Blog da ESR

Muito se fala sobre a necessidade da segurança da informação, mas quão preparado você se sente para executar a sua gestão de risco? Se esse ainda é um tópico sensível dentre as suas habilidades profissionais, este artigo pode representar uma mudança de chave.  Ao longo do texto vamos te mostrar, de forma prática, como executar a gestão de riscos de segurança da informação na sua empresa e garantir que ela não sofra desvantagens ou prejuízo. Fique conosco.  A importância da segurança da informação  Embora esse assunto pareça clichê, é sempre bom ratificar que a segurança da informação é uma das principais demandas da tecnologia dos últimos anos.  Afinal, não só a quantidade de conteúdo em rede cresce exponencialmente, como o entendimento do usuário sobre a nuvem tem amadurecido.  Além disso, o surgimento de legislações que padronizam o tratamento dos dados pessoais, bem como os sofisticados cibercrimes, que se espalham cada vez mais, complementam a equação que coloca a segurança da informação como um das áreas de atuação mais do que necessárias para o profissional de TI nos dias de hoje. Ou seja, o universo digital requer mais segurança e seus agentes estão mais conscientes dos seus limites e possibilidades.  Assegurar que a sua empresa tenha uma segurança da informação robusta é se desvencilhar de crises futuras.  Este cenário é comprovado por meio da pesquisa Global Digital Trust Insights Survey 2022, que identificou que o investimento em segurança cibernética está no radar de muitas organizações.  Segundo o estudo, 83% de empresas brasileiras informaram desejo por aumentar os gastos nessa área, sendo que:  36% dos negócios brasileiros que compuseram a pesquisa pensam em crescer seu orçamento, para essa área, entre 6 e 10%; Já 33% deles indicam um aporte de 15% ou mais.  Como executar uma gestão de riscos em segurança da informação? O termo “gestão de riscos” pode ser aplicado em diversas áreas dos negócios, pois todas elas necessitam de uma estratégia de recuperação em caso de incidentes.  É disso que se trata uma gestão de riscos – identificar, mapear e observar possíveis pontos falhos para um produto, serviço ou negócio e, diante disso, elaborar maneiras factíveis, rentáveis e de fácil execução para desviar a empresa desses obstáculos.  Na perspectiva da TI, a Gestão de Riscos (NBR 31.000) engloba ou tangencia não só a Gestão da Segurança da Informação (NBR 27.001, NBR 27.002, NBR 27.005 e NBR 27.701), como a Gestão de TI e a Gestão da Continuidade do Negócio (NBR 22.301 e ABNT NBR ISO 22.313).  Observa-se neste contexto a importância do entendimento acerca das normas e suas atualizações.  A exemplo disso, a 27002:2022 possui diversas transformações comparada a 27002:13, como você pode observar respectivamente abaixo:  27002:2022 – relaciona-se com: Segurança da informação, cibersegurança e proteção de privacidade – Informações controles de segurança. 27002:2013 – relaciona-se com: Tecnologia da informação – Segurança técnicas – Código de prática para controles de segurança da informação Neste link você fica por dentro das principais atualizações e modificações vistas nas normatizações, em um webinar original ESR.. Para executar uma boa gestão de risco, seja em qualquer de suas temáticas elencadas acima, você deve dominar também o que cada norma prevê.  Dando enfoque para a segurança da informação, existem ainda algumas especificidades importantes dentro deste cenário que devem fazer parte da sua rotina de gestão de risco.  Um deles é que  enquanto a norma NBR 31.000 trata-se de uma visão geral de risco, incluída a visão corporativa, a norma NBR 27.005 apresenta-se como uma “especialização” do risco para o contexto de segurança da informação. Confira os demais pontos: 1) Entendimento sobre o que é gestão de riscos para segurança da informação  Nesse contexto, a gestão de risco é parte integrante da dimensão do processo corporativo de segurança da informação e serve para prever a ocorrência de ameaças que sejam capazes de interferir no bom funcionamento e utilização dos recursos de informação das empresas.  Dessa forma, o principal objetivo da gestão de risco da segurança da informação é permitir que a organização desempenhe seu planejamento e objetivos sem que que os perigos encontrados na rede os atinjam.  Tudo isso tendo um postulado teórico bem desenvolvido. 