Pesquisar
Close this search box.
Pesquisar
Close this search box.
Facebook Instagram Linkedin

Tag: proteção de dados

Categorias
Autenticação

Como usar a autenticação e autorização de IoT para segurança

A autenticação e autorização de IoT são componentes essenciais da segurança cibernética, sejam os consumidores que os implementam em dispositivos domésticos inteligentes ou uma empresa em centenas de dispositivos de IoT que rastreiam e monitoram fluxos de trabalho e recursos em grande escala.

Em sua essência, os dispositivos IoT simplesmente se conectam para compartilhar dados. Com tantos dispositivos em uso, é vital proteger essas conexões. A autenticação e autorização de IoT podem fazer isso. 

Dado o número de dispositivos que se conectam à rede de uma organização, os administradores de TI não podem se dar ao luxo de esquecer essa parte da estratégia de segurança.

Uma estratégia de autorização e autenticação IoT começa com a compreensão de como uma organização usa dispositivos IoT e como os dispositivos se comunicam com sua rede.

O que é autenticação e autorização?

A autenticação é o processo de identificação do dispositivo, enquanto a autorização fornece permissões. 

Os dispositivos IoT usam esses processos para fazer controle de acesso baseado em funções e garantir que os dispositivos tenham acesso e permissão apenas para fazer exatamente o que precisam. 

Na prática, apenas dispositivos autorizados podem interagir com outros dispositivos, aplicativos, contas de nuvem e gateways.

Os administradores registram cada dispositivo quando o implantam no sistema. O sistema valida os dispositivos quando eles se conectam e compartilham dados. 

Muitas organizações usam infraestrutura de chave pública (PKI) para vincular dispositivos com certificados de chave pública de autoridades de certificação para atribuir e verificar identidades de dispositivos. A PKI estabelece a legitimidade de um dispositivo IoT em uma rede para compartilhar dados.

A autenticação IoT forte protege contra comandos de controle de usuários não autorizados ou dispositivos externos que tentam acessar a rede por meio de um dispositivo específico. 

A medida de segurança evita que invasores reivindiquem que suas ações vêm de dispositivos IoT na rede e, portanto, obtenham acesso aos dados na rede mais ampla.

As organizações têm várias maneiras de autenticar e autorizar dispositivos IoT que dependem do dispositivo, localização e natureza dos dados que o dispositivo transmite ou recebe.

Compreenda 3 tipos de modelos de autenticação e autorização de IoT

A segurança se divide em duas categorias principais: distribuída e centralizada. 

No modelo distribuído, os dispositivos armazenam certificados e identidades e validam a autorização. No modelo centralizado, um servidor centralizado ou aplicativo confiável de terceiros distribui e gerencia os certificados de autenticação dos dispositivos IoT. 

Quando os dispositivos se conectam à rede, o repositório central do certificado realiza a verificação e autenticação.

Dependendo da natureza dos dispositivos IoT de uma organização, combinações de modelos distribuídos e centralizados podem garantir o gerenciamento mais eficiente e seguro.

Existem três protocolos e opções de segurança de autenticação e autorização de IoT principais disponíveis que os administradores podem implantar:

Autenticação distribuída unilateral

Sempre que dois dispositivos decidem se conectar, como um sensor IoT e um gateway, o protocolo determina que apenas um dispositivo se autentique para o outro e o segundo dispositivo não seja autenticado. 

Um dispositivo é registrado como válido com o segundo dispositivo por meio de um hash de senha ou certificado digital. Quando o primeiro dispositivo tenta se conectar, o segundo dispositivo verifica a senha ou certificado e o compara com as informações armazenadas. Se as informações corresponderem, o dispositivo autoriza a conexão.

A autenticação unilateral funciona melhor para dispositivos que se conectam apenas a um outro dispositivo. Esses dispositivos ainda precisam de mecanismos de segurança, mas não exigem monitoramento constante.

Autenticação distribuída de duas vias

Também conhecido como autenticação mútua, esse protocolo é usado quando os dois dispositivos se autenticam antes de se comunicarem. Cada dispositivo deve ter uma identidade digital exclusiva armazenada para o outro dispositivo e, em seguida, comparar as identidades. 

Os dispositivos só podem se conectar quando o primeiro dispositivo confia no certificado digital do segundo dispositivo e vice-versa. O protocolo Transport Layer Security troca e compara certificações.

As transações de comércio eletrônico online e as transmissões de dados altamente confidenciais geralmente usam esse protocolo.

Autenticação centralizada de três vias

Nesta abordagem, um administrador registra os dispositivos com uma autoridade central ou servidor e associa os dispositivos com certificados digitais válidos. A autoridade central facilita o handshake seguro entre os dois dispositivos que desejam se comunicar. 

Na autenticação de três vias, os certificados de segurança não são armazenados nos dispositivos e não podem ser roubados por criminosos, embora os dispositivos ainda tenham uma segurança forte.

Essa abordagem funciona melhor para dispositivos sempre conectados ou com acesso sob demanda à Internet, pois elimina qualquer atraso na autenticação. Um certificado e serviço de gerenciamento de ciclo de vida de chave pode gerenciar os certificados centralmente e se conectar a qualquer dispositivo em uma rede que precise de verificação.

Considere os protocolos de comunicação para autenticação e autorização de IoT

Para escolher a abordagem certa para uma estratégia de autenticação e autorização de IoT, as organizações devem considerar a tecnologia usada para proteger os dados e a identificação da máquina.

Os administradores de TI devem monitorar a rede em busca de identidades de máquina para garantir que apenas dispositivos autorizados se conectem e se comuniquem com a rede. Os administradores também podem receber alertas quando dispositivos não autorizados tentarem se conectar.

O protocolo de comunicação que uma rede usa para conectar e compartilhar dados também é crítico para a segurança do dispositivo IoT. Por exemplo, um certificado X.509 fornece segurança para certificados, mas pode usar muita capacidade de computação, largura de banda da Internet e eletricidade para ser útil para dispositivos IoT.

A PKI que uma rede usa pode criar problemas de conectividade quando o sistema autentica e autoriza dispositivos. Dispositivos que usam certificados digitais encadeados podem exigir mais largura de banda para se auto-verificar e permitir a comunicação.

Um protocolo de base mais eficiente e menor que está se tornando rapidamente o padrão de segurança da IoT é o Message Queuing Telemetry Transport (MQTT). Como uma abordagem centralizada para a segurança de IoT, o MQTT conecta um cliente, como o dispositivo IoT, a um broker que armazena identidades e certificados digitais.

As organizações integram o MQTT a vários sistemas de monitoramento e gerenciamento de rede, o que permite que os profissionais de TI monitorem milhares de dispositivos IoT de forma escalonável. 

O protocolo oferece opções de personalização para largura de banda de comunicação entre dispositivos e garante que os dados sejam transmitidos de maneira uniforme e segura entre os dispositivos.

Soluções de segurança Internet das Coisas (IoT) EVAL &  Thales

As organizações apenas começaram a descobrir e se beneficiar das oportunidades oferecidas pela Internet das Coisas. A capacidade de capturar e analisar dados de dispositivos conectados distribuídos oferece o potencial de otimizar processos, criar novos fluxos de receita e melhorar o atendimento ao cliente. 

No entanto, a IoT também expõe as organizações a novas vulnerabilidades de segurança introduzidas pela maior conectividade de rede e dispositivos que não são protegidos por design. E os invasores avançados demonstraram a capacidade de girar para outros sistemas, aproveitando vulnerabilidades em dispositivos IoT.

As soluções de segurança IoT da EVAL e Thales fornecem criptografia de dados para dados IoT e gerenciamento de chaves de criptografia para dispositivos IoT.

Usando as soluções HSMs da Thales e EVAL de segurança e suporte para criar e proteger as chaves criptográficas, cada dispositivo IoT pode ser fabricado com uma identidade única baseada em criptografia que é autenticada quando uma conexão com o gateway ou servidor central é tentada. 

Com esse ID exclusivo instalado, você pode rastrear cada dispositivo ao longo de seu ciclo de vida, comunicar-se com segurança com ele e evitar que execute processos prejudiciais. Se um dispositivo exibir um comportamento inesperado, você pode simplesmente revogar seus privilégios.

Sobre a EVAL

A EVAL está a mais de 18 anos desenvolvendo projetos nos segmentos financeiro, saúde, educação e indústria, Desde 2004, oferecemos soluções de Autenticação, Assinatura Eletrônica e Digital e Proteção de Dados. Atualmente, estamos presente nos principais bancos brasileiros, instituições de saúde, escolas e universidades, além de diferentes indústrias.

Com valor reconhecido pelo mercado, as soluções e serviços da EVAL atendem aos mais altos padrões regulatórios das organizações públicas e privadas, tais como o SBIS, ITI, PCI DSS, e a LGPD. Na prática, promovemos a segurança da informação e o compliance, o aumento da eficiência operacional das empresas, além da redução de custos.

Inove agora, lidere sempre: conheça as soluções e serviços da Eval e leve sua empresa para o próximo nível.

Eval segurança é valor.

Categorias
Proteção de dados

Impactos da LGPD no varejo

Os impactos da LGPD no varejo são fortemente sentidas e definem grande parte das estratégia de proteção de dados no varejo nos próximos anos.

Não é segredo que o papel dos dados no setor de varejo cresceu consideravelmente com o aumento do e-commerce global e do comércio móvel. Portanto, os impactos da LGPD no varejo são fortemente sentidas e definem grande parte das estratégia de proteção de dados no varejo nos próximos anos. Proteção de dados no varejo

Nesse cenário digital acelerado e em constante evolução, a governança da informação se tornou um tópico proeminente, com as empresas do setor de varejo considerando como podem modernizar suas políticas de proteção de dados. 

O descumprimento dessas políticas ou o uso indevido de dados pessoais de indivíduos pode ter consequências jurídicas, de reputação e financeiras pesadas. 

Quais são os impactos da LGPD no varejo?

Nesta era de estratégias de comunicação personalizadas e marketing online direcionado, mudanças radicais na coleta, processamento e armazenamento de dados têm enormes implicações para os varejistas. 

A Lei Geral de Proteção de Dados (LGPD) entrou em vigor em 2020 com algumas limitações em relação à aplicação de multas e outros tipos de penalizações, porém, na prática, ela representa uma grande oportunidade para os varejistas e algo que eles absolutamente precisam estar atentos.

