Vazamento acidental de dados no trabalho: o que fazer nas primeiras 72 horas

Se você causar uma violação acidental de dados no trabalho, comunique o fato internamente imediatamente, geralmente ao seu gerente, à equipe de TI ou ao responsável pela proteção de dados. Não tente resolver o problema discretamente e não espere até saber a gravidade da situação. No Reino Unido e na União Europeia, uma organização tem 72 horas a partir do momento em que toma conhecimento de uma violação para notificar a autoridade de proteção de dados quando houver pessoas em risco. Nos EUA, os prazos dependem do estado e do setor, mas o prazo também começa a contar a partir do momento em que a organização toma conhecimento do fato. Cada hora que um funcionário hesita reduz esse prazo.

A maioria das violações de dados não é obra de hackers. Elas começam com um erro comum: um e-mail enviado para a pessoa errada, uma planilha anexada por acidente, um laptop esquecido em um trem. Este artigo explica o que se considera uma violação de dados, apresenta exemplos comuns, orienta passo a passo sobre as primeiras 72 horas, detalha as regras de notificação no Reino Unido, na União Europeia e nos Estados Unidos e explica como garantir que as pessoas comuniquem os erros em vez de ocultá-los.

O que se considera uma violação de dados?

Uma violação de dados pessoais é qualquer incidente de segurança que resulte na perda, destruição, alteração, divulgação ou acesso não autorizado a dados pessoais. Não importa se foi deliberado ou acidental, nem é necessário que envolva um ataque cibernético. Se a pessoa errada puder ver, alterar ou perder dados sobre alguém, trata-se de uma violação.

Além disso, uma violação não se resume apenas a vazamentos. Apagar um arquivo de cliente sem backup ou perder o acesso aos dados por causa de um ransomware também se enquadra nessa categoria, pois os dados deixam de estar disponíveis para as pessoas que precisam deles. Muitos dos maiores incidentes, como os apresentados em nossa visão geral dos maiores ataques cibernéticos na Holanda, começaram exatamente com esse tipo de violação de disponibilidade.

Exemplos comuns de vazamentos acidentais de dados no ambiente de trabalho

• E-mail enviado para o destinatário errado. O preenchimento automático seleciona a “Sarah” errada, e um resumo da folha de pagamento acaba indo parar fora da organização. As autoridades de proteção de dados dos dois lados do Atlântico incluem os e-mails enviados para o destinatário errado entre as causas mais comuns das violações relatadas.
• CC em vez de CCO. Um boletim informativo ou uma atualização para os clientes é enviado com o endereço de e-mail de cada destinatário visível para todos os demais.
• Anexo incorreto. Alguém pretende enviar um modelo, mas acaba enviando a versão preenchida com nomes, endereços ou informações médicas.
• Um link de compartilhamento muito aberto. Um documento é compartilhado com “qualquer pessoa que tenha o link”, e o link acaba sendo encaminhado por e-mail ou publicado em um canal público.
• Dispositivos perdidos ou roubados. Um laptop, celular ou pen drive sem criptografia desaparece no caminho de volta para casa.
• Papel e telas. Folhas impressas deixadas na impressora, arquivos dentro de um saco de lixo, uma tela com dados de clientes visíveis aos visitantes.
• Cair no golpe de um e-mail de phishing. Um funcionário insere seus dados de login em uma página falsa, e um invasor obtém acesso a uma caixa de e-mail repleta de dados pessoais.

