sergiohow

85% das empresas ainda não estão prontas para a LGPD

Fri, 09 Aug 2019 19:08:52 GMT

Segundo pesquisa da Serasa Experian, 72% das companhias com mais de 100 funcionários pretendem contratar uma pessoa de mercado especializada ou uma consultoria/assessoria para se adequarem à Lei.

De acordo com uma pesquisa da Serasa Experian, 85% das empresas brasileiras afirmaram que ainda não estão preparadas para garantir os direitos e deveres em relação ao tratamento de dados pessoais exigidos pela Lei de Proteção de Dados Pessoais (LGPD), que começará a vigorar no Brasil em agosto de 2020. A maioria delas pretende estar pronta em até um ano. A pesquisa foi realizada em março deste ano e ouviu executivos (Gerentes, Diretores e C-level) de 508 companhias de diferentes portes e segmentos em todas as regiões do país.

Os resultados mostram ainda que 72% das companhias com mais de 100 funcionários pretendem contratar uma pessoa de mercado especializada ou uma consultoria/assessoria para se adequarem à primeira lei federal voltada exclusivamente à proteção de dados ( clique aqui e veja todos os detalhes).

“Ao estabelecer um marco jurídico-regulatório inédito no Brasil, a LGPD reafirma o poder dos dados para a estratégia de todas as empresas. O resultado da pesquisa evidencia a importância de as companhias intensificarem a preparação para coletar, proteger e utilizar as informações pessoais de acordo com a Lei em prol da continuidade de seus negócios”, afirma a diretora Jurídica da Serasa Experian, Vanessa Butalla.

Ainda segundo a pesquisa, com a chegada da Lei, quase 73% das empresas esperam algum impacto ou um impacto muito significativo na atual infraestrutura de TI. Clique aqui e veja os detalhes por segmento na tabela e nos gráficos.

Outro aspecto evidenciado pela pesquisa é a maneira como as empresas coletam dados e permissões de uso de informações pessoais de consumidores e usuários de serviços. Na média de todos os segmentos, as companhias preferem investir mais no relacionamento pessoal (reuniões, feiras, eventos etc.) e nas mídias sociais. Clique aqui e veja na tabela o Top10 das ações.

Metodologia

A pesquisa realizada em março de 2019 pela Serasa Experian entrevistou executivos (Gerentes, Diretores e C-level) de 508 empresas de 18 ramos de atividades, com diferentes portes e atuação nos segmentos B2C e B2B.

Fonte: Security Report

Rede Interna: Ações que podem auxiliar na jornada da LGPD e 4.658

Thu, 25 Apr 2019 00:00:00 GMT

Em seu terceiro artigo sobre Lei Geral de Proteção de Dados, o CISO e DPO, Alex Amorim, explica dez práticas para um direcionamento macro de camadas na jornada da conformidade com a regulamentação.

Quando falamos nesta terceira camada, acaba sendo um pouco mais complicadas as implantações pois, são necessárias ações muito forte em conjunto com o time de infraestrutura. Não que as camadas de endpoint e servidores não tenham esta necessidade, mas quando falamos em rede interna acabamos alterando toda arquitetura corporativa para as implementações de segurança.

Então vamos ao que interessa, compartilho com os amigos uma visão mínima de segurança que pode ser aplicada na terceira camada.

· Segregação de rede: esta prática foi largamente utilizada para implantação do ambiente chamado “rede compliance PCI” existente em diversas empresas que trabalham com cartão. Os profissionais de segurança em conjunto com a equipe de Telecom/infraestrutura criavam um barramento específico para o trafego dos dados de cartão. Pensando na LGPD podemos imaginar que agora teremos a rede PCI e rede de dados pessoais.

Vale ressaltar que este modelo tradicional de segmentação através de zonas de segurança VLANs (Virtual Local Area Network – Rede Local Virtual) normalmente não atende à demanda das áreas de negócio uma vez que não é possível efetivamente segmentar ou segregar os serviços na camada de rede. Em muitos casos existem recursos de rede que são compartilhados através de diversos ambientes como serviços de monitoramento, ferramentas de segurança, ferramentas de gestão e até mesmo bancos de dados são compartilhados entre diversas aplicações

Desta forma, a segmentação tradicional não possui mecanismos para realizar estes controles uma vez que ela não possui visibilidade das aplicações e por consequência não consegue realizar/prover os controles necessários.

· Micro segmentação e Nano segmentação: visto a complexidade da reengenharia e novo desenho de arquitetura exposta no item anterior (segregação de rede) existem algumas soluções que visam facilitar e muito este processo através de mecanismos que auxiliam na segregação a nível de servidor ou até mesmo serviço.

Com esta solução, mesmo tendo os ativos em uma mesma VLAN é possível aplicar as segmentações por contextos de serviços ou até mesmo, ambiente de Desenvolvimento, Homologação, Produção, PCI, Dados Pessoais, Dados Pessoais Sensíveis e assim por diante. Facilitando e muito a gestão e definição dos ambientes.

Com isso, o time de segurança e infraestrutura passa a ter uma visibilidade detalhada das aplicações e dos ambientes pois, normalmente não há um conhecimento a fundo de como a aplicação foi desenvolvida e qual a real necessidade de algumas solicitações de liberação para funcionamento. Importante salientar que este modelo é possível evitar/detectar o lateral spread (movimentação lateral) técnica amplamente utilizada por atacantes dentro da rede interna.

· Honeypot – Deception: Este tipo de solução traz uma ótima visibilidade do ambiente uma vez que o atacante está dentro de sua rede, esta solução cria servidores fakes no mesmo contexto para entender e aprender as técnicas utilizadas pela atacante proporcionando assim, conhecimento do modus operandi para proteção do ambiente.

· Cofre de Senhas: Este ponto é fundamental para que funcionários não tenham senhas anotadas em post-its, bloco de notas e planilhas como visto em alguns últimos incidentes de segurança reportados nos veículos de comunicação. Importante na implantação desta solução é garantir que somente será possível acessar o ambiente produtivo através do cofre.

Lembrando que é sempre bom ter um botão de emergência para acionamento em caso de indisponibilidade do cofre por qualquer motivo. Neste caso é acionado este botão onde, é possível dar um by-pass no cofre até o reestabelecimento do mesmo. Vale ressaltar que normalmente o cofre de senhas permite uma total rastreabilidade e inclusive a gravação das ações que estão sendo executadas para uma possível análise posterior.

· Solução de IAM (Identity Access Management): esta solução é bem antiga, mas continua sendo o calcanhar de Aquiles dos CISOs pois, normalmente temos problemas em auditorias devido ao não desligamento de um usuário, a não revisão de acesso, a criação de forma errada e assim por diante. Desta forma, esta solução com a LGPD e 4.658 passa a ser uma peça critica na infraestrutura para gerenciar usuários built in, usuários de serviço e usuários dos administradores. Esta solução de IAM em conjunto com o cofre de senhas poderão elevar para um patamar altíssimo de poucas empresas no mercado.

· IPS (Intrusion Prevention System): mesmo sendo rede interna pouco se tem visibilidade das ações que estão sendo executadas. Desta forma, caso não tenham a micro ou nano segmentação a estrutura de IPS poderá ajudar e muito com esta visibilidade de ações que possam estar acontecendo nas redes internas.

· Network APT (Advanced Persistent Threat): As soluções de APT dentro da rede visa identificar possíveis comunicações que os ativos internos estão realizando para ambientes externos como command-and-control (C&C) provenientes de infecções do ambiente interno. Este tipo de solução foi muito útil no início das infecções de Wannacry onde era necessária uma comunicação externa para baixar os componentes do malware.

· Scan de vulnerabilidades interno: muito importante ter o controle das vulnerabilidades do ambiente interno. Existem diversas soluções que podem auxiliar neste processo. Sugiro realizar este tipo de análise sempre com autenticação desta forma, poderá ter uma visibilidade completa dos ativos de sua empresa.

· Proxy para servidores: Esta é uma ação básica porem, em diversas empresas é possível identificar servidores com acesso full à internet expondo assim toda o ambiente produtivo. Desta forma, é recomendado que as liberações de acesso à internet sejam de forma pontual conforma a efetiva necessidade.

· Monitoração de Disponibilidade: mesmo sendo uma ação muito mais voltadas ao time de infraestrutura vale acompanhar de perto a performance dos ativos de seu ambiente, pois, estas informações correlacionadas com ferramentas de segurança podem trazer verdadeiras surpresas antes mesmos de eventuais problemas em seu ambiente.

Espero que este artigo dê um direcionamento macro de camadas de possam ser implantadas no ambiente para comprovar que todos os esforços estão sendo realizados para ter um ambiente robusto nesta jornada da LGPD e 4.658.

Fonte: Security Report

Cadastro Positivo divide opiniões sobre proteção de dados pessoais

Mon, 15 Apr 2019 00:00:00 GMT

Enquanto alguns avaliam benéfica a Lei do Cadastro Positivo, outros acreditam que compromete o princípio da proteção de dados pessoais, embora a LGPD já preveja a exceção de consentimento referente ao crédito.

Semana passada, precisamente segunda-feira (08/04), foi sancionada a Lei 166 do Cadastro Positivopelo presidente Jair Bolsonaro, tornando automático o compartilhamento de dados pessoais de consumidores e empresas. Para alguns juristas, o banco de dados, que já existe desde 2011 com adesão voluntária, conflita como principio da Lei Geral de Proteção de Dados (LGPD), uma vez que o consumidor poderia optar por não querer compartilhar suas informações, mantendo um direito constitucional à privacidade.

Embora alguns juristas avaliem que a lei sancionada possa ferir os princípios da proteção de dados, a própria Lei Geral de Proteção de Dados prevê, no artigo 7º, a exceção de consentimento nos casos de proteção ao crédito, artigo inserido propositalmente para harmonizar com o Cadastro Positivo.

“Esse artigo foi inserido justamente para poder harmonizar a Lei Geral de Proteção de Dados Pessoais com a Lei do Cadastro Positivo”, corroborou Patrícia Peck, advogada especialista em direito digital. Segundo ela, o compartilhamento de informações dessa natureza entre os bancos, principalmente no sentido de proteção do sistema financeiro, não fere a LGPD porque entra justamente nessa exceção. E vai além, declarando que a aprovação do Cadastro Positivo, da forma como esta agora, “é um avanço para o Brasil.”

Na verdade, a legislação sobre o cadastro positivo foi uma preocupação durante o todo processo legislativo da LGPD, inclusive apontado por muitos especialistas como um dos fatores propulsores da aprovação da lei, por meio de um acordo politico selado na Câmara dos Deputados, no sentido de sustar a tramitação do cadastro positivo para que avançasse a tramitação da Lei de Proteçāo de Dados.

Por outro lado, a opção que dispensa o consentimento dos titulares para efeito de coleta dos dados de pagamentos e crédito e permite que esses dados passem a integrar automaticamente os bancos de dados dos bureus de crédito sempre foi um debate profundo, contaminado por uma cultura jurídico brasileira fortemente baseado no consentimento, opina o jurista Fabricio da Mota Alves, especializado em direito digital.

“Nós tínhamos o cadastro positivo na sua versão original, que previa o consentimento como condição sinequanon para que houvesse adesão ao cadastro e temos o Marco Civil da Internet – que prevê apenas o consentimento como forma de legitimar o tratamento de dados pessoais no âmbito da internet. As duas formas são decorrentes de uma evolução jurídica brasileira que não previu e não se atualizou ao que o resto do mundo vinha fazendo”, enfatiza ele.

Fabrício lembra que no regulamento europeu de proteção de dados, a lei do consentimento assim como outras bases legais autorizam o tratamento de dados e não dependem do consentimento para que a coleta seja realizada. “E temos no Brasil, agora com a LGPD, nove outras bases legais além do consentimento. Então são seis bases no total no caso da GDPR e dez no caso brasileiro”, esclarece.

Diante disso, Fabrício avalia que a retirada do consentimento na Lei do Cadastro Positivo não é necessariamente prejudicial ao titular dos dados porque na verdade a LGPD já prevê essa possibilidade. Ele explica que é possível fazer isso por meio de outras maneiras como cumprimento de obrigação legal, por questões contratuais ou pré-contratuais, onde se contrata produtos ou serviços, comprovando legítimo interesse em várias hipóteses.

“Ao contrário de outras legislações internacionais, o Brasil é o único país que previu a proteção de dados com base em requisito autônomo para tratar dados pessoais. O GDPR não faz isso. A proteção ao crédito, por exemplo, é parte do legítimo interesse, enquanto que no Brasil temos o legítimo interesse e a proteção ao crédito agora”, explica Fabrício. O jurista acredita que a supervalorização do consentimento é provável que ainda gere readequações jurídicas que a LGPD inaugura.

Na opinião de C-Levels de segurança que atuam no setor financeiro está claro que o Cadastro Positivo não conflita com a LGPD. Leonardo Carmona, CISO da Quod, bureau de crédito do mercado, enfatiza a previsão expressa do artigo 7o que determina a possibilidade de tratamento sem necessidade de consentimento de dados pessoais para fins de proteção de crédito, inclusive nos termos de leis especiais. “A Lei do Cadastro Positivo, lei especial, regulamenta o artigo 7o da LGPD. Portanto, os dados de adimplemento e os requisitos para seu tratamento estão definidos na lei do Cadastro Positivo”, reforça ele.

“Os bureaus de consulta, se por acaso eles têm uma função de crédito ou antifraude, ele não entra na Lei Geral de Proteçāo de Dados. Dentro do próprio Santander isso tem sido discutido, mas não tem sido atrelado à LGPD”, afirma Leonardo Muroya, Superintendente de Cibersegurança do Santander. Para ele se trata de uma açāo positiva que procura viabilizar o crédito e prevenir problemas financeiros das instituições.

O risco de neutralizar

“Eu vejo essa aprovação como uma das primeiras reações do mercado e da iniciativa privada para tentar neutralizar a LGPD e suas novas implicações”, diz o advogado Adriano Mendes. O Cadastro Positivo existe desde 2011 e não teve a adesão esperada pelos bancos e setor financeiro. “Agora, com essa obrigatoriedade, a questão é saber como as informações que serão coletadas pelas empresas poderão ser compartilhadas entre as instituições financeiras”.

“Por causa do lobby, nos próximos meses, deverão surgir mais leis que afetem os usuários em relação ao uso de dados ou libertem setores como o financeiro, saúde e educacional a usarem os dados sem seguir os princípios gerais da lei. Estes são mercados regulamentados que irão apoiar o tratamento de dados nas exceções ao consentimento para necessidade de cumprimento de obrigação legal”.

Na opinião de um CISO que preferiu não se identificar o projeto do cadastro positivo foi “atrasado” propositalmente para “forçar” a LGPD. Segundo ele, os bancos têm um grande interesse no Cadastro Positivo e agora terão informações sobre os últimos 15 anos e poderão cruzar mais dados. Ele acha arriscado o modelo por ser automático e questiona se isso trará realmente benefícios aos usuários.

Fonte: Security Report

LGPD: os atalhos para sair na frente e aprender durante essa jornada

Thu, 28 Mar 2019 19:36:22 GMT

É fundamental que os executivos se inspirem na lei para escrever um novo capítulo de relacionamento com o cliente.

Desde que a Lei Geral de Proteção de Dados (LGPD) foi sancionada em 14 de agosto de 2018, o tema tem sido amplamente debatido pela comunidade de Tecnologia e Segurança da Informação. Infelizmente, a discussão é permeada muito mais pelas multas exorbitantes (até R$ 50 milhões por infração) que pelo aprendizado ou preocupação com a segurança dos dados de seus usuários. Seja como for, a LGPD será uma realidade em breve e vai impactar organizações de todos os tamanhos, independentemente do segmento em que atuam.

A LGPD traz um novo olhar e impõe uma prática mais rigorosa sobre como as organizações públicas e privadas terão de captar e tratar as informações pessoais de seus usuários. Resumidamente, define-se dado pessoal toda informação de pessoa natural identificada ou identificável. Ou seja, se a sua empresa tem um funcionário ou um cliente, ela está sob o escopo da lei.

A nova Lei é capaz de trazer inúmeros benefícios para os negócios. É fundamental que os executivos se inspirem nela para escrever um novo capítulo de relacionamento com o cliente, baseado em mais transparência, confiabilidade e responsabilidade. A LGPD cria mais oportunidades de negócios, incentiva o processo de digitalização nas organizações e torna os serviços mais competitivos.

Já que a lei está prevista para entrar em vigor em agosto de 2020, sairá na frente as instituições que não deixarem para se adequar em cima da hora. É preciso se estruturar a partir de agora, porque a mudança requer um esforço, não apenas tecnológico, mas acima de tudo, cultural, já que ela impactará diretamente a forma como que os colaboradores tratarão os dados pessoais de agora em diante. É um caminho que envolve o tripé tecnologia, processo e pessoas.

A jornada para estar em plena adequação com a Lei pode ser demorada e levar meses, mas abaixo listo cinco atalhos que podem tornar o caminho mais curto, produtivo e benéfico para o seu negócio.

Mapeie o processo e o fluxo de dados

Onde estão os dados da sua empresa? Dependendo do ramo de atualização, a grande massa pode estar no RH ou na área de Vendas, num ERP. Possivelmente, em organizações mais digitais, talvez num banco de dados de um aplicativo. O fato é que é preciso compreender todo o ciclo de vida do dado na organização, da coleta à exclusão.

Identifique seu nível de maturidade

A LGPD é sobre proteção de dados pessoais e é imprescindível saber em qual contexto esse ativo se encontra em relação à Segurança. Para isso, é necessário adotar medidas que o auxiliarão a entender melhor a realidade em que se encontra hoje, como uma política de classificação de dados, se as ferramentas tecnológicas são de fato capazes para assegurar esses dados, se as pessoas estão devidamente treinadas para acessá-los, o tipo de visibilidade que você tem do ambiente. Fazer essa autoavaliação é essencial para evitar acesso indevido ao dado, manter sua integridade e minimizar as chances de incidentes.

Crie um programa de Governança em Privacidade

Implemente uma agenda que demonstre comprometimento em adotar os processos e as políticas definidas. Essas boas práticas devem ser estruturadas considerando o impacto e o risco à privacidade, ser integradas à Governança corporativa, adaptada de acordo com a estrutura, a escala, o volume e a sensibilidade dos dados, e atualizadas constantemente.

Defina controles técnicos e um roadmap de implantação

Esse item está diretamente relacionado aos anteriores e requer um plano de prioridades que envolvam as necessidades jurídicas, processuais e tecnológicas. É um processo contínuo e evolutivo e tem a oportunidade de introduzir ferramentas que possam ajudar as organizações a estarem em compliance com a lei até o período definido.

Conte com um bom parceiro

Dificilmente você conseguirá atingir seus objetivos sozinho. A LGPD envolve questões tecnológicas e jurídicas, e não estar quite com as necessidades da nova Lei pode resultar em multas e perda de negócios. Há empresas capazes de auxiliar tanto em pendências legais como técnicas a partir da experiência internacional com a adequação de leis similares, como a GDPR.

O prazo é curto e a cada dia que passa fica mais difícil para as empresas cumprirem essa etapa de maneira produtiva. É possível crescer em maturidade e transparência durante esse processo, dois aspectos cada vez mais valorizados pelos usuários. Para isso, só depende de você e de um bom parceiro, que irá acompanha-lo durante essa jornada.

Fonte: Security Report

Bancos e Fintechs estão preparados para o cenário regulatório?

Mon, 25 Mar 2019 00:00:00 GMT

Em parceria com a Symantec, a Security Round Table reuniu em São Paulo um time de lideranças do setor financeiro para responder essa questão. Para eles, a resolução 4658 do BACEN e a LGPD chegaram quase juntas, mas a Lei de Proteção de Dados tem demandado mais atenção, virando o principal projeto não comercial das instituições, tamanha é a complexidade atual.

O setor financeiro é um dos mais regulados do Brasil e pioneiro em inovação tecnológica. Não é pra menos, são instituições que tratam dados sensíveis de cidadãos e empresas, organizam transações financeiras e estão constantemente na mira de ataques cibernéticos. Claro que precisava contar com um órgão regulador (FEBRABAN), além de seguir regras rígidas do Banco Central.

Ou seja, é um segmento de negócio que já convive com regulamentações. Mas nunca as instituições financeiras passaram por tantos desafios de compliance como nos últimos meses, com a chegada da resolução 4658 do BACEN e a da Lei Geral de Proteção de Dados.

Para entender o tamanho desse desafio diante de um cenário complexo de novas vulnerabilidades e ciberataques, a Conteúdo Editorial, em parceria com a Symantec, reuniu um grupo de CISOs e líderes de Segurança da Informação de várias instituições em São Paulo para uma mesa redonda, o Security Round Table. Estiveram presentes C-Levels de empresas como Bradesco, Itaú-Unibanco, Santander, Citi, Baco Fibra, Banco Votorantim, Banco Carrefour, Tecban, Cateno, Conductor, Alelo, Quod, B3 e Banco CBSS para responder uma importante questão: o Setor financeiro está preparado para atuar diante do atual cenário regulatório?

Ora, se esse segmento de negócio já está acostumado com regras, por que então fazer uma pergunta como essa? Antes da resposta, é importante lembrar que mesmo sendo altamente regulado, os bancos vivem hoje um enorme desafio para se reinventar digitalmente, onde os legados terão que conviver com tecnologias novas, de preferência na nuvem.

Os clientes querem acesso às transações nos smartphones, as agências bancárias também estão com papéis diferentes nessa transformação, sem contar com o surgimento de inúmeras fintechs com modelos de negócio completamente disruptivos. Esse cenário de mudanças radicais somado aos avanços do ciberataques fizeram com que o setor financeiro vivesse hoje essa redescoberta do business, ao mesmo tempo em que precisa gerar lucros e seguir no topo na inovação.

Não é uma tarefa fácil, principalmente quando incluímos nessa jornada as demandas de conformidade atual. Voltando à pergunta inicial, para muitos líderes presentes na mesa redonda, a resolução 4658 e a LGPD chegaram quase juntas, mas a Lei de Proteção de Dados tem demandado mais atenção, virando o principal projeto não comercial das instituições, tamanha é a complexidade.

Isso porque ela exige reformulação das abordagens de atendimento, guarda de informações, compartilhamento, transparência para o cliente, entre outras diretrizes. Na visão dos executivos presentes na Security Round Table, essa história de que o setor financeiro é o mais regulado e por isso não sofre pressão diante das leis, depende muito do porte da instituição, do modelo de negócio, do tempo da empresa e como ela lida com a informação.

Mas respondendo à pergunta de forma mais direta, os bancos estão redesenhando suas estratégias e estruturas internas para atender as demandas regulatórias. Falando de LGPD, o setor financeiro saiu na frente, mas o desafio é enorme, proporcional ao tamanho dessa vertical por conta da grande quantidade de dados tratados diariamente.

