PROTEÇÃO DE DADOS PESSOAIS
A eficiência na proteção de dados pessoais é obtida quando a empresa introduz um método que:
garante a conformidade com os regulamentos de proteção de dados pessoais (PCI DSS, Basel, HIPAA e suporte completo de conformidade ao GDPR
controla a diferenciação dos direitos de acesso e delimita as funções dos usuários autorizados a trabalhar com dados específicos
gerencia e analisa as contas existentes e recém-criadas a fim de detectar roubos de identidade o mais cedo possível
garante a privacidade de dados pessoais, confidencialidade e uso responsável de informações pessoais de clientes e PHI (Proteção das informações sobre saúde na sigla em inglês)
Identifica padrões de comportamento de acesso dos usuários e do processamento de dados pessoais, detectando qualquer divergência ou desvio
garante a privacidade dos dados, exclui riscos relacionados a questões legais durante a coleta, análise e armazenamento de dados pessoais.
Os dados pessoais (informações como nomes, datas, endereços, números de cartão de crédito, etc.) são dados estruturados. O reconhecimento automatizado desses dados é rápido e as informações estruturadas podem ser facilmente pesquisadas e gerenciadas. Como esse tipo de informação é armazenado em bancos de dados, é evidente que a maioria dos dados pessoais pode ser alvo de desvios e de manipulação maliciosa.
Os dados dos clientes contidos no CRM podem ser prontamente analisados e usados a fim de revelar inclinações e tendências do cliente.
O ERP compreende dados estruturados referentes a processos empresariais específicos e armazena todo tipo de informações importantes relacionadas ao fluxo de trabalho empresarial. Os requisitos do GDPR devem ser considerados em primeiro plano ao configurar e operar o ERP.
Todos os dados de sensor, informações do ponto de partida e logs da Web, incluindo dados capturados por servidores, redes e aplicativos operacionais, pertencem a classe de dados estruturados.
O que pode acontecer?
Um banco de dados pode ser baixado de um SGDB como arquivo e transferido para um dispositivo qualquer, por exemplo, cartões de visita podem ser copiados do CRM de uma empresa.
Os dados baixados podem ir para fora da rede corporativa por meio de distintos canais de comunicação:
- E-mail, mensageiros instantâneos, mídias sociais, impressoras, formulários da Web ou capturas de tela e registro da atividade do monitor com algum tipo de dispositivo externo
- A proteção de dados exige que todos os dados pessoais coletados sejam usados de forma transparente aos proprietários destes dados e processados de acordo com a lei de proteção de dados pessoais.
- A política de privacidade do GDPR preocupa muitos países, pois existem filiais de muitas empresas europeias em todo o mundo e cidadãos europeus trabalhando no exterior.
- O prazo do GDPR é rigoroso (notificação de violação dentro de 72 horas)
O que pode ser feito?
O produto SearchInform fornece seus dados pessoais com 4 níveis de proteção das informações
Nível 1 – Database Monitor
A solução audita as operações nos bancos de dados e detecta qualquer modificação feita nas informações armazenadas no BD. Caso alguém tente alterar os dados de um cliente no CRM ou baixar uma grande quantidade de informações, o software alerta sobre a tentativa.
O Database Monitor registra buscas e respostas e identifica os usuários que acessam os bancos de dados e manipulam suas informações.
Todas as consultas feitas pelo usuário e respostas do servidor SQL são registradas automaticamente e ficam disponíveis para análise. Os agentes de segurança recebem relatórios de diferentes intervalos de tempo mostrando:
- Atividade de contas de aplicativos com acesso a bancos de dados
- Atividade suspeita de conta - uso incomum de bancos de dados
- Lista de bancos de dados importantes
- Consultas ao banco de dados
- Estatísticas de consulta
Nível 2 – FileAuditor
O FileAuditor permite ver os processos em um sistema de arquivos e monitorar as operações em seus documentos.
A solução DCAP audita o armazenamento de informações automaticamente para classificação de criticidade de dados e avaliação das alterações feitas nos arquivos.
O FileAuditor informará onde estão armazenadas as informações críticas e fará cópias ocultas de arquivos confidenciais, salvando o histórico de suas alterações. O arquivamento de documentos críticos garante que os dados perdidos sejam recuperados.
O software simplifica os processos de proteção de dados pessoais, pois monitora os recursos abertos, arquivos disponíveis para usuários ou grupo específico e contas privilegiadas. A solução audita as operações com documentos em um sistema de arquivos e notifica qualquer alteração realizada (criação, edição, movimentação, exclusão).
Nível 3 – DLP
O sistema DLP controla informações nos canais de transferência de dados e comunicação, protegendo dados pessoais e dados confidenciais contra vazamentos para fora da rede.
O software protege as informações confidenciais e evita violações durante seu armazenamento, uso e movimentação. Podendo criptografar dados a fim de torná-los ilegíveis para qualquer dispositivo externo não autorizado. Além disso, o software garante que o acesso remoto seja seguro e esteja em conformidade com os regulamentos internos.
As informações enviadas por mensageiros, incluindo Skype ou versões desktop de mensageiros instantâneos populares, redes sociais (Facebook, Twitter etc.) e e-mail corporativo, para pendrives ou impressoras, são monitoradas e analisadas. O sistema notifica sobre eventos irregulares e suspeitos, tais como cópia de dados por usuários não autorizados ou envio de arquivos para um grande número de endereços de e-mail.
Nível 4 – Risk Monitor
O Risk Monitor fornece ferramentas para a mitigação de ameaças internas. A solução combina recursos e ferramentas de investigação a fim de criar um programa de gestão de riscos. Sua combinação de métodos de análise preditiva e inquisitiva permite a identificação de atividades maliciosas antes que praticas indevidas afetem o fluxo de trabalho de pessoas e negócios, apontando para fontes e intenções que possam causar o vazamento de dados.
Assim que uma violação ocorrer, deverá ser iniciada uma investigação. O sistema responsável pela mitigação de ameaças internas, Risk Monitor, compreende uma extensa variedade de técnicas de pesquisa e detecção. A solução facilita o processo de investigação de incidentes, identificando todos os envolvidos no caso, revelando a motivação da violação dos dados e a forma como foi executada.
O Risk Monitor permite criar um programa inteligente de gestão de riscos, alterando políticas e aprimorando seus mecanismos. O software processa incidentes, memoriza dados e correlações para que ameaças semelhantes sejam prontamente reconhecidas e neutralizadas.
dos especialistas estão convencidos de que erros humanos, engenharia social e atividades maliciosas dos funcionários causam os piores danos*
dos especialistas estão convencidos de que erros humanos, engenharia social e atividades maliciosas dos funcionários causam os piores danos*
dos entrevistados afirmam que as medidas de segurança não são suficientes e devem ser reconsideradas em suas empresas
dos entrevistados afirmam que as medidas de segurança não são suficientes e devem ser reconsideradas em suas empresas
dos funcionários transferidos para outros cargos ainda têm acesso aos dados que não estão relacionados às suas novas tarefas
dos funcionários transferidos para outros cargos ainda têm acesso aos dados que não estão relacionados às suas novas tarefas
dos líderes de segurança, incluindo aqueles que possuem um sistema DLP padrão integrado, estão convencidos de que somente a operação desta solução não é suficiente para minimizar ameaças internas**
dos líderes de segurança, incluindo aqueles que possuem um sistema DLP padrão integrado, estão convencidos de que somente a operação desta solução não é suficiente para minimizar ameaças internas**
*De acordo com o estudo Cyber Insegurança: Gerenciando ameaças internas
**Global Data Exposure Report 2019