2) Atenção para as normas  O profissional de TI responsável pela gestão de risco da segurança da informação deve redobrar a atenção para a Norma ABNT NBR ISO/IEC 27005:2019 – Tecnologia de segurança – Técnicas de segurança – Gestão de riscos em segurança da informação. Ela contém os principais pontos a serem observados nessa prática, além de conceitos e estruturas fundamentais para o conhecimento desta área.  3) Profissionais capacitados  Por se tratar de uma área tão essencial, a gestão de risco da segurança da informação requer um time de execução qualificado e que saiba exatamente o que está fazendo.  Para isso, é importante – caso você seja o líder da equipe, garantir que os envolvidos estejam cientes de todas as etapas desse processo.  Além disso, uma das formas mais assertivas de assegurar a capacitação do time é por meio de treinamentos referência no mercado, como é o caso da ESR. No curso Gestão de Riscos de Segurança da Informação e Privacidade (EaD), da Escola Superior de Redes, os integrantes participam de 40 horas de atividades, com 10 encontros online, para desenvolverem a capacidade de propor controles de segurança da informação para tratar e mitigar os riscos nas organizações.  Há também o aprendizado sobre como identificar ameaças, vulnerabilidades e riscos associados à segurança da informação e sobre como aplicar a metodologia de gestão e análise de riscos da norma NBR 27005 nas organizações. O calendário de turmas está sempre atualizado e você já pode se inscrever na próxima aqui!  4) Estruturação do processo de gestão de riscos  Como todo segmento do negócio, a gestão de risco da segurança da informação requer planejamento.  Identifique quais serão os conceitos adotados na organização e como eles irão se relacionar com a dimensão de gestão de risco.  Este desenho servirá de base estática para as demais funções dessa atividade.  É nesta etapa que você e sua equipe precisam entender qual modelo de gestão utilizar, para que haja resultados práticos na análise de riscos e ameaças cibernéticas.  Embora não exista uma única forma de desenvolver esse processo, alguns pontos devem fazer parte daquela que vocês irão escolher.  É necessário um método que consiga avaliar, conhecer e fazer a classificação do maior número de riscos possíveis, oferecendo além desse mapa, condições para elaboração de plano de ação e de comunicação, junto a um diagnóstico da situação. 5) Avaliações constantes Para detectar ameaças à gestão de risco da segurança da informação, é preciso contar com ciclos de observação e avaliação das vulnerabilidades.  Essa avaliação irá fazer um recorte do momento exato em que foi realizada, sendo necessário repetir esse processo para a construção de um cenário mais completo e abrangente da Dimensão Gestão de Riscos de Segurança da Informação.  Nesse sentido é preciso estipular um calendário preciso que contemple as observações e avaliações periódicas.  6) O momento da prática Após a definição da periodicidade das avaliações, as equipes devem recorrer a ferramentas completas para executá-las, como um dispositivo de escaneamento de vulnerabilidade, auditoria, parâmetros dados por normas oficiais tal qual a ISO, pentest, etc.  Nesta etapa também é fundamental escolher as empresas parceiras e os fornecedores certos.  O importante é não ficar refém de soluções que não atendam às necessidades da empresa, nem se conectem ao propósito da organização.  7) A documentação é uma peça-chave Como toda análise, a gestão de riscos da segurança da informação demanda que tudo seja documentado e tenha relatórios de cada etapa do processo.  Dessa forma será mais fácil cumprir uma das premissas dessa atividade – a integração entre departamentos e o convencimento dos gestores sobre alguma prática necessária para contornar um risco ou falha.  Somente com relatórios otimizados e eficientes será possível elevar o entendimento da gestão de riscos da segurança da informação para toda empresa, impactando diretamente no resultado da atividade. 8) O passo final  Após todos esses processos, a gestão de risco da segurança da informação implica na elaboração de duas práticas:  as que visam minimizar os erros e falhas até então encontradas; ou, planos de ação para o futuro – que devem ser conduzidos de forma a impedir que cenários parecidos voltem a ocorrer na empresa.  Além disso, a gestão de riscos da segurança da informação é responsável por enxergar pontos de melhoria e oportunidades de aproveitamento das organizações em relação ao tratamento da informação no seu dia a dia.  Somente com a boa implementação dessa área é que as empresas passam a atuar de forma preventiva em detrimento ao comportamento típico do “apagar o fogo” gerado por algum problema.  __________________________________ Desenvolva o seu conhecimento sobre gestão de riscos para segurança da informação junto com a ESR.  Inscreva-se na próxima turma do curso prático sobre o assunto, aqui!  

