Please enable JavaScript.

Coggle requires JavaScript to display documents.

LGPD Enap - Coggle Diagram

- - - - 1.2 PBSI
        
        Princípio Básico da Segurança da Informação
        
        TRÍADE
        
        ISO 27002 (2013)
        
        2 princípios
        
        autenticidade
        
        não-repúdio
        
        Teoria Parkeriana
        
        (KABAY; BOSWORTH, 2002)
        
        hexagrama Parkeriano
        
        5 princípios LGPD
        
        Confidencialidade
        
        O princípio da confidencialidade está associado à garantia do sigilo, segredo ou privacidade. Indica que somente os autorizados poderão ter acesso às informações armazenadas ou transmitidas no momento e na forma adequada. Quando um terceiro passa a ter acesso a uma informação, costuma-se dizer que a confidencialidade foi perdida (STALLINGS; BROWN, 2013).
        
        Integridade
        
        A integridade diz respeito à percepção da modificação, ou seja, é a garantia de que a informação não foi alterada/modificada intencional ou involuntariamente, e que caso alterada por algum motivo, isso seja detectado (STALLINGS; BROWN, 2013).
        
        Disponibilidade
        
        A disponibilidade é o princípio que garante acesso ao sistema ou aos dados sempre que solicitado.
        
        Autenticidade
        
        Já a autenticidade é a prova da identidade ou a garantia da identidade de um usuário, sistema ou site.
        
        Não-repúdio ou irretratabilidade
        
        Por fim, o não-repúdio ou irretratabilidade é a impossibilidade de negar a participação em uma ação eletrônica, fazendo com que uma vez que o usuário executou certas ações seja impossível de negar que esse fato aconteceu (STALLINGS; BROWN, 2013).
    - - dado, informação e conhecimento
        
        dado
        
        é uma informação bruta que precisa ser lapidada para ganhar um sentido, ou seja, por si só, não possui um contexto
        
        informação
        
        são dados contextualizados, lapidados
        
        vem sempre acompanhada de um contexto
        
        conhecimento
        
        é a análise da informação, o que inclui a busca pela informação e comparação com outros parâmetros
        
        Segundo Kenneth Laudon e Jane Laudon (2014)
    - - Confidencialidade
        
        criptografia
      - Integridade
        
        Hash
      - Disponibilidade
        
        cópia de segurança/backup
      - Autenticidade
        
        autenticação em fatores múltiplos
      - Não-repúdio
        
        captcha
      - Decreto 10.332 de 2020
        
        institui a Estratégia de Governo Digital para o período de 2020 a 2022
    - - Artigo 5, Inciso I
        
        maior referência a informação
      - Lei de Acesso à Informação
        
        Artigo 4
    - - Artigo 5
        
        definições básicas da LGDP
      - pessoal
        
        Um dado pessoal pode ser o nome, sobrenome, número de telefone, endereço, remuneração, data de nascimento
      - pessoal sensível
        
        Já o dado sensível está muito bem exemplificado no inciso II (BRASIL, 2018). Dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.
      - anonimizado
        
        Já a anonimização representa a possibilidade de o dado não ser associado a nenhuma pessoa. Nesse caso, o dado perde a identidade, mas não perde o valor. Por exemplo, se o gestor de marketing de um determinado órgão precisa melhorar a eficácia da campanha do Outubro Rosa, ele vai solicitar ao órgão que possui acesso ao sistema de saúde quantas mulheres acima de 40 anos realizam mamografia naquele mês. Perceba que é possível saber “quantas” mulheres realizaram o exame sem saber “quem” realizou. Portanto, o envio anonimizado dos dados para o gestor de marketing não identifica os envolvidos.
        Clique para virar o card
        
        A anonimização foi um recurso inserido na LGPD para amenizar o risco e permitir o tratamento dos dados. Embora alguns estudos contestem as técnicas de anonimização, indicando que diversas delas não são suficientemente boas para impedir o processo de reversão até o titular, a lei simplesmente define que devem ser utilizados “meios técnicos e razoáveis” para o tratamento
        
        principais técnicas
        
        supressão de atributos
        
        supressão de registros
        
        encobrimento de caracteres
        
        generalização
        
        pseudononimização
        
        substituição
      - Menos é mais...
        
        "procure coletar a menor quantidade de dados possível, faça um estudo mais demorado para criar formulários que realmente estejam ajustados ao propósito da aquisição."
        
