A Semana da Privacidade de Dados é um evento anual que visa conscientizar sobre a importância da privacidade e da segurança dos dados. O objetivo da Semana da Privacidade de Dados é educar pessoas e organizações sobre a importância de proteger os dados pessoais e fornecer-lhes as ferramentas e os recursos necessários para que possam fazê-lo de forma eficaz.

We’ve brought together three opinion leaders to discuss the key data privacy challenges that face businesses around the world and how to overcome them.

Bill Mew, Data Privacy Champion and CEO of the Crisis Team is joined by Jakub Lewandowski – Global Data Governance Officer, Commvault and Thomas Bryant – Product Marketing Director, Commvault as they discuss;

• Tendências e desafios atuais em privacidade e segurança de dados
• Leis e regulamentações relacionadas à privacidade de dados, como o Regulamento Geral sobre a Proteção de Dados (RGPD) na União Europeia e a Lei de Privacidade do Consumidor da Califórnia (CCPA) nos Estados Unidos, bem como a DORA e a NIS2
• Best Practices for protecting data – including a modern (and tested) data protection strategy and conducting regular risk assessments
• The current state of Data Privacy policy and legislation compliance/ enforcement  

Saiba mais sobre esses temas em nossa série de posts do blog sobre a Semana da Privacidade de Dados, já disponível

• 5 Regulamentações Essenciais sobre Privacidade de Dados
• As 10 principais prioridades de privacidade e proteção de dados para organizações em 2023
• Um alerta: o problema da fiscalização da Privsec

O Dia Mundial da Privacidade, comemorado anualmente em 28 de janeiro, serve como um lembrete da importância de proteger os dados pessoais na era digital atual. À medida que a tecnologia avança e mais informações pessoais são compartilhadas online, indivíduos e organizações devem tomar medidas para proteger seus dados.

New regulations, such as DORA (Digital Operational Resiliency ACT), mandate that organizations create plans for risk management, incident reporting, and resilience testing. These regulations outline policies for data management, including encryption, data locality, and data lifecycles. A Gartner projeta, “by 2023, 65% of the world’s population will have its personal data covered under various privacy regulations, and companies need flexible solutions that can adapt to the multitude of legislation.” Navigating this complex environment can be challenging for both individuals and companies.

Data Privacy is protecting personal information and giving individuals control over how their data is collected, used, and stored.  On the other hand, data protection refers to the technical and organizational measures put in place to protect data (including personal data) from unauthorized access, use, alteration, or destruction. Data protection encompasses Data Privacy and other areas, including backup & recovery, disaster recovery, data security, and a host of other areas.

To help address that complexity, let’s spend some time reviewing the Top 10 topics to consider when managing Data Privacy and Data Protection.

1.Data Protection Strategy
2.Criptografia
3.Multi-Person Authentication
4.Armazenamento Imutável
5.Soberania de dados
6.Data Governance & Discovery
7.Classification of data
8.Retenção de dados
9. TrilhaResilience plan testing & incident response
10.Risk Assessment

1. Data Protection Strategy

Organizations should start by creating or updating a Data Privacy, Backup & Recovery, and Disaster Recovery plan as part of an overall data protection strategy. There are many facets to a reliable data protection plan and how it specifically relates to protecting the private data your customers have shared with your organization.

2. Encryption

A criptografia é um recurso essencial para a proteção de dados e de informações privadas. Permitir a criptografia de dados em repouso e em trânsito ajuda a impedir o acesso não autorizado a informações pessoais. Isso é especialmente importante para organizações que lidam com grandes volumes de dados privados, como prestadores de serviços de saúde e instituições financeiras. Os dados não residem mais apenas em nossos data centers corporativos, já que a maioria das organizações possui uma ou várias nuvens públicas com cargas de trabalho e dados armazenados nelas. Proteger os dados com criptografia durante todo o seu ciclo de vida ajuda a mitigar ameaças de possíveis invasores.

