Muitas empresas agora dependem completamente dos dados armazenados em seus servidores de rede, PCs, laptops, dispositivos móveis e provedores de serviços em nuvem. Alguns desses dados provavelmente contêm informações pessoais e/ou informações confidenciais da empresa.
Aqui, analisamos alguns dos pontos a serem considerados ao revisar a segurança de seus sistemas de computador em relação aos controles de acesso. O Regulamento Geral de Proteção de Dados (RGPD) estabelece o princípio de segurança, que determina que você deve tomar "medidas técnicas e organizacionais apropriadas" ao processar dados pessoais de forma segura. Esse princípio também é reiterado como o 6º Princípio da Lei de Proteção de Dados (DPA) de 2018, que aprimora o RGPD e também estabelece a "exigência de que os dados pessoais sejam processados de maneira segura".
Por esse motivo, impedir o acesso não autorizado ou acidental aos dados pessoais que você processa é um passo importante para a conformidade.
Segurança de acesso
Um bom controle de acesso aos computadores e à rede minimiza o risco de roubo ou uso indevido de dados.
Os controles de acesso podem ser divididos em duas áreas principais:
- Acesso físico – controles sobre quem pode entrar nas instalações e quem pode acessar dados pessoais.
- Controles de acesso lógico – controles para garantir que os funcionários tenham acesso apenas ao software, aos dados e aos dispositivos apropriados e necessários para desempenhar suas funções específicas.
Acesso físico
Além de controles de acesso físico, como fechaduras, alarmes, iluminação de segurança e CFTV, há outras considerações a serem feitas, como a forma de controle de acesso às instalações.
Os visitantes não devem ter permissão para circular livremente, a menos que estejam sob estrita supervisão.
Certifique-se de que as telas dos computadores não sejam visíveis do lado de fora.
Utilize políticas de rede para garantir que estações de trabalho e/ou dispositivos móveis sejam bloqueados quando estiverem sem supervisão ou não estiverem em uso.
Garanta que, em caso de perda, um dispositivo móvel possa ser imobilizado remotamente.
Por serem pequenos, os dispositivos móveis representam um alto risco, portanto, os dados sensíveis devem sempre ser criptografados e o acesso ao serviço deve ser controlado por meio de um código PIN ou senha.
Pode ser necessário desativar ou restringir o acesso a dispositivos USB e leitores e gravadores ópticos.
Pode ser necessário bloquear portas de rede por meio de servidores Radius ou outros equipamentos de rede para impedir que equipamentos não autorizados sejam conectados à rede por meio de um cabo.
Por fim, as informações em formato impresso devem ser descartadas de forma segura.
Acesso lógico
Devem ser utilizadas técnicas de acesso lógico para garantir que os funcionários não tenham mais acesso do que o necessário para desempenhar suas funções.
Dados sensíveis devem ser criptografados e o acesso a esses dados controlado por meio de segurança de rede, listas de controle de acesso e perfis de usuário.
O acesso a determinados aplicativos e pastas também pode precisar ser restringido individualmente para cada usuário.
Por fim, pode ser necessário bloquear determinados dispositivos em determinadas máquinas, seja por meio de política de grupo no Windows ou por meio de um aplicativo de gerenciamento de terceiros.
Senhas
Uma política de senhas composta por um nome de usuário e uma senha é uma boa prática.
Esses recursos ajudam a identificar um usuário na rede e permitem que as permissões apropriadas sejam atribuídas.
Para que as senhas sejam eficazes, no entanto, elas devem :
- ter um comprimento relativamente longo (ou seja, oito caracteres ou mais)
- contêm uma mistura de caracteres alfabéticos, numéricos e especiais (como &^”)
- ser alteradas regularmente por meio de opções de renovação automática de senha
- ser removido ou alterado quando um funcionário se desliga da empresa
- Pode ser usado em arquivos individuais, como planilhas ou documentos de texto, que contenham informações pessoais.
- ser criptografado em seus sistemas usando um algoritmo de criptografia forte
e NÃO deveria
- Pode ser uma senha genérica (ou seja, a mesma para todos os aplicativos ou para todos os usuários).
- ser escrito em notas adesivas coladas no teclado ou na tela
- Consiste em palavras ou frases comuns, ou no nome da empresa.
- ser enviada por e-mail, a menos que seja apenas uma senha temporária (sem informações adicionais, como sua finalidade e nome de usuário).
- não devem ser armazenados como texto simples em seus sistemas.
Acesso de auditoria
Embora não seja uma exigência legal do RGPD, o registo e monitorização de dados (e das alterações efetuadas sobre os mesmos) contribuirá significativamente para o cumprimento do artigo 32.º do RGPD.
A auditoria do processamento de dados permitirá que você revise, relate e comprove:
- Quem acessou os dados e quando?
- Com que frequência os dados são acessados e se essa quantidade de acesso é adequada?
- Em caso de perda acidental de dados, verifique quais alterações foram feitas e por quem.
Embora o RGPD e a DPA 2018 não especifiquem as medidas exatas que você precisa tomar, considere usar uma solução técnica adequada às suas necessidades e às dos dados que você está processando.
