📘 Capítulo 13: Conformidade e Proteção de Dados

1️⃣ Conformidade e Consequências de Violações

Conformidade de Segurança

Adesão a padrões, regulamentações e melhores práticas de segurança. Proteção de informações sensíveis e mitigação de riscos.

Impactos da Não Conformidade

Violacão de Dados vs Violação de Privacidade

Violacão de Dados	Violacão de Privacidade
Leitura, modificação ou exclusão não autorizada	Perda ou divulgação de dados pessoais e sensíveis (PII)
Perda de dados corporativos e PI	Relacionada a informações pessoalmente identificáveis

Requisitos de Notificação

• Regulador: autoridade de proteção de dados
• Aplicação da Lei: quando aplicável
• Indivíduos Afetados: notificação direta
• Terceiros: empresas afetadas
• Público: através de mídia ou redes sociais

Divulgação Deve Incluir

• Descrição das informações violadas
• Ponto de contato principal
• Consequências prováveis
• Medidas tomadas para mitigar

2️⃣ Classificação de Informações

Dados Regulamentados

• Informações financeiras, registros de saúde, números de seguridade social, detalhes de cartões
• HIPAA: dados de saúde
• PCI DSS: informações de cartões
• GDPR/CCPA: dados pessoais

Segredos Comerciais

• Fórmulas, processos, métodos, listas de clientes, informações de preços
• Proteção: NDAs, restrições de acesso, ações legais

Dados Legais e Financeiros

• Legais: contratos, acordos, registros judiciais, PI
• Financeiros: demonstrações, balanços, auditorias, registros fiscais

Esquemas de Classificação

Baseado em Confidencialidade	Baseado em Tipo de Ativo
Público: sem restrições	Proprietário: PI da empresa
Confidencial: apenas aprovados	Privado/Pessoal: PII
Crítico: visualização restrita	Sensível: informações que podem prejudicar
	Restrito: controles rigorosos

3️⃣ Privacidade e Responsabilidade de Dados

Dados de Privacidade vs Dados Confidenciais

Aspecto	Dados Confidenciais	Dados de Privacidade
Escopo	Informação confidencial da organização	Especificamente informações pessoais
Foco	Proteção de informações proprietárias	Preservação de direitos de privacidade
Direitos	Não concedem direitos específicos	Acesso, correção, exclusão
Consentimento	Pode não requerer consentimento	Geralmente requer consentimento explícito

Papéis e Responsabilidades

Direitos dos Titulares

Direito	Descrição
Acesso	Solicitar acesso a seus dados
Retificação	Corrigir dados imprecisos
Apagamento	Excluir dados sob certas circunstâncias
Restrição	Limitar processamento
Portabilidade	Receber dados em formato legível
Objeção	Objetar ao processamento

4️⃣ Destruição de Dados

Descomissionamento

1. Sanitização de dados (apagamento seguro)
2. Restauração para configurações de fábrica
3. Eliminação de configurações residuais
4. Atualização de registros de inventário
5. Conformidade com padrões de segurança

Métodos de Sanitização

Método	Descrição
Exclusão Simples	Remove apenas referências, dados recuperáveis
Zero Filling	Define cada bit como zero (pode deixar padrões)
Sobrescrita Múltipla	1ª passagem: zeros, 2ª: uns, 3ª: aleatório
Software de Limpeza	Active KillDisk, certificados de apagamento

Considerações Especiais

• HDDs: sobrescrita eficaz
• SSDs: células podem reter dados, destruição física recomendada
• Impressoras multifuncionais: sanitizar trabalhos, credenciais, reset de fábrica

5️⃣ Políticas de Pessoal

Três Fases de Políticas de RH

Onboarding (Integração)

• Criação de Conta: privilégios apropriados, credenciais seguras
• Transmissão Segura: senhas iniciais, smart cards
• Alocação de Ativos: dispositivos, BYOD
• Treinamento: conscientização de segurança

Offboarding (Desligamento)

• Gerenciamento de Conta: desabilitar privilégios, garantir acesso a ativos
• Ativos da Empresa: recuperar dispositivos, chaves, mídias
• Ativos Pessoais: limpar dados corporativos
• Mudanças Imediatas: credenciais para acesso crítico

6️⃣ Treinamento e Conscientização

Campanhas de Phishing

• Ataques simulados para conscientização
• Aumenta consciência de ameaças
• Mitiga riscos de engenharia social
• Promove resposta a incidentes

Ciclo de Vida do Treinamento

1. Avaliação: necessidades e riscos
2. Planejamento: objetivos, tópicos, métodos
3. Desenvolvimento: materiais envolventes
4. Entrega: presencial ou CBT
5. Avaliação: eficácia, feedback
6. Reforço: recorrente, lembretes
7. Monitoramento: ajustes contínuos

Métodos de Medição

Método	Descrição
Avaliações e Quizzes	Pré e pós-treinamento
Relatório de Incidentes	Impacto na detecção
Simulações de Phishing	Reconhecimento e resposta
Observações	Feedback de gerentes
Métricas	Incidentes, conformidade, senhas

7️⃣ Proteção de Dados

Estados de Dados

DLP (Data Loss Prevention)

8️⃣ Soberania de Dados e Considerações Geográficas

Soberania de Dados

• Jurisdição impede ou restringe processamento/armazenamento
• Dados devem residir fisicamente dentro da jurisdição
• GDPR: proteções estendidas a cidadãos da UE
• Privacy Shield (EUA): auto-certificação de proteções

Considerações Geográficas

9️⃣ Políticas de Retenção de Dados

Definição

Define como informações são mantidas e por quanto tempo, baseado em requisitos legais e de negócio.

Benefícios

• Proteção Legal: contra acusações de destruição de evidências
• Redução de Custos: discovery mais barato, menos material antigo
• Redução de Exposição: menos informações que poderiam expor a litígio
• Requisitos de Armazenamento: menor necessidade de hardware

Melhores Práticas

• Toda informação destruída antes do descarte
• Etiquetas de classificação para política específica
• Automação com ferramentas de software