Proteção de dados no Cepuerj: compromisso com a privacidade e segurança da Informação

A privacidade digital é um tema cada vez mais relevante nos dias atuais, e hoje, dia 28 de janeiro, é celebrado o Dia Internacional da Proteção de Dados. A data tem como objetivo conscientizar sobre a importância desse tema, que no Brasil é regido pela Lei Geral de Proteção de Dados (Lei nº 13.709/2018). 

Para garantir a transparência e a segurança de informações sobre cursos, concursos e dados pessoais de candidatos e colaboradores, o Cepuerj conta com uma equipe especializada que trabalha diariamente para assegurar a privacidade e a proteção dessas informações. 

Confira a entrevista com Diogo Santos, chefe de infraestrutura da Coordenadoria de Desenvolvimento de Sistemas Gerenciais do Cepuerj (Cosiste), sobre o trabalho do setor para manter o sigilo de dados e informações.

Quais são os princípios da Lei Geral de Proteção de Dados (LGPD)? E quais medidas o Cepuerj adota para cumprir as normas da lei? 

R: A Lei Geral de Proteção de Dados estabelece princípios fundamentais para o tratamento de dados pessoais, incluindo a finalidade específica e legítima do processamento, a adequação às finalidades informadas ao titular e a necessidade de limitar o uso de dados às finalidades essenciais. A LGPD também garante aos titulares o direito de acesso às informações sobre o tratamento, além de exigir a qualidade dos dados, que devem ser corretos e atualizados. Outros princípios incluem a segurança, com medidas de proteção contra acessos não autorizados. A lei ainda proíbe a discriminação no uso dos dados e exige dos agentes de tratamento a responsabilidade e prestação de contas, que devem comprovar a adoção de práticas eficazes para garantir a conformidade com a legislação.

Quais tipos de sistemas o Cepuerj utiliza para garantir a segurança da informação?

R: Os sistemas utilizados incluem firewalls, que controlam o tráfego de dados; antivírus e antimalware, que protegem contra ameaças cibernéticas; e sistemas de detecção e prevenção de intrusões (IDS/IPS), que monitoram e evitam atividades maliciosas. A criptografia converte os dados em códigos para protegê-los, enquanto o sistema de gerenciamento de identidades e acessos (IAM) controla quem pode acessar os recursos. Além disso, o backup é fundamental para restaurar informações em caso de perda. E o controle de acesso baseado em funções (RBAC), monitoramento de segurança 24/7, e sistemas de geração de logs e auditoria completam a estratégia, assegurando a integridade, confidencialidade e disponibilidade dos dados.

Quanto aos concursos, quais são as ações para garantir a lisura e confidencialidade quanto aos aspectos técnicos de máquinas e rede?

R: Para garantir a segurança dos concursos, todos os computadores são criptografados e não têm acesso à internet. Eles possuem um controle rigoroso de autenticação, utilizando múltiplos fatores. A reprodução dos documentos ocorre em um ambiente próprio e controlado, com monitoramento ininterrupto. Como medida física, o acesso aos ambientes é segmentado por função e atividade, com a aplicação de controles biométricos, seguindo regulamentos, normas e termos internos. 

Os dados dos inscritos em cursos e no cadastro de interesse também estão seguros?

R: Sim, os controles abrangem todos os sistemas e dados tratados pelo Cepuerj.

Como os colaboradores do Cepuerj podem contribuir para manter a segurança dos dados?  

R: Recentemente, por meio de um projeto Protec intitulado “Security Awareness: Construindo a Cultura de Segurança da Informação em um Ambiente Cooperativo”, meu grupo conduziu orientações sobre os aspectos humanos da segurança da informação. Nesse projeto, foram expostas medidas que estimulam os colaboradores a desenvolver uma consciência coletiva sobre a importância da segurança da informação. Exemplos abordados incluíram a política de mesa limpa para assegurar a confidencialidade de dados em planilhas e relatórios impressos, a importância de não compartilhar senhas para evitar acessos não autorizados, o uso de senhas complexas e uma demonstração prática de phishing. Também destacamos a importância de evitar a liberação de acessos físicos aos ambientes controlados sem supervisão, utilização de sistemas não homologados e visitas a sites potencialmente perigosos.