A privacidade dos dados e o controlo de quem pode e deve ter acesso aos mesmos deverá preocupar-nos cada vez mais, nomeadamente à luz da nova legislação sobre a proteção de dados pessoais que se encontra em fase final de aprovação nas instâncias comunitárias competentes e se espera entre em vigor em breve. Sempre que dados pessoais são armazenados, partilhados ou acedidos sem qualquer tipo de proteção aplicada, estão em risco de perda, utilização danosa ou acesso não autorizado.
Em mais de 80 países, a informação de identificação pessoal é protegida por leis de privacidade que estabelecem os limites na obtenção e uso desta informação, tanto por entidades públicas como privadas e ainda por indivíduos. Estas leis requerem normalmente que a entidade forneça informação clara ao indivíduo do tipo de dados que vão ser recolhidos, as finalidades da recolha e como vai fazer uso da mesma. Em quadros jurídicos baseados no consentimento, o consentimento explícito do indivíduo é necessário. Pode ser ainda necessária a autorização da entidade pública reguladora, nomeadamente quanto à finalidade da recolha pretendida.
Realidades como a Cloud e o Bring Your Own Device oferecem desafios enormes ao controlo de acessos e utilização da informação. Os utilizadores estão preocupados com o roubo ou extravio da sua identidade, e as entidades encaram a necessidade de se protegerem contra descuidos ou ataques em múltiplas frentes, incluindo ameaças internas, isto é, oriundas do interior das suas próprias organizações.
Para mitigar estes riscos há que definir políticas de segurança de informação que estabeleçam que tipo de informação necessita ser protegida, quem deve aceder aos dados, com que nível de acesso, e em que contexto.
Em paralelo, é necessário que as soluções tecnológicas a implementar sejam capazes de respeitar e implementar as políticas de segurança de informação, à luz das obrigações que lhes são impostas: 1) a informação existe para estar acessível e partilhada entre pessoas e aplicações, 2) a informação é armazenada cada vez de forma mais dispersa, 3) as infraestruturas de IT são persistentemente externalizadas para obedecer a economias de escala, e 4) os utilizadores requerem o acesso à informação em qualquer plataforma ou dispositivo.
Em suma, informação de identificação pessoal, juntamente com propriedade intelectual e informação financeira, são, comumente, consideradas as jóias na coroa da segurança da informação. Os dados pessoais – a informação que pode ser usada para distinguir ou identificar um individuo – deve ser identificada e classificada como tal, e encriptada quando está guardada, transmitida e a ser manuseada, entre indivíduos ou sistemas.
Implementar políticas que definam quem, como, onde, quando e de que forma se pode aceder a informação, e ainda implementar soluções tecnológicas de segurança de informação centradas nos dados, são passos necessários para assegurar a segurança da informação onde quer que ela esteja.
Rui Melo Biscaia
Watchful Software
