A Lei Geral de Proteção de Dados (LGPD), inspirada no Regulamento Geral Proteção de Dados da União Europeia (RGPD), foi projetada para um mundo onde a gestão de dados pessoais é centralizada em entidades determinadas. Logo, o modelo descentralizado de governança de dados da tecnologia Blockchain e a multiplicidade de atores envolvidos no processamento de dados torna complexa a definição do papel de cada pessoa. 

Na França, a Comissão Nacional de Informática e Liberdade (CNIL) constatou, no entanto, que os participantes, atores que têm permissão para gravar dados na cadeia e que decidem submeter um dado a sua validação dos “mineiros” – miners –, podem ser considerados como responsáveis pelo tratamento. 

Essa responsabilidade está relacionada com o fato dos participantes de uma Blockchain determinarem as finalidades do tratamento e os meios pelos quais são implementados. Assim, ele será considerado responsável quando for uma pessoa natural e o processamento de dados pessoais estiver vinculado a uma atividade profissional ou comercial, ou seja, não exclusivamente pessoal; e, quando for uma pessoa jurídica que registra dados pessoais na Blockchain.

Veja também – Blog Solere: A relação entre a Blockchain, Dados Pessoais e a LGPD

Todos os atores que interagem numa Blockchain são responsáveis pelo tratamento? 

Não, apenas os participantes.  Os “mineiros” se limitam a validar as transações que lhes são submetidas pelos participantes e não determinam os objetivos nem os meios a serem implementados nas transações. Por sua vez, as pessoas físicas que inscrevem seus dados pessoais na Blockchain, fora de uma atividade profissional ou comercial, não são responsáveis pelo tratamento, por se enquadrarem na exceção prevista no art. 4º, inciso I da LGPD. 

O que acontece se diversos participantes conjuntamente decidirem implementar um tratamento de dados em uma Blockchain?

Quando um grupo de participantes decide implementar um tratamento com uma finalidade comum, a recomendação é identificar um responsável por esse tratamento, previamente. Caso contrário, todos os participantes poderão ser considerados como corresponsáveis. Assim, deve-se definir as obrigações de cada um dos participantes a fim de garantir o respeito a LGPD. 

Essa identificação do responsável pelo tratamento, inclusive, é necessária para que as pessoas envolvidas, ou seja, pessoas cujos dados pessoais estão registrados na Blockchain, saibam a quem recorrer para o exercício efetivo de seus direitos. Por sua vez, também é importante para que as autoridades de proteção saibam a quem solicitar relatórios sobre o tratamento de dados implementado pelo agente de tratamento. 

Veja também – Blog Solere: Como a LGPD pode contribuir para aumentar a segurança do tratamento de dados se baseia em uma Blockchain?

Quanto aos contratos inteligentes – smart contracts – como em qualquer software, o criador do algoritmo poderá ser um simples fornecedor da solução ou, quando ele participa do tratamento, ele poderá ser qualificado operador ou responsável pelo tratamento em razão de seu papel de determinação das finalidades. 

Existem operadores na acepção da LGPD numa Blockchain?

A Lei Geral de Proteção de Dados define como operador aquele, pessoal natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do responsável. 

A partir dessa acepção, entende-se que existem sim, operadores em uma Blockchain. Como exemplo, é possível mencionar os desenvolvedores de contratos inteligentes – smart contracts – que tratam os dados pessoais por conta do responsável pelo tratamento. 

Veja também –  Blog Solere: Blockchain: Quais são as exigências relativas à segurança dos dados e como a LGPD se relaciona com isso?

Também é possível considerar, em determinados casos, os “mineiros” como operadores dentro da acepção da LGPD. Isso porque, na realidade, são eles que executam as instruções do controlador de dados quando verificam se a transação respeita ou não os critérios técnicos. Portanto, os “mineiros” devem estabelecer com o participante, responsável pelo tratamento, um contrato especificando as obrigações de cada uma das partes.

Em conclusão, este texto procura tratar sobre como os preceitos da LGPD podem trazer mais segurança aos atores envolvidos dentro da blockchain. Este artigo é uma iniciativa do Solere – Data Protection Compliance para esclarecer diversos temas relacionados à dados pessoais e a proteção deles. Somos especializados em direito empresarial e somos certificados Data Protection Officer (DPO) pelo Bureau Veritas. Conheça nossos serviços e veja como podemos ajudar a sua empresa se adequar à LGPD e não sofrer penalidades.

Devido a sua arquitetura, essa tecnologia tem a particularidade de não poder ser manipulada desde o primeiro  momento em que a informação é armazenada no bloco, pois assim que é inserida na Blockchain, é anexada à sequência de blocos já pré-existente. Esses blocos são “ligados” (hashed) uns aos outros numa cadeia ininterrupta (chained).