Isso ocorre porque os dados são as commodities mais valiosas que os varejistas podem ter em relação aos seus consumidores, sejam eles business-to-business (B2B) ou business-to-consumer (B2C). 

O que você sabe sobre seus consumidores molda sua proposta, seus preços e sua cadeia de suprimentos. Por essa razão, não considerar os impactos da LGPD no varejo pode ser um grande erro.

Existem quatro aspectos principais da LGPD dos quais os varejistas devem estar cientes, e que devem agir rápido o suficiente para lidar com todos eles

Em primeiro lugar, os avisos de privacidade serão muito mais destacados. Essas são as declarações que você coloca em seu site dizendo aos consumidores o que você fará com os dados deles.

As conhecidas caixas de seleção ainda terão destaque, mas os consumidores terão que ativá-la de forma proativa.

Isso significa que os varejistas devem fornecer informações detalhadas, permitindo que os consumidores tomem decisões totalmente informadas sobre se desejam permitir que o varejista retenha e processe seus dados. 

Novos avisos de privacidade precisam explicar porque os dados são necessários, como isso afetará o consumidor, os critérios usados ​​para decidir por quanto tempo os dados são retidos e o direito do consumidor de retirar seu consentimento.

A segunda área chave é a responsabilidade e manutenção de registros. Mais uma vez, a conformidade será um desafio, mas os varejistas também terão que demonstrar que mantiveram seus registros atualizados e de acordo com a LGPD.

Em terceiro lugar, você deve ter um acordo por escrito com qualquer terceiro que processe os dados para você.

Se um varejista terceiriza a coleta de informações, o que muitas empresas grandes fazem, então ele precisa de um contrato robusto por escrito que estabeleça os termos e condições entre eles e o terceirizado. 

Além disso, existem cláusulas contratuais prescritas pela LGPD, o que significa que muitos acordos entre varejistas e as partes que coletam e processam seus dados terão de ser eliminados e processados do zero a um custo significativo.

Finalmente, os varejistas devem abordar direitos individuais aprimorados em relação às informações mantidas sobre indivíduos.

Isso inclui o direito de ser esquecido e o direito à portabilidade de dados, que está vinculado ao uso de dados.

Isso ocorre porque os dados são as commodities mais valiosas que os varejistas podem ter em relação aos seus consumidores, sejam eles business-to-business ou business-to-consumer.

Como os varejistas podem implementar um programa de proteção de dados eficaz e reduzir os impactos da LGPD no varejo?

As necessidades de conformidade com a LGPD variam de varejista para varejista, com base em quão bem suas atividades comerciais suportam os direitos de privacidade de dados pessoais de indivíduos no Brasil. 

Implementar um programa LGPD eficaz pode ser particularmente complicado para varejistas, especialmente aqueles que têm uma variedade de pontos de contato com o cliente em todos os canais, bem como aqueles que têm franquias. 

Esses vários pontos de contato variam de pontos de vendas a e-commerce e call centers, bem como aplicativos móveis, quiosques, sistemas ERP e até mesmo e-mail.

Para começar, os varejistas devem considerar algumas perguntas comuns quando se trata de implementar seu programa de privacidade de dados:

  • Se um titular de dados deseja excluir seus dados, como localizarei todas as suas informações? Como a empresa determinará o que pode ser excluído e o que é necessário para fins regulatórios ou de retenção legal?
  • Se o titular dos dados do consumidor deseja obter acesso aos seus dados pessoais, o que a empresa pode fornecer a ele? Qual formato será entregue?
  • Quais dados pessoais a empresa retém e por quanto tempo?
  • Precisamos trabalhar com fornecedores terceirizados para obter cópias de dados pessoais?
  • Temos funcionários que podem fazer solicitações semelhantes e a empresa sabe como atender a essas solicitações?
  • A empresa consegue cumprir os prazos estabelecidos pela LGPD? 

As solicitações de titulares de dados são de longe um dos aspectos mais complicados do cumprimento da LGPD porque os consumidores querem saber:

  • Como seus dados pessoais são protegidos;
  • Onde seus dados estão localizados e quem tem acesso a eles;
  • Como corrigir informações pessoais;
  • Se a empresa tem consentimento para usar ou compartilhar seus dados pessoais.

Em geral, a LGPD exige que os varejistas adotem uma abordagem holística para a governança da privacidade de dados.

Lembre-se de que a lei de proteção de dados foi estabelecida com o entendimento de que a privacidade de dados continuará a evoluir, e a aplicação dos direitos de privacidade de dados pessoais precisará ser alterada. 

Programas eficazes de privacidade de dados devem estar alinhados aos negócios, operações, funções jurídicas e de tecnologia dos varejistas, ajudando a impulsionar uma cultura de privacidade e proteção de dados em toda a empresa. 

Os varejistas que confirmarem que suas políticas atuais atendem aos requisitos da LGPD e estabelecerem filosofias corporativas de privacidade de dados robustas e responsivas estarão mais bem equipados para a nova era de privacidade de dados.

A possível inviabilidade do negócio como um dos principais impactos da LGPD no varejo

As empresas do varejo precisam reformular o modo como pensam sobre os dados do cliente e a sua própria responsabilidade. Então, se implementada adequadamente, a LGPD pode ser uma oportunidade de melhoria para as organizações.

Adote uma abordagem baseada em risco. A privacidade tem que ser um componente para o qual você está preparado e no qual deve acreditar.

As multas serão cobradas com base no que está previsto na LGPD, o que leva as empresas a riscos significativos.

Os valores atribuídos para cada situação podem inviabilizar totalmente a existência da organização ou comprometer a credibilidade dela diante do mercado e dos consumidores.

Entre em contato conosco. Nossos especialistas poderão ajudá-los, contribuindo para o desenvolvimento dos seus projetos de proteção de dados e a melhoria contínua da sua empresa.

Sobre a Eval 

A Eval está há mais de 18 anos desenvolvendo projetos nos segmentos financeiro, saúde, educação e indústria. Desde 2004, oferecemos soluções de Autenticação, Assinatura Eletrônica e Digital e Proteção de Dados. Atualmente, estamos presentes nos principais bancos brasileiros, instituições de saúde, escolas e universidades, além de diferentes indústrias. 

Com valor reconhecido pelo mercado, as soluções e serviços da Eval atendem aos mais altos padrões regulatórios das organizações públicas e privadas, tais como o SBIS, ITI, PCI DSS, e a LGPD. Na prática, promovemos a segurança da informação e o compliance, o aumento da eficiência operacional das empresas, além da redução de custos. 

Inove agora, lidere sempre: conheça as soluções e serviços da Eval e leve sua empresa para o próximo nível. 

Eval, segurança é valor. 

Categorias
Proteção de dados

Criptografia de Dados para Segurança da Nuvem: Guia Prático

A criptografia de dados para a segurança da nuvem tem papel fundamental na proteção contra ataques cibernéticos. Porém, ainda existem falhas.

A frequência dos ataques cibernéticos continua a aumentar, especialmente nos setores de educação, bancos, saúde e governo. Por isso a criptografia de dados para a segurança da nuvem tem sido uma prioridade.

Um motivo para este aumento é a transição do armazenamento de dados em bancos de dados locais para o armazenamento em nuvem, que é conectado por meio de tecnologias com e sem fio.

E a criptografia de dados para a segurança da nuvem tem sido fundamental nessa fase de transição.

Embora as plataformas em nuvem apresentem uma maneira conveniente de armazenar grandes bancos de dados que contêm registros de clientes, funcionários, financeiros e de vendas, os hackers podem explorar os pontos fracos dos sistemas de computação em nuvem e obter acesso não autorizado, representando o pacote como tráfego local.

Os cibercriminosos têm como alvo as organizações não apenas com data centers locais, mas também aquelas com ambientes hospedados em plataformas de computação em nuvem. 

Infelizmente, regras fortes de firewall não são suficientes para proteção contra ataques cibernéticos e fornecer a autenticação e autorização necessárias para segurança operacional proteção contra ataques cibernéticos. Sendo necessário um teste rigoroso e validação de segurança no nível do banco de dados e do aplicativo. 

É crucial proteger os dados armazenados quando em repouso, onde os dados permanecem em um dispositivo permanentemente, e em trânsito, e quando eles são movidos de um local ou rede para outro local / rede.

Para complicar as coisas, os hackers usam ferramentas e técnicas modernas para obter acesso não autorizado aos dados dentro de uma organização, na Internet ou armazenados em serviços de computação em nuvem. 

Portanto, criptografia de dados e a autenticação, implementação de certificados SSL e conexões SSL são essenciais. Igualmente importante é estabelecer políticas que restrinjam o acesso não intencional a ambientes e validação regular de identidade e gerenciamento de acesso.

Percebendo os benefícios da autenticação e criptografia de dados para a segurança da nuvem

Basicamente, a criptografia de dados para a segurança da nuvem protege informações confidenciais e privados misturando blocos de dados de texto em um código secreto. Uma chave de descriptografia é necessária para decodificar a criptografia. 

Diferentes algoritmos, incluindo DES, AES e RSA, transformam os dados em um formato ilegível, chamado texto cifrado. O texto cifrado é transmitido ao receptor com chaves de descriptografia públicas e privadas para descriptografar os dados.

O receptor descriptografa o texto cifrado usando ambas as chaves para transformá-lo em um formato legível.

A autenticação de dados é um mecanismo de comunicação de rede complexo que mantém o não-repúdio e a integridade dos dados. Os métodos de autenticação de dados comuns incluem:

Autenticação de senha

Os usuários devem inserir uma senha para obter acesso aos dados, o que mantém os dados protegidos contra acesso não autorizado. Senhas complexas usando uma combinação de números, letras e caracteres especiais são usadas para dados mais seguros e para reduzir ainda mais o risco.

Esse é apenas o primeiro passo para garantir a proteção contra ataques cibernéticos com uso da criptografia de dados para a segurança da nuvem.

Autenticação de dois fatores

Uma senha de uso único (one-time password – OTP) é enviada ao número do celular ou e-mail do usuário. Se for o usuário original, o acesso aos dados é aprovado após a entrada deste OTP.

Os hackers que tentam obter acesso não terão este OTP, o que significa que o acesso aos dados é negado e a conta é bloqueada temporariamente para salvar os dados de ataques.

Autenticação de token

Um token é enviado ao servidor de rede para autenticação. O servidor verifica as credenciais do dispositivo e aprova ou nega a autenticação.