3. Multi-person authentication

Além de proteger os dados por meio de criptografia, as organizações devem proteger seus sistemas contra ataques maliciosos. O uso da autenticação por múltiplas pessoas (MPA) em seus sistemas de proteção de dados garante que tarefas críticas exijam várias aprovações de usuários pré-aprovados. Muitas vezes negligenciada, essa é uma das maneiras mais simples de impedir tarefas como a exfiltração ou a exclusão de dados.

4. Immutable Storage

O armazenamento imutável permite que os dados, sejam eles privados ou não, sejam gravados sem que possam ser modificados ou excluídos posteriormente. O fato de os dados não poderem ser adulterados ou alterados garante a manutenção da integridade dos dados. Os requisitos de armazenamento imutável estão se tornando rapidamente um elemento padrão das regulamentações de governança de dados, como o GDPR, a HIPAA e outras. Quando combinado com a MPA, é possível criar camadas de armazenamento de dados altamente seguras, ideais para o armazenamento de dados confidenciais e privados.

5. Data Sovereignty

Organizations should consider regulations surrounding private data storage when developing a data protection strategy. This includes the location of data storage and compliance with regulations regarding data sovereignty. For example, a cloud-based workload on GCP in Europe or containing EU citizens’ data must comply with EU regulations. Anywhere that private data may reside, even if temporary, may be required to be in a specific region under regulatory requirements. Commvault helps to address this concern in its latest release, allowing customers to select which specific region they will leverage for snapshot & data protection storage vs. multiple regions that cost more and may have different regulatory requirements.

6. Data Governance & Discovery

In a recent survey, 57% dos CISOs admit they don’t know where some or all their data is or how it is protected! As this amount of private data continues to grow, the sheer number of regulations expands exponentially, and we are confused about what and how we should protect our data.  As a result, organizations need to understand their data, where it is, and what is at risk.  Being able to prioritize data based on your organization’s policies, priorities, and applicable regulations is critical to protecting the data. You cannot protect what you don’t know about!

7. Classification of data

Saber quais dados existem e onde estão armazenados é apenas parte da solução. As organizações devem considerar quais dados são dados privados de clientes, essenciais para os negócios etc., em termos de sua importância para a sua empresa e para seus clientes. Proteger apenas os dados locais pode deixar de lado alguns dados críticos de clientes que estão armazenados em sua solução de CRM baseada em SaaS. Por falar nisso, você deve contar com algo além do seu fornecedor de SaaS ou mesmo dos seus provedores de nuvem IaaS para garantir a proteção dos seus dados. Eles podem oferecer alguns SLAs e um certo nível de redundância, mas isso não substitui um plano sólido de proteção de dados. Gerenciar a classificação de dados não é uma operação pontual, já que os dados crescem exponencialmente a cada ano.

8. Retention

It is paramount to know what data exists and how important it is, but how long does it stay relevant? This is a hard question to answer for most organizations and one that can be seen every year when buying ever-increasing storage systems to house corporate data. The ability to assign an expected lifespan to data can significantly impact your organization’s bottom line AND protect your customers’ private data. Having systems in place to automatically find, classify, and set retention will reduce the likelihood of data sprawl, reduce the amount of time to recover unused data, and reduce costs. If you are looking for a great place to start efficiently managing your governance, risk, and compliance, read through Commvault’s unique approach to o Gerenciamento Unificado de Dados.

9. Resilience plan testing & incident response

Resilience plan testing often referred to as a runbook, is an often-overlooked area of a data protection strategy. Creating or updating an outdated plan can take time and effort. Partnering with solution providers or strategic data protection companies with experience in creating a plan can significantly reduce the time it takes to get current. While it may be trivial to think runbooks are passe, I’ve found that when an actual DR event or ransomware attack hits, they are the GO-TO asset you want in your arsenal of tools. A regular cadence of updates creates an organizational posture that is ready to face data security threats head-on.

10.  Risk Assessment

As mentioned with runbook, consider working with strategic vendors to perform a risk assessment semi-annually or annually. Scheduled reviews can help build the muscle memory for a solid data protection and data privacy mindset. The benefit of working with well establish data protection & data privacy vendors is they are up to date on the latest security threats and mitigation strategies.

