28 DE JANEIRO: DIA INTERNACIONAL DA PROTEÇÃO DE DADOS PESSOAIS. A SUA EMPRESA ESTÁ PROTEGIDA?

SEGURANÇA DIGITAL PARA EMPRESAS

A proteção de dados pessoais nas empresas exige mais do que instalar antivírus ou contratar ferramentas de tecnologia. É necessário combinar governança, processos, controles de acesso, treinamento, cópias de segurança e um plano de resposta a incidentes para reduzir a exposição de informações de clientes, colaboradores, fornecedores e parceiros.

Pequenas, médias e grandes empresas podem enfrentar ataques cibernéticos, indisponibilidade de sistemas, perda de informações, fraudes e reclamações de terceiros. Por isso, a segurança dos dados precisa fazer parte da rotina do negócio e acompanhar todas as etapas de coleta, utilização, armazenamento, compartilhamento e eliminação das informações.

Por que a proteção de dados pessoais precisa ser prioridade?

Empresas tratam dados pessoais em diferentes atividades, como cadastro de clientes, folha de pagamento, relacionamento comercial, emissão de documentos, controle de fornecedores, comércio eletrônico, atendimento e campanhas de marketing.

Quanto maior a circulação de informações, maior é a necessidade de controlar quem pode acessá-las, para quais finalidades elas podem ser utilizadas, com quem podem ser compartilhadas e por quanto tempo devem permanecer armazenadas.

O trabalho remoto, os serviços em nuvem, as integrações entre plataformas e a digitalização dos processos ampliaram a eficiência das operações. Ao mesmo tempo, criaram novos pontos de atenção. Uma credencial comprometida, uma configuração inadequada ou uma mensagem fraudulenta pode permitir acesso indevido, paralisação de atividades ou exposição de informações.

A Lei Geral de Proteção de Dados Pessoais, conhecida como LGPD, reforça a necessidade de adoção de medidas técnicas e administrativas para proteger os dados contra acessos não autorizados e situações acidentais ou ilícitas.

A conformidade, porém, não deve ser tratada apenas como uma obrigação jurídica. A proteção das informações também contribui para a continuidade da operação, a reputação da empresa e a confiança nas relações com clientes, colaboradores e parceiros.

Pequenas e médias empresas também podem ser alvo?

Sim. O porte da empresa não elimina sua exposição aos riscos digitais. Pequenos e médios negócios também armazenam dados pessoais, utilizam sistemas financeiros, recebem pagamentos, mantêm cadastros e dependem de fornecedores de tecnologia.

Além de ataques direcionados, uma empresa pode ser afetada por campanhas automatizadas, senhas reutilizadas, mensagens de phishing, falhas de configuração, perda de equipamentos e incidentes envolvendo prestadores de serviço.

Em estruturas menores, um incidente pode provocar um impacto proporcionalmente elevado, especialmente quando o negócio depende de poucos sistemas, não possui uma equipe especializada ou ainda não estabeleceu procedimentos de continuidade e recuperação.

Quais informações da empresa precisam ser protegidas?

O primeiro passo é reconhecer onde existem dados pessoais e quem participa do seu tratamento. O inventário deve considerar informações armazenadas em sistemas, computadores, serviços em nuvem, documentos físicos, dispositivos móveis e plataformas de fornecedores.

• Dados de clientes: nome, CPF, endereço, telefone, e-mail, histórico de atendimento e informações relacionadas a pagamentos.
• Dados de colaboradores: documentos cadastrais, informações trabalhistas, dados bancários e registros relacionados à gestão de pessoas.
• Dados de fornecedores e parceiros: contatos, documentos, contratos e credenciais de acesso compartilhadas.
• Informações do negócio: dados financeiros, propostas, projetos, contratos, documentos estratégicos e propriedade intelectual.
• Credenciais e registros técnicos: senhas, chaves de acesso, históricos de autenticação e registros das atividades realizadas nos sistemas.

Quais são os principais riscos cibernéticos para uma empresa?

Os riscos variam conforme o tipo de operação, os sistemas utilizados, os dados tratados e a dependência de fornecedores. Entre os eventos que merecem atenção estão:

• Phishing: mensagens fraudulentas utilizadas para obter credenciais, informações confidenciais ou induzir pagamentos indevidos.
• Ransomware: ataque capaz de bloquear sistemas ou criptografar arquivos para exigir pagamento.
• Vazamento de dados: exposição, compartilhamento ou acesso indevido a informações pessoais ou corporativas.
• Comprometimento de contas: utilização indevida de e-mails, sistemas financeiros, plataformas em nuvem ou perfis corporativos.
• Falha humana: envio de informações ao destinatário incorreto, divulgação não autorizada, perda de dispositivos ou configuração inadequada.
• Indisponibilidade de sistemas: interrupção de serviços essenciais para atendimento, vendas, produção ou gestão financeira.
• Incidentes em fornecedores: ocorrências em empresas terceirizadas que armazenam dados, operam sistemas ou possuem acesso aos ambientes do negócio.