O teor da informação que entra na sequência, tem sua integridade salvaguardada graças a um mecanismo de “consenso” próprio dessa tecnologia. 

Veja também – Blog Solere: Como garantir os direitos dos titulares de dados pessoais na Blockchain?

Na Blockchain, é possível armazenar qualquer tipo de dados (documentos, arte, registros). O registro pode se dar de três formas diferentes: texto, de forma criptográfica ou por hashing, podendo o seu conteúdo inserido ser criptografado ou não. 

Assim, é possível identificar como características da tecnologia a transparência para com seus usuários; o compartilhamento e a descentralização de dados em diversos computadores de forma simultânea; a irreversibilidade dos dados inseridos; e, a desintermediação, visto que os participantes decidem por meio do consenso, sem a presença de um árbitro. 

Ademais, existem diversas espécies de Blockchain que se diferenciam, em geral, quanto ao nível de permissões para cada uma das categorias de participantes. Dentre elas, uma das classificações possíveis divide a tecnologia em:

– Blockchain público: acessível a qualquer pessoa, ou seja, qualquer pessoa pode fazer uma transação, participar do processo de validação do bloco ou obter uma cópia do Blockchain;  

– Blockchain com permissão: há regras que definem quem pode participar do processo de aprovação ou mesmo realizar transações. 

– Blockchain privada: estão sob o controle de um ator que sozinho controla a participação e a validação. 

Veja também – Blog Solere: Como minimizar os riscos para as pessoas quando o tratamento de dados se baseia em uma Blockchain?

Quanto aos atores que interagem na Blockchain, podemos identificar 3 tipos diferentes de atores: 

– Usuários – “Accessors”: possuem o direito de ler e obter uma cópia da cadeia;

– Participantes: possuem o direito de registro (criação de uma transação que será submetida à validação);

– “Mineiros” – “Miners”: validam uma transação e criam os blocos aplicando as regras da Blockchain para que eles sejam aceitos pela comunidade. 

A tecnologia Blockchain não é, por si só, um tratamento de dados com uma finalidade específica, mas pode ser usada no tratamento de dados pessoais. Quando a tecnologia da blockchain envolver dados pessoais, os princípios e as regras constantes na Lei Geral de Proteção de Dados (LGPD) serão aplicados. 

Apesar do impacto dessa tecnologia nos direitos individuais exigir uma análise específica, essa inovação e a proteção dos direitos fundamentais das pessoas não possuem objetivos antagônicos. Ressalta-se que a LGPD não tem como objetivo regular as tecnologias (seja o blockchain ou outras), mas sim os usos que os atores fazem com elas dentro de um contexto que envolve dados pessoais. 

Em geral, a maioria dos projetos de Blockchain manipulam dados pessoais, tanto em termos do conteúdo do projeto quanto de informação relacionadas aos seus participantes. Assim, é possível identificar duas categorias de dados pessoais no Blockchain: 

Veja também – Blog Solere: Blockchain: Quais são as exigências relativas à segurança dos dados?

– Identificação dos participantes e “Mineiros”: cada um possui uma chave pública que permite identificar o emissor e o destinatário de uma transação; 

– Dados adicionais inseridos em uma transação. Caso esses dados estejam relacionados a pessoas físicas, eventualmente diversas dos participantes, direta ou indiretamente identificáveis, trata-se de dados classificados como pessoais. 

Com base nessa distinção de categoria de dados pessoais, aplica-se a análise usual constante na LGPD de identificação do responsável pelos dados; de implementação dos direitos; de estabelecimento das garantias apropriadas; de obrigações de segurança; entre outros.

Em conclusão, este texto procura tratar sobre a relação entre a plataforma Blockchain, os dados pessoais dos usuários e a LGPD. Este artigo é uma iniciativa do Solere – Data Protection Compliance para esclarecer diversos temas relacionados à dados pessoais e a proteção deles. Somos especializados em direito empresarial e somos certificados Data Protection Officer (DPO) pelo Bureau Veritas. Conheça nossos serviços e veja como podemos ajudar a sua empresa se adequar à LGPD e não sofrer penalidades.

A possibilidade de usar ferramentas pessoais é, acima de tudo, uma escolha do empregador que pode igualmente autorizar o uso sob determinadas condições ou proibi-lo. 

A Legislação Trabalhista exige que o empregador forneça aos seus empregados os meios necessários para a execução das suas tarefas profissionais. Logo, ela não proíbe que o empregador permita o uso dos meios pessoais dos empregados. 

Veja também – Blog Solere: Quais são as regras básicas de segurança virtual para empresas?

Essa decisão, no entanto, deverá ser tomada após a análise cautelosa entre os interesses envolvidos, as vantagens e as desvantagens apresentadas por esse uso. 

