Fuga acidental de dados no trabalho: o que fazer nas primeiras 72 horas

Se causares uma violação acidental de dados no trabalho, comunica-a internamente de imediato, normalmente ao teu responsável, à equipa de TI ou ao responsável pela proteção de dados. Não tentes resolver o problema às escondidas e não esperes até saberes a gravidade da situação. No Reino Unido e na UE, uma organização tem 72 horas a partir do momento em que toma conhecimento de uma violação para notificar a autoridade de proteção de dados, caso haja pessoas em risco. Nos EUA, os prazos dependem do estado e do setor, mas o prazo também começa a contar assim que a organização toma conhecimento do problema. Cada hora que um colaborador hesita conta contra esse prazo.

A maioria das fugas de dados não é obra de hackers. Começam com um erro comum: um e-mail enviado à pessoa errada, uma folha de cálculo anexada por acidente, um portátil esquecido num comboio. Este artigo explica o que se considera uma fuga de dados, apresenta exemplos comuns, descreve passo a passo as primeiras 72 horas, expõe as regras de notificação no Reino Unido, na UE e nos EUA e explica como garantir que as pessoas comuniquem os erros em vez de os esconderem.

O que se considera uma violação de dados?

Uma violação de dados pessoais é qualquer incidente de segurança que resulte na perda, destruição, alteração, divulgação ou acesso não autorizado a dados pessoais. Não importa se foi de propósito ou por acidente, nem tem de envolver um ciberataque. Se a pessoa errada puder ver, alterar ou perder dados sobre alguém, isso é uma violação.

Uma violação também não se resume apenas a fugas de informação. Apagar um ficheiro de um cliente sem ter uma cópia de segurança ou perder o acesso aos dados devido a ransomware também conta, porque os dados deixam de estar disponíveis para quem precisa deles. Muitos dos maiores incidentes, como os que constam da nossa visão geral dos maiores ciberataques na Holanda, começaram precisamente com esse tipo de violação de disponibilidade.

Exemplos comuns de fugas acidentais de dados no trabalho

• Um e-mail enviado para o destinatário errado. A função de preenchimento automático escolhe a «Sarah» errada e um resumo da folha de pagamentos acaba por chegar a alguém fora da organização. As autoridades de proteção de dados de ambos os lados do Atlântico incluem os e-mails enviados para o destinatário errado entre as causas mais comuns das violações de dados comunicadas.
• CC em vez de CCO. Quando se envia uma newsletter ou uma atualização para os clientes, os endereços de e-mail de todos os destinatários ficam visíveis para todos os outros.
• O anexo errado. Alguém quer enviar um modelo e acaba por enviar a versão preenchida com nomes, moradas ou dados médicos.
• Um link de partilha demasiado aberto. Um documento é partilhado com «qualquer pessoa que tenha o link», e o link acaba por aparecer num e-mail reencaminhado ou num canal público.
• Dispositivos perdidos ou roubados. Um portátil, telemóvel ou pen USB sem encriptação desaparece a caminho de casa.
• Papel e ecrãs. Folhas impressas deixadas na impressora, ficheiros num saco do lixo, um ecrã com dados de clientes à vista dos visitantes.
• Cair num e-mail de phishing. Um colaborador introduz os seus dados de acesso numa página falsa e um atacante consegue aceder a uma caixa de correio cheia de dados pessoais.