Verificação do bit de paridade

Essa técnica forte e comumente usada também é conhecida como verificação de redundância cíclica (cyclic redundancy check – CRC) e garante a transmissão de dados precisa. 

Um código CRC é adicionado ao final da mensagem de dados antes da transmissão. No ponto de destino, o receptor obtém os dados com o código CRC e os compara com o código original. Se os valores forem iguais, os dados foram recebidos corretamente.

Os certificados SSL ( Secure Sockets Layer ) fornecem criptografia de dados usando algoritmos específicos. Esses certificados garantem a segurança da transmissão de dados de atividades maliciosas e software de terceiros.

Dois tipos de mecanismos são usados ​​para criptografar os certificados: uma chave pública e uma chave privada. 

A chave pública é reconhecida pelo servidor e criptografa os dados. O SSL mantém os dados criptografados até que o usuário conclua o processo de comunicação. Os dados só podem ser descriptografados pela chave privada. 

Se um hacker conseguir hackear os dados durante o processo de comunicação, a criptografia tornará os dados inúteis. SSL é recomendado como um padrão internacional para transmissão segura de dados em sites.

Melhores práticas para proteção contra ataques cibernéticos com uso da criptografia de dados

As organizações podem empregar várias abordagens comprovadas para proteger seus dados ao usar a criptografia de dados para a segurança da nuvem. Eles incluem:

  • Desenvolver uma chave de criptografia e um plano de gerenciamento de acesso para garantir que os dados sejam descriptografados quando o acesso aos dados for necessário. Os principais processos de gerenciamento devem estar implementados para evitar a divulgação não autorizada de dados ou a perda irrecuperável de dados importantes;
  • Certificar de que os mecanismos de criptografia estejam em conformidade com as leis e regulamentos aplicáveis. Qualquer compartilhamento de dados criptografados, exportação ou importação de produtos de criptografia de dados (por exemplo, código-fonte, software ou tecnologia) deve estar em conformidade com as leis e regulamentos aplicáveis ​​dos países envolvidos;
  • Definir os níveis de acesso aos dados. Monitor e registrar atividades de acesso inadequadas para reduzir ocorrências de ameaças internas. Exclua as contas de ex-funcionários imediatamente após a separação da empresa;
  • Treinar todos os funcionários no tratamento de dados confidenciais usando a tecnologia mais recente e certifique-se de que eles entendam como os sistemas usam essas informações.

Criptografia de dados para a segurança da nuvem: erros que sua empresa deve evitar

O maior equívoco sobre segurança cibernética é que as empresas pensam que estão completamente protegidas de ataques porque realizaram grandes investimentos implementando protocolos de segurança. 

Esquecem-se de que sempre há vulnerabilidades que os deixam expostos a riscos, podendo resultar em danos irrecuperáveis. Com o advento do armazenamento em nuvem, muitas empresas foram levadas a acreditar que simplesmente mudar para a nuvem garante a proteção contra ataques cibernéticos. 

E embora seja certamente um local seguro para armazenar os dados confidenciais de uma empresa, não é uma fortaleza impenetrável, por isso a importância da criptografia de dados para a segurança da nuvem.

Além disso, algumas empresas permanecem com tecnologias mais antigas sem atualizar para avanços mais novos e mais seguros, o que as deixa ainda vulneráveis ​​a riscos de segurança.

As empresas podem aproveitar aspectos de segurança inovadores para ajudá-las a mitigar ameaças à segurança. As redes definidas por software podem fornecer segurança automatizada no nível do hardware por meio de roteadores e switches. 

As ferramentas de gerenciamento de configuração fornecem um método conveniente para gerenciar e automatizar as configurações de segurança. 

É hora de as empresas que investem em sistemas de computação em nuvem também investirem em tornar seus sistemas de segurança cibernética mais seguros, confiáveis ​​e robustos contra ataques cibernéticos com uso da criptografia de dados.

Sobre a Eval

A EVAL está a mais de 18 anos desenvolvendo projetos nos segmentos financeiro, saúde, educação e indústria, Desde 2004, oferecemos soluções de Autenticação, Assinatura Eletrônica e Digital e Proteção Contra Ataques Cibernéticos. Atualmente, estamos presente nos principais bancos brasileiros, instituições de saúde, escolas e universidades, além de diferentes indústrias.

Com valor reconhecido pelo mercado, as soluções e serviços da EVAL atendem aos mais altos padrões regulatórios das organizações públicas e privadas, tais como o SBIS, ITI, PCI DSS, e a LGPD. Na prática, promovemos a segurança da informação e o compliance, o aumento da eficiência operacional das empresas, além da redução de custos.

Inove agora, lidere sempre: conheça as soluções e serviços da Eval e leve sua empresa para o próximo nível.

Eval, segurança é valor.

Categorias
Proteção de dados

Golpes envolvendo o Pix: Recomendações Necessárias

Golpes envolvendo o Pix e outros pagamentos instantâneos coloca em risco operações financeiros e gera prejuízos. Saiba como se prevenir.

Uma das questões mais urgentes para bancos, operadores de sistema financeiro e reguladores é como aumentar a velocidade sem sacrificar a segurança. Nesse novo cenário de pagamentos instantâneos, a tecnologia pode contribuir para a prevenção de golpes envolvendo o Pix, em vez de simplesmente acelerar os pagamentos? 

Quando o Banco Central do Brasil lançou recentemente o sistema de pagamentos instantâneos, os golpes envolvendo o Pix ocorreram imediatamente.

Essa nova forma de pagamentos instantâneos é um novo paradigma na forma de realizar movimentações financeiras, entregando transferências de pagamentos 24 horas por dia, 7 dias por semana, em questão de segundos. 

Porém, infelizmente, os pagamentos instantâneos podem abrir a porta para fraudes em tempo real.

Os golpes envolvendo o Pix podem assumir diferentes formas

Pagamentos instantâneos permite que vendedores e compradores troquem dinheiro e comprem serviços em segundos. Os fundos são recebidos na conta bancária do beneficiário quase imediatamente, em vez de demorar alguns dias úteis. 

Isso pode fazer uma diferença significativa para o fluxo de caixa de uma pequena empresa, em particular, e significa menos tempo gasto esperando que o dinheiro seja compensado do ponto de vista do comprador. 

De fato, transações rápidas são um requisito comum na nova economia, especialmente com o aumento da mobilidade: as atuais gerações de clientes querem poder fazer pagamentos a qualquer hora, em qualquer lugar, usando seus dispositivos móveis.

Entretanto, ao mesmo tempo que as instituições financeiras estão lançando novas soluções de pagamento mais rápidas, elas estão lutando com novos tipos de fraude e o aumento de táticas como comprometimento de e-mail.

Normalmente, um fraudador irá intimidar, persuadir ou seduzir você a desembolsar dinheiro ou informações de identificação pessoal valiosas, fingindo ser uma pessoa que você conhece ou uma instituição em que você confia.

O criminoso digital pode fingir ser um representante do banco em uma chamada telefônica e solicitar o login da sua conta corrente. Ele ou ela pode se passar por um funcionário do governo e ameaçar jogá-lo na prisão a menos que você pague por “impostos devidos”. 

O fraudador pode até mesmo fingir-se de uma instituição de caridade e enganá-lo para que doe fundos a uma organização falsa. Os vigaristas tendem a prosperar com a incerteza e o pânico. E com o Pix, não será diferente, eles vão tirar vantagem de suas fraquezas.

Combate aos golpes envolvendo o Pix: um ato de equilíbrio 

Como você pode se proteger de golpes envolvendo o Pix? Aqui estão várias etapas de bom senso que os consumidores podem seguir para garantir que não sejam enganados por um golpista.

1. Pense antes de clicar em um link ou baixar um anexo

Pense bem antes de clicar em qualquer link ou baixar qualquer anexo em um e-mail ou site, dizem os especialistas de segurança, mesmo que seja de alguém que você conhece. 

Golpistas e hackers sequestram endereços de e-mail para enviar links ruins e, em seguida, os usam para instalar malware em seu computador ou induzi-lo a fornecer informações pessoais valiosas. 

Se um e-mail parecer incompleto, pense duas vezes antes de interagir com ele. Tenha muito cuidado também antes de conduzir transações financeiras em uma rede Wi-Fi pública, o que a torna mais vulnerável a fraudadores.

2. Pare e respire

Durante os golpes envolvendo o Pix, os cibercriminosos se alimentam de seu pânico e medo. Eles são o que chamamos de engenheiros sociais, seu trabalho é dissuadi-lo de suas informações. 

Se você receber uma ligação de um cobrador de dívidas, por exemplo, ameaçando prendê-lo a menos que você envie dinheiro imediatamente, respire fundo e vá devagar. 

Lembre-se de que os cobradores de dívidas não podem ameaçar prendê-lo. Depois de deixar o pânico diminuir, você pode perceber que há outros aspectos suspeitos sobre a interação e perceber que está lidando com um vigarista.
3. Proteja suas informações pessoais

Os golpistas ao realizar golpes envolvendo o Pix não estão apenas atrás de seu dinheiro. Eles querem seu número de identidade ou CPF, endereço, e-mail e outras informações pessoais, que são tão valiosas para eles quanto dinheiro. 

Portanto, tenha muito cuidado antes de passar suas informações para alguém que liga, envia mensagens de texto ou e-mails. Nunca se identifique com dados pessoais para ninguém que o contate. 

Em vez disso, desligue e ligue de volta para o número de atendimento ao cliente que você encontra online ou no verso do seu cartão de crédito, por exemplo.

Existem alguns motivos para fornecer o seu número de identidade ou CPF, e o número de verificação no verso do seu cartão de crédito só deve ser usado por você ao fazer uma compra online.

4. Tenha uma senha forte

Certifique-se de ter senhas complexas – compostas de letras, números e símbolos – e de usar uma senha diferente para cada conta configurada.

Você também deve se certificar de que todos os seus computadores e laptops possuem software antivírus e de segurança atualizado. Lembre-se de atualizar todos os telefones ou tablets com o software mais recente.

Também é importante ter senhas seguras, pois isso torna mais difícil para os golpistas cometer fraudes financeiras em sua conta.

5. Fique atento, se parece bom demais para ser verdade, desconfie

Se alguém ligar ou enviar um e-mail com um negócio financeiro incrível, pode ser um golpe envolvendo o Pix. 

Ofertas que parecem boas demais para ser verdade geralmente são criminosos que tentam colocar as mãos no seu dinheiro. Se você não tiver certeza, peça que escrevam para você para confirmar os detalhes da oferta que você está discutindo com eles. 