Medidas previstas para garantir a segurança dos dados pessoais

O empregador é responsável pela segurança dos dados pessoais de sua empresa, inclusive quando armazenados em terminais sobre os quais ele não tem o controle físico ou legal, mas cuja autorização ele concedeu para o acesso aos recursos de TI da empresa. 

Assim, é essencial se proteger tanto contra os riscos de ataques pontuais à disponibilidade, integralidade e confidencialidade dos dados quanto contra os riscos ao comprometimento geral do sistema de informações da empresa (invasões, vírus, cavalos de Tróia, etc.). Para reduzir esses riscos, a recomendação é identificar e classificar os riscos quanto a sua gravidade e a sua probabilidade. Com essas informações, deve-se determinar medidas a serem implementadas e formalizá-las em uma política de segurança.  

São exemplos de boas práticas e medidas a serem adotadas para o BYOD:

– Crie bolhas de segurança no dispositivo pessoal do empregado agrupando apenas aplicações de interesse da empresa, ou seja, criptografando todos os aplicativos necessários para o trabalho. Assim, haverá a separação do que é profissional do pessoal;

– Controle o acesso remoto e, se possível, faça uso de um certificado eletrônico ou de um cartão de inteligente;

– Estabeleça medidas de criptografia para o fluxo de informações (VPN, HTTPS, etc);

Veja também – Blog Solere: Como realizar um gerenciamento de usuários eficiente?

– Preveja um procedimento para o caso de falha ou perda do dispositivo pessoal (fornecimento de um equipamento alternativo profissional, exclusão remota de dados profissionais armazenados no dispositivo pessoal, informação ao administrador da rede, etc.);

– Exija o respeito às medidas de segurança elementares como bloquear o dispositivo com uma senha forte e utilização de antivírus atualizado;

– Conscientize os usuários sobre os riscos, formalize as responsabilidades de cada um e especifique as precauções a serem tomadas em um termo de compromisso com caráter vinculante. 

– Subordine o uso de dispositivos pessoais a autorização prévia do administrador da rede e/ou do empregador. 

Garantias quanto à privacidade

A segurança do sistema de informação da empresa e a necessidade de manutenção do poder de direção e controle do empregador devem estar em conformidade com o respeito a privacidade dos empregados que usam dispositivos pessoais no âmbito da sua atividade profissional. Por exemplo, não é possível prever medidas de segurança com a finalidade de impedir que um smartphone seja usado em um ambiente privado (proibir a navegação na internet, download de aplicativos móveis).

Veja também – Blog Solere: Como escolher a estrutura adequada para tratamento de dados?

Da mesma forma, o empregador não pode acessar elementos relacionados à vida privada armazenados no espaço pessoal do dispositivo, como histórico do navegador, fotos, filmes, agenda e calendário. No entanto, ele deve poder acessar o conteúdo profissional armazenado no equipamento. 

Caso seja possível que o empregador possa excluir remotamente parte do dispositivo pessoal destinada especificamente ao acesso remoto aos recursos da empresa, ele não poderá apagar remotamente a integralidade dos dados presentes no equipamento do empregado. 

Enquadramento legal

O BYOD não é um tratamento de dados pessoais por si só. É um meio técnico específico no qual os tratamentos são baseados. Portanto, o uso do BYOD não altera as obrigações às quais os tratamentos estão sujeitos e reforça ainda mais a consonância às boas práticas.

Em conclusão, este texto procura tratar sobre o que é o BYOD e quais são as boas práticas de uso. Este artigo é uma iniciativa do Solere – Data Protection Compliance para esclarecer diversos temas relacionados à dados pessoais e a proteção deles. Somos especializados em direito empresarial e somos certificados Data Protection Officer (DPO) pelo Bureau Veritas. Conheça nossos serviços e veja como podemos ajudar a sua empresa se adequar à LGPD e não sofrer penalidades.

Antes de desenvolver, reflita sobre a necessidade do uso da tecnologia Blockchain, especialmente, no caso da Blockchain pública

Apesar das suas características específicas, a tecnologia Blockchain deve respeitar as obrigações previstas na Lei Geral de Proteção de Dados (LGPD) para o tratamento de dados pessoais. Assim, o responsável pelo tratamento de dados deve refletir, previamente, sobre a pertinência da escolha pelo uso dessa tecnologia na aplicação do tratamento de dados. 

Por certo, a Blockchain não é necessariamente a tecnologia que melhor se adapta a todo tratamento de dados. Seu uso pode gerar uma dificuldade para o responsável pelo tratamento no cumprimento das obrigações impostas pela LGPD. Por isso, se as propriedades de uma Blockchain não forem necessárias para atingir um objetivo, recomenda-se favorecer outras soluções que garantam a total conformidade com a LGPD. 