O que fazer nas primeiras 72 horas após uma violação de dados

1. Comunica o caso internamente, de imediato. O colaborador que detectou o erro deve informar o seu responsável, o departamento de TI ou o responsável pela proteção de dados. Os prazos legais começam a contar a partir do momento em que a organização toma conhecimento do caso, por isso, um dia de silêncio dentro da equipa é um dia perdido.
2. Minimiza os danos. Se possível, retira o e-mail, pede ao destinatário para o apagar e confirma por escrito, revoga o link de partilha, apaga remotamente o dispositivo perdido ou repõe a palavra-passe comprometida.
3. Descobre o que aconteceu. Que dados estiveram envolvidos, quantas pessoas foram afetadas, quão sensíveis são esses dados e quem poderá tê-los visto? Os dados relativos à saúde, às finanças e às crianças têm maior importância.
4. Avalia o risco para as pessoas envolvidas. Será que isto pode levar a fraude de identidade, discriminação, prejuízos financeiros ou sofrimento? Essa avaliação determina se tens de notificar uma entidade reguladora e as pessoas afetadas, de acordo com as regras explicadas abaixo.
5. Notifica sempre que for necessário. Apresenta a notificação a tempo, mesmo que ainda não se saibam todos os pormenores; normalmente, podes acrescentar informações mais tarde. Diz às pessoas afetadas o que aconteceu e o que podem fazer para se protegerem.
6. Regista tudo, mesmo que não o comuniques. Mantém um registo interno de todas as violações, com os factos, as consequências e o que fizeste a esse respeito. Ao abrigo do RGPD, isto é obrigatório, mesmo para as violações que decidiste não comunicar.
7. Tira lição disso. Descobre a causa e corrige o processo: uma configuração de preenchimento automático, uma política de partilha, simulações de phishing para a equipa que caiu na armadilha da página de login falsa.

Regras de notificação de violações de dados no Reino Unido, na UE e nos EUA

Os passos acima aplicam-se em qualquer lugar, mas os prazos legais e a quem tens de prestar contas dependem do local onde operas e do setor em que te inseres.

• Reino Unido. Ao abrigo do RGPD do Reino Unido, uma violação que possa colocar as pessoas em risco tem de ser comunicada ao Gabinete do Comissário da Informação (ICO) no prazo de 72 horas após se ter tomado conhecimento da mesma. Se o risco para as pessoas for elevado, também tens de as informar sem demora injustificada.
• União Europeia. O RGPD estabelece o mesmo prazo de 72 horas, devendo a notificação ser enviada à autoridade nacional de proteção de dados. As organizações abrangidas pela NIS2 também podem ter de comunicar incidentes significativos ao seu CSIRT nacional ou à autoridade competente: um alerta precoce no prazo de 24 horas, uma notificação no prazo de 72 horas e um relatório final no prazo de um mês.
• Estados Unidos. Não existe uma lei federal única sobre violações de dados. Cada estado tem a sua própria lei de notificação, com prazos que variam entre «sem demora injustificada» e um número fixo de dias. A isto juntam-se as regras setoriais, como a HIPAA para os cuidados de saúde, que exige a notificação no prazo de 60 dias, e a regra da SEC que obriga as empresas cotadas a divulgar incidentes relevantes no prazo de quatro dias úteis.
• Em todas as regiões. Os contratos também são importantes. Os clientes e parceiros exigem, muitas vezes, que sejam notificados dentro de um determinado número de horas, por vezes um prazo mais curto do que o previsto na lei.

Trabalhas além-fronteiras? Na UE, as organizações com sede principal costumam lidar com uma única autoridade responsável. Nos EUA, é o estado onde as pessoas afetadas vivem que determina as regras, pelo que uma única violação pode dar origem a várias notificações.

Por que é que os funcionários escondem os erros e como mudar isso

O maior risco na gestão de fugas de dados não é o erro em si, mas sim o silêncio que se segue. Um colaborador que enviou um ficheiro para a morada errada muitas vezes espera que ninguém repare, especialmente se tiver medo de levar uma reprimenda. Quando a fuga vem à tona, o prazo já passou e o dano já se espalhou.

As organizações que lidam bem com as violações tornam a comunicação fácil e segura. As pessoas sabem exatamente a quem recorrer, a primeira reação é «obrigado por nos teres avisado» e os erros são discutidos como problemas de processo, em vez de falhas pessoais. A formação ajuda de duas formas: mostra aos colaboradores como é uma violação, para que a consigam reconhecer, e transforma a comunicação numa prática habitual, em vez de uma confissão embaraçosa.

