Segurança da Informação

Nos dois casos, organizações que não cumprirem regras estarão sujeitas a multas que podem comprometer a saúde dos negócios

O Regulamento Geral de Proteção de Dados (GDPR) da União Europeia entrou em vigor no dia 25 de maio de 2018, exigindo que empresas sediadas e que atuam na União Europeia cumpram determinadas exigências sobre o uso de dados de terceiros.

Outros países adotaram uma abordagem semelhante à proteção de dados, e o Brasil adotou uma lei que rege a forma como as organizações coletam, usam e compartilham os dados de clientes. A Lei Geral de Proteção de Dados (LGPD) entrará em vigor em agosto de 2020, o que significa que as empresas terão pouco mais de um ano para garantir a conformidade com os requisitos relacionados ao processamento e administração de dados pessoais e sensíveis.

A LGPD se aplica a qualquer pessoa ou organização, quer pública ou privada, envolvida em atividades que coletem dados pessoais que sejam conduzidas no Brasil, ou com a finalidade de oferecer e/ou fornecer bens e serviços no País.

A regulamentação brasileira sobre proteção de dados tem alcance extraterritorial e será aplicada a empresas multinacionais que atendam a esses critérios, independentemente de onde a empresa esteja sediada.

De acordo com a LGPD, os dados pessoais podem ser coletados e usados com o mesmo objetivo pelos quais os dados foram originalmente coletados ou postados, que não requer o consentimento duplo da pessoa (informações de interesse público) ou para um propósito diferente, mas somente se o controlador dos dados tiver identificado uma base legal válida para uso (proteção da vida ou exigência legal e/ou regulatória).

Os pontos em comum e as distinções

Assim como o GDPR, o novo regulamento de proteção de dados do Brasil dispõe sobre a definição de dados pessoais para incluir todas as informações relacionadas a uma pessoa identificável e inclui restrições especiais relacionadas ao processamento de dados pessoais confidenciais, incluindo gênero, etnia, religião e biometria, apenas para citar alguns. No entanto, a LGPD inclui algumas distinções do regulamento de proteção de dados da UE.

Ao contrário do GDPR, na LGPD alguns dados confidenciais podem ser considerados "dados pessoais" em circunstâncias anormais quando usados para criação de perfil. Geralmente este tipo de dado está isento dos requisitos do regulamento. No entanto, o Artigo 12 estabelece que eles possam ser considerados “dados pessoais” quando é usado para melhorar, desenvolver ou, de outra forma, criar perfis comportamentais sobre indivíduos. Da mesma forma, a LGPD não fornece incentivos amplos para os dados “pseudoanonimizados”, que é o processo de separar os dados dos identificadores diretos para dificultar o processo de reidentificação dos indivíduos.

Para o GDPR, as empresas sediadas ou atuando na União Europeia tinham dois anos para se preparar, já as empresas no Brasil têm pouco mais de um ano e meio, desde a aprovação da lei até a sua entrada em vigor, para garantir a conformidade com os seus requisitos. Mas o mais importante é que a lei brasileira é menos descritiva e não contém uma introdução explicativa com diretrizes para interpretação da norma legal, o que poderia tornar a implementação da regulamentação uma tarefa ainda mais desafiadora.

As organizações que não cumprirem com a LGPD também poderão estar sujeitas a multas de quase US$ 12 milhões, ou até dois por cento da receita bruta da empresa no Brasil no exercício anterior, o que for maior, por cada violação. Comparativamente, se as empresas não cumprirem o GDPR, poderão receber multas de até 4% do faturamento global anual ou 20 milhões de euros - o que for maior.

Após um ano de GDPR, foram aplicadas cerca de €56 milhões em penalidades e mais de 64 mil notificações de vazamentos, sendo 280 dos casos fora da UE. Ao mesmo tempo, são mais de 375 mil empresas com registro formal de um Data Protection Officer (DPO) e mais de 500 mil com o planejamento em registrar um profissional responsável pelos dados.

Como as empresas globais podem defender a adoção dos regulamentos de proteção de dados?

As violações de dados tornaram-se comuns nos noticiários, com empresas de alto padrão, incluindo Marriott, British Airways e Amazon sendo vítimas de ataques cibernéticos, resultando na exposição de informações pessoais de milhares, ou até mesmo milhões, de clientes. A função dos regulamentos após as consequências de tais casos é crucial. Historicamente, as empresas esperaram meses, até anos, para divulgar uma violação de dados a seus clientes. Mas com o GDPR da UE, as empresas precisam informar seus clientes dentro de 72 horas. Caso contrário, eles poderão enfrentar possíveis multas severas.

As empresas acima mencionadas atuam no mundo todo, portanto é essencial que elas sejam criteriosas e responsáveis com o uso, a coleta e o compartilhamento dos diversos dados de seus clientes. Sua presença global pode ser um grande trunfo, e estas mesmas empresas podem defender a adoção mundial de regulamentações de proteção e privacidade de dados.

*Michele Ischiara é General Counsel para América Latina da Thales

Detecção e mitigação de ameaças estão mais difíceis.

Um quarto das empresas relata aumento de prejuízos financeiros causados por violaçõesAo longo do ano passado, em todo o mundo, as equipes de TI assistiram, horrorizadas, a uma sequência de violações de segurança corporativa divulgadas pela mídia. Mas as manchetes que revelam apenas uma fração do que realmente ocorreu. O uso da tecnologia digital se expande a cada dia, assim como o número de criminosos cibernéticos à espreita na “Darknet”, que estão prontos e dispostos a tirar proveito de quaisquer pontos fracos na tecnologia que forem capazes de detectar. Como resultado, conforme destacado na Pesquisa do Estado do Cibercrime dos EUA de 2018, organizações de todos os tipos e tamanhos sofreram um ataque cibernético que levaram a prejuízos bilionários.

Essas tendências indesejáveis estão pressionando mais e mais empresas a levar a segurança da TI mais a sério, o que é bom. Mas os problemas ainda permanecem no fronte da governança.

A detecção de ameaças está mais difícil

Embora mais tempo e recursos são a direcionados à segurança do que nunca, muitas organizações enfrentam dificuldades em controlar o cenário de ameaças em constante evolução. De fato, aproximadamente um quarto (23%) das empresas pesquisadas relataram maiores perdas financeiras do que no ano anterior decorrentes de ataques virtuais.

Uma das desvantagens da explosão do digital no ambiente de trabalho é que ela expande o terreno de caça para os criminosos. Quanto mais dispositivos conectados a uma rede corporativa - e em algumas organizações que já têm em andamento casos de uso de IoT, podem existir centenas de milhares ou milhões de endpoints -, maiores são as possibilidades para os criminosos encontrarem o caminho. Para agravar o cenário, cada vez mais o mercado exige maiores conexões - entre empresas e clientes, entre parceiros e fornecedores. Mas no ambiente digital atual, maior acessibilidade é praticamente sinônimo de maior superfície de ataque.

O cenário de infraestrutura mais diversificado também introduz outra armadilha: dificulta a detecção de violações. Em 2016, o tempo entre a intrusão e a detecção de um ataque foi de 80,6 dias. Um ano depois, 92,2 dias e, no ano passado, 108,5 dias. Isso também sugere que os cibercriminosos estão se tornando mais sofisticados e lançando ataques mais complexos.

Fortalecendo estruturas regulatórias

O resultado de tudo isso é que os incidentes de segurança têm um impacto maior nos negócios do que nunca. Independentemente de uma violação expor um armazenamento massivo de dados de PII ou de um ataque DDoS cessar uma empresa por horas ou dias, não é apenas o bottom line que sofre um golpe. O mesmo acontece com a marca e a reputação da empresa - duas palavras que ressoam em voz alta entre clientes e acionistas, sem mencionar outras partes interessadas da empresa, como parceiros e fornecedores.

Sob essa luz, é perfeitamente compreensível que os marcos regulatórios estejam sendo revisitados e reescritos. Depois de um ataque cibernético bem-sucedido, cerca de 84% dos entrevistados da pesquisa tiveram que notificar indivíduos; órgãos reguladores; empresas afetadas; ou o governo. Em 2017, esse número foi de apenas 31%.

Diretores estão ouvindo sobre segurança

De acordo com o relatório, aproximadamente 58% das empresas afirmam que seus principais executivos de segurança informam seus conselhos de administração sobre questões cibernéticas pelo menos trimestralmente. O número de companhias que não mantêm suas diretorias no ciclo de segurança diminuiu de 29% em 2017 para 19% em 2018.

Embora houve algum progresso inquestionável, muito mais ainda pode ser feito - e, de acordo com o levantamento, parece que o C-level é o lugar para se começar. Os entrevistados da pesquisa disseram que, de todos os grupos que precisavam de mais educação e treinamento em segurança, os executivos de nível mais alto foram citados por 55%.

Outra área que precisa de melhorias é a prevenção básica de segurança. A pesquisa constatou que, enquanto 66% das organizações estão mais preocupadas com ataques cibernéticos do que no ano anterior, muitas ainda estão aquém de contemplar medidas preventivas ou pós-ataque. Apenas 65% delas têm um plano formal de resposta a incidentes e, dos que o fazem, apenas 44% testam pelo menos uma vez por ano. O perigo aqui é óbvio: quando um ataque acontece e uma resposta precisa ser coordenada na hora, tudo fica mais complicado, e há mais chances das coisas darem errado.

Enfrentando questões de governança

A porcentagem de executivos de segurança que se reportam diretamente ao CEO caiu de 35% em 2017 para 28% no ano passado. Enquanto isso, a porcentagem de CISOs (Chief Information Security Officer) que respondem ao CIO aumentou de 16% em 2017 para 25% em 2018. Do ponto de vista de governança corporativa, isso pode parecer um avanço. Mas é isso mesmo? Ou há conflitos de interesse entre esses reinos?

Frequentemente, quando as companhias adotam um novo app, plataforma ou serviço digital, é compreensível que elas desejam implantar tudo o mais rápido possível. Elas podem ter investido consideravelmente no novo serviço e querem colocá-lo em prática para que possam alcançar o retorno desse investimento. Mas às vezes, na pressa da empresa em lançar, análises de segurança e vulnerabilidades são perdidas no processo, ou pelo menos minimizadas - o que pode voltar a assombrar a organização no caso de uma violação que poderia ter sido evitada.

Para reduzir riscos como esse, e fortalecer a governança a longo prazo, as organizações devem considerar a importância de capacitar seus CISOs e de fazer com que eles se reportem diretamente ao CRO (Chief Risk Officer), ao CEO ou à diretoria. Se isso falhar, os dedos continuarão sempre a ser apontados para o CIO. Mas a verdadeira questão a ser considerada não é quem culpar pelas consequências. E, sim, como evitar que um incidente de segurança aconteça, em primeiro lugar.