A cibersegurança é uma maneira eficaz de proteger os ativos da empresa, manter a confiança dos clientes e a conformidade com a legislação
Por Juliana Abrusio
A crescente digitalização das operações empresarias elevou muito os riscos relacionados à cibersegurança.
A atenção aos incidentes de segurança se faz cada vez mais necessária, já que esses eventos representam uma ameaça constante aos negócios.
Essas situações se apresentam de diversas formas, desde falhas internas, como deixar um diretório aberto inadivertidamente, até ataques cibernéticos sofisticados, como uma ransomware.
Em geral, a resposta a incidentes de cibersegurança exige rapidez, integração e coordenação de várias áreas (TI, jurídico, forense, comunicação etc.), acerto nas comunicações com os stakeholders e conhecimento jurídico para cumprir as leis e regulações envolvidas.
A capacidade de identificar, responder e mitigar de forma eficaz esses incidentes é fundamental para proteger os ativos da empresa, manter a confiança dos clientes e a conformidade com a legislação em vigor, especialmente a Lei Geral de Proteção de Dados Pessoais (LGPD) e as normas da Autoridade Nacional de Proteção de Dados (ANPD), quando se tratar de incidentes de dados pessoais, um tipo de incidente de cibersegurança.
Segundo o Relatório IBM Security, o custo médio global de uma violação de dados em 2024 foi de US$ 4,88 milhões, um aumento de 10% em relação ao ano passado. De acordo com o mesmo relatório, um em cada três incidentes envolveram dados ocultos, o que mostra que a proliferação de dados está tornando mais difícil as tarefas de rastreamento e proteção.
Diante das crescentes ameaças, a inteligência artificial (IA) tem sido intensamente utilizada para aumentar as fronteiras de segurança das organizações. A IA é capaz de integrar vários ambientes e gerar mais eficiência.
O Relatório IBM Security apontou que, apenas em 2024, a economia média de custos para empresas que usaram IA de segurança e automação extensivamente na prevenção foi de US$ 2,22 milhões, em comparação com aquelas que não usaram.
Neste artigo, buscamos oferecer um guia abrangente sobre resposta a incidentes de cibersegurança, abordando as definições essenciais, as obrigações legais impostas pela LGPD e a ANPD, as providências que as empresas devem tomar e os cuidados necessários para uma gestão eficaz dessas situações críticas.
Definições
O incidente de segurança da informação pode ser definido como qualquer ocorrência que tenha, ou possa ter como consequência, comprometer, violar ou divulgar informações, dados e/ou sistemas de forma inadequada ou não autorizada. Os incidentes podem ocorrer a qualquer momento e em qualquer organização, independentemente do seu porte ou setor de atuação.
A causa pode estar em falhas técnicas, erros humanos ou ataques cibernéticos, que afetam diretamente as operações e a reputação das empresas. Nos períodos de transição organizacional, como fusões e aquisições, a possibilidade de ocorrência de riscos de incidentes é mais comum.
As formas de incidentes de segurança da informação são diversas e incluem, mas não se limitam a:
- Ataques cibernéticos: tentativas maliciosas de interromper, danificar ou acessar indevidamente sistemas de computador, redes ou dispositivos, como malware, phishing e ransomware. Também se enquadram nessa categoria os ataques de engenharia social, em que invasores se passam por entidades confiáveis para obter informações.
- Violações de segurança física: resultam de uma violação física das medidas de segurança de uma organização, como roubo de dispositivos (notebooks, smartphones, discos rígidos) contendo informações confidenciais ou acesso não autorizado a instalações físicas.
- Erro humano: incidentes causados por erros não intencionais ou equívocos de julgamento de colaboradores, como exclusão acidental de informações, envio de e-mails para destinatários incorretos ou configuração errada de sistemas.
- Falhas técnicas: indisponibilidade de sistemas e perda de backups.
- Ações mal-intencionadas de insiders: funcionários que acessam dados sem autorização ou expõem informações protegidas e/ou confidenciais.
Os incidentes de segurança envolvendo dados pessoais são aqueles eventos que comprometem a confidencialidade, integridade ou disponibilidade de dados pessoais.