É aconselhável privilegiar uma Blockchain com permissão que permite ter um controle melhor sobre a governança de dados pessoais, especialmente no que diz respeito às transferências de dados internacionais. Isso porque nessa espécie de Blockchain são aplicáveis regras vinculativas ou cláusulas contratuais padrão para regular tais transferências de dados. 

Veja também: Blog Solere: Blockchain: Quais são as exigências relativas à segurança dos dados?

Escolha o formato adequado em que os dados pessoais serão inseridos

Diante de uma aparente incompatibilidade da nova tecnologia com a LGPD, apresentam-se algumas soluções técnicas para o registro de dados pessoais. Para tanto, é necessário dividir os dados em duas categorias. 

A primeira categoria de dados pessoais registrados em uma Blockchain se refere aos dados que identificam os participantes e os “mineiros”. Cada participante tem um identificador composto por uma sequência de caracteres alfanuméricos que parecem aleatórios e constituem uma chave pública da conta do participante. 

A própria arquitetura da tecnologia Blockchain faz com que esses identificadores sejam sempre visíveis, visto que são indispensáveis para o seu bom funcionamento. Assim, considera-se que esses dados são necessários e que o período de conservação desses dados será a duração da Blockchain. 

Veja também: Blog Solere: Como garantir os direitos dos titulares de dados pessoais na Blockchain?

A segunda categoria de dados pessoais diz respeito aos dados complementares armazenados na Blockchain. É possível que esses dados registrados possam conter dados pessoais de outras pessoas que não sejam participantes ou “mineiros”. 

Como o formato escolhido deve ser aquele que gere o menor impacto sobre os direitos e liberdades dos indivíduos, entende-se que os dados pessoais devem ser registrados na Blockchain, preferencialmente, de forma vínculo criptográfico. Se não for possível, um registro na forma de impressão digital obtida através de uma função de hash de senha ou, no mínimo, uma criptografia que permita um alto nível de confidencialidade. 

O princípio comum da maioria das soluções é de que os dados não criptografados sejam armazenados fora da Blockchain e que apenas as informações que comprovam a existência desses dados sejam armazenadas na Blockchain. 

Por fim, se a finalidade do tratamento justifica o registro na Blockchain e há uma análise de impacto que demonstra que os riscos residuais são aceitáveis, os dados podem, excepcionalmente, ser registrados na forma de texto, sem chave, em uma Blockchain. 

Ressalta-se que certos responsáveis pelo tratamento podem ter obrigações legais de tornar públicas e acessíveis as informações por um período indeterminado. Nesses casos, o armazenamento de dados pessoais em uma Blockchain pública pode ser considerado, desde que o relatório da análise de impacto conclua que os riscos são mínimos para as pessoas.

Veja também: Blog Solere: Boas práticas de segurança ao usar ferramentas de desenvolvimento

Em conclusão, este texto procura tratar sobre como minimizar os riscos para as pessoas quando o tratamento de dados se baseia em uma Blockchain. Este artigo é uma iniciativa do Solere – Data Protection Compliance para esclarecer diversos temas relacionados à dados pessoais e a proteção deles. Somos especializados em direito empresarial e somos certificados Data Protection Officer (DPO) pelo Bureau Veritas. Conheça nossos serviços e veja como podemos ajudar a sua empresa se adequar à LGPD e não sofrer penalidades.

Automatize os testes

Os testes de desenvolvimento (unitários, funcionais, etc.) irão verificar a adequação entre as especificações e o funcionamento do produto. Os testes de segurança (testes à dados aleatórios, também chamado de “fuzzing”, scanner de vulnerabilidades, etc) verificarão se o produto continua funcionando de forma aceitável quando se afasta do uso normal e se não apresenta nenhuma vulnerabilidade que possa permitir que terceiros comprometam a sua segurança. Esses dois tipos de testes são importantes para o bom funcionamento da aplicação.

Veja também: Blog Solere: Boas práticas de segurança ao usar ferramentas de desenvolvimento

Também é importante configurar um sistema de integração contínua para iniciar os testes automaticamente após cada modificação no código-fonte.

Integre os testes à suas estratégias de negócios

Ao implementar um ambiente de testes na estratégia de negócios, as métricas aplicáveis devem ser definidas em conjunto com todas as outras partes antes do desenvolvimento.

Dentre outras, são métricas que devem ser pensadas:

– Taxa de cobertura dos testes e o tipo;

– Taxa de replicação do código;

– O número de vulnerabilidade detectadas pelas ferramentas e o tipo.

Veja também: Blog Solere: Boas práticas de programação para ter um código-fonte perfeito

Atenção aos dados do teste

Os dados “reais” de produção não devem ser usados durante a fase de desenvolvimento e de teste. Ao utilizar dados pessoais para fins de teste, haverá o desvirtuamento do seu objetivo inicial.