By implementing this list of considerations and routinely refreshing your resilience plan, you can be confident that personal information is secure and compliant with the latest privacy regulations. If you aren’t sure where to start but need help from a company that can answer all these questions.

A Commvault está aqui para ajudar! Estamos sempre adicionando novos recursos, incluindo nossas mais recentes melhorias em soberania regional de dados para instantâneos de backup, certificações do setor, recursos de armazenamento imutável e muito mais.

Head over to our community to saber mais or take a test drive today https://www.commvault.com/request-demo

Happy 2023 Data Privacy Week!

Just as everyone started to get more or less cozy with the regulatory landscape in data privacy/protection and individuals and businesses learned to navigate the shallow waters of data subject requests, risk management, and impact assessments – BOOM – another tidal wave of regulatory requirements and new challenges rushed in!

2023 is the perfect moment to start internalizing new acronyms (get ready for #NIS2, #DORA, #DPDPB, #CPRA, #CCPA, #CPA, #CDPA, #UCPA, #VCDPA, #ADPPA, #PrivacyPenaltyBill) and legislative acts they stand for.

O objetivo principal das mudanças que estão por vir é fortalecer e aprimorar as medidas de segurança cibernética de diversas organizações e gerenciar os riscos cibernéticos em constante evolução de maneira mais eficaz.

Aqui está uma visão geral de alguns acontecimentos jurídicos em todo o mundo:

• EU – Directive (EU) 2022/2555 on measures for a high common level of cybersecurity across the Union (NIS2)
• EU – Regulation on digital operational resilience for the financial sector (DORA)
• US – State & Federal privacy laws
• India – Digital Personal Data Protection Bill (DPDPB)
• Australia – Privacy Penalty Bill & overhaul of the Privacy Act 1988

NIS2

According to ENISA, the general spending on cybersecurity is 41 % lower by organisations in the EU than by their US counterparts. With the arrival of NIS2, this ratio is expected to shift to cover this enormous gap at least partially. Conservative estimates are that NIS2 entry in force will translate into a ~22% increase in ICT spending over a 3–4-year period.

A NIS2 foi publicada pouco antes do fim do ano, e os Estados-Membros da UE têm agora 21 meses para transpor os requisitos e mecanismos descritos para a legislação nacional. A Diretiva NIS de 2016 — apesar de suas deficiências — serviu como base para o aumento das capacidades de segurança cibernética dos Estados-Membros. Agora, a NIS2 ampliará o escopo e a lista de organizações afetadas. Estima-se que até 160 mil organizações estarão sujeitas a essa nova legislação, incluindo prestadores de serviços digitais (plataformas e serviços de centros de dados), prestadores de redes e serviços de comunicações eletrônicas, os setores de manufatura e alimentício, além do setor público.

NIS2 aims to strengthen cybersecurity postures by, amongst other: improving cybersecurity governance, addressing the security of supply chains, streamlining reporting obligations (early warnings/shortened notification periods), and introducing more stringent supervisory measures and stricter enforcement requirements.

O que você pode fazer agora mesmo?

• First, try to understand which obligations will apply to your organization and in which compliance bucket your organization will fall into: “Essential Entity,” “Important Entity,” or maybe “other.”
• Em seguida, veja se é possível criar sinergias e aproveitar as medidas técnicas e organizacionais já implementadas durante esforços de conformidade anteriores (por exemplo, GDPR, NIS1 etc.)
• Comece a procurar os parceiros certos que possam apoiar adequadamente seus esforços de conformidade. Envolva seus fornecedores na discussão da abordagem que melhor se adapte à sua organização.
• Por último, mas não menos importante, inicie o planejamento para um aumento nos gastos a fim de sanar quaisquer lacunas remanescentes. O descumprimento pode resultar em multas administrativas de até 10 milhões de euros ou até 2% do faturamento anual total mundial da organização.