Mesmo assim, você deve continuar a ter cuidado ao lidar com eles até ter certeza absoluta de que a oferta é genuína.

O que fazer se você for enganado em golpes envolvendo o Pix

Se você for vítima de um golpe envolvendo o Pix ou qualquer outra forma de fraude, não deixe que o constrangimento o impeça de denunciar o crime às autoridades. 

Se sua identidade foi roubada, ligue para as empresas onde ocorreu a fraude e informe que alguém roubou sua identidade. Peça que eles coloquem um alerta em suas contas e, em seguida, altere seu login e senhas. 

Algumas ações de mitigação, como o cancelamento da chave Pix ou do seu cartão de crédito, são necessárias para limitar sua responsabilidade financeira se suas informações forem roubadas. 

Se você está preocupado com o fato de que o roubo de identidade está afetando sua saúde financeira, entre em contato com as agências bancárias ou empresas de crédito para corrigir qualquer informação falsa e solicitar um alerta de fraude ou congelamento de sua conta. Dependendo do tipo de roubo ou fraude ocorrida.

Por fim, se você foi vítima de golpes financeiros – também tome cuidado com o processo de recuperação da fraude. Muitas vezes os fraudadores fingem ser um advogado ou policial e dizem que podem ajudá-lo a recuperar o dinheiro que você já perdeu.

Pix e a Eval

A Eval teve participação direta no processo de implantação do Pix, o sistema de pagamento instantâneo do Banco Central. A E-VAL com soluções de assinatura e certificados digitais, a exemplo do E-VALCryptoCOMPE e o EVALCryptoSPB que hoje atende a assinatura digital de mensagens trocadas pelo Sistema Financeiro Nacional.

Em relação ao processamento e performance do Pix, a solução EVALCryptoPix da Eval, que utiliza API Rest, facilita a integração e otimiza o processamento da assinatura digital e do XML, fornecendo alto desempenho e escalabilidade com elasticidade nas transações de pagamento do Pix.

Além disso, para o Pix, a Eval está fornecendo uma solução completa para a assinatura digital, desde o software de assinatura digital e verificação, como também os certificados digitais exigidos na comunicação e o HSM que o Banco Central recomenda o uso.

Sobre a Eval 

A Eval está há mais de 18 anos desenvolvendo projetos nos segmentos financeiro, saúde, educação e indústria. Desde 2004, oferecemos soluções de Autenticação, Assinatura Eletrônica e Digital e Proteção de Dados. Atualmente, estamos presentes nos principais bancos brasileiros, instituições de saúde, escolas e universidades, além de diferentes indústrias.  

Com valor reconhecido pelo mercado, as soluções e serviços da Eval atendem aos mais altos padrões regulatórios das organizações públicas e privadas, tais como o SBIS, ITI, PCI DSS, e a LGPD. Na prática, promovemos a segurança da informação e o compliance, o aumento da eficiência operacional das empresas, além da redução de custos.  

Inove agora, lidere sempre: conheça as soluções e serviços da Eval e leve sua empresa para o próximo nível.  

Eval, segurança é valor. 

Categorias
Proteção de dados

Proteção de Dados e Conformidade: Estratégias e Riscos

Proteção de dados: Como as tendências e riscos tecnológicos moldam a estratégia das organizações

Um infraestrutura de TI segura ​​significa arquitetar para garantir a resiliência, proteção de dados e conformidade, aceitando que mudanças disruptivas são a norma e fazem parte da gestão de risco.

Ela apoia uma empresa que explora as inovações que a tecnologia digital traz, combinando funções de negócios para orquestrar os resultados adequados e esperados.

Na prática, CEOs e líderes de TI que usam a proteção de dados e conformidade para lidar com a interrupção contínua dos negócios tornarão suas empresas mais sólidas, sustentáveis ​​e farão contribuições significativas ao crescimento das organizações.

De acordo com a pesquisa do Conselho de Administração da Gartner, 69% dos diretores corporativos desejam acelerar as estratégias e gestão de risco para ajudar a lidar com a interrupção contínua. 

Para essas organizações, isso significa que suas estratégias digitais se tornaram reais pela primeira vez e, para outras, significa aumentar os investimentos digitais rapidamente.

Estratégias digitais são uma aceleração natural que as organizações vivem todos os dias

Isso permite que elas finalmente busquem a segurança e agilidade que os tempos atuais exigem.

De fato, o mundo atual exige pelo menos 4 características das empresas: flexibilidade, fluidez, continuidade e até improviso – é como elas irão avançar.

É por isso que os negócios digitais são mais importantes do que nunca.

Para garantir que suas organizações fossem resilientes, muitos CIOs também aplicaram algumas mudanças críticas em sua composição de infraestrutura, ganhando mais velocidade, maior agilidade, melhor liderança por meio da orquestração e resistência aos ataques por meio da autonomia.

Resiliência de negócios através da proteção de dados e conformidade

O termo ‘resiliência’ significa a capacidade de se preparar e se adaptar às mudanças nas condições anormais, se restabelecendo rapidamente das interrupções.

Isso inclui a capacidade de resistir e se recuperar de ataques deliberados, acidentes, ameaças ou incidentes que ocorrem naturalmente.

Essa capacidade de superação, entretanto, não é algo que acontece por si só na segurança e proteção de dados ou em qualquer outro aspecto. Deve ser planejado e gerenciado e, por isso, a gestão de risco visando a continuidade das operações deve estar na agenda da maioria das empresas.

Simplificando, a recuperação do ambiente operacional é o gerenciamento abrangente e padronizado de todos os processos para identificar e mitigar os riscos que ameaçam uma organização.

Esses riscos incluem interrupções na continuidade da TIC (Tecnologia da Informação e Comunicação), ataques virtuais, demandas do consumidor, mudanças no mercado, requisitos de conformidade regulatória e até pandemias, como demonstrou a Covid-19.

Portanto, a resiliência visando a proteção de dados pode exigir tarefas de gerenciamento complexas, dependendo do tamanho e da natureza do empreendimento.

Para alcançar proteção de dados e conformidade, comece com gestão de risco

Segurança, continuidade e gerenciamento de riscos estão intimamente relacionados. Eles trabalham juntos para proteger as empresas contra interrupções.

Mas o controle dos riscos deve ser sempre o ponto de partida para identificar riscos potenciais e, em seguida, criar controles para gerenciá-los.

No entanto, a gestão de riscos não elimina necessariamente as ameaças de uma vez. Ela precisa ser complementada pela gestão de continuidade para garantir que as organizações planejem contingências, como o planejamento de fornecedores alternativos de bens e serviços.

Mas alcançar a integridade com base na proteção de dados, requer um planejamento cuidadoso das operações da empresa para garantir que elas sejam flexíveis o suficiente para se adaptar às mudanças do mercado, e que a continuidade do uso da tecnologia seja garantida. 

Isso inclui planejamento e gerenciamento tendo como foco a estratégia de proteção de dados, bem como uma avaliação de risco abrangente na forma de uma análise de impacto de negócios.

Garanta flexibilidade organizacional com uso da tecnologia e inovação

Uma organização rígida que não consegue se adaptar com flexibilidade enfrentará desafios em qualquer crise.

Estruturas organizacionais tradicionais, comunicação não transparente, TI mal financiada, falta de digitalização e processos de gestão rígidos são todos obstáculos reais em uma crise.

Em vez disso, certifique-se de que os funcionários e gerentes sejam capazes de agir em qualquer situação, a comunicação seja clara, haja uma cultura de feedback honesto, a TI focada na proteção de dados, os funcionários treinados e os processos digitalizados.

Desta forma, os funcionários podem agir de forma independente e a microgestão é evitada.

Também é importante fazer todas as mudanças organizacionais necessárias sem demora para se livrar dos silos, integrar a TI e os negócios e planejar de forma abrangente para construir uma cultura de superação. 

Se a TI, o gerenciamento da cadeia de suprimentos, a segurança da informação e outras partes interessadas trabalharem isoladamente, haverá o risco de falha.

Em vez disso, planeje trabalhar em equipes de várias divisões para se preparar para uma crise.

Prepare-se para uma crise de proteção de dados e conformidade de forma abrangente

Adaptando o modelo e processos de negócios, investimentos e operações de TI para serem mais resilientes na proteção de dados

Em seguida, valide que o setor de tecnologia entenda totalmente o que mantém o ambiente de produção funcionando, para que haja um alinhamento mais profundo das atividades e TI, e os investimentos se concentrem na continuidade, colaboração e autoatendimento. 

Planeje também como as operações funcionarão durante uma crise. Elabore um plano de emergência e configure uma estrutura de comando de incidentes para garantir que todos conheçam suas funções e responsabilidades em vários cenários de crise. 

A educação e o treinamento são essenciais, e o teste regular dos planos de continuidade de negócios para crises não deve ser esquecido.

Como a assinatura eletrônica pode impulsionar a proteção de dados e conformidade

As assinaturas eletrônicas têm se mostrado incrivelmente úteis para a proteção de dados e conformidade, além da continuidade dos negócios, mesmo antes de a crise do Covid-19 chegar. Agora, está ajudando a impulsionar a garantia das operações em relação a governança, gerenciamento de riscos e conformidade em todas as relações jurídicas.

Dados os desafios globais que enfrentamos agora, considere como você obteria as assinaturas dos principais gestores da empresa nos seguintes casos:

  • Acordos de compra e transferência de ações;
  • Documentos e procurações;
  • Atas e resoluções;
  • Contratos de aquisição;
  • Contratos de integração e trabalho;
  • Cartas de nomeação de diretores.

As assinaturas eletrônicas funcionam como impressões digitais. O seu uso traz benefícios para o gerenciamento de entidades, conservação das operações proteção de dados e conformidade, incluindo:

  • Maior eficiência;
  • Redução de custos;
  • Mitigação de risco;
  • Eliminação de erros manuais;
  • Melhor segurança;
  • Criação de uma trilha de auditoria.

E, o mais importante, essas eficiências permitem mais tempo para o gerenciamento estratégico da empresa.

Os profissionais das áreas jurídicas gastam menos tempo procurando assinaturas e mais tempo pensando no panorama geral da gestão de entidades, determinando o fim da conformidade reativa e trazendo uma era de governança proativa.