Para as instituições que atuam na Europa, a LGPD não está tão complexa, pois antes, veio a GDPR. O principal desafio de grandes bancos é a complexidade em mapear as informações nos mais diversos sistemas legados. Muitos estão trabalhando em parceria com consultorias especializadas nesse processo, mas na visão dos executivos, nem todas as empresas do setor estão prontas para atuar dentro do prazo da vigência da Lei, até então, prevista para agosto de 2020.

Responsabilidade do colegiado

Outro desafio do setor financeiro é encontrar a figura do DPO e fortalecer um trabalho em equipe, envolvendo áreas como recursos humanos, compliance, jurídico, risco e governança, além da Segurança da Informação, departamento que é visto como o principal candidato a assumir a responsabilidade da aplicação da LGPD.

Enquanto o DPO não toma as rédeas, a SI é quem lidera as iniciativas, desde reunir equipes a promover uma jornada de conscientização junto à diretoria da empresa. Até porque, diante de regulamentações, é importante que haja uma grande mobilização interna em que a responsabilidade seja de todos, cada departamento da instituição precisa estar engajado na causa.

Nos grandes bancos, essa estrutura só funciona envolvendo algumas áreas como Segurança da Informação, gestão de informações, jurídico, arquitetura de dados e linha de processos, formando um colegiado de profissionais.

Ecossistema alinhado

O cenário regulatório também exige os mesmos níveis de segurança em todo ecossistema de parceiros. É a hora de rever todos os contratos, pois a responsabilidade em caso de vazamento é da própria instituição financeira. Para as fintechs que não têm o problema dos legados, acaba ficando um pouco mais fácil, pois trabalham essa reestruturação já se adequando à LGPD e resolução 4658.

É uma atuação mais próxima ao parceiro que também tratam dos dados internos das empresas financeiras. Talvez, ao longo do caminho de conformidade, alguns serviços que antes eram terceirizados voltem a ser tratados dentro de casa, sob a gestão da própria instituição. A complexidade veio também mudar essa forma de contratação.

Prevenção e resposta

Sob os olhos da lei, há muito o que fazer. Se somarmos o cenário de ataques cibernéticos, a conta fica ainda mais alta, o que sinaliza investimentos tecnológicos na direção de soluções que ajudem na prevenção e resposta rápida diante dos incidentes. Para conscientizar a diretoria sobre as vulnerabilidades e importância em direcionar parte do budget para as regulamentações, os grandes bancos contam com programas e simulações de ataques. Ao longo desses exercícios, os processos são melhorados e a maturidade na resposta a incidente é elevada.

São atitudes que vão além de leis e regras, pois trata-se de continuidade de negócio em um cenário de gestão de crise diante de um caso de vazamento de dados. Segurança da Informação é feita por camadas e a LGPD obriga as empresas a ter novas camadas. As ferramentas de machine learning e inteligência artificial estão ganhando mais espaço ao auxiliar no mapeamento da informação, além de monitoramento da dark web entregando mais visibilidade.

Mas nem sempre o GAP tecnológico é algo preocupante, nessa corrida pela conformidade, um ponto importante como principal lição de casa é saber se a instituição está, de fato, usando todos os recursos das tecnologias já instaladas. Saber configurar bem uma solução é um ponto básico que muitas empresas erram.

O passo a passo dessa lição está diretamente ligado à pergunta inicial: o setor financeiro está preparado para as regulamentações? Talvez a melhor resposta seja que sim, mas com ressalvas, pois os C-Levels de Segurança da Informação sabem aonde precisam chegar, mas estão nesse momento traçando essa jornada, repensando força de trabalho, tecnologias existentes, soluções a serem adquiridas, conscientização e maturidade. Aqui, a tríade: tecnologia, processos e pessoas nunca fez tanto sentido.

Fonte: Security Report

ABES cria Grupo de Trabalho para discutir LGPD

Thu, 14 Mar 2019 00:00:00 GMT

Grupo de Trabalho tem como objetivos aprofundar o entendimento da nova Lei Geral de Proteção de Dados e promover o debate sobre seus impactos e desafios para o setor.

A ABES (Associação Brasileira das Empresas de Software) criou um Grupo de Trabalho (GT) sobre a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, mais conhecida como LGPD).

O novo GT tem como objetivo aprofundar o entendimento da lei e promover o debate sobre seus impactos e desafios para o setor, bem como discutir propostas relativas à futura regulamentação da LGPD.

Sancionada em agosto de 2018, é esperado que a LGPD produza efeitos a partir de 2020, tendo como metas garantir a privacidade de dados pessoais e implantar regras mais claras sobre os processos de coleta, armazenamento e compartilhamento dessas informações. A lei é aplicavel a todos os setores da economia e prevê sanções altas, principalmente no caso de vazamento de dados, com multas de até 2% do faturamento (limitadas a R$ 50 milhões).

Visando fomentar esse debate a associação está promovendo eventos de disseminação de conteúdo. Em fevereiro, realizou a palestra “Lei Geral de Proteção de Dados (LGPD) – Impactos, Perspectivas e Tendências”, que contou com a participação dos advogados Bruno Bioni e Renato Leite Monteiro, fundadores do Data Privacy Brasil. Ambos atuam na pesquisa e difusão de conhecimento sobre o impacto das tecnologias da informação sobre privacidade e proteção de dados pessoais.

“No Brasil, não temos a cultura de analisar ampla e detalhadamente o impacto dos regulamentos governamentais e, pelo fato da LGDP tratar-se de um assunto muito recente e de um problema extremamente complexo, que tem impacto na maioria das empresas brasileiras e grande parte da população, é importante trazer à luz detalhes muito importantes que, às vezes, passam desapercebidos. Criar o GT auxiliará na compreensão da lei, identificará os pontos a serem esclarecidos na regulamentação e trará para mais perto dos profissionais de tecnologia essas questões, suas implicações e um exemplo de Programa de Governança de Dados, de acordo com a nova lei”, conclui Francisco Camargo, presidente da ABES.

Fonte: Security Report

LGPD: Não compre promessas!

Thu, 07 Mar 2019 00:00:00 GMT

A maior discussão do mercado de tecnologia em 2018 foi a proteção de dados e as legislações que surgiram no mundo para multar as companhias que não ofereçam a segurança adequada para as informações de seus clientes.

Empresas de todos os portes e setores começaram uma corrida em busca da conformidade neste sentido, uma vez que GDPR, LGPD e outras leis prometem punições nada brandas a quem não se adequar. Mesmo com tamanha mobilização, este assunto está longe de ser equalizado.

Em uma pesquisa global feita pela consultoria Ernst & Young (EY), apenas 2% das empresas brasileiras acredita ter um sistema de segurança da informação eficaz e adequado. Essa insegurança pode ser explicada por tantos episódios recentes de vazamentos de dados não só no Brasil, como no Mundo.

Em nosso território, por exemplo, Netshoes e Banco Inter foram penalizados por não tomarem as medidas necessárias para proteger as informações de seus usuários. Ainda assim, podemos dizer que estas duas empresas deram “sorte” por serem julgadas antes do LGPD, uma vez que multas da nova lei podem variar entre R$ 50 milhões e 2% do faturamento total da empresa.

Hoje muitas empresas oferecem soluções que prometem a resolução dos problemas neste sentido. No entanto, devemos ficar bem atentos porque o que se observa é que a imensa maioria comercializa partes de conformidade, ou seja, há quem venda a farinha sem vender os ovos e quem venda os ovos sem vender o fermento, enquanto imaginamos que estamos comprando o bolo pronto.

Por exemplo, uma empresa investe em criptografia avançada para proteger os dados, mas quando tais informações passam para a ferramenta ou site de um terceiro, esta criptografia não garante mais a conformidade, e a companhia ainda pode – e deve – ser responsabilizada por algum eventual problema.

A única forma de equalizar este problema e trazer não só a segurança das informações, bem como a tranquilidade dos gestores é garantir visibilidade total dos dados, de ponta a ponta. Uma solução deve ser composta por vários itens: tecnologia, serviços e know-how integrados para fornecer visibilidade sistêmica. É importante também estar respaldado por soluções jurídicas que caminhem passo a passo com tecnologia. Somente desta forma, tecnologia e governança estarão em sintonia.

De nada adianta ter uma solução de proteção se ela não te dá possibilidade de análise e governança de forma que se possa definir níveis de titulares da informação, desenvolver a estratégia mais apropriada para mitigação dos riscos identificados.

A pesquisa da EY já aponta que o cenário é de empresas buscando tudo o que podem para não correrem riscos. 77% dos entrevistados buscam alternativas que vão além de proteção básica de cibersegurança, e investem em inteligência artificial, robotização de processos e análises automatizadas.

Ou seja, o foco deve ser uma completa política de segurança, não apenas a contratação de uma ou outra solução. Não há outra forma de proteger os dados que estão em posse de sua companhia que não comece por uma mobilização organizacional neste sentido.

Fonte: Security Report

Quatro passos para a implantação da Lei de Proteção de Dados

Mon, 18 Feb 2019 00:00:00 GMT

Comitê multidisciplinar, assessment do ambiente, desenho dos processos e implantação dos controles são os destaques dos processos de conformidade da LGPD descritos no artigo do Superintendente de Cyber Security na Conductor Meios de Pagamentos, Alex Amorim

Nos últimos meses, participei de diversas reuniões e apresentações sobre a LGPD (Lei Geral de Proteção de Dados), onde percebi que várias consultorias e escritórios de advocacia se tornaram especialistas do dia para a noite.

Nestas reuniões, muito se fala sobre a interpretação da lei, porém, não são apresentadas abordagens práticas – ou seja, como de fato implantar a LGPD nas organizações. Caso você se faça esta pergunta, a famosa resposta “depende” se aplica, pois cada organização tem um modelo diferente.

Para saber se a LGPD é aplicável à sua empresa, responda às seguintes perguntas:

· A empresa tem estabelecimento no Brasil?

· Oferecem serviços ao mercado/consumidor brasileiro?

· Coletam, tratam ou armazenam dados de pessoas localizadas no País?

Caso uma das respostas seja sim, você terá que aplicar os controles da lei em questão.

Com o intuito de colaborar com a comunidade de Segurança, resolvi escrever este artigo para fornecer um direcionamento com pontos relevantes a serem considerados.

Sendo assim, explico abaixo 4 passos que podem ser muito úteis para as organizações que desejam implantar a LGPD de forma prática:

1. Criação de um comitê multidisciplinar: dificilmente uma equipe única poderá avaliar todos os aspectos da lei. Assim, um dos primeiros aspectos que sugiro é a criação de um comitê multidisciplinar envolvendo, no mínimo, as seguintes equipes: Negócios, Jurídico, RH, Segurança, Infraestrutura e Desenvolvimento.

2. Assessment do ambiente: Para ter visibilidade de todo ecossistema da organização e suas efetivas aplicabilidades perante a lei, um assessment poderá ajudar a visualizar melhor onde deve-se aplicar os esforços, baseado na sua criticidade. Lembrando que os membros do comitê serão extremamente úteis para apoiar nesta fase, visto que os mesmos serão os pontos focais dentro de cada área para a realização do assessment.

3. Desenho dos processos: com base em todas as informações coletadas e mapeadas, este é o momento de direcionar os esforços. O comitê ajudará muito nesta etapa, considerando que todos deverão atuar em conjunto para que as atividades possam ser realizadas em paralelo.

4. Implantação dos controles: Após o mapeamento e desenho de todos os processos, tecnologias e pessoas que serão afetados pela adequação à LGPD, chegou a hora de colocar a mão na massa e seguir com a implantação do planejamento.

Com base nos pontos apresentados acima, as empresas poderão desenvolver uma jornada para cumprimento da lei que será possível somente com muita dedicação de todos os envolvidos. Visto que as atividades ocorrerão em paralelo, será necessária uma mudança de cultura na organização, para que todas as áreas passem a trabalhar dentro das normas da LGPD.

Bom, amigos, espero que este artigo tenha colaborado, pelo menos de forma macro, para que a sua jornada da Lei Geral de Proteção de Dados se inicie. Este será um grande desafio para diversas empresas do Brasil.

Sucesso a todos!

Fonte: Security Report

LGPD e as pequenas e médias empresas: impactos de curto prazo

Wed, 13 Feb 2019 00:00:00 GMT

Arley Brogiato, Gerente Geral da SonicWall para o Brasil, destaca em seu artigo os principais aspectos da Lei Geral de Proteção de Dados nas pequenas e médias empresas brasileiras, uma regulamentação que também dá oportunidade para os empresários avançarem na segurança de dados internos e de clientes

O Brasil conta, hoje, com 6,4 milhões de empresas. Desse total, 99% é formado de pequenas empresas (dados do SEBRAE). Universo que se espalha por todas as regiões e segmentos, o mundo SMB passa, hoje, por uma forte transformação digital. Um estudo do IDC Brasil aponta, no entanto, que 70% das SMB brasileiras enfrentam dificuldades em sua jornada digital. Garantir a segurança da informação é um desses desafios.

Neste contexto, o alinhamento da pequena empresa à Lei Geral de Proteção de Dados, a LGPD, é uma das maiores batalhas. Até agosto de 2020 todas as empresas brasileiras terão de seguir as regras da LGPD. As punições a quem não seguir a lei podem chegar a 2% do faturamento da empresa – o limite da multa é 50 milhões de reais. Para fiscalizar o mercado, o governo brasileiro criou, no final de 2018, a Agência Nacional de Proteção de Dados (ANPD), órgão que responde diretamente à Presidência da República.

Mais do que revolucionar a privacidade dos dados da pequena empresa, a LGPD será a métrica pela qual grandes corporações irão medir seus prestadores de serviços. Diminuirá de forma sensível a tolerância a players SMB que não possam garantir a segurança e a integridade dos dados de seus clientes.

A realidade é que as ameaças digitais efetivamente incidem sobre o universo SMB.

Se tomarmos como base somente os dados do SonicWall Security Center até julho de 2018, 175 milhões de ataques de malware e 95 milhões de tentativas de invasão foram identificados no Brasil. Uma correlação simples destes dados com o número de empresas apontadas pelo SEBRAE – mais de 6 milhões de CNPJs – confirma a percepção de que as pequenas empresas são alvo de ataques. Nos EUA, segundo pesquisa da National Cyber Security Alliance, mais de 70% dos ataques digitais são direcionados às pequenas e médias empresas.

A LGPD e as peculiaridades do universo SMB

Neste contexto, uma das ameaças mais preocupantes segue sendo o binômio phishing/ransomware. A falta de cultura de segurança dos funcionários do universo SMB, somada à ausência das corretas soluções de proteção, fazem da pequena empresa um alvo perfeito. Pesquisa da Polícia Militar de São Paulo apontou que, em 2017, o ticket inicial de ransomware no Brasil já estava em R$ 10.000,00.

Mas o pagamento do ransomware não é o maior mal.

Segundo levantamento feito pela Osterman Research em 2018 com 1000 empresas SMB europeias, o maior prejuízo vem do downtime causado pela indisponibilidade de aplicações e dados críticos para realizar negócios. Segundo este instituto de pesquisa, o tempo de inatividade da pequena empresa em caso de ataques variou de 25 a 100 horas.

Como, então, evitar esse quadro?

Inteligência Artificial e Aprendizado de Máquina

No contexto atual de insegurança, é necessário realizar uma abordagem que utilize recursos de inteligência artificial e aprendizado de máquina. Essa visão proporciona eficácia em segurança e redução de custos – dois objetivos muito presentes no universo SMB. Isso acontece porque a soma de AI com Machine Learning automatiza e integra diferentes recursos contra potenciais ameaças aos dados das organizações.

Recursos como estes proporcionam monitoramento e visibilidade de tráfego em tempo real contra ameaças e, também, definem vereditos sobre potenciais ameaças Zero Day.

Isso contribui para que a segurança de rede esteja em conformidade com a LGPD, de modo a entregar segurança em todas as instâncias do ambiente digital. Isso vale para o veículo de transmissão de ameaças: e-mail, navegadores, aplicações, arquivos, e até a memória e processadores de computadores. Essa mesma inteligência contra o crime tem de validar tanto o tráfego aberto como o criptografado, além de atuar em todas as estruturas de conectividade (redes cabeadas, sem fio, móvel ou remotas). A tecnologia deve, ainda, oferecer recursos integrados, capazes de promover a segurança dos mais diversos dispositivos, quer seja um PC ou Servidor, ou tablets, smartphones e dispositivos IoT.

Conformidade com LGPD como Serviço (“Compliance as a Service”)

Um tempero adicional desta discussão é o dilema internalizar recursos versus buscar provedores externos.

Diante da complexidade do quadro de ameaças digitais, muitos gestores têm optado por “terceirizar” parte de sua área de segurança e contratar o que o mercado denomina de provedores de serviços gerenciados de segurança, ou MSSP (Managed Security Services Provider). Quem adotar esse modelo pode contar com suporte 24×7 e garantias com base em níveis de serviço (SLA) pré-definidos e que determinam todas as obrigações do MSSP com a empresa SMB.

Este tipo de resposta, portanto, prevê a conformidade com a LGPD por meio de serviços contratados junto a terceiros.

Ainda assim, é bom lembrar que os dados críticos da pequena empresa continuam sendo de responsabilidade da empresa usuária – o MSSP é um parceiro que colabora para que as métricas de segurança e privacidade sejam atingidas.

Custo Total de Propriedade (TCO)

O desafio final para a grande maioria das SMB é equacionar a matemática dos investimentos que levarão à conformidade com a LGPD. Isso vale tanto para quem opta por ser proprietário da solução de segurança (modelo on premise) como para as empresas que decidiram terceirizar todo o aparato de segurança. É fundamental estimar projeções de médio e longo prazo e pensar no custo total de propriedade, do inglês TCO (Total Cost of Ownership).

Isso envolve contabilizar custos de manutenção, despesas com a implementação da solução e capacitação dos profissionais e funcionários, além de gastos com a renovação de serviços. O valor do TCO pode variar em função de gastos com suporte local, acesso à rede de parceiros daquela solução, etc.

Mudança de atitude é a chave do sucesso

Nada disso trará resultados se os gestores da pequena empresa não se empenharem em transformar os hábitos e o entendimento de seus funcionários e colaboradores.

A luta contra o crime digital vai muito além dos responsáveis pela tecnologia da empresa, sejam internos ou externos.

É fundamental que cada usuário compreenda todos os aspectos de operar seus negócios digitalmente, aceitando que, neste exato momento, existem criminosos tentando invadir empresas, roubar dados, derrubar sistemas. Vence esta guerra quem entende o mundo digital e ajusta sua atitude de acordo com essa realidade. A chegada da LGPD é uma oportunidade para empresários SMB avançarem na tratativa de seus dados internos e de seus clientes e provedores. A lei nada mais é do que um incentivo para que essa transformação aconteça, e aconteça agora.

Fonte: Security Report

Segurança de dados na Era de Compras 4.0

Wed, 06 Feb 2019 00:00:00 GMT

Apesar de oferecer um ecossistema mais personalizado, percebemos que o número de conexões tem um aumento significativo e a grande coleta e análise de dados tornam as informações mais vulneráveis, o que exige atenção especial

Revoluções são responsáveis por transformar. Em uma breve análise da linha do tempo, a primeira revolução industrial foi marcada pelo descobrimento da utilidade do carvão como fonte de energia e o desenvolvimento de máquinas à vapor e locomotivas. Já na segunda revolução, vimos o uso da eletricidade para auxiliar a produção em massa, além do surgimento das indústrias química, elétrica, petrolífera e de aço. Na terceira não foi diferente, tivemos a ascensão do uso da internet e a criação de novas tecnologias.

Muito discutido na atualidade, chegamos a Quarta Revolução Industrial ou Indústria 4.0, onde as empresas passaram a ser impactadas com mudanças de processos e a tecnologia se torna cada vez mais protagonista no dia-a-dia das organizações – tanto para facilitar processos como para trazer soluções específicas para cada necessidade e cliente.

Entretanto, apesar de oferecer um ecossistema mais personalizado, percebemos que o número de conexões tem um aumento significativo e a grande coleta e análise de dados tornam as informações mais vulneráveis, o que exige atenção especial para a segurança de dados.

Segurança de dados é fundamental

Normas para regulamentar o uso dos dados pessoais são pautas cada vez mais atuais e a preocupação com a segurança da informação é intensificada. Isso porque os pontos mais importantes dos negócios estão ligados a uma rede global de computadores e, se estes pontos caírem em mão erradas, o dano causado à empresa será tremendo.

Este é apenas um dos principais desafios, pois dentro de um cenário conectado os crimes cibernéticos se tornam mais abrangentes e cadeias produtivas interligadas podem ser alteradas ou até mesmo interrompidas por conta dos ataques, manipulação de dados, espionagem e outros. Fica evidente a necessidade do investimento em segurança por parte das empresas para evitar prejuízos na indústria.

Algumas medidas podem ser tomadas pelas empresas para implementar e desenvolver, de forma segura, o conceito de Indústria 4.0. Quando tratamos do acesso aos dados, a segurança da informação deve estar presente em todas as camadas. Assim, poderemos trabalhar os acessos, físicos e lógicos, em cada um dos níveis, liberando permissões ou bloqueando, dificultando o caminho de um possível hacker. Desta maneira, apenas quem tiver todas as “chaves” poderá chegar até o banco de informações.

Já na área de aquisição das empresas, outras dicas permitem que o processo seja feito de forma mais segura, tanto para a empresa, quanto para o cliente final.

Fonte: Security Report

Vazamento expõe 2,2 bilhões de senhas

Mon, 04 Feb 2019 00:00:00 GMT

Menos de um mês após o Collection #1, novas credenciais de login foram expostas em mega vazamento que ficou conhecido como Collection #2-5

A ESET alerta sobre o novo caso de vazamento de informações, apelidado de Collection #2-5, ou em português, Coleções de nº 2 a nº 5. Neste caso, o número de credenciais de login roubadas totaliza 2,2 bilhões de senhas, de acordo com o Instituto Hasso Plattner (HPB). Além disso, pelo menos uma parte dos últimos caches contém dados mais recentes, potencialmente representando riscos maiores aos usuários.

Há duas semanas, chegou às manchetes o caso que ficou conhecido como Collection #1, ou Coleção nº1, em português, no qual 773 milhões de logins e senhas foram expostos, enquanto outros dados circularam em fóruns de cibercriminosos. No entanto, essa era apenas uma parte de um estoque muito maior de informações sigilosas que vieram à público.

Como saber se foi vítima?

O Instituto Hasso Plattner opera um serviço semelhante ao do site de Troy Hunt, o Have I Been Pwned (HIBP), um serviço de consulta de informações roubadas, no qual, ao colocar a conta de e-mail, o usuário consegue saber se alguma de suas credenciais foi exposta em um destes grandes vazamentos de informações.

No entanto, ao contrário do serviço de Troy Hunt, o Identity Leak Checker inclui dados completos de todos os cinco caches que foram expostos desde o início do ano (Coleções de nº1 a nº5). Ou seja, é possível usar a ferramenta para verificar se alguma conta de e-mail, ou uma conta online associada ao e-mail, pode ter sido afetada por um dos vazamentos. Além de nomes e senhas para login, a ferramenta também consegue mostrar outras informações confidenciais que também podem ter sido expostas.

