Arquivos ISO 27001 - Security LGPD

Desde sua implementação em 2020, a Lei Geral de Proteção de Dados (LGPD) impôs uma série de obrigações e responsabilidades tanto para empresas quanto para órgãos públicos. Não apenas essas entidades devem estar em conformidade com a lei, mas também os terceiros que tratam dados em seu nome. A gestão eficaz desses parceiros terceirizados é, portanto, essencial para garantir a conformidade com a LGPD e minimizar riscos associados ao tratamento de dados pessoais.

Caminho para a Conformidade
Para garantir a conformidade com a LGPD, é indispensável que todos os terceiros envolvidos no tratamento de dados estejam plenamente alinhados com os requisitos legais. Isso começa com uma seleção rigorosa e criteriosa desses parceiros, baseada em sua capacidade de cumprir as exigências da LGPD. O processo de contratação deve ser robusto, assegurando que qualquer terceiro comprometido com o tratamento de dados pessoais adote os mais elevados padrões de segurança e conformidade.

Segurança da Informação e Políticas de Privacidade
Um passo crucial na gestão de terceiros é a verificação das práticas de segurança da informação. Políticas de segurança bem definidas, que incluam controle de acesso, criptografia, gestão de vulnerabilidades e resposta a incidentes, são fundamentais. A obtenção de certificações reconhecidas, como a ISO/IEC 27001, pode ser um indicador da maturidade das práticas de segurança adotadas pelo terceiro. Além disso, o histórico de incidentes de segurança deve ser analisado para avaliar a eficácia das medidas corretivas aplicadas.

As políticas de privacidade dos terceiros também devem ser claras e transparentes, além de estarem em total conformidade com a LGPD. É necessário verificar como esses parceiros coletam, utilizam e gerenciam os dados, bem como os mecanismos de obtenção e gestão de consentimento dos titulares, sempre em conformidade com as disposições da LGPD. O compartilhamento de dados e a transferência internacional de informações também devem ser rigorosamente avaliados.

Contratos e Cláusulas Específicas
Os contratos firmados com terceiros desempenham um papel crítico na formalização das obrigações de proteção de dados. Esses documentos devem conter cláusulas específicas que assegurem a conformidade com a LGPD e protejam os dados pessoais envolvidos. Cláusulas de confidencialidade precisam ser detalhadas, definindo claramente o escopo e as obrigações do terceiro. Além disso, devem incluir requisitos de segurança, como criptografia e autenticação multifator.

Também é fundamental que os contratos estabeleçam procedimentos claros para a notificação de incidentes de segurança, incluindo prazos para notificação e informações que devem ser reportadas. A realização de Avaliações de Impacto sobre a Proteção de Dados (DPIAs) por parte dos terceiros deve ser uma exigência contratual quando necessário, para identificar e mitigar riscos associados ao tratamento de dados.

Revisões regulares de contratos e SLAs são necessárias para manter a conformidade contínua, incorporando mudanças legislativas e feedback de auditorias e avaliações de risco.

A Importância das Auditorias
Auditorias periódicas são essenciais para verificar a adequação contínua dos terceiros. Essas auditorias devem incluir a revisão das políticas de segurança, testes de vulnerabilidade e análise de incidentes, assegurando uma abordagem proativa na gestão de riscos.

Consultoria Especializada
Dada a complexidade da gestão de terceiros e a importância de garantir a conformidade com a LGPD, a contratação de consultores especializados pode ser uma estratégia eficaz. Esses profissionais possuem o conhecimento técnico e jurídico necessário para realizar avaliações criteriosas, elaborar contratos detalhados e garantir que as práticas de segurança estejam em vigor, protegendo os direitos dos titulares de dados e mitigando riscos.

Conformidade em Órgãos Públicos
Assim como as empresas privadas, os órgãos públicos também precisam assegurar a conformidade com a LGPD na gestão de terceiros. A inclusão de requisitos de conformidade com a LGPD em editais de licitação é crucial, especialmente para fornecedores que tratam dados sensíveis, como na área de educação e saúde.

Além disso, processos de auditoria e verificação contínua devem ser implementados para garantir que os padrões de proteção de dados sejam mantidos, protegendo assim a privacidade dos cidadãos e evitando sanções pelo descumprimento da LGPD.

A gestão eficaz de terceiros é um componente vital para a conformidade com a LGPD. Desde a avaliação rigorosa na seleção de parceiros até a elaboração de contratos detalhados e a realização de auditorias periódicas, cada etapa é fundamental. A contratação de consultores especializados pode ser determinante na proteção dos dados pessoais e na garantia da conformidade legal.

