Plataforma de formação em sensibilização para a segurança
Formação em sensibilização
GDPR
ISO27001
NIS2
AI Act
CIS18
NIST-CSF
Formação a sério. Simplesmente simples.
- Cumpra o RGPD, a NIS2 e muito mais.
- Certificados, documentação e conformidade.
- Mais de 60 microlições de alta qualidade.
Conformidade com o RGPD
Requisitos de formação de sensibilização sobre o RGPD
- O responsável pelo tratamento deve aplicar medidas organizativas adequadas, por exemplo formação de sensibilização, para assegurar e poder demonstrar que o tratamento de dados pessoais é realizado em conformidade com o RGPD.
- Os colaboradores devem ser capazes de identificar quando e como devem tratar os dados pessoais nas suas funções.
Factos essenciais sobre o RGPD
O RGPD é a regulamentação empresarial mais abrangente que a UE produziu em muitos anos.
As empresas devem aprender a gerir o RGPD de forma eficiente e competente para garantir a conformidade sem comprometer a sua atividade diária.
O que são dados pessoais?
Os dados pessoais são quaisquer dados que permitam identificar uma pessoa.
Exemplos:
- Um endereço de correio eletrónico pode ser utilizado para identificar uma pessoa.
- Um número de telefone pode ser utilizado para identificar uma pessoa.
- Uma morada pode ser utilizada para identificar uma pessoa.
- Um endereço IP pode ser utilizado para identificar uma pessoa.
- O número de identificação nacional pode ser utilizado para identificar uma pessoa.
- O número de passaporte pode ser utilizado para identificar uma pessoa.
- Um número de cartão de crédito pode ser utilizado para identificar uma pessoa.
Os dados que acrescentam ao que sabemos sobre uma pessoa são dados pessoais:
- Passatempos
- Interesses
- Consumo
- Padrões de comportamento
- Sotaque
- Características físicas
A maioria dos dados tratados pelas empresas poderá ser considerada dados pessoais.
A quem se destina o RGPD?
O RGPD aplica-se a todas as empresas, organizações e instituições na UE.
O RGPD também se aplica a qualquer empresa, organização ou instituição que ofereça bens ou serviços a qualquer pessoa na UE. Tal aplica-se independentemente de haver ou não pagamento.
Exemplo: qualquer loja em linha ou serviço que venda para o mercado da UE, quer esta empresa esteja sediada nos EUA ou na Austrália, terá de cumprir o RGPD.
RGPD para empresas de fora da UE?
O RGPD aplica-se ao tratamento de dados pessoais por responsáveis pelo tratamento não estabelecidos na UE se estes tratarem dados pessoais de titulares dos dados que se encontram na UE.
Princípios do tratamento de dados pessoais
O RGPD exige que todos os responsáveis pelo tratamento sigam os princípios enunciados no artigo 5.º do RGPD.
Licitude, lealdade e transparência
Deve tratar os dados pessoais de forma lícita, leal e de modo que o tratamento seja transparente para o titular dos dados.
Limitação das finalidades
Só deve recolher dados pessoais para finalidades determinadas, explícitas e legítimas.
Minimização dos dados
Só deve tratar dados pessoais que sejam adequados, pertinentes e limitados ao necessário.
Exatidão
O tratamento de dados pessoais deve ser exato e atualizado.
Limitação da conservação
Os dados pessoais devem ser apagados ou anonimizados quando deixarem de ser necessários para a finalidade original.
Integridade e confidencialidade
Os dados pessoais devem ser tratados de forma segura, protegendo-os contra o tratamento não autorizado ou ilícito.
Responsabilidade
Enquanto responsável pelo tratamento, é responsável pelo cumprimento destes princípios e deve poder comprová-lo.
O que é um responsável pelo tratamento?
Um responsável pelo tratamento é uma empresa que determina as finalidades e os meios do tratamento de dados pessoais.
Este é um conceito essencial a compreender, uma vez que determina as suas obrigações relativamente ao RGPD.
O que é um subcontratante?
Um subcontratante é uma empresa que trata dados pessoais por conta do responsável pelo tratamento.
Este é um conceito essencial a compreender, uma vez que determina as suas obrigações relativamente ao RGPD.
Um subcontratante tem sempre de celebrar um contrato de subcontratação com o responsável pelo tratamento, nos termos do artigo 28.º do RGPD.
Preciso de uma política de privacidade?
Quando recolhe dados pessoais junto do titular dos dados (pessoa), deve prestar-lhe informações sobre o motivo e a forma como irá tratar esses dados. Estes requisitos constam dos artigos 13.º e 14.º do RGPD.
