Controle de acesso e medidas de segurança segundo o guia da ANPD

Conhecer os pilares da segurança (confidencialidade, integridade e disponibilidade) é o começo; as provas de informática e de LGPD também perguntam o que fazer na prática. O Guia Orientativo sobre Segurança da Informação da ANPD organiza as medidas em administrativas e técnicas e serve de roteiro. Este guia resume esse documento, liga cada medida à LGPD e mostra como as questões costumam cobrá-las. Para golpes e malwares, veja o guia de ameaças e golpes digitais.

Base legal: o que a LGPD exige

A Lei 13.709/18 (LGPD) tem como princípio a segurança (art. 6º, VII): usar medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão. Os arts. 46 a 49 detalham o dever:

Art. 46: os agentes de tratamento devem adotar essas medidas, e elas valem desde a fase de concepção do produto ou serviço até a execução (§ 2º).
Art. 47: quem intervém em qualquer fase do tratamento deve garantir a segurança da informação, mesmo após o término do tratamento.
Art. 48: o controlador comunica à autoridade nacional e ao titular o incidente que possa acarretar risco ou dano relevante.
Art. 49: os sistemas devem ser estruturados para atender aos requisitos de segurança, aos padrões de boas práticas e de governança e aos princípios da lei.

O guia da ANPD é dirigido a agentes de tratamento de pequeno porte e declara que não tem efeito normativo vinculante: trata-se de boas práticas. Ainda assim, a lógica das medidas é a mesma cobrada em prova.

Medidas administrativas

Política de segurança da informação (PSI). Conjunto de diretrizes e regras para planejar, implementar e controlar ações de segurança. O guia afirma que não é obrigatória, mas é incentivada porque evidencia boa-fé e diligência. Deve prever revisão periódica e tratar de cópias de segurança, uso de senhas, acesso à informação, compartilhamento de dados, atualização de softwares, e-mail e antivírus.

Conscientização e treinamento. As pessoas são o fator preponderante. O guia lista orientações práticas: não compartilhar logins e senhas, bloquear o computador ao se afastar, guardar documentos físicos com dados pessoais em gavetas e não sobre as mesas, não clicar em links desconhecidos (phishing) e informar incidentes.

Gestão de contratos. Termos de confidencialidade (NDA) com funcionários e cláusulas de segurança em contratos com fornecedores, inclusive de TI terceirizada, com regras sobre compartilhamento e sobre a relação entre controlador e operador.

Controle de acesso: autenticação, autorização e auditoria

O guia define controle de acesso como a medida que garante que os dados sejam acessados somente por pessoas autorizadas, em três processos:

Processo	Pergunta que responde	Exemplo
Autenticação	Quem está acessando?	Login com senha, token ou aplicativo autenticador
Autorização	O que esse usuário pode fazer?	Leitura, edição ou exclusão conforme o perfil
Auditoria	O que foi feito e por quem?	Registro (log) de acessos e alterações

Menor privilégio

A premissa é o princípio do menor privilégio (need to know): cada usuário recebe o menor nível de acesso necessário para suas tarefas. Funções de alto nível, como administrador de sistema, ficam restritas a quem precisa exercê-las e pode assumir a responsabilidade.

Senhas e MFA

O guia recomenda: sistema que não aceite senhas abaixo de certo nível de complexidade (tamanho, caractere especial); troca das senhas padrão (default) de fábrica, pois atacantes as testam; proibição de contas e senhas compartilhadas, “vetor crítico de vulnerabilidade”; e, preferencialmente, autenticação multifator (MFA), que exige duas formas de autenticação, como código por SMS ou e-mail, aplicativo autenticador ou token.

Exemplo resolvido. Dois estagiários usam o mesmo login “financeiro” de um sistema. Um apaga um registro. Qual medida falhou? A autenticação individual, porque o login é compartilhado; sem ela, a auditoria não identifica quem agiu. Se um dos dois ainda tem permissão de exclusão sem precisar dela, o menor privilégio também foi violado.