C omo se proteger?

Bancos de dados com logins roubados podem ter grandes implicações, especialmente devido à prática de muitos internautas de reutilizar suas senhas em vários serviços. Os invasores podem explorar isso com uma técnica automatizada conhecida como “preenchimento de credenciais”, que pode fornecer acesso a outras contas online, possivelmente de maior valor, em que a vítima usa as mesmas credenciais de acesso.

Para se proteger, recomenda-se criar senhas únicas e fortes:

– Use caracteres alfanuméricos;

– Utilize caracteres especiais;

– Faça senhas com mais de 10 caracteres;

– Além disso, configure o Duplo Fator de Autenticação sempre que possível, isso ajudará a impedir que cibercriminosos entrem em sua conta, mesmo sabendo a senha.

Fonte: Security Report

Banco Banpará assegura disponibilidade de serviços e aplicações

Thu, 31 Jan 2019 23:50:25 GMT

Banco do Estado do Pará apostou na solução de visibilidade da NETSCOUT e garantiu monitoramento e modernização

O Banpará, Banco do Estado do Pará, um dos cinco bancos estaduais existentes no Brasil e um dos mais conceituados bancos de varejo do país, adotou a nGeniusONE Service Assurance Platform, da NETSCOUT, para garantir a disponibilidade de seus serviços num quadro de expansão de negócios e contínuo crescimento de sua infraestrutura.

Fundado há 57 anos, o Banpará nos últimos sete de sua história cresceu mais do que nos primeiros 50. Com apenas 42 agências em 2011, o banco hoje está presente em todos os 144 municípios do estado, além de oferecer serviços digitais a seus clientes.

A instituição precisou ampliar sua infraestrutura de TI para acompanhar essa expansão, visando a bancarização da população e fomento de negócios, investindo, assim, em novas soluções que garantissem seu crescimento com segurança e um maior portfólio de serviços.

Avanço seguro

O crescimento do banco e a realidade do mercado financeiro exigiam um controle tecnológico que ultrapassava em muito os recursos dos sistemas legados. Para manter a disponibilidade dos serviços do banco e a comunicação IP sem interrupções e segura era preciso atualizar sua infraestrutura.

Assim, o Banpará viu a necessidade de monitorar o tráfego em toda sua rede. Buscava uma estrutura de monitoramento proativa, de modo a permitir a identificação de situações de degradação antes de ocorrer indisponibilidade da rede; e que, no caso de acontecer algum problema, pudesse facilitar a sua rápida correção. Com a tecnologia da NETSCOUT, o banco pode solucionar problemas de maneira rápida e eficiente e garantir a entrega de serviços de alta qualidade a funcionários e clientes.

Confiança e parceria

Depois de passar por provas de conceito, a NETSCOUT foi escolhida como a melhor opção, pela capacidade de oferecer visibilidade ao longo de toda a infraestrutura do Banpará e das aplicações que utiliza, permitindo ao banco monitorar questões relativas a desempenho ou anomalias no comportamento da rede e aplicativos.

Enquanto os dispositivos de agregação e TAPs garantiram visibilidade completa do tráfego da rede, as soluções analíticas NETSCOUT contribuíram para entregar ao banco uma visão abrangente do desempenho de serviços e aplicações, incluindo o monitoramento de todo o ambiente virtualizado por meio do vSTREAM, appliance virtual que estende sua patenteada tecnologia Adaptive Service Intelligence (ASI) à virtualização em nuvem pública e privada. Dessa forma, o Banpará conta com visibilidade em todo o seu ambiente híbrido.

“A qualidade dos serviços que a NETSCOUT vem oferecendo supera as expectativas do banco, e nos leva a fortalecer essa parceria. Temos certeza de que qualquer expansão que o banco faça em sua rede, em seus serviços, deverá contar com o monitoramento eficaz da NETSCOUT. E esse monitoramento permite consolidar os serviços que o banco oferece”, diz Eugênio Pessoa, diretor de Tecnologia do Banpará.

Resolução de problemas

A plataforma nGeniusONE permite que as equipes de TI do Banpará identifiquem a causa dos problemas de desempenho afetando aplicativos em todo o ambiente do banco. Dessa forma, as equipes de TI do Banpará podem rapidamente fazer a triagem dessas questões, mesmo em ambientes complexos, com vários fornecedores – o que reduz, em última análise, o tempo médio de reparo (MTTR).

A plataforma nGeniusONE fornece às equipes de TI do Banpará uma abordagem top-down eficiente para análise situacional, identificação e resolução de problemas. Utilizando um conjunto de fluxos de trabalho orientados a serviços, a plataforma nGeniusONE permite a transição contextual entre várias camadas de análise, facilitando, dessa forma, a transferência da tarefa de resposta a incidentes entre diferentes grupos de TI do Banpará – o que promove a colaboração e aprimora a capacidade de identificar e corrigir rapidamente questões que venham a impactar a qualidade dos serviços para os clientes do banco.

Fonte: Security Report

Revolução digital aumenta necessidade de segurança dos dados

Wed, 30 Jan 2019 00:00:00 GMT

Revolução digital aumenta necessidade de segurança dos dados

Com o avanço da tecnologia, as organizações também passaram a captar mais informações dos consumidores e viram nelas diversas oportunidades de crescimento baseada no comportamento deles

Em maio de 2018, o GDPR (General Data Protection Regulation) entrou em vigor com objetivo de proteger os cidadãos europeus e garantir sua privacidade. Ao responsabilizar as empresas e organizações sobre a coleta, armazenamento e utilização de informações de todas as pessoas da União Europeia, a lei tem um papel importante não só na região, mas para todos que possuem a intenção de se relacionar com empresas europeias ou coletam dados de seus cidadãos.

Quando discutimos a privacidade de dados, a primeira coisa que passa pela mente das pessoas são as redes sociais e todas as informações que depositamos nelas. Decisões políticas de extrema relevância, como as eleições norte-americanas de 2016 e o Brexit (saída do Reino Unido da União Europeia), foram cercadas por questionamentos sobre a influência dos meios digitais perante suas resoluções, principalmente das fake news.

Essas situações provam que o impacto dos dados vai muito além de redes sociais, direcionando, inclusive o futuro de um país. E, regulamentações como essa se tornam cada vez mais relevantes, principalmente após escândalos como o da Cambridge Analytics, que levou o mercado a dar mais atenção ao assunto, até então, um pouco incipiente. Ainda assim, seus impactos vão muito além do cenário apresentado.

Com o avanço da tecnologia, as organizações também passaram a captar mais informações dos consumidores e viram nelas diversas oportunidades de crescimento baseada no comportamento deles. A revolução digital intensificou ainda mais a coleta de dados e os sistemas que usam eles em escala evoluíram de forma que nem imaginávamos.

Hoje, os dados dos indivíduos são realmente um bem precioso para empresas e governos. Entretanto, precisam ser tratados de forma segura e correta para não comprometer nem as pessoas, nem os negócios. A irresponsabilidade pode custar caro e causar legítimos impactos sociais.

Nos Estados Unidos, empresas de cartões de crédito instauraram um protocolo de segurança para regular a indústria, visando a proteção dos dados transacionados em e-commerces. Desta forma, ao comprar uma passagem de avião, por exemplo, algumas companhias aéreas salvam seus dados bancários para agilizar o processo em uma próxima compra. Com o protocolo americano, para isso acontecer, é preciso que todas as informações sejam criptografas e que as empresas garantam que todos os patches de segurança necessários estejam instalados e atualizados.

Isso ainda não acontece no Brasil, mas com o GPDR e a LGPD, lei local similar à europeia aprovada no País recentemente, acredito que veremos iniciativas como essa, não só no segmento de cartões de crédito, mas em todos os setores. O fator motivador é a responsabilidade das organizações em relação ao tratamento e vazamento dos dados coletados – isso sem falar das multas milionárias e do impacto na imagem e reputação das empresas. No cenário atual, em que convivemos com muitas fake news e um aumento da preocupação dos consumidores com a responsabilidade das empresas e a experiência do usuário, isso se torna ainda mais relevante. Tecnologias para auxiliar neste processo já existem.

Fonte: Security Report

Vulnerabilidade afeta SEI e ameaça órgãos públicos

Tue, 29 Jan 2019 00:00:00 GMT

Falha descoberta em sistema desenvolvido e cedido pelo TRF-4 expõe dados sensíveis de usuários cadastrados no MEC e FNDE, além de apontar caminhos para pastas acessíveis através de endereços eletrônicos que podem conter credenciais de acesso de diversos órgãos e entidades públicas.

Apenas um dia após o Dia de Privacidade de Dados , que busca conscientizar empresas e população sobre os riscos cibernéticos, um novo vazamento foi descoberto em um software de código aberto utilizado por órgãos públicos.

A Security Report teve acesso, por meio de especialistas que solicitaram sigilo, a três links do Pastebin que continham informações vazadas (os links foram removidos ao longo da apuração). Um deles apresentava testes de vulnerabilidade no módulo de pesquisa pública realizados em instalações do SEI (Sistema Eletrônico de Informações) de órgãos públicos.

Dentre as instituições afetadas estão Ministérios (Educação, Saúde, Agropecuária, entre outros), entidades públicas (Correios, Susep, Fiocruz, entre outros), universidades (UFRGS, UFRJ, UnB, UFMT, entre outras), governos (RO, GO, PE, entre outros) e Tribunais de Justiça (TJES, TJDFT).

Nele era possível verificar endereços diretos (URLs) para pastas dentro dos servidores que, aparentemente, continham informações de credenciais de acesso, conforme a imagem abaixo:

Outros dois links também continham bancos de dados com informações sensíveis (nomes, CPFs, e-mails, endereço, telefones e data de nascimento) de usuários cadastrados em sistemas do MEC (Ministério da Educação e Cultura) e do FNDE (Fundo Nacional de Desenvolvimento da Educação).

Sistema Eletrônico de Informações

O software de código aberto utilizado pelos órgãos públicos afetados pelo vazamento é desenvolvido e fornecido gratuitamente pelo TRF-4. Trata-se de um sistema de gestão de processos e documentos eletrônicos desenvolvido com recursos públicos e que necessita de Ofício assinado por autoridade competente para ser utilizado, seguindo um acordo de cooperação técnica e plano de trabalho definidos.

Segundo portal de Software Público do governo, o sistema busca a liberação de um suporte físico (como o papel) para documentos institucionais, compartilhamento de informações e comunicação em tempo real.

De acordo com especialistas consultados pela Security Report, softwares comprados de desenvolvedoras privadas permitem que se recorra em relação à falha; a empresa pode ser mais facilmente responsabilizada. O mesmo não acontece com sistemas como o SEI.

A recomendação é que as organizações façam análises de vulnerabilidades e pentest em softwares adquiridos ou cedidos, especialmente os de código aberto.

A reportagem entrou em contato com as assessorias de várias instituições relacionadas no vazamento. Até o momento de fechamento dessa matéria, apenas o Ministério da Saúde se pronunciou:

“O Ministério da Saúde informa que detectou um problema no modulo de pesquisa do Sistema Eletrônico de Informações (SEI), e que já corrigiu o problema. A pasta ressalta que o Departamento de Informática do SUS (DATASUS) trabalha, entre outras ações, no sentido de garantir a segurança e operabilidade dos sistemas de saúde de todo o país.”

Fonte: Security Report

Mais segurança no armazenamento e uso de dados pessoais

Mon, 28 Jan 2019 19:20:20 GMT

Reclamações envolvendo problemas de transparência e uso inadequado de informações sensíveis aumentaram 137% entre 2016 e 2017, segundo levantamento do Idec; principal queixa é sobre a publicação, consulta ou coleta sem autorização.

O volume de informação digital criada, coletada e armazenada cresceu exponencialmente no Brasil em consequência das oportunidades geradas pela economia digital. Mas quantidade de dados circulando nas redes e à disposição facilitou também o uso indiscriminado dos mesmos. Não é de hoje que empresas de grande reputação no mercado têm recebido ataques virtuais e dados dos consumidores são expostos. Com uma vida cada vez mais on-line, como garantir que dados básicos dos usuários estejam seguros, como números de CPF, cartão e celular, endereços físicos ou de e-mail? O vazamento de informações é hoje uma questão relevante. Perfil e hábitos pessoais tornaram-se produtos de valor para empresas que os utilizam para impactar com estratégias de marketing direcionadas.

Levantamento do Instituto Brasileiro do Consumidor (Idec) mostra que reclamações envolvendo problemas com transparência e uso inadequado de informações pessoais aumentaram 137% entre 2016 e 2017. Do total, a principal queixa é em relação a publicação, consulta ou coleta de dados pessoais sem autorização do consumidor, que equivale a 63% das 95 mil reclamações registradas.

Inspirada na The General Data Protection Regulation (GDPR), que está em vigor desde 25 de maio de 2018 na Europa, o Brasil sancionou em 14 de agosto, a Lei Geral de Proteção de Dados (LGPD), que estabelece regras sobre coleta, tratamento, armazenamento e compartilhamento de dados pessoais, abrangendo todos os setores da economia, seja no ambiental físico ou virtual. A lei dá prazo até início de 2020 para as empresas se adequarem.

Com regras rigorosas, a lei altera a forma com que as organizações públicas e privadas devem processar e armazenar dados pessoais, sob pena de multas de até 2% do faturamento de pessoa jurídica, com limite a R$ 50 milhões. As empresas passam a ser obrigadas, por exemplo, a relatar qualquer vazamento de informação.

Desenvolvemos no Bureau Veritas uma Norma Técnica para auxiliar as empresas na implantação de políticas e procedimentos para atender à LGPD, garantindo o fornecimento de produtos e serviços dentro das regras, mais segurança da informação e proteção à reputação da companhia. Além de disponibilizá-la para download, possuímos uma série de serviços para apoiar as empresas no atendimento da LGPD, como certificação e treinamento.

Fica claro que a LGPD deve modificar em muito o cenário de uso de dados no Brasil e impor uma mudança cultural nas empresas. As que estiverem mais comprometidas poderão utilizar-se de ferramentas que destaquem sua responsabilidade, melhorando ainda sua reputação diante dos consumidores. A certificação, por exemplo, garante ao consumidor que aquela empresa é adepta de boas práticas de gestão e possui compromisso com a proteção de dados. As certificações são reconhecidamente críveis e imparciais quando são outorgadas por órgãos independentes, utilizando métodos transparentes de aferição garantindo a conformidade dos processos.

Fonte: Security Report

Por que a Apple está tão interessada em uma lei de proteção de dados nos EUA

Fri, 18 Jan 2019 19:22:26 GMT

Depois de a União Europeia aprovar a GDPR , lei de proteção de dados pessoais, outros países começaram a se movimentar para criar suas próprias legislações voltadas à privacidade. Foi o caso do Brasil, que no ano passado aprovou a LGPD – Lei Geral de Proteção de Dados. Agora, os Estados Unidos estão discutindo algo similar.

Nesta quarta-feira (16), o senador republicano Marco Rubio apresentou a American Data Dissemination Act , uma lei que obrigaria a FTC, órgão de proteção ao consumidor e de regulação do comércio, a submeter recomendações detalhadas com as exigências de privacidade às empresas de tecnologia.

A ideia é similar às outras legislações que citamos. Como os Estados Unidos ainda não possuem diretrizes federais para a proteção de dados, a nova lei criaria um marco regulatório para a coleta, tratamento e uso de dados pessoais no país inteiro. Há controvérsias sobre o modelo da legislação, pela atribuição ao FTC e por retirar autonomia dos estados. Ainda assim, é um dos primeiros passos dos legisladores americanos na tentativa de regulamentação das empresas de tecnologia.

Tratam-se de regras que afetam diretamente o modelo de negócios de muitas companhias, de pequenas a grandes.

À par das movimentações do congresso americano, o CEO da Apple, Tim Cook, publicou uma carta na Time Magazine pedindo a aprovação da legislação. Na missiva, ele desafiou empresas para que interrompam a coleta de dados pessoais de consumidores.

Você poder ler um trecho carta de Tim Cook na íntegra abaixo:

Em 2019, chegou a hora exigir o direito pela privacidade – a sua, a minha, de todos. Consumidores não devem tolerar outro ano de companhias acumulando de forma irresponsável grandes perfis de usuários, vazamentos de dados que parecem fora de controle e a impossibilidade de controlarmos a nossa própria vida digital.

Esse problema tem solução – ele não é muito grande, muito desafiador, nem está muito tarde. Inovação, ideias grandiosas e grandes funcionalidades podem andar de mãos dadas com a privacidade dos usuários – e devem. Perceber o potencial da tecnologia depende disso.

É por isso que eu e outros pedimos para que o Congresso dos Estados Unidos aprove uma abrangente legislação federal de privacidade – um pacote de referência de reformas para proteger e dar poder ao consumidor.

Confira a versão na íntegra , em inglês, na Time Magazine .

Essa não é a primeira vez que a Apple sai em defesa do direito à privacidade. Durante a CES 2019, por exemplo, a companhia comprou um espaço publicitário enorme em um dos edifícios próximo a um dos locais da feira para afirmar que “o que acontece no seu iPhone, fica no seu iPhone”. O próprio Tim Cook disse que acredita que a privacidade é “um direito humano fundamental” .

A privacidade é, de fato, um dos valores da Apple. É uma das vantagens comerciais de seus produtos. Justamente por isso, a companhia defende a pauta com unhas e dentes.

As principais concorrentes da empresa são dependentes do modelo de negócios baseado na coleta e tratamento de dados.

O Facebook, que se envolveu em todos os tipos de escândalos relacionados aos dados pessoais no ano passado, gera praticamente todas as suas receitas com anúncios publicitários . No terceiro trimestre de 2018, US$ 13,5 bilhões foram arrecadados com publicidade , enquanto pagamentos e outras taxas representaram US$ 188 milhões em receitas.

E o Google, que talvez seja um rival mais pesado para a Apple, não foge desse cenário: 85,8% dos US$ 33,7 bilhões que entraram na empresa no terceiro trimestre de 2018 vieram da venda de publicidade, que são precisas graças à coleta pesada de informações a partir de todos os seus produtos.

Isso só para citar duas grandes corporações, donas dos serviços mais populares em computadores e celulares do mundo inteiro. Há ainda empresas menores dependentes, em parte, desse modelo: Spotify e Netflix, para não fugirmos dos serviços que devem ser oferecidos pela Apple. E embora Amazon e Microsoft dependam menos da coleta de dados, não são empresas que vendem privacidade.

A Apple, por sua vez, tem o grosso de sua receita na venda de hardware – e hardware caríssimo. Dos US$ 62,8 bilhões em receitas no quarto trimestre de 2018, 61% vieram de vendas internacionais. Uma legislação que regulamente a coleta de dados é interessante para derrubar os concorrentes e fortalecer a estratégia atual.

Outro mercado de interesse para a empresa da maçã e que se vale pesadamente da coleta de dados é a saúde. Os marcos regulatórios de privacidade são importantíssimos na área para impedir abusos. Em uma recente entrevista à CNBC , Tim Cook disse que quando as pessoas olharem para trás dirão que “a contribuição mais importante da Apple para a humanidade foi no setor de saúde”.

A privacidade é produto, e um produto caríssimo.

Fonte: GIZMODO

Vazamento enorme afeta 800 milhões de emails e senhas; veja se foi afetado

Thu, 17 Jan 2019 00:00:00 GMT

Um número inacreditável de quase 800 milhões de emails e senhas foi vazado recentemente na internet. De acordo com a Wired, a brecha foi notada pelo pesquisador de segurança Troy Hunt e contém mais de 12 mil arquivos, com 87 gigabytes de dados, postados em um fórum hacker. A falha gigante envolve 772.904.997 endereços de email únicos, além de mais de 21 milhões de senhas únicas. Essa é considerada uma das maiores brechas de segurança envolvendo vazamentos de email na história.

Os números acima, por sinal, não refletem a real quantidade de dados vazados. Isso porque o pesquisador fez um esforço de limpar os dados duplicados e inutilizáveis. Na forma crua, o número de endereços de email e senhas passava de 2,7 bilhões - incluindo mais de um bilhão de combinações únicas de emails e senhas. Troy Hunt mantém o site Have I Been Pwned. Na plataforma, você pode descobrir se o seu email ou a sua senha já foram comprometidos em alguma brecha na história --ele oferece até mesmo em quantos vazamentos seu email já esteve envolvido.

Como posso ser afetado?

A lista vazada parecer ser projetada para uso nos chamados ataques de preenchimento de credenciais, em que hackers entram com email e combinações de senhas em um site ou serviço. Esses são processos tipicamente automatizados, que confiam principalmente em pessoas que reutilizam as mesmas senhas em vários sites.

Pelo vazamento ter aparecido em um dos sites de armazenamento na nuvem mais populares na atualidade, o Mega, e não somente na deep web, Hunt vê a questão como séria. Os dados não estavam à venda, mas disponíveis para quem quisesse ver.

A maneira como eles estavam organizados também preocupa. "São senhas em texto simples. Se levarmos em conta um vazamento como o do Dropbox, eram 68 milhões de endereços de email, mas as senhas eram criptografadas, tornando-as muito difíceis de usar", explicou Hunt.

Ou seja: para os dados serem utilizados, basta o malfeitor rolar a tela e clicar. Sergey Lozhkin, especialista em segurança da Kaspersky Lab, explicou o tamanho do problema:

“Essa coleção pode virar uma lista de emails e senhas: tudo o que precisam fazer é criar um software simples para checar se as senhas estão funcionando”

"As consequências do acesso à conta podem variar de phishing muito produtivo, pois os criminosos podem enviar emails infectados para contatos da vítima, até ataques projetados para roubar toda a identidade digital ou dinheiro da vítima ou comprometer os dados da rede social"

O hack

Chamada de Collection #1, essa brecha é a maior que Hunt já testemunhou. E ela não envolve apenas o vazamento de um serviço --é uma chamada "brecha das brechas", que agrega mais de 2.000 bases de dados vazadas.

"Parece ser uma coleção aleatória de sites puramente para maximizar o número de credenciais disponibilizadas para hackers. Não existem padrões óbvios", afirmou Hunt à Wired.

Apesar de os dados envolvidos não contarem com informações sensíveis, como CPF e números de cartões, a falha é séria e histórica. Mais de 140 milhões de emails e mais de 10 milhões de senhas vazadas nessa falha, por exemplo, são novos no banco de dados de Hunt. O vazamento do Yahoo, por exemplo, teria afetado 3 bilhões de usuários, mas as informações vazadas não vieram a público até agora.

Como se proteger

Para se proteger da brecha, o usuário pode seguir algumas dicas.

- Verifique se seu email e senha já foram expostos em alguma falha acessando o Have I Been Pwned

- Se teve alguma informação exposta, mude a senha das suas contas. Considere também sempre mudar senhas de tempos em tempos.

- Use senhas fortes para contas mais importantes ou confidenciais (como internet banking ou redes sociais)

- Considere usar um gerenciador de senhas

- Ative a autenticação de dois fatores sempre que possível nos serviços.