De acordo com a LGPD, esses incidentes incluem:
- Qualquer acesso não permitido
- Ocorrência acidental ou ilegal de destruição, perda, modificação, divulgação de dados pessoais
- Qualquer tipo de tratamento inadequado ou ilegal de dados pessoais.
A ANPD define um incidente de segurança da informação envolvendo dados pessoais como um incidente adverso comprovado, que afetou a confidencialidade, integridade ou disponibilidade desses dados.
Como exemplos de incidentes de cibersegurança envolvendo dados pessoais, há:
- Exposição de bases de dados na internet sem as devidas proteções
- Furto ou extravio de dispositivos como laptops, smartphones ou discos rígidos que armazenam dados pessoais não criptografados
- Divulgação involuntária ou deliberada de dados a pessoas não autorizadas
- Acesso não autorizado a dados pessoais por funcionários que não têm permissão para acessar essas informações
- Ataques de engenharia social em que um hacker se apresenta como uma pessoa ou entidade confiável para obter os dados; e
- Ciberataques aos sistemas de uma organização que resultam no roubo ou em implicações a dados pessoais.
Para lidar com um incidente de segurança da informação, as organizações adotam processos denominados respostas a incidentes (RI), que compreendem um conjunto de ações coordenadas.
Entre os objetivos das respostas a incidentes de segurança estão a mitigação dos danos, o que envolve reduzir o impacto do incidente na organização, fazer a contenção do incidente, manter a comunicação com as partes envolvidas, cumprir as exigências legais e regulatórias, prevenir novas ocorrências e restaurar os sistemas e dados afetados.
Obrigações Legais
A LGPD estabelece que as empresas devem adotar medidas de segurança para proteger dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.
O artigo 48 da lei estipula que o controlador tem o dever de comunicar à ANPD e aos titulares dos dados a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.
Já a ANPD regulamenta a obrigatoriedade da comunicação de incidentes de segurança relevantes. A Resolução CD/ANPD 15/24, que aprova o Regulamento de Comunicação de Incidente de Segurança (RCIS), complementa o artigo 48 da LGPD, ao detalhar os critérios para comunicação de incidentes.
Essa resolução estabelece diretrizes importantes, incluindo a necessidade de ampla divulgação em casos específicos e a elaboração de um Relatório de Tratamento de Incidente.
De acordo com a ANPD, um incidente de segurança pode acarretar risco ou dano relevante se afetar significativamente interesses e direitos fundamentais, especialmente quando envolver:
- Dados pessoais sensíveis
- Dados de crianças, adolescentes ou idosos
- Dados financeiros
- Dados de autenticação em sistemas
- Dados protegidos por sigilo legal, judicial ou profissional
- Dados em larga escala (afeta grande número de titulares e envolve avaliação de volume de dados, duração, frequência e extensão geográfica dos titulares).
O regulamento estabelece um prazo de três dias úteis para que a comunicação seja feita à ANPD e aos titulares, contado a partir do momento em que o controlador tomou conhecimento de que o incidente afetou dados pessoais. Para comunicações adicionais, o prazo é de 20 dias úteis. No caso de agentes de pequeno porte, esses prazos são dobrados.
Para a ANPD, a notificação do incidente deve conter informações como:
- A descrição da natureza e da categoria dos dados pessoais impactados;
- A quantidade de titulares afetados (abrangendo crianças, adolescentes e idosos)
- As medidas técnicas e de segurança adotadas antes e após o ocorrido
- Os riscos associados
- As razões para uma possível demora
- A identificação dos operadores, quando pertinente.
Os titulares, por sua vez, devem ser informados sobre:
- A descrição da natureza e da categoria dos dados pessoais afetados
- As medidas técnicas e de segurança implementadas para proteger essas informações
- Os riscos associados ao incidente e os possíveis impactos para os titulares
- As razões para qualquer atraso na comunicação, caso esta não tenha sido realizada dentro do prazo
- As ações que foram ou serão tomadas para minimizar os efeitos do incidente
- A data em que o incidente de segurança foi identificado
- Os contatos para obtenção de informações
- Os dados do encarregado, quando pertinente.
