Em um de nossos posts mais recentes, discutimos a importância da privacidade dos dados e as melhores práticas que as organizações devem empregar para garantir que as informações confidenciais sejam mantidas seguras e protegidas. Também discutimos os princípios e regulamentos que regem a privacidade de dados. Aqui, vamos discutir a conformidade de dados. A conformidade de dados é a prática de garantir que as entidades sigam os regulamentos para garantir que os dados confidenciais que possuem sejam organizados, armazenados e gerenciados para que sejam protegidos contra perda, corrupção, roubo e uso indevido.
Continue lendo para saber mais sobre regulamentações, soluções e padrões de conformidade de dados.
Leia também: PRIVACIDADE DE DADOS: Importância e melhores práticas para organizações
O que é Conformidade de Dados?
Como dito anteriormente, a conformidade de dados refere-se aos regulamentos e padrões que uma empresa deve seguir para proteger os ativos digitais sensíveis à sua disposição – normalmente informações de identificação pessoal e informações financeiras – contra perda, roubo e uso indevido. Esses regulamentos assumem várias formas. Eles especificam quais dados devem ser protegidos, quais práticas são aceitáveis e as penalidades por não seguir os padrões.
Embora conformidade de dados e segurança de dados possam parecer semelhantes, eles não são a mesma coisa. Embora a conformidade de dados e a segurança de dados tenham como objetivo reduzir e gerenciar os riscos envolvidos na coleta, manutenção e manuseio de dados, a conformidade de dados apenas garante que você satisfaça o mínimo de obrigações legais. A segurança de dados, por outro lado, engloba todos os processos e tecnologias usadas para proteger dados confidenciais, como firewalls, criptografia e protocolos de proteção por senha.
Quais são os 3 estados de conformidade de dados?
Eles são:
- Dados em repouso
- Dados sobre movimento
- Dados de uso
Regulamentos e soluções de conformidade de dados
#1. HIPAA
A Lei de Portabilidade e Responsabilidade de Seguro Saúde de 1996 especifica como as entidades nos Estados Unidos que possuem dados médicos e de saúde de indivíduos devem manter a segurança e a confidencialidade desses registros.
Considerando que esses são alguns dos registros mais confidenciais, a penalidade por não preservá-los pode ser pesada para a organização. Houve casos em que uma corporação foi forçada a pagar milhões de dólares. Por exemplo, em 2018, uma certa seguradora concordou em pagar uma multa de US$ 16 milhões depois que uma tentativa de hacking expôs as informações de saúde de mais de 79 milhões de clientes.
Além disso, a HIPAA exige que todos os registros eletrônicos de saúde sejam acessíveis apenas para aqueles com motivos legítimos, portanto, a criptografia e fortes restrições de acesso são essenciais. As regras se aplicam não apenas aos registros no banco de dados, mas também aos que são compartilhados, portanto, devem ser tomadas medidas para garantir que ações como e-mails e transferências de arquivos sejam cuidadosamente monitoradas, protegidas e gerenciadas.
#2. PCI-DSS
O PCI-DSS é o segundo da lista de soluções de conformidade de dados. O padrão de segurança de dados do setor de cartões de pagamento (PCI DSS) é um aspecto importante de qualquer processo de conformidade para organizações que lidam com informações financeiras dos consumidores, pois estabelece regulamentos sobre como as empresas gerenciam e protegem os dados do titular do cartão, como números de cartão de crédito.
Ao contrário do GDPR, o PCI DSS é um padrão do setor, e não um regulamento do governo. No entanto, isso não diminui sua importância, uma vez que qualquer empresa que violar seus padrões de conformidade de dados pode enfrentar multas severas ou até mesmo ter seu relacionamento com bancos ou processadores de pagamento encerrados, tornando extremamente difícil para as empresas aceitarem pagamentos com cartão.
Mesmo que uma empresa use serviços de terceiros para processar pagamentos com cartão, como muitos fazem, ainda é obrigação da empresa garantir a segurança de quaisquer dados de cartão de crédito ou débito que coletar, transmitir ou manter.
Os procedimentos específicos que as organizações devem seguir variam dependendo de quantas transações processam – aquelas com bases de clientes maiores enfrentarão regulamentos de conformidade de dados consideravelmente mais rígidos – mas, em última análise, os padrões PCI DSS exigem que as empresas garantam um determinado nível de segurança.
Vale a pena mencionar que o Conselho de Padrões de Segurança da Indústria de Cartões de Pagamento descreve uma série de medidas que as empresas devem tomar para cumprir esses padrões. Essas medidas vão desde a instalação de um firewall suficiente até o teste periódico de sistemas e processos para proteger os dados do titular do cartão. Obviamente, não pode haver desculpa para não ter um plano claro para atingir esses padrões.
