Unidade 5.5 Exercícios práticos
Cenários de empresas 1 — Notificação de falha de segurança num prazo de 72 horas
Devido a uma fuga de dados, uma empresa de logística nacional descobriu que parte dos dados pessoais de 150 mil clientes diferentes no seu portefólio foi comprometida. Entre estas informações pessoais estão nomes, números de telemóvel e moradas de entrega. Neste caso, o RGPD exige que as empresas informem as partes afetadas ou as autoridades reguladoras específicas sobre a falha de segurança ocorrida num prazo de 72 horas.
O/a diretor/a ou colaborador/a responsável pela introdução de dados da empresa tem de receber um formulário preenchido e submetido para fins de notificação da falha de segurança de dados. No entanto, também é necessário consultar um/a advogado/a para determinar que informações requerem um aviso antecipado. A capacidade da empresa resolver eficazmente o processo de forma interna também pode ser facilitada pela existência de um plano de resposta a falhas de segurança de dados desenvolvido internamente pela empresa, em preparação para um incidente deste tipo.
Cenário de empresa 2 – Relatórios financeiros
Comummente, reconhece-se que o departamento de contabilidade de uma empresa é a unidade com maior responsabilidade sobre as decisões financeiras. Em resultado, é essencial que as informações deste departamento sejam mantidas confidenciais e que possam ser acedidas apenas por pessoas autorizadas. Neste caso, imaginemos que o departamento de contabilidade tem uma pasta chamada «Pasta de monitorização do desempenho». Esta pasta contém informações sobre colaboradores e colaboradoras de vários departamentos da empresa, tais como o salário mensal, bónus de desempenho extra mensais, análise e avaliação de salários futuros, etc.
Se a empresa tiver uma gestão de registos eficaz, os registos também podem ser guardados instantaneamente para monitorizar quem acedeu à pasta, bem como as transações efetuadas. Por exemplo, os administradores do sistema poderão receber notificações se um colaborador ou uma colaboradora do departamento de contabilidade efetuar alterações ou eliminar informações sem permissão.
Neste momento, o administrador também pode averiguar facilmente quem iniciou sessão. Tanto o RGPD como as normas aplicáveis exigem a gestão de registos para evitar fugas de informação e falhas de segurança na empresa.
Cenários de empresas 3 — A necessidade do RGPD
As instituições estão sujeitas ao RGPD no caso de oferecerem bens ou serviços a pessoas na União Europeia que tenham dados pessoais sob controlo ou que mantenham um registo do comportamento destas pessoas. No texto do RGPD, o termo «monitorizar comportamentos» refere-se a métodos tecnológicos para determinar as preferências e hábitos do consumidor ao monitorizar as atividades das pessoas na Internet. Ainda que a empresa faça negócios fora da UE, estabeleceu-se que o RGPD será aplicável a empresas que vendam bens ou serviços a clientes europeus.
Resumidamente, se a sua pequena ou média empresa processar dados pessoais, tem de cumprir o RGPD. No entanto, se o processamento de dados pessoais não for uma parte central da sua PME e a sua principal operação não apresentar riscos às pessoas, então, algumas das responsabilidades do RGPD não serão aplicáveis a si, por exemplo, a nomeação de uma pessoa responsável pela proteção de dados (RPD).
Case Study – Resolução de desafios de proteção de dados no departamento de contabilidade da empresa na prática
Perfil da empresa
Uma empresa de contabilidade independente em fase de crescimento conta com 100 colaboradores e colaboradoras e quatro localizações em dois países. Por meio de aquisições, a empresa aumentou a sua dimensão e conhecimento especializado ao longo dos últimos anos, precisando de adicionar novos procedimentos e de integrar a infraestrutura informática existente.
Contabilidade na prática:
Desafio
Regularmente, a empresa recolhe processos e armazena dados sensíveis de clientes (tais como pensões pessoais, etc.), uma vez que se especializa em contabilidade, fiscalidade e consultoria empresarial. Têm de saber sempre exatamente que dados armazenam e onde para evitarem que quaisquer dados sensíveis sejam perdidos.
A empresa avaliou a sua proteção de dados de acordo com o programa Cyber Essentials, para além do RGPD, e procurou aumentar ainda mais a sua segurança de acordo com a norma CIS.
Durante a pandemia de COVID-19, a iniciativa de trabalhar a partir de casa tornou urgente a necessidade de munir a força de trabalho com aplicações fora do escritório para garantir que o trabalho e o tempo de trabalho remunerado podem continuar.
A utilização de aplicações antigas e mais específicas da indústria através de ambientes de trabalho remoto apresenta problemas de segurança adicionais para as equipas de TI em comparação com aplicações na cloud, que são concebidas com a segurança em mente.
Solução
É necessário avaliar a cibersegurança da empresa. É possível fazê-lo ao avaliar o nível de ciberriscos da empresa e a postura de segurança da mesma. Depois, as empresas têm de elaborar relatórios e tomar medidas para garantirem a ciberresiliência.