        A LGPD não possui nenhuma recomendação expressa sobre quais técnicas devem ser utilizadas para o tratamento e a proteção dos dados, a lei apenas ressalta a importância de garantir a confidencialidade, a integridade e também estabelece as sanções em caso de vazamento ou desvio de finalidade, por isso as recomendações de classificar e separar os dados na coleta, bem como realizar a coleta do que for estritamente necessário.
      - Decreto 10.332/2020
        
        No planejamento da aquisição de dados será necessário classificar os dados pessoais e os dados sensíveis. Porém, se na coleta de dados o formulário contiver dados sensíveis, aí o padrão de segurança será maior para todo o processo, uma vez que o dado sensível vai se misturar aos outros.
    - - Artigo 32
        
        RIPDP
        
        Relatório de Impacto à Proteção de Dados Pessoais
        
        Classifique os dados pessoais e os sensíveis que serão tratados
        
        Realize a análise e avaliação de riscos de toda a entrada de dados, conforme indicado na ISO 27005
        
        Documente a forma como os dados serão armazenados e tratados pelo controlador. Essa documentação deverá conter os responsáveis pelos dados.
        
        Depois de analisar e avaliar os riscos, crie as opções de tratamento de riscos. Neste ponto, será possível saber quais são as medidas, as opções de salvaguarda e os mecanismos de transferência de responsabilidades (mitigação).
        
        Documente todos os itens do tópico anterior contendo a lista dos responsáveis por cada ação.
        
        “Art. 32. A autoridade nacional poderá solicitar a agentes do Poder Público a publicação de relatórios de impacto à proteção de dados pessoais e sugerir a adoção de padrões e de boas práticas para os tratamentos de dados pessoais pelo Poder Público.” (BRASIL, 2018)
  - - - Unidade 1
        
        Princípios e definições para tratamento de dados
        
        1.1 Tratamento de Dados e seus Personagens
        
        figura
        
        Recebimento de Dados
        
        É importante questionar a real necessidade dos dados recebidos, já que muitas vezes são sensíveis e requerem atenção especial para garantir segurança e anonimização adequadas.Evite coletar dados desnecessários.
        
        Tratamento de Dados
        
        começa com 04 personagens fundamentais no processo
        
        titular
        
        1 more item...
        
        controlador
        
        1 more item...
        
        operador
        
        1 more item...
        
        encarregado
        
        2 more items...
        
        arts. 37 ao 41
        
        definições das principais funções
        
        4 more items...
        
        art. 5 - X – Tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração. (BRASIL, 2018).
        
        processo
        
        consentimento
        
        interesse legítimo
        
        anonimização
        
        boa fé
        
        Armazenamento de Dados
        
        garantir a disponibilidade dos dados é essencial para permitir o acesso quando necessário.Para isso, é importante ter um plano de armazenamento adequado.
        
        Descarte de Dados
        
        quando o clico de operação dos dados se encerra, será necessário descartá-los, porém, esse processo precisa de uma atenção especial.O titular precisa ser informado, de preferência lá no início (processo de captação), qual prazo que os dados estarão em posse do controlador.
        
        1.2 Finalidade, Adequação e Necessidade
        
        Art. 6º
        
        As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios:
        
        I - finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;
        
        II - adequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento;
        
        III - necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados; (BRASIL, 2018).
        
        1.3 Acesso, Qualidade e Transparência
        
        art. 6º, incisos IV, V e VI
        
        IV - livre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais;
        
        V - qualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;
        
        VI - transparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;
        
        o que diz o Decreto 10.332/2020 (BRASIL, 2020)
        
        Lei da Transformação Digital
        
        onde inserir ou disponibilizar os termos?
        
        1 more item...
        
        1.4 Segurança, Prevenção, Não Discriminação e Responsabilização
        
        art. 6º, VII, VIII, IX, X
        
        VII - segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;
        
        VIII - prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;
        
        IX - não discriminação: impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos;
        
        X - responsabilização e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas. (BRASIL, 2018).
      - Unidade 2
        
        Elementos para Implementar a Política de Segurança da Informação (PSI)
        
        2.1 Análise e Avaliação de Riscos
        
        Qual a base de sustentação para a implementação da LGPD?
        
        O primeiro elemento é o conjunto de Princípios Básicos de Segurança da Informação (PBSI).
        
        O segundo elemento é a criação de uma Política de Segurança da Informação (PSI), ou seja, um plano de gestão para os dados.
        