Na prática, poderá prestar estas informações numa política de privacidade que deverá estar acessível à pessoa no momento da recolha dos dados pessoais.
Como fico em conformidade com o RGPD?
Um requisito primordial do RGPD é manter um registo das atividades de tratamento sob a sua responsabilidade (artigo 30.º).
Terá também de prestar estas informações aos seus titulares dos dados numa política de privacidade (artigos 13.º e 14.º).
Terá de tratar os dados de acordo com os princípios deste regulamento (artigo 5.º).
Terá de celebrar contratos de subcontratação com todos os subcontratantes que tenha contratado para tratar dados por sua conta (artigo 28.º).
Terá de realizar avaliações de risco das suas atividades de tratamento e, com base nestas, aplicar as medidas organizativas e técnicas adequadas para garantir que os dados pessoais são tratados de forma segura.
Estes requisitos são apenas alguns dos muitos requisitos do RGPD.
Conformidade com a NIS2
Requisitos de formação de sensibilização sobre a NIS2
- Um requisito fundamental da NIS2 é assegurar que todos os colaboradores conheçam as melhores práticas de cibersegurança e recebam formação adequada em cibersegurança.
- A direção da sua organização deve aprovar as medidas de gestão de riscos e de cibersegurança implementadas para cumprir a NIS2 e, por conseguinte, desempenha um papel central na governação da cibersegurança.
O que é a NIS2?
A NIS2 é a segunda versão da Diretiva da UE relativa à segurança das redes e dos sistemas de informação. É uma lei que estabelece regras sobre a forma como as organizações de setores essenciais devem proteger os seus sistemas e dados digitais. Visa melhorar a cibersegurança em toda a UE, assegurando que os serviços «essenciais» e «importantes» (como a energia, os transportes, a saúde, a banca e os serviços digitais) adotam medidas claras para prevenir os incidentes de cibersegurança, detetá-los rapidamente e recuperar deles de forma eficaz.
A quem se aplica a NIS2?
A NIS2 aplica-se às médias e grandes empresas dos setores «essenciais» e «importantes», ou seja, ao que se caracteriza como infraestrutura crítica.
Aplica-se igualmente a algumas organizações de menor dimensão se prestarem serviços críticos ou fizerem parte da cadeia de abastecimento dos setores anteriormente mencionados. Se a sua organização atua nos setores da energia, da saúde, da infraestrutura digital, da água, da banca ou em muitos outros setores semelhantes, é provável que esteja abrangida pelo âmbito de aplicação.
Quais são os requisitos mínimos ao abrigo da NIS2?
Os requisitos mínimos da NIS2 são os seguintes:
- Políticas de análise dos riscos e de segurança dos sistemas de informação.
- Procedimentos de gestão de incidentes.
- Continuidade das atividades, incluindo a gestão de cópias de segurança, a recuperação após catástrofe e a gestão de crises.
- Segurança da cadeia de abastecimento, abrangendo as relações com os fornecedores e prestadores de serviços diretos.
- Segurança na aquisição, no desenvolvimento e na manutenção das redes e dos sistemas de informação, incluindo o tratamento e a divulgação de vulnerabilidades.
- Políticas e procedimentos para avaliar a eficácia da gestão dos riscos de cibersegurança.
- Práticas básicas de ciber-higiene e formação periódica em cibersegurança.
- Políticas e procedimentos relativos à utilização da criptografia e da cifragem.
- Segurança dos recursos humanos, políticas de controlo de acesso e gestão de ativos.
- Utilização de soluções de autenticação e comunicação seguras, como a autenticação multifator ou contínua, e de comunicações de voz, vídeo e texto seguras.
Gestão de riscos, direção e notificação de incidentes
Medidas de gestão de riscos
Todas as organizações devem adotar uma abordagem estruturada do risco de cibersegurança. Tal inclui identificar as possíveis ameaças, proteger os sistemas, detetar os problemas atempadamente e estar preparadas para responder e recuperar.
Responsabilização da direção
A direção de topo é diretamente responsável pela cibersegurança e as autoridades responsabilizam-na pelas falhas graves. Deve aprovar as estratégias de segurança, assegurar que estão em vigor as medidas adequadas e manter-se informada através de formação periódica.
Notificação de incidentes
As organizações devem notificar os incidentes de segurança significativos à autoridade nacional de cibersegurança (CSIRT).
Quais são os requisitos de formação para a direção ao abrigo da NIS2?
A NIS2 exige que todo o pessoal pertinente, incluindo a direção, receba formação básica e periódica em cibersegurança (também designada «ciber-higiene»).
No caso da direção, a formação é obrigatória. Os membros do órgão de direção devem concluir cursos pertinentes sobre a gestão dos riscos de cibersegurança e espera-se que promovam a formação em toda a organização.