DORA

DORA aims to achieve “a high common level of digital operational resilience,” mitigating cyber threats and ensuring resilient operations across the EU financial sector. It will become directly applicable from Jan 17th, 2025. It will impact the financial sector (banks, insurance companies, investment firms) and its ICT providers (i.e., cloud platforms) – roughly around 22 000 organizations.

Os novos requisitos impostos pela DORA se resumirão, na prática, à revisão e atualização das práticas de gestão de riscos. Os clientes do setor financeiro precisarão transferir o máximo possível de riscos regulatórios para os provedores de TIC ou adotar diferentes estratégias de mitigação de riscos. De qualquer forma, os provedores de TIC precisarão garantir o cumprimento dos requisitos da DORA. Todo o setor também precisará reavaliar as relações contratuais com os fornecedores. A DORA incorporará requisitos para contratos entre empresas financeiras e seus principais provedores de TIC, incluindo o local onde os dados são processados, descrições dos acordos de nível de serviço, requisitos de relatórios, direitos de acesso e circunstâncias que levariam à rescisão do contrato.

In a separate post – Commvault’s Product Team will perform a more technical deep-dive into DORA’s requirements related to detection (art. 10), response and recovery (art. 11), and backup (art. 12).

US data privacy laws – CPRA/CCPA, CPA, CDPA, UCPA, VCDPA, ADPPA

As of January 1st, 2023, California Privacy Rights Act (CPRA) amendments to the California Consumer Privacy Act 2018 went into effect. Many temporary exemptions in place expire, imposing additional obligations on companies dealing with California residents’ personal information, e.g., regarding employment-related personal data, opt-out from selling personal information.

2023 is also the year when the Colorado Privacy Act (CPA), The Connecticut Data Privacy Act (CDPA), The Utah Consumer Privacy Act (UCPA), and The Virginia Consumer Data Privacy Act (VCDPA) will become effective. Legislative fragmentation risk is imminent and substantial, and this is the kind of risk that caused the European Union to harmonize the regulatory approach. Let us see whether the same will be true in 2023 in the case of the American Data Privacy and Protection Act (‘ADPPA’) – a proposal for a federal and general data privacy law.

India – DPDPB

Indian legislators plan to introduce a very ambitious Digital Personal Data Protection Bill (DPDPB) this year. When enacted, long-awaited legislation will undoubtedly impact all kinds of organizations due to India’s role as a tech powerhouse and a global outsourcing hub.

Australia – Privacy Penalty Bill & overhaul of the Privacy Act

Australian authorities announced yet another complete overhaul of the Privacy Act dated 1988. The current legislation was summarized as “out of date and not fit for purpose in the digital age.”

Enquanto isso, ainda em 2022, a Austrália aprovou o Projeto de Lei sobre Multas de Privacidade, que aumentou as sanções relacionadas à privacidade para níveis comparáveis às tendências introduzidas pelo GDPR (até 50 milhões de AUD) e ampliou os poderes regulatórios do Gabinete do Comissário de Informação da Austrália (OAIC) e da Autoridade Australiana de Comunicações e Mídia (ACMA).

Summary

O relógio implacável da conformidade acaba de recomeçar a correr. Equipes multifuncionais compostas por profissionais de TI, conformidade, privacidade, área jurídica e analistas de negócios dedicarão uma quantidade considerável de tempo à análise do impacto da enxurrada de mudanças legislativas que surgiram no final do ano passado e que se concretizarão ao longo de 2023.

Esteja ciente de que as novidades legislativas aqui apresentadas poderiam ser mais abrangentes. Você pode ter certeza, no entanto, de que elas se tornarão temas recorrentes de discussão não apenas em 2023, mas também nos próximos anos.

Como parte de uma série de três artigos para marcar o Dia da Privacidade de Dados de 2023 (veja os artigos complementares deJakub LewandowskieThomas Bryant ), Bill Mew argues that there is a real enforcement problem – it’s like the ‘Wild West’ out there.