Em caso de utilização de dados pessoais fora da produção, é preciso enfatizar que os riscos de segurança também aumentam. Isso porque pessoas que não deveriam tomar conhecimento desses dados terão acesso, além de multiplicar os locais de armazenamento.

Portanto, crie um conjunto de dados fictícios parecidos com os dados que serão objeto de tratamento pela aplicação. Assim, qualquer divulgação desses dados não ter impacto sobre as pessoas.

Veja também: Blog Solere: Como realizar corretamente o gerenciamento do código-fonte?

Se for necessário importar configurações existentes da produção para o ambiente de teste, considere anonimizar todos os dados pessoais que possam estar presentes.

Em conclusão, este texto procura tratar sobre as melhores práticas de desenvolvimento para realizar um teste de software preciso. Este artigo é uma iniciativa do Solere – Data Protection Compliance para esclarecer diversos temas relacionados à dados pessoais e a proteção deles. Somos especializados em direito empresarial e somos certificados Data Protection Officer (DPO) pelo Bureau Veritas. Conheça nossos serviços e veja como podemos ajudar a sua empresa se adequar à LGPD e não sofrer penalidades.

Imagem: Unsplash

Documente o código e sua estrutura

Uma das boas práticas mais importantes para se ter um código-fonte sem erros é a de se criar um documento contendo como ele é constituído. A documentação é por vezes é ignorada durante o desenvolvimento por falta de tempo ou visibilidade de todo o projeto. Contudo, ela é crucial para a manutenção do projeto, uma vez que permite entender o funcionamento geral do código e saber quais partes do código são afetas por uma modificação.

Veja também: Blog Solere: Boas práticas de segurança ao usar ferramentas de desenvolvimento

É importante documentar a estrutura e não apenas o código. Recomenda-se a elaboração de diagramas e explicações claras ao documentar o projeto. Assim, será possível manter uma visão geral do projeto e permitirá que os desenvolvedores entendam mais facilmente como todos os seus componentes funcionam.

Outra orientação é manter a documentação atualizada com o código, ou seja, faça a atualização à medida em que o código foi modificado. Caso use um gerenciador de código-fonte, é possível configurá-lo para a cada modificação de código também incluir as alterações na documentação.

Lembre-se de abordar a segurança na documentação. Não se esqueça de considerar a dimensão de segurança na documentação do usuário ou desenvolvedor. Em especial, documente as diferentes opções de configuração do aplicativo e explique quais são as mais seguras.

Veja também: Blog Solere: Como realizar corretamente o gerenciamento do código-fonte?

Controle a qualidade do código e de sua documentação

Um código de qualidade passa pela adoção de boas práticas e de convenções de codificação aplicadas de maneira coerente em todo o seu programa. Consulte convenções existentes para escolher a mais adequada.

Alguns exemplos de boas práticas suplementares são:

– Utilize nomes variados e de funções explicitas facilitando a compreensão do que está acontecendo logo à primeira vista;

– Recue corretamente seu código de forma a permitir que a estrutura do código seja percebida mais rapidamente;

– Evite a redundância de código. Ao evitá-la, reduz-se os esforços de correção que precisam ser feitos em vários locais.

Veja também: Blog Solere: Dicas para aumentar a segurança digital da sua empresa

Existem ferramentas que podem ajudá-lo a controlar a qualidade do código. Ao configurá-las corretamente, elas evitarão reler o código para verificar se as convenções de codificação foram implementadas corretamente.

Por fim, há ferramentas que podem ajudá-lo a controlar a qualidade do seu código, por exemplo os ambientes de desenvolvimento integrado (“IDE”) e os softwares de mediação da qualidade do código-fonte.

Em conclusão, este texto procura tratar sobre boas práticas de programação para ter um código-fonte perfeito e sem erros. Este artigo é uma iniciativa do Solere – Data Protection Compliance para esclarecer diversos temas relacionados à dados pessoais e a proteção deles. Somos especializados em direito empresarial e somos certificados Data Protection Officer (DPO) pelo Bureau Veritas. Conheça nossos serviços e veja como podemos ajudar a sua empresa se adequar à LGPD e não sofrer penalidades.

Imagem: Unsplash

Boas práticas na gestão dos usuários

– Faça uso de identificadores únicos para cada indivíduo, seja ele usuário ou colaborador;

– Solicite autorização antes de qualquer acesso a dados pessoais;

Veja também: Blog Solere: Quais são as regras básicas de segurança virtual para empresas?