Fonte: UOL Tecnologia

Discussões sobre novas tecnologias terão destaque no Judiciário em 2019

Tue, 15 Jan 2019 00:00:00 GMT

Para os sócios do escritório Opice Blum, temas como proteção de dados e blockchain ganharão espaço.

Discussões envolvendo temas relacionados à proteção de dados e novas tecnologias, em especial blockchain, serão destaques no Judiciário em 2019. A aposta é dos sócios Marcos Bruno, Caio César Lima e Camila Jimene, do escritório Opice Blum, Bruno, Abrusio e Vainzof Advogados.

Para os sócios, o ano de 2018 foi “proveitoso”, especialmente com a criação, em dezembro, da Autoridade Nacional de Proteção de Dados, a quem caberá a implementação e fiscalização da Lei Geral de Proteção de Dados Pessoais (LGPD), que estabelece normas para o tratamento de dados pessoais, sancionada pelo ex-presidente Michel Temer (MDB) em agosto de 2018.

Sobre os principais casos do escritório, principalmente na área de tecnologia, os sócios destacam a extinção da primeira ação indenizatória no Brasil ajuizada por empresa que estabeleceu algoritmo para captar de forma robotizada possíveis vítimas de vazamento de dados.

“Outro caso interessante foi a sentença de procedência determinando ao YouTube a verificação prévia de conteúdos na plataforma para efeitos de remuneração de vídeos de brincadeiras perigosas voltados às crianças e adolescentes”, afirmaram os sócios.

Leia a entrevista na íntegra:

Quais áreas registraram crescimento e quais tiveram retração em 2018?

Tivemos crescimento da área de Privacidade e Proteção de Dados. Nenhuma área teve retração.

Os movimentos surpreenderam o escritório ou os avanços e recuos eram esperados nestas áreas?

Não só esperado como planejado com preparação da equipe já há alguns anos.

Quais as grandes vitórias da banca em 2018 tanto no Judiciário quanto no âmbito administrativo? E quais as derrotas mais sentidas?

Tivemos a extinção da primeira ação indenizatória no Brasil ajuizada por empresa que estabeleceu algoritmo para captar de forma robotizada possíveis vítimas de vazamento de dados e pretendia exercer direitos creditórios dos consumidores contra o fornecedor.

Outro caso interessante foi a sentença de procedência determinando ao YouTube a verificação prévia de conteúdos na plataforma para efeitos de remuneração de vídeos de brincadeiras perigosas voltados às crianças e adolescentes.

Além disso, tivemos a detecção de redes artificiais de fake news durante o processo eleitoral e condenação dos responsáveis, com a definição de critério inédito para quantificar o valor da indenização.

O que esperava que aconteceria neste ano que na prática não se concretizou?

Entendemos que 2018 foi muito proveitoso, especialmente com a criação, no final do ano, da Autoridade Nacional de Proteção de Dados, a quem caberá, entre outros, zelar, implementar e fiscalizar o cumprimento da Lei Geral de Proteção de Dados Pessoais.

O escritório aposta em quais áreas para crescer em 2019?

Privacidade e Proteção de Dados.

Quais as perspectivas para o mercado de advocacia em 2019?

A Retomada do investimento externo no Brasil com um cenário econômico de euforia pela sucessão presidencial.

Quais as perspectivas do escritório sobre o Judiciário em 2019?

Principalmente as discussões envolvendo temas relacionados à proteção de dados e novas tecnologias, em especial blockchain.

Qual lei o escritório espera que será o grande destaque do próximo ano?

A Lei Geral de Proteção de Dados (LGPD).

O que o escritório espera do novo governo?

A adoção de medidas necessárias à garantia do crescimento econômico, e consequente aquecimento do mercado, atenção para a questão de proteção de dados, especialmente por meio da criação da Autoridade Nacional de Proteção de Dados e, além disso, também esperamos a adoção de medidas necessárias à garantia do crescimento econômico, e consequente aquecimento do mercado.

Fonte: JOTA

ANPD traz novo prazo, mas faltam independência e orçamento

Mon, 14 Jan 2019 00:00:00 GMT

A criação da Autoridade Nacional de Proteção de Dados e prazos estendidos coloca o Brasil em um nova fase de prevenção e conscientização da proteção de dados em 2019; independência e orçamento definido são os principais pontos que devem ser ajustados na MP, na opinião de especialista.

A partir de agora, a comunidade de Segurança Cibernética no Brasil respira mais aliviada sobre os pontos polêmicos da LGPD como a criação de uma agência reguladora e o prazo apertado para a vigência da Lei. Com a Medida Provisória 869/2018 assinada por Michel Temer no fim do mandato e a criação da Autoridade Nacional de Proteção de Dados (ANPD), as empresas brasileiras terão todo o ano de 2019 para trabalhar em prol da regulamentação.

De acordo com o documento assinado, o órgão ficará ligado à Presidência da República. Na opinião da Dra. Patrícia Peck Pinheiro, advogada especialista em Direito Digital, esse é um dos pontos frágeis da MP: “A vinculação da ANPD à Presidência da República pode trazer dependência política, estando sujeita a acordos e indicações pelo próprio presidente. Deveria haver uma autonomia, uma independência, que seria essencial para uma Autoridade desse nível”, afirma Dra. Patrícia.

Independência e orçamento

Segundo a advogada, será necessário também corrigir a questão do orçamento da ANPD, que é importante para garantir uma sustentabilidade do órgão à longo prazo. “A presidente da Autoridade de Proteção de Dados de Portugal fez uma declaração recentemente ressaltando a dificuldade de investigar cerca de 160 denúncias de violações da GDPR em apenas 6 meses da lei em vigor, mesmo contando com equipe própria e verba própria. O mesmo não pode acontecer no Brasil, pois a MP cita a criação da ANPD sem aumento de despesas”, revela a Dra. Patrícia.

A MP 869 também mudou outros itens da LGPD. Entre eles, o prazo de vigência, que estava prevista para fevereiro de 2020, agora entrará em vigor em 15 de agosto do mesmo ano. Na prática, as empresas ganharam mais seis meses para se adaptar ao texto legal.

“Para o mercado é um alívio, pois caso o prazo se mantivesse o mesmo, poderia ocorrer uma fiscalização difusa. Haveria uma complexidade muito grande em virtude da possibilidade de serem judicializadas ações em qualquer local do país. A ANPD centraliza e simplifica esse processo”, esclarece a advogada.

De acordo com a Dra. Patrícia, além desses princípios, a ANPD também tem o propósito de propor melhorias contínuas da LGPD, fiscalizar entidades privadas e públicas, conscientizar a população, entre outros afazeres.

“Ainda estamos no prazo para que a MP seja ajustada com esses pontos, tendo garantidas sua autonomia e orçamento, e isso precisa ser cobrado pelas empresas, profissionais e especialistas do setor”, finaliza a advogada. A Medida Provisória 869 ainda deverá ser discutida pelo Congresso Nacional antes de ser enviada para sanção presidencial.

Novo prazo pode ser uma cilada

A criação da autoridade também traz um alívio para muitas empresas que, no ano passado, estavam perdidas em relação aos principais passos a serem dados no sentido de se preparar para a regulamentação, principalmente as pequenas e médias, que muitas vezes não possuem tanta maturidade em segurança e nem profissionais qualificados internamente.

A expectativa agora com a criação da autoridade e o prazo estendido é que as empresas consigam estabelecer um cronograma de ação. Entretanto, corre-se o risco de que muitas, ao ganharem mais tempo, também prorroguem o prazo para tomar as medidas necessárias. Exatamente nesse ponto reside o maior risco, segundo Patrícia Peck.

Deixar para última hora e achar que pode dar o famoso “jeitinho brasileiro” pode não funcionar nesse caso, já que além das questões legais existe uma lição de casa importante que é mapear os dados pessoais, avaliar como estão capturados, armazenados, acessados e protegidos. Isso implica em rever processos, avaliar tecnologias de segurança da informação e pessoas envolvidas.

Fonte: Security Report

Série de roubos cibernéticos utiliza técnica já existente em malware brasileiro

Fri, 11 Jan 2019 00:00:00 GMT

Assim como o Prilex, ataque foi criado para acessar remotamente a rede corporativa de, pelo menos, oito bancos na Europa Oriental. A sofisticação do ataque dificulta a detecção do malware, que já gerou dezenas de milhões de dólares em prejuízos

Ao longo de 2017 e 2018, os especialistas de segurança trabalharam na resposta a incidentes de uma série de roubos cibernéticos que visavam organizações financeiras na Europa Oriental. Os pesquisadores descobriram que, em todos os casos, a rede corporativa havia sido violada por meio de dispositivos desconhecidos controlados pelos invasores e que tinham sido contrabandeados para os prédios das empresas e conectados às suas redes internas. Até o momento, pelo menos oito bancos foram atacados desta forma e os prejuízos são estimados em dezenas de milhões de dólares.

Os cibercriminosos usaram três tipos de dispositivos: um laptop, um Raspberry Pi (computador de placa única, do tamanho de um cartão de crédito) ou um Bash Bunny (ferramenta especialmente projetada para automatizar e realizar ataques via USB), equipado com um modem GPRS, 3G – ou 4G -, que permitiu que os invasores penetrassem remotamente na rede corporativa da organização financeira.

Uma vez estabelecida a conexão, os cibercriminosos tentaram acessar os servidores web para roubar os dados de que precisavam para executar o RDP (protocolo para área de trabalho remoto) em um computador específico para depois se apropriarem do dinheiro ou dados sensíveis. Este método de ataque sem arquivo incluía o uso de kits de ferramentas de execução remota Impacket, winexesvc.exe ou psexec.exe. Na fase final, os criminosos usaram o software de controle remoto para manter aberto o acesso ao computador infectado.

“No último ano e meio, temos observado um tipo completamente novo de ataques a bancos, bastante sofisticado e complexo em termos de detecção. O ponto de entrada para a rede corporativa permaneceu desconhecido por muito tempo, já que poderia estar localizado em qualquer escritório em qualquer região. Esses dispositivos desconhecidos, contrabandeados e escondidos por intrusos, não podiam ser encontrados remotamente. Além disso, o grupo especializado por trás deste APT usava utilitários e/ou aplicativos legítimos, o que complicou ainda mais a resposta aos incidentes”, diz Sergey Golovanov, especialista em segurança da Kaspersky Lab.

Esta técnica não é novidade na América Latina, que desde 2014 enfrenta o Prilex, golpe que começou atacando caixas eletrônicos e depois evoluiu para roubar cartões de crédito protegidos por senha e chip via sistemas de ponto de venda (POV). Segundo Fabio Assolini, analista sênior de segurança da Kaspersky Lab na América Latina, o malware brasileiro utiliza um blackbox e um modem 3G para viabilizar os ataques aos caixas eletrônicos. “Ataques de blackbox têm se tornado cada vez mais comuns contra grandes e médias empresas. Eles exploram falhas na segurança física e pontos de redes expostos, que possibilitam um ataque que comprometerá o ambiente digital da empresa, no melhor estilo “Mr. Robot”. Sua detecção é difícil, mas não é impossível. As empresas têm que investir em inventário de hardware e controle de dispositivos conectados à rede, a fim de diminuir o “shadow IT”, além de adotar outras boas práticas de segurança”, explica o analista.

Fonte: Security Report

Previsões de cibersegurança para 2019

Wed, 09 Jan 2019 00:00:00 GMT

Grandes e pequenas empresas começam a se adaptar à Lei Geral de Proteção de Dados

A criação da Agência de Proteção de Dados (ANPD) já no final do Governo Temer traz à tona a importância das empresas se preparem para o novo cenário regulatório no Brasil com a LGPD (Lei Geral de Proteção de Dados). O tempo para a preparação e cumprimento das normas se encerra em 2020, no entanto, enfrentamos um cenário em que o mercado ainda não está preparado. Grandes e médias empresas devem incluir em seu orçamento um projeto de adequação à norma, tendo em vista, também, que a multa pode chegar até R$ 50 milhões por infração, além de estarem sujeitas a arcarem legalmente com a responsabilidade civil pelo vazamento de dados de seus clientes.

Casos como o da NETSHOES, no qual foi aplicada uma multa considerável, serão recorrentes se as companhias não se atentarem a esses cuidados com segurança da informação. Há pouco, uma empresa teve seus dados encriptados por um Ransomware e decidiu pagar em detrimento de tomar as medidas corretivas para evitar que isso se repita. Se este pensamento seguir adiante mesmo com a Lei Geral de Proteção de Dados a tendência é que muitas empresas sejam notificadas no futuro.

Grupos relacionados com terrorismo atacarão centros populacionais com Crimeware

Embora grupos terroristas tenham atormentado organizações e indivíduos por anos, prevemos mais ataques potencialmente destrutivos em 2019. Em vez de quebrar sistemas com ransomware, os adversários usarão novas ferramentas para realizar ataques prejudiciais a indivíduos e organizações específicas. De ataques à integridade de dados, que essencialmente matam computadores até o ponto de substituições de hardware obrigatórias, às novas tecnologias para ataques físicos, como o recente ataque de drones na Venezuela, as superfícies de ataque estão crescendo e os inimigos vão se aproveitar disso. Para combater isso, as organizações devem fazer um inventário de seu cenário de ataque para identificar e aplacar possíveis ameaças antes que elas sejam exploradas.

Haverá uma revolta dos compradores de segurança no custo crescente dos serviços

À medida que o setor de segurança cresce, o custo dos serviço e o número de violações crescem também. De fato, o relatório Verizon DBIR de 2018 identificou mais de 53.000 incidentes de segurança neste ano, incluindo 2.216 violações de dados confirmadas. À medida que o ciclo interminável de ataques cibernéticos continua, o setor de segurança sofrerá ataques de seus clientes por perpetuar uma carga crescente de custos que não é produtiva para a missão de uma organização. Uma tecnologia melhor deve permitir que os clientes gerenciem seus custos de forma mais eficaz, e as organizações que não entenderem isso enfrentarão ondas de reação negativa no ano novo.

Tecnologia baseada em inteligência artificial distinguirá dados sensíveis de dados não sensíveis

Atualmente, a análise de dados para determinar o que é sensível versus não sensível é um processo manual. Os usuários precisam classificar os dados, mas os usuários são preguiçosos. Em 2019, a tecnologia baseada em IA ganhará a capacidade de aprender o que é sensível e classificá-lo automaticamente. Esse desenvolvimento exigirá uma consideração maior sobre como gerenciar esses dados e, além disso, como controlá-los.

As empresas também estão começando a automatizar os testes de invasão, permitindo que os pentesters trabalhem em red teams / pentests mais exclusivos ou avançados. Além disso, esses processos automatizados permitem a validação de controle, o que reduz os custos e fornece aos pesquisadores um maior grau de segurança. Para acompanhar esse crescimento rápido, as empresas tradicionais precisarão acomodar a automação, desenvolvendo suas soluções ou buscando integrações com novos fornecedores do setor com foco em automação.

Métodos biométricos atuais aumentarão as penalidades e riscos de privacidade

Embora algumas organizações estejam atualmente adotando a análise comportamental do usuário final em suas redes, essas tecnologias podem ser caras e aumentar os riscos de brechas de privacidade. Os dados estão sendo coletados e processados no terminal, deixando-os suscetíveis a ataques. Em 2019, as organizações devem começar a adotar a autenticação contínua para proteger informações cruciais de identificação. Com essa tecnologia, os rastros biométricos dos usuários finais poderão determinar a identidade sem incorrer em brechas de privacidade, riscos e custos que a biometria tradicional ou a análise comportamental central geralmente enfrentam.

Fonte: Security Report

Pesquisa mostra que ransomware é a ameaça mais perigosa para empresas

Mon, 07 Jan 2019 19:16:57 GMT

Durante 2018, os criminosos continuaram a direcionar ataques de ransomware para grandes organizações. Por esse motivo, a ESET, empresa líder em detecção proativa de ameaças, desenvolveu um relatório que explica porque o ransomware ainda é uma ameaça perigosa para as organizações, independentemente de seu tamanho, e o que elas podem fazer para reduzir a exposição e os danos que podem sofrer com este tipo de ameaças.

O relatório intitulado “RANSOMWARE: an enterprise perspective” adverte que há três vetores principais de investidas de sequestro de dados: acesso remoto, e-mail e cadeia de suprimentos. “Compreender qual é o estado atual destes ataques, bem como sua evolução, é fundamental para manter os ativos das empresas seguros. Embora haja crescimento na detecção de mineradores com criptomoeda, isso não significa que o ransomware é parte do passado, pois continua a ser uma ameaça muito séria para as organizações”, diz Camilo Gutierrez, chefe do Laboratório de Pesquisa da ESET América Latina.

Este ano, em Atlanta, nos Estados Unidos, cinco departamentos governamentais da cidade foram afetados por ataques de ransomware: Sistema Penitenciário, Gerenciamento de Bacias Hidrográficas, Recursos Humanos, Parques e Recreação e Planejamento Urbano. Diversas funções da cidade foram afetadas pelo problema, incluindo a capacidade de aceitar pagamento online de contas de água e multas de trânsito. O wi-fi do Aeroporto Internacional de Atlanta, Hartsfield-Jackson, foi desativado por uma semana. A cidade rejeitou os US$ 50 mil que os criminosos exigiam pelo resgate, mesmo assim, teve um impacto financeiro estimado em cerca de US$ 17 milhões.

Durante 2018, sequestros de informações afetaram várias organizações relacionadas aos setores estadual, governamental e educacional. Essas ameaças são conhecidas porque as entidades ligadas a essas áreas (bem como ao setor de saúde) geralmente têm a obrigação de tornar esses relatórios públicos. Embora as entidades privadas nem sempre sejam obrigadas a publicar essas informações, o relatório da ESET revela que, por parte das equipes de suporte, provedores de segurança e outras, o ransomware continua a ser uma ameaça dispendiosa e que existem muitas vítimas em todos os nichos de negócios.

Uma parte dos ataques deste ano que foram direcionados a entidades governamentais ou de saúde envolvem uma família de ransomware conhecida como SamSam. Por sua vez, especificamente na América Latina, famílias como Crysis e GandCrab tiveram um grande impacto em termos de detecções.

Essas ameaças chegam às organizações por meio da “aplicação da força bruta aos endpoints do RDP” (Departamento de Saúde e Serviços Humanos dos Estados Unidos). Isso significa que o invasor identifica um servidor como alvo e faz várias tentativas de adivinhar seu acesso. Tais ataques podem ser muito eficazes e permitem que o problema se espalhe por toda a rede de uma organização. Um exemplo foi o ataque de ransomware que impactou a Lab Corp, uma gigante de testes médicos, em julho de 2018. A investida comprometeu 7 mil sistemas e 350 servidores de produção em menos de uma hora.

Desde 28 de outubro de 2018, o mecanismo de busca Shodan indica que mais de dois milhões e meio de sistemas na Internet estavam executando o RDP explicitamente e que mais de um milhão e meio desses sistemas estavam nos Estados Unidos. Para um invasor, todas essas máquinas são alvos em potencial a serem exploradas. Uma vez comprometidas, elas podem ser exploradas. Além disso, conforme alerta o relatório da ESET, as credenciais de acesso podem ser comercializadas no mercado negro, como o xDedic, por exemplo, marketplace que vende de servidores de acessos.

“As ameaças no campo da segurança são cumulativas. O fato de haver criminosos tentando abusar dos recursos de processamento de dispositivos para minerar criptomoedas não significa que, por outro lado, não haja outros criminosos interessados em desenvolver e implementar técnicas de exploração de RDPs para criar um vetor de ataque lucrativo para o ransomware. Da mesma maneira, capacitar as organizações no uso do RDP não significa que não seja mais importante fazer o mesmo também contra o phishing”, assegura Gutierrez.

A ESET recomenda que, além das ações de treinamento, as organizações tenham políticas de segurança que sejam facilmente aplicáveis e controladas. Também afirma que as empresas precisam ter produtos e ferramentas de segurança, incluindo testes de backup e sistemas de recuperação, além de um plano de resposta a incidentes que seja constantemente atualizado. “Embora a imunidade aos ataques não seja garantida, esse tipo de medida aumenta muito as chances de evitá-los ou de se recuperar rapidamente de um incidente”, conclui o especialista.

Fonte: Security Report

ePharma investe R$ 4 milhões em Segurança da Informação

Mon, 07 Jan 2019 19:08:13 GMT

A política de segurança de dados e de governança em TI está entre as estratégias mais valorizadas dentro de uma empresa. Na ePharma, empresa de gerenciamento de programas de benefícios de medicamentos (PBM) no Brasil, os dados armazenados até agora em data centers migraram para a nuvem, com o apoio da solução Microsoft Azure. Em 2017, a empresa validou mais de 31 milhões de transações entre clínicas médicas, planos de saúde, usuários e farmácias – cerca de 47 por segundo.

A reestruturação envolve investimentos de R$ 4 milhões e a criação de uma unidade de negócio exclusivamente dedicada à infraestrutura de TI. Com a iniciativa, a ePharma conquistou a certificação SOC 2, o que assegura ao mercado o atendimento de todos os princípios de confiança estabelecidos pelo American Institute of Certified Public Accountants (AICPA), na TSP Seção 100. Outra inovação foi a adoção da Power BI, uma ferramenta de business intelligence capaz de formar uma rica base de dados e indicadores relacionados ao fluxo de dispensação de medicamentos e autorização de procedimentos.

“Com isso, operadoras, indústrias e o varejo farmacêutico passam a ter elementos e dados muito precisos para aprimorar o gerenciamento de resultados”, comenta Thiago Mônaco, diretor de TI. O executivo também destaca que as implementações possibilitam a ampliação do número de transações e acompanhamento de tratamentos, pacientes e benefícios de medicamentos (PBM).

Diariamente, o sistema autorizador da ePharma certifica em torno de 100 mil vendas, com duração inferior a três segundos e chegando a 20 transações por segundo nos horários de pico. Só em 2017, ocorreram mais de 31 milhões de transações em 2017, 16 mil por hora, 479 por minuto e 47 por segundo, em prol de pacientes de todos os estados brasileiros e do Distrito Federal.

Fonte: Security Report

Permanência da ANPD na Presidência deverá ser questionada no Congresso

Mon, 07 Jan 2019 00:00:00 GMT

Advogados especializados na área do Direito e Tecnologia ficaram, ao mesmo tempo, satisfeitos e desconfiados com a publicação da medida provisória 869/18 no final de dezembro por Michel Temer, e reiterada pela MP 870 emitida dia 1 pelo presidente Jair Bolsonaro . O texto criou a Agência Nacional de Proteção de Dados Pessoais, o que gerou alívio. Mas há preocupação quanto ao seu funcionamento, uma vez que a agência foi colocada dentro da Presidência da República e sem orçamento.

A criação sob o guarda-chuva presidencial deverá ser alvo de intenso debate no Congresso até março, quando a MP, caso não seja votada até lá, passa a obstruir a pauta. “Talvez seja o primeiro teste de articulação política do novo governo”, avalia Caio César Carvalho Lima, do escritório Opice Blum, Bruno, Abrusio e Vainzof Advogados Associados. Para ele, é certo que os parlamentares vão propor emendas quanto ao funcionamento e autonomia da agência, e que o governo precisará ceder em algo.