#3. RGPD
O GDPR é um dos regulamentos de dados mais recentes e abrangentes. Desde a sua promulgação em 25 de maio de 2018, o GDPR estabeleceu uma série de soluções relacionadas ao direito das pessoas de saber quais dados as entidades possuem, como as empresas devem processar esses dados e leis mais rígidas para relatar violações de dados.
Curiosamente, esses regulamentos não se aplicam apenas a empresas estabelecidas na Europa. Se você realizar negócios com qualquer indivíduo sujeito à jurisdição da UE, deverá aderir às regras do GDPR. Embora a lei contenha muitos requisitos, a maioria deles pode ser filtrada em três princípios básicos: obter consentimento, reduzir a quantidade de dados retidos e proteger os direitos dos titulares dos dados.
Embora possa parecer um passo menor, a primeira coisa que toda empresa deve fazer para garantir a conformidade com a legislação e os padrões do GDPR é nomear alguém para supervisionar suas atividades. Essa pessoa, conhecida como data oficial de conformidade, é exigido em certas empresas que usam grandes quantidades de dados, e seu dever é supervisionar a estratégia e implementação de proteção de dados para garantir que os requisitos e regulamentos do GDPR sejam atendidos.
#4. CCPA
Essa é uma das proteções ao consumidor mais rígidas que muitas empresas com sede nos EUA encontrarão. Foi apelidado de GDPR da Califórnia e, embora não seja tão rigoroso em áreas como os requisitos de relatórios como o GDPR, é, de certa forma, muito mais do que seu equivalente europeu.
Por exemplo, inclui qualquer informação a partir da qual inferências podem ser feitas para criar um perfil de cliente que reflita as “preferências, características, tendências psicológicas, predisposições, comportamento, atitudes, inteligência, habilidades e aptidões” de uma pessoa em sua definição de dados privados.
A conformidade com a CCPA não será exigida para todas as empresas. Aplica-se apenas a empresas com receita bruta anual superior a US$ 25 milhões; aqueles que adquirem, recebem ou vendem informações pessoais de 50,000 ou mais indivíduos, residências ou dispositivos; ou empresas que geram 50% ou mais de sua receita anual com a venda de informações pessoais dos clientes.
Embora isso exclua muitas empresas menores, significa que praticamente qualquer empresa de médio ou grande porte que trabalha com clientes na Califórnia será coberta. Isso pode torná-lo mais relevante para muitas empresas dos EUA do que o GDPR, porque, embora algumas organizações tenham optado por parar totalmente de fazer negócios na Europa para evitar esse regulamento, pode ser muito mais difícil para elas evitar o CCPA, porque não precisam ser com sede na Califórnia, ou mesmo com presença física no estado, para estar sujeito às suas disposições.
#5. SOX
A Lei Sarbanes-Oxley de 2002 (SOX) foi promulgada para evitar a recorrência dos escândalos contábeis corporativos que envolveram a Enron, WorldCom e outros. Como resultado, por se concentrar em relatórios financeiros em vez de proteção de dados, os profissionais de TI podem considerá-lo menos vital do que alguns dos outros padrões que devem cumprir. Pelo contrário, este não é o caso. Os departamentos de TI têm deveres distintos para garantir que essas necessidades sejam atendidas.
Para começar, eles devem obedecer ao CEO e ao CFO, garantindo que recebam relatórios financeiros em tempo real sobre a organização. Isso implica implementar mecanismos para automatizar os relatórios e configurar alertas a serem acionados quando ocorrerem eventos críticos que mereçam um exame mais minucioso.
Além disso, o pessoal de TI também deve garantir que todos os registros sejam armazenados adequadamente. Como resultado, backups eficazes e oportunos de informações críticas e sistemas de gerenciamento de documentos são essenciais para manter a conformidade com essas regras. Para serem eficazes, eles também devem garantir visibilidade completa de todos os aspectos dos ativos digitais de sua empresa. Mensagens instantâneas, e-mails, telefonemas gravados e transações financeiras devem ser mantidos por pelo menos cinco anos, caso os auditores os desejem, portanto, sistemas de gerenciamento adequados devem estar em vigor.
Por fim, os profissionais de TI devem garantir que a manutenção de registros e as auditorias ocorram da maneira mais tranquila possível ao cumprir a SOX. As ferramentas para automatizar atividades, gerenciar e monitorar o fluxo de dados e arquivar e recuperar informações rapidamente desempenharão papéis importantes nisso.