– Planeje para o seu sistema, desde o início, políticas de gestão de acesso aos dados diferenciados (leitura, gravação, exclusão e etc.) de acordo com as pessoas e suas necessidades. Um sistema de gestão de perfis de usuários global permitirá agrupar diferentes direitos de acordo com uma função exercida por um grupo de usuários no aplicativo;

– É possível que o gerenciamento de perfis de usuários seja acompanhado por um sistema de registro (gravações em arquivos ou logs) para que sejam rastreadas as atividades e se detecte anomalias ou eventos ligados à segurança, como acesso fraudulento e uso indevido de dados pessoais. O uso desses dispositivos não deve, em nenhuma hipótese, ser utilizado para outros fins que não sejam garantir o uso adequado do sistema de informática e os logs não devem ser mantidos por período além do necessário. Esses sistemas de registro não devem armazenar os dados além do período de conservação que, normalmente, é de 6 meses.

– É possível planejar auditorias de código ou de testes de invasão dentro do seu ambiente de desenvolvimento para garantir a solidez do seu sistema de gerenciamento de perfis.

Torne fluída a gestão dos perfis de autorizações

– Documente ou automatize os procedimentos de movimentação dos seus colaboradores, bem como de cadastro e descadastramento de seus usuários. Por exemplo, esses procedimentos devem enquadrar as ações a serem tomadas quando as pessoas não são mais autorizadas a acessar a um local, a um recurso de TI ou ao final de seu contrato;

Veja também: Blog Solere: Como escolher a estrutura adequada para tratamento de dados?

– Revise regularmente os direitos concedidos aos usuários e aos colaboradores de acordo com a evolução dos usos e movimentos organizacionais dentro do seu projeto. O uso de serviços de diretório, como Lightweight Directory Access Protocol (LDAP), ajudará a seguir essas evoluções e permitirá refinar suas diretivas de acesso, por exemplo atribuindo uma função de acordo com os perfis de uso. Isso permite respeitar melhor o princípio do menor privilégio (POLPA).

– Evite o uso de conta “suprema” (tipo root, administrador e etc.) em operações convencionais. Como essa conta é pilar do sistema, também será o principal alvo no caso de um ataque externo. Recomenda-se a associação de uma política de senhas fortes (conjunto de 10 a 20 caracteres ou multifatores) e a limitação do número de pessoas que detém o conhecimento dessas senhas ao mínimo necessário;

– Priorize o uso de um gerenciador de senhas no seu projeto e privilegie a transição para uma autenticação forte quando possível. Evite também contas genéricas compartilhadas entre várias pessoas.

Veja também: Blog Solere: Dicas para elaborar projetos de TI de acordo com a LGPD

Em conclusão, este texto procura tratar sobre como realizar eficientemente o gerenciamento de usuários do seu projeto digital (app ou site). Este artigo é uma iniciativa do Solere – Data Protection Compliance para esclarecer diversos temas relacionados à dados pessoais e a proteção deles. Somos especializados em direito empresarial e somos certificados Data Protection Officer (DPO) pelo Bureau Veritas. Conheça nossos serviços e veja como podemos ajudar a sua empresa se adequar à LGPD e não sofrer penalidades.

Avalie os riscos e adote as medidas de segurança adequadas

Avalie os riscos das ferramentas e dos processos utilizados pelos desenvolvedores. Liste as medidas de segurança existentes e defina um plano de ação permanente para aprimoramento da cobertura de riscos. E, designe uma pessoa responsável por essa implementação.

Leve em consideração os riscos de todas as ferramentas utilizadas, em especial, os riscos ligados às ferramentas SaaS (Software as a Service) e as demais ferramentas colaborativas da nuvem, por exemplo Trello, Slack, GitHub, etc.

Veja também: Blog Solere: Dicas para elaborar projetos de TI de acordo com a LGPD

Proteja os servidores e as estações de trabalho de uma maneira homogênea e reproduzível

Dentre as recomendações referentes a segurança digital (proteção dos servidores, estações de trabalho e redes internas), podemos citar:

– Fornecimento de mecanismo de bloqueio automático de sessão após determinado período;

– Instalação de Firewall de software e limitação a abertura de portas de comunicação àquelas essenciais ao bom funcionamento dos aplicativos instalados;

– Uso regular de antivírus e instituição de política de atualização regular de software;

– Fomente o armazenamento de dados do usuário em espaço de armazenamento com backup regular;

– Conscientize o usuário sobre os riscos específicos associados ao uso de ferramentas de computação móvel;

– Forneça meios de criptografia para estações de trabalho móveis e mídia de armazenamento móvel;

– Limite o acesso à internet bloqueando serviços desnecessários;

– Gerencie redes de WI-FI que devem usar criptografia de ponta (WPA2 ou WPA2-PSK com senha complexa) e as redes abertas aos convidados devem ser separadas da rede interna;

– Imponha um VPN para acesso remoto;

– Limite os fluxos de rede àqueles estritamente necessários;

– Limite o acesso a ferramentas e interfaces administrativas apenas a pessoas autorizadas;

– Adote uma política de senha específica para administradores;

– Implemente o protocolo de TLS ou um protocolo que garanta a criptografia e autenticação.