Políticas, diretrizes e regras só são úteis se forem cumpridas, assim como regulamentos e leis não têm sentido sem fiscalização. O problema no âmbito da privacidade de dados e da segurança cibernética é que, nos casos em que as regras deveriam ser aplicadas, elas são frequentemente ignoradas; e, nos casos em que as leis foram aprovadas, é necessário haver mais fiscalização.

Os CISOs (Diretores de Segurança da Informação) têm uma tarefa ingrata. Os funcionários geralmente relutam em cumprir as medidas de higiene cibernética que um CISO busca impor, mas quando sua falta de disciplina resulta em uma violação, esses colegas são rápidos demais em atribuir a culpa ao CISO. Além disso, embora existam regulamentações caras e complexas a serem cumpridas e regras rígidas sobre o relato de violações, as autoridades, longe de ajudar a lidar com qualquer incidente ou capturar os verdadeiros criminosos, simplesmente utilizam os relatórios para avaliar a aplicação de multas.

Functional, Cultural Mismatch

Se questionados, a maioria dos funcionários concordaria que as ameaças cibernéticas são uma questão significativa, mas, em seu dia a dia, eles se concentram em métricas de ROI (retorno sobre o investimento) voltadas para a receita ou o lucro. Essas são as métricas com base nas quais o desempenho individual e da unidade é avaliado e que servem de base para as políticas de incentivo em toda a empresa.

The CISO is instead focused on return on risk (ROR). Based on the allocated budget and the organisation’s risk appetite, the CISO focuses on maximising security and minimising risk.

The mismatch between the CISO’s ROR orientation and just about everyone else’s ROI orientation can put the CISO at odds with the rest of the management team. They may not only become isolated (what I term CISOlation) but can also be a scapegoat when things go wrong – even when warnings are ignored.

Perverse regulatory incentives

In an accompanying article, Jakub Lewandowski [LINK] has explored the raft of new privacy and cybersecurity laws expected to add to a considerable regulatory burden. The problem is that regulation without enforcement is not just pointless but counter-productive. After all, only responsible companies will comply with these regulations, and for them, it represents a cost or compliance tax. Meanwhile, irresponsible ones often choose not to abide by the rules. If they believe that there is little or no risk of enforcement, then this is a cost-saving and risk-free source of competitive advantage.

A falta de conformidade é generalizada e tem origem nas altas esferas, com notícias frequentes sobre as BigTech sofrendo incidentes envolvendo dados ou sendo multadas. Essas multas parecem não estar surtindo efeito dissuasório, mas, ao contrário, estão sendo vistas como um custo adicional dos negócios pelas empresas BigTech e por muitas outras que tiveram a infelicidade de sofrer um incidente envolvendo dados.

Again, responsible firms that did their best to take reasonable measures but were unfortunately unable to prevent mistakes or attacks run the risk of being fined once they notify the local regulator. Meanwhile, irresponsible ones who choose not to comply will simply avoid reporting incidents and attempt to cover them up instead to avoid fines. Fines have, therefore, become more of a lagging indicator of misfortune for responsible firms rather than of misbehaviour by irresponsible ones.

Record of Regulatory Inaction

Most BigTech firms, attracted by a favourable tax regime, have opted to base their European headquarters in Ireland. The local regulator, DPC Ireland, is therefore responsible for ensuring that they comply with GDPR and other such regulations. Whether down to inadequate funding, reluctance to rock the boat, or simply out-gunned and out-lobbied by the BigTech firms, DPC Ireland has been seen as ineffective in holding them to account.

In one notable case, measures it failed to take against Facebook were eventually resolved in the European High Court under the Schrems I and Schrems II rulings. When it still failed to take action and apply these rulings, DPC Ireland was sanctioned by the European Parliament in a votação de 451 a 1. Quando novas pressões por parte de órgãos reguladores de toda a Europa a forçaram a agir, após um atraso de dois anos, a multa que aplicou ao Facebook foi tão baixa que teve de ser aumentada (dez vezes) por insistência dos demais órgãos reguladores.