Checklist de proteção de dados pessoais nas empresas

Não existe uma medida isolada capaz de impedir todos os incidentes. Uma estratégia consistente reúne ações preventivas, mecanismos de detecção, controles de continuidade e procedimentos de resposta.

1. Mapeie os dados e os sistemas utilizados

Identifique quais dados são coletados, por que são utilizados, onde ficam armazenados, por quanto tempo são mantidos e com quem são compartilhados. Inclua sistemas internos, planilhas, e-mails, plataformas terceirizadas, dispositivos e arquivos físicos.

O mapeamento ajuda a localizar pontos de vulnerabilidade, eliminar coletas desnecessárias e estabelecer responsabilidades sobre o tratamento das informações.

2. Restrinja os acessos

Conceda acesso apenas às pessoas que realmente precisam das informações para desempenhar suas funções. As permissões devem ser revisadas periodicamente, principalmente quando profissionais mudam de área ou deixam a empresa.

Contas administrativas e acessos a sistemas críticos exigem controles adicionais. Sempre que possível, evite contas compartilhadas e mantenha registros que permitam identificar as atividades realizadas.

3. Reforce a autenticação

Adote senhas fortes e exclusivas, autenticação em múltiplos fatores e procedimentos seguros de recuperação de conta. Evite o compartilhamento de credenciais e oriente os profissionais a não reutilizarem senhas pessoais nos sistemas corporativos.

4. Atualize sistemas e dispositivos

Mantenha sistemas operacionais, aplicativos, plugins, equipamentos de rede e ferramentas de segurança atualizados. As correções de segurança ajudam a reduzir a exploração de vulnerabilidades conhecidas.

Sistemas antigos ou sem suporte devem ser identificados e substituídos de maneira planejada, considerando a importância de cada recurso para a operação.

5. Mantenha cópias de segurança

Defina uma rotina de backup compatível com a operação, proteja as cópias contra alterações indevidas e teste periodicamente a restauração. Ter arquivos copiados não é suficiente se a empresa não conseguir recuperá-los quando necessário.

As cópias de segurança devem considerar os sistemas essenciais, a frequência de atualização das informações e o período máximo que a empresa consegue permanecer sem acesso aos dados.

6. Proteja os dispositivos

Computadores, notebooks e celulares utilizados para acessar dados corporativos devem possuir controles adequados. A empresa deve definir regras para atualização, bloqueio de tela, instalação de programas, descarte de equipamentos e utilização de dispositivos pessoais.

7. Treine os colaboradores

Oriente as equipes sobre mensagens fraudulentas, links suspeitos, anexos inesperados, compartilhamento de informações, uso de dispositivos e comunicação de ocorrências. O treinamento deve acompanhar as mudanças nos processos, nas tecnologias e nas ameaças.

Os profissionais também precisam saber a quem recorrer quando identificarem uma situação suspeita. Canais pouco claros podem atrasar a contenção e aumentar o impacto de um incidente.

8. Avalie fornecedores e parceiros

Verifique como os prestadores que acessam dados ou sistemas tratam segurança, privacidade, controle de acesso, continuidade das operações e resposta a incidentes. Contratos, responsabilidades e procedimentos de comunicação devem ser analisados pelas áreas competentes.

9. Defina períodos de retenção e descarte

Manter dados indefinidamente aumenta a exposição da empresa. Defina critérios para retenção, arquivamento e descarte seguro, observando as finalidades do tratamento e os prazos legais ou regulatórios aplicáveis.

10. Prepare um plano de resposta a incidentes

Documente responsáveis, contatos, critérios de escalonamento e procedimentos para conter o incidente, preservar evidências, recuperar a operação e avaliar eventuais obrigações de comunicação.

O plano deve ser testado e atualizado periodicamente. Exercícios simulados ajudam a identificar falhas de comunicação, dependências desconhecidas e decisões que precisam ser tomadas antes de uma ocorrência real.

Quais são os sinais de um possível incidente cibernético?

Alguns eventos podem indicar que uma conta, um dispositivo ou um sistema foi comprometido. Reconhecer esses sinais pode ajudar a reduzir o tempo entre a ocorrência e o início da resposta.

• Acessos realizados em horários, dispositivos ou localidades incomuns.
• Alterações de senha ou configuração que não foram solicitadas.
• Arquivos indisponíveis, modificados, criptografados ou excluídos inesperadamente.
• Lentidão incomum, falhas recorrentes ou indisponibilidade de sistemas.
• Envio de mensagens não reconhecidas a partir de contas corporativas.
• Alertas emitidos por ferramentas de segurança ou fornecedores.
• Relatos de clientes ou parceiros sobre comunicações suspeitas em nome da empresa.
• Solicitações financeiras ou alterações cadastrais fora do procedimento habitual.

