Aplicando a Metodologia 5W2H para a LGPD - Parte I

Foto criada por rawpixel.com - br.freepik.com

LGPD em vigor

Se você é daqueles que só acredita vendo, pois é, a LGPD chegou! E se havia uma certa confusão sobre o que e como fazer, agora temos que correr contra o tempo para entender os nossos processos e adequá-los a Lei Geral de Proteção de Dados. Antes de pensarmos em ferramentas que serão fundamentais para nos auxiliar, devemos repensar nossos processos e análise de negócios e como isso me afeta e pode afetar futuramente com base legal nos artigos dispostos.

Mas por que isso é tão importante?

Imagine que você está prestes a implantar uma solução DLP (Data Loss Prevention), busca por soluções de primeira linha e no processo de

implantação batemos na primeira trave: como meus processos internos interferem na DLP? Não é simplesmente configurar boas práticas e tudo está perfeito. Claro, isso irá dificultar o processo de uma ataque, por exemplo, mas não irá garantir o todo, já que não sabemos como o passo a passo das nossas atividades diárias são feitas, suas vulnerabilidades e como podemos melhorá-las bem como para qualquer outra situação parecida.

Mudança de cultura

Ainda sobre os pontos de melhorias internos, outro fator crucial durante essa transição é a mudança de cultura dos colaboradores. A LGPD está aí, chegou a hora de a hora de sentar com todas equipes e alinharmos alguns pontos, como: 

• Evitar o negligenciamento no uso de e-mails, navegadores, sistemas, entre outros, fazendo com que o cofre de dados esteja com a porta aberta facilmente.

• Quem tem acesso a o que? Realmente precisamos de tudo isso?

• O famoso #sextou nas redes sociais com o print da tela contendo dados a serem tratados.

• Entendimento dos papéis do Data Protection Officer, Controlador e Operadores.

• Entre outros.

Metodologia 5w2h para mapeamento de dados

Agora que entendemos nossos processos internos e preparamos as equipe, chegou o momento de mapear os dados que armazenamos e consequentemente vamos tratar e monitorar. Com a metodologia 5W2H conseguimos definir um step by step com o por quê precisamos daquele dado e até quanto isso irá custar caso haja algum problema que não esteja em compliance com a LGPD.

5W

2H

Na prática

Abaixo veremos um exemplo simples para questionamentos do dia a dia para antes, durante e após a implantação da LGPD.  

No final deste texto você será capaz de responder as questões abaixo:

• Quais tipos de dados irei tratar?

• Preciso deste dado?

• Onde armazená-lo?

• Quem terá acesso?

• Tenho relatórios de consentimento (interno e externo) e monitoramento contínuo?

What - o que será feito?

Segregação dos níveis de acesso por meio de software aos contratos, propostas e leads para melhoria no data protection, para garantir que os usuários possuem acesso somente ao que diz respeito a ele.

Why - por que será feito?

Contrato de suporte / Venda / Orçamento.

Where – onde será feito?

Software Cloud de CRM* - Customer Relationship Management.

When – quando será feito?

Qualificação de Lead*

Who – por quem será feito?

Gerente de Contas: permissão para realizar CRUD* dos próprios leads e dos subordinados.

How – como será feito?

• Grupos de permissão

• Perfis de acesso

• Habilitação de MFA*

• Uso de VPN*

• Auditoria

• Monitoramento com alertas UEBA - User and Entity Behavior Analytics*.

How much – como será feito?

Licença por usuário: U$65

+Add licença do gestor por usuário: U$2

+Add licença de monitoramento UEBA: U$ 5

*CRM - Customer Relationship Management: tecnologia para gerenciamento de relacionamento e interações com clientes e clientes em potencial.

*Lead - Contatos que possuem interesse na aquisição do seu produto/serviço.

*CRUD - create (criação), read (leitura), update (atualização) e delete (exclusão) em um banco de dados, como por exemplo, o ato de adicionar um novo lead.

*MFA - Autenticação multifatores que garante uma camada a mais de segurança no acesso a dispositivos e aplicações. Geralmente é utilizado códigos de SMS, e-mail entre outros, que complementarão sua senha.

*VPN - Virtual Private Network (rede virtual privada) protege sua conexão privada, como exemplo, acesso à sistemas internos somente por essa rede.

*UEBA - Análise de comportamento de usuários e entidades, onde é monitorado o uso habital em sistemas como login, exclusão de arquivos, entre outros. Onde ao fugir desse padrão usual tanto o usuário, como a entidade, é avaliado um possível ataque e/ou vulnerabilidade.

Fim da Tarefa?

Não existe uma fórmula mágica, receita de bolo, ou uma única ferramenta que vai te deixar em "compliance" automaticamente. 

A conformidade começa no momento que começamos a nos importar com o tratamento de dados e ela nunca vai ter um fim. Provavelmente agora, a mudança cultural pode parecer a parte mais difícil, mas manter esse ciclo em funcionamento não será nada fácil.

É preciso ter disposição para entender suas necessidades para que encontre recursos para te auxiliar da melhor forma possível neste novo desafio.

Este artigo foi escrito por Aryel Evelin Vieira Garcia e publicado originalmente em Prensa.li.