Os benefícios da conformidade de dados para organizações
Quando sua organização prioriza a segurança e a conformidade dos dados, você deve esperar obter recompensas financeiras. Por um lado, você poderá garantir aos clientes que eles podem deixar seus dados com você. Isso vai um longo caminho para garantir retenção de clientes e uma imagem positiva
Além disso, esforçar-se para criar e registrar protocolos de como sua empresa gerencia informações confidenciais, protege a privacidade pessoal e responde a violações de segurança permite que sua organização permaneça resiliente e adaptável quando seu ambiente muda e o inesperado ocorre.
Por fim, a implementação completa dos padrões de conformidade de segurança ajudará sua empresa a reduzir os riscos de danos à reputação e financeiros causados por violações de dados.
Embora seja importante demonstrar aos auditores que sua empresa atende a determinados requisitos (por exemplo, SOX, HIPAA, CCPA), lembre-se de que manter uma política de conformidade de proteção de dados é, na verdade, para seu benefício. Uma abordagem sistemática à conformidade pode ajudá-lo a reduzir a probabilidade de ocorrências que exponham os dados de seus clientes, propriedade intelectual corporativa e operações comerciais.
Como você mantém a conformidade dos dados?
Como proprietário de uma empresa, siga estas medidas de controle para manter a conformidade com os padrões e regulamentos de segurança de dados:
#1. Manter registros precisos de medidas de segurança de dados e procedimentos de auditoria.
Pelas seguintes razões, é fundamental manter um registro de todos os seus procedimentos de auditoria e proteção de dados:
Para começar, esse registro garantirá que nenhuma pessoa tenha conhecimento detalhado das ações de conformidade da sua empresa. Sem esse registro, sua empresa pode ficar no escuro e uma auditoria pode revelar deficiências gritantes na segurança de dados e no programa de conformidade.
Além disso, esse registro de atividade de conformidade demonstrará os esforços de boa fé de sua organização para cumprir cada conjunto de requisitos. Muitos regulamentos têm exceções de boa-fé que permitem que as autoridades reduzam as penalidades para as organizações que possuem processos de compliance sólidos ou estão se esforçando ativamente para desenvolver um.
Por fim, para ser aprovado em uma auditoria, você deve mostrar ao auditor que leva a sério os padrões de segurança de dados. Os auditores querem registros extensos para determinar se os procedimentos que você implementou são adequados para proteger os dados que você está armazenando ou processando. Trabalhar com os requisitos dos auditores em mente pode ajudá-lo a manter o foco nesses itens-chave.
#2. Empregar Medida CCF.
Um Common Controls Framework (CCF) é um conjunto completo de critérios de controle derivados de uma ampla gama de padrões de privacidade e segurança de dados do setor. O uso de um CCF permite que uma empresa atenda aos padrões de segurança, privacidade e outros procedimentos de conformidade, limitando o risco de ser “supercontrolado”.
#3. Certifique-se de que suas precauções de privacidade de dados estejam atualizadas.
Esses padrões valorizam a segurança dos dados. Portanto, além de garantir que você tenha um forte procedimento de conformidade de segurança, certifique-se de ter soluções atuais de conformidade de dados. Essas soluções de conformidade de dados são cruciais para reduzir a probabilidade de uma violação de dados em sua organização.
Se as medidas de gerenciamento e proteção de dados da sua empresa forem fracas, será consideravelmente mais difícil atender aos padrões de conformidade e segurança de dados projetados com as tecnologias atuais em mente.
#4. Designe um responsável pelos padrões de conformidade e segurança de dados.
Com os fatores anteriores em mente, você pode estar se perguntando quem é responsável pela conformidade de dados. Seu processo de conformidade e segurança de dados, como qualquer outro, requer um único ponto de contato - um oficial para lidar com todas as partes móveis. Esse indivíduo deve ter acesso direto aos executivos e credibilidade e poder para persuadir outras pessoas em toda a organização a atender aos padrões de conformidade e segurança de dados.
Qual é o papel de um Data Compliance Officer?
A principal responsabilidade do responsável pela conformidade de dados é garantir que sua organização processe os dados pessoais de seus funcionários, clientes, fornecedores ou quaisquer outros indivíduos de acordo com os requisitos de proteção de dados aplicáveis.
Resumindo
Para evitar multas ou danos à sua reputação, as organizações devem ter um forte programa de compliance e uma política de proteção de dados em vigor. Caso contrário, correm o risco de perder clientes ou, pior ainda, de pagar uma multa altíssima.
Artigos Relacionados
- SISTEMAS DE GESTÃO DE CONFORMIDADE: Definição, Exemplos e Opções de Software
- MELHOR SOFTWARE DE GESTÃO DE POLÍTICAS: 2023 Comentários
- COMPLIANCE de RH: o que é, software, treinamento e importância
Referência
- IPF