O que fazer nas primeiras 72 horas após uma violação de dados

1. Comunique o caso internamente, imediatamente. O funcionário que percebeu o erro deve informar seu gerente, o departamento de TI ou o responsável pela proteção de dados. Os prazos legais começam a correr a partir do momento em que a organização toma conhecimento do fato; portanto, um dia de silêncio dentro da equipe é um dia perdido.
2. Minimize os danos. Se possível, solicite a retirada do e-mail, peça ao destinatário para excluí-lo e confirme por escrito, revogue o link de compartilhamento, apague remotamente os dados do dispositivo perdido ou redefina a senha comprometida.
3. Determine o que aconteceu. Quais dados foram afetados, quantas pessoas foram afetadas, qual é o grau de sensibilidade desses dados e quem poderia ter tido acesso a eles? Dados relacionados à saúde, financeiros e sobre crianças têm maior peso.
4. Avalie o risco para as pessoas envolvidas. Isso poderia levar a fraude de identidade, discriminação, prejuízo financeiro ou sofrimento? Essa avaliação determina se você deve notificar um órgão regulador e as pessoas afetadas, de acordo com as regras explicadas a seguir.
5. Notifique quando for necessário. Envie a notificação dentro do prazo, mesmo que nem todos os detalhes sejam conhecidos ainda; geralmente, é possível complementar as informações posteriormente. Informe às pessoas afetadas o que aconteceu e o que elas podem fazer para se protegerem.
6. Registre o ocorrido, mesmo que não o notifique. Mantenha um registro interno de todas as violações, incluindo os fatos, os efeitos e as medidas que você tomou a respeito. De acordo com o GDPR, isso é obrigatório, inclusive para as violações que você decidiu não notificar.
7. Aprenda com isso. Descubra a causa e corrija o processo: uma configuração de preenchimento automático, uma política de compartilhamento, simulações de phishing para a equipe que caiu na armadilha da página de login falsa.

Regras para notificação de violações de dados no Reino Unido, na União Europeia e nos Estados Unidos

As etapas acima se aplicam em qualquer lugar, mas os prazos legais e a quem você deve se reportar dependem do local onde você atua e do setor em que atua.

• Reino Unido. De acordo com o GDPR do Reino Unido, uma violação que possa colocar pessoas em risco deve ser comunicada ao Information Commissioner’s Office (ICO) no prazo de 72 horas após o conhecimento do fato. Se o risco para as pessoas for elevado, é necessário também informá-las sem demora injustificada.
• União Europeia. O RGPD estabelece o mesmo prazo de 72 horas, devendo a notificação ser encaminhada à autoridade nacional de proteção de dados. As organizações sujeitas à NIS2 também podem ter que relatar incidentes significativos ao seu CSIRT nacional ou à autoridade competente: um alerta precoce em até 24 horas, uma notificação em até 72 horas e um relatório final em até um mês.
• Estados Unidos. Não existe uma lei federal única sobre violações de dados. Cada estado possui sua própria lei de notificação, com prazos que variam de “sem demora injustificada” a um número fixo de dias. Além disso, há normas setoriais, como a HIPAA para o setor de saúde, que exige a notificação em até 60 dias, e a norma da SEC, que exige que as empresas de capital aberto divulguem incidentes relevantes em até quatro dias úteis.
• Em todas as regiões. Os contratos também são importantes. Clientes e parceiros costumam exigir que sejam notificados dentro de um determinado número de horas, às vezes inferior ao prazo legal.

Trabalha em vários países? Na UE, as organizações com sede principal geralmente lidam com uma única autoridade responsável. Nos EUA, o estado em que as pessoas afetadas residem determina as regras; portanto, uma única violação pode exigir várias notificações.

Por que os funcionários escondem erros e como mudar isso

O maior risco na gestão de violações de dados não é o erro em si, mas o silêncio que se segue. Um funcionário que enviou um arquivo para o endereço errado geralmente espera que ninguém perceba, especialmente se temer uma reprimenda. Quando a violação vem à tona, o prazo já passou e o dano já se espalhou.

As organizações que lidam bem com violações tornam a notificação fácil e segura. As pessoas sabem exatamente a quem recorrer; a primeira reação é “obrigado por nos informar”, e os erros são discutidos como problemas de processo, e não como falhas pessoais. O treinamento ajuda de duas maneiras: mostra aos funcionários como é uma violação, para que possam reconhecê-la, e transforma a notificação em um hábito praticado, em vez de uma confissão constrangedora.

