Muitas empresas agora dependem completamente dos dados armazenados em seus servidores de rede, PCs, laptops, dispositivos móveis ou na nuvem. Alguns desses dados provavelmente contêm informações pessoais e/ou informações confidenciais da empresa.
Neste artigo, analisamos alguns dos pontos a serem considerados ao avaliar a segurança dos seus sistemas de computador e como minimizar os riscos de perda de dados. Temos uma ficha informativa relacionada que aborda algumas considerações adicionais para quem tem dados na nuvem ou utiliza alguma forma de terceirização.
Houve muitos casos notórios de perda de dados em que grandes volumes de informações pessoais vazaram para o domínio público. Isso inclui registros de saúde, registros financeiros e dados de funcionários.
Uma organização comercial também enfrenta o risco adicional de ter seus dados perdidos para um concorrente.
Obviamente, as grandes perdas de dados de departamentos governamentais e empresas ganharam as manchetes. No entanto, qualquer empresa, independentemente do seu tamanho, pode sofrer uma perda de dados se não tomar precauções sensatas.
Segundo uma pesquisa encomendada pelo Departamento de Cultura, Mídia e Esporte (DCMS), cerca de 39% das empresas do Reino Unido sofreram algum tipo de violação de segurança ou ataque cibernético em 2021. O relatório pode ser consultado em: https://www.gov.uk/government/statistics/cyber-security-breaches-survey-2022 .
Auditar a utilização e o armazenamento de dados pessoais.
Considere os dados potencialmente sensíveis e confidenciais armazenados pela sua empresa:
- Registros de funcionários com data de nascimento, informações médicas, salário e dados bancários, etc.
- Registros de clientes e fornecedores com dados bancários/de cartão de crédito, números PIN, senhas, informações de transações, informações de contratos, descontos e preços.
- dados financeiros e de desempenho e planos de negócios
- Dados confidenciais nem sempre são armazenados de forma conveniente em um banco de dados "seguro". Frequentemente, os funcionários precisam criar e distribuir relatórios ad hoc (usando planilhas e outros documentos) que geralmente são extrações de informações armazenadas em um banco de dados. Esse tipo de recuperação de dados muitas vezes ocorre em detrimento da segurança dos dados, já que o próprio banco de dados invariavelmente possui controles de acesso, mas esses relatórios ad hoc geralmente não os possuem.
- Descubra o que está acontecendo com os dados e quais controles estão em vigor para evitar a perda acidental ou intencional dessas informações.
Análise de risco e redução de risco
A questão crucial é: se todos ou parte desses dados forem perdidos, quem poderá ser prejudicado e de que forma?
Uma vez respondida essa questão, é preciso tomar medidas para mitigar os riscos de perda de dados. Aqui estão algumas medidas que devem ser tomadas para reduzir o risco de perda de dados:
- Realizar backups regulares e armazenar os dados de backup em local seguro fora das instalações.
- Se dados de alto risco estiverem armazenados na nuvem, entenda quais mecanismos de segurança estão em vigor e como você pode recuperar todos esses dados, se necessário.
- Analise o tipo de informação armazenada em todos os dispositivos (incluindo laptops, celulares, tablets etc.) utilizados fora das instalações da empresa. Caso essas informações contenham dados pessoais e/ou confidenciais, tente minimizar ou anonimizar os dados. Certifique-se de que os níveis mais adequados de segurança e criptografia de dados sejam aplicados a esses dados.
- Se for permitido o uso de dispositivos móveis nas instalações da empresa, assegure-se de que exista uma política ativa de "Traga seu próprio dispositivo" (BYOD). Além disso, implemente controles de segurança adequados para restringir o tipo de dados que podem ser armazenados nesses dispositivos.
- Certifique-se de que os sites da empresa que processam pagamentos online possuam os mais altos níveis de segurança disponíveis, como o uso das versões mais recentes do SSL para transmissão de dados. Se você não estiver terceirizando o processamento de pagamentos e for armazenar informações de cartão de crédito, seja em disco ou na memória de seus próprios servidores, precisará estar em conformidade com o Padrão de Segurança de Dados da Indústria de Cartões de Pagamento (PCI DSS).
- Analise o uso/disponibilidade de dispositivos USB e outras mídias graváveis, como dispositivos ópticos, dentro da empresa e considere restringir o acesso a esses dispositivos apenas a usuários autorizados, por meio de configurações de segurança apropriadas, criptografia de dados e controles físicos.
- Certifique-se de que os sites e redes da empresa sejam testados quanto a vulnerabilidades a ataques e considere contratar empresas especializadas em testes de penetração para realizar esses testes em seu nome.
- Tenha um procedimento para lidar com informações sensíveis e seu descarte seguro quando os dados não forem mais necessários; isso também deve incluir o descarte de cópias impressas.
- Ter um procedimento pelo qual quaisquer dados pessoais/corporativos armazenados em dispositivos móveis possam ser apagados ou o acesso removido.
- Treinar os funcionários sobre suas responsabilidades, os procedimentos de segurança de dados da empresa e o que fazer em caso de perda de dados.
- Treinar a equipe para identificar e-mails fraudulentos, ransomware, malware e outras ameaças potenciais, bem como os procedimentos que devem ser seguidos.
violação de segurança
Além da redução de riscos, também é uma boa prática ter procedimentos definidos para o caso de ocorrer uma violação de segurança. Esses procedimentos devem se concentrar em quatro áreas principais:
- um plano de recuperação e procedimentos para lidar com a limitação de danos
- O processo de revisão da recuperação visa avaliar as potenciais consequências adversas para os indivíduos, a gravidade ou a magnitude dessas consequências e a probabilidade de recorrência.
- Procedimentos de notificação – isso inclui não apenas notificar os indivíduos que foram ou podem ser afetados. Se a violação de segurança envolver perda de dados pessoais, o Comissário de Informação (ICO) deve ser informado. Pode haver outros órgãos reguladores e terceiros, como a polícia, os bancos e a mídia, que também precisam ser informados.
- Após a violação – assegure-se de que sejam implementadas medidas adequadas para evitar ocorrências semelhantes, atualize os procedimentos e treine ou retreine a equipe conforme necessário.
Recurso útil
Centro Nacional de Segurança Cibernética (Reino Unido) – www.ncsc.gov.uk/guidance .
A ameaça cibernética para as empresas do Reino Unido – www.ncsc.gov.uk/cyberthreat .
