Você sabe o que fazer em casos de violação de dados? O fato é que as empresas precisam estar preparadas para esses acontecimentos, pois a segurança da informação é um fator determinante para o bom funcionamento de qualquer setor.
Os casos de violação de dados na internet, por exemplo, sempre tomam grande repercussão na mídia, já que envolvem informações valiosas tanto para seus titulares quanto para as empresas que perdem credibilidade por falha de segurança no tratamento de dados.
Continue no texto e conheça o que é a violação de dados e saiba como se proteger.
O que é violação de dados?
A violação de dados ou data breach pode ser entendida como qualquer tipo de exposição de dados confidenciais ou de informações sensíveis a um ambiente não seguro. Podendo ser causadas tanto por ataques externos, como no caso de ataques de hackers e ransomwares, ou por fatores internos, como o erro humano ou falhas no sistema.
Em vigor desde setembro de 2020, a Lei Geral de Proteção de Dados Pessoais (LGPD) foi criada com base na lei de violação de dados europeia, a GDPR. Ela dita quais são as responsabilidades das empresas durante o processamento de dados pessoais. Assim, o titular dos dados recebe amparo em caso de violação de dados de terceiros, fazendo com que as empresas se adequem a padrões estabelecidos.
Entre novas e antigas ameaças
Aqueles que têm trabalhado na segurança da informação durante a última década ou mais, testemunharam a evolução da indústria com a criação de novas posições como o CSO (Chief Security Officer) e o CISO (Chief Information Security Officer) para ajudar a fortalecer as defesas empresariais.
Ainda que muitos aspectos tenham mudado nas organizações nos últimos anos, os hackers e as novas ameaças de violação de dados no Brasil também estão em constante evolução, explorando velhas brechas e novas vulnerabilidades.
Embora as maiores empresas tenham aumentado o orçamento para segurança da informação e investido em treinamento de seus colaboradores, isso não é universal, o que é problemático para o mundo conectado em que vivemos. Alguns dos problemas clássicos, como senhas fracas e sistemas operacionais com os patches de segurança desatualizados continuam expondo as empresas.
Na maioria das vezes, as vulnerabilidades exploradas pelos atacantes são conhecidas há muito tempo ou não foram suficientemente resolvidas pelos principais players de mercado.
Em alguns casos, as correções foram implementadas parcialmente, mantendo algumas brechas que ainda permitam a violação de dados na internet, ou então foram ignoradas pelos gestores de TI, como ocorreu com os ataques em massa com o WannaCry que exploravam o SMBv1, conhecido como EternalBlue.
O que fazer em caso de violação de dados?
Os casos de violação de dados pessoais ainda são os mais comuns, já que geralmente são os ativos mais valiosos para o funcionamento de empresas. Nesses casos, de acordo com a Autoridade Nacional de Proteção de Dados (ANPD):
“O art. 46 da Lei nº 13.709/2018 (Lei Geral de Proteção de Dados – LGPD) determina que os agentes de tratamento de dados pessoais devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.”
A ANPD também dita uma lista de procedimentos sobre como comunicar a violação de dados, sendo necessário primeiro:
- Avaliação interna do incidente — natureza, categoria e quantidade de titulares de dados afetados, categoria e quantidade dos dados afetados, consequências concretas e prováveis. Vide formulário de avaliação constante do sítio eletrônico da ANPD;
- Comunicar ao encarregado (Art. 5º, VIII da LGPD);
- Comunicar ao controlador, se você for o operador, nos termos da LGPD;
- Comunicar à ANPD e ao titular de dados, em caso de risco ou dano relevante aos titulares (Art. 48 da LGPD); e
- Elaborar documentação com a avaliação interna do incidente, medidas tomadas e análise de risco, para fins de cumprimento do princípio de responsabilização e prestação de contas (Art. 6º, X da LGPD).
Como se proteger de possíveis ataques
É de suma importância que as empresas adotem medidas de prevenção à violação dos dados. Um Plano de Violação de Dados, por exemplo, tem como objetivo, o preparo para lidar com a gestão de crise em caso de um incidente de segurança. Dessa forma, garantindo que a resposta seja feita o mais rápido possível e minimizando os riscos para todos os envolvidos.
Conforme a CISO da Bentley University, Erika Powell-Burson, “o grande número de vulnerabilidades nos ambientes de TI ocorre por práticas ruins das correções de falhas já conhecidas”.
Se por um lado temos atividades de baixo esforço para a aplicação de patches de segurança que trazem benefícios para a empresa, por outro lado a negligência em realizar as correções podem implicar em prejuízos financeiros e elevado esforço para a correção.
Algumas organizações não estão realizando as correções, pois estão utilizando sistemas obsoletos e fora de garantia, sem o fornecimento das correções pelos fabricantes. Nesses casos, o risco de violações e perda de dados aumentam ainda mais.
Dessa forma, os atacantes buscam realizar varreduras em rede (scan) de forma maliciosa, para explorar as vulnerabilidades encontradas nos serviços disponibilizados e nos programas instalados para a execução de ataques e violações de acessos.
A maioria desses ataques podem ser evitados com a aplicação dos patches de segurança. Por isso, é indispensável conduzir boas práticas de segurança com a revisão e atualização permanente das vulnerabilidades internas, em especial das falhas dos sistemas operacionais e das aplicações que contam, na grande maioria, com correções dos fabricantes.
Outro ponto a ser destacado é que existem práticas diárias para a manutenção da segurança dos dados. Por isso, algumas ações precisam ser implementadas como forma de cultivar uma cultura de segurança nas empresas, sendo elas:
- Realizar testes constantes para identificação de gaps de segurança;
- Utilizar firewall e recursos de proteção de rede;
- Utilizar uma estratégia eficiente de backup;
- Criptografar os dados para dificultar o acesso indevido;
- Restringir e gerir o acesso aos dados de forma que só os colaboradores que realmente utilizem os dados possam acessá-los;
- Implementar uma Política de Segurança da Informação.
Existem várias práticas para se proteger contra a violação de dados, algumas mais simples, que devem ser adotadas no cotidiano das corporações, e algumas mais pontuais, que necessitam de uma Infraestrutura de TI mais qualificada.
Para saber como se defender de ambas, que tal acompanhar mais conteúdos sobre proteção de dados, TI e backup em primeira mão?
Para isso, acompanhe a Datasafer pelas redes sociais e blog!