A dica: evite violações com treinamentos semanais curtos

O Guardey ajuda os funcionários a evitar os erros cotidianos que estão por trás da maioria das violações de segurança. Toda semana, eles recebem um desafio de cerca de três minutos, no laptop ou no aplicativo móvel para iOS e Android, sobre temas como o envio seguro de dados, o compartilhamento de arquivos, o reconhecimento de phishing e a notificação de incidentes. A gamificação, com tabelas de classificação e sequências de dias consecutivos, mantém as pessoas envolvidas; simulações de phishing testam o que aprenderam; e relatórios prontos para auditoria mostram seu progresso em relação ao GDPR, NIS2 e ISO 27001. Mais de 500 organizações, incluindo o Parlamento Europeu, já utilizam o Guardey. Saiba mais sobre nosso treinamento de conscientização em segurança ou veja como abordamos a conscientização sobre privacidade.

Trabalha com um parceiro de TI? Como os MSPs ajudam antes e depois de uma violação de segurança

Muitas organizações de pequeno e médio porte não administram suas próprias infraestruturas de TI, mas contam com um provedor de serviços gerenciados (MSP): uma empresa de TI que cuida de seus sistemas, segurança e suporte mediante uma mensalidade. Quando ocorre uma violação, essa costuma ser a primeira pergunta: é possível recuperar o e-mail, apagar os dados do laptop, saber quais caixas de correio foram acessadas? Se você trabalha com um MSP, pergunte se a prevenção de violações e o treinamento em conscientização sobre segurança fazem parte do seu pacote. Para os MSPs, incluir essa prevenção é um passo lógico para clientes que acabaram de descobrir o quanto um único e-mail errado pode custar caro.

O Guardey está disponível por meio de diversos canais, incluindo a e92plus, uma distribuidora de valor agregado especializada em segurança cibernética para MSPs e revendedores no Reino Unido, na Irlanda, no Benelux e nos países nórdicos. Os MSPs contam com faturamento mensal baseado no consumo e um portal de parceiros para gerenciar as licenças de todos os seus clientes, com o apoio de gerentes de parceria dedicados aos MSPs e suporte de marketing para lançar um novo serviço no mercado. Isso permite que um MSP combine ferramentas de proteção de dados e treinamento em uma única oferta gerenciada.

Perguntas frequentes sobre vazamentos acidentais de dados

É possível ser demitido por uma violação acidental de dados no trabalho?

Um erro cometido de boa-fé e comunicado imediatamente raramente constitui motivo para demissão, embora isso dependa das circunstâncias, da legislação trabalhista local e das políticas da sua empresa. Ocultar uma infração, ignorar procedimentos claros ou repetir o mesmo erro é considerado muito mais grave. Comunicar o ocorrido rapidamente é quase sempre a melhor coisa que você pode fazer, tanto para a organização quanto para você mesmo.

Todas as violações de dados precisam ser comunicadas?

Não. De acordo com o GDPR e o UK GDPR, uma violação só precisa ser comunicada à autoridade competente se houver probabilidade de que ela represente um risco para as pessoas. Nos EUA, as leis estaduais geralmente definem quais tipos de dados exigem uma notificação. Todas as violações devem, ainda assim, ser registradas internamente, incluindo os motivos pelos quais não foram comunicadas.

Quais são alguns exemplos de violações do GDPR?

Exemplos típicos incluem o envio de dados pessoais para o destinatário errado, o uso de CC em vez de CCO, o compartilhamento de um arquivo por meio de um link aberto, a perda de um laptop sem criptografia, deixar arquivos impressos sem supervisão e permitir que um invasor tenha acesso a uma caixa de correio por meio de phishing. A maioria desses casos tem origem em um erro humano, e não em uma falha técnica.

Como evitar vazamentos acidentais de dados?

Combine algumas medidas de segurança técnicas, como envio diferido, criptografia e links de compartilhamento restritos, com treinamentos regulares. Os funcionários que se exercitam a identificar situações de risco cometem menos erros e relatam os que ocorrem com muito mais rapidez.

Nenhuma organização jamais alcançará o nível zero de erros. A diferença está no que acontece nos minutos seguintes a um erro: se o funcionário atende o telefone ou fecha o laptop e torce para que tudo dê certo. Esse reflexo é algo que se pode treinar.