Apoio à conformidade com LGPD, GDPR, PCI DSS, NIST CSF, HIPAA e CMMC

Por que a conformidade define o trabalho técnico

A maioria das empresas não sai procurando um programa de conformidade. Ele chega junto com outra coisa: a LGPD, um cliente grande com um questionário de segurança de onze páginas, a processadora de pagamentos pedindo a documentação do PCI, a renovação de um seguro cibernético que agora quer provas ou um contratante repassando exigências pela cadeia de suprimentos.

É tentador tratar isso como papelada. Não funciona, porque as perguntas são técnicas. Quem tem acesso de administrador, e quando isso foi revisado pela última vez? Como os backups estão protegidos contra ransomware? Por quanto tempo os logs ficam guardados? O que acontece com as contas de alguém que sai da empresa numa sexta-feira à tarde?

Por isso tratamos o framework como uma especificação. Implementamos os controles primeiro e escrevemos a documentação a partir do que está funcionando.

Não sabe onde está?

Comece por um dos nossos seis checklists gratuitos: LGPD, Higiene de TI, GDPR, PCI DSS, NIST CSF ou HIPAA. Cada um leva cerca de cinco minutos, e enviamos por e-mail um relatório com a sua pontuação e uma sugestão de correção para cada lacuna. Não custa nada. Use o relatório para corrigir as coisas por conta própria, entregue ao seu fornecedor de TI atual ou traga para nós. Por enquanto, os checklists estão em inglês.

LGPD para empresas no Brasil

A Lei Geral de Proteção de Dados vale para quase toda empresa que trata dados pessoais no Brasil, e também para empresas de fora que oferecem produtos ou serviços a pessoas no Brasil. Atendemos empresas no Brasil remotamente, em português ou inglês, e cuidamos da parte técnica e operacional:

• Mapeamento de dados. Quais dados pessoais você tem, por quê, onde ficam e quem os acessa, a base para escolher a base legal de cada tratamento.
• Segurança. MFA, acesso por função removido assim que alguém sai, criptografia e backups com uma cópia offline e restauração testada.
• Operadores e transferências. A lista de todos os fornecedores que tratam dados em seu nome, para que contratos e mecanismos de transferência internacional sejam formalizados.
• Resposta a incidentes. Um plano por escrito, registros que mostram o que aconteceu e a capacidade de comunicar a ANPD e os titulares em até três dias úteis.

A nomeação do Encarregado, o aviso de privacidade e as decisões jurídicas ficam com você e o seu advogado. Nós garantimos que a parte técnica sustente o que está no papel.

GDPR para empresas que atendem a Europa

O GDPR, a lei de proteção de dados da União Europeia, vale para empresas estabelecidas na UE e para empresas de qualquer país que atendem pessoas de lá. Se você tem clientes em Portugal ou em outro país europeu, ele provavelmente se aplica. A lógica é muito parecida com a da LGPD: registro das atividades de tratamento, segurança, contratos com operadores e comunicação de violações, neste caso em até 72 horas. Quem se adequa a uma lei já tem boa parte do caminho feito para a outra.

PCI DSS para empresas que aceitam cartão

Se você aceita cartão de crédito ou débito, a adquirente ou processadora de pagamentos espera que você siga o PCI DSS. Para a maioria das pequenas e médias empresas, isso significa preencher um Questionário de Autoavaliação (SAQ) todo ano e, muitas vezes, fazer varreduras externas de vulnerabilidade a cada trimestre. O trabalho que facilita tudo isso:

• Escopo. Encontrar todo sistema que armazena, processa ou transmite dados de cartão. Quanto menos sistemas no escopo, menos há para proteger e documentar.
• Segmentação. Manter maquininhas e sistemas de pagamento numa rede própria, para que computadores do escritório, o Wi-Fi de visitantes e todo o resto fiquem fora do escopo.
• O SAQ certo. Existem várias versões, e a certa depende de como você recebe pagamentos. Ajudamos a escolher e a responder com precisão.
• Controles essenciais. Autenticação multifator, logs, atualizações, configurações seguras e revisões de acesso nos sistemas dentro do escopo.
• Varreduras trimestrais. Coordenamos com o seu fornecedor de varredura aprovado (ASV) e corrigimos o que as varreduras encontrarem.