Não existem regras rígidas quanto ao formato ou ao conteúdo, mas a formação deve corresponder ao papel da direção na avaliação dos riscos e na supervisão das medidas de cibersegurança. A equipa de direção, no seu conjunto, deve dispor das competências necessárias para assumir as responsabilidades de cibersegurança ao abrigo da NIS2.
Todas as atividades de formação devem ser documentadas, por exemplo, com um certificado ou uma prova escrita de participação.
Quais são os requisitos para a formação do pessoal?
A NIS2 exige que o pessoal receba formação em cibersegurança adequada à sua função e às suas responsabilidades. Todas as organizações devem dispor de uma política clara que assegure que os trabalhadores adquiram os conhecimentos e as competências adequados para proteger os sistemas e fazer face às ameaças digitais.
A direção desempenha um papel central neste domínio. Deve incentivar ativamente que seja oferecida ao pessoal formação semelhante à que a direção frequenta.
A formação deve ser prática e de fácil aplicação, abrangendo temas como a deteção de phishing, o tratamento seguro dos dados, a utilização correta das palavras-passe e o conhecimento de como atuar em caso de incidente.
O objetivo deve ser criar uma cultura em que a aprendizagem e a sensibilização sejam contínuas. Todas as atividades de formação devem ser planeadas, registadas e acompanhadas para garantir a sua eficácia.
Porque é a formação tão importante ao abrigo da NIS2?
Porque, mesmo com uma tecnologia robusta, o erro humano continua a ser um dos maiores riscos. A formação ajuda o pessoal a detetar as ameaças atempadamente e a atuar de forma responsável. Para a direção, trata-se de uma questão de responsabilização. A formação demonstra aos reguladores que a empresa leva a segurança a sério e que adota medidas concretas para reduzir os riscos.
Que medidas devem as organizações adotar agora para cumprir a NIS2?
- Determinar se a organização está abrangida pelo âmbito de aplicação.
- Designar uma pessoa ou uma equipa responsável pela cibersegurança.
- Rever as políticas e os procedimentos atuais.
- Colmatar eventuais lacunas de segurança.
- Estabelecer ou melhorar os planos de notificação e resposta a incidentes.
- Iniciar uma formação periódica em cibersegurança.
- Documentar tudo para demonstrar a conformidade.
- Consultar a sua autoridade nacional de cibersegurança para obter orientações locais.
Em que se sobrepõem a NIS2 e o RGPD?
A NIS2 e o RGPD são leis distintas da UE, mas sobrepõem-se, o que significa que o trabalho que realiza numa delas pode apoiar a outra. Ambas exigem uma segurança robusta para os dados pessoais e os sistemas, e ambas impõem uma abordagem baseada no risco.
Por exemplo, no âmbito da sua conformidade com o RGPD, cartografou os fluxos de dados pessoais e os ativos utilizados no seu tratamento, o que pode reutilizar para cartografar os ativos e processos digitais no âmbito da NIS2.
Do mesmo modo, as suas avaliações de risco relativas à proteção dos dados pessoais também alimentam as avaliações de risco de cibersegurança para a prestação de serviços críticos, e o seu plano de resposta a incidentes ao abrigo do RGPD pode constituir a base do requisito da NIS2 de detetar os incidentes de segurança, notificá-los e responder aos mesmos.
Os seus esforços de conformidade com o RGPD e a NIS2 devem, sem dúvida, estar alinhados para evitar duplicações e reduzir custos.
Factos essenciais sobre a NIS2
A NIS2 é uma diretiva da UE que exige que as organizações classificadas como infraestruturas críticas cumpram requisitos específicos de cibersegurança.
AI Act
Formação em literacia em IA
- O AI Act exige que as organizações ministrem formação em literacia em IA, garantindo que os colaboradores adquiram as competências necessárias para trabalhar em segurança com a IA.
- Este requisito aplica-se a qualquer pessoa, quer se trate de alguém que apenas utiliza o ChatGPT, quer de um analista de dados que trabalha com aprendizagem automática.
Segurança informática
Formação em referenciais de segurança
- Forme a sua equipa em referenciais de segurança padrão do setor, incluindo a ISO 27001, o CIS18 e o NIST-CSF, para reforçar a postura de segurança da sua organização.
- Formação prática de sensibilização que ajuda os colaboradores a compreender e aplicar os controlos de segurança no seu trabalho diário.
🇪🇺 Alojado na UE
Plataforma de formação de sensibilização
GDPR
ISO27001
NIS2
AI Act
CIS18
NIST-CSF
Formação a sério. Simplesmente simples.
Versão gratuita