O temor é que, como está, a redação da MP coloque a perder um dos objetivos da Lei de Proteção de Dados Pessoais, que era fazer do Brasil um porto seguro para a troca de dados com os países da União Europeia. “A GDPR [legislação europeia] autoriza a troca de dados pessoais apenas entre empresas em países com legislação semelhantes, com uma agência de proteção de dados autônoma”, lembra o advogado.

Caso os europeus entendam que a ANPD não tem autonomia por estar submetida à Presidência, podem barrar o fluxo de dados pessoais com o Brasil. “Para eles não seria um problema, uma vez que na região Argentina e Uruguai têm legislação condizente. Mas para o Brasil a perda de negócios seria importante. Também é importante lembrar que um dos objetivos da LGPD era permitir ao país entrar na OCDE, o que poderá ocorrer em breve”, acrescenta.

PRAZOS

A movimentação para modificar a MP já começou nos bastidores de Brasília. Entidades setoriais já avaliam a MP e quais emendas propor. A partir da publicação da MP, passou a correr o prazo de 60 dias, prorrogáveis por mais 60, para que o Congresso a transforme em lei. As emendas poderão ser protocoladas na Câmara entre 4 e 11 de fevereiro. E 4 de abril é a data limite para que a MP seja votada.

Ana Carolina Cesar, sócia da área de Tecnologia da Daniel Advogados, também espera mudanças na tramitação. Para ela, ao subscrever a ANPD à Presidência, Temer colocou em dúvida a autonomia da agência. “Por mais que esteja escrito na MP que haverá autonomia técnica, o necessário é a autonomia total, com dotação orçamentária própria. E o texto fala em não haver gastos por parte da agência. Até que ponto essa estrutura, sem orçamento, consegue se manter?”, pergunta.

A seu ver, a Presidência poderia exercer uma influência na ANPD que iria além da indicação do conselho diretor, que deverá ter cinco integrantes. “Faltaria o exercício de compliance na relação entre agência e Presidência. As decisões da ANPD poderiam passar por análise e crivo do presidente”, avalia.

A advogada vê ainda risco de esvaziamento da autoridade da agência devido ao artigo 55-J. Ali, destaca-se que a ANPD deverá articular-se com outros órgãos com competências específicas. “É o caso do Bacen, que tem tomado ares de supervisor do uso de dados pessoais bancários e financeiros desde a publicação da resolução 4658/18. Na prática, haverá disputa sobre quem terá autoridade”, avalia a advogada. Ela prevê, ainda, proposta de emenda prevendo quarentena para integrantes dos conselhos da agência, o que não existe no texto atual.

MUDANÇA IMPROVÁVEL

Já Natalia Langenegger, advogada associada do escritório Pereira Neto Macedo, duvida que o Congresso consiga retirar a ANPD da Presidência e dar-lhe a autonomia que era imaginada durante a tramitação da LGDP. “As mudanças de estrutura do Executivo pelo Legislativo são limitadas pelo teto de gastos previsto na MP. Como o texto diz que a agência seria criada sem aumento de gastos, acabou dificultando achar uma forma de dar autonomia à ANPD. O ideal seria colocá-la na administração indireta, como entidade autárquica e com verba própria. Mas acho bem difícil mudar isso”, vaticina.

O problema prático é que, sem orçamento, a agência não terá como investigar denúncias. “A autoridade tem essa prerrogativa investigativa, mas sem verba, a capacidade acaba restringida”, diz. Ela ressalta que a MP 869, editada por Temer, e reiterada pela MP 870, de Bolsonaro, traz outros pontos que modificaram a LGPD e poderão ser alvo de emenda no Congresso. “A MP acabou deixando o tratamento e compartilhamento pelo poder público muito abrangentes. Qualquer ato de compartilhamento com entes privados passou a ser possível. E derrubou-se a exigência de transparência, de o governo avisar o dono do dado em seu site o que está fazendo com aquele dado e à ANPD “, observa.

A advogada vê como positiva a criação da autoridade e acredita que há interesse em colocá-la em funcionamento o quanto antes. “Mesmo com o vacatio legis aumentado para 24 meses, o tempo é curto, especialmente para as empresas se adequarem. Mas existe uma vontade política em de fato instituir a autoridade”, lembra. A vontade vem justamente de a MP prever de onde viriam as pessoas que formariam o conselho diretor. Seriam ocupantes de cargos comissionados DAS-5, já previstos no orçamento. Todos indicados por Bolsonaro.

Fonte: Portal da Privacidade

Um paradoxo da Lei Geral de Proteção de Dados Pessoais

Fri, 04 Jan 2019 18:31:29 GMT

A Lei Geral de Proteção de Dados Pessoais (ou LGPD — Lei 13.709 de 2018) possui, a grosso modo, uma estrutura legislativa que segue o modelo do Código de Defesa do Consumidor (CDC). Uma singela passada de olhos no texto legal –– comparado ao do CDC –– basta para que se chegue a essa conclusão, a inspiração filosófica é semelhante, e, sob a ótica do conteúdo, as legislações possuem dispositivos similares. Não pretendo, neste diminuto artigo, tratar dos pormenores da lei. Mas gostaria de destacar um paradoxo que me chamou a atenção.

O artigo 2º da norma em questão elenca os seus fundamentos e, dentre eles, destaca os seguintes: “V – o desenvolvimento econômico e tecnológico e a inovação; VI – a livre iniciativa, a livre concorrência e a defesa do consumidor; e VII – os direitos humanos, o livre desenvolvimento da personalidade, a dignidade e o exercício da cidadania pelas pessoas naturais”.

Quem termina a leitura por aí fica com a impressão de que também as pequenas e médias empresas, além das chamadas startups , serão, de alguma forma, protagonistas na ratio da nova lei. Digo isso pela força impactante de algumas palavras e expressões, por exemplo: “inovação”, “livre iniciativa”, “livre concorrência” e por aí vai. No entanto, ao chegar na Seção I, que trata das sanções administrativas, a boa impressão inicial é tomada por uma “ducha de água fria”. Veja-se, em prol da clareza, a redação do artigo 52, inciso II da lei:

“Art. 52. Os agentes de tratamento de dados, em razão das infrações cometidas às normas previstas nesta Lei, ficam sujeitos às seguintes sanções administrativas aplicáveis pela autoridade nacional:

(...)

II - multa simples, de até 2% (dois por cento) do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$ 50.000.000,00 (cinquenta milhões de reais) por infração”.

Feita a leitura atenta do dispositivo, vale pensar em uma situação hipotética –– mas, contudo, absolutamente verossímil. Digamos que uma empresa de informática, com faturamento anual de R$ 5 milhões (e patrimônio de uns R$ 2 milhões, repleto de bens intangíveis, fundados em direito autoral), preste serviços de tratamento de dados para uma parceira comercial, em um contrato de R$ 200 mil por ano. Importante: não estou falando de lucro, mas, sim, de faturamento (ou seja, receita bruta).

Durante a execução desse contrato de prestação de serviços, que visa o tratamento de dados sensíveis de 100 pessoas, ocorre um problema de segurança causado por um hacker . Diante disso, os dados de 100 indivíduos ficam expostos. Friso, nesse passo, uma obviedade que passou ao largo da definição de “segurança” no glossário da LGPD e do seu artigo sobre a garantia respectiva: não existe computador 100% seguro, principalmente os que estão conectados à internet.

Pois bem. Seguindo a lei à risca, na hipótese, teríamos uma multa de 2% sobre o faturamento de R$ 5 milhões, o que seria igual a R$ 100 mil. Os leitores afoitos diriam: “ora, nada demais. Isso é muito barulho por nada”. Contudo, a leitura atenta do inciso II acima transcrito termina com uma indexação alarmante, “por infração”. Desta feita, in casu , se houve vazamento dos dados das 100 pessoas objeto do contrato de prestação de serviços, a multa seria de R$ 10 milhões! Oito vezes o patrimônio da empresa! Não é difícil imaginar a consequência: bancarrota! Ressalte-se, por oportuno, que não considerei os montantes de indenizações pessoais aos indivíduos, resultantes de ações individuais. Não vislumbrei, também, os valores astronômicos que poderiam advir de uma ação civil pública sobre o fato.

Na demonstração do cálculo acima fui simplório, não contemplei, por exemplo, duas questões: o parágrafo 4º do artigo 52 [1] ; e o artigo 53, que dispõe: “A autoridade nacional definirá, por meio de regulamento próprio sobre sanções administrativas a infrações a esta Lei, que deverá ser objeto de consulta pública, as metodologias que orientarão o cálculo do valor-base das sanções de multa”. Mostrei o pior cenário para criar o alerta necessário aos operadores do Direito e à sociedade, na consulta pública que virá, para fins de regulamentação subsequente e, inclusive, na aplicação da lei.

Nesse passo, contudo, faço uma ressalva necessária: este texto não é uma crítica à proteção da privacidade de dados pessoais, mas, sim, um alerta para consequências (externalidades) negativas não esperadas da lei. De um lado, a proteção de dados dos indivíduos; de outro, um freio no desenvolvimento econômico. A hipótese acima –– repito: totalmente verossímil –– causará um efeito imediato nas pequenas e médias empresas, consistente em um aumento do preço em razão do incremento no risco. O aumento de preço, ao seu turno, reduz a competição e promove a concentração de mercado. Para que pagar mais a uma pequena ou média empresa se uma gigante da informática oferece o mesmo serviço por montante semelhante?

Tal fato gera reflexos em toda a cadeia produtiva do país e volta-se contra alguns dos fundamentos da lei, destacados acima, criando, a bem da verdade, barreiras de mercado para pequenas e médias empresas. Além das empresas de informática, é difícil pensar em negócios da economia moderna que não contemplem dados digitais. Será, então, que uma empresa de pequeno porte precisará de um data privacy officer ? Isso não parece razoável, pois o incremento nos custos de transação será bem considerável, reduzindo a competitividade. Não se trata apenas de contratar uma pessoa, mas de criar uma infinidade de controles e protocolos a serem seguidos. Isso pode sufocar o dinamismo e a velocidade, que são a marca e a vantagem competitiva das empresas de menor porte.

Mas antes fossem só essas as consequências (externalidades) negativas da LGPD. Se pensarmos nas startups de informática, como as que criaram diversos aplicativos que usamos diariamente (um exemplo estrangeiro, bem conhecido, o Waze), a consequência é uma redução no preço de venda da empresa quando ela se torna operacional, em razão do incremento no risco. Isso, por óbvio, gera desestímulo ao desenvolvimento. Afinal de contas, quanto menor é a torta, menor a disposição empreendedora.

Para reverter esse quadro, será necessário muito bom senso na aplicação de multas e, por que não dizer, nos julgamentos de demandas judiciais. O legislador, data maxima venia , não se atentou para as peculiaridades econômicas dos negócios que envolvem o processamento de dados em meio digital. Nem olhou, com o carinho devido, para um dispositivo da lei que poderia ter inspirado a LGPD (e que se espera que venha ao menos a inspirar a instituída autoridade nacional):

“Art. 4º A Política Nacional das Relações de Consumo tem por objetivo o atendimento das necessidades dos consumidores, o respeito à sua dignidade, saúde e segurança, a proteção de seus interesses econômicos, a melhoria da sua qualidade de vida, bem como a transparência e harmonia das relações de consumo, atendidos os seguintes princípios:

(...)

III – harmonização dos interesses dos participantes das relações de consumo e compatibilização da proteção do consumidor com a necessidade de desenvolvimento econômico e tecnológico, de modo a viabilizar os princípios nos quais se funda a ordem econômica ( art. 170, da Constituição Federal ), sempre com base na boa-fé e equilíbrio nas relações entre consumidores e fornecedores”.

Para enfatizar o contraste, vou destacar a parte mais importante: “compatibilização da proteção do consumidor com a necessidade de desenvolvimento econômico e tecnológico, de modo a viabilizar os princípios nos quais se funda a ordem econômica ( art. 170, da Constituição Federal )”. O novo diploma legal, infelizmente, não contemplou essa premissa relevantíssima.

Viu-se, portanto, que o potencial danoso do artigo 52, II da LGPD –– se aplicado de forma seca e sem o devido temperamento –– é monstruoso. Espera-se, genuinamente, que a aplicação da lei –– com o paradoxo apontado –– não acabe prejudicando o desenvolvimento do país, ao privilegiar encarecimento de preços em detrimento de estímulo à inovação. Isso seria um quadro desalentador para os jovens brilhantes do Brasil, que vivem ganhando prêmios pelo mundo, graças à sua criatividade e ousadia.

Como disse Roberto Campos, em um programa Roda Viva de 1991: “dos vários ‘ários’ que existem aí, o mais importante é o empresário. (...) Operários, todos podemos ser. Funcionários, todos queremos ser. Missionários são úteis, mas eles falam na vida do além-túmulo, e nós queremos a vida corrente. O dínamo da sociedade é o empresário! Isso é um recurso natural raríssimo”. Relembradas essas palavras, manifesto minha esperança de que a LGDP não acabe castrando e desestimulando os nossos empreendedores, isso seria descompasso absolutamente paradoxal para uma lei imbuída de propósitos tão relevantes, tal qual, no passado, foi a famigerada Política Nacional de Informática (PNI), Lei 7.232 de 1984 .

[1] “No cálculo do valor da multa de que trata o inciso II do caput deste artigo, a autoridade nacional poderá considerar o faturamento total da empresa ou grupo de empresas, quando não dispuser do valor do faturamento no ramo de atividade empresarial em que ocorreu a infração, definido pela autoridade nacional, ou quando o valor for apresentado de forma incompleta ou não for demonstrado de forma inequívoca e idônea.”

Fonte: Conjur

Banco de dados de um servidor do Grupo BCI sofre suposto vazamento de dados

Wed, 02 Jan 2019 00:00:00 GMT

Fábio Castro, pesquisador de segurança que recentemente descobriu o caso de fuga de dados da SKY que está sendo investigado pelo Ministério Público (MP), publicou em sua conta no Twitter o suposta vazamento de dados de um servidor pertencente ao Grupo BCI , que armazena informações de um conglomerado de empresas brasileiras. O servidor atingido continha informações pessoais, físicas e jurídicas dos usuários, como número de RG, data de nascimento, e-mails e telefones.

De acordo com as informações publicadas pelo pesquisador na rede social, o servidor não se encontra mais disponível , o que leva a supor que o problema tenha sido corrigido ou que o servidor foi desativado.

Para Daniel Barbosa, pesquisador de segurança da ESET, assim como diversas empresas que já sofreram com incidentes de vazamento de dados, supostamente o Grupo BCI deixou o servidor, que contém informações sensíveis de usuários, acessível pela Internet. “Cibercriminosos possuem diversas formas de procurar por servidores na Internet como sites de varreduras de serviços, onde é possível filtrar as buscas por país, estado, cidade e até a versão específica de serviço que o alvo tem ativo. Através desses tipos de sites é possível encontrar e acessar servidores, fazendo uso de suas informações internas quase sem restrições”, destacou.

Daniel também enfatizou que a lei de proteção de dados pessoais no Brasil determina que as empresas devem garantir controles estritos para o tratamento das informações dos usuários. “Todos os servidores que contenham informações sensíveis, como por exemplo dados de clientes, não devem ser acessíveis via Internet e seu acesso interno deve ser rigorosamente controlado”.

No ano passado, tivemos outros casos de fugas de dados de usuários brasileiros, como o servidor que expôs o número de CPF de milhões de usuários na Internet durante alguns meses. A falha ocorreu devido a um servidor mal configurado que continha as informações.

Fonte: Welivesecurity by ESET

Preocupação com segurança de dados tem de ser o foco das empresas

Tue, 01 Jan 2019 00:00:00 GMT

O JOTA abre, nesta terça-feira (1/1), uma série de matérias sobre o balanço dos escritórios em 2018 e as expectativas para 2019.

Um dos destaques deste novo ano, segundo o escritório Lee, Brock, Camargo Advogados (LBCA), será a Lei Geral de Proteção de Dados (Lei n º 13.709/18) – mesmo com ela entrando em vigor somente em agosto de 2020.

Isso porque a LGPD terá de ser “implantada nas empresas brasileiras que desenvolvam qualquer atividade que trate dados pessoais ou naquelas em que a coleta ou tratamento aconteçam em território nacional”.

“A preocupação com a segurança de dados tem de estar no foco das companhias, por isso urge adaptar a gestão nesse sentido. É importante ressaltar que a legislação atinge todas as empresas, independente do foco de seu negócio ser tecnológico”, escreveram os sócios do escritório.

Além disso, o LBCA espera que, em 2019, a ‘retomada da confiança com o novo governo e o otimismo’ devem beneficiar muitos setores, inclusive os escritórios de advocacia.

“O perfil mais liberal que deve ter a economia brasileira sob o comando de Paulo Guedes deve trazer melhorias para o ambiente de negócios a atrair, por consequência, maior número de investidores estrangeiros. Também devem crescer as privatizações e concessões de estatais, provavelmente com a adoção de um novo modelo”, apostam.

Leia a íntegra da entrevista com os sócios da LBCA:

Quais áreas registraram crescimento e quais tiveram retração em 2018?

Por sermos um escritório full service em Direito Empresarial contamos com mais de 30 áreas diferentes de atuação, que buscamos gerir de forma equilibrada e eficiente. Ao longo de 2018, destacamos as áreas Cível – estratégico e contencioso; Consumidor, Societário, Digital e Regulatório, que apresentaram projeções positivas, se comparadas ao desempenho registrado em 2017. Nas demais áreas, não registramos retração significativa.

Os movimentos surpreenderam o escritório ou os avanços e recuos eram esperados nestas áreas?

Nosso balanço demonstra que 2018 foi um ano de grande estabilidade, porém houve o ingresso de novos clientes e consequente ampliação da estrutura para atender às demandas, com qualidade e rapidez. Nosso quadro de sócios-diretores também cresceu, mas mantivemos uma postura conservadora no sentido de que o escritório permanecesse sintonizado com as variantes apresentadas pelo cenário econômico no sentido de não ser impactado negativamente.

Quais as grandes vitórias da banca em 2018 tanto no Judiciário quanto no âmbito administrativo? E quais as derrotas mais sentidas?

Mais do que uma vitória nos tribunais, queremos destacar que os clientes atualmente buscam soluções criativas, uma característica do escritório. Um exemplo é o caso de um cliente que estava com uma carteira grande de passivos trabalhistas e precisava reduzir custos, principalmente porque as disputas judiciais estavam ficando custosas diante do entendimento do Tribunal Superior do Trabalho (TST) de que as dívidas trabalhistas deveriam ser corrigidas pelo IPCA e não mais pela TR. A LBCA propôs um projeto de acordos para os processos em andamento, classificados por risco, com base no valor de provisão das ações, cabendo ao cliente especificar o limite do teto na negociação e que vem obtendo bons resultados.

Por outro lado, não tivemos derrotas judiciais significativas, que mereçam destaque.

O que esperava que aconteceria neste ano que na prática não se concretizou?

Uma aceleração mais robusta da economia, capaz de mexer com o mercado de capitais, com as fusões e aquisições (M&A) em diferentes setores, que muito provavelmente iriam atrair novos e importantes clientes para o escritório.

O escritório aposta em quais áreas para crescer em 2019?

O perfil mais liberal que deve ter a economia brasileira sob o comando de Paulo Guedes deve trazer melhoras para o ambiente de negócios e a atrair, por consequência, maior número de investidores estrangeiros. Também devem crescer as privatizações e concessões de estatais, provavelmente com a adoção de um novo modelo.

Essas frentes de abertura econômica possibilitam grandes oportunidades para o escritório, inclusive por meio de nosso Asian Desk, que atende clientes que buscam assessoria jurídica para viabilizar seus negócios no Brasil e vice-versa.

Essa área é importante para o escritório, tanto que em 2018 participamos da Convenção Internacional da OKTA (Overseas Korean Traders Association), que aconteceu na ilha de Jeju, na Coreia do Sul, reunindo 94 empresas, 19 parques tecnológicos e os mais destacados empresários sul-coreanos de todo o mundo para discutir estratégias de negócios, trocar experiências e apontar caminhos para incrementar a competitividade coreana e expandir o mercado internacional para os produtos daquele país.

Outra área que o escritório vem investindo é de realização de eventos sobre novas leis, visando informar e esclarecer clientes e interessados. Foi o caso da edição da Lei Geral de Proteção de Dados (Lei n º 13.709/18), que despertou grande interesse. Tanto, que no último trimestre de 2018, a LBCA ministrou mais de doze palestras externas e “in house” sobre a nova legislação, além de participar de eventos na AASP e na USP. Entendemos que as companhias brasileiras precisam ser ágeis para se adaptarem à nova lei, porque contam com apenas a metade do tempo (18 meses) que tiveram as europeias (3 anos) para se adaptarem ao GDPR (General Data Protection Regulation), regulamento no qual nossa lei sobre segurança de dados pessoais foi inspirada.

Quais as perspectivas para o mercado de advocacia em 2019?

A retomada da confiança com o novo governo e o otimismo deve beneficiar muitos setores, inclusive a advocacia. Há projeções de queda do risco-país e de crescimento do PIB brasileiro em 2,5%, (FMI e Focus-Bacen), que não está muito distante da média do crescimento global, em torno de 3,5%. No caso do Brasil, o crescimento pode se tornar mais consistente a partir da possível aprovação de reformas estruturais no Congresso Nacional (Previdência, Tributária), que terão impacto na advocacia.

A advocacia também deve se posicionar sobre sua relação com a tecnologia, uma vez que o número de lawtechs/legaltechs está crescendo, ampliando seu mercado e oferecendo uma série de serviços que têm auxiliado o trabalho do advogado na agilização da pesquisa jurisprudencial, na diminuição do trabalho repetitivo, na redução das atividades burocráticas, no incremento da jurimetria e no acesso a grande volume de dados que servem de subsídios para uma defesa mais consistente.

Quais as perspectivas do escritório sobre o Judiciário em 2019?

São positivas, principalmente porque o Judiciário que havia realizado um grande esforço para a adoção das soluções autocompositivas de conflitos, quando da edição da Lei de Mediação (lei 13.140/2015), acabou encampando outras prioridades. Segundo a publicação “Justiça em Números” (2018), o total de litígios resolvidos pela mediação/conciliação no país ainda está no patamar de 12,1%, dentro de um universo de 31 milhões de sentenças judiciais. Agora, a conciliação e a mediação voltam a ser uma meta da Justiça brasileira para 2019 no sentido de enfrentar a cultura do litígio que vigora no país. O escritório tem se empenhado nesse sentido e sugerido aos clientes que utilizem a autocomposição em câmaras privadas de solução de conflito como alternativa mais rápida e econômica ao processo judicial.