Ainda tem dúvidas sobre como a LGPD funciona na rotina de TI? Este conteúdo vai te ajudar!  A Lei Geral de Proteção de Dados (Lei n. 13.709, de 14 de agosto de 2018) já está em vigor há algum tempo e com seus ciclos de fiscalização em curso.  A adequação às demandas da norma afasta as possibilidades de sanções, inclusive financeiras, e reflete em um relacionamento mais transparente entre empresas e clientes.  Pensar estrategicamente na LGPD é um dos desafios de qualquer profissional de marketing e da tecnologia da informação.  Afinal, em um contexto de crescimento de cibercrimes e de um amadurecimento da mentalidade dos clientes frente à informação e ao que encontram na rede, o consentimento no uso de dados, bem como a autonomia para a revogação dessa ação por parte do usuário, ou ainda, o fortalecimento de ferramentas de segurança de rede, são ações indispensáveis para toda e qualquer organização.  Ao longo deste artigo você irá acompanhar os principais destaques do tema LGPD para a TI.  O que é LGPD  Como funcionam os ciclos de fiscalização da LGPD  Quais são as penalidades da não adequação à LGPD  Como a área de TI pode garantir adequação à LGPD O que é a LGPD? Este é um assunto batido para quase todo o meio empreendedor. Não é de hoje que muito se fala na necessidade dos negócios adaptarem seus canais digitais aos dispositivos da Lei Geral de Proteção de Dados.  A Lei 13709, como dispõe em seu Art 1º, tem o objetivo de ordenar o “tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural”. Para isso, organiza uma série de critérios que devem ser seguidos para que a nuvem seja mais segura, dê autonomia para os usuários a respeito do uso ou não de seus dados, e eduque empresas e demais sujeitos atuantes na rede a criarem conteúdo, produtos e serviços digitais com mais responsabilidade.  Quais são os objetivos da LGPD? Além de assegurar as relações mencionadas acima, a LGPD tem como um de seus principais propósitos contornar o panorama de crescentes crimes cibernéticos no Brasil, funcionando como um programa de conformidade.  Desde janeiro de 2022, a Autoridade Nacional de Proteção de Dados (ANPD), que recentemente se tornou uma autarquia especial – ganhando maior autonomia, por meio de resolução publicada no Diário da União, executa o primeiro ciclo de fiscalização da LGPD, que tem o objetivo de conferir se as empresas se adequaram aos dispositivos da lei.  Os negócios que não cumpriram com as propostas estabelecidas estão suscetíveis a diversas penalidades.  Tamanha a importância dessa adaptação, em um acórdão de junho de 2022 (Nº 1384/2022) o TCU (Tribunal de Contas da União) elenca uma série de recomendações para que o governo federal também esteja alinhado à LGPD e garanta a segurança de dados dos cidadãos com dados pessoais coletados e utilizados pela Administração Pública Federal..  A medida foi elaborada após a realização de uma auditoria da conformidade estatal neste quesito. De acordo com os indicadores do processo, relatado pelo ministro Augusto Nardes, dos 382 órgãos observados, 76,7% não estão dentro dos conformes legais.  Outros dados apurados pelo TCU mostram que o cenário requer atenção:  17,8% dos órgãos estudados estão no nível inexpressivo quanto à adaptação à LGPD; 58,9% estão no nível inicial; 20,4% estão no nível intermediário e 2,9% estão no nível aprimorado. Isso significa dizer que há alto risco à privacidade dos dados.  