The EU Ombudsman Emily O’Reilly eventually abrir uma investigação into the European Commission’s monitoring of how data protection rules are applied in Ireland. Eight months later, the Conselho Irlandês de Liberdades Civis (ICCL) criticou a UE for its continued failure to properly monitor Ireland’s GDPR enforcement while “the fundamental rights of all Europeans hang in the balance.” There are now moves afoot to strip Ireland of its responsibility for regulating the BigTech firms and centralise such enforcement instead.

Ineffective Global Policing

Meanwhile, the number and sophistication of cyber-attacks are increasing exponentially, as is the cost of remediation. The World Economic Forum (WEF) has recently not only called for more widespread use of “simulados de segurança cibernética” to test cybersecurity and incident response capabilities but is also championing the necessidade de regras globais to crack down on cybercrime.

Estima-se que os prejuízos causados por todas as formas de crime cibernético, incluindo os custos de Recovery e reparação, tenham totalizado US$ 3 trilhões em 2015 e US$ 6 trilhões em 2021, podendo chegar a US$ 10,5 trilhões por ano até 2025.

Cyber insurance isn’t the answer. Rapidly increasing premiums mean that it is out of reach to most buyers, but even those who can afford it often find it’s not worth it. At the same time, cyber insurance cannot be expected to cover systemic problems, and in any case, it has the perverse effect of potentially making bad problems even worse.

While almost all nations have signed up for United Nations agreements on combatting crime, including o crime cibernético, some nations turn a blind eye and instead provide safe havens for cybercriminals to operate from. While most o crime cibernético originates from countries like Russia, Iran, or North Korea, such activities are not confined to these rogue nations and continue closer to home. In addition, countries like China have significant espionage operations, and the United States is responsible for a great deal of global mass surveillance – all of which contravenes GDPR and a host of other laws.

We need to start with mandatory data breaches and cyber theft reporting. This has begun in the US with 2022’s a Lei de Notificação de Incidentes Cibernéticos para Infraestruturas Críticas, and in the EU with 2018’s a Diretiva sobre a Segurança das Redes e dos Sistemas de Informação. Still, there are also a série de outras regulamentações that mandate telecom payment services, medical device manufacturers, and critical infrastructure providers to report breaches.

Once we have better data on the problem, we can focus on improving international investigation, prosecution, and adjudication efficiency and effectiveness. The Escritório das Nações Unidas sobre Drogas e Crime is promoting a Cybercrime Programme which has the following aims:

• Maior eficiência e eficácia na investigação, no julgamento e na resolução de casos de crimes cibernéticos, especialmente a exploração sexual infantil e o abuso infantil online, dentro de um sólido quadro de direitos humanos.
• Resposta eficiente e eficaz a longo prazo de todo o governo ao crime cibernético, incluindo coordenação nacional, coleta de dados e marcos jurídicos eficazes, levando a uma resposta sustentável e a maior dissuasão.
• Fortalecimento da comunicação nacional e internacional entre o governo, as autoridades de segurança pública e o setor privado, acompanhado de uma maior conscientização do público sobre os riscos do crime cibernético.

These are laudable goals. However, we are a long way from victims of crime being able to pick up the phone to police at the local, national, or international level with any expectation of getting either practical assistance or justice. The reality is that when it comes to cybercrime, aside from private sector incident response specialists, you’re on your own.

• Os funcionários raramente seguem as normas de higiene cibernética de maneira adequada
• Os órgãos reguladores não agem de forma proativa na identificação e no combate às infrações
• Os criminosos estão se tornando cada vez mais ousados, agressivos e sofisticados
• A polícia não consegue agir contra criminosos que operam a partir de refúgios
• E os CISOs são sempre os bodes expiatórios quando as coisas dão errado

In this ‘Wild West’ environment, there isn’t any cavalry going to the rescue, so you are expected to be adequately armed and ready to defend yourself. Take hints from Thomas Bryant’s article and learn how to deal with it best. There is no substitute for getting your cybersecurity and incident response right.