PDCA TI

🔐🚨 LANÇAMENTO OFICIAL 🚨🔐

📘 Ebook: NAVEGANDO PELOS NOVOS HORIZONTES E RISCOS DA INTELIGÊNCIA ARTIFICIAL – CIBERSEGURANÇA 2.0

Nos últimos meses, mergulhei de cabeça em um tema que moldará o nosso futuro:

🌐 Como a Inteligência Artificial está transformando o mundo, os negócios, a forma de trabalho — e, ao mesmo tempo, criando novas ameaças e riscos que ainda não sabemos lidar (Cibersegurança 2.0).
Foram mais de 5 meses de estudo, pesquisas e reflexão. E hoje, com muita alegria, compartilho com vocês o resultado:


📖 O que você vai encontrar?
Um guia completo, dividido em 10 capítulos, que explora os riscos emergentes da IA e controles de mitigação, com uma abordagem clara, acessível e estratégica:
🔍1. A Fábrica de Ilusões – Deepfakes e desinformação
🔍2. A Isca Inteligente – Phishing com IA e engenharia social 2.0
🔍3. A Rede Conectada e Exposta – Vulnerabilidades em IoT
🔍4. O Elo Fraco Confiável – Ataques à cadeia de suprimentos de software
🔍5. O Dilema Digital – Privacidade e ética algorítmica
🔍6. Quando os Algoritmos Discriminam – Vieses e injustiças em IA
🔍7. A Caixa Preta Ameaçada – Segurança de modelos de IA
🔍8. O Desafio da Governança – PL 2338/2023, LGPD e regulamentações
🔍9. Horizontes Emergentes – O que vem por aí?
🔍10. Conclusões e Recomendações – Como navegar com resiliência

📊 Apenas uma informação/estatística, entre dezenas que você encontrará no eBook:
- Em 2024, mais de 55% dos ataques cibernéticos no Brasil envolveram o uso de IA. E esse número só cresce. (Fonte: Forbes Brasil)

🚨Estamos entrando na era da Insegurança Digital 2.0. E precisamos estar preparados.🚨

🤝 Vamos juntos?
🚀 Se você acredita que conhecimento transforma, me ajude a levar esse conteúdo mais longe:
✅ Curta este post
✅ Comente com sua opinião ou dúvida
✅ Compartilhe com colegas e sua rede
✅ Marque alguém que precisa ler isso

🌐 ACESSE AGORA, sem funil de vendas, sem landing page, sem coleta de dados, 100% gratuito e online:
👉 https://www.pdcati.com.br/ebook-ia-ciberseguranca/

💬 E me conta:
👉 Qual capítulo mais chamou sua atenção?


🚀 Vamos juntos construir um futuro digital mais seguro, ético e resiliente

IA e Cibersegurança: Guia Completo 2025 | Riscos, Deepfakes, Phishing e Regulamentação Explore os novos horizontes e riscos da Inteligência Artificial e Cibersegurança 2.0. Guia completo sobre deepfakes, phishing com IA, ameaças cibernéticas, regulamentação (PL 2338/2023) e o futuro da segurança digital.

Hoje, 01/08/2021, finalmente, após diversas incertezas, a entrou 100% em vigor, ou seja, os artigos das Sanções Administrativas '52, 53 e 54' que foram postergados devido a pandemia, hoje teve seu início efetivo.

Existe uma dúvida se a poderá, por exemplo, aplicar uma sanção amanhã? A resposta é NÃO, conforme consta no material elaborado pela própria ANPD, na última sexta-feira (30/07/2021):

"De modo a conferir segurança jurídica aos administrados, a ANPD iniciará sua atuação sancionadora após a aprovação do Regulamento de Fiscalização e de Aplicação de Sanções Administrativas."

https://www.gov.br/anpd/pt-br/assuntos/noticias/sancoes-administrativas-o-que-muda-apos-1o-de-agosto-de-2021

A ANPD é um apoio para as empresas e deverá ser vista como tal, regulamentando os pontos em aberto na LGPD, além de estruturar procedimentos e sanar dúvidas... Sanções serão e deverão ser aplicadas em empresas que não respeitarem a Lei e atuarem de forma ilícita.

Sanções Administrativas: o que muda após 1º de agosto de 2021? ANPD traz esclarecimentos sobre a entrada em vigor das sanções administrativas.