Igualmente positiva é a decisão do Conselho Nacional de Justiça de caminhar para uma padronização do Processo Judicial Eletrônico (Pje), que tem um número excessivo de diferentes plataformas pelos tribunais do pais; assim como é positiva a decisão de criar um laboratório de Inteligência Artificial (IA) para o PJe. A tecnologia pode ser uma grande aliada do Judiciário. A resistência ao novo, às mudanças e à modernização tecnológica somente prejudica o Judiciário, o jurisdicionado e os operadores do Direito.

Qual lei o escritório espera que será o grande destaque do próximo ano?

Certamente, a Lei Geral de Proteção de Dados (Lei nº 13.709/18), que entra em vigor em 15/02/2020, mas terá de ser implantada durante o ano de 2019 nas empresas brasileiras que desenvolvam qualquer atividade que trate dados pessoais ou naquelas em que a coleta ou tratamento aconteçam em território nacional. A preocupação com a segurança dos dados tem de estar no foco das companhias, por isso urge adaptar a gestão nesse sentido. É importante ressaltar que a legislação atinge todas as empresas, independente do foco de seu negócio ser tecnológico.

Os dados pessoais são o “novo petróleo”, segundo o futurista Gerd Leonhard, pelo potencial comercial que carregam, ao definirem hábitos dos consumidores e tendências do mercado. Pela nova lei, as companhias terão responsabilidade não só pela coleta, tratamento e eliminação de dados pessoais de seus clientes e fornecedores; mas também de seus colaboradores, sendo que muito deles são sensíveis, como saúde, remuneração, religião, residência, número de filhos (crianças e adolescentes) e até biometria.

Dos segmentos do mercado, um dos mais afetados pela LGPD será a saúde, uma vez que coleta, trata, processa e transfere um volume gigantesco de milhões de dados pessoais e sensíveis, sejam em prontuários de hospitais, em análises clínicas ou no desenvolvimento de novos medicamentos e pesquisas. Ainda há muitas dúvidas sobre o real impacto da lei nas pesquisas clínica com seres humanos, o que pode levar a prejuízos bilionários.

Temos sugerido aos clientes e interessados a necessidade de definir políticas internas para estarem em conformidade com a LGPD, como identificar os dados com os quais trabalha, realizar auditorias sobre o tratamento que já vem sendo realizado, nível de segurança e governança do tratamento de dados. O Relatório de Impacto também é fundamental, porque é nesse documento que constarão as medidas de aderência à lei, que serão apresentadas à Autoridade Nacional de Proteção de Dados, a agência reguladora que ainda será criada. Mas já temos visto ações do Ministério Público, dos Procons e até de entidades privadas de defesa do consumidor levando para a justiça casos de vazamentos ou coleta ilegal de dados, com obtenção de liminares.

As empresas devem tomar duas medidas fundamentais, previstas em lei, sobre o tratamento dos dados pessoais. A primeira é obter o consentimento para uso dos dados, que deve ser registrado por escrito ou outro meio, mas que expresse de forma inconteste a vontade do titular. A segunda consiste em estarem preparadas para fazer a gestão dos pedidos do titular dos dados, que podem pedir acesso, correção, eliminação, revogação ou portabilidade de seus dados. Em suma, as empresas terão de ser mais transparentes, seguras e estabelecer boas práticas na gestão de dados pessoais.

A LGPD é dura quanto à responsabilização por incidentes de segurança da informação, tanto que o controlador e operador dos dados respondem solidariamente. As sanções e multas previstas em lei são pesadas, vão de advertência até multa de 2% do faturamento das empresas ou R$ 50 milhões, por infração. As empresas também terão de indicar um encarregado, o Data Protection Officer (DPO), identificado publicamente, interno ou externo, que responderá sobre a proteção dos dados no âmbito da empresa para entes públicos e privados.

O que o escritório espera do novo governo?

Que trabalhe para corresponder às expectativas da sociedade brasileira, limitando o endividamento das contas públicas, buscando realizar os ajustes necessários na política econômica para iniciar um novo ciclo de desenvolvimento, que acelere o combate ao desemprego, diminua a pobreza e realize as reformas estruturais que o Brasil necessita, seja da Previdência, tributária ou política.

Fonte: JOTA

O consentimento na internet na nova Lei Geral de Dados Pessoais

Tue, 01 Jan 2019 00:00:00 GMT

Depois de anos de espera e expectativa, o Brasil finalmente ganhou uma Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018, a LGPD).

A lei, originária do PLC nº 53/2018 – que consiste no compilado de propostas legislativas sobre o tema –, traz uma série de mudanças para a legislação brasileira e coloca o país em sintonia com as tendências internacionais de proteção à privacidade dos indivíduos. Seu objetivo central é estabelecer de que maneira entidades públicas e privadas poderão tratar informações que identifiquem indivíduos ou levem à sua identificação – denominadas “dados pessoais”.

O texto legal foi inspirado no General Data Protection Regulation (GDPR), regulação da União Europeia que entrou em vigor em maio de 2018 e reúne um conjunto de regras sobre coleta, uso, tratamento, armazenamento, transferência e remoção dos dados pessoais dos indivíduos no referido bloco econômico.

A lei apresenta os princípios que devem regular o tratamento de dados pessoais e os direitos dos indivíduos, introduz o conceito de dados anonimizados e de dados sensíveis, indica requisitos e procedimentos para o tratamento de dados pessoais, sensíveis e de crianças, aborda o término do tratamento dos dados, o tratamento pelo Poder Público e a transferência internacional, aborda medidas de segurança e boas práticas para garantir a proteção dos dados pessoais, além de prever sanções administrativas aplicáveis àqueles que violarem as disposições legais.

Até o momento, o consentimento do usuário era central na estrutura de coleta e tratamento de dados pessoais na legislação brasileira. De acordo com o Marco Civil da Internet (Lei nº 12.965/2014), é direito do titular fornecer o seu consentimento expresso sobre o tratamento dos dados pessoais, sendo que a transferência a terceiros dependeria de consentimento livre, expresso e informado.

A Lei de Geral de Proteção de Dados Pessoais inova ao explicitar outras hipóteses que permitem o tratamento dos dados, que em alguns casos já eram adotadas sem expressa previsão legal – além do consentimento livre, informado e inequívoco, e do cumprimento de uma obrigação legal pelo controlador.

Passa a ser permitido o tratamento de dados pela Administração Pública para a execução de políticas públicas; para a realização de estudos por órgãos de pesquisa, sendo garantida a anonimização sempre que possível; para a celebração de um contrato ou de procedimentos preliminares relacionados do qual o titular seja parte; para o exercício de direitos em processos administrativos, judiciais e arbitrais; para atender aos interesses legítimos do controlador ou de terceiros, etc.

Em meio a tantas mudanças, o consentimento permanece como meio válido para legitimar o tratamento de dados pessoais. Sua permanência, no entanto, não ocorre sem mudanças.

A partir de fevereiro de 2020, será atribuído à pessoa natural ou jurídica, de direito público ou privado, a quem compete as decisões referentes ao tratamento de dados pessoais – o Controlador –, o ônus de provar sua obtenção. Ou seja, as empresas que forem responsáveis por bancos de dados terão que criar estruturas tecnológicas que garantam o arquivamento do consentimento, assim como o cumprimento de outros direitos agora assegurados ao titular.

De acordo com as regras anteriores, o consentimento deveria ser prévio e expresso, ou seja, fornecido em momento anterior ao início do tratamento e de maneira manifesta pelo titular dos dados. Agora, no entanto, com a qualificação de “livre, informado e inequívoco” (e, em alguns casos, específico), o consentimento deve ser concedido sem qualquer vício de vontade, com o titular munido de todas as informações necessárias para fornecê-lo e de maneira inequívoca. Ou seja, o foco do legislador está na consciência do titular dos dados em relação ao que será feito com seus dados pessoais pelos controladores e exige transparência dos controladores em relação a essa questão.

Na nova lei, o consentimento abandona sua posição central na proteção de dados brasileira e se coloca de maneira horizontal em relação às demais hipóteses de tratamento elencadas.

Sua importância continua latente, no entanto, pela “alta carga participativa atribuída ao indivíduo no fluxo de informações pessoais” [1] . Isso pode ser verificado nos princípios e direitos e na constante preocupação em garantir que o tratamento sempre corresponda às expectativas legítimas do titular [2] .

De outro lado, o tradicional costume de empregar a frase “li e aceito a Política de Privacidade” para obter consentimento perde força e as empresas precisarão buscar novas formas de obtê-lo do titular.

Faz-se necessário encontrar formas de demonstrar que os usuários tiveram plena capacidade de consentir e entender com que estavam consentindo. São várias as opções que podem ser utilizadas. Um bom exemplo seria elencar um vídeo assistido até o final, seguido da redação, pelo titular, de uma frase determinando que está de acordo com os usos de seus dados descritos no vídeo. Além disso, seria possível também solicitar o consentimento por foto, vídeo gravado pelo titular, ou até mesmo por opt-in, após apresentação da Política de Privacidade de maneira didática e de simples entendimento, com as finalidades de tratamento separadas e sendo possível consentir individualmente para cada uma delas.

Ainda que seja ônus do controlador comprovar que obteve o consentimento do titular, é inviável garantir que o usuário tenha efetivamente acessado as informações disponibilizadas para consentir de forma “livre, informada e inequívoca”. Por esse motivo, seria necessário demonstrar que os melhores esforços foram empenhados e que o controlador agiu com diligência para assegurar que esse consentimento pudesse ser dado da melhor forma possível.

O que se busca com a nova lei é que o titular esteja consciente dos propósitos e limites da empresa que coleta seus dados e escolha, livremente, concordar com o tratamento – não mais porque precisa apertar determinado botão para continuar utilizando certo serviço.

O consentimento descrito na LGPD está alinhado com seus princípios e com as tendências internacionais por conta do protagonismo dado ao titular em relação aos seus dados. A lei é empoderadora ao permitir o acesso aos dados tratados, a correção daqueles que estiverem incompletos, inexatos ou atualizados, a revogação do consentimento, a portabilidade, entre outros direitos descritos em lei.

No entanto, como o consentimento do titular deixou de ser a única forma de legitimar o tratamento de dados pessoais por parte dos controladores, é importante avaliar o propósito de cada coleta proposta pelas empresas e identificar qual inciso do artigo 7º melhor se adequa às suas necessidades.

O cumprimento de obrigação legal ou regulatória pelo controlador e a celebração de um contrato são suas hipóteses muito recorrentes e que não devem ser menosprezadas.

Considerando que a Lei de Proteção de Dados e o GDPR são recentes, ainda não é possível afirmar de qual maneira seus artigos serão aplicados e interpretados pelo Judiciário, especialmente nesse período inicial.

Desde já as empresas devem revisar suas políticas internas e externas e identificar em quais cenários (e em relação a quais dados) o consentimento é a melhor hipótese para fundamentar o tratamento dos dados pessoais. Considerando as demais possibilidades previstas em lei e o fato de que o consentimento pode ser revogado a qualquer tempo pelo titular, não necessariamente ele seguirá como melhor alternativa.

[1] BIONI, Bruno Ricardo. A Travessia do Protagonismo do Consentimento. In: Proteção de Dados Pessoais: A Função e os Limites do Consentimento . 1. ed. Rio de Janeiro: Forense, 2018, cap. 3, p. 131-137.

[2] Ibidem.

MARCELA WAKSMAN EJNISMAN – Sócia de TozziniFreire Advogados na área de Cybersecurity & Data Privacy
MARIA EUGENIA LACERDA – Advogada de TozziniFreire Advogados na área de Cybersecurity & Data Privacy

Fonte: JOTA

Michel Temer, finalmente, cria Autoridade de Proteção de Dados

Fri, 28 Dec 2018 00:00:00 GMT

O presidente Michel Temer assinou uma medida provisória que cria a Autoridade Nacional de Proteção de Dados Pessoais (ANPD) em decisão divulgada hoje (28) no Diário Oficial da União. Anteriormente, órgãos especializados em defesa do consumidor haviam comentado o medo de que Temer barrasse a criação de uma autoridade própria no que toca cibersegurança — já era dado como certo que a ANPD não seria criada. A lei e suas obrigações foram prorrogadas para agosto de 2020.

Em agosto, Michel Temer já havia vetado a criação da agência na Lei Geral de Proteção de Dados (13.709), sancionada em agosto, de acordo com a Folha de SP. Na época, o advogado e pesquisador Rafael Zanatta, do Instituto Brasileiro de Defesa do Consumidor (Idec), comentou que "Michel Temer vetou poucos artigos da Lei de Dados Pessoais. No entanto, fragilizou o sistema sancionatório do art. 52. Eliminou as chances de suspensão de atividade ilícita. É como se a vigilância sanitária não pudesse fechar um restaurante com coliformes fecais na cozinha”.

Agora, a Medida Provisória 869/2018 cria um órgão ligado à Presidência da República, como previa o projeto original, e não uma autoridade independente. O Mobile Time ainda cita um ponto válido: “A Medida Provisória editada por Temer é mais ampla. Ela altera, por exemplo, alguns dos direitos e garantias asseguradas na Lei de Proteção de Dados. Um dos aspectos mais relevantes é a revogação na necessidade titular ser informado das hipóteses em que será admitido o tratamento de seus dados para o cumprimento de obrigação legal ou regulatória pelo controlador”.

Outras mudanças incluem o compartilhamento de informações sobre pacientes entre planos de saúde, agradando as empresas da área. “Outra mudança atendeu ao mercado financeiro. A lei dava ao titular dos dados o direito de pedir a revisão por pessoa natural de suas informações geradas por procedimentos automatizados. Na Medida Provisória, foi excluída a expressão “pessoa natural”, indicando que a revisão poderá ser feita de maneira automatizada”, nota o Mobile Time.

ANPD

A Autoridade Nacional de Proteção de Dados Pessoais deve flexibilizar o poder de fiscalização do Estado no que toca tratamento de dados, além de manter as regras para o setor privado. Ela será formada por um conselho diretor de cinco pessoas indicadas pelo próprio presidente e um conselho consultivo de mais 23 pessoas. A ideia é que o órgão represente setores públicos, privados, Comitê Gestor da Internet e Terceiro Setor.

A ANPDF servirá, segundo a medida, para a aplicação das sanções previstas na Lei de Proteção de Dados, “cujas demais competências prevalecerão, no que se refere à proteção de dados pessoais, sobre as competências correlatas de outras entidades ou órgãos da administração pública. A ANPD articulará sua atuação com o Sistema Nacional de Defesa do Consumidor do Ministério da Justiça e com outros órgãos e entidades com competências sancionatórias e normativas afetas ao tema de proteção de dados pessoais, e será o órgão central de interpretação desta Lei e do estabelecimento de normas e diretrizes para a sua implementação”.

Fonte: Tecmundo

Hipster Antitrust: poder de mercado e bem-estar do consumidor na Era da Informação

Fri, 28 Dec 2018 00:00:00 GMT

Hipster Antitrust é uma terminologia que fora cunhada pelo advogado Konstantin Medvedovsky, em junho/2017, tendo sido popularizada com o auxílio do ex-conselheiro do FTC, Joshua D. Wright. Atualmente é assunto debatido em conferências e é tema de pesquisa acadêmica. Conquanto haja diversas vertentes do que poderia ser discutido no universo do movimento hipster antitrust , o debate relevante é aquele que incorpora as novas demandas para uma análise antitruste mais contundente diante dos desafios derivados da quarta revolução industrial, em que a posse de dados pode conceder aos agentes econômicos expressivo poder de mercado , permitindo-os exercê-lo em detrimento ao bem-estar do consumidor, de diversas formas, não exatamente sob o formato de preço mais elevado do bem ofertado ou do serviço prestado.

Medvedovsky chamou atenção mundial ao usar a expressão Hipster Antitrust para relacionar as expressivas multas sobre condutas unilaterais anticompetitivas das empresas de tecnologias impostas pela Comissão Europeia às preocupações dos anos 60 nos EUA, em que “ser grande é ruim necessariamente”. Hipster expressa, assim, um movimento de retorno, vintage .

Wright e outros, por sua vez, estenderam tais preocupações para outras, talvez mais vintages ainda, referentes aos objetivos da política antitruste , que poderiam ser expandidos. Para este grupo de estudiosos, o antitruste deveria se preocupar não só com os efeitos de condutas anticompetitivas e de estruturas de mercado concentradas, mas, também, com os efeitos relativos a problemas sociais, que abrangem desde os efeitos de uma sociedade mais desigual aos efeitos nocivos da mudança climática, passando por temas relativos ao “interesse nacional” (seja lá o que isso queira dizer). Neste sentido, a crítica feita é a de que observar o bem-estar do consumidor e a eficiência econômica (ideias concernentes à velha escola de Chicago) não seriam mais objetivos da política antitruste suficientes e estes deveriam mudar, para alcançar o bem-estar da sociedade, de forma holística, incorporando uma série de questões, como a equidade e o bem-estar dos trabalhadores.

É fato que a quarta revolução industrial vem trazendo expressivas mudanças no mercado de trabalho, logo, no cotidiano das empresas e dos consumidores finais. Estas alterações, é verdade, têm sido bem mais intensas desde 2010 do que foram no passado, dada a rapidez com que a tecnologia, a inteligência artificial, a nanotecnologia, etc. têm transformado o status quo . Essa situação assusta e causa desconforto, pois muitas ocupações têm desaparecido. Esse inevitável fenômeno, contudo, para o bem ou para o mal, faz parte da “destruição criadora” de Schumpeter. As grandes empresas de tecnologia não deveriam, assim, ser culpadas per se nem pela crescente desigualdade econômica, nem pela estagnação salarial (devido ao poder de monopsônio). O progresso não é o culpado e nem quem os promove.

O problema em questão é que o Estado quer atuar contundentemente para conter as consequências que este progresso tem trazido para a vida dos cidadãos, mas não sabe como. Como as causas destes resultados sociais negativos são múltiplas não há, assim, uma resposta fácil e inequívoca para soluciona-las. É, indubitavelmente, um momento desafiador, mas a cegueira do curto prazo não deve interferir equivocamente nos benefícios de longo prazo que o progresso traz à sociedade. O Estado, portanto, tem que agir com cautela, evitando atuar de forma proativa demais e acabar criando maus incentivos econômicos.

Neste sentido, conquanto as consequências sociais (em particular oriundas no mercado de trabalho) desta nova Era da Informação devam estar na pauta do dia do Estado, não é o antitruste, em particular, que deva objetivar em minimizar ditos efeitos. Há outras instituições públicas mais apropriadas para lidar com políticas públicas sobre questões de equidade, de mercado de trabalho ou efeitos climáticos, para dar três exemplos de problemas socioeconômicos derivados dessa nova realidade.

Deveras, se cada problema social relevante for foco de diversas instituições e políticas públicas, haverá uma miríade de atuações similares por parte do Estado, o que provavelmente resultaria numa atuação ineficiente, trazendo elevada insegurança jurídica, dadas as inúmeras interseções nas atuações das instituições públicas. Sem mencionar na politização que, na prática, ocorreria. Com elevada probabilidade, destarte, o saldo para o bem-estar social – e, em particular, para o bem-estar do consumidor – de uma mudança nos objetivos do antitruste seria negativa. Por exemplo, reintroduzir na Lei 12.529 o conceito do “interesse nacional” – muito bem retirado da Lei 8.884 – representaria um gigantesco retrocesso.

Isto não quer dizer, sem embargo, que o antitruste não precisa se ajustar à Era da Informação. Deveras, as preocupações do que dá ao agente econômico poder de mercado deve ser revisitada o quanto antes. Certamente, ter acesso a dados e a informação deve se juntar às velhas preocupações do antitruste, por conta, exclusivamente, de como estas novas questões dão ao agente econômico poder de mercado e como ter esse poder pode diminuir o bem-estar do consumidor, se o agente for capaz de exercê-lo.

Diferentemente do que argumentam alguns, portanto, do ponto de vista econômico, os conceitos de bem-estar do consumidor e de eficiência econômica, tão utilizados no antitruste até os dias de hoje, não precisam ser alterados como objetivos centrais do antitruste. Isto porque estes tópicos vão além da usual análise dos preços. O que urge fazer, então, é incorporar outras variáveis na análise dos efeitos sobre eficiência e bem-estar do consumidor, além de se ter novas metodologias. Até porque a variável preço, às vezes, nem existe nesta nova Era!

Por que empresas como Facebook não cobram para ofertar seus serviços, sendo que estes não têm as características de um bem público clássico, como têm defesa nacional, iluminação e praças públicas, etc. (não rival e não exclusivo)? Porque, neste caso, o preço não é zero, como argumenta corretamente Luigi Zingales. Além disso, o consumidor não consegue fugir do Grupo Econômico se desejar deixar de usar Facebook para usar Instagram e WhatsApp. Estas aquisições, aliás, são fonte de constante reclamação de parte do movimento hipster antitrust (liderados pela nova escola de Chicago, com Zingales, além de Tim Wu e Lina Kahn). Note que Chicago vem novamente na vanguarda das verdadeiras preocupações do antitruste nesta nova Era.

De fato, Google, Amazon, Apple, Facebook e Microsoft, somados, compraram mais de 435 empresas nos últimos 10 anos (“The Myth of Capitalism: monopolies and the death of competition”, de Jonathan Tepper e Denise Hearn), resultando no aumento expressivo do poder de mercado destas empresas, uma vez que as informações dos consumidores finais passaram a ser captadas, usadas e monetizadas. Sem mencionar nos efeitos decorrentes das concentrações verticais e conglomerais derivados destas fusões, da ausência de concorrência, das elevadas barreiras à entrada e das inúmeras vendas casadas e práticas verticais que passaram a ocorrer. A questão, destarte, é compreender se cada operação ou se cada conduta altera o bem-estar do consumidor e, se sim, como (análise para além da variável preço).

Será que outras questões, como “privacidade”, devem ser tomadas em consideração? Alec Stapp (The Wall Street Journal), do Niskanen Center (organização libertária), por exemplo, argumenta que 2/3 dos americanos não ligam para a privacidade. Se isso for verdade, nos EUA, deveriam o FTC ou DoJ atuarem em favor da proteção dos dados demandados pelos 1/3 restantes, sob o risco de privar a todos de certos serviços? Esse é um dos pontos relevantes nesta nova discussão, considerando que o regulamento de proteção de dados da União Europeia (GDPR), em vigor desde maio/2018, já impôs requisitos severos às empresas.

Desta maneira, análises tradicionais, que focam no “preço” (foco principal das análises econômicas quantitativas e da preocupação primária de uma agência antitruste, especialmente em atos de concentração), precisam ser ampliadas. Neste contexto, o bem-estar do consumidor pode e deve abarcar muitos conceitos adicionais, tais como: qualidade na oferta do serviço/bem, eficiência dinâmica, compra de competidor potencial, capacidade de realizar subsídio cruzado, ampliação no portfólio de oferta, características dos ofertantes, segurança à privacidade aos dados, etc. Além disso, deve-se considerar fatores, como a manipulação do dado ou a forma da veiculação da informação (como ocorreu nas eleições presidenciais norte-americanas), que maquiam a verdade dos fatos e enviesam a interpretação do dado, tudo devido ao poder de mercado que a detenção de tal informação confere ao seu dono. Todas essas variáveis afetam o bem-estar do consumidor, muito embora os guias antitrustes não as mencionem ou ressaltem apropriadamente. O que deve ser alterado, destarte, é a metodologia de análise, não os objetivos do antitruste, que devem seguir sendo os de ter “maior eficiência nos mercados e maior bem-estar do consumidor”.

