Sete conselhos para uma pequena empresa não ser apanhada com a boca na botija, como o Facebook

Sete conselhos para uma pequena empresa não ser apanhada com a boca na botija, como o Facebook
 
 
O maior escândalo da história da rede social assumiu uma dimensão inimaginável. 50 milhões de perfis de pessoas foram usados indevidamente pelo Facebook, sem estas darem autorização. Além das coimas e punições, o Facebook perdeu quase 80 mil milhões de euros do seu valor de mercado!
 
E você, que é dono de um estabelecimento comercial, agência de viagens, clínica médica ou outra pequena empresa, está imune a este tipo de ameaça? Caso ela ocorra quais as consequências?
 
Já pensou quando contrata um novo funcionário, provavelmente preenche uma ficha com os dados pessoais, correto? Nome, morada, data de nascimento, estado civil, número de dependentes, número do cartão cidadão. Estas e muitas outras informações estão presentes na ficha. Depois, você envia esta ficha para o gabinete de contabilidade que processa os salários.
 
A partir do dia 25 de maio de 2018 este simples processo poderá colocar a sua empresa em grande risco. O Regulamento Geral de Proteção de Dados (RGPD) estabelece regras que qualquer empresa, de qualquer tamanho, deve cumprir relativamente à recolha e processamento de dados pessoais.
 
Um email, uma ficha de admissão, um formulário e qualquer documento dos seus clientes, pacientes, hóspedes e funcionários é considerado um dado pessoal. Se há recolha, organização, alteração transmissão ou consulta a estes documentos, a sua empresa é considerada a responsável pelo tratamento destes dados.
 
E o que muda para a sua empresa? Basicamente, deve ter procedimentos que garantam os direitos dos titulares dos dados, atendendo a novas exigências, conforme os princípios do RGPD.
 
Vamos analisar o exemplo da ficha com os dados do trabalhador. Ao preencher esta ficha, ele deve assinar um termo autorizando a sua empresa a utilizar os dados pessoais para os fins específicos de assinatura do contrato de trabalho e para o processamento dos salários. Assim, a sua empresa será considerada, para o RGPD, como a responsável pelo tratamento destes dados.
 
Ao enviar esta ficha para o seu gabinete de contabilidade que processa os salários dos seus empregados, o contabilista é considerado, para o RGPD, como um “subcontratante”. Desta forma, ele passa a ter as mesmas responsabilidade que você sobre esses dados pessoais.
 
Se você ou o seu contabilista não cumprirem os princípios básicos do RGPD, a multa poderá ser de até 4% da sua facturação anual.
 
Então, o que fazer? As mudanças são grandes e precisam ser analisadas caso a caso. Mas, vou colocar aqui algumas ações gerais importantes e urgentes para você e seu contabilista não pagarem multas. Lembre-se o RGPD vale para dados digitais ou em papel!
 
1 -Reveja os seus contratos de serviços que envolvem troca de dados pessoais. Nestes contratos deixe expressa a autorização de uso dos dados, as finalidades, os prazos e as responsabilidades.
 
2 – Reveja também os formulários da sua empresa. Seja de trabalhadores, clientes ou fornecedores. Para todos os documentos que contenham dados pessoais, o titular dos dados deve autorizar expressamente o seu uso. Não recolha dados desnecessários. Limite as informações recolhidas ao mínimo necessário.
 
3 – Evite utilizar emails para troca de dados pessoais, mesmo com seu contabilista. A menos que você utilize criptografia (o que é raro e complicado), o email é inseguro. Não garante confidencialidade e nem a integridade (o email pode ser manipulado). Evite também guardar os documentos em papel. Afinal, garantir confidencialidade de documentos em papel não é nada fácil, não é? O papel ainda tem um outro problema: garantir a rastreabilidade, ou seja, saber quem (e quando) acedeu, alterou ou eliminou o documento.
 
4 – Use um único sistema de arquivo digital para guardar todos os documentos. Se o titular dos dados pessoais solicitar, por exemplo, o direito ao “esquecimento”, você terá que apagar as informações dele em todos os dispositivos: computadores, telemóveis, arquivos em papel, ficheiros, etc. Lembre-se este sistema de arquivo digital precisa garantir segurança, confidencialidade, integridade, disponibilidade e rastreabilidade dos dados. E não o pode deixar a ver navios nos momentos importantes!
 