Veja também: Blog Solere: 06 dicas para desenvolver um site/app em acordo com a LGPD

Redija um documento reunindo as medidas e que explique a sua configuração para garantir uma implementação uniforme de medidas de segurança em servidores e estações de trabalho. Para reduzir a carga de trabalho, é possível usar ferramentas de gestão dessa configuração.

Mantenha atualizado as servidores e estações de trabalho se possível de maneira automática. É possível, também, criar uma lista de observações das vulnerabilidades mais importantes.

Insista na gestão de acesso e rastreamento das operações

Não esqueça de documentar a gestão das senhas SSH. Priorize uma autenticação forte dos serviços utilizados pela equipe de desenvolvimento. Rastreie o acesso às máquinas e, se possível, configure uma análise automática de logs. E, a fim de conservar registro confiáveis, o uso de contas genéricas deve ser evitado.

Veja também: Blog Solere: LGPD e o compliance: como as empresas devem se adequar?

Em conclusão, este texto procura tratar sobre dicas importantes para aumentar a segurança digital da sua empresa. Este artigo é uma iniciativa do Solere – Data Protection Compliance para esclarecer diversos temas relacionados à dados pessoais e a proteção deles. Somos especializados em direito empresarial e somos certificados Data Protection Officer (DPO) pelo Bureau Veritas. Conheça nossos serviços e veja como podemos ajudar a sua empresa se adequar à LGPD e não sofrer penalidades.

Imagem: iStock

Escolha metodológica

A proteção da privacidade deve ser colocada no centro do desenvolvimento do programa. Por isso, recomenda-se a adoção de uma metodologia Privacy by Design.

Se a opção for por um método ágil de desenvolvimento, a segurança deve ser o centro do projeto.

Veja também: Blog Solere: 06 dicas para desenvolver um site/app em acordo com a LGPD

Para todo desenvolvimento de projeto destinado ao grande público, deve-se refletir quais serão os parâmetros relacionados a privacidade, principalmente, no que tange as características e o conteúdo do usuário predefinidas que estarão visíveis.

A realização de uma avaliação de impacto na proteção de dados (AIPD) também é aconselhável. Para determinadas operações de tratamento de dados pessoais essa avaliação será obrigatória, em outros casos, será facultativa. Mesmo nos casos facultativos, entende-se que é uma boa prática, pois permitirá identificar e lidar com todos os riscos significantes do seu desenvolvimento.

Escolha da tecnologia

– Arquitetura e funcionalidades

A escolha da arquitetura (centralizada ou descentralizada, por exemplo) ou das funcionalidades (anonimização de dados em um curto prazo, minimização de danos, etc.) está intimamente influenciada pelas exigências de integrar a proteção da privacidade, incluindo requisitos de segurança de dados, desde o início.

Em geral, as configurações de novos projetos de agora em diante (seja um aplicativo, programa ou sistema) devem respeitar as exigências mínimas de segurança e estar em conformidade com a LGPD.

Essa escolha também sofre influência da necessidade de controlar o funcionamento e a segurança do sistema.  Assim, a recomendação é que ele seja simples.

A simplicidade do sistema permite, mais facilmente, a compreensão do seu funcionamento de maneira precisa, bem como possibilita a identificação dos pontos frágeis, tornando o controle mais eficiente.

Veja também: Blog Solere: Dados pessoais sensíveis e o consentimento do titular

Caso certa complexidade seja necessária, a recomendação é iniciar o seu desenvolvimento com um sistema simples, corretamente concebido e seguro, e, gradualmente, aumentar a sua complexidade. Deve-se garantir a segurança do sistema em cada adição ao sistema.

Por fim, a segurança do sistema deve se dar de maneira aprofundada a fim de minimizar os riscos para o usuário final.

– Ferramentas e práticas

O uso de normas de programação reconhecidas de segurança é aconselhado. Muitas das vezes, a lista de normas, boas práticas ou guias de codificação para melhorar a segurança dos seus desenvolvimentos já estão disponíveis. Ferramentas adicionais podem ser igualmente integradas aos seus ambientes de desenvolvimento integrados (IDE em inglês) para verificar automaticamente se o seu código respeita as diferentes regras que fazem parte desses padrões ou boas práticas.

Veja também: Blog Solere: Como adequar sua empresa à Lei Geral de Proteção de Dados (LGPD)

A escolha das tecnologias utilizadas é crucial. Alguns pontos devem ser considerados:

1) A depender da área de aplicação ou da funcionalidade desenvolvida, uma linguagem ou uma tecnologia pode ser mais apropriada que outra.