LGPD vs GDPR (RGPD em Portugal)

Para quem está buscando referências de como será a aplicação prática da LGPD no Brasil, recomendo analisar a Lei n.º 58/2019 de Portugal, a qual visa assegurar a execução da GDPR no País, conforme link: https://dre.pt/application/conteudo/123815982

A seguir, algumas peculiaridades interessantes e que são divergentes da nossa LGPD:
• Idade mínima para consentimento: acima de 13 anos (Art. 16°)
• Apresentação das categorias dos incidentes/violações frente à GDPR, sua gravidade e dosimetria das multas (Arts. 37° e 38°)
• Retorno de 40% das multas (coimas) para a CNPD (Comissão Nacional de Proteção de Dados)
• Crimes com possibilidade de detenção de até 2 anos (arts. 46° ao 54°)

LGPD – Sanções Administrativas (Arts. 52, 53 e 54) somente para agosto/2021.

Pergunta: a empresa não terá impactos, prejuízos e/ou danos em decorrência do ‘não atendimento’ da LGPD até agosto/2021. Certo?

Resposta: Errado.

Se os demais artigos da LPGD entrarem em vigor antes de agosto/2021, o Titular poderá reivindicar seus direitos na esfera jurídica (civil).

Em resumo, se o Titular solicitar, por exemplo, a exclusão de seus dados para o Controlador, com base no Inc. “IV - anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com o disposto nesta Lei – Art. 18°” e o Controlador não atender e continuar tratando seus dados pessoais, o Titular poderá acionar o artigo 22 da LGPD, sendo ele: “A defesa dos interesses e dos direitos dos titulares de dados poderá ser exercida em juízo, individual ou coletivamente, na forma do disposto na legislação pertinente, acerca dos instrumentos de tutela individual e coletiva.”

Outro fator, empresas que tiverem Incidentes de Segurança da Informação que gerem algum dano ao Titular, poderá responder o artigo 42: “O controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo.”

Finalizando, as sanções administrativas aplicadas pela ANPD será somente um dos fatores que as empresas terão que lidar no seu dia a dia.

Como mitigar as ‘ameaças evitáveis’?

1. Critérios de Segurança da Informação. Link: https://www.pdcati.com.br/antes-da-lgpd-os-controles-basicos-de-tic/

2. Mitigação de riscos de Segurança da Informação: https://www.pdcati.com.br/avaliacao-risco-tecnologia-seguranca/

3. Elaboração da Política de Segurança da Informação (PSI). Link: https://www.pdcati.com.br/a-importancia-da-politica-de-seguranca-da-informacao-psi/

4. Trabalhos de conscientização sobre o tema: Segurança da Informação para todos colaboradores e terceiros. Link: https://www.pdcati.com.br/ameacas-virtuais-engenharia-social/

5. Conheça um pouco melhor a atuação do DPO/ Encarregado pelo Tratamento de Dados Pessoais, neste artigo: https://www.pdcati.com.br/encarregado-pelo-tratamento-de-dados-dpo-lgpd/

A analogia da LGPD com o Elefante.

Para melhor compreensão do tema LGPD, vamos imaginar o seguinte contexto na visão de processo de negócio (BPM):

• Entradas = Solicitações dos Titular, ANPD e Judiciário
• Processamento = Artigos da LGPD -> Agentes de Tratamento (Controlador e Operador)
• Saídas = Atendimentos e Conformidade com a LGPD

A pergunta é: Como as empresas vão lidar com a LGPD?

Provavelmente teremos 3 cenários, sendo eles:

1. Irão ignorar a LGPD, afinal a Lei ‘não vai pegar’ no Brasil.

2. Irão analisar o contexto e tentar responder, somente quando solicitado pelo Titular, ANPD ou Judiciário (atuação reativa).

3. Irão entender que a LGPD irá fazer parte da cultura e dos processos da organização, sendo assim, estão estruturando às exigências da LGPD, buscando a conformidade e a estruturação dos seus sistemas, processos, produtos e pessoas (atuação proativa).

Possíveis consequências por cenário:

1. Grandes impactos na reputação, credibilidade e financeiro. Multas pela ANPD, ações judiciais, publicização de infrações até, podendo chegar, na suspensão do banco de dados e atividades. Em paralelo, se a empresa for B2C, provavelmente, irá perder muitos clientes, já que a relação de confiança irá exaurir.

2. Possíveis impactos financeiros e de reputação, visto que, por não estarem aptas a atender às exigências da LGPD de forma planejada e estruturada (ex.: data mapping, minimização de dados, privacy by design e by default), possivelmente, estarão tratando dados pessoais em desacordo com a LGPD.

3. Possíveis sanções administrativas, mas com pouco impacto ao negócio. Afinal, se o processo de conformidade for bem realizado, a ‘não conformidade’ será menor, sem grandes impactos ao titular.

Obs.: Existem algumas ameaças envolvida em cybersecurity, entre eles, invasão, acesso não autorizado, ransomware, vazamento de informação, entre outras, que podem ser concretizadas em qualquer empresa, indiferentemente do nível de maturidade com a LGPD; portanto, este cenário de risco deve ser mapeado e gerenciado pelas empresas, visando mitigar os riscos associados.

Finalizando, a analogia com o Elefante é para expressar que LGPD é um tema complexo, amplo, que irá impactar toda organização e que para estar “em conformidade”, irá levar meses ou até anos. É um longo caminho de adequação, ajustes, estruturação de políticas e processos, alterações em sistemas, aprimoramento das camadas de Segurança da Informação, análise de risco em terceiros (Operadores), treinamentos e capacitação e melhoria contínua.

LGPD não é um Projeto dentro das empresas. É um “Organismo Vivo”.

Acesse o link e conheça melhor o contexto LGPD: https://www.pdcati.com.br/lgpd

LGPD e a PL 1179/2020

Em 10/06/2020, Bolsonaro manteve o Art. 20 da PL1179 que trata exclusivamente da prorrogação das sanções administrativas (artigos 52, 53 e 54) para 01/08/2021.

Ainda temos que aguardar o Congresso Nacional deliberar sobre a MP 959 que também trata da vigência da LGPD.

Temos 2 caminhos.

Cenário 1 – MP 959 REPROVADA pelo Congresso ou não apreciada no prazo regimental.

Art. 65. Esta Lei entra em vigor
I - dia 28 de dezembro de 2018, quanto aos arts. 55-A, 55-B, 55-C, 55-D, 55-E, 55-F, 55-G, 55-H, 55-I, 55-J, 55-K, 55-L, 58-A e 58-B; e
I-A - dia 1° de agosto de 2021, quanto aos arts. 52, 53 e 54;
II - 24 (vinte e quatro) meses após a data de sua publicação, quanto aos demais artigos.

Resumo – Cenário 1: LGPD em vigor em 15/08/2020 e sanções para 01/08/2021.

Cenário 2 – MP 959 APROVADA pelo Congresso.

Art. 65. Esta Lei entra em vigor
I - dia 28 de dezembro de 2018, quanto aos arts. 55-A, 55-B, 55-C, 55-D, 55-E, 55-F, 55-G, 55-H, 55-I, 55-J, 55-K, 55-L, 58-A e 58-B; e
I-A - dia 1° de agosto de 2021, quanto aos arts. 52, 53 e 54;
II - em 3 de maio de 2021, quanto aos demais artigos.

Resumo – Cenário 2: LGPD em vigor em 03/05/21 e sanções para 01/08/21

Mesmo certo, se tratando da LGPD, muita coisa ainda pode acontecer!!!

LGPD vs Processo Seletivo (RH)

Principais pontos de atenção em relação ao processo seletivo nas empresas, do ponto de vista da LGPD:

1. Divulgação da vaga e o processo seletivo: Especifique quais são os dados necessários e fundamentais para análise do Curriculum Vitae (CV) do candidato - 1° fase de seleção.

a. Pergunta: Serão necessários os dados como: CPF, endereço completo, data de nascimento, estado civil, entre outras informações (dados pessoais), para uma primeira verificação da compatibilidade do candidato com a vaga anunciada?

b. Informe aos candidatos o meio correto para o envio ou cadastro do CV

2. Informe a finalidade e os princípios daquele tratamento com base no art. 6° da LGPD

3. Informe quais são as etapas e os dados necessários para cada fase do processo de seleção (princípio da transparência e agir de boa-fé)

4. Informe a base legal para o tratamento realizado e os meios para o ‘opt-out’ – sair

5. Informe por quanto tempo estas informações serão armazenadas no banco de dados da empresa

6. Informe quais outros tratamentos compatíveis com a finalidade poderão tratar os dados pessoais do candidato

7. Informe como o candidato (titular dos dados) poderá reivindicar seus direitos adquiridos pela LGPD

8. Processo de contratação: No processo de contratação, informe todos os dados necessários, a finalidade dos tratamentos e base legal para cada tratamento, visto que são bases legais distintas e finalidades distintas, por exemplo:

a. Tratamento: Plano de saúde -> Cadastro da família do novo colaborador no plano de saúde X: Dados necessários da família xpto, finalidade X, Base legal Y.

b. Tratamento: Segurança da Informação -> tratamentos ‘conformidade com a PSI’ e ‘monitoramento dos recursos de informática’ – finalidade Z, Base legal X.

Image from Pixabay

Conheça mais em: https://www.pdcati.com.br

Uma dúvida comum sobre as atividades do Encarregado após a implementação das exigências da LGPD (projeto LGPD finalizado).

Quais seriam as atividades do DPO no dia a dia e o seu modus-operandi?

Na imagem é contextualizado uma das frentes de atuação do Encarregado pelo Tratamento de Dados Pessoais (DPO).
Análise de um novo Processo e/ou Tratamento de Dados Pessoais

1. Área de Negócio estrutura/desenvolve um novo processo. Exemplo: Ampliação das vendas e aumento da receita por meio de um canal de vendas B2C online.

2. DPO, em conjunto com o Comitê de Proteção de Dados & Privacidade, analisa o contexto da demanda, a origem dos dados, quais dados serão coletados, de que forma, local de armazenamento, sistemas que serão utilizados, local das informações, critérios de segurança da informação, quais são os processadores (terceiros) envolvidos, a base legal para o tratamento, entre outros.

3. DPO delibera sobre o ponto de vista de conformidade com a LGPD.
a. Aprovado -> Projeto poderá seguir para o desenvolvimento e implementação
b. Aprovado com Restrições -> Necessário ações de melhoria ou pequenas correções sem impacto para o andamento do projeto
c. Reprovado -> Exemplos: O projeto possui um Alto Risco para o Titular; O projeto (estrutura e a forma atual) não atende aos critérios da LGPD; Não existe Base Legal adequada para o Tratamento; Resultado do Risco Residual acima do Apetite à Risco da Organização

Outras atividades e modus-operandi serão compartilhadas em outros post.

Não deixe de seguir a PDCA TI nas redes sociais e conferir as novidades no site: https://www.pdcati.com.br

A ICO (Autoridade de Proteção de Dados do Reino Unido) multou em 500.000 libras uma companhia aérea por ter sofrido um ataque virtual, e constatado que a empresa não possuía os critérios de segurança da informação necessários para proteger as informações dos titulares.

O mais interessante foi os controles em ‘não conformidade’ elencados, entre eles:
1. Servidor exposto para Internet sem os critérios de segurança
2. Banco de dados permitindo ataques de força bruta
3. Backups sem criptografia
4. Servidores desatualizados - patches de segurança do Sistema Operacional
5. Utilização de Sistema Operacional não mais suportado pelo fabricante
6. Proteção de Antivírus inadequada

Fonte: https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2020/03/international-airline-fined-500-000-for-failing-to-secure-its-customers-personal-data/

Nada mais adequado que o artigo disponível no BLOG da PDCA TI 'Antes da LGPD os controles básicos de TIC / SI' -> https://www.pdcati.com.br/antes-da-lgpd-os-controles-basicos-de-tic/

International airline fined £500,000 for failing to secure its customers’ personal data The Information Commissioner’s Office (ICO) has fined Cathay Pacific Airways Limited £500,000 for failing to protect the security of its customers’ personal data. Between October 2014 and May 2018 Cathay Pacific’s computer systems lacked appropriate security measures which led to customers’...

LGPD na Prática. DPO e suas qualificações.

Qual a qualificação que um DPO (Data Protection Officer), conhecido como Encarregado pelo Tratamento de Dados na LGPD, precisa ter?

Na LGPD não ficou estabelecido os critérios e qualificações que o Encarregado precisa ter formalmente; portanto, iremos utilizar como base o GDPR (Regulamento Europeu).

Qualificação do DPO na empresa – Visão GDPR:
Art. 37 da GDPR apresenta as funções do DPO
- O Encarregado é designado com base nas suas qualificações profissionais, em especial, nos seus conhecimentos especializados no domínio do direito e das práticas de proteção de dados, bem como na sua capacidade para desempenhar suas funções/responsabilidades
- É permitido que o DPO seja uma empresa terceirizada (DPO As a Service)

O WP29 (Grupo de Trabalho 29) publicou algumas diretrizes que são aceitas pelo mercado, entre elas:
- É fundamental que o DPO saiba como criar, implementar e manter um Programa de Proteção de Dados
- Quanto mais complexo ou de alto risco for o tratamento realizado pelo Controlador, maior será a exigência de conhecimento e especializações para o DPO
- O DPO não precisa ser advogado, mas precisa conhecer as leis e as medidas técnicas e organizacionais de proteção de dados

Na imagem consta o DPO e suas integrações.
Conheça mais em: https://www.pdcati.com.br/lgpd

https://www.facebook.com/1663175547283633/posts/2605427816391730/?app=fbl

Quarter of a million customers exposed as Brazilian cosmetics brand suffers data leak One of the leading online retailers in Brazil, Natura&Co, has been informed of a significant data leak within its website, https://www.natura.com.br. M