A dica: evita violações com uma breve formação semanal

O Guardey ajuda os colaboradores a evitar os erros do dia a dia que estão na origem da maioria das violações de segurança. Todas as semanas, recebem um desafio de cerca de três minutos, no portátil ou na aplicação móvel para iOS e Android, sobre temas como o envio seguro de dados, a partilha de ficheiros, o reconhecimento de phishing e a comunicação de incidentes. A gamificação, com tabelas de classificação e séries de dias consecutivos, mantém as pessoas envolvidas; as simulações de phishing testam o que aprenderam e os relatórios prontos para auditoria mostram o teu progresso em relação ao RGPD, à NIS2 e à ISO 27001. Mais de 500 organizações, incluindo o Parlamento Europeu, já utilizam o Guardey. Lê mais sobre a nossa formação em sensibilização para a segurança ou descobre como abordamos a sensibilização para a privacidade.

Trabalhas com um parceiro de TI? Como os MSPs ajudam antes e depois de uma violação de segurança

Muitas organizações de pequena e média dimensão não gerem as suas próprias TI, mas recorrem a um prestador de serviços geridos (MSP): uma empresa de TI que cuida dos seus sistemas, segurança e assistência técnica por uma mensalidade. Quando ocorre uma violação, essa é normalmente a primeira pergunta: é possível recuperar o e-mail, apagar os dados do portátil, saber quais as caixas de correio a que se acedeu? Se trabalhas com um MSP, pergunta se a prevenção de violações e a formação em sensibilização para a segurança fazem parte do teu pacote. Para os MSPs, incluir essa prevenção é um passo lógico para os clientes que acabaram de perceber o quão caro um único e-mail errado pode sair.

O Guardey está disponível através de vários canais, incluindo a e92plus, um distribuidor de valor acrescentado especializado em cibersegurança para MSPs e revendedores no Reino Unido, na Irlanda, no Benelux e nos países nórdicos. Os MSPs têm faturação mensal baseada no consumo e um portal de parceiros para gerir as licenças de todos os seus clientes, com o apoio de gestores de parceiros MSP dedicados e apoio de marketing para lançar um novo serviço no mercado. Isso permite que um MSP combine ferramentas de proteção de dados e formação numa única oferta gerida.

Perguntas frequentes sobre fugas acidentais de dados

Podes ser despedido por uma fuga de dados acidental no trabalho?

Um erro involuntário que seja comunicado de imediato raramente constitui motivo para despedimento, embora isso dependa das circunstâncias, da legislação laboral local e das políticas da tua entidade patronal. Esconder uma infração, ignorar procedimentos claros ou repetir o mesmo erro é considerado muito mais grave. Comunicar rapidamente é quase sempre a melhor coisa que podes fazer, tanto para a organização como para ti próprio.

É preciso comunicar todas as violações de dados?

Não. Ao abrigo do RGPD e do RGPD do Reino Unido, só é preciso comunicar uma violação à autoridade competente se for provável que essa violação represente um risco para as pessoas. Nos EUA, as leis estaduais costumam definir que tipos de dados exigem uma notificação. Todas as violações devem, mesmo assim, ser registadas internamente, incluindo os motivos pelos quais não foram comunicadas.

Quais são alguns exemplos de violações do RGPD?

Exemplos típicos são enviar dados pessoais para o destinatário errado, usar CC em vez de CCO, partilhar um ficheiro com um link aberto, perder um portátil sem encriptação, deixar ficheiros impressos sem vigilância e dar a um atacante acesso a uma caixa de correio através de phishing. A maioria começa com um erro humano, e não com uma falha técnica.

Como é que se evita fugas acidentais de dados?

Combina algumas medidas de segurança técnicas, como o envio diferido, a encriptação e os links de partilha restritos, com formação regular. Os colaboradores que se habituam a reconhecer situações de risco cometem menos erros e comunicam os que ocorrem muito mais rapidamente.

Nenhuma organização vai conseguir chegar a zero erros. A diferença está no que acontece nos minutos a seguir a um erro: se o colaborador pega no telefone ou fecha o portátil e fica à espera que tudo corra bem. Esse reflexo é algo que se pode treinar.