        Capítulo VII – Da Segurança e das Boas Práticas
        
        primeiro passo
        
        entender quais são os riscos envolvidos no tratamento de dados
        
        1 more item...
        
        2.2 Estrutura e Conteúdo da PSI
        
        criar a política de segurança da informação (PSI)
        
        lista com regras e objetivos bem claros
        
        ampla divulgação
        
        comprometimento de todos
        
        publicação de um documento
        
        Documento PSI
        
        ISO 27002 (ABNT, 2013)
        
        deve ser criado por um conjunto de especialistas em segurança
        
        A norma dita que se a empresa não possuir especialistas no seu quadro esse trabalho pode ser terceirizado. Isso,
        
        deve ser aprovado pela direção e conter regras sobre a política definida na análise e na avaliação de fatores que causam os eventos que podem afetar a segurança
        
        deve ser publicado e comunicado para todos os colaboradores e partes externas relevantes
        
        Conteúdo da PSI
        
        pontos fundamentais
        
        definição sobre metas globais, escopo e importância da segurança da informação (SI)
        
        declaração de apoio e comprometimento da direção
        
        quais são os controles e seus objetivos
        
        quais são as políticas, os princípios, as normas e os requisitos de conformidade com a SI específicos para a organização (incluindo treinamento, conscientização, consequências de violações, contratos e legislações)
        
        definição de responsabilidades gerais e específicas na gestão da SI
        
        Duração da PSI
        
        Não existe um tempo de duração padrão
        
        um incidente pode mudar tudo
        
        se um incidente ocorrer logo após a implementaçao da PSI
        
        a PSI deve ser alterada
        
        pontos que precisam de atenção
        
        realizar uma análise detalhada e periódica do documento proposto
        
        nomear um gestor que ficará legalmente responsável pela PSI e poderá compor uma equipe para realizar as análises e avaliações da política
        
        informar ao gestor que vai realizar uma avaliação da PSI, todo evento de segurança
        
        mudanças no cenário organizacional, nas circunstâncias do negócio e nas condições legais também são itens para reavaliação
        
        Conclusões da PSI
        
        Quando devidamente documentada, implementada, apoiada por todos os colaboradores e, principalmente, pela direção, uma política de segurança é o mecanismo fundamental para reduzir os incidentes de segurança e, consequentemente, a implementação da LGPD será balizada por ela.
        
        Toda segurança proposta no tratamento de dados, e por consequência o sucesso na implementação da LGPD, deve ter ligação com a PSI
        
        Normalmente a PSI é um documento solicitado pela ANPD quando realiza uma fiscalização, pelo judiciário em algum contencioso ou por um órgão de controle na resposta de um processo administrativo. Portanto, reitera-se a importância de ter uma PSI para implementar a LGPD
        
        2.3 Transformação Digital e PSI
        
        Nota-se que a LGPD e a transformação digital convergem para a necessidade de uma PSI
  - - - Unidade 1
        
        Os Processos para a Implementação da LGPD
        
        1.1 Processos para Implementação da LGPD
        
        Uma vez que
        
        sua organização já possui os procedimentos de segurança muito bem fundamentados
        
        os riscos analisados e avaliados
        
        e a política de segurança da informação bem implementada
        
        processos
        
        conhecer bem os processos por onde os dados circulam para realizar a implementação da LGPD
        
        A lei não possui nenhum impeditivo contra que seja implementada em apenas um setor
        
        dois questionamentos
        
        Em que nível de implementação de processos estou em termos de LGPD?
        
        Onde preciso chegar?
        
        questões
        
        Por onde andam os dados?
        
        Quem são os responsáveis legais por eles?
        
        situação hipotética
        
        recebimento de um currículo
        
        Se a entrega ocorre para um setor ou pessoa específica, para quem é?
        
        Se o currículo contém dados pessoais, e possivelmente dados pessoais sensíveis, quem será o responsável pela salvaguarda desse documento e por quanto tempo?
        
        O titular desses dados foi informado sobre a política de tratamento dos dados?
        
        Vão colocar o currículo no banco de talentos? Por quanto tempo?
        
        Depois de quanto tempo o documento será descartado?
        
        se o titular voltar um ano depois, ele poderá reaver seu currículo?
        
        1 more item...
        
        reflita sobre...
        
        cadastro de um novo colaborador
        
        exclusão de um colaborador
        
        banco de talentos
        
        imagens do Circuito Fechado de TV (CFTV)
        
        1.2 A Trilha de Conformidade para Tratamento Adequado de Dados.
- - - - (ABNT, 2013)