5 – Cuidado com os backups. Faça cópias em tempo real destes documentos digitais. E, guarde estas cópias em locais diferentes e seguros. Perder dados pessoais é tão grave como deixar que eles caiam em mãos de pessoas não autorizadas.
 
6 – Use sistemas seguros, de empresas que você confia e que tenham muita experiência em gestão documental. Isto irá ajudá-lo a manter os dados seguros, disponíveis e íntegros, sem que eles sejam acessados por terceiros não autorizados. E mais: com isto você irá dividir a responsabilidade sobre o RGPD com a empresa de gestão documental. É quase que um seguro contra multas.
 
 
 
Fonte: O Autor (Autor: Roberto Dias Duarte)
As matérias aqui apresentadas são retiradas da fonte acima citada, cabendo à ela o crédito pela mesma

Soberania e privacidade de dados – como preparar sua empresa?

Soberania e privacidade de dados – como preparar sua empresa?
 
Os dados estão se tornando rapidamente uma mercadoria, sem a qual não podemos prosperar. Estão no centro de tudo o que fazemos, são o combustível para as economias digitais e, por fim, representam um ativo valioso a ser protegido e buscado.
 
A perda significativa de dados não apenas prejudica a reputação corporativa, como também pode resultar em perdas financeiras consideráveis para companhias que operam em regiões com regulação rígida. Além disso, as Regras de Safe Harbor de outubro de 2015 fizeram com que as normas de privacidade de dados ficassem ainda mais em evidência. Uma nova proposta elaborada por políticos dos Estados Unidos e do Reino Unido quer apresentar uma nova estrutura global para a transferência de dados.
 
Isso certamente influenciará outras regiões que estão em processo de revisão das leis de privacidade de dados, como o Brasil, onde a definição de uma Lei de Proteção a Dados Pessoais é discutida desde 2010. Após processos de consulta pública que receberam mais de 1,5 mil comentários, o Ministério da Justiça apresentou, no final de outubro de 2015, o Anteprojeto de Lei que deve ser submetido ao Congresso.
 
 
A preparação das empresas
 
A construção de uma infraestrutura robusta de segurança cibernética, de uma cultura de conscientização e da conformidade com as novas normas de privacidade de dados não pode ser uma reflexão tardia ou uma “prisão” para as empresas. Essa ideia precisa estar incorporada nas operações e na própria dinâmica das organizações.
 
Mas, será que as empresas estão adotando as medidas adequadas necessárias para proteger os dados corporativos e dos clientes? Se não estiverem, o que está obstruindo o caminho?
 
Para entender o impacto da evolução das regulamentações de privacidade e soberania de dados, a Ovum Consulting conduziu, no terceiro trimestre de 2015, uma pesquisa internacional com 366 tomadores de decisão em TI. De forma alarmante, muitas organizações não estão tirando proveito das tecnologias disponíveis para proteção de dados sensíveis: apenas 44% dos entrevistados monitoram as atividades do usuário e fornecem alertas para violações de políticas de dados, enquanto apenas 53% classificam as informações para alinhamento com controles de acesso.
 
Além disso, quase metade (47%) não tem políticas ou controles que regulam o acesso ao armazenamento em nuvem e ou sistemas de compartilhamento de arquivos de nível consumidor, como o Dropbox.
 
Nessa perspectiva, a recomendação é de que – mesmo antes da definição dos marcos legais – as corporações padronizem sua distribuição de dados e a contratação de serviços em cloud, conforme as tendências de regulações nacionais ou regionais. Estabelecer uma estratégia para soberania e privacidade de dados e identificar riscos na organização, assim como incluir pessoas, departamento jurídico e questões de tecnologia na análise dos efeitos relacionados ao assunto são outras dicas relevantes para a preparação das empresas ante o cenário desafiador que se apresenta.
 
O assunto ainda é nebuloso, mas já existem empresas provedoras de software reconhecidamente aptas a lidar com a questão e ajudar as corporações a gerenciar com responsabilidade seus dados sensíveis.
 
Fonte: Administradores (Autor: Ricardo Fernandes)
As matérias aqui apresentadas são retiradas da fonte acima citada, cabendo à ela o crédito pela mesma

Como criar uma cultura de melhora contínua da segurança?

Os recentes ataques às redes das empresas de saúde Anthem e na Premera Blue Cross são os estudos de caso mais recentes que demonstram a convergência necessária de TI com as operações de segurança. Esse é um dos exemplos que os profissionais de segurança deveriam divulgar para mostrar o que pode acontecer com uma rede.

