Como a cybersecurity, ou cibersegurança, tem sido abordada na esfera legal e qual sua importância na atualidade.
Estamos vivendo a maior disrupção já vista na humanidade, sendo a tecnologia uma grande facilitadora e aliada a essas mudanças. Empresas estão cada vez mais voltadas para modelos de negócio tecnológicos, inovadores e digitais. Com um mercado extremamente competitivo, as informações (dados empresariais e de usuários) estão ganhando um valor imensurável e, sendo assim, bancos de dados estão expostos a uma série de riscos que merecem atenção.
A digitalização empresarial, ao mesmo tempo em que coloca as empresas em outro patamar, expõe estas a variadas vulnerabilidades digitais. Nos últimos anos tivemos um aumento significativo de ameaças cibernéticas e, diante disso, em meados de 2018 foi sancionada a Lei de Proteção de Dados (LGPD, Lei 13.709/18) revolucionando a forma que esses dados serão tratados em nosso país.
Ao mesmo tempo, a nova lei colocou o Brasil no grupo de países que tomaram atitude nesse sentido, a exemplo da União Europeia, que promulgou a General Data Protection Regulation (regulação geral de proteção de dados, em tradução livre) no primeiro semestre de 2018.
Quando a LGPD entra em vigor e qual o alcance da norma?
A LGPD entrará em vigor a partir de agosto de 2020. As alterações por ela trazidas repercutem diretamente no cotidiano das empresas brasileiras que exercem suas atividades econômicas por meio da utilização de dados pessoais. Dentre as principais mudanças ressalta-se a responsabilidade objetiva dos controladores e/ou operadores de dados em caso de dano ao titular dos dados ou a terceiros envolvidos.
A lei trata diretamente da proteção de dados pessoais, porém a limitação de seu alcance não se dá apenas nas empresas de tecnologia da informação e/ou empresas de publicidade e marketing que utilizam banco de dados pessoais para atuação no mercado. O fato é que a lei repercutirá diretamente em quase todo o meio corporativo, se tratando de pessoas físicas e jurídicas que obtenham e tratem dados pessoais de terceiros em solo nacional, por meios digitais ou não, para exercer atividades com fins econômicos.
Dentre as sanções administrativas previstas pela lei, destaca-se a possibilidade de aplicação de multa simples no valor de até 2% do faturamento da empresa no seu último exercício, limitada, no total, a R$50 milhões por infração cometida.
Cybersecurity como prioridade na era digital
A cibersegurança tem como sua principal função a proteção de ataques cibernéticos em sistemas, infraestrutura de redes, programas e aplicativos.
Os riscos de sofrer ataques não estão alocados somente em grandes entidades como instituições financeiras e companhias. Pelo contrário: todas pessoas jurídicas estão expostas a esse risco, como nos lembra o ataque do ransomware conhecido como WannaCry, que golpeou o mundo em 12 de maio de 2017 e em três dias mais de 200 mil computadores em 150 países já haviam sido atingidos.
De acordo com o professor de Sistemas de Informação Contábil na Rutgers Business School Kevin Moffitt, “uma entidade que opera no ciberespaço provavelmente experienciará um ou mais eventos ou violações de segurança em algum momento, independentemente da eficiência dos controles de cybersecurity desta entidade”.
Pesquisa da consultoria russa de segurança para a internet Kaspersky Lab, realizada em 2018 na América Latina, aponta que as grandes corporações estão destinando até 30% de seus orçamentos de TI para a segurança online, em uma estratégia de redefinição de proteção de dados corporativos.
As principais características que definem um bom sistema de segurança cibernética estão vinculadas a não exposição de dados e, em caso de exposição inevitável, que não haja comprometimento dos conteúdos revelados.
Segundo o sócio da Strong Security Brasil Dario Caraponale, “criar métodos de segurança e barreiras que impeçam ou notifiquem a empresa em caso de tentativas de invasão é a primeira etapa da um bom sistema, sendo que criptografia dos dados e mecanismos de defesa mais avançados compõem a fase seguinte”.
Sobre a criptografia, os dados confidenciais são protegidos usando um algoritmo e uma chave, o que torna impossível lê-los sem ter a chave de acesso. As chaves de criptografia de dados são determinadas quando os computadores se conectam. O uso dela pode ser iniciado pelo computador do usuário ou pelo servidor com o qual ele deseja se conectar.
Insight: para completa efetividade dos projetos de gerenciamento de riscos cibernéticos a serem implantados por uma organização, são necessárias premissas como conhecimento das rotinas de atividade da organização, assertividade e identificação da informação que será objeto de cybersecurity.
Durante a 9ª Conferência Brasileira de Contabilidade e Auditoria Independente realizada pelo IBRACON, dados globais sobre como os executivos julgam o preparo de suas empresas para lidarem com possíveis ameaças de ciberataques foram divulgados, o que mostra um relativo otimismo para situações embaraçosas como gerenciar partes interessadas que sofreram os ataques, a própria contenção específica, o gerenciamento de ações para diminuir impactos causados e a principal, que é a identificação de que fragilidade e a ameaça do ataque estão iminentes.
Ciberinteligência
Ao pensarmos sobre cybersecurity não se pode deixar de salientar a importância da cyber intelligence (inteligência cibernética) que proporciona, por meio do uso de inteligência artificial, computação quântica e correlação de informações a análise de dados e escala de nível de segurança à qual empresas ou pessoas estão expostas.
A cybersecurity tornou-se uma ferramenta indispensável para garantir a inviolabilidade de sistemas e a não exposição de dados pessoais. É de extrema importância que medidas para garantirem um nível razoável de segurança de dados sejam tomadas pelas organizações. Ferramentas para detectarem, responderem, atenuarem e se recuperarem de ataques cibernéticos de forma rápida e eficiente (com o menor nível de ruptura possível) tendem a solidificar as bases de segurança e abrandarem as consequências dos crimes cibernéticos.
Henrique Martins Galvani e Mariano Soares
Divisão de Auditoria Independente
Grupo BLB Brasil
