Dando continuidade a esta manhã de muito DBA, Alessandra Monteiro Martins foi a segunda palestrante a subir ao palco Developer Stage para falar sobre as novas regulamentações externas (GDPR) e a nova legislação brasileira, a Lei Geral de Proteção de Dados Pessoais (LGPD).

Diante de tantos caminhos e desafios por vir com as novas regulamentações, Alessandra apresentou uma visão geral sobre o tema e explicou por onde começar, apresentando as possíveis armadilhas e algumas boas práticas para não apenas se proteger, mas evitar futuros problemas.

No começo de sua palestra, Alessandra explicou o roteiro, que seria dividido por 5 partes e que ela seguiu em sua apresentação.

1. Conceitos – Dados, informação, arquitetura de negócios, ciclos de vida e governanças

Nesta primeira parte, Alessandra explicou de forma detalhada cada conceito que as novas regulamentações abordam e mostrou que devemos nos atentar aos termos e saber diferenciá-los para que haja um entendimento mais aprofundado e completo do tema.

Se você ainda tem dúvidas sobre o que é dado e informação, e qual a diferença entre eles, as definições de Alessandra deram uma boa esclarecida.

Dado

Ela mostrou que os dados são representados por elementos quantitativos ou qualitativos, referentes ao mundo real, e frisou que por si só, não levam à compreensão de determinado fato ou situação. São também facilmente estruturados e transferíveis; frequentemente quantificados e facilmente obtidos por máquinas.

Informação

Produto dos dados obtidos, devidamente registrados, classificados, organizados, relacionados e interpretados dentro de um contexto para gerar conhecimento, conduzindo a um melhor entendimento dos fatos.

São dados dotados de relevância e propósito, e exigem consenso em relação ao significado – exige, necessariamente, a mediação humana.

Negócios

Estrutura e comportamento de um sistema de negócios (não necessariamente relacionado a computadores). Abrange objetivos de negócios, funções e processos de negócios.

As funções de negócios e os processos de negócios geralmente são mapeados para os aplicativos e dados de que precisam.

Aplicações

Estrutura e comportamento de aplicativos usados em um negócio, focados em como eles interagem entre si e com os usuários. Focado nos dados consumidos e produzidos por aplicativos, e não em sua estrutura interna.

No gerenciamento de portfólio de aplicativos, os aplicativos geralmente são mapeados para funções de negócios e para tecnologias de plataforma de aplicativos.

Tecnológica

Estrutura e comportamento da infraestrutura de TI. Abrange os nós de cliente e servidor da configuração de hardware. Os aplicativos de infraestrutura são executados neles, e os serviços de infraestrutura que eles oferecem aos aplicativos, aos protocolos e às redes que conectam aplicativos e nós.

Ela também explicou o que é a governança de dados, definindo como “capacidade de uma organização alavancar informações como um ativo empresarial, desenvolvendo estratégias e políticas que otimizam e protegem seus dados, registros e informações.

Dentro disso, ela resumiu alguns conceitos importantes:

• 1. Governança: desenvolver ou atualizar políticas para refletir o estado atual dos negócios
• 2. Qualidade de dados: habilidade para entregar dados significativos para organização
• 3. Segurança: proteção de dados e prevenção de acesso não autorizado
• 4. Disponibilidade: dado acessível, fácil de encontrar e suporta as iniciativas de negócio
• 5. Gerenciamento: as informações são gerenciadas ao longo do ciclo de vida e são descartadas de acordo
• 6. Alinhamento: alinhar o uso de dados com várias funções de negócios

2. A Lei Geral de Proteção de Dados

A segunda parte da apresentação falou sobre os papéis, premissas e operações da LGPD, e antes de começar, ela destacou que a preocupação da lei é com os dados das pessoas, não com os dados das empresas, e que os órgãos governamentais também estão sujeitos à lei.

Existem três responsáveis principais incumbidos pelas operações de processamento dos dados. Eles são chamados de agentes de tratamento e referem-se aos três responsáveis: controlador, o encarregado e o operador. Alessandra resumiu o papel de cada um deles:

Controlador

Responsável pelas operações de tratamento dos dados pessoais, pessoa física ou jurídica, de caráter público ou privado.

Encarregado

Pessoa indicada pelo controlador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados.

Operador

Quem executa o tratamento em nome do Controlador, pessoa física ou jurídica de caráter público ou privado.

3. Privacy by Design e by Default

Entre os princípios apresentados, Alessandra Monteiro apresentou os 1o mais importantes.