Nós não atestamos a sua conformidade. Isso é feito pelo seu SAQ ou, para estabelecimentos maiores, por um QSA. Fazemos o trabalho técnico e ajudamos você a montar respostas que se sustentam.

NIST Cybersecurity Framework 2.0

O NIST CSF é a linguagem comum mais prática para explicar o seu nível de segurança a um conselho, uma seguradora ou um cliente grande, inclusive multinacionais. A versão 2.0 acrescentou a função Governar, e é aí que a maioria das pequenas e médias empresas tem a maior lacuna.

No fim, você tem um retrato de onde está hoje, uma meta que cabe na sua tolerância a risco e no seu orçamento, e um plano para ir de um ponto ao outro.

Salvaguardas da HIPAA Security Rule

Se a sua empresa lida com informações de pacientes nos EUA, ou presta serviços para quem lida, há salvaguardas administrativas, físicas e técnicas a cumprir. As técnicas são onde a TI gerenciada faz a maior parte do trabalho.

• Controle de acesso. Logins individuais, permissões por função, procedimentos de acesso de emergência, logoff automático e criptografia dos dados armazenados.
• Controles de auditoria. Logs em todos os sistemas com informações de pacientes, guardados por tempo suficiente para apoiar uma investigação.
• Integridade e segurança na transmissão. Criptografia em trânsito, proteção contra alterações não autorizadas e formas controladas de compartilhar dados com terceiros.
• Planejamento de contingência. Backups, recuperação de desastres e operação de emergência, com restaurações testadas.
• Análise de risco. Por escrito, datada e revisada, com as correções acompanhadas até o fim.

CMMC para a cadeia de suprimentos de defesa dos EUA

Fabricantes e fornecedores que lidam com informações não classificadas controladas (CUI) do governo dos EUA são avaliados contra as práticas do NIST SP 800-171. A preparação cobre três coisas: escopo, implementação e evidências.

• Definir quais sistemas, pessoas e instalações tocam em CUI e traçar um limite defensável
• Implementar as práticas técnicas: controle de acesso, logs de auditoria, gestão de configuração, identificação e autenticação, resposta a incidentes, proteção de mídia e integridade de sistemas
• Apoiar o plano de segurança do sistema e o plano de ação e marcos (POA&M)
• Reunir as evidências no formato que os avaliadores esperam, antes de a avaliação ser agendada

Como funciona um programa de conformidade

1. Escopo e avaliação de lacunas. Inventariamos o seu ambiente, comparamos com o framework e classificamos cada lacuna por risco e custo de correção.
2. Plano de correção. Um plano por escrito com responsáveis, ordem e orçamento, para que as lacunas de maior risco sejam fechadas primeiro.
3. Implementação. O trabalho técnico: reforço das contas, logs, criptografia, redesenho de backup, segmentação de rede, cobertura de dispositivos e revisões de acesso.
4. Coleta de evidências. Registros de ativos, revisões de acesso, resultados de testes de restauração, aceites de políticas e exportações de configuração, reunidos durante o trabalho em vez de às pressas no fim.
5. Reavaliação. Uma revisão periódica, para que problemas sejam pegos cedo e a próxima auditoria seja rotina.

Conformidade é uma competência, não um setor

A disciplina é a mesma, seja a LGPD numa empresa brasileira, o GDPR numa empresa com clientes na Europa, o PCI DSS numa loja, a HIPAA numa clínica, o CMMC numa metalúrgica, perguntas de SOC 2 de um cliente corporativo ou uma seguradora pedindo prova de autenticação multifator antes da renovação. Se pedem que você comprove a sua segurança, e não só descreva, vamos conversar.