O que fazer diante de um incidente cibernético?

A resposta deve ser rápida, mas também coordenada. Algumas ações executadas sem análise podem eliminar evidências ou ampliar o impacto. A sequência exata dependerá do tipo de ocorrência, dos sistemas envolvidos e da estrutura da empresa.

1. Acione o plano interno: informe as áreas responsáveis por Segurança da Informação, Tecnologia, Jurídico, Privacidade, Comunicação e gestão do negócio.
2. Contenha o incidente: isole os recursos afetados conforme a orientação técnica, sem destruir registros necessários à investigação.
3. Preserve as evidências: mantenha registros de acesso, mensagens, horários, sistemas envolvidos e decisões tomadas durante a resposta.
4. Avalie o impacto: identifique os dados, titulares, sistemas, fornecedores e processos potencialmente afetados.
5. Consulte especialistas: envolva profissionais técnicos e jurídicos para orientar a investigação, a recuperação e as eventuais comunicações.
6. Avalie os deveres de comunicação: verifique, com apoio das áreas responsáveis, se o incidente exige comunicação às autoridades, aos titulares, aos parceiros ou a outras partes envolvidas.
7. Acione a seguradora: quando houver uma apólice aplicável, comunique o evento pelos canais previstos no contrato e siga as orientações recebidas.
8. Recupere a operação com segurança: restaure ambientes validados, altere credenciais potencialmente comprometidas e monitore possíveis sinais de recorrência.
9. Registre os aprendizados: investigue a causa, corrija as vulnerabilidades identificadas e atualize os controles e o plano de resposta.

Qual é o papel do Seguro Riscos Cibernéticos?

O Seguro Riscos Cibernéticos Tokio Marine, também conhecido como Seguro Cyber, pode complementar os controles de segurança e o plano de continuidade da empresa.

O seguro não substitui boas práticas de proteção, conformidade com a LGPD, gestão de acessos, atualizações, backups, treinamento ou resposta interna a incidentes. Sua função é integrar uma estratégia mais ampla de gestão dos riscos digitais.

De acordo com as coberturas contratadas, o seguro pode contemplar eventos relacionados à responsabilidade pela proteção de dados, à responsabilidade de mídia e à propagação de códigos maliciosos a partir da rede da empresa.

Também podem existir coberturas adicionais relacionadas a determinados custos de remediação, extorsão cibernética, lucros cessantes e eventos envolvendo o processamento de cartões. A disponibilidade e a aplicação de cada cobertura dependem das condições do produto e da apólice contratada.

Para aprofundar o tema, leia também o conteúdo sobre como proteger sua empresa dos riscos digitais.

O que um Seguro Cyber pode cobrir?

As coberturas variam conforme o produto e a opção contratada. Entre as situações que podem estar contempladas, observadas as condições da apólice, estão:

• Responsabilidade por dados: determinadas reclamações decorrentes de perda, divulgação ou acesso não autorizado a informações sob responsabilidade do segurado.
• Responsabilidade de mídia: determinadas reclamações relacionadas a conteúdo, divulgação e propriedade intelectual, conforme os riscos previstos na apólice.
• Segurança de rede: eventos relacionados à transmissão ou propagação de código malicioso a partir da rede do segurado.
• Custos de resposta e remediação: determinadas despesas necessárias para investigar, conter e responder a um evento coberto.
• Extorsão cibernética: situações enquadradas nas condições e nos critérios estabelecidos para a cobertura contratada.
• Interrupção das atividades: determinadas perdas relacionadas à paralisação da operação causada por um evento coberto.

A aplicação de qualquer cobertura depende do evento ocorrido, dos riscos cobertos, das exclusões, dos limites, das franquias, da análise do sinistro e das demais condições contratuais. Por isso, a empresa deve avaliar seu perfil de risco e consultar a documentação vigente antes da contratação.

Como avaliar o nível de proteção da empresa?

A análise deve considerar o volume e a sensibilidade dos dados tratados, a dependência de sistemas, o impacto de uma interrupção, as integrações com terceiros e a capacidade da empresa de responder a um incidente.

As perguntas a seguir podem ajudar no diagnóstico inicial:

• A empresa sabe quais dados pessoais utiliza e onde eles estão armazenados?
• Existe uma finalidade definida para a coleta e a utilização de cada informação?
• Os acessos são concedidos por função e revisados periodicamente?
• A autenticação em múltiplos fatores está habilitada nos sistemas críticos?
• Os sistemas, aplicativos e equipamentos recebem atualizações de segurança?
• Os backups são protegidos e submetidos a testes de restauração?
• Os colaboradores sabem reconhecer e comunicar tentativas de fraude?
• Os fornecedores com acesso a dados ou sistemas são avaliados?
• Existe um plano documentado e testado de resposta a incidentes?
• As áreas responsáveis conhecem os canais que devem ser acionados?
• Os possíveis impactos operacionais, financeiros e reputacionais foram estimados?
• A empresa avaliou como um seguro pode complementar sua estratégia de gestão de riscos?