É necessário, portanto, um esforço tanto nas esferas públicas quanto nas privadas para uma alteração deste contexto.   Penalidades da não adequação à LGPD Todas as partes envolvidas na coleta, interpretação, análise e tratamento de dados precisam se adequar à LGPD, sejam elas empresas, órgãos governamentais ou plataformas. Com isso, a norma pretende afastar os “dados” do uso ilícito e controverso. Por meio do ciclo de fiscalização, pretende-se: Observar a conformidade dos agentes; Considerar o risco regulatório;  Adotar ações compatíveis com o risco;  Prevenir práticas irregulares e fomentar a cultura de proteção desses dados Caso seja identificado o descumprimento do que versa a norma, as penalidades variam como indicado abaixo: Multa simples, de até 2% (dois por cento) do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$ 50.000.000,00 (cinquenta milhões de reais) por infração.  Multa diária também com o limite de R$ 50.000.000,00 (cinquenta milhões de reais) por infração.  Advertência sobre não conformidade e indicação de prazo para correção da infração. Bloqueio dos dados pessoais relacionados ao ato de infração até a sua regulamentação. Eliminação dos dados pessoais a que se refere a infração. Proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados. Além disso, um dos maiores impactos da não adoção da LGPD está relacionado à imagem da organização.  Um vazamento de dados pessoais, na maior parte das vezes, expõe a empresa, uma vez que ela precisa informar aos aos titulares de dados (seus clientes) sobre o ocorrido.  O contingente financeiro necessário para um controle de danos, ou a chamada resposta ao incidente, também é maior nos casos em que não há conformidade com a LGPD. Ou seja, de forma geral, a iniciativa dos ciclos de fiscalização + penalidades visa instituir uma cultura orgânica de preocupação institucional com o uso de dados.  É um estímulo à consciência de proteção de dados pessoais, formalizando a necessidade de uma atuação responsiva nesse contexto, com direcionamento de ações que sejam proporcionais ao risco identificado e à postura dos agentes regulados. 5 Vantagens de garantir a adequação à LGPD   Como falamos anteriormente, não há mais tempo para procrastinar! O período de adaptação da Lei Geral de Proteção de Dados foi extenso e 2022 é o ano de mostrar que houve adequação ao que foi proposto.  Algumas vantagens de participar ativamente desse processo são:  Não sofrer sanções econômicas durante a avaliação do ciclo de fiscalização; Não sofrer prejuízos relacionados aos dados coletados, uma vez que a lei estabelece que a ANPD tem o poder de bloquear ou até eliminar os dados pessoais tratados por uma empresa; Construir uma comunicação mais transparente com o seu cliente, que por sua vez já está mais antenado nas relações digitais e passa a ter esse valor como premissa para estabelecer fidelidade; Concretizar a reputação da empresa. Ao descumprir o proposto pela fiscalização, a instituição poderá sofrer danos de imagem, uma vez que serão conhecidas por não estarem em sintonia com o que é disposto em lei. A credibilidade da organização pode ser abalada. Contribuir para um ambiente digital mais seguro. A ideia é que as grandes corporações passem a exigir dos seus parceiros comerciais a adequação à LGPD e assim por diante.  