O cerne do problema econômico, consequentemente, segue sendo o de sempre, mesmo na Era da informação: será que um agente econômico, que tem poder de mercado (hipótese necessária, crucial e basilar – descrita inequivocamente em qualquer lei antitruste), consegue exercê-lo? O que lhe confere poder de mercado? Incontestável dizer que esta análise sobrepassa a análise tradicional de market share sobre um mercado relevante previamente definido. Qual é a probabilidade daquele agente exercer seu poder de mercado ao longo do tempo (análise dinâmica)? Esse poder de mercado está sendo logrado pela via da compra de um concorrente potencial (análise dinâmica) ou por aumento da possibilidade da firma fazer subsídio cruzado, preço predatório, aumento de portfólio, etc., causado pela concentração conglomeral? Estes tópicos, parte abordados nos anos 60, foram deixados de lado com o tempo. É o momento de reavê-los criticamente.

Neste sentido a expressão hipster antitrust é boa, mas precisa ser melhor contextualizada para não confundir, trazendo à mesa discussões superadas do passado (como a inclusão de objetivos macroeconômicos). Atualmente, Luigi Zingales (da nova Escola de Chicago), Tim Wu, Lina Khan, dentre alguns outros, formam o grupo dos verdadeiros hipsters antitrust , pois eles trazem de volta a importante reflexão “de como uma agência antitruste deve agir” , neste caso, nesta nova Era, da quarta revolução industrial. Para eles o poder de mercado das empresas está sendo logrado pelo acesso e detenção dos dados, da informação, num mundo bem mais de “serviços” do que de “produtos” . Por isso, eles têm sido críticos ácidos à ação leniente do FTC, que tem permitido fusões preocupantes para o bem-estar do consumidor, desconsiderando o fato de que “preço zero” não é algo bom necessariamente. Além disso, para eles, este órgão antitruste subestima o poder de mercado que algumas firmas de tecnologia têm, não vislumbrando os verdadeiros efeitos nocivos de condutas anticompetitivos nesta nova Era.

A boa discussão do movimento hipster antitrust , assim, não concerne à mudança nos objetivos do antitruste tradicional (que deve seguir tendo como alvo a eficiência e o bem-estar do consumidor), mas à forma de análise, à metodologia e ao threshold (que, além do faturamento, deveria ser adicionado o valor da empresa ou da operação). Por isso, “ser grande não é necessariamente ruim”. O nocivo segue sendo o agente exercer seu poder de mercado (lembrando que só exerce dito poder quem o tem!) em detrimento ao bem-estar do consumidor.

O ponto fulcral, em suma, é identificar, nesta quarta revolução industrial, como a informação dá ao agente econômico poder de mercado, como esse poder pode ser, de fato, exercido e como esse exercício do poder de mercado afeta o bem-estar do consumidor (para além da análise nos preços). Com isso mapeado, o próximo passo é definir como a agência antitruste deve agir, em particular no caso brasileiro, o Cade. Se a Comunidade Europeia está sendo muito rigorosa, os EUA estão sendo demasiadamente lenientes. Agir no meio termo parece que é o caminho ideal.

Fonte: Jota

Mais de 80% dos usuários realizam compras online

Wed, 26 Dec 2018 18:38:04 GMT

Em alguns países da América Latina, o crescimento do hábito de fazer compras online cresceu no ano passado até cinco vezes mais rápido do que o de compras presenciais.

Para dar outro exemplo desse crescimento, segundo dados recentes de um estudo conduzido pelo FMI e pela consultora Nielsen, estima-se que, até 2024, 70% dos consumidores comprem seus alimentos de forma online.

Esse crescimento e predisposição também se refletiu na última pesquisa que realizamos com a nossa comunidade de usuários, na qual 81,7% afirmaram ter feito compras online com certa regularidade .

Esse fenômeno deve-se, entre outras coisas, ao fato de que “a demanda por conveniência empurra os consumidores para o comércio eletrônico”, explica um relatório da Nielsen. O documento também afirma que com o passar do tempo “o desenvolvimento de bens de consumo de massa ocorrerá exclusivamente no espaço online”.

Anteriormente, a desconfiança e o pouco conhecimento sobre o mundo online dificultavam o crescimento. Segundo a nossa comunidade de usuários, atualmente apenas 10,8% disseram que não se sentem seguros em fazer transações pela Internet .

Da mesma forma, 34% consideram que as transações online são perigosas e 16% disseram que sofreram algum tipo de incidente ao realizar uma compra pela Internet.

Nesse sentido, é importante que, além de incorporar o hábito de fazer compras online, os usuários também aprendam certos hábitos de segurança para poder usufruir dessa prática de maneira segura, pois, como destacamos anteriormente em um artigo com dicas práticas para fazer compras online com segurança em datas como BlackFriday ou Cybermonday, é importante aprender a reconhecer quando as condições de segurança não são dadas e há riscos de serem vítimas de uma fraude ou ameaça.

Fonte: ESET

Os avanços da Lei de Proteção de Dados brasileira

Sat, 22 Dec 2018 00:00:00 GMT

A lei geral de proteção de dados (LGPD) brasileira passará a vigorar a partir de 2020. Inspirada no Regulamento Geral sobre a Proteção de Dados da União Europeia (GDPR), também define o regramento para tratamento de dados pessoais — como por exemplo informações relacionadas a pessoa natural identificada ou identificável —, ocorrido nos ambientes online e off-line dos setores público e privado.

Embora a LGPD traga trechos que parecem ser uma tradução simplificada da lei europeia, como, por exemplo, os dispositivos sobre parâmetros de aplicação das sanções (artigo 83.2 do GDPR e 52, parágrafo 1º da LGPD), há muitas diferenças, como escopo de aplicação das duas normas, bases legais para o tratamento de dados pessoais e procedimentos para notificações de incidentes de segurança.

Ainda, os artigos referentes à autoridade nacional de proteção de dados foram vetados da LGPD por questões formais, já tendo sido sinalizado pelo Executivo que a agência será em breve criada pelo procedimento legislativo adequado.

Há diferenças específicas apresentadas pela LGPD que parecem ter aprimorado o texto-base, não no sentido de beneficiar uma ou outra parte envolvida no tratamento de dados pessoais, mas sim, no intuito de reduzir inseguranças jurídicas e dificuldades de aplicação da norma.

Um primeiro ponto foi a exclusão da LGPD (veto presidencial aos incisos VII, VIII e IX do art. 52) das penalidades de suspensão e proibição definitiva da condução de atividades de tratamento de dados pessoais, previstas no art. 58.2 (f) do GDPR.

Tais penalidades gerariam, segundo as justificativas apresentadas, sérios problemas de aplicação, como, por exemplo, a dúvida de a empresa também ser obrigada a suspender o armazenamento de dados pessoais, ocasionando a eliminação de informações essenciais à continuidade de suas atividades.

O artigo 4º IV da LGPD também merece destaque por esclarecer que a norma não se aplica a tratamentos de dados pessoais provenientes de fora do Brasil, desde que não haja o acesso de agentes terceiros brasileiros a tais dados, nem transferência a um país que não o de sua procedência.

Por conta da omissão sobre o assunto no GDPR, existe uma dúvida se a norma se aplicaria a empresa de fora da EU que apenas transfere dados também coletados fora da EU para simples tratamento por operador em território europeu, sem qualquer acesso de terceiros.

Por fim, a LGPD estabeleceu que agentes estrangeiros sujeitos à norma serão notificados e intimados por meio do responsável por sua entidade estabelecida no Brasil.

Por sua vez, o GDPR, ao estabelecer, em seu artigo 27, a obrigação de agentes sujeitos à norma designarem um representante na UE com poderes para solucionar questões de titulares de dados pessoais e autoridades de proteção de dados, gera dúvidas e dificuldades de aplicação em casos em que os agentes não possuam empresas subsidiárias estabelecidas na UE.

Assim, a LGPD pode parecer, em uma primeira análise, ter apenas simplificado o GDPR, mas apresenta diferenças significativas, sendo que algumas delas a fazem, em algum grau e sob determinado ponto de vista, mais avançada do que o próprio GDPR.

Fonte: Jota

Uber é multada em US$ 459 mil na França por violações de dados

Thu, 20 Dec 2018 23:26:14 GMT

A Uber Technologies recebeu uma multa de 400.000 euros (US$ 459.000) do órgão de vigilância à privacidade da França após um ciberataque, em 2016, que comprometeu dados de milhões de clientes e de dezenas de milhares de motoristas.

Esta é a terceira penalidade aplicada por países europeus pela mesma violação, informou o órgão francês, conhecido como CNIL, acrescentando que publicou a decisão devido ao "grande número de pessoas atingidas e à necessidade de conscientizar outras operadoras". O órgão com sede em Paris acusou a unidade francesa da Uber, Uber France, de não oferecer proteção suficiente aos dados dos usuários.

A empresa revelou em novembro do ano passado que hackers haviam roubado dados pessoais de 57 milhões de clientes e motoristas da Uber, uma grande violação que a empresa havia ocultado por mais de um ano. A empresa de carona compartilhada demitiu o diretor de segurança e um de seus assessores por terem mantido o ataque cibernético em sigilo, o que incluiu o pagamento de US$ 100.000 aos hackers.

A multa francesa eleva o total de penalidades na Europa a mais de US$ 1,6 milhão. O montante inclui multas de 600.000 euros e de 385.000 libras (US$ 488,7 milhões) emitidas pelas autoridades holandesas e britânicas pelo descumprimento da obrigação de proteger os dados pela Uber. As penalidades poderiam ter sido muito maiores se a violação tivesse ocorrido após 25 de maio, quando entraram em vigor novas regras de privacidade válidas para toda a UE que deram aos órgãos reguladores o poder de multar as empresas em até 4 por cento das receitas anuais.

Capítulo fechado

A Uber informou em comunicado, nesta quinta-feira, que está "satisfeita por fechar este capítulo" relacionado ao incidente de 2016.

"Como informamos as autoridades europeias durante as investigações, fizemos uma série de melhorias técnicas na segurança de nossos sistemas logo após o incidente e nos anos posteriores", informou a empresa com sede em São Francisco. "Além disso, fizemos mudanças significativas na diretoria para assegurar um nível adequado de transparência perante reguladores e clientes daqui para frente."

A Uber anunciou neste ano a contratação de seu primeiro diretor de privacidade, de um chefe de proteção de dados e de um novo diretor de segurança e confiança. "Aprendemos com nossos erros e mantemos nosso compromisso de ganhar a confiança dos nossos usuários todos os dias", afirmou.

Logo após as revelações de violação de dados, no ano passado, vários órgãos reguladores europeus prometeram investigar possíveis violações das leis de privacidade. Em novembro de 2017, o grupo de 28 autoridades criou uma força-tarefa liderada pelo órgão de fiscalização holandês para coordenar investigações sobre o ataque em toda a Europa.

A privacidade de dados é apenas uma das dores de cabeça da empresa com a justiça europeia. As multas foram anunciadas um dia depois de a Uber perder uma histórica ação judicial no Reino Unido a respeito dos direitos trabalhistas de seus motoristas -- um julgamento que ameaça obrigar as empresas da florescente economia gig do continente a oferecer benefícios como férias renumeradas.

Fonte: UOL Notícias

ESET alerta: e-mail falso da Amazon propaga novo trojan

Thu, 20 Dec 2018 00:00:00 GMT

Uma nova campanha está utilizando o nome da empresa Amazon para propagar uma nova variante do trojan Emotet, conforme alerta a ESET, empresa líder em detecção proativa de ameaças.

Nesse caso, a fraude começa com um e-mail que, diferentemente de outros casos relacionadas a phishing e roubo de credenciais através de sites falsos, não contém um link para uma página na qual o usuário deve inserir seus dados, mas que simplesmente envie informações sobre uma compra no site da Amazon.

É interessante analisar o e-mail utilizado para a fraude, já que a mensagem não só tem um design muito semelhante aos originais enviados pela Amazon, mas também vem com o nome e sobrenome da vítima (dados que provavelmente são obtidos a partir do endereço de e-mail ou algum vazamento de informações).

Embora, à primeira vista, o e-mail pareça ser autêntico e venha de um endereço genuíno, a verdade é que, ao exibir os detalhes do remetente, podemos ver que a mensagem está realmente sendo enviada de um endereço que não tem nada a ver com o domínio da Amazon. Encontramos então o primeiro indício de que se trata de uma fraude.

Ao contrário dos e-mails normalmente associados a campanhas de phishing e outros golpes, neste caso o usuário não é instigado a fornecer informações, nem é instruído a clicar em um link para resolver um problema, muito menos realizar o download de um anexo. O golpe procura passar o mais despercebido possível e por isso tenta despertar a curiosidade do usuário que recebe um simples e-mail de confirmação para uma compra realizada.

A maioria das vítimas que recebem este e-mail em algum momento criaram uma conta na Amazon ou costumam realizar compras no portal, por isso a primeiro sensação da vítima é que alguém roubou suas credenciais e está fazendo compras a partir de seu perfil.

Apelando para essa preocupação e para o excelente design do e-mail, o cibercriminoso faz com que as vítimas cliquem nos links por trás do número do pedido ou no botão "detalhe da compra". Aqui encontramos o segundo indicador que confirma as suspeitas: o e-mail é uma farsa. Como podemos ver na imagem abaixo, o link não leva ao site da Amazon, mas a um domínio brasileiro que provavelmente é um site comprometida onde o invasor hospeda seus arquivos maliciosos.

Se o usuário clicar no botão "detalhe de compra", nenhum site será aberto, mas um arquivo do Word será automaticamente baixado com o suposto detalhe do pedido. Não é a primeira vez que observamos e-mails que usam links de download diretos para evitar o anexo de arquivos maliciosos e, assim, burlar a proteção antivírus dos servidores de e-mail.

O arquivo baixado é um trojan de download, que esconde uma macro que baixa o payload. Como o pacote do Office tem uma visualização protegida para impedir a execução de macros e outros componentes automaticamente, o arquivo faz um apelo à Engenharia Social para fazer com que o usuário possa acreditar que ele foi criado em uma versão anterior do Office e deve habilitar a edição para poder visualizar o conteúdo.

Ao analisar o código e o comportamento da macro do arquivo, ocorre quase o mesmo que vimos há apenas um mês quando analisamos uma campanha de propagação do trojan Emotet. Assim como naquela ocasião, o código se refere a uma caixa de texto oculta no documento, em que os comandos e dados de conexão para o download e a execução do payload são encontrados.

A caixa de texto está escondida dentro do corpo do documento, no topo e em um tamanho minúsculo (a ESET ampliou a visualização para 500% para encontrá-la).

Ao expandir o tamanho da caixa de texto, podemos ver o conteúdo: os comandos de execução e os links nos quais o trojan faz o download do payload:

No momento da análise, apenas dois dos cinco links encontrados no documento permaneceram ativos. A partir desses links, o trojan faz o download de dois executáveis que são uma nova variante do Emotet. Detectamos essas novas variantes a partir da assinatura Win32/GenKryptik.CULQ, o que aumenta a longa lista de variantes do Emotet que já foram detectadas.

O trojan Emotet é caracterizado por sua constante mutação (portanto, continuamos encontrando novas variantes) e realizando a contenção de payloads de diferentes famílias de trojans bancários e spywares que buscam roubar informações do usuário.

Segundo a ESET, a análise deste caso mostra que o cibercriminoso busca ir além do Phishing tradicional, combinando diferentes técnicas de propagação e fraude para fazer com que sua vítima clique em um link, execute um arquivo e finalmente o código malicioso consiga comprometer o dispositivo e coletar os dados confidenciais.

O ideal é que os usuários não cliquem em nenhum link que venha de e-mails não solicitados. Em caso de dúvida, entre diretamente no portal em questão e, acima de tudo, use soluções de segurança atualizadas para estar protegido contra as ameaças mais recentes.

Fonte: TI INSIDE

ESET mostra tendências de cibersegurança para 2019

Wed, 19 Dec 2018 16:19:23 GMT

Com ataques cibernéticos, vazamentos de dados e a crescente onda de falhas que ameaçam a privacidade de clientes e usuários, mais do que nunca nossos olhos estão voltados à segurança da informação. A ESET preparou o relatório Tendências 2019: privacidade e invasão na aldeia global, com informações sobre as principais tendências quando o assunto é segurança cibernética.

R edes Sociais

O relatório reflete sobre a importância e responsabilidade de gigantes tecnológicos como o Facebook e o Google na hora de proteger os grandes volumes de dados coletados ao longo de muitos anos. E considerando que muitas vezes nos apoiamos em serviços oferecidos por essas grandes empresas para desenvolver nossa vida online, poderíamos enfrentar um grande problema se estas empresas perdessem nossos dados.

GDPR

O ano de 2018 ficará na história da privacidade de dados, já que em maio deste ano a União Europeia (UE) tornou efetivo o Regulamento Geral de Proteção de Dados (GDPR), que tem implicações para qualquer empresa (independentemente da localização) que processe informações pessoais de cidadãos da UE. Sete meses depois, quais são as expectativas mundiais em relação ao surgimento de outra legislação de privacidade para 2019 e para os próximos anos?

Criptomoedas

Entre todos os softwares maliciosos, provavelmente nenhum gerou mais dúvidas e ruído este ano do que aquele que é usado para a mineração de criptomoedas de forma ilegal. Isso difere do que aconteceu em 2017, com o ransomware, que foi o foco em quase todo o ano de 2017. No entanto, em 2018, o ransomware parece ter ocupado um lugar secundário, pelo menos em relação ao interesse dos meios de comunicação. Neste sentido, surge a seguinte pergunta: a mineração de criptomonedas de forma ilegal (prática conhecida como criptojacking) tem o poder suficiente para figurar com destaque no cenário das ameaças para o próximo ano? Em “Tendências 2019” tentamos responder a essa pergunta.

IoT

Além disso, em um mundo no qual muitas pessoas sonham com casas inteligentes a partir do uso de assistentes de voz, surge a seguinte pergunta: estamos fechando os olhos para as ameaças que os cibercriminosos podem ter desenvolvido para tirar proveito dos dispositivos da Internet das Coisas (IoT) interligados em casa e, portanto, invadir nossa privacidade?

É válido pensar também na quantidade e o tipo de dados que compartilhamos com esses dispositivos.

Machine Learning

O Machine Learning (ML) também ganhou espaço no campo da cibersegurança. Os algoritmos de ML podem ajudar os desenvolvedores de soluções de segurança a executar tarefas repetitivas ao analisar arquivos suspeitos, permitindo identificar as ameaças atuais de maneira mais eficiente. Mas, por outro lado, o machine learning também pode ser usado por indivíduos mal-intencionados, que se tornaram especialistas em explorar o potencial dessa tecnologia para desenvolver tarefas automatizadas e obter informações sobre alvos vulneráveis. Nesse sentido, a relatório de tendências discute o potencial que essa tecnologia tem tanto para os cibercriminosos como para os responsáveis pela segurança, enquanto analisamos o papel dos humanos nessa equação.

Fonte: Security Report

Facebook admite que Spotify e Netflix tinham acesso a mensagens de usuários

Wed, 19 Dec 2018 00:00:00 GMT

O Facebook confirmou que Spotify e Netflix tiveram acesso a mensagens privadas de alguns usuários da rede social. Segundo declaração da empresa desta terça-feira (18), os serviços puderam, durante anos, visualizar as conversas de pessoas que ativaram funções para recomendar músicas ou filmes para sua rede de contatos. No entanto, não foi esclarecido ainda se o histórico de mensagens continua disponível para as empresas parceiras.

A declaração do Facebook foi divulgada na esteira de uma publicação do jornal The New York Times que acusa a rede social de entregar dados sigilosos de usuários para grandes empresas de tecnologia. Além dos serviços de streaming de música e vídeo, companhias como Amazon, Apple, Microsoft e Yahoo teriam tido acesso privilegiado a informações privadas sem o consentimento dos usuários. Todas as empresas envolvidas no caso negam mau uso dos dados.

Entenda o caso

Spotify e Netflix tiveram acesso às mensagens de usuários que ativaram a integração dos serviços com o Facebook. A função tinha o objetivo de recomendar conteúdo a amigos, mas também abria portas para fornecer o histórico de mensagens às empresas.

Segundo a rede social, os dados eram entregues apenas mediante autorização do usuário. No Spotify Desktop, por exemplo, usuários deveriam fazer login no Facebook para enviar e receber mensagens sem sair do aplicativo. Para a função operar, o serviço de streaming teve acesso à caixa de entrada do perfil na rede social.

Segundo o Facebook, essas parcerias foram encerradas junto com as providências tomadas em abril por conta do escândalo da Cambridge Analytica. Entretanto, a empresa diz que ainda precisa “de um gerenciamento mais rigoroso sobre como parceiros e desenvolvedores podem acessar informações usando nossas interfaces de programação (APIs)”. Ainda não se sabe, portanto, se dados de usuários permanecem acessíveis mesmo após o encerramento das funções de recomendação.

Um problema diferente foi apontado pelo The New York Times nas integrações do Facebook com Microsoft e Yahoo. Nesses casos, em vez de fornecer histórico de mensagens, a rede social abriu caminho para que o buscador Bing e o e-mail Yahoo Mail pudessem ver informações de amigos, mesmo sem o consentimento dos usuários.

Apesar de garantir que essas integrações já foram encerradas, o Facebook não confirmou que dados de amigos eram entregues aos parceiros conforme descreveu o jornal americano. Em nota, o Facebook diz que quase todas as parcerias foram desfeitas nos últimos meses, com exceções de integrações com serviços da Apple e Amazon, que ainda têm contratos vigentes e permanecem ativas. A rede social, porém, não detalhou os dados incluídos nas parcerias.

Vazamento de fotos

A nova polêmica de privacidade envolvendo o Facebook surge na mesma semana em que a empresa confirmou o vazamento de 6,8 milhões de fotos de usuários. Um bug no site expôs imagens que haviam sido, originalmente, configuradas como privadas. O erro foi responsável por exibir as fotos publicamente na plataforma por por 12 dias, entre 12 e 25 de setembro, antes de ser identificado e solucionado.

Fonte: Tech Tudo

LGPD muda forma de acesso e governança da informação

Tue, 18 Dec 2018 00:00:00 GMT

A Lei Geral de Proteção de Dados foi aprovada este ano pelo presidente Michel Temer em 14 de agosto de 2018, e só entra em vigor a partir de fevereiro 2020. As empresas brasileiras têm pouco mais de um ano para adaptar práticas, políticas e sistemas para adequar-se à nova lei.