A comunicação deve ser feita em linguagem simples e de fácil entendimento e, se for viável, identificar os titulares impactados. Também é preciso adotar uma forma direta e personalizada e fazer a notificação por meios normalmente usados pelo controlador, como e-mail.
Além disso, o controlador precisará apresentar à ANPD uma declaração confirmando que atendeu à exigência de notificação, acompanhada das provas de como essa comunicação foi realizada.
A ANPD estabelece ainda que o controlador de dados deve conservar o registro de todos os incidentes de segurança envolvendo dados pessoais por um período mínimo de cinco anos, independentemente de terem sido notificados ou não.
Esse registro deverá conter informações detalhadas sobre o incidente. A qualquer momento, a ANPD poderá exigir a apresentação do registro das operações de tratamento de dados afetados, do Relatório de Impacto à Proteção de Dados (RIPD) e do Relatório de Tratamento do Incidente (RTI).
As comunicações de incidente exigem um processo administrativo próprio (Processo de Comunicação de Incidente de Segurança). Por meio desse processo, a ANPD fiscalizará o caso e as medidas adotadas pela empresa. O descumprimento das previsões do regulamento pode levar o controlador a responder a processo administrativo sancionador.
É importante salientar que alguns setores regulados, como energia, telecomunicações, financeiro, entre outros, têm normativos próprios sobre cibersegurança e precisam ser analisados em conjunto com a LGPD e normas da ANPD. Isso deve ser feito tanto ao promover ações preventivas como durante e após a ocorrência do incidente.
Providências que as empresas devem tomar
Documentação. Para mitigar os impactos de um incidente de segurança e garantir a conformidade com a legislação, recomenda-se que as empresas tenham documentado um plano de resposta a incidentes. Esse plano deve conter cuidados de prevenção, medidas de segurança, além de responsabilidades bem definidas. Cabe às empresas seguir o plano de forma diligente, assertiva e rápida.
Também é essencial manter registros detalhados de todos os incidentes de segurança envolvendo dados pessoais as ações tomadas para mitigá-los. Essa documentação permite rastrear a origem do problema, avaliar a eficácia das medidas adotadas e demonstrar conformidade com a legislação para a ANPD e demais órgãos fiscalizadores.
Além disso, é importante realizar avaliações de risco precisas e detalhadas, para garantir que apenas os incidentes que realmente exijam notificação sejam informados, evitando comunicações desnecessárias.
Manter essa parte documental em dia, não serve apenas para cumprir uma determinação legal e regulatória. Esse cuidado faz diferença real na prontidão da empresa para combater ameaças cibernéticas.
Investimento em prevenção. Sugere-se o investimento em prevenção, com a implementação de soluções tecnológicas e boas práticas de proteção de dados para reduzir a probabilidade de incidentes. Isso inclui o uso de firewalls, criptografia, autenticação multifator e monitoramento contínuo de sistemas para detectar vulnerabilidades antes que se tornem uma ameaça.
A revisão e atualização periódica das medidas preventivas, assim como do plano de resposta a incidentes é fundamental. O cenário de ameaças cibernéticas está em constante evolução e as estratégias de segurança devem acompanhar essas mudanças.
Treinamentos. É imprescindível promover treinamentos contínuos para os funcionários, capacitando-os para boas práticas de segurança da informação e proteção de dados pessoais. Um time bem treinado pode atuar como uma barreira eficaz contra ameaças internas e externas.
Comunicação. Em casos de incidentes que envolvam risco ou dano relevante aos titulares de dados, a empresa deve informar adequadamente a ANPD e os indivíduos afetados dentro dos prazos estabelecidos.
A transparência é um princípio essencial na gestão de incidentes de segurança. Manter um diálogo aberto com os titulares de dados e com a ANPD não apenas reduz o risco de sanções, mas também preserva a confiança dos clientes e parceiros comerciais.
Nos eventos mais críticos, recomenda-se a elaboração de um Relatório de Impacto à Proteção de Dados (RIPD), contendo um Data Breach Impact Assessment. Esse relatório fornece uma análise aprofundada do incidente e das suas repercussões e permite uma resposta mais assertiva e fundamentada.