Medidas técnicas: dados em repouso e em trânsito

O guia distingue a segurança dos dados armazenados (em repouso) e a das comunicações (em trânsito).

Dados armazenados.

Coletar apenas o necessário (princípio da necessidade, art. 6º, III): guardar dados “porque um dia podem ser úteis” não é prática adequada.
Para dados sensíveis, dificultar a identificação do titular com pseudonimização; a criptografia é citada como exemplo da técnica. A pseudonimização é o tratamento pelo qual o dado perde a associação direta ou indireta com um indivíduo, salvo pelo uso de informação adicional mantida separadamente pelo controlador em ambiente seguro (art. 13, § 4º, da LGPD, citado no guia).
Evitar copiar dados para pendrives e discos externos; se imprescindível, inventariar, cifrar e guardar em local seguro.
Backup: feito regularmente, de forma completa, em local seguro e distinto dos dispositivos principais, e sem sincronização online em tempo real, para que um ransomware não corrompa também a cópia. Para os tipos de backup, veja completo, incremental e diferencial.
Descarte: formatar as mídias antes de descartar; quando não for possível (CDs e DVDs), destruir fisicamente, o que vale também para papel; com terceiros, contrato que registre a destruição.

Dados em trânsito. Usar conexões cifradas (TLS/HTTPS) ou aplicativos com criptografia ponta a ponta; cifrar e-mails ou anexos com informações sensíveis; gerenciar o tráfego com firewall (e WAF para serviços web) e proteger o e-mail com antivírus, antispam e filtros; remover dados pessoais desnecessários de páginas públicas. Para chaves e assinaturas, veja criptografia.

Vulnerabilidades, dispositivos móveis e nuvem

Gerenciamento de vulnerabilidades: acompanhar e instalar as correções de segurança (patches), manter antivírus ou antimalware ativo, atualizado, com varreduras periódicas e que o usuário não consiga desativar.
Hardening (nota do guia): desabilitar serviços desnecessários, trocar senhas padrão e configurar com segurança os serviços expostos na internet. O guia cita, com base em estudo do CERT.br e do Cetic.br, que manter softwares atualizados, fazer hardening e melhorar a identificação e a autenticação estão entre as medidas de maior impacto.
Dispositivos móveis: mesmos controles dos demais equipamentos (inclusive MFA), separação entre uso pessoal e institucional, guarda segura e recurso de apagamento remoto.
Nuvem: contrato com acordo de nível de serviço (SLA) que contemple a segurança dos dados, avaliação do serviço frente aos requisitos definidos e MFA no acesso.

Como as questões cobram

Identificar a medida: “login individual e registro de acessos” remete a autenticação e auditoria.
Trocar o conceito: autenticação não é autorização; a primeira prova quem você é, a segunda define o que pode fazer.
Backup: a alternativa que diz “sincronizar o backup em tempo real” é a pegadinha, pois propaga o ransomware.
Obrigatoriedade: PSI e o guia são boas práticas, não exigências expressas da lei; o dever legal é o de adotar medidas aptas (arts. 46 e 49).

Erros comuns

Achar que MFA é “duas senhas”: são dois fatores de naturezas diferentes (por exemplo, algo que você sabe e algo que você tem).
Confundir criptografia (proteção do conteúdo) com pseudonimização (retirada da associação direta ao titular); a criptografia é apenas um exemplo de técnica.
Dizer que antivírus dispensa atualização de sistema: são medidas complementares.
Tratar o comunicado de incidente (art. 48) como medida do guia; o próprio guia diz que o tema é tratado em norma específica.

Próximos passos

Estude os princípios e a visão geral da LGPD.
Aprofunde no uso da LGPD no poder público.
Revise os navegadores, e-mail e segurança.

Fontes e atualização

Conferido nas fontes acima na data de publicação deste guia. O guia da ANPD é orientativo e pode ser atualizado; a LGPD tem alterações posteriores, então confira a redação vigente e o que o edital indica.