Tenho repetido em alguns artigos que uma lei não é um framework e por isso, quando for necessário adequar uma organização e uma lei, como é o caso da LGPD, deve-se contar com a ajuda de um ou mais frameworks.
No artigo de segunda feira publiquei uma tabela que é um exemplo de correlacionamento entre a LGPD, a ISO 27701 e o GDPR. Este é um relacionamento simples, do tipo 1:1, mas a conformidade com a LGPD exige relações mais complexas e entre elementos heterogêneos.
Os relacionamentos na conformidade com a LGPD são realizados de diversas maneiras, por exemplo, uma operação de tratamento de dados pessoais pode ser relacionada a áreas, documentos em papéis, serviços, agentes de tratamento, ativos de ti, riscos, ações de tratamento, incidentes, documentos e diversos outros elementos.
No caso do artigo 48 da LGPD que fala sobre comunicação de incidentes, ele é regulamentado pelo "REGULAMENTO DE COMUNICAÇÃO DE INCIDENTE DE SEGURANÇA" publicado em abril, este regulamento tem 24 artigos e uma complexidade técnica razoável.
Ainda no artigo 48, o tema incidentes é aplicado em outras iniciativas das atividades de negócio, por isso é necessário que a comunicação de incidentes da LGPD precisará conviver com outras normas e regulamentações, por exemplo:
- ISO/IEC 27001 - A.16: "Gerenciamento de incidentes de segurança da informação";
- ISO/IEC 27701 - 7.4.2 e 8.4.2: "Eventos e incidentes de privacidade";
- ITIL - Gestão de Incidentes (parte do módulo de Operação de Serviço) DSS05: "Gerenciar a segurança" ;
- NIST CSF 2.0 (NIST Cybersecurity Framework) - DE.CM-8: "Eventos são detectados e analisados";
- CIS CSC v8 (Center for Internet Security Critical Security Controls) - Control 19: "Incident Response and Management";
- Banco Central - Resolução CMN Nº 4.893/21;
- Anatel - Regulamento de Segurança Cibernética Aplicada ao Setor de Telecomunicações;
- ANEEL - Política de segurança cibernética a ser adotada pelos agentes do setor de energia elétrica.
Entender e administrar os correlacionamentos é uma maneira de manter a LGPD alinhada com o negócio.
Obrigado,
Aquele abraço,
FNery