A LGPD na TI Outro motivo pelo qual a LGPD é considerada uma estratégia para as empresas é a garantia de maior segurança digital para clientes e também para as próprias marcas, que passam a estar menos suscetíveis a ataques cibernéticos. Isso ocorre uma vez que essa adequação, associada ao mapeamento interno das empresas, possibilita que, em caso de incidentes como esses dos crimes digitais, haja reação imediata.  Os profissionais de TI precisam compreender os limites e possibilidades dos dados pessoais (nome e e-mail, por exemplo) e dos dados chamados de sensíveis (os que envolvem etnia, religião, dados genéticos, entre outros).  A partir disso, elaborar estratégias, sites e dispositivos digitais pautados, principalmente, no poder de consentimento de uso desses dados. É nesse contexto que os modelos de ações first party ganham ainda mais destaque em detrimento às articulação third party.  Por isso, é preciso dominar como executar o desenvolvimento web tendo em vista essas especificidades.  Outro ponto que requer bastante atenção da área de TI em relação à LGPD é no que tange o armazenamento de dados.  Ou seja, maior cautela nessas práticas e no gerenciamento de riscos para prevenir/prever instabilidades e falhas na segurança da informação. Dessa forma, faz parte do escopo de trabalho deste departamento o desenvolvimento de soluções que otimizem as coletas e tratamentos de dados, em conformidade com a legislação. Há ainda a formalização da figura do Data Protection Officer (DPO), que embora não precise ser direcionada a um agente de TI, normalmente o é. Este cargo deve garantir a proteção de dados dos usuários.  Desafios para área de TI frente à LGPD 1) Capacitação  Por ser uma regulamentação relativamente recente, muitos profissionais de TI ainda possuem conhecimento defasado sobre os termos e dispositivos da norma.  Investir em capacitação nesse sentido é o principal passo para alicerçar todas as demais estratégias de segurança da informação. A ESR promove o curso “LGPD para Todos“, que incentiva o entendimento da Lei Geral da Proteção de Dados no dia a dia. Este é o único curso do mercado que foca na metodologia brasileira de adequação à LGPD (Ministério da Economia), consolidando diversos guias acerca das temáticas. 2) Constante atualização  Os times e gestores de TI precisam ter em mente que a adequação à LGPD é uma tarefa constante do departamento.  Por isso, é preciso pensar no tempo, recursos (operacionais e humanos) necessários para garantir essa logística e a execução de rotinas complexas.  3) Segurança e consulta de dados A governança de dados passa a demandar acesso prático e rápido de dados aos seus titulares, sem deixar de lado a segurança que o ambiente digital precisa proporcionar no desenrolar dessa operação.  Dessa forma, a governança de dados, práticas, protocolos e rotinas que atuem nessa direção constituem-se como desafios importantes da TI em relação à LGPD. 4) Cloud Computing As tecnologias de computação em nuvem agora demandam segurança redobrada, possibilidade de visibilidade e rastreabilidade de dados.  Fazer a verificação da nuvem deve ser um dos compromissos do time de TI.  ————————————————— A adequação à LGPD requer o envolvimento de diversos setores das empresas, sobretudo, da área de TI.  Com os ciclos de fiscalização ativos, essa adaptação demanda de forma urgente profissionais capacitados para a sua execução.  Quer atuar nesta área? Confira a ementa do curso “LGPD para todos” e se torne especialista no assunto junto com a ESR. 

