Em meados de 2020 fizemos o artigo LGPD para pequenas empresas – como se adequar?, isso porque a Lei Geral de Proteção de Dados, em um primeiro momento, não criou diretrizes específicas voltadas para as micro e pequenas empresas, colocando todo mundo no mesmo barco e deixando esses empreendedores de cabelo em pé com tantos investimentos e adequações necessárias para cumprir as determinações da legislação.

Entretanto, em outubro passado a ANPD – Autoridade Nacional da Proteção de publicou o “Guia Orientativo de Segurança da Informação para Agentes de Pequeno Porte” que têm por finalidade trazer os conceitos em torno da LGPD mais explicativos para que as pequenas empresas sigam com práticas eficientes da segurança da informação adequadas ao seu porte, a fim de manter os pilares defendidos na LGPD: confidencialidade, integridade e a disponibilidade dos dados pessoais. As orientações pretendem trazer clareza no trato dos dados e caminhos para que medidas técnicas e administrativas a serem tomadas pelos agentes de tratamento dentro das empresas.

Dando seguimento ao tratamento diferenciado aos agentes de pequeno porte, ou seja, pequenas empresas, microempresas e startups, em 27 de janeiro de 2022, a ANPD publicou a Resolução CD/ANPD Nᵒ 2 que torna mais equilibrado as aplicações da LGPD entre pequenas e grandes empresas, entre elas:

  • A não necessidade de indicar o encarregado para o tratamento de dados pessoais, desde que há um canal de comunicação entre a empresa e o titular dos dados;
  • As pequenas empresas podem ter política simplificada de segurança da informação, sendo que a ANPD irá fornecer o modelo de registro simplificado;
  • Prazos diferenciados (em dobro) para as solicitações dos titulares dos dados, para a comunicação à ANPD em casos de violação de segurança, assim como apresentação de documentos solicitados pelo órgão.

 

Medidas técnicas e administrativas de segurança

 

Apesar de todas as mudanças positivas para os agentes de pequeno porte, tudo que diz respeito à proteção e segurança de dados também se aplica a eles. No Guia de Segurança da Informação para Agentes de Pequeno Porte os critérios mínimos de segurança da informação podem ser adotados por esses agentes para os dados pessoais que circulam nesse ambiente estejam protegidos.

Vamos aos exemplos de medidas técnicas e administrativas para as micro e pequenas empresas estarem de acordo com a LGPD e conforme a indicação da ANPD:

  • Uso de medidas técnicas para controlar o acesso aos dados, evitando o acesso não autorizado e situações acidentais como destruição ou difusão de dados pessoais que acarretariam erros e apagamentos prejudiciais para as empresas e, principalmente, para o titular de dados;
  • Esse controle de acesso deve permitir no mínimo:
    • A autenticação ou identificação do usuário (agente de tratamento);
    • A concessão de autorização apenas aos usuários necessários (cada agente tem direito de acessar apenas algumas pastas);
    • E, por fim, a auditoria, ou seja, o registro dos acessos e modificações feitas pelo usuários (agentes de tratamento);
  • Implantação de política de senhas complexas, que sejam alteradas periodicamente e, principalmente, que não sejam compartilhadas com outros usuários;
  • Implantação da premissa do “menor privilégio”, ou seja, cada usuário acessa apenas o que for estritamente necessário ao seu trabalho;
  • Implantação de autenticação com múltiplos fatores de segurança (senha + token, por exemplo);
  • Implantar política de tratamento de dados, garantindo que a empresa colete apenas os dados que forem estritamente necessários ao desenvolvimento do trabalho, evitando a coleta e armazenamento de informações adicionais e não essenciais;
  • Usar em todos os computadores da empresa apenas Sistemas Operacionais e softwares legais e licenciados para a empresa;
  • Restringir o uso de dispositivos de armazenamento externos como drives virtuais, pendrives, HD’s USB etc;
  • Implantar backup (cópia de segurança) completa (de todos os dados), automática, periódica e que fique armazenada fora da empresa, preferencialmente sob criptografia;
  • Usar e-mails e mensageiros instantâneos preferencialmente sob criptografia;
  • Instalar um sistema de proteção da borda da rede (firewall) e mantê-lo sempre atualizado;
  • Usar antivírus, antimalware e antispam corporativos e licenciados para empresas;
  • Manter ativo um sistema de gerenciamento que monitore constantemente as fragilidades existentes na rede;
  • Usar os mesmos conceitos e de segurança descritos acima para recursos de “computação em nuvem”;
  • Nas políticas administrativas fica priorizada a criação de uma política da segurança da informação com a indicação de elementos que evitem riscos passíveis ao tratamento de dados.
  • Fazem parte do guia ainda os quesitos conscientização e treinamento para os colaboradores que fazem parte dessa cadeia por onde os dados são tratados. Esses elementos já foram mencionados anteriormente por aqui, inclusive, e dão conta de cuidados com compartilhamento de senhas, clicar em links desconhecidos, cuidados com anotações, papéis e qualquer dispositivo onde estejam visíveis e disponíveis dados pessoais, entre outros.
  • Mais profundamente nas rotinas administrativas, vale mencionar o que o guia orientativo aponta para contratos que indicam os requisitos mínimos para tratamento de dados onde cada agente segue com sua responsabilidade no acesso e trato das informações. Fica claro nesse ponto como as empresas devem proceder com colaboradores e terceirizados na permissão de acesso, de compartilhamento, em acordo de confidencialidade e que tudo isso deve fazer parte de uma política instituída e respeitada dentro das empresas.

 

CTECH – empresa de tecnologia com soluções completas para as pequenas empresas se adequarem a LGPD

Com o cenário arriscado que se vê com o aumento de tráfego de informações e muitas novas empresas atuando no mercado, cabe as empresas de tecnologia criarem e adaptarem pacotes de serviços voltados para os pequenos empreendedores, que muitas vezes não comportam o investimento de um departamento interno voltado à segurança da informação e serviços de TI.

Exemplo disso é o i-BACKUP criado pela CTECH que otimiza a cópia de segurança em nuvem privada, realizando-as periodicamente e automaticamente, contando ainda com a gestão de uma empresa especializada.

Impedindo assim:

Perda de dados por falhas físicas ou ameaças virtuais;

Sequestros de dados;

Lentidão de internet causada por backups;

Demora no download para restauração;

Sinistro completo de dados da empresa em caso de acidentes, quebra ou pane de computadores e sistema.

 

Como proteger a empresa de ataques cibernéticos?

 

Ter a empresa invadida por um cracker ou vírus denuncia fragilidades na segurança da informação, aumentado o risco de exposição de dados pessoais e favorecendo o mau uso de ou uso inadequado e não autorizado desses dados.

A escolha do melhor serviço de internet já não é o suficiente, é preciso agir contra a crescente onda de ataques virtuais. É o que a CTECH acredita e explica para pequenas e médias empresas ao apresentar o i-NET, um roteador avançado que evita quedas e instabilidade entre a rede da empresa e a Internet, e ainda protege contra ameaças externas.

Afinal, qual a importância do roteador?

O roteador é o equipamento que fica localizado entre a Internet (mundo externo) e a sua empresa.. Nesse sentido, quando bem configurado e atualizado, ele fica apto a identificar e bloquear tentativas de invasão. Por isso a CTECH destaca a importância do seu roteador avançado i-NET, pois além de tudo isso, é capaz de garantir a estabilidade do sinal e o mapeamento desse desempenho.

 

Como manter os arquivos, informações e dados pessoais seguros?

 

Conforme descrito acima, o Guia da ANPD indica medidas técnicas bastantes específicas a serem implantadas pelas micro e pequenas empresas, mas de novo, na prática, o que isso quer dizer?

Bom, quer dizer que empresas de qualquer porte que adotarem essas políticas serão bem vistas pela ANPD, consideradas como comprometidas e cumpridoras da Lei e certamente serão reconhecidas pelo mercado como responsáveis do ponto de vista do tratamento de dados, o que pode inclusive se constituir como um diferencial de mercado  frente aos concorrentes que eventualmente não se preocupam com isso!

 

Precisamos salientar, porém que a própria autoridade reconhece que os investimentos financeiros necessários para a adequação ao Guia/Lei possam gerar custos impactantes, sobretudo para as pequenas empresas. Mas, para que isso não se torne um impedimento, a CTECH, em apoio a um processo estruturado de segurança, combina soluções que se encaixam nas necessidades e perfil das micro e pequenas empresas. Nos tópicos destacados no Guia de Segurança da Informação para Agentes de Pequeno Porte que comentamos acima, as orientações apontam para elementos específicos que a CTECH não por acaso resolve através de suas soluções, principalmente: i-SERVER, i-NET e i-BACKUP.

A questão é que a LGPD é um avanço enorme no que diz respeito à privacidade dos dados pessoais e, independente, de as mudanças e adequações que todas as empresas devem adotar, é um incentivo de reconhecimento da importância da segurança da informação em todos os níveis e que agrega valor a sua marca e ao seu negócio. Entre em contato com os consultores da CTECH para identificar quais as necessidades da sua empresa e veja como é possível otimizar recursos e ainda contar com uma equipe especializada em segurança da informação para micro, pequenas e médias empresas.