A equipe de operações de rede pode ser o melhor recurso do departamento de segurança, pois é ela que vai ajudar a entender melhor as operações de segurança de uma empresa, algo que as soluções tradicionais de segurança e práticas recomendadas não conseguem oferecer sozinhas. Conseguir entender o que é uma atividade “normal” da rede é fundamental para a identificação rápida de atividades suspeitas que apontam para um invasor malicioso, de dentro ou de fora da empresa, ou causadas por erro de um funcionário inocente que acabou resultando em roubo, perda ou vazamento de dados.

Preencher o hiato entre o Centro de Operações da Rede (NOC) e o Centro das Operações de Segurança (SOC) não é só um desafio em termos de tecnologia, mas também organizacional. Para promover essa colaboração é preciso: eliminar os silos que separam os sistemas e o pessoal, criar equipes comuns de resposta a emergências compostas por pessoal da área de operações de rede e de segurança e implantar um plano a longo prazo para aprimoramento constante dos processos e treinamento.

Em um organograma típico de TI, o departamento de operações de rede é responsável por garantir o desempenho do sistema e a disponibilidade das informações, enquanto o de segurança das informações protege os sistemas e grupos de informações contra ameaças. Entretanto, a série de brechas/ameaças sofisticadas contra grandes empresas nas áreas de Varejo, Serviços Financeiros e Saúde, no ano passado, mostram que haverá uma mudança.

Na maioria dos casos, as empresas nem percebem que foram invadidas até que um terceiro avise. A própria Anthem descobriu a invasão quando um administrador de banco de dados notou que alguém havia iniciado uma consulta usando a sua conta. Mas o invasor já havia passado seis meses em silêncio roubando informações.

O mais importante para qualquer empresa é a necessidade de avaliar sua habilidade de detectar atividades na rede que possam indicar violação de dados. Essa capacidade é reduzida pelo fato de que as operações de segurança e da rede normalmente acontecem em silos. Isso significa que a vulnerabilidades de segurança precisam ser tratadas duas vezes: uma pela equipe do SOC e depois pela equipe do NOC, que não consegue identificar a ameaça. Além disso, a maioria dos sistemas e aplicativos opera dentro dos seus silos e não se comunica entre si. Por esse motivo, TI não consegue agilizar e automatizar o compartilhamento de informações nem correlacionar os eventos entre as vulnerabilidades de segurança e os problemas de desempenho.

O primeiro passo para superar esse obstáculo organizacional é reconhecer o valor da equipe de rede nas operações de segurança. Eles têm visibilidade e acesso a dados forenses que simplesmente não existem em outras partes de uma empresa. Uma vez que a liderança reconheça isso, é só começar a utilizar as ferramentas e processos para integrar os recursos da rede aos processos de segurança. Parece simples, mas é muito importante entender claramente o que é uma situação normal para impedir atividade potencialmente nociva na sua rede.

As equipes de segurança devem trabalhar para usar os investimentos da equipe de rede em agentes de captura de pacotes, analisadores de pacotes, origens de fluxo de rede e monitoramento do desempenho de profunda inspeção de pacotes. Normalmente eles podem ser bem integrados em um sistema de Gerenciamento de Eventos de Incidentes de Segurança (SIEM) para visibilidade com alta fidelidade e rápida visualização de problemas para uso forense.

A brecha na Premera serve como aviso para os profissionais de segurança da informação, que unindo forças com a equipe de rede, não se descuidem da necessidade de continuar com a tradicional diligência devida. A Premera não instalou os patches de segurança mais recentes, deixando assim a porta aberta para os invasores.

Uma Mudança de Cultura

Com o objetivo de promover a colaboração, as funções e responsabilidades devem ser claras dentro das equipes do NOC e SOC, com o devido suporte de apoios ativos. No entanto, não basta apenas documentar, você tem que usá-los, analisar os principais pontos fracos e melhorá-los sempre. As equipes conjuntas de resposta a emergências possibilitam maior visualização, maior conhecimento do ambiente, coleta mais rápida de dados, análise mais detalhada e, obviamente uma postura mais sólida com relação à segurança das informações. Identifique e indique um líder forte que consiga comandar mesmo as equipes e moldá-las como um grupo coeso, comprometido com a melhoria contínua e não só com a conformidade.

*João Paulo Albuquerque Melo é gerente geral da Riverbed do Brasil

Fonte: http://computerworld.com.br/
As matérias aqui apresentadas são retiradas da fonte acima citada, cabendo à ela o crédito pela mesma.