Um dos aspectos mais relevantes e mais complexos é, sem dúvidas, o acesso aos dados internamente. E uma das mudanças trazidas pela LGPD é justamente a classificação das informações internamente – quem tem acesso às informações da companhia. De fato, isso é crucial: um estudo publicado pela Intel esse ano apontou que ao menos 43% do vazamento dos dados acontece por conta de falhas de segurança envolvendo o acesso de usuários internos –cerca de metade deles é acidental.

O problema é que a estratificação e a classificação da informação por níveis de acesso ao usuário ainda são novidade por aqui. Muitas organizações ainda fazem esse controle manualmente e, com o advento dos serviços na nuvem, o controle dos usuários ficou ainda mais “solto”.

A principal mudança é que a nova lei vai exigir um controle rigoroso sobre os dados pessoais que as empresas armazenam e isso demandará que a classificação das informações hoje seja revista do ponto de vista dos dados pessoais.

Como as empresas brasileiras estão encarando o LGPD

Da nossa prática diária, observamos que muitas organizações estão deixando para iniciar as mudanças exigidas pela lei no próximo ano. Existem aqueles que ainda não conhecem a legislação, e não sabem quais as adaptações e mudanças terão de fazer.

Uma coisa, porém, é certa: a nova legislação afeta profundamente a operação de muitas empresas – afinal, a organização vai precisar informar o motivo pelo qual está coletando informações pessoais, e classificar esses dados internamente de maneira a dar acesso somente àqueles autorizados.

Para se ter uma ideia, a nova legislação não afeta somente qual é o tipo de tecnologia que a organização vai utilizar para realizar o controle de acesso aos dados: exige também a criação de novos cargos, responsáveis pela guarda das informações, como o Data Protection Officer, que deverá ser o guardião e responsável pelo cumprimento da nova lei. Também prevê a criação de um Comitê de Segurança da Informação que deverá zelar pelos dados e analisar os procedimentos internos.

A lei também cria outras figuras que deverão ser responsáveis pelo tratamento dos dados: o Controlador – a quem competem as decisões sobre o tratamento das informações – e o Operador, responsável pelo tratamento dos dados – que podem ser pessoas físicas ou jurídicas, de direito público ou privado. Existe também a figura do Encarregado, que deverá atuar como um canal de comunicação entre os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD) – um órgão independente, que deverá funcionar nos mesmos moldes que uma agência reguladora.

Um aspecto importante é que a LGPD não aplica somente às operações online, mas também às operações offline , ou seja, dados cadastrais armazenados, mesmo que não transitem em meios eletrônicos.

Ou seja, a complexidade da lei ultrapassa as barreiras da adequação técnica, e está diretamente relacionada à governança das informações e o direito do acesso aos dados – como a mídia tem ressaltado desde o início desta discussão, as multas são altíssimas, e o prejuízo em termos de desgaste de imagem da organização, maior ainda.

* Carlos Rodrigues é VP Latam da Varonis

Fonte: Security Report

Facebook pode pagar multa de até US$ 1,6 bilhão por descumprir a GDPR

Mon, 17 Dec 2018 00:00:00 GMT

A Comissão Irlandesa de Proteção de Dados, uma agência reguladora europeia que supervisiona a conformidade dos serviços online com a GDPR, anunciou na última sexta-feira (14) que está iniciando uma investigação sobre a falha do Facebook em proteger a privacidade de seus usuários. A agência informou à CNN que a investigação foi instaurada após terem recebido diversos relatórios de violação de dados relacionados à rede social.

O inquérito chega após a maior falha de segurança enfrentada pelo Facebook, em setembro, quando as informações pessoais de dezenas de milhões de usuários vazaram e foram disponibilizados online por cibercriminosos.

Sanções e multas

De acordo com a GDPR, o Facebook precisa reportar à Comissão Irlandesa de Proteção de Dados, num prazo de até 72 horas, sempre que violações forem descobertas, uma vez que a sede da empresa fica em Dublin, na Irlanda. As companhias que não seguirem o que manda a regulamentação podem arcar com multas de 4% de sua receita anual global. No caso do Facebook, que teve receita de US$ 40 bilhões em 2017, as sanções podem chegar a até US$ 1,6 bilhão caso os resultados financeiros de 2018 acompanhem os do ano passado.

A vulnerabilidade ocorrida em setembro só foi reportada à reguladora irlandesa dois meses depois, em 22 de novembro. Segundo o Facebook, o aviso foi feito "assim que a empresa estabeleceu que se tratava de uma violação que precisava ser reportada". A Comissão disse estar preocupada com a ausência de informações e transparência da rede social. "Estamos em contato próximo com a Comissão Irlandesa de Proteção de Dados e estamos felizes em responder qualquer dúvida de possam ter", disse um porta-voz do Facebook à CNN.

Fonte: Canaltech

Comissão aprova uso da Lei de Proteção de Dados Pessoais para Identificação Civil Nacional

Mon, 17 Dec 2018 00:00:00 GMT

A Comissão de Ciência e Tecnologia, Comunicação e Informática aprovou mudanças na lei que criou a Identificação Civil Nacional (ICN – Lei 13.444/17 ) para prever remissão à Lei Geral de Proteção de Dados Pessoais ( LGPD, 13.709/18 ).

O texto aprovado é um substitutivo do deputado André Figueiredo (PDT-CE) ao Projeto de Lei 8127/17 , da deputada Bruna Furlan (PSDB-SP). O projeto original previa a obrigatoriedade da edição de decreto de regulamentação, pelo Poder Executivo, contendo parâmetros mínimos de segurança e confiabilidade no manejo de dados pessoais do cidadão.

Segundo Figueiredo, "parte substantiva" das garantias trazidas por essa inciativa já constam da LGPD. "A LGPD contém capítulo inteiramente dedicado ao tema da proteção de dados pessoais pelo Poder Público, que supre as legítimas aspirações da presente proposição".

Segurança da informação

O projeto original previa, por exemplo, que a base de dados da ICN deveria ser mantida em ambiente controlado e seguro, conforme "medidas técnicas compatíveis com padrões internacionais de segurança da informação".

Figueiredo disse que o nível de proteção da LGPD "atende plenamente" aos anseios dos cidadãos por mais proteção a seus dados pessoais no âmbito do tratamento pelo Poder Público.

O substitutivo também manteve o enquadramento como improbidade administrativa de atos de agentes públicos que comercializem, total ou parcialmente, a base de dados da ICN, sem prejuízo da responsabilidade civil ou penal.

Figueiredo retirou as penas previstas no texto original para quem acessar, utilizar ou divulgar indevidamente a informação armazenada na base de dados do ICN, ou comprometer a integridade, a autenticidade ou a confidencialidade de seu conteúdo. "A ampla discussão com os mais variados setores da sociedade optou por, ao menos por enquanto, não criminalizar o tratamento de dados pessoais", disse o relator.

Tramitação

O projeto ainda será analisado pelas comissões de Trabalho, de Administração e Serviço Público; e de Constituição e Justiça e de Cidadania, inclusive quanto ao mérito. Depois seguirá para discussão e votação em Plenário. As informações são da Agência Câmara.

Fonte: TI INSIDE

Marketing Digital na era do LGPD

Sat, 15 Dec 2018 00:00:00 GMT

A partir de fevereiro de 2020, entrará em vigor a Lei Geral de Proteção de Dados Brasileira, conhecida pela sigla LGPD (13.709/2018), e as empresas terão até essa data para se enquadrarem. Nossa lei, é similar a Européia (EU GDPR) a qual já está aplicando milhões e milhões de Euros em multas pelos descumprimentos. Empresas de tecnologia como Facebook e Google estão recorrendo de multas bilionárias. Outros ramos como financeiro, bancos, cartões e até mesmo hospitais já foram autuadas por não protegerem as informações pessoais de seus clientes
adequadamente.

O que as empresas precisam fazer?

Devem garantir a proteção das informações pessoais dos clientes, fornecedores e funcionários de acessos não autorizados, destruição, perda ou qualquer outro ato ilícito e assim evitarem as sanções previstas que vão de advertências até multas de 2% do faturamento da empresa limitados a R$ 50 milhões por infração.

Um dos segmentos que demandará um esforço extra com a LGPD é o Marketing Digital e as empresas que utilizam essas estratégias, as quais usam os diversos meios tecnológicos massivos para atingir grande público e assim atrair novos negócios, criar relacionamentos, desenvolver e fortalecer uma marca. Mas o que muda? Sem entrar em muitos detalhes, basicamente as empresas demandarão um esforço maior para fazer a coleta e a gestão dos dados e dos consentimentos para o usá-las, uma vez que endereço, nome, e-mail, redes sociais, telefone são considerados informações pessoais e assim protegidas pela LGPD. Neste caso, quando uma empresa for coletar informações de um cliente, ela deve obter somente as que necessita para desempenhar seus negócios e não deve solicitar o que ainda não precisa ou que demandará somente no futuro. Outro ponto importante é a gestão do consentimento do uso dessas informações, e deixando claro para que, quando e como serão usados esses dados, em uma linguagem clara e objetiva. Se houver alterações ou novas finalidades de uso, deve obter um novo consentimento dos clientes antes da utilização das mesmas. Também deve ser concedida aos usuários a opção de alterar seus dados e consentimento a qualquer momento e o principal, dar a opção do esquecimento, ou seja, a empresa deve apagar todos os dados referentes ao usuário que assim desejar.

Mas então, vou me livrar dos SPAM? A resposta é NÃO. Mas tenderá a diminuir, pois as empresas terão receio de compartilhar e protegerão melhor seus sistemas contra vazamentos intencionais ou não, os quais alimentam essas empresas ou pessoas que utilizam isso com a intenção de espalhar SPAM, uma vez que as multas serão pesadas. Você continuará recebendo e-mails de planos de saúde que já tem ou não quer contratar; de outras vendas que ninguém tem interesse em comprar, mas poluem as caixas de correio eletrônico. Entenda que não são empresas de Marketing Digital que ficam disparando SPAM, mas sim empresas ou pessoas sem intenções nobres, que acham que venderão muito enchendo todo mundo com e-mails inúteis. E você, um dia comprou algo por causa de um SPAM?

Principais pontos da lei LGPD

· Informações de crianças devem ser tratados com o consentimento dos pais;

· Dados pessoais para estudos e pesquisa, sempre que possível, garantir o anonimato;

· Empresas devem coletar somente os conceitos necessários para prestar os serviços;

· Informações pessoais e sensíveis devem ser excluídas após o encerramento da relação do cliente com a empresa;

· Usuários podem ver, corrigir, e deletar as informações próprias armazenadas nas empresas;

· Autorizações genéricas para tratamento de dados pessoais serão nulas. O consentimento será por finalidade determinada;

· Responsável pela gestão das informações deve comunicar incidentes de segurança, que possam oferecer risco ou prejuízos aos donos das informações;

Fonte: Administradores

Falha grave: servidor vazou 120 milhões de CPFs e outros dados valiosos

Fri, 14 Dec 2018 00:00:00 GMT

Não é um segredo que os números dos nossos documentos de identificação, principalmente o RG e o CPF, estão circulando há anos no mercado, de forma legal ou ilegal. Mas a descoberta da equipe da InfoArmor torna essa realidade muito assustadora. Segundo a empresa de segurança digital, 120 milhões de CPFs estavam comprometidos em um servidor de dados na internet. A descoberta ocorreu em março, mas a empresa só informou o caso na terça-feira (11). A InfoArmor descobriu um servidor aberto durante uma de suas varreduras regulares na internet para detectar máquinas comprometidas, criação de reputação de endereços IP e agentes de ameaça.

A empresa descobriu que alguém havia renomeado o arquivo "Index.html" do servidor para "index.html_bkp", revelando o conteúdo do diretório para qualquer pessoa que conhecesse o nome do arquivo ou navegasse nele teria acesso irrestrito a todas as pastas e arquivos dentro.

A InfoArmor ressaltou que esta descoberta não foi um ataque hacker ou violação: a informação era livremente acessível a qualquer pessoa que tivesse acesso ao endereço do banco de dados.

Os dados expostos no servidor continham ainda outras informações sensíveis sobre brasileiros ligadas a cada CPF exposto, como histórico de empréstimos bancários, de débito e crédito, e também dados pessoais como nome completo, contatos de família e informações de empregadores.

"É muito provável que oponentes sofisticados reuniram esta informação. Demorou mais de um ano para os dados roubados do Yahoo serem colocados à venda na dark web, e dados tão exclusivos quanto os disponíveis no servidor provavelmente estão entre os dados mais negociados na dark web", diz Christian Lees, chefe de segurança da informação da InfoArmor.

"Duas medidas de segurança simples poderiam ter impedido isso: não renomear o arquivo index.html principal ou proibir acesso através da configuração do .htaccess. Nenhuma dessas medidas básicas de segurança cibernética estava em vigor", completou Lees.

Nos dias seguintes à descoberta inicial, a InfoArmor tentou determinar quem era o proprietário do servidor para avisá-lo da falha, com tentativas de mensagens para emails reconhecidos como donos daquele banco de dados. Depois de uma série de alterações no conteúdo, só em meados de abril todo o conjunto de dados foi protegido do acesso a estranhos.

A InfoArmor não descobriu as pessoas ou empresas responsáveis pela falha. Não há garantias se o conteúdio foi ou não acessado por terceiros nesse período.

"O que foi originalmente mal configurado para ser acessível por endereço IP foi reconfigurado como um site funcional com um autenticado domínio 'alibabaconsultas.com' que redirecionou para seu painel de login [onde é requerido senha]. Embora o InfoArmor não possa ter certeza que alibabaconsultas.com foi responsável por o vazamento, parece que eles estavam de alguma forma envolvidos, provavelmente na função de serviço de hospedagem", argumentou o especialista.

A InfoArmor ainda comparou a falha ao vazamento ao dos dados de 143 milhões de americanos em 2017, quando hackers invadiram o sistema da empresa de gestão de crédito Equifax. "Infelizmente, não é incomum que encontremos regularmente dados vazados em ambientes inseguros. Com a louca corrida para compartilhar serviços de nuvem alugada, estamos vendo uma enorme quantidade de dados vazados que é potencialmente 10 vezes maior do que a atividade real do agente de ameaça", diz Christian Lees.

Fonte: UOL Notícias

LGPD: 10 dúvidas sobre a nova Lei

Fri, 14 Dec 2018 00:00:00 GMT

A Lei Geral de Proteção de Dados (LGPD) foi sancionada pela Presidência da República em agosto e suas novas regras afetarão todas as atividades que envolvam a utilização de dados pessoais em empresas brasileiras, que têm até 2020 para se adequarem. As regras buscam proteger os dados contra as vulnerabilidades e vazamento.

Veja abaixo algumas dúvidas frequentes sobre o assunto, respondidas por Vitor Corá, especialista em cibersegurança na Trend Micro, e Gabriela Crevilari, advogada do escritório Assis e Mendes.

Quem fiscalizará se as empresas estão em conformidade com a lei e efetivamente protegendo os dados?

O controle sobre a proteção de dados será exercido pela Autoridade Nacional de Proteção de Dados que será criada para este fim. A partir do momento em que for criada, é que saberemos mais sobre diretrizes quanto a fiscalização e formas de controle.

Como será comprovado que a empresa garante a proteção dos dados?

É necessário que as empresas, por meio de assessorias especialistas em proteção de dados, estudem quais são os dados que coletam e armazenam e com quem compartilham para, então, definir estratégias de segurança, nos quais poderão futuramente serem considerados os meios de comprovação da garantia sobre a proteção de dados sob seus controles.

Como fica o relacionamento com parceiros?

É necessário que atualizem os contratos, com cláusulas específicas sobre a proteção de dados com parceiros em que seja necessário o compartilhamento de dados.

Apenas o contrato firmado entre as partes garantirá que elas seguem a lei?

Não. O contrato firmado entre as partes será apenas um dos instrumentos para a comprovação de atendimento à lei. É importante que as empresas que realizarem o tratamento de dados se preocupem em investir em dispositivos de segurança para que minimize as possíveis penalidades impostas pela lei.

Caso ocorra, como comprovar que a empresa sabia do vazamento de dados?

Quando estiver sob investigação, a empresa deverá comprovar os métodos de segurança que utilizou. Assim, apenas após a apuração, é que haverá a decisão sobre a aplicação de penalidades ou não.

Assim como na Europa, haverá a necessidade de um funcionário terceiro para checar se a empresa está seguindo as novas regras?

Sim. Assim como no Regulamento Europeu, a LGPD brasileira demanda da figura do Encarregado pela Proteção de Dados. A Lei não determina sobre o tamanho das empresas que devem atender esta exigência, cabendo até o momento para todas as empresas que realizarem o tratamento de dados.

E caso um vazamento ocorra de uma empresa estatal?

O artigo 3º da LGPD diz que a Lei será aplicada a qualquer operação de tratamento realizada por pessoa física ou por pessoa jurídica de direito público ou privado. Desta forma, a LGDP delimitou um capítulo (art. 23 ao 30) exclusivo que definem as regras para o tratamento de dados pelo poder público.

Em caso de vazamento dos dados, a Legislação prevê a publicação do ocorrido via canais de mídia? A empresa terá um prazo para corrigir a falha?

Este ponto é uma espécie de penalidade prevista pela lei e que dependerá da decisão do órgão investigador, inclusive quanto ao prazo de correção.

O simples cadastro de funcionários de uma empresa também é um exemplo de informação que deverá ser cuidada sobre a LGPD?

Sim. Todo documento que contenha dados pessoais deverá ser protegido em conformidade com o que diz a LGPD.

Como deve seguir a relação entre a empresa e o cliente quando a finalidade de uso dos dados consentido mudar?

Nesta hipótese, a empresa deverá informar o cliente sobre a nova finalidade dos dados anteriormente coletados, devendo a empresa, ainda, recolher o consentimento do cliente para as novas finalidades.

Fonte: Revista Apólice

Entidades pedem previsão da criação de uma Autoridade para garantir o tratamento dos dados

Tue, 11 Dec 2018 00:00:00 GMT

A Internet, os dispositivos eletrônicos e os jogos digitais vêm se popularizando. Essa mudança fez com algumas empresas de tecnologia e de plataformas de redes sociais tivessem acesso a um imenso volume de dados pessoais. Para garantir uma série de direitos por meio da criação de regras para o tratamento de dados dos cidadãos, incluindo de crianças e adolescentes, 42 instituições, entre elas o programa Prioridade Absoluta, do Instituto Alana, assinaram um manifesto que solicita celeridade nas ações para aprovar a previsão da criação de uma Autoridade Nacional de Proteção de Dados Pessoais (ANPD), de forma a implementar as providências legais criadas pela Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais – LGPD).

A ANDP é fundamental para que, o quanto antes, o mercado possa elucidar eventuais dúvidas acerca das regras para o tratamento de dados de crianças. Além disso, o órgão pode fornecer orientações de como as empresas devem proceder para assegurar que o consentimento parental foi devidamente obtido, receber sugestões do setor privado e validá-las. Uma vez que a tecnologia está em constante desenvolvimento, esta análise poderia ser atualizada periodicamente pela Autoridade – o que não ocorreria apenas por meio de regulamentação.

"A criação da Autoridade, nos moldes do que estava previsto no projeto de lei que criou a Lei Geral de Dados Pessoais, é fundamental para acompanhar órgãos públicos – relevantes coletores de dados de crianças para fins de desenvolvimento de políticas públicas. Além disso, precisamos de uma instituição operando continuamente para analisar se é preciso intervir em alguma situação específica ou segmento para proteção dos dados, em especial os de crianças. Exigir que mães, pais e responsáveis tenham que, sozinhos, analisar os aplicativos voltados ao público infantil é inaceitável", ressalta Marina Pita, pesquisadora e assessora de advocacy do programa Prioridade Absoluta, do Instituto Alana.

Sancionada em 15 de agosto de 2018, a LGPD coloca o Brasil na lista dos mais de 100 países que já contam com leis de proteção de dados pessoais, endereçando os desafios da transformação social e econômica decorrente do avanço da tecnologia digital. A previsão de criação de uma entidade regulamentadora é essencial para propiciar segurança jurídica para o tratamento de dados, dar efetividade aos direitos assegurados na LGPD e possibilitar que o Brasil participe do livre fluxo internacional de dados. Além de legitimar o tratamento de dados com garantias adequadas aos seus titulares, com transparência sobre os processos.

Sobre o Prioridade Absoluta

O Prioridade Absoluta é um programa do Instituto Alana criado com a missão de dar efetividade e visibilidade ao Artigo 227 da Constituição Federal, que coloca crianças e adolescentes como absoluta prioridade das famílias, da sociedade e do Estado. Por meio de suas atividades, busca informar, sensibilizar e mobilizar pessoas, famílias, organizações, empresas e o poder público para que assumam, de forma compartilhada, este dever constitucional. O programa também desenvolve ações junto a instituições dos Poderes Executivo, Legislativo e Judiciário, com objetivo de exigir a garantia com absoluta prioridade aos direitos de crianças e adolescentes em cenários de violação e na promoção de políticas públicas sociais e orçamentárias.

Fonte: TI INSIDE

Manifesto pede mudanças na Lei de Proteção de Dados (LGPD)

Mon, 10 Dec 2018 00:00:00 GMT

A Assespro Nacional (Federação das Associações das Empresas Brasileiras de Tecnologia da Informação), entidade que representa as empresas de TI no Brasil, está liderando um manifesto em que faz um apelo ao governo pelo aperfeiçoamento da Lei Geral de Proteção a Dados Pessoais (LGPD) , solicitando, sobretudo a criação de uma Autoridade Nacional de Proteção de Dados (ANPD).

A entidade reitera seu apoio aos vetos do Poder Executivo ao texto original principalmente no parágrafo sobre a criação da ANPD, uma vez que vários dos trechos vetados são potencialmente inconstitucionais. Após o veto, o governo chegou a dizer que iria solucionar esta questão por meio de um projeto de lei, em forma de Medida Provisória, porém esta ação ainda não evoluiu.

A entidade ressaltou a importância da criação de uma ANPD, com bases nas funções de uma Agência Reguladora, assessorada por um Conselho Representativo da sociedade organizada.

Ítalo Nogueira, presidente recém-eleito para o biênio 2019-2020 da Assespro Nacional, comenta que, no texto original, foi dada a ANPD o poder de fiscal, polícia, juiz de forma simultânea a regulação, violando o princípio constitucional da divisão de poderes. "O que queremos é um aperfeiçoamento da Agência, que ela tenha sim função de regulação, controle, inspeção e punição, mas que seja uma agência reguladora autônoma e que disponha de um órgão consultivo constituído por representantes credenciados da sociedade civil", disse.

No manifesto, a entidade ressalta também que a proteção de dados pessoais no país seja claramente identificada como sendo matéria de exclusivo ordenamento jurídico federal, de forma a barrar legislação municipal e estadual, que apenas aumenta o ‘custo Brasil’ sem trazer nenhuma proteção adicional aos cidadãos. "É importante evitar, por exemplo, o surgimento de leis de âmbitos municipais ou estaduais que possam atrapalhar a soberania de normas da Lei Geral de Proteção a Dados Pessoais", completou Nogueira.

Fonte: Computerworld