Como garantir a conformidade com o GDPR: Estratégias essenciais para backup de dados

O que é o GDPR?

O Regulamento Geral de Proteção de Dados, ou GDPR, é uma lei complexa de proteção de dados que está em vigor desde 25 de maio de 2018. Ele representa um dos elementos mais conhecidos da legislação de privacidade em todo o mundo, apesar de ser aplicável apenas às informações dos clientes da União Europeia e dos residentes do Espaço Econômico Europeu.

O GDPR estabelece padrões rígidos de como as empresas devem lidar com todas as informações confidenciais dos residentes da UE, mesmo que a empresa em questão não esteja localizada na UE. As empresas que oferecem bens ou serviços a residentes da UE, monitoram o comportamento de residentes da UE ou processam dados pessoais em nome de organizações sediadas na UE precisam estar em conformidade com o GDPR de uma forma ou de outra.

Quanto às tarefas de backup e recuperação, o GDPR tem uma série de requisitos cruciais que todas as organizações teriam que atender de uma forma ou de outra, incluindo requisitos organizacionais, direitos individuais e princípios de proteção de dados.

Os requisitos organizacionais incluem o seguinte:

• Procedimentos de notificação de violação;
• Nomeação do Data Protection Officer em determinadas situações;
• A implementação de medidas organizacionais e técnicas específicas;
• Avaliações de impacto de proteção de dados para processamento de alto risco;
• Manutenção de registros para todas as atividades de processamento.

Os direitos individuais de qualquer cidadão da UE nesse contexto incluem o seguinte:

• Direito de apagar, também chamado de direito de ser esquecido;
• Direito à portabilidade de dados;
• Direito de acessar seus dados pessoais;
• Direito de contestar o processamento;
• Direito de retificar informações imprecisas;
• Direito de restringir o processamento.

Quanto aos princípios de proteção de dados que são aplicados aqui, temos que mencionar o seguinte:

• Os dados devem ser precisos e atualizados;
• A proteção dos dados deve ser garantida por meio de medidas de segurança adequadas;
• As informações pessoais devem ser processadas com transparência, imparcialidade e de acordo com a lei;
• O período de armazenamento de dados deve ser limitado apenas ao tempo necessário para que a finalidade pretendida seja cumprida;
• A coleta de dados também deve ser limitada apenas às informações necessárias (às vezes chamada de “minimização de dados”).

Uma compreensão clara de todos os aspectos fundamentais do GDPR é essencial para poder implementar soluções de backup com níveis suficientes de conformidade, afetando diretamente a maneira como as organizações abordam suas estratégias de proteção/armazenamento/retenção de dados.

Quais são os requisitos do GDPR para backup de dados?

Os backups de dados têm uma função muito importante para garantir a continuidade dos negócios e a conformidade com os requisitos de proteção de dados do GDPR. O equilíbrio entre os dois é um tanto delicado, mas as empresas ainda precisam encontrá-lo para continuar aderindo a todos os princípios de proteção de dados necessários sem perder a capacidade de manter um ambiente de backup abrangente.

Entendendo a conformidade com o GDPR no backup de dados

A conformidade com o GDPR em ambientes de backup vai além do ato básico de copiar informações. A estratégia de backup em questão deