"Ih, vazou": guia do startupeiro para vazamentos de dados

*Por Guilherme Guidi* e Eugênio Corassa**

O vazamento de dados continua sendo um bicho-papão para qualquer empresa, inclusive para as startups. Não é incomum ver notícias de grandes empresas que são alvos de ataques e incidentes cibernéticos. Essas notícias se tornaram, no mínimo, mais comuns com a entrada em vigor da LGPD, que impôs às organizações regras e obrigações com relação á governança de dados, incluindo de segurança da informação. A preocupação com o tema inclusive levou o governo a lançar uma consulta pública sobre o combate ao ransomware no Brasil, um tipo de ataque extremamente perigoso que compromete dados e pode interromper a operação de uma empresa.

Num contexto cada vez mais data driven, em que a proteção dos dados é igualmente essencial para a confiança dos clientes e para o sucesso do negócio, vazamentos de dados podem representar um obstáculo. Embora um incidente de segurança da informação seja algo inevitável para qualquer empresa em algum momento de seu ciclo de vida, isso não significa que o tema possa ser ignorado.

Assim, vamos tentar responder algumas perguntas sobre vazamento de dados: O que é? Como lidar para prevenir, remediar e se preparar para o futuro? Porque esse tema é importante e como a minha startup deve enfrentá-lo? Ficou curioso(a)? O nosso texto é para você que está pensando se deixa de lado segurança da informação e paga para ver.

No fim das contas, o que é um vazamento de dados?

O vazamento de dados é um dos mais conhecidos tipos de incidente de segurança e violação de dados, e ocorre quando dados são indevidamente acessados, coletados e divulgados ou repassados a terceiros. Esse incidente pode ter as mais diversas origens, desde falhas ou invasão de sistemas, políticas de segurança deficientes, configurações incorretas de armazenamento, até ataques de hackers e cibercriminosos. Vazamentos podem ser resultado sim da ação de criminosos, mas frequentemente são associados a erros humanos e exposição acidental de dados.

Dá-se um maior destaque para esse tipo de incidente em razão dos potenciais impactos para os clientes, como fraudes, tentativas de golpes e uso indevido dos dados. Além disso, esses incidentes podem gerar uma perda de credibilidade para a empresa, especialmente quando não lidam com o problema com o devido cuidado e/ou quando tentam esconder e menosprezar o ocorrido.

Incidentes, como o vazamento de dados, também podem representar um custo para as organizações. A IBM, gigante da tecnologia, estima que o custo médio global de uma violação de dados é de 4,88 milhões de dólares. 

Mesmo que nem todo incidente resulte num dever de pagar indenizações aos seus clientes, o fato de que qualquer empresa, entidade ou organização está sujeita a sofrer um incidente chama atenção: a questão não é “se”, mas sim é “quando”. 

Por que e quando se preocupar com o tema?

A capacidade de lidar com um incidente de segurança e, naturalmente, com um vazamento de dados, está diretamente associada à maturidade da empresa com relação a segurança da informação e gerenciamento de crise. Dessa forma, normalmente a preocupação surge quando o incidente acontece, mas geralmente não antes disso.

A velha história de que “um grama de prevenção vale mais que um quilo de cura” é aplicável aqui, no entanto. Estar minimamente preparado é muito mais fácil (e barato) do que bater de frente com o imprevisto. Vazamentos por si só podem causar impactos significativos para empresas, seja pela perda de informações ou pela interrupção de atividades essenciais. Quando há o comprometimento de dados pessoais, no entanto, especialmente de dados pessoais sensíveis (como dados de saúde) a atenção deve ser redobrada, pois o potencial prejuízo também cresce significativamente. 

A 23andMe, que faz análise de DNA para identificação de dados de ancestralidade, foi alvo de um ataque que resultou no vazamento de dados sensíveis de quase 7 milhões de pessoas. A empresa, que já vinha sofrendo com uma desaceleração no mercado e com problemas internos, acabou fechando um acordo para pagamento de R$ 165 milhões por vazamento dos dados de seus clientes. 

Esse não foi o primeiro e nem o último acordo firmado com empresas que foram alvo de vazamentos. No Brasil também temos casos semelhantes, como o da Netshoes, que fechou um acordo de R$ 500 mil com o Ministério Público.

Antigamente, as empresas não consideravam custos com vazamento de dados, mas a tendência é que nas fusões e aquisições esse valor seja levado em conta. Grupos econômicos que já tem uma maturidade maior em proteção de dados podem pensar duas vezes antes de adquirem ou investirem em startups que tenham sofrido incidentes e não tenham tomado as medidas adequadas para mitigação dos riscos, pelo fato de que podem ser condenadas e/ou responsabilizadas no futuro pelo descumprimento da LGPD.

Ou seja, para uma startup ser levada a sério, é preciso se preparar para lidar com crises. Para startups que já entraram em uma fase de tração e/ou scale up, o melhor momento para começar a pensar o tema foi ontem, e o segundo melhor momento é hoje (e talvez amanhã possa ser tarde demais).

Como se preparar para um vazamento de dados?

A melhor forma de lidar com um vazamento, para começar, é diminuir a chance de ele acontecer. Algumas medidas recomendadas são:

• Reforce a segurança cibernética e faça auditorias regulares: use firewalls, criptografia e sistemas de detecção de intrusões adequados ao volume e sensibilidade dos dados. Além disso, faça check-ups regulares para mapear, revisar e eliminar dados desnecessários, além de identificar riscos existentes no seu ecossistema de dados.

• Capacite a equipe: treine colaboradores em boas práticas de segurança e nos requisitos da LGPD para evitar erros humanos, como uso inadequado de senhas e cliques em links maliciosos.

• Invista em governança de dados: estabeleça governança de dados, planos de resposta a incidentes e procedimentos eficazes para lidar com a proteção de dados na organização. A depender do cenário, pode ser interessante investir em um Encarregado pelo Tratamento de Dados (ou Data Protection Officer, no inglês) para manter a higidez da governança interna. Já escrevemos sobre o DPO e você confere aqui.