Nas últimas décadas, o crescimento exponencial no volume de dados catalisou a ampla adoção de data centers por diversos setores, tornando-os essenciais para o armazenamento, processamento e distribuição de vastas quantidades de informações. Estas instalações, que hospedam servidores, roteadores, firewalls, switches e sistemas de armazenamento, consolidaram-se como a espinha dorsal da nova economia digital. Para garantir a operação adequada, os data centers incorporam uma infraestrutura de suporte robusta, incluindo subsistemas de energia, geradores de reserva e equipamentos de ventilação e arrefecimento, prevenindo o superaquecimento dos equipamentos.

Tipos de Data Centers e Modelos Operacionais

Embora exista uma estrutura geral comum aos data centers, suas operações podem variar significativamente. Existem três principais modelos operacionais, cada um com regras distintas de responsabilização:

On-Premise: Neste modelo tradicional, a infraestrutura do data center é mantida dentro da própria empresa, sendo de uso exclusivo. Isso proporciona maior controle sobre as operações e processos de segurança da informação.
Hyperscale: Construídos e gerenciados por gigantes como Google, Apple e Microsoft, esses data centers possuem enorme capacidade de armazenamento e processamento. Eles são caracterizados por infraestrutura de ponta e equipamentos robustos.
Colocation: Aqui, a gestão é descentralizada; as empresas alugam espaço físico em instalações gerenciadas por provedores especializados. Enquanto o provedor cuida da manutenção, segurança física e conectividade, os clientes são responsáveis pela proteção contra ameaças virtuais e pelo conteúdo armazenado.

Privacidade e Segurança de Dados

Os data centers desempenham um papel fundamental na infraestrutura de TI, o que levanta preocupações significativas quanto à privacidade e segurança dos dados. Muitos dados armazenados são informações pessoais, exigindo conformidade com diversos padrões e regulamentações de proteção de dados em diferentes jurisdições.

Regulamento Geral de Proteção de Dados (GDPR)

Na União Europeia, o GDPR estabelece obrigações rigorosas para a proteção de dados pessoais. Este regulamento aplica-se tanto a organizações dentro da UE quanto àquelas fora dela que processem dados de residentes da UE. O GDPR estipula que a transferência internacional de dados só pode ocorrer se o nível de proteção dos dados não for comprometido. Isso pode ser garantido através de decisões de adequação da Comissão Europeia ou por meio de cláusulas contratuais-tipo (SCCs).

Responsabilização e Modelos de Serviço

A responsabilidade nos data centers depende do modelo operacional e do papel das partes envolvidas. Nos artigos 4(7) e 4(8) do GDPR, define-se que os controladores determinam as finalidades e os meios de tratamento dos dados pessoais, enquanto os processadores tratam dos dados em nome dos controladores. No modelo de colocation, por exemplo, o provedor do data center é responsável pela infraestrutura física, enquanto o cliente gerencia a segurança dos dados.

Normas de Segurança

Além das regulamentações de privacidade, existem padrões específicos que regem a segurança e a operação dos data centers. Entre eles, destacam-se:

ANSI/TIA-942: Este padrão classifica os data centers em quatro níveis (Tiers), de acordo com a redundância e a tolerância a falhas.
EN 50600: Focado na segurança física dos data centers, aborda desde a infraestrutura de telecomunicações até a gestão de energia.
ISO 27001 e ISO 9001: Estes padrões globais estabelecem requisitos para a gestão da segurança da informação e da qualidade.

Sustentabilidade e Impacto Ambiental

Os data centers consomem uma quantidade significativa de energia, representando cerca de 1,3% da demanda global de eletricidade, segundo a Agência Internacional de Energia (IEA). Com o aumento da digitalização, espera-se que este consumo cresça exponencialmente.

Iniciativas de Eficiência Energética

Na União Europeia, o Código de Conduta para Data Centers (EU DC CoC) oferece diretrizes para reduzir o consumo de energia sem comprometer a funcionalidade. Nos Estados Unidos, a Agência de Proteção Ambiental (EPA) promove um programa voluntário focado na eficiência energética dos data centers.

O Cenário no Brasil

O Brasil busca se posicionar como um hub global de data centers. Para isso, a Anatel, em parceria com a ANPD, deve estabelecer regulamentações que garantam infraestrutura segura, eficiência energética e conformidade com a Lei Geral de Proteção de Dados (LGPD). Isso inclui definir modelos de responsabilização, padrões de segurança e incentivar práticas sustentáveis alinhadas às diretrizes internacionais.

Conforme os data centers expandem, é crucial que políticas de segurança e práticas sustentáveis sejam adotadas para assegurar a confidencialidade, integridade e disponibilidade dos dados, além de mitigar impactos ambientais.

Tag: ISO 27001

A IMPORTÂNCIA DA CONFORMIDADE COM A LGPD NA GESTÃO DE TERCEIROS