Como a Eval pode ajudar sua empresa na proteção de dados e conformidade

A Eval tem com soluções de criptografia de aplicações, tokenização de dados, anonimização, proteção em cloud, database encryption, big data encryption, proteção de arquivos estruturados e não estruturados em file server e cloud e key management para atender diferentes demandas na área de segurança de dados. 

São soluções para que os negócios estejam em conformidade e protegidos contra vazamento de dados.

Sobre a Eval 

A Eval está há mais de 18 anos desenvolvendo projetos nos segmentos financeiro, saúde, educação e indústria. Desde 2004, oferecemos soluções de Autenticação, Assinatura Eletrônica e Digital e Proteção de Dados. Atualmente, estamos presentes nos principais bancos brasileiros, instituições de saúde, escolas e universidades, além de diferentes indústrias.  

Com valor reconhecido pelo mercado, as soluções e serviços da Eval atendem aos mais altos padrões regulatórios das organizações públicas e privadas, tais como o SBIS, ITI, PCI DSS, e a LGPD. Na prática, promovemos a segurança da informação e o compliance, o aumento da eficiência operacional das empresas, além da redução de custos.  

Inove agora, lidere sempre: conheça as soluções e serviços da Eval e leve sua empresa para o próximo nível.  

Eval, segurança é valor. 

Categorias
Proteção de dados

Fraudes e Roubo de Dados: 11 Dicas para Segurança do Cliente

Como as empresas podem prevenir as fraudes e roubo de dados? 11 dicas para ajudá-lo a manter a proteção de dados.

A Pesquisa Global de Identidade e Fraude 2020 da Serasa Experian, mostra que 57% das empresas estão enfrentando perdas crescentes devido a fraudes e roubo de dados ano após ano, apesar de afirmarem ser capazes de identificar seus clientes com precisão. Por isso a necessidade de investir na proteção de dados.

A realidade mostra que três em cada cinco empresas disseram que houve aumento das fraudes nos últimos 12 meses.

Ou seja, o estudo feito pela Serasa Experian mostra que as preocupações das empresas com o aumento de fraudes e roubo de dados persistem mesmo com os investimento em segurança e proteção de dados realizados nos últimos anos.

Além disso, o custo médio de uma violação de dados em 2020 é de USD 3,86 milhões, de acordo com o estudo de violação de dados feito pela IBM. Apesar da leve queda em relação ao ano de 2019 (USD 3,9 milhões), ainda é um valor muito alto a se pagar pelas fraudes e seus impactos junto aos clientes.

O que acontece quando os responsáveis ​pela proteção são comprometidos por fraudes e roubo de dados?

Em setembro de 2017, a agência de crédito ao consumidor Equifax admitiu seu terceiro ataque cibernético em dois anos, quando hackers exploraram uma vulnerabilidade de um site.

Principais fatos sobre o ciberataque sofrido pela Equifax

  • Cerca de 143 milhões de clientes dos EUA tornaram-se potencialmente vulneráveis, tendo seus dados pessoais comprometidos (com 400.000 no Reino Unido);
  • Informações confidenciais (incluindo números de previdência social, números de carteira de motorista, datas de nascimento, histórico médico e informações de contas bancárias) foram comprometidas, deixando os clientes vulneráveis ​​a fraudes e roubo de dados;
  • A Equifax foi criticada por estar mal equipada para gerenciar a violação. Demorou cinco semanas para tornar a violação pública, ela criou um site de informações e uma linha direta – onde os clientes criticavam a falta de informações e os longos atrasos;
  • Em uma gafe notável, os clientes também foram direcionados a um site falso nos tweets da empresa;
  • Ofertas de um ano de serviço gratuito de monitoramento de crédito e roubo de identidade foram consideradas inadequadas;
  • Um processo judicial foi aberto acusando a Equifax de negligência com os dados do cliente, com implicações de custo potenciais de US $ 68,6 bilhões.

Os consumidores cujos dados foram vazados, roubados ou utilizados em fraudes nem mesmo sabem que suas informações pessoais estão em risco por meses ou até anos. Mas que escolha as pessoas têm: não viaje, não compartilhe, não use a mídia social? 

Ok, podemos fazer essas escolhas se for necessário, mas ainda precisamos obter serviços de saúde, usar um banco ou uma cooperativa de crédito, ser segurado ou mesmo obter nossos benefícios da Previdência Social.

Como as empresas podem dar os primeiros passos para prevenir as fraudes e o roubo de dados?

Estas são as principais dicas de especialistas para ajudá-lo a manter as informações confidenciais de sua empresa protegidas contra as fraudes e roubo de dados.

1. Livre-se do papel

Se você tiver que guardar arquivos de papel, destrua-os assim que não forem mais necessários. Na prática, há nove coisas que as empresas devem destruir:

  • Qualquer correspondência com um nome e endereço;
  • Etiqueta de bagagem;
  • Itinerários de viagem;
  • Cartões de embarque extras;
  • Ofertas de crédito;
  • Lista de preços;
  • Recibos de pagamento do fornecedor e faturas pagas;
  • Cheques cancelados;
  • Recibos.
2. Avalie quais dados você mais precisa proteger contra as fraudes e roubo de dados

Faça uma auditoria ou avaliação de seus dados. Cada empresa é diferente. Cada uma delas têm regulamentações diferentes, tipos de dados diferentes, necessidades diferentes desses dados e uma cultura empresarial diferente. 

Contrate um especialista externo para avaliar quais dados você possui, como você os está protegendo (não como você pensa que está protegendo) e para onde esses dados estão indo. 

Embora você possa pensar que é um custo desnecessário, se você relatar aos clientes e clientes em potencial que fez uma avaliação de dados externa, pode descobrir que isso o coloca em vantagem sobre seus concorrentes.

3. Restrinja o acesso aos seus dados confidenciais

Nem todos na empresa precisam de acesso a tudo. O gerente de projeto precisa de informações sobre preços? O vendedor precisa de informações sobre as operações?

Ao restringir os dados aos quais cada pessoa tem acesso, você limita sua exposição quando um funcionário decide o que deseja roubar ou quando a conta do funcionário é comprometida por alguém de fora.
4. Aplique controles de privacidade de dados internos e externos

Faça com que terceiros e prestadores de serviço contratados pela sua empresa sigam os mesmos controles rígidos de privacidade de dados que você implementa em sua própria organização. 

Audite-os periodicamente para garantir a conformidade com seus padrões de segurança e reduzir o risco das fraudes e roubo de dados.

5. Use senhas fortes para proteger computadores e dispositivos

Torne difícil para terceiros acessarem os dispositivos e computadores de sua empresa e funcionários, caso eles sejam perdidos ou roubados, protegendo-os com senhas fortes e habilitando a limpeza remota em todos os dispositivos.

6. Instale ou habilite um firewall

Mesmo pequenas empresas com poucos funcionários têm dados valiosos que precisam ser protegidos. Certifique-se de ter um firewall instalado para evitar que estranhos acessem a rede da sua empresa.

7. Proteja sua rede sem fio

Use uma senha forte e criptografia e segurança para ocultar sua rede sem fio de estranhos. Não deixe vizinhos ou transeuntes entrarem na sua rede ou mesmo ver que ela existe. Você está aumentado o risco de fraudes e roubo de dados.

8. Combater às fraudes e manter o bom relacionamento com clientes de acordo com a LGPD

A adesão aos princípios fundamentais da Lei Geral de Proteção de Dados (LGPD) e a prevenção de fraudes e roubo de dados e ainda ter bom relacionamento com clientes podem andar de mãos dadas. 

Minimizar a quantidade de dados pessoais coletados, colocar esses dados em anonimato e adotar princípios de privacidade desde o projeto, não apenas garantirá que o direito de seus clientes à privacidade dos dados seja preservado, mas também ajudará a mitigar seus riscos sob a ótica da LGPD.

9. Minimização de dados

Independentemente de você confiar ou não no interesse legítimo para adquirir dados, você deve coletar apenas os dados mínimos necessários para atingir seu objetivo. 

Se você pode combater as fraudes e roubo de dados apenas com a menor quantidade de informações de identificação não direta será melhor. Isso significará menos dados para proteger mais tarde.

10. Anonimização

Certifique-se de que todos os dados estão protegidos usando tokenização ou criptografia. 

Além do aumento da segurança, um benefício claro é que os requisitos obrigatórios de relatório de violação são significativamente reduzidos para dados anonimizados, pois o risco de danos ao titular dos dados é bastante reduzido, desde que a chave não seja comprometida.

11. Privacidade desde o projeto

Torne a privacidade de dados uma parte integrante do processo de pensamento de sua organização em todos os níveis. 

Faça com que todos os departamentos tenham o hábito de fazer perguntas sobre quais dados você precisa, como irá protegê-los e se você precisa ou não de consentimento. Sem mencionar que uma estratégia de privacidade bem pensada provavelmente criará uma melhor experiência do usuário.

E não se esqueça da autenticação! Credenciais violadas e roubadas são uma ameaça real à segurança dos dados de seus usuários. Esse vetor de ameaça torna a autenticação mais forte um componente essencial na luta contra as fraudes e roubo de dados, além da defesa do direito de seus usuários à privacidade de dados.

Como a EVAL pode ajudar sua empresa no combate as fraudes e roubo de dados

A EVAL tem com soluções de criptografia de aplicações, tokenização de dados, anonimização, proteção em cloud, database encryption, big data encryption, proteção de arquivos estruturados e não estruturados em file server e cloud e key management para atender diferentes demandas na área de segurança de dados. 

São soluções para que os negócios estejam em conformidade e protegidos contra vazamento de dados.

Sobre a Eval

A EVAL está a mais de 18 anos desenvolvendo projetos nos segmentos financeiro, saúde, educação e indústria, Desde 2004, oferecemos soluções de Autenticação, Assinatura Eletrônica e Digital e Proteção de Dados. Atualmente, estamos presente nos principais bancos brasileiros, instituições de saúde, escolas e universidades, além de diferentes indústrias.

Com valor reconhecido pelo mercado, as soluções e serviços da EVAL atendem aos mais altos padrões regulatórios das organizações públicas e privadas, tais como o SBIS, ITI, PCI DSS, e a LGPD. Na prática, promovemos a segurança da informação e o compliance, o aumento da eficiência operacional das empresas, além da redução de custos.

Inove agora, lidere sempre: conheça as soluções e serviços da Eval e leve sua empresa para o próximo nível.

Eval, segurança é valor.

Categorias
Novidades

O que você precisa saber sobre o PIX que ainda não lhe contaram

O que você precisa saber sobre o PIX que ainda não lhe contaram.

