- Radar Roos
- Posts
- 5 formas de estabelecer consistência de segurança de dados nas empresas
5 formas de estabelecer consistência de segurança de dados nas empresas
Paola Roos
June 14, 2024
Grande parte dos empresários brasileiros já entenderam que a segurança dos dados pessoais é importante e precisa ser implementada: já instalaram firewalls, antivírus e segmentaram a rede, treinaram os funcionários, adequaram contratos.
Pronto? Não.
A conformidade com as leis e normas regulatórias sobre proteção de dados precisa ser um objetivo permanente da empresa: os funcionários não podem obedecer às políticas internas durante um mês e depois voltar aos velhos hábitos. Ou então, apenas os funcionários serem treinados em boas práticas de segurança e os executivos não... ou então os executivos terem “carta branca” para descumprir as diretrizes internas de segurança.
A consistência na segurança dos dados é o que diferencia programas robustos de conformidade de dados.
Dependendo do tamanho e do ambiente da empresa, a consistência da segurança dos dados pode ser um grande desafio. Nesta edição do Radar Roos, trazemos 5 formas de estabelecer consistência de segurança de dados nas empresas.
1. Criação e implementação de políticas
As políticas são estabelecidas e implementadas através de um processo sistemático que envolve a definição de objetivos, a avaliação de riscos, o desenvolvimento de diretrizes e o monitoramento e aperfeiçoamento contínuos para que a empresa se adapte às ameaças em evolução e às necessidades do negócio.
O processo começa com a compreensão dos requisitos legais, regulatórios e de negócio da empresa, bem como dos tipos de dados que ela trata, incluindo informações sensíveis e confidenciais.
Em seguida, é realizada uma avaliação de riscos para identificar potenciais ameaças, vulnerabilidades e riscos associados aos processos de tratamento de dados. Esta avaliação orienta a priorização das medidas técnicas de segurança, garantindo que os recursos sejam alocados de forma eficaz para enfrentar os riscos mais significativos.
É preciso dedicar tempo para implementação dessas políticas. Mesmo a maior política de segurança não vale nada se não for implementada adequadamente. Uma política escrita, mas sem ninguém usando, é o mesmo do que não ter política nenhuma. É fundamental treinar os colaboradores – independentemente do nível hierárquico - para a utilização das políticas no dia a dia de suas atividades profissionais.
As políticas devem ser documentadas e facilmente acessíveis aos colaboradores, para que possam consultá-las caso tenham alguma dúvida sobre as normas internas de segurança. Caso haja informações estratégicas e/ou confidenciais na política, recomenda-se a elaboração de manuais aos colaboradores, contendo apenas as regras indispensáveis que eles precisam cumprir.
A documentação também protege a empresa de possíveis responsabilidades em caso de violação. Ter políticas e procedimentos de segurança documentados, atualizados e acessíveis ajuda os auditores a ver quais medidas sua empresa está tomando em relação à segurança de dados.
2. Treinamento
O engajamento é fundamental para mudar as atitudes dos funcionários em relação à segurança e à importância do cumprimento das políticas internas.
O treinamento eficaz em segurança de dados não deve ser um evento único, mas um processo contínuo. Se os funcionários não estão levando a segurança a sério, talvez seja hora de revisar os programas de treinamento. Garanta que o treinamento seja relevante e prático, com foco em cenários da vida real que os funcionários possam encontrar. Considere incorporar a segurança dos dados no programa de educação corporativa da empresa, ou apenas promover workshops regulares, ou até mesmo webinars ou cursos de e-learning que atendam a diferentes estilos de aprendizagem. Isso ajudará a fazer com que a preocupação com a segurança de dados seja priorizada pela equipe, através do reconhecimento e resposta a possíveis ameaças.
3. Imposição de consequências
A literatura concorda que a maior ameaça à segurança de dados é constituída por funcionários descuidados ou mal-intencionados que não cumprem as políticas e procedimentos de segurança internos das empresas para as quais trabalham.
Os hábitos (comportamentos automáticos incorporados após muita repetição) afetam significativamente a intenção de um funcionário em cumprir uma diretriz de segurança. É a famosa desculpa: “mas eu sempre fiz assim”.
Por isso, embora o reforço positivo seja importante, também deve haver consequências claras para o não cumprimento das políticas de segurança. Estabelecer uma estrutura disciplinar que descreva as ações que serão tomadas em resposta a violações da política de segurança é essencial. As consequências podem variar de requisitos adicionais de treinamento a repercussões mais graves para infrações repetidas (inclusive demissão, conforme o caso).
É essencial que os funcionários entendam a gravidade da não conformidade e que a organização esteja comprometida em fazer cumprir seus protocolos de segurança internos.
4. Boa comunicação
Às vezes, a dificuldade para seguir as diretrizes reside nas próprias políticas internas. Se forem excessivamente complexas ou desatualizadas, os funcionários podem ter dificuldades para cumprir.
Por isso é importante estabelecer a revisão periódica e simplificar as políticas de segurança sempre que possível, tornando-as claras e acessíveis. Se os funcionários não conseguirem entender quais comportamentos específicos são exigidos ou proibidos após ler a política, então ela não está cumprindo seus objetivos.
Declarações vagas como “os funcionários não devem armazenar senhas usando meios inseguros” são difíceis de entender e precisar, dificultando o respectivo cumprimento em função da vagueza. Seja específico.
É importante que todos os funcionários entendam a lógica por trás de cada política e visualizem claramente as ações específicas que devem e que não devem tomar. Atualizar as políticas regularmente é importante, sobretudo em função do surgimento frequente de novas ameaças, mas também para abarcar mudanças tecnológicas ou do próprio negócio.
É fundamental que as atualizações sejam comunicadas de forma eficaz a todos os membros da equipe.
5. Integração entre departamentos diferentes
O problema que muitas empresas encontram na segurança é que cada departamento não tem conhecimento do que os outros departamentos estão fazendo. Você precisa estabelecer políticas e uma boa comunicação entre departamentos e equipes diferentes.
Quanto mais as equipes conversarem entre si, mais sincronizadas estarão em termos de segurança. Acostumar os funcionários a trabalhar com outros departamentos os ajudará a implementar as políticas de segurança de maneira mais fluida. Aqui estão algumas maneiras de aumentar a comunicação entre departamentos:
Faça com que os departamentos realizem reuniões periódicas
Faça perguntas e respostas para os departamentos para atender às necessidades
Faça reuniões interdepartamentais
Incentive a cooperação
Em um cenário onde a proteção de dados se torna cada vez mais difícil e crítica, estabelecer consistência na segurança de dados nas empresas não é apenas uma medida preventiva, mas uma necessidade estratégica. Implementar políticas claras e eficazes, oferecer treinamentos contínuos, impor consequências para violações, manter uma comunicação acessível são passos fundamentais para garantir que a segurança de dados seja robusta.
Para que uma empresa consiga manter um ambiente seguro e protegido, é crucial que todos, desde os funcionários até os executivos, estejam comprometidos com as diretrizes e práticas internas de segurança de dados. A consistência na aplicação dessas práticas garante que a empresa não só esteja em conformidade com as regulamentações, mas também proteja suas informações contra ameaças cada vez mais sofisticadas. Ao seguir essas cinco estratégias, as empresas podem criar uma cultura de segurança sólida, onde a proteção de dados é uma prioridade compartilhada por toda a organização.