2) As linguagens e tecnologias já testadas são mais seguras. Em geral, já foram objeto de auditorias para corrigir vulnerabilidades mais conhecidas. No entanto, deve-se ater a utilização da versão mais recente de cada um dos bricks tecnológicos que usará.

3) Deve-se evitar a todo custo a codificação da sua solução definitiva em uma linguagem que tenha aprendido, porém não possua domínio.

A falta de experiência aumenta os riscos por falhas de segurança por falta de experiencia, por isso é essencial o domínio da linguagem ou da tecnologia.

4) Configure um ambiente de desenvolvimento seguro e permita o controle de versões do código.

Em conclusão, este texto procura tratar sobre as dicas de TI para desenvolvimento de projetos de acordo com as regras da LGPD. Este artigo é uma iniciativa do Solere – Data Protection Compliance para esclarecer diversos temas relacionados à dados pessoais e a proteção deles. Somos especializados em direito empresarial e somos certificados Data Protection Officer (DPO) pelo Bureau Veritas. Conheça nossos serviços e veja como podemos ajudar a sua empresa se adequar à LGPD e não sofrer penalidades.

Imagem: Pexels

1. Conheça os princípios norteadores do LGPD

Recomenda-se a designação e a identificação, dentro de uma equipe, de uma pessoa responsável por monitorar a conformidade do projeto aos princípios e regras da Lei Geral de Proteção de Dados (LGPD).

Existe também um profissional chamado pela LGPD de encarregado pelo tratamento de dados pessoais (DPO). Ele será o responsável por auxiliar as empresas que fazem tratamento desses dados e, por isso, é um importante ativo para que a empresa entenda e respeite as obrigações legais.

A sua designação pela empresa pode ser facultativa ou obrigatória. Normalmente, sua designação será obrigatória quando os programas ou aplicativos da empresa processarem dados considerados sensíveis em larga escala ou realizarem monitoramento regular e sistemático em larga escala.

2. Mapeie e catalogue os dados e o seu processamento no sistema com precisão

A realização dessa etapa o auxiliará no atendimento às obrigações legais em relação ao tema. Também é recomendado conservar um registro de atividade de tratamento de dados. O registro dessas informações fornecerá uma visão global dos dados e o ajudará a identificar, além de priorizar os riscos a eles associados.

Veja também: Blog Solere: 10 dicas para navegar com segurança na internet

3. Priorize as ações

Com base no registro de atividade de tratamento de dados, identifique quais ações deverão ser tomadas para atender as obrigações da LGPD e dê prioridade àquelas que possam colocar em risco os titulares dos dados pessoais.

Em geral, o foco das ações deve se voltar para a necessidade, os tipos de dados coletados e seu processamento pelo programa; a identificação da base legal que o tratamento de dados deve respeitar; o fornecimento das informações; as cláusulas contratuais vinculadas aos subcontratados; as formas para o exercício dos direitos; e, as medidas adotadas para proteger o tratamento desses dados.

4. Faça a gestão dos riscos

Ao identificar quais são os tratamentos de dados pessoais susceptíveis a gerar altos riscos para seus titulares, faça o seu gerenciamento de maneira apropriada.

A realização de uma avaliação de impacto na proteção de dados (AIPD) pode auxiliá-lo no controle desses riscos.

Veja também: Blog Solere: A LGPD e o princípio do livre acesso na coleta de dados

5. Organize os procedimentos internos

Para garantir a conformidade do projeto durante todas as etapas do seu desenvolvimento, os procedimentos internos devem se preocupar com a proteção de dados pessoas e devem levar em consideração todos eventos que possam ocorrer. Por exemplo falhas de segurança, gestão das demandas de retificação ou de acesso aos dados pessoais, violação de dados, etc.

As práticas de governança corporativa constituem uma base de inspiração muito útil para a organização dos procedimentos internos.

6. Documente o desenvolvimento do projeto

Para demonstrar a conformidade com a LGPD, todas as ações executadas e documentos produzidos em cada fase do desenvolvimento devem ser controlados.

Esse controle implica no reexame e na atualização regular da documentação sobre os avanços do projeto a fim de estejam sempre em conformidade com as finalidades do projeto.

Veja também: Blog Solere: A LGPD e o armazenamento de dados pessoais na nuvem (cloud computing)

Em conclusão, este texto procura tratar sobre dicas de como desenvolver um projeto de site ou app em acordo com a LGPD. Este artigo é uma iniciativa do Solere – Data Protection Compliance para esclarecer diversos temas relacionados à dados pessoais e a proteção deles. Somos especializados em direito empresarial e somos certificados Data Protection Officer (DPO) pelo Bureau Veritas. Conheça nossos serviços e veja como podemos ajudar a sua empresa se adequar à LGPD e não sofrer penalidades.

Imagem: Pexels