Se a empresa optar por solicitar sigilo à ANPD, essa solicitação deve ser bem fundamentada e demonstrar a necessidade de restringir determinadas informações ao público.
Outro aspecto importante é a atenção aos prazos de comunicação, tanto para a ANPD quanto para os titulares de dados. O não cumprimento desses prazos pode resultar em penalidades severas e desgaste na relação com clientes e parceiros.
Para isso, a empresa deve manter um plano estruturado e garantir que todas as informações necessárias estejam prontamente disponíveis para envio.
Além da comunicação tempestiva, a empresa deve estar preparada para apresentar à ANPD a declaração de cumprimento da comunicação e as evidências das ações tomadas dentro do prazo estipulado.
Uma resposta bem documentada demonstra compromisso com a segurança da informação e a proteção de dados pessoais. Nesses momentos, ter uma assessoria de comunicação que atue em conjunto com a área jurídica é muito útil.
Por fim, a empresa deve adotar uma abordagem proativa na prestação de contas de suas atividades antes, durante e depois do incidente. Isso significa manter uma postura de responsabilidade e transparência e garantir que todas as etapas da resposta ao incidente estejam alinhadas com as exigências legais e as melhores práticas de segurança.
Conclusão
Diante da crescente digitalização das operações empresariais e do aumento dos riscos cibernéticos, a resposta a incidentes de segurança tornou-se um elemento essencial na estratégia de proteção de dados das empresas.
A adoção de medidas preventivas, a definição de um plano estruturado de resposta e a transparência na comunicação com a ANPD e os titulares dos dados são fundamentais para mitigar impactos e garantir a conformidade com a LGPD.
Além disso, manter o investimento contínuo em tecnologia, o treinamento de equipes e o aprimoramento das práticas de segurança fortalece a resiliência organizacional e reduz a vulnerabilidade a novas ameaças.
Dessa forma, ao estruturar um processo eficiente de resposta a incidentes, as empresas não apenas cumprem suas obrigações legais, mas também preservam sua reputação e a confiança de seus clientes e parceiros.
Palavras-chave (não alterar): resposta a incidentes de segurança, Autoridade Nacional de Proteção de Dados (ANPD), plano de resposta a incidentes, Resolução CD/ANPD 15/24, ataques cibernéticos, segurança da informação
Meta descrição (não alterar): O que empresas precisam saber para dar resposta eficaz a incidentes de segurança, proteger seus ativos e clientes e manter a conformidade com a legislação
Sobre Machado Meyer Advogados
Machado Meyer Advogados – Fundado em 1972, o Machado Meyer é um dos mais respeitados escritórios de advocacia do Brasil. O escritório cresceu acompanhando o ritmo acelerado de expansão do Brasil e trabalha para oferecer soluções jurídicas inteligentes para impulsionar os negócios e transformar a realidade dos clientes e da sociedade. Oferece assistência legal a clientes nacionais e internacionais, incluindo grandes corporações dos mais variados setores de atividades, instituições financeiras e entidades governamentais. O escritório está presente em São Paulo, Rio de Janeiro, Brasília, Belo Horizonte e Nova York. Para mais informações, acesse o site: www.machadomeyer.com.br e leia os artigos publicados aqui no Crypto ID escritos por seus advogados nesse link!
STJ valida assinatura eletrônica fora do sistema ICP-Brasil
DeepSeek no Brasil: LGPD, Transparência e Proteção de Dados na Era Digital
Machado Meyer Advogados Inova no Futuro da Advocacia com o Innovation Summit
Lançado o Regulamento da ANPD sobre o Encarregado pelo Tratamento de Dados Pessoais ou DPO
Em nossa coluna LEGALTECH, sobre direito e tecnologia, você encontra excelentes artigos sobre a legislação brasileira e internacional relacionada à tecnologia e aplicações da tecnologia na prática jurídica. Acesse agora mesmo!
Cadastre-se para receber o IDNews e acompanhe o melhor conteúdo do Brasil sobre Identificação Digital! Aqui!