Como escolher as coberturas adequadas para a empresa?

A escolha deve considerar as características da operação e os impactos que um incidente pode provocar. Uma empresa que depende intensamente do comércio eletrônico, por exemplo, pode ter necessidades diferentes de um negócio que armazena grande volume de dados pessoais ou depende de sistemas industriais.

Antes da contratação, avalie:

• Quais dados pessoais, financeiros e estratégicos são tratados.
• Quais sistemas são essenciais para manter a operação.
• Quanto tempo o negócio conseguiria funcionar com os sistemas indisponíveis.
• Quais fornecedores possuem acesso a dados, dispositivos ou ambientes tecnológicos.
• Quais controles de prevenção, detecção e resposta já foram implementados.
• Quais são os limites, as franquias, as exclusões e as obrigações previstas em cada opção de seguro.

O apoio de um Corretor de Seguros pode contribuir para a análise das opções disponíveis e para a compreensão das condições contratuais.

Perguntas frequentes sobre proteção de dados e riscos cibernéticos

Toda empresa precisa proteger dados pessoais?

Empresas que tratam dados pessoais precisam adotar medidas compatíveis com suas atividades, seus riscos e suas responsabilidades. Isso inclui informações de clientes, colaboradores, fornecedores, candidatos, representantes e parceiros comerciais.

A LGPD se aplica apenas a dados armazenados na internet?

Não. A proteção também alcança o tratamento de dados pessoais realizado em meios físicos, observadas as hipóteses de aplicação da legislação. Fichas, contratos, formulários e arquivos impressos também exigem controles adequados.

Antivírus é suficiente para proteger uma empresa?

Não. As ferramentas de proteção são importantes, mas precisam fazer parte de uma estratégia mais ampla, com gestão de acessos, autenticação reforçada, atualizações, backups, treinamento, monitoramento, avaliação de fornecedores e resposta a incidentes.

Pequenas empresas também podem sofrer ataques cibernéticos?

Sim. Pequenas empresas também utilizam sistemas, armazenam dados pessoais, recebem pagamentos e dependem de fornecedores digitais. Elas podem ser afetadas por ataques direcionados, campanhas automatizadas, fraudes, falhas humanas ou incidentes ocorridos em terceiros.

O seguro evita um ataque cibernético?

Não. O seguro não impede ataques e não substitui controles técnicos e administrativos. Sua função é complementar a gestão de riscos, de acordo com as coberturas, os limites, as franquias, as exclusões e as demais condições contratadas.

Quais eventos podem estar relacionados ao Seguro Cyber?

Conforme a opção contratada, podem existir coberturas relacionadas a perda ou divulgação indevida de informações privadas, responsabilidade de mídia, propagação de malware, custos de remediação, extorsão cibernética e interrupção das operações. A confirmação depende das condições da apólice.

O Seguro Cyber é indicado apenas para grandes empresas?

Não necessariamente. Empresas de diferentes portes podem enfrentar riscos digitais. A necessidade de contratação deve ser avaliada de acordo com as atividades do negócio, os dados tratados, a dependência dos sistemas, os controles existentes e os possíveis impactos de um incidente.

O que fazer primeiro ao identificar um incidente?

O primeiro passo é acionar o plano interno e comunicar imediatamente as áreas responsáveis. A contenção deve seguir orientação técnica para evitar o agravamento do incidente ou a perda de evidências importantes para a investigação.

Como escolher as coberturas adequadas?

A avaliação deve considerar os dados tratados, os sistemas essenciais, a exposição a terceiros, o impacto de uma paralisação e os controles já existentes. Um Corretor de Seguros pode apoiar a análise das opções disponíveis, sempre observando os limites, as exclusões e as condições contratuais.

Onde encontrar um Corretor Tokio Marine?

Para receber atendimento e conhecer as opções disponíveis, acesse a página para localizar um Corretor Tokio Marine.

---

Aviso editorial: este conteúdo foi publicado originalmente em 28 de janeiro de 2023 e atualizado para ampliar as orientações sobre proteção de dados pessoais e riscos cibernéticos. As informações possuem caráter educativo e não substituem avaliações técnicas, jurídicas, regulatórias ou de Segurança da Informação.

Aviso sobre o seguro: as coberturas mencionadas dependem de contratação e estão sujeitas aos riscos cobertos, às exclusões, aos limites, às franquias, à análise de aceitação e às demais condições da apólice. Consulte a versão vigente das Condições Gerais e dos documentos contratuais antes da contratação.