Segurança e Boas Práticas na LGPD

Enviado por

Wiglesson Nunes Rodrigues

Direitos autorais

Levamos muito a sério os direitos de conteúdo. Se você suspeita que este conteúdo é seu, reivindique-o aqui.

Formatos disponíveis

Baixe no formato PDF, TXT ou leia on-line no Scribd

0% acharam este documento útil (0 voto)

4 visualizações29 páginas

Segurança e Boas Práticas na LGPD

Enviado por

Wiglesson Nunes Rodrigues

Direitos autorais

Levamos muito a sério os direitos de conteúdo. Se você suspeita que este conteúdo é seu, reivindique-o aqui.

Formatos disponíveis

Baixe no formato PDF, TXT ou leia on-line no Scribd

FORMAÇÃO

PROFISSIONAL DE
PRIVACIDADE
DE DADOS (LGPD)

Realização Apoiadores
Módulo

Segurança e Boas Práticas

Teórica & Prática

Slide 2
Segurança da Informação, Data Protection Officer
(DPO), Chief Information Security Officer (CISO - ISO-
27001 Professional, ITIL® Expert, System Administrator
(ICS MCSA®), Ethical Hacker, Cyber Security & Cloud
Computing Certified.

❖ Professor na UNIP/USCS/UFSCar/Daryus/Faculdade Impacta

- Tecnólogo em Redes de Computadores
- Pós-graduado em Gerenciamento de Projetos
Presidente da ANPPD - Mestre em Administração com foco em TI
- Doutor em Administração com foco em TI
@davisalvesphd Ph.D pela Florida Christian University nos Estados Unidos.

Slide 3
Em qual parte da lei estamos?

I
X II

IX III
Capítulos
da LGPD
VIII IV
CAPÍTULO VII - DA SEGURANÇA E DAS BOAS PRÁTICAS
Artigos 46 ao 51
Seção I - Da Segurança e do Sigilo de Dados – artigos 46 ao 49 VII V
Seção II - Das Boas Práticas e da Governança – artigos 50 e 5 VI

Slide 4
Seção I

Da Segurança e do Sigilo de Dados

Slide 5
Adoção de medidas
Art. 46. Os agentes de tratamento devem adotar medidas de segurança, técnicas e
administrativas aptas a proteger os dados pessoais de acessos não autorizados e de
situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer
forma de tratamento inadequado ou ilícito.
Art. 47. Os agentes de tratamento ou qualquer outra pessoa que intervenha em uma das
fases do tratamento obriga-se a garantir a segurança da informação prevista nesta Lei em
relação aos dados pessoais, mesmo após o seu término.
Adoção de medidas
Segurança da Informação
3 Tipos de Medidas de Segurança:
✓ SEGURANÇA FÍSICA
✓ SEGURANÇA TÉCNICA
✓ SEGURANÇA ORGANIZACIONAL
Adoção de medidas
Segurança da Informação
3 Tipos de Medidas de Segurança:
✓ SEGURANÇA FÍSICA
✓ SEGURANÇA TÉCNICA
✓ SEGURANÇA ORGANIZACIONAL
Comunicação do incidente de segurança
Art. 48. O controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de
incidente de segurança que possa acarretar risco ou dano relevante aos titulares.
• § 1º A comunicação será feita em prazo razoável, conforme definido pela autoridade
nacional, e deverá mencionar, no mínimo:
I - a descrição da natureza dos dados pessoais afetados;
II - as informações sobre os titulares envolvidos;
III - a indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados, observados os
segredos comercial e industrial;
IV - os riscos relacionados ao incidente;
V - os motivos da demora, no caso de a comunicação não ter sido imediata; e
VI - as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo.
Art. 49. Os sistemas utilizados para o tratamento de dados pessoais devem ser estruturados
de forma a atender aos requisitos de segurança, aos padrões de boas práticas e de
governança e aos princípios gerais previstos nesta Lei e às demais normas regulamentares.
Seção II

Das Boas Práticas

e da Governança

Slide 10
Modelos para Governança
Art. 50. Os controladores e operadores, no âmbito de suas competências, pelo tratamento
de dados pessoais, individualmente ou por meio de associações, poderão formular regras
de boas práticas e de governança que estabeleçam as condições de organização, o regime
de funcionamento, os procedimentos, incluindo reclamações e petições de titulares, as
normas de segurança, os padrões técnicos, as obrigações específicas para os diversos
envolvidos no tratamento, as ações educativas, os mecanismos internos de supervisão e de
mitigação de riscos e outros aspectos relacionados ao tratamento de dados pessoais.
Art. 50. § 2º Na aplicação dos princípios indicados nos incisos VII e VIII do caput do art. 6º
desta Lei, o controlador, observados a estrutura, a escala e o volume de suas operações,
bem como a sensibilidade dos dados tratados e a probabilidade e a gravidade dos danos
para os titulares dos dados, poderá:
• I - implementar programa de governança em privacidade que, no mínimo:
a) demonstre o comprometimento do controlador em adotar processos e políticas internas que
assegurem o cumprimento, de forma abrangente, de normas e boas práticas relativas à proteção de dados
pessoais;
b) seja aplicável a todo o conjunto de dados pessoais que estejam sob seu controle, independentemente
do modo como se realizou sua coleta;
c) seja adaptado à estrutura, à escala e ao volume de suas operações, bem como à sensibilidade dos
dados tratados;
d) estabeleça políticas e salvaguardas adequadas com base em processo de avaliação sistemática de
impactos e riscos à privacidade;
Art. 50. § 2º Na aplicação dos princípios indicados nos incisos VII e VIII do caput do art. 6º
desta Lei, o controlador, observados a estrutura, a escala e o volume de suas operações,
bem como a sensibilidade dos dados tratados e a probabilidade e a gravidade dos danos
para os titulares dos dados, poderá:
• I - implementar programa de governança em privacidade que, no mínimo:
e) tenha o objetivo de estabelecer relação de confiança com o titular, por meio de atuação transparente e
que assegure mecanismos de participação do titular;
f) esteja integrado a sua estrutura geral de governança e estabeleça e aplique mecanismos de supervisão
internos e externos;
g) conte com planos de resposta a incidentes e remediação; e
h) seja atualizado constantemente com base em informações obtidas a partir de monitoramento contínuo
e avaliações periódicas;
Objetivos de controles da ISO 27001
Controles são todas as medidas administrativas, processuais e tecnológicas a serem adotadas

Implantação do SGSI Segurança das Operações

Políticas de Segurança Aquisição de Sistemas,

Desenvolvimento e Manutenção

Organização da Informação Transferência de Informações

Gestão de Ativos Relação com Fornecedores

Controle de Acessos Gestão de Incidentes de Segurança

Criptografia Continuidade do Negócio

Cumprimento de requisitos legais e

Segurança Física e Ambiental
contratuais
❑ No § 1º do Artigo 50 da
LGPD diz que tanto o
controlador quanto o
operador devem
estabelecer regras de
boas práticas de
segurança em relação ao
tratamento e aos dados,
a natureza, o escopo, a
finalidade e a
probabilidade e a
gravidade dos riscos e
dos benefícios
decorrentes de
tratamento de dados do
titular.
Cyber-ataques em tempo real

[Link]
Já tive dados pessoais vazados?

[Link]
Para onde vão os dados pessoais vazados?

[Link]
Segurança em Topologias de Redes de Computadores