Uma governança corporativa de TI bem planejada, implementada e executada significa mais controle do ambiente tecnológico, propiciando mais assertividade na tomada de decisão e apoio às iniciativas de negócio  nas empresas.  Por isso, torna-se necessário para todas as empresas, sejam elas do setor público ou privado, o conhecimento de normas, como a ISO 38500 e frameworks, e o Cobit. A governança de TI é diferente do gerenciamento puro e simples e requer que os dirigentes, juntamente com a equipe de TI, desenvolvam habilidades, competências e responsabilidades capazes de guiar as ações das organizações para um controle de processos, aplicação otimizada de recursos, suporte para tomadas de decisão mais assertivas, além da segurança da informação.  De forma resumida e recapitulando, a Governança de TI será responsável por averiguar se determinada empresa segue as normas e as políticas, além de garantir que elas estejam conectadas com visão, missão e indicadores do negócio. Portanto, é importante que o profissional de TI e os dirigentes da empresa pensem de forma holística, com ênfase ao negócio como um todo.  É necessário vislumbrar uma TI dentro de um contexto maior. Para isso, vamos falar abaixo sobre os dois principais modelos de Governança de TI.  O que é a Norma ISO/IEC 38500 A Norma 38500 é direcionada aos dirigentes e gerentes de uma empresa com o objetivo de fornecer uma estrutura de princípios para que esses profissionais possam usar na avaliação, direção e monitoramento do uso da Tecnologia da Informação de uma empresa. É o modelo de governança de TI que gira em torno de três áreas de conhecimento primordialmente: conceitos e definições iniciais, princípios e modelo de governança. Dessa forma, a Norma oferece princípios para orientar os dirigentes das organizações sobre o uso eficaz (a TI cumpre o seu papel, atinge os resultados desejados?), eficiente (cumpre seu papel usando recursos da melhor maneira possível?) e aceitável da TI (atende as expectativas das partes interessadas respeitando a eficiência e aceitabilidade?).  Ao atender as expectativas das partes interessadas espera-se as seguintes consequências: minimização de custos e maximização dos resultados, garantia da inovação de produtos com sustentabilidade, aumento do retorno sobre o investimento em TI e setor aderente às leis e regulamentos aplicáveis.  O modelo pode ser aplicado em diversos negócios, de variados tamanhos. Princípios da Norma 38500 Seus 6 princípios registrados no site da Associação Brasileira de Normas Técnicas (ABNT) são: Objetivos da Norma:  Como utilizar a Norma? A Norma estabelece que os dirigentes direcionem a TI por meio de três tarefas:  O que é o Cobit 2019?  O Cobit 2019 é um framework de governança corporativa de TI e um dos modelos mais populares para auxiliar empresas a alcançarem seus objetivos da área de TI. Abrangente, o Cobit 2019 tem o objetivo de gerar valor pro negócio baseado na seguinte relação:  Um dos principais diferenciais do modelo e o motivo pelo qual ele serve tão bem à governança, é o fato de oferecer uma orientação total da organização, abarcando todas as áreas responsáveis pelas funções de TI de uma organização, conectando tudo isso aos interesses internos e externos relacionados à Tecnologia da Informação. O Cobit 2019, assim como o anterior, pode ser aplicado em todos os tipos de negócio.  Princípios do Cobit 2019 O Cobit utiliza 5 princípios básicos para garantir a governança de TI Objetivos do Cobit  O conhecimento acerca dos dois modelos de governança de TI é importante para qualquer profissional desse segmento. Afinal, o cenário atual leva em consideração novas perspectivas acerca da importância da experiência do usuário, bem como o surgimento de legislações para o meio digital e também os crescentes riscos de cibercrimes.Mesmo que as duas normas sejam populares, o Cobit 2019 sai na frente, como um dos mais completos, abrangentes e solicitados no mercado de trabalho.  Para utilizá-lo, além do conhecimento teórico é necessário testar a prática e conferir as últimas atualizações disponíveis no mercado sobre o tema.  A ESR ministra um curso de Governança de TI com COBIT 2019 (EaD), com 06 encontros online que têm o objetivo de fornecer uma visão ampla sobre a governança, processos e estratégias de TI nas organizações, através da análise dos impactos desta área em franca ascendência nos negócios. Ao final do curso o aluno estará apto para a tomada de decisões a respeito do uso eficaz dos recursos de TI, considerando o planejamento, gestão e controle dos processos de TI. >>>>Descubra outras características do curso aqui!