• 1. Minimizar a superfície de área de ataque através da utilização de patterns de desenvolvimento de código e boas práticas de pattern de desenvolvimento de código e boas práticas de desenvolvimento seguro.
• 2. Estabelecimento de Padrões seguro através da utilização de senhas fortes, ciclo de vida de senhas, autenticação multifator e tokens.
• 3. Princípio do Menor Privilégio através da criação de contas com a menor quantidade de privilégios necessários para executar seus processos de negócios.
• 4. Princípio de defesa em profundidade utilizando um controle que seria razoável, mais controles que abordam riscos de diferentes maneiras são melhores. Os controles, quando usados em profundidade, podem tomar vulnerabilidades extremamente difíceis de explorar, portanto, improváveis de ocorrer.
• 5. Falhar com segurança, ou seja, os aplicativos geralmente não processam transações por vários motivos. A forma como eles falham pode determinar se um aplicativo é seguro ou não. Por exemplo, se expõe endpoints, paths, strings de conexão, etc.
• 6. Não confie nos serviços. Ou seja, todos os sistemas externos com parceiros, integradores e brokers, devem ser tratados de maneira semelhante. Os dados devem ser sempre verificados para garantir a segurança de exibição ou compartilhamento com o usuário final.
• 7. Separação de deveres através da determinação de papéis que têm diferentes níveis de confiança do que usuários normais. Em particular, os administradores são diferentes dos usuários normais, utilizando RBAC para atribuição de permissionamento.
• 8. Evitar a segurança por obscuridade. Ou seja, a segurança de um aplicativo não deve depender do conhecimento do código fonte mantido em segredo. A segurança deve se basear em muitos outros fatores, incluindo políticas razoáveis de senha, defesa em profundidade, limites de transação de negócios, arquitetura de rede sólida e controles de fraude e auditoria.
• 9. Mantenha a segurança simples, onde os desenvolvedores devem evitar o uso de negativos duplos e arquiteturas complexas quanto uma abordagem mais simples seria mais rápida e simples.
• 10. Correção de Problemas de Segurança da maneira correta, quando um problema de segurança for identificado, é importante desenvolver um teste para ele e entender a causa raiz do problema. Quando padrões de design são usados, é provável que o problema de segurança seja difundido entre todas as bases de código, portanto, é essencial desenvolver a correção, sem introduzir regressões.

4. AS IS – Como as coisas são

Falando sobre o panorama sobre como as coisas estão neste momento, dentro das empresas que trabalham direta e indiretamente com dados, ela apresentou as principais etapas e qual parcela elas correspondem.

Coleta (25%)

• Input de dados
• Validação
• Classificação
• Identificação
• Consentimento

Tratamento (25%)

• Profiling
• Analytics
• Sistemas Distribuídos
• Big Data
• Base Legal

Armazenamento (10%)

• Ciclo de vida
• Databroke
• Datawwarehouse
• Atualização
• Compliance

Comunicação (10%)

• Controle de acesso
• Compartilhamento
• Privacidade
• Segurança

Descarte (10%)

• Eliminação
• Bloqueio
• Rastreabilidade
• Auditoria

Terceiros (20%)

• Uso de bases compartilhadas
• Copia de informações
• Informações duplicadas

5. AS TO BE

Para encerrar sua apresentação, Alessandra explicou o que seria um panorama ideal para a segurança e proteção de dados.

Segundo ela, é preciso identificar os dados já existentes nos sistemas e bancos de dados existentes, bem como entradas, saídas e validações, para verificar se possuem consentimento.

Logo após a identificação, é preciso tipificá-los (online e offline, Estruturado e Não-estruturado), classificando-os quanto a sua sensibilidade e criticidade e filtra-los quanto a sua origem e destino.

Também é necessário solicitar consentimento aos titulares identificados e associa-los aos seus respectivos dados, tratar dados com as medidas de segurança necessárias conforme boas práticas e recomendações regulatórias.

Para completar este cenário, é necessário aplicar, curante todo o ciclo de vida das informações e dados, processos e medidas de controle e segurança, visando manter a disponibilidade, integridade, confidenciabilidade e privacidade dos dados durante o período de ciclo de vida útil. Ou seja, enquanto estiver vigente o contrato com o titular.

Após concluída a finalidade do tratamento ou mediante peticionamento do titular dos dados, as informações e dados devem ser excluídos, salvo se ainda estiver no período vigente de contrato, obrigação legal ou regulatória por parte dos agentes de tratamento.

Esta eliminação deve ser feita de forma segura, a gerar um relatório de exclusão como evidência do processo executado no caso de ter sido peticionado pelo titular ou como medida de punição vinda de um órgão regulador, ou encerramento de contrato entre operador e controlador.