Conformidade regulatória simplificada

Várias leis e regulamentações consideram o backup, a Recovery e a resiliência como elementos essenciais de um bom programa de segurança cibernética. Entre elas estão o Regulamento Geral sobre a Proteção de Dados (RGPD), a Lei de Portabilidade e Responsabilidade do Seguro Saúde (HIPAA), as Normas de Segurança de Dados do Setor de Cartões de Pagamento (PCI DSS), a Diretiva sobre Redes e Sistemas de Informação 2 (NIS2), a Lei de Segurança Cibernética de Nova York (NYCRR 500), a Lei de Privacidade do Consumidor da Califórnia (CCPA) e a Lei de Resiliência Operacional Digital (DORA). Recomendamos que você consulte suas equipes jurídicas e de conformidade para determinar quais dessas normas podem se aplicar à sua empresa.

Algumas regulamentações bem conhecidas incluem o Regulamento Geral sobre a Proteção de Dados (RGPD), a Lei de Privacidade do Consumidor da Califórnia (CCPA) e a Lei de Portabilidade e Responsabilidade em Seguros de Saúde (HIPAA).

Toda organização deve consultar advogados e auditores sobre regulamentações específicas. No entanto, um bom ponto de partida para um programa seria realizar avaliações e auditorias regulares das práticas de proteção de dados, implementar e monitorar controles de segurança e contar com a ajuda de profissionais de TI e segurança (sejam eles funcionários ou prestadores de serviços) para verificar se as medidas de segurança estão sendo aplicadas e funcionando adequadamente. Também é recomendável adotar uma abordagem baseada em riscos, na qual as organizações avaliem os requisitos regulatórios e o possível risco de perda em caso de violação ou não conformidade, em relação ao esforço necessário para implementar os controles.

A Lei de Resiliência Operacional Digital, ou DORA, é um regulamento da União Europeia voltado para bancos e entidades financeiras, que foi promulgado com o objetivo de ajudar a definir padrões de segurança cibernética e resiliência cibernética. Observamos que muitas equipes de conformidade estão utilizando a DORA como orientação, independentemente do setor, mas recomendamos que você consulte suas equipes jurídica e de conformidade para obter orientações adequadas para a sua organização.

Comece por compreender os tipos de dados e os riscos existentes em sua organização, dedicando atenção especial aos dados confidenciais e regulamentados. Em seguida, você poderá definir objetivos de segurança claros e mensuráveis que ajudem a mitigar e minimizar esses riscos. A partir daí, você pode desenvolver e aplicar políticas de governança de dados relacionadas à propriedade, ao tratamento e ao ciclo de vida dos dados. Isso pode incluir aspectos como controles de acesso para pessoas ou grupos, como os dados são protegidos, compartilhados e armazenados em backup, e como descartá-los quando não forem mais relevantes ou necessários.

O e-discovery consiste na identificação, preservação, coleta, processamento, análise e apresentação de informações armazenadas eletronicamente (ESI) em resposta a litígios, investigações ou outras solicitações legais. Envolve a busca, a análise e a extração de dados relevantes de fontes de dados ativas e de backup, bem como o controle desses dados para impedir que sejam alterados ou excluídos.