O PIX, plataforma de pagamento lançada recentemente pelo Banco Central do Brasil (BACEN) permite que pessoas, empresas e governos façam pagamentos mais rapidamente com fundos imediatamente disponíveis para uso pelo destinatário.

Comparados a algumas alternativas existentes, que podem levar dias para chegar a um destinatário, os pagamentos em tempo real oferecem um meio de compensação financeira mais rápida e previsível, criando potencialmente uma variedade de impactos econômicos e sociais que afetam consumidores, empresas e governos.

Os benefícios dos pagamentos digitais vão muito além da conveniência proporcionadas às pessoas nas economias desenvolvidas associadas ao meio digital e móvel.

Os serviços financeiros digitais realizados com uso dos pagamentos instantâneos reduzem o custo e aumentam a segurança do envio e recebimento de dinheiro. O aumento resultante na inclusão financeira também é vital para o empoderamento da sociedade.

No entanto, muito mais que revolucionar um sistema de pagamento tradicional, para que os pagamentos instantâneos possam realmente quebrar velhos paradigmas do segmento financeiro, precisa garantir requisitos operacionais fundamentais como segurança, escalabilidade e elasticidade para milhões de transações ao mesmo tempo.

Antes de revolucionar os meios de pagamento, é preciso atender exigências fundamentais ainda em fase de implementação do PIX

A ideia principal é oferecer um ecossistema capaz de oferecer um modelo de meio de pagamento mais rápido, com custos menores e acessível. A seguir as principais características dos sistemas de pagamento instantâneo do BACEN que são implementadas com uso da solução EVALCryptoPIX:

  • Escalabilidade e Elasticidade: Preparado para milhões de transações e horas de pico;
  • Segurança: Transações com o maior nível de segurança possível;
  • Disponibilidade 24x7x365: Uma infraestrutura baseada em nuvem essencial para a solução e a sociedade
  • Implementação Rápida: Sistema implementado antes de Novembro de 2020.
  • Velocidade: tempo estimado da transação entre recebedor e pagador menor que 10s.

Escalabilidade e Elasticidade: Pix preparado para milhões de transações e horas de pico

Se você usa Cloud para o seu projeto, seja ela Amazon AWS, Google, Microsoft Azure, Oracle ou outra é importante você escolher uma solução que se comporte bem nesses ambientes para a devida escalabilidade.

Alta Escalabilidade e Elasticidade: Solução EVALCryptoPIX usa a nuvem em conjunto com o HSM THALES para assegurar escalabilidade com segurança:

  • Micro serviços para geração e verificação de assinaturas digitais SPI e DICT
  • Conectores de comunicação TLS
  • Elasticidade, conforme demanda da instituição (planejadas ou não) pode-se criar tantas instancias quanto necessário.
  • Exemplos de situações:
    • datas especiais: Natal, Black Friday e demais picos de atendimento no comercio.
    • aumento de demanda programada: No qual a área de negócio planeja conquistar novos clientes ou estimular o uso e que irá aumentar a demanda.

Se você usa AWS BeansTalk e Docker você sabe bem o que estamos falando aqui.

Alta Segurança: Hardware de criptografia “State of the Art”

A solução EVALCryptoPIX é baseada no HSM Safenet Luna, o líder de mercado global.

Thales é líder mundial em segurança, 80% dos pagamentos no mundo passam por HSMs da Thales. Além disso a solução EVALCryptoPIX em conjunto com o HSM Luna Thales garantem total segurança das chaves digitais que sua instituição utilizará para validar as transações realizadas pelo PIX.

Estes são os diversos benefícios HSM Thales que melhora a desempenho dos processamentos de operações criptográficas:

  • As chaves sempre permanecem em limites seguros do HSM;
  • Chaves armazenadas separadamente dos dados;
  • Resistente a violações e evidente – zeroize;
  • ICP-Brasil, FIPS 140-2 – validados;
  • Alta garantia de chaves;
  • O registro de dados garante que você saiba sempre o paradeiro de suas chaves;
  • Compliance.
  • A necessidade de conformidade, como, PIX, LGPD,GDPR, eIDAS, PCI-DSS, HIPAA e com o  aumento devido a essas violações e vulnerabilidades;
  • Inovação constante – Quantum, blockchain e muito mais.
 

Alta disponibilidade: Solução desenhada para estar disponível 24x7x365

A solução EVALCryptoPIX foi projetada de tal forma que atenda todos os requisitos de alta disponibilidade, tal como:

  • Gerenciamento de Certificados: Não haverá uma janela de troca de certificados, como em outros sistemas, tal como SPB, portanto a solução deve estar preparada para atender essa demanda de troca de chaves atendendo a disponibilidade de o sistema estar em funcionamento 24×7;
  • Possibilidade de ter tantas instâncias quanto necessário;
  • Alta disponibilidade de HSM THALES, seja no modelo on premise, cloud ou híbrido.

Implementação Rápida: Integração Fácil Baseada em APIs

Com as APIs fornecidas pela solução EVALCryptoPIX, o cliente pode focar no seu core business, que é realizar os pagamentos instantâneo em si, criar interfaces de boa usabilidade para seus clientes, deixando toda a complexidade de assinatura digital para uma solução preparada para isso.

  • Conectores suporta assinatura e verificação mensagens XML;
  • Conectores suportam comunicação segura com o banco central;
  • Solução integrado nativamente com HSM THALES;

Alta Velocidade: Solução Otimizada para Pagamentos Instantâneos

Com base na premissa de efetuar “pagamentos instantâneos” em até 10 segundos, a solução EVALCryptoPIX otimiza ao máximo o processamento de mensagens, nas principais frentes:

  • Otimização de processamento XML;
  • Otimização do processo de geração de assinaturas, com HSM;
  • Otimização do processo de verificação de assinaturas:
  • Otimização de validação de LCR (Lista de certificados revogados);

A expansão geral do mercado de pagamentos digitais deve aumentar à medida que as pessoas migram de computadores pessoais para dispositivos móveis conectados, um aumento que representa bem o cenário latino-americano

Com o mundo inteiro passando por mudanças constantes, novas soluções financeiras estão surgindo o tempo todo.

As Fintechs, estão passando por um momento único em diferentes mercados da América Latina, especialmente o Brasil, estão especialmente interessadas em novas formas de pagamento.

A inovação digital trouxe mudanças na maneira como os latino-americanos vivem, consomem e pagam. Portanto, as empresas precisam se adaptar para oferecer soluções que facilitem a vida dos consumidores.

A Eval é parceira da Thales

A Eval é uma empresa especializada em serviços e soluções de alta tecnologia focada em Assinatura Digital, Autenticação e Proteção de Dados. A companhia tem se destacado no desenvolvimento de soluções críticas e tecnologias emergentes, melhorias de serviços eletrônicos no intuito de agregar valor e melhorias para nossos clientes.

A THALES é a líder mundial em HSM de propósito geral, HSM de pagamentos, Proteção de Dados com o Vormetric, dentre outros tantos produtos que fornecem a experiência e a tecnologia de última geração.

Nossa parceria tem como principal objetivo apoiar os projetos de autenticação, assinatura e proteção de dados da sua instituição, reduzindo custos e mantendo um alto nível de segurança e confiabilidade.

Sobre a Eval 

A Eval está há mais de 18 anos desenvolvendo projetos nos segmentos financeiro, saúde, educação e indústria. Desde 2004, oferecemos soluções de Autenticação, Assinatura Eletrônica e Digital e Proteção de Dados. Atualmente, estamos presentes nos principais bancos brasileiros, instituições de saúde, escolas e universidades, além de diferentes indústrias.  Com valor reconhecido pelo mercado, as soluções e serviços da Eval atendem aos mais altos padrões regulatórios das organizações públicas e privadas, tais como o SBIS, ITI, PCI DSS, e a LGPD. Na prática, promovemos a segurança da informação e o compliance, o aumento da eficiência operacional das empresas, além da redução de custos.  Inove agora, lidere sempre: conheça as soluções e serviços da Eval e leve sua empresa para o próximo nível.  Eval, segurança é valor. 

Categorias
Proteção de dados

Informações pessoais de saúde: garantia de segurança e proteção

O acesso a informações de saúde requer garantia de segurança e proteção de dados

Informações pessoais de saúde se referem, em suma, a informações demográficas, históricos médicos, resultados de exames e laboratórios, condições de saúde mental, informações sobre seguros e outros dados que um profissional de saúde coleta para identificar um indivíduo e determinar cuidados adequados.

Essas mesmas informações detalhadas a respeito de nossa saúde também são um produto. Além do uso para pacientes e profissionais de saúde, elas também são valiosas para pesquisadores clínicos e científicos quando anonimizadas.

Para hackers esses dados são um tesouro. Afinal, são informações pessoais de pacientes que podem ser roubadas e vendidas em outro lugar. E ainda, eles podem sequestrar os dados através de ransomware até que a instituição médica pague o valor do resgate.

As instituições médicas lidam com informações pessoais de saúde e isso pode ser um risco

Como vimos, pela natureza do setor, as instituições de saúde lidam com dados confidenciais dos pacientes. Essas informações incluem data de nascimento, condições médicas e solicitações de seguro de saúde.

Seja em registros em papel ou em um sistema de registro eletrônico, as informações pessoais de saúde descrevem o histórico médico de um paciente, incluindo assim doenças, tratamentos e resultados.

Para se ter uma ideia, desde os primeiros momentos após o nascimento, um bebê hoje provavelmente terá suas informações pessoais de saúde inseridas em um sistema de registro eletrônico de saúde, incluindo peso, comprimento, temperatura corporal e quaisquer complicações durante o parto.

O rastreamento dessas informações durante a vida de um paciente oferece ao médico o contexto da saúde da pessoa. Dessa forma fica melhor para o profissional tomar decisões de tratamento.

Quando registradas de forma adequada, as informações pessoais de saúde podem ser armazenadas sem recursos de identificação e adicionadas anonimamente a grandes bancos de dados de informações de pacientes.

Esses dados não identificados podem contribuir para a gestão de saúde da população e programas de cuidados baseados em valor.

Entretanto, há casos em que as medidas de segurança, proteção e privacidade de dados não são aplicadas. Assim instituições de saúde, funcionários e principalmente os pacientes correm um sério risco.

Ameaças de segurança cibernética na saúde afetam pacientes e instituições

À medida que a tecnologia avança, os profissionais de saúde trabalham para implementar inovações visando a melhora dos atendimentos, mas as ameaças à segurança cibernética também continuam evoluindo.

