Muitas violações de dados não se devem a hackers geniais, mas a pequenos descuidos de todos os dias: uma palavra-passe fraca, um email enviado à pessoa errada ou um clique numa ligação falsa. O pessoal é uma parte essencial da segurança.
O dever de confidencialidade
O artigo 5.º da LOPDGDD diz que o responsável, o subcontratante e todas as pessoas que intervêm em qualquer fase do tratamento estão sujeitos ao dever de confidencialidade. Esse dever mantém-se mesmo depois de terminar a relação com a empresa. Ou seja, continuará obrigado a guardar segredo quando mudar de emprego.
O artigo 32.º do RGPD obriga a empresa a aplicar medidas técnicas e organizativas adequadas ao risco. Algumas dependem da direção, como a cifragem e as cópias de segurança. Outras dependem de si.
Boas práticas de todos os dias
- Palavras-passe. Use palavras-passe longas e diferentes para cada serviço. Não as partilhe, não as aponte num papel colado ao monitor e ative a autenticação em dois passos, se estiver disponível.
- Ecrã bloqueado. Bloqueie o computador de cada vez que se levantar.
- Secretária limpa. Não deixe papéis com dados à vista. Guarde os documentos em armários fechados e destrua os de que já não precisa na trituradora ou nos contentores indicados.
- Impressoras. Recolha logo o que imprimir.
- Correio eletrónico. Confirme o destinatário antes de enviar. Use a cópia oculta (Bcc) se escrever a várias pessoas que não se conhecem entre si. Quando anexar dados delicados, utilize as vias seguras que a empresa tenha indicado.
- Dispositivos. Use apenas equipamentos e programas autorizados. Não copie dados para pens USB nem para contas pessoais de armazenamento na nuvem, salvo se a empresa o permitir.
- Conversas. Não fale de dados de clientes ou colegas em locais públicos, nos transportes ou no elevador.
- Teletrabalho. Trabalhe a partir de uma rede de confiança, não de um wifi público sem proteção, e evite que familiares ou visitas vejam o ecrã.
O que é o phishing
O phishing é um engano, normalmente por email, mensagem de texto ou chamada, em que alguém se faz passar por um banco, um fornecedor, um colega ou a direção para que entregue dados ou faça algo. Alguns sinais:
- há urgência ou ameaça («a sua conta será encerrada hoje»)
- o remetente ou a ligação parece quase correto, mas tem letras trocadas
- pede-se uma palavra-passe, um pagamento ou uma mudança de conta bancária
- há um anexo ou uma ligação que não esperava
Se suspeitar, não clique, não abra o anexo e não responda. Verifique por outro canal, por exemplo ligando à pessoa para um número que já conheça, e avise o responsável de informática ou de segurança da sua empresa. Avise depressa: se já clicou ou escreveu a sua palavra-passe, conte-o de imediato. Escondê-lo agrava o dano.
Quem liga a pedir dados
Existem também as chamadas em que alguém se faz passar por um cliente, um agente ou um dirigente. Antes de dar dados, confirme a sua identidade e o seu direito a recebê-los. É preferível demorar uns minutos a entregar dados a quem não deve.
Lembre-se: a segurança dos dados é um hábito diário. Um pequeno descuido pode ter grandes consequências, e avisar cedo ajuda sempre.