir das suscetibilidades permitidas, seja pela adoção de comportamentos e procedimentos frágeis, seja pela ausência de medidas que precisam ser tomadas e cuidados que devem ser providenciados. De todo modo, a partir de ocorrência de um incidente de segurança, algumas ações precisam ser averiguadas por meio de canais oficiais para esse fim.
Finalmente, é indispensável considerar as medidas preventivas que devem ser promovidas e, ao mesmo tempo, orientadas aos colaboradores. Elas constituem os primeiros passos na direção da segurança contra incidentes envolvendo dados.
Agora que você conhece os diferentes aspectos que envolvem os incidentes de segurança, veja como fazer a gestão de segurança de forma eficaz na empresa.