Ataques de ransomware e violações de dados de assistência médica continuam sendo as principais preocupações de entidades de saúde e parceiros de negócios de todos os tamanhos.

O ransomware é um bom exemplo de grande impacto para o setor de assistência médica. Ele é considerado de alto risco, uma vez que as organizações de saúde são encarregadas de cuidar de pessoas. Assim, se certas informações ficarem trancadas ou inacessíveis, esse cuidado poderá ser afetado.

A responsabilidade pela proteção das informações pessoais de saúde são de todas as instituições e seus parceiros de negócio

Uma situação às vezes mal interpretada pelas instituições de saúde é que a privacidade e a segurança das informações de saúde nem sempre se movem em conjunto.

Embora a privacidade exija medidas de segurança, é possível ter restrições de segurança que não protegem totalmente as informações privadas de pacientes e responsáveis.

Vamos pensar em um exemplo: se uma instituição de saúde ou um fornecedor de nuvem compartilham dados médicos criptografados para uma clínica ambulatorial, a proteção e a privacidade podem ficar em risco.

Afinal, as instituições precisam firmar um contrato de parceria que inclua requisitos dos processos e políticas de segurança de dados. Se isso não ocorrer, as informações compartilhadas correm alto risco.

Apesar do grande risco, é possível proteger sua organização contra o cibercrime assegurando as informações dos pacientes

Os ataques de ransomware e outros cibercrimes ocorrem quando algum hacker obtém acesso à rede de uma organização. Na sequência, arquivos são criptografados ou roubados.

No caso específico do ransomware, os arquivos ficam inacessíveis pelo alvo até que um valor seja pago como resgate.

Para proteger a sua organização contra ataques como esse e outros crimes cibernéticos direcionados ao setor de saúde, os especialistas em proteção de dados recomendam dez práticas visando a garantia das informações de saúde:

1. Defina políticas e processos claros de proteção e privacidade de dados

Um importante passo na proteção e privacidade das informações de saúde de pacientes e responsáveis é definir de forma clara as políticas e processos de proteção e privacidade de dados.

Esse é o pontapé inicial para todos as demais recomendações de segurança em benefício das instituições médicas.

2. Proteja as informações do paciente no local de trabalho

Utilize controles de acesso a fim de garantir que as informações de saúde dos pacientes sejam acessadas apenas pelos funcionários autorizados.

 
3. Realize a capacitação dos funcionários sobre políticas e processos de proteção e privacidade de dados de saúde

Uma instituição de saúde protegida deve treinar todos os membros da sua força de trabalho sobre as políticas e procedimentos com relação às informações pessoais de saúde.

O treinamento deve ser fornecido a cada novo profissional dentro de um período razoável de tempo após a pessoa ingressar na instituição.

Além disso, os membros do time também devem ser treinados se suas funções forem afetadas por uma mudança material nas políticas e procedimentos nas regras de privacidade e proteção definidas.

4. Procedimentos para divulgação ou compartilhamento de informações de saúde devem ser documentados e autorizados

É necessária uma autorização por escrito do paciente quando uma instituição de saúde precisar compartilhar ou divulgar documentos, informações ou notas de psicoterapia, distúrbio de abuso de substâncias e registros de tratamento.

5. Defina procedimentos seguros de armazenamento e recuperação de dados de saúde

Backup dos dados devem ser feitos periodicamente. Aliás, é uma prática recomendada também fazer backup de dados regularmente por meio de hardware, como unidades flash e discos rígidos externos, e depois copiar os dados pela nuvem enquanto ela está sendo modificada.

Essa redundância garante que informações críticas estejam prontamente disponíveis. Se possível, as instituições de saúde devem ter backups em vários locais.

6. Firewalls são essenciais para garantir que as informações protegidas não sejam destruídas incorretamente

Usar adequadamente um firewall pode ajudar a evitar que sua instituição seja vítima de um acesso não autorizado com potencial de comprometer a confidencialidade, integridade ou disponibilidade das informações de saúde dos pacientes.

7. Dados de saúde registradas em papel devem ser protegidas

A preocupação com a proteção de dados e privacidade também se aplica ao uso de papel e outros arquivos físicos. Além de políticas e procedimentos abrangendo a segurança física de documentos, os funcionários devem ser orientados a relatar imediatamente todos os incidentes que possam envolver a perda ou roubo de tais registros em papel.

8. Informações pessoais de saúde nunca devem ser deixadas sem supervisão

Cuidados extras devem ser tomados quando os prontuários dos pacientes são transportados temporariamente para outras instituições de saúde.

Essas informações devem ter a supervisão e proteção de profissionais responsáveis durante o percurso, entrega e armazenamento das informações pessoais de saúde.

9. A criptografia de documentos e dispositivos deve proteger dados médicos contra cibercriminosos

Em suma, os dispositivos e documentos devem ser protegidos com uso da criptografia e assinatura digital durante o compartilhamento entre instituições e outros profissionais de saúde.

10. Manter os softwares antivírus e antimalware atualizados é de vital importância para informações pessoais de saúde

Além disso, a atualizações e patches de software devem ser aplicados em tempo hábil para manter as redes e sistemas seguros.

Vale lembrar também que o bom senso é sempre uma boa prática recomendada. Os funcionários nunca devem compartilhar senhas. As senhas padrão devem ser alteradas imediatamente após a atribuição de um novo aplicativo. Por fim, elas não devem ser reutilizadas entre sistemas diferentes e devem também ser alteradas caso forem comprometidas.

O objetivo final é atingir níveis elevados de segurança, proteção e privacidade de dados, garantindo assim a integridade das informações pessoais de saúde de pacientes e demais responsáveis.

Sobre a Eval

A EVAL está a mais de 18 anos desenvolvendo projetos nos segmentos financeiro, saúde, educação e indústria, Desde 2004, oferecemos soluções de Autenticação, Assinatura Eletrônica e Digital e Proteção de Dados. Atualmente, estamos presente nos principais bancos brasileiros, instituições de saúde, escolas e universidades, além de diferentes indústrias.

Com valor reconhecido pelo mercado, as soluções e serviços da EVAL atendem aos mais altos padrões regulatórios das organizações públicas e privadas, tais como o SBIS, ITI, PCI DSS, e a LGPD. Na prática, promovemos a segurança da informação e o compliance, o aumento da eficiência operacional das empresas, além da redução de custos.

Inove agora, lidere sempre: conheça as soluções e serviços da Eval e leve sua empresa para o próximo nível.

Eval, segurança é valor.

Categorias
Assinatura Digital

Assinatura eletrônica com chancela da instituição

Nós fizemos um artigo falando sobre a assinatura eletrônica básica e nele explicamos que, apesar das vantagens ela não oferece bons níveis do ponto de vista da segurança da informação, assim como não é vista com bons olhos no quesito validade jurídica, apesar claro, de ter uma usabilidade do ponto de vista do usuário mais aceitável.

Hoje vamos abordar uma maneira mais segura de utilizar essa tecnologia. A assinatura eletrônica com chancela da instituição (ou chancela de terceiro) que é muito parecida com outros modelos de assinatura eletrônicas, mas oferece uma segurança maior.

Ela funciona da seguinte maneira: o usuário assina o documento com assinatura eletrônica básica, assinatura eletrônica autenticada ou mesmo assinatura comportamental; depois disso, uma assinatura digital é aplicada por um terceiro, que deve ser uma instituição confiável. Essa parte pode ser feita pela instituição onde o usuário trabalha, como um banco, uma corretora ou universidade, por exemplo.

Ao final do processo de assinatura, tanto o documento quanto a assinatura eletrônica do usuário ficam assinados com o certificado digital da instituição. Dessa forma, o modelo garante segurança à autenticação do assinador e ao documento, além de vincular ambos.

Assinatura eletrônica com assinatura digital da instituição

A garantia maior reside no fato de que a instituição precisa de uma assinatura digital para realizar o processo, assim como de um certificado digital. A assinatura digital é um modelo mais seguro de assinatura eletrônica, e o certificado digital funciona como uma espécie de carteira de identidade no mundo virtual.

Desse modo, a assinatura eletrônica com assinatura digital da instituição é capaz de prover informações sobre:

  • Identificação de quem realizou a assinatura;
  • A data e o horário em que a assinatura foi feita;
  • Integridade, do qual o documento não poderá ser alterado sem que isso seja percebido, já que ele fica protegido pela assinatura digital de um terceiro;
  • A coleta dos mesmos dados colhidos na assinatura eletrônica autenticada.

Mais pontos em um quesito importante: segurança

Como mostramos acima, geralmente quem oferece o serviço também autentica o usuário, e para isso pode usar tanto autenticação simples quanto de dois fatores. Todos esses processos garantem a integridade do arquivo, impossibilitando assim que ele seja alterado sem que isso deixe marcas.

Até a assinatura eletrônica do usuário pode ser assinada, o que chamamos de autenticação. Entretanto, é necessário que um terceiro faça a verificação da autenticação, como uma consulta ao histórico de serviço do autenticador.

Por fim, outro aspecto relevante da segurança das assinaturas eletrônicas com chancela de terceiro é que se a solução não for implementada de maneira correta, pode gerar problemas jurídicos. Afinal, sozinhas, tanto a assinatura eletrônica quando a assinatura digital da instituição não garantem um nível de segurança e validade jurídica exigidas em situações mais rigorosas. Lembrando sempre que o departamento jurídico da instituição é quem deve decidir se o modelo de assinatura atende os requisitos jurídicos para ser utilizado em cada negócio da instituição. Portanto uma instituição pode utilizar vários modelos de assinatura.

Então qual é a validade jurídica da assinatura eletrônica com chancela da instituição?

Ela pode ser bem aceita em júris, mas é importante que o responsável por oferecer a solução possua um histórico com bom nível de detalhamento e segurança contra adulterações, ou seja, tenha integridade dos dados e tenha auditabilidade.

Entretanto há um ponto de atenção! Se a empresa fornecedora da solução de assinatura fechar as portas, ou você decidir para de trabalhar com ela, as evidências legais dos documentos que você assinar podem deixar de valer e sem a possibilidade de recuperação. Por isso, antes de optar por uma empresa, certifique-se do que acontece com esses registros caso o serviço deixe de ser prestado. Ou seja, precisa ter um nível de interoperabilidade aceitável que garanta uma validação futura.

