Você já se preparou para o Dia 20 de agosto de 2020?

Daqui a um ano, entrará em vigor no Brasil a Lei Geral de Proteção de Dados (LGPD - Lei 53/2018). Ela contém princípios semelhantes às leis sobre privacidade de dados da UE (GDPR), que entrou em vigor na Europa em maio de 2018. Assim como a GDPR, a lei brasileira vem com penalizações severas ao não cumprimento, podendo resultar em uma multa de até 2% da receita ou R$ 50 milhões por infração. Quando implementada, o Brasil se tornará a mais recente jurisdição a introduzir leis abrangentes de proteção de dados em conformidade com a GDPR da UE.

Historicamente, as empresas têm associado risco cibernético a ataques maliciosos e violações de dados. No entanto, os números do mercado segurador apontam um aumento no número de incidentes cibernéticos que resultaram em interrupção substancial da operação, impactando significantemente os sistemas de TI nas áreas de logística, distribuição, financeiro e operações – como o ocorrido uma grande indústria multinacional de bens de consumo, que relatou estimativa de perda de vendas de £100 milhões, em consequência de um incidente de impacto operacional.

Nessa era em que o digital já é parte do cotidiano da maioria da população global, muitas empresas no mundo todo estão investindo em ferramentas de melhorias operacionais, ganho de competividade ou se tornar o próximo unicórnio (termo usado entre startups para empresas que inovaram a ponto de se tornarem únicos e em que o valuation atinge rapidamente valor igual ou acima de US$ 1 bilhão). Porém, empolgadas com as possibilidades e benefícios que as implementações de novas tecnologias trazem, com frequência esquecem que, ao investir em tais ferramentas, um novo risco vem a reboque com o uso da tecnologia, e é preciso contemplar investimento em mecanismos de proteção, processos de controle e transferência de potenciais perdas.

O mundo da internet sem fronteiras, em que negócios digitais já nascem globais, é onde os riscos e as responsabilidades devem levar em consideração os locais de atuação de sua empresa, mesmo que sem presença física, uma vez que ofertam, coletam e armazenam informações de cidadãos em outros países, passando a ter responsabilidade sobre os dados coletados, processados e usados em sua operação. Com isso, a segurança cibernética emergiu rapidamente como uma área-chave de risco corporativo e, portanto, o conselho de administração deve levar seus impactos seriamente.

Após os ataques globais WannaCry e NotPetya que abalaram o mundo, atingindo mais de 150 países, os diversos casos ocorridos no Brasil nos últimos anos - com vazamento de dados e ações por parte do Ministério Público Federal - mostraram que nosso mercado não está a salvo das ações de hackers como muitos executivos imaginavam devido à não obrigatoriedade de divulgação de vazamento de dados.

Os incidentes atingiram as mais diversas indústrias, nos setores financeiro, de saúde, varejo e serviços. Segundo a empresa Symantec, somos o segundo país com o maior número de crimes cibernéticos no mundo, o que torna imprescindível a criação de uma consciência dos tomadores de decisão de que este não é um risco de TI e sim de toda organização, já que os impactos atingem os resultados como um todo.

O engajamento em segurança cibernética não significa que os membros do conselho administrativo devam obter graus de ciência da computação ou supervisionar pessoalmente o firewall, implantações de sistemas ou testes de intrusão, mas realizar a supervisão da segurança cibernética. Além de apoiar as iniciativas de TI, não apenas no que diz respeito à aquisição de ferramentas operacionais, ter um comitê estruturado para acompanhamento das medidas e uma auditoria anual também devem ser considerados. Uma ferramenta relevante é o seguro, porque nenhuma ferramenta é 100% eficaz. Se o hacker entrar e causar prejuízos, a empresa terá que arcar com os custos.

Este é o alvorecer de uma nova era de riscos, em que tentar evitar um ataque cibernético representa proteger a empresa de grandes perdas, até maiores das que tradicionalmente estão acostumadas. Estar em conformidade com uma série de processos para se garantir a segurança de dados pessoais – sejam eles de clientes ou funcionários - é uma das exigências das novas leis, que demandam a atenção de empresas de todos os segmentos, independentemente de sua área de atuação.