A importância da Segurança da Informação e os impactos da LGPD

A importância da
Segurança da Informação
e os impactos da LGPD
Eliézer Zarpelão

Eliézer Zarpelão
Co-Fundador e Arquiteto de Software - ZarpSystem
Professor – UNAERP
Embaixador – Google Developer Group Campinas
Mestrado - IC / Unicamp (em curso)
Especialização em Eng. de Software - IC / Unicamp
Graduação em Sistemas de Informação - ICMC / USP
Técnico em Informática - COTUCA / Unicamp

Qual foi a última
vez que você trocou
a senha do seu e-
mail?

95% dos brasileiros
usam senhas fracas
para proteção de dados.

Estamos seguros
#sqn
23% Seu nome ou o nome de alguém da família
14% Seu aniversário
9% Palavras relacionadas ao seu hobby
8% O nome do seu animal de estimação
6% O nome do seu livro ou filme favorito
5% Nomes de celebridades
4% O nome do site, no qual usa a senha
3% Dados do endereço residencial
Fonte: Pesquisa AVAST

10 senhas + usadas
123456
123456789
111111
password
qwerty
abc123
12345678
password1
1234567
123123
Fonte: https://github.com/danielmiessler/SecLists/

O que é Segurança
da Informação?

DICS
Conhecimento
Idéia
Interpretação
Dado
Palavra
Imagem
Número
Informação
Organização
Processamento
Sabedoria
Aplicação
Contexto

Os prejuízos por
incidentes envolvendo
informações podem ser
incalculáveis e até
decretar o fim de
uma organização.

Você nunca verá
Roberto Carlos de bermuda
Cabeça de bacalhau
Entrevistado do Ibope
Sistema 100% seguro

A importância da Segurança da Informação e os impactos da LGPD

Princípios da Segurança da Informação
- Confidencialidade
- Integridade
- Disponibilidade
- Autenticidade
- Irretratabilidade

Confidencialidade
É uma característica da
informação que diz respeito ao
direito de acesso.
Garantir que a informação esteja
acessível apenas para pessoas/
organizações que tenham
permissão de acesso,
prevenindo, assim, revelação
não autorizada.

Integridade
É uma característica da
informação que diz respeito à
sua exatidão.
Garantir que a informação seja
alterada somente por pessoas
autorizadas e em situações que
efetivamente demandem a
alteração legítima.

Autenticidade
Diz respeito à certeza da
origem da informação.
Garantir que a informação
provem da fonte anunciada e
que não foi alvo de mutação ao
longo de sua transmissão

Irretratabilidade
Diz respeito à garantia de que o
autor de determinada ação não
possa negar tal ação.
Garantir meios que identifique
inequivocamente o autor de uma
ação.

Disponibilidade
Garantir que a informação esteja
disponível, sempre que
necessário, aos usuários e/ou
sistemas associados que tenham
direito de acesso a ela.

Como podemos garantir a
segurança da informação?
(ou no mínimo mitigar os riscos)

Criptografia
Arte de escrever mensagens em
forma cifrada
Conjunto de regras que visa
codificar a informação de forma
que só o emissor e o receptor
consiga decifrá-la
[x] Confidencialidade
[x] Integridade
[ ] Disponibilidade
[x] Autenticidade
[x] Irretratabilidade

Tipos de Chaves
Simétricas
A mesma chave é utilizada tanto
pelo emissor quanto por quem
recebe a informação.
Não é recomendado uso para
informações sensíveis
Assimétricas
Uma chave privada e outra pública.
Pública: chave de codificação e
enviada a quem for lhe mandar
informações.
Privada: chave secreta para a
decodificação.

E no Brasil?
O que se tem feito pela
proteção de nossos dados?

Lei Geral de
Proteção de
Dados
Pessoais
http://www.planalto.gov.br/ccivil_
03/_ato2015-2018/2018/lei/
L13709.htm

Principais pontos da LGPD
- Aplicada a todos os setores da economia;
- Possui aplicação extraterritorial, ou seja, toda empresa que tiver
negócios no país deve se adequar a ela;
- Necessário o consentimento do usuário para coletar informações
pessoais;
- Os titulares podem retificar, cancelar ou até solicitar a exclusão
desses dados;
- Criação da Autoridade Nacional de Proteção aos Dados (ANPD);
- Notificação obrigatória de qualquer incidente;
- Inspirada na GDPR (UE)

http://www.telesintese.com.br/facebook-paga-a-maior-multa-ja-registrada-por-violacao-de-dados-pessoais/

Dados pessoais
Qualquer informação
relacionada a pessoa natural
identificada ou identificável

Dados
Pessoais
Sensíveis
Opinião
Política
Dado
referente à
saúde ou à
vida sexual
Filiação a sindicato
ou a organização
de caráter religioso,
filosófico ou político
Convicção
Religiosa
Origem
Étnica
Dados
Biomédicos
Dados
genéticos
Origem
Racial

Papéis na LGPD
- Titular
- Autoridade Nacional de Proteção de Dados (ANPD)
- Controlador
- Operador
- Encarregado de Proteção de Dados

Titular
Pessoa natural a quem se
referem os dados pessoais que
são objeto de tratamento.

Autoridade Nacional
de Proteção de Dados
●
Órgão Federal
●
Zelar pela proteção dos dados pessoais
●
Elaborar diretrizes para a Política
Nacional de Proteção de Dados Pessoais
e da Privacidade
●
Aplicar sanções em caso de tratamento
de dados feito de forma ilegítima.

Controlador
Pessoa natural ou jurídica, de
direito público ou privado, a
quem competem as decisões
referentes ao tratamento de
dados pessoais.
Conhecimentos em Segurança
da informação, tecnologia e
compliance.

Operador
Pessoa natural ou jurídica, de
direito público ou privado, que
realiza o tratamento de dados
pessoais em nome do
controlador.

Encarregado de
Proteção de Dados
Pessoa indicada pelo controlador
e operador para atuar como
canal de comunicação entre o
controlador, os titulares dos
dados e a Autoridade Nacional
de Proteção de Dados (ANPD);
Data Protection Officer

https://www.infranewstelecom.com.br/controlador-operador-encarregado-quem-e-quem-na-lgpd/

https://www.xpositum.com.br/ciclo-de-vida-dos-dados-e-lgp
Ciclo de vida
dos dados

O que a LGPD entende por
tratamento de dados?

●
Coleta
●
Produção
●
Recepção
●
Classificação
●
Utilização
●
Acesso
●
Reprodução
●
Transmissão
●
Distribuição
●
Processamento
●
Arquivamento
●
Armazenamento
●
Eliminação
●
Avaliação ou controle da informação
●
Modificação
●
Comunicação
●
Transferência
●
Difusão
●
Extração
Tratamento de Dados

10 PRINCÍPIOS DO TRATAMENTO DE DADOS – Art 7º
Finalidade
Transparência
Adequação
Segurança
Necessidade
Prevenção
Livre Acesso
Não
Discriminação
Qualidade
dos
dados
Responsabilização
e
Prestação de
Contas

Incidentes de Segurança
(Data Breach)
Quando comunicar?
- Incidente de segurança que possa acarretar
risco ou dano relevante aos Titulares
- Em prazo razoável
- À ANPD e aos titulares afetados
Conteúdo mínimo da comunicação:
- Descrição da natureza dos dados
- Informações sobre os titulares envolvidos
- Medidas técnicas e de segurança de
proteção adotadas
- Riscos relacionados ao incidente
- Motivo da demora caso comunicação não
imediata
- Medidas adotadas para reverter ou mitigar

Sanções
I - advertência, com indicação de prazo para
adoção de medidas corretivas;
II - multa simples, de até 2% (dois por cento) do
faturamento da pessoa jurídica de direito privado,
grupo ou conglomerado no Brasil no seu último
exercício, excluídos os tributos, limitada, no total,
a R$ 50.000.000,00 (cinquenta milhões de reais)
por infração;
III - multa diária, observado o limite total a que se
refere o inciso II;
IV - publicização da infração após
devidamente apurada e confirmada a sua
ocorrência;
V - bloqueio dos dados pessoais a que se refere a
infração até a sua regularização;
VI - eliminação dos dados pessoais a que se refere
a infração;
https://idec.org.br/noticia/veja-10-coisas-que-mudarao-na-sua-vida-com-lei-de-dados-pessoais

●
O fim dos “termos de uso que
ninguém lê”
●
Mais controle do usuário sobre
seus próprios dados
●
Mais controle sobre como
farmácias usam seu CPF e dados
de saúde
●
Mecanismos claros em caso de
vazamentos de dados pessoais
●
Suas emoções não poderão ser
coletadas e vendidas em
espaços abertos
●
Portabilidade de dados pessoais
●
Condomínios residenciais precisarão
discutir sobre reconhecimento da digital
para controlar a entrada no prédio
●
Sem obscuridades: os consumidores
terão livre acesso a sua pontuação de
crédito, como ela foi calculada e quais
dados foram utilizados
●
Fim da bonança dos testes de internet
●
Diferenciação de preços em compra
online somente com consentimento do
consumidor
O que muda na sua vida?
https://idec.org.br/noticia/veja-10-coisas-que-mudarao-na-sua-vida-com-lei-de-dados-pessoais

O que muda na sua vida
[+T.I.]
Códigos carregam propostas políticas
- Estabelecem permissões e restrições
- Logo regulam o [ciber]espaço
Privacy by Design (PbD)
- Construir a cultura protetiva à privacidade no
desenho dos produtos
- Ex: é adequado que aplicativos de lanterna
coletem dados de geolocalização?

Machine Learning
Atualizar seus termos de uso
- Deixar claro para o usuário o tipo de
informação a ser coletada dele, bem como a
finalidade desse uso
Anonimizar os dados obtidos dos usuários
- Dado deixa de ser Pessoal
Utilização de bases de dados públicas
Atenção com troca de dados entre
empresas e parceiras

L G P D
FATO ou FAKE???
 A Lei Geral de Proteção de Dados não terá eficácia real
 FAKE! ANPD irá zelar pelo cumprimento da lei
 A Lei Geral de Proteção de Dados revogará as outras normas
envolvendo proteção de dados em vigor no Brasil
 FAKE! Continuam valendo Marco Civil da Internet, a Lei do Cadastro Positivo, o Código de
Defesa do Consumidor, dentre outras.
 A LGDP abrange somente os dados de pessoas naturais
 FATO!
 A LGPD somente protege os dados pessoais que circulam no meio
digital
 FAKE! Visa a proteção tantos dos dados mantidos em meios físicos quanto digitais
https://www.marinho.adv.br/post/29-10-mitos-e-verdades-sobre-a-lei-geral-de-protecao-de-dados

L G P D
 A implementação desta lei na minha empresa será simples e rápida
 FAKE ^ 1024
 Em caso de incidentes envolvendo dados pessoais, as únicas
penalidades que posso receber são as administrativas
 FAKE! Também poderão ser alvos de ações judiciais demandadas pelos titulares dos
dados pessoais, em razão de possíveis danos morais ou materiais sofridos
 Advertências e multa de até 2% do faturamento da pessoa jurídica,
limitada a R$ 50 milhões por infração, são algumas das sanções
administrativas que a Autoridade nacional poderá aplicar em caso
de descumprimento dos dispositivos da lei
 FATO!
FATO ou FAKE???

L G P D
 Na Europa, diversas multas já foram aplicadas pelo fato das
empresas não estarem em compliance com a lei
 FATO!
 Minha empresa é de pequeno porte e por este motivo não
preciso me adequar
 FAKE! Não importa o porte da empresa! Agravante: Afetará compartilhamento de
dados
 Um documento afirmando que a organização está em
compliance com a LGPD será suficiente para afastar qualquer
penalidade decorrente da sua violação
 FAKE! Mudança de cultura + Engajamento!
FATO ou FAKE???

Mantenha-se
informado!!!
@podcastdt – Direito e Tecnologia
https://podtail.com/pt-BR/podcast/direito-e-tecnologia/
Escola Virtual
https://www.escolavirtual.gov.br
Centro de Estudos, Resposta e
Tratamento de Incidentes de
Segurança no Brasil (CERT.br)
https://www.cert.br/

Obrigado!!!!
ezarpelao@unaerp.br
eliezer.zarpelao@gmail.com
https://www.linkedin.com/in/eliezerzarpelao/

A importância da Segurança da Informação e os impactos da LGPD

Mais conteúdo relacionado

Mais procurados (20)

Semelhante a A importância da Segurança da Informação e os impactos da LGPD (20)

Último (12)

A importância da Segurança da Informação e os impactos da LGPD