O que esperar da usabilidade?

Para os usuários finais, a assinatura eletrônica com chancela de terceiro funciona da mesma forma que o modelo de assinatura eletrônica autenticada. Afinal, a assinatura do prestador de serviço é adicionada automaticamente. Aliás, os documentos podem ser assinados de qualquer lugar e a qualquer momento, o que facilita o uso muito.

 

Boa comunicação com outros dispositivos e softwares

A assinatura eletrônica com chancela da instituição pode reconhecida e validada de maneira mais simples dos que as assinaturas digitais convencionais. Nesse tipo de solução você poderá ver dados da assinatura eletrônica assim como informações sobre a assinatura digital da instituição, como se fosse um dossiê, ou mesmo, um resumo das evidências da assinatura realizada pelo profissional, facilitando o entendimento de todos os envolvidos.

O que esperar dos custos de adoção e uso

Aqui temos uma boa vantagem. Este modelo não requer dispositivos como leitores ou software específicos para o usuário final.

Outra vantagem da assinatura eletrônica com chancela da instituição é não precisar de um certificado digital por usuário. O que pode ser vantajoso para determinados tipos de negócios. Por isso sempre consulte o departamento jurídico para saber se esse modelo de assinatura cabe no negócio que você quer aplicar. S

Resumo da conversa

A assinatura eletrônica com chancela da instituição é capaz de garantir níveis razoáveis de segurança e validade jurídica, mas para isso ela precisa ser oferecida com processos e procedimentos seguros para a autenticação dos usuários, integridade e administração dos históricos de operações. Para adicionar mais segurança é possível identificar o assinador de maneira específica.

Em suma, é interessante identificar e proteger a assinatura de cada usuário para garantir a integridade do que cada assinante encontrou no documento. Informações como data e hora em que o documento foi assinado são muito boas para dar mais força às assinaturas realizadas.

A assinaturas eletrônicas com chancela da instituição também podem contar com carimbo de tempo, mas isso encarece sua adoção.

Adicionalmente, vale lembrar que que diz a MP 2200 que regula a assinatura eletrônica no Brasil. Em especial o Art 10, paragrafo 2º “O disposto nesta Medida Provisória não obsta a utilização de outro meio de comprovação da autoria e integridade de documentos em forma eletrônica, inclusive os que utilizem certificados não emitidos pela ICP-Brasil, desde que admitido pelas partes como válido ou aceito pela pessoa a quem for oposto o documento.”.

Por fim, sempre consulte o departamento jurídico da sua instituição para que ele ajude na definição do qual modelo de assinatura eletrônica/digital você deve usar para cada negócio da sua empresa e assim ajuda a acelerar a transformação digital da sua empresa.

Sobre a Eval

A EVAL está a mais de 18 anos desenvolvendo projetos nos segmentos financeiro, saúde, educação e indústria, Desde 2004, oferecemos soluções de Autenticação, Assinatura Eletrônica e Digital e Proteção de Dados. Atualmente, estamos presente nos principais bancos brasileiros, instituições de saúde, escolas e universidades, além de diferentes indústrias.

Com valor reconhecido pelo mercado, as soluções e serviços da EVAL atendem aos mais altos padrões regulatórios das organizações públicas e privadas, tais como o SBIS, ITI, PCI DSS, e a LGPD. Na prática, promovemos a segurança da informação e o compliance, o aumento da eficiência operacional das empresas, além da redução de custos.

Inove agora, lidere sempre: conheça as soluções e serviços da Eval e leve sua empresa para o próximo nível.

Eval, segurança é valor.

Categorias
Assinatura Eletrônica

O que é uma assinatura eletrônica básica?

O que é uma assinatura eletrônica básica?

O termo assinatura eletrônica pode se referir a qualquer tipo de assinatura feita em um dispositivo eletrônico. Portanto há uma variedade de modelos de assinaturas eletrônicas, dentre elas há um tipo que também é conhecido como assinatura eletrônica básica.

Esse é o meio mais difundido de assinaturas com tecnologias eletrônicas e já o utilizamos há bastante tempo.

Além disso tudo, ele também é um dos tipos mais simples, podendo ser a imagem de uma assinatura inserida em um documento, o que nem sempre é reconhecido como um tipo de assinatura eletrônica básica, ou mesmo a coleta de um aceite contendo alguns dados de quem assinou, mais comum, especialmente na internet.

Em especial para assinaturas eletrônicas básicas, que coletam um aceite do usuário, podemos ter por exemplo: a identificação do usuário, em geral o endereço de e-mail, que está assinando, seu endereço de IP e a data e hora em que a assinatura foi feita.

Sabe quando você aceita usar os termos de um site ou aplicativo? Aquilo é um aceite.

Segurança

Tanto assinaturas eletrônicas quanto de próprio punho envolvem segurança. Afinal, elas precisam garantir a integridade do que está contido no documento e também que ele não será fraudado.

Entretanto, a assinatura eletrônica básica possui baixos níveis de segurança. É fácil copia-la de um documento para outro, não há nenhuma garantia de que depois de assinado o arquivo não será modificado e de difícil vinculação entre o usuário e o documento, ou seja, difícil de provar que foi o usuário que concordou com o aceite.

Portanto, esse modelo de assinatura não identifica o usuário de maneira única, podendo ser facilmente repudiada. Ou seja, quem assinou tem facilidade para afirmar que não fez isso.

Porém é possível coletar informações para uma futura verificação, adicionando um pouco a segurança e confiabilidade. A coleta de dados pode envolver por exemplo:

  • Data e hora em que a assinatura foi realizada;
  • Nome do usuário;
  • Endereço de e-mail e/ou Usuário;
  • CPF do usuário;
  • IP do dispositivo usado para fazer a assinatura;
  • O hash do documento, uma função que resume os dados contidos no arquivo.

Validade jurídica de uma assinatura eletrônica básica

As assinaturas podem servir como provas legais em muitos casos, mas cada modelo tem uma força diferente nessas situações.

As assinaturas eletrônicas básicas podem ser aceitas como evidência, mas elas não asseguram de maneira satisfatória quem assinou e como fez isso.

Isso ocorre por elas oferecerem pouco em segurança e confiança. Assim, um documento assinado eletronicamente pode ser facilmente contestado.

Essa característica não é um sinônimo de que você deve simplesmente desconsiderar a adoção de uma solução de assinatura eletrônica básica para a sua empresa.

Nós recomendamos que você sempre consulte o seu advogado ou a equipe jurídica da instituição onde trabalha a fim de ter um auxílio melhor nesta seara antes de escolher o modelo certo de assinatura eletrônica para negócio da sua organização.

Além disso, é possível que você use mais de um tipo de assinatura nos diferentes processos da sua empresa. Afinal, cada uma pode se adaptar melhor a cada negócio ou etapa das jornadas que clientes, colaboradores e fornecedores estão envolvidos no seu negócio.

As assinaturas eletrônicas básicas podem ser uma mão na roda

Apesar dos problemas com segurança e confiabilidade, esse modelo se sai bem em outros pontos. Como dissemos antes, a assinatura eletrônica básica é muito simples, e por isso, claro, é fácil de ser usada.

Ela não requer um registro de usuário ou login, oferece a possibilidade de abrir o documento em um navegador para o usuário assinar ali mesmo e não é preciso possuir cadastro de usuário ou fazer algum controle.

A única coisa importante é registrar dados relacionados à assinatura, mas isso também varia de acordo com as necessidades do seu negócio.

 

E ela se da bem com outros sistemas?

Interoperabilidade entre sistemas é o nome que se da à capacidade que um software tem de se comunicar com outros softwares. Apesar de ser prática para o usuário final, a assinatura eletrônica básica não vai muito bem no quesito interoperabilidade.

Para ter-se uma boa interoperabilidade, a assinatura eletrônica deveria seguir um padrão no qual vários softwares pudessem validar a assinatura e não existe nenhum meio de verificar a assinatura e determinar se ela é confiável e isso acaba atrapalhando o uso desse modelo de assinatura com outros softwares.

Quanto custa uma assinatura eletrônica básica?

Pouco. Comparada a outras formas de realizar assinaturas eletrônicas, as do tipo básico são baratas por conta da simplicidade. Elas não requerem o uso de certificados digitais e de nenhum investimento relevante em infraestrutura. O usuário pode utilizar qualquer navegador moderno, e geralmente um aceite com coleta de dados já é o suficiente.

Como resumir as assinaturas eletrônicas?

A assinatura eletrônica básica não oferece muita validade jurídica, mas isso não é uma sentença contra ela. Empresas ou processos que não dependem exclusivamente deste aspecto, que possuem um risco baixo, podem se valer de uma solução desse tipo, principalmente por conta do baixo custo.

Aliás, para algumas empresas o valor de adoção das outras soluções de assinatura eletrônica pode ser proibitivo. Dessa forma, o modelo básico é capaz de garantir que um maior número de empresas tenha acesso a essa tecnologia.

Por fim, é importante destacar que determinados documentos possuem requisitos mínimos, ou mesmo legislações especificas. Portanto lembramos novamente que você sempre deve consultar sua área jurídica para saber qual modelo de assinatura deve ser utilizado para cada caso.

Sobre a Eval 

A Eval está há mais de 18 anos desenvolvendo projetos nos segmentos financeiro, saúde, educação e indústria. Desde 2004, oferecemos soluções de Autenticação, Assinatura Eletrônica e Digital e Proteção de Dados. Atualmente, estamos presentes nos principais bancos brasileiros, instituições de saúde, escolas e universidades, além de diferentes indústrias.  

Com valor reconhecido pelo mercado, as soluções e serviços da Eval atendem aos mais altos padrões regulatórios das organizações públicas e privadas, tais como o SBIS, ITI, PCI DSS, e a LGPD. Na prática, promovemos a segurança da informação e o compliance, o aumento da eficiência operacional das empresas, além da redução de custos.  

Inove agora, lidere sempre: conheça as soluções e serviços da Eval e leve sua empresa para o próximo nível.  

Eval, segurança é valor. 

Onde Estamos

Rua Paulistânia, nº 381, 2º andar,
Sumarezinho, São Paulo - SP,
CEP: 05440-000

Contato

(11) 3670 - 3825
(11) 3865 - 1124
[email protected]

Facebook Instagram Linkedin
Política de Privacidade

Copyright © 2023, EVAL TECNOLOGIA EM INFORMÁTICA. Todos os direitos reservados - CNPJ 05.278.889/0001-97