LGPD: TRANSFORMANDO LIMÕES EM LIMONADA (OU CAIPIRINHA) – Neotel Segurança Digital
Além de Consultor, também sou professor de pós graduação no Curso de Segurança de Informação da UFRJ. Ano após ano, tenho visto as turmas "encolherem", juntamente com o mercado e trabalho, cada vez mais direcionado para estratégias de virtualização e computação na nuvem, cujos fornecedores apontam para uma solução de economia consistente com o uso e escalabilidade, sem imobilizar investimentos em hardware e software.
Entretanto, essa "economia" fazia as empresas acreditarem que os provedores de serviços (Azure, Google, Amazon…sejam quais forem) seriam também responsáveis pela manutenção da segurança no ambiente corporativo.
Mero engano !
Estes provedores de serviço garantem a segurança da infraestrutura, mas (a princípio) não podem gerenciar o ambiente de seus clientes, por inúmeras razões, dentre as quais destacamos o fato de cada ambiente possuir características de negócios específicas, sistemas e aplicativos próprios, cuja gestão externa poderiam acarretar uma falha ou indisponibilidade.
Como resultado, estamos vendo um crescimento orgânico pela demanda de profissionais de Segurança de Informaçao, cada vez mais necessários para garantir o ambiente de negócios, seja local ou na nuvem, de forma que as ameaças (reais ou virtuais) sejam mantidas à distância.
O que estas empresas não percebem é que existem grandes vantagens comerciais a serem obtidos pela conformidade com a LGPD: Desde a atração de novos clientes (sim, privacidade é um diferencial competitivo, especialmente juto a empresas da Comunidade Européia) e a retenção de clientes existentes, ao aproveitamento da conformidade com a LGPD em termos de marketing, acredito que os benefícios justificam os investimentos.
Talvez a necessidade de melhorar o controle sobre dados pessoais possa ser obtido através do melhor uso dos recursos de segurança encontrados em sistemas de controle de acesso ou na elaboração de um PCN (Plano de Continudiade de Negócios) "de verdade", testado e acompanhado. Isso pode levar a uma infraestrutura de TI mais segura em geral ? Novamente, a resposta aqui é "sim", mais ainda se esses recursos de segurança forem aplicados em toda organização, não se limitando apenas aos dados pessoais.
Pode uma infraestrutura de TI mais segura se tornar um ponto de marketing positivo, mais que da concorrência ? Claro que sim ! Especialmente se eu souber como divulgar isso.
c. Implementando controles de acesso adequados à finalidade, como a aplicação rigorosa do princípio da "necessidade de conhecer";
3. Evidência de "due diligence":
a. A capacidade de 'provar' a devida diligência na conformidade com o LGPD se torna valiosa no caso do pior acontecer, havendo um vazamento de dados pessoais em que acarretasse a aplicação de quaisquer das penalidades previstas.
a. A oportunidade de criar uma mensagem de marketing positiva como conseqüência de poder "provar" a conformidade e a devida diligência.
Como uma empresa comprova a conformidade com a LGPD, para aproveitá-la em termos de marketing ? Através de publicidade: são necessárias declarações públicas sobre levar a LGPD à sério, seja no website da empresa ou de sites especializados em segurança/privacidade, ou no material impresso da empresa, por exemplo – mas que também precisam ser apoiadas pela exibição das certificações (ISO, CobIT, ITil, outras) obtidas durante o processo de conformidade.
Um excelente ponto de partida é o "Gap Analysis" (Diagnóstico Situacional) que temos proposto ao mercado como ponto de partida: sem isso, a organização poderá dar início à várias ações descoordenadas que correm o risco de se perderem, realizadas isoladamente.
A pesquisa na Internet e a particiação em cursos ministrados por profissionais reconhecidamente capazes, proporcionam suporte e capacitação dos colaboradores que devem ser envolvidos no processo de conformidade. Temos visto o surgimento de cartilhas e guias, publicados por entidades reconhecidamente "neutras" (sem fins lucrativos), que merecem ser consultadas.
Sugerimos muito cuidado ao acessar material de empresas que nunca trabalharam com segurança de informação ou gestão de processos/proejtos, antes da criação das Leis de Privacidade: em momentos como este, surgem muitos oportunistas dispostos a faturar sobre a falta de conhecimento, que o mercado tem sobre o tema.
Adicionalmente ao Diagnóstico Situacional sobre o cenário da LGPD, podemos iniciar uma auditoria prévia sobre conformidade aos itens da ISO 27001. Para empresas menores, é recomendável realizar uma autoavaliação de governança do IASME, que inclui perguntas sobre "Cyber Essentials" e a GDPR.
AUTOR: Fernando Marinho, consultor de empresas especialista em Continuidade de Negócios, Privacidade & SI, Gestão de Riscos e de Crises. Professor de Pós Graduação na UFRJ, UniRIO, Escola de Guerra da Marinha e outros, além de participar de três Grupos de Trabalho na ABNT (Riscos, Continuidade de Negócios e Segurança), também publiquei três livros sobre o que faço. Se quiser conhecer mais sobre meu trabalho, venha visitar o site da minha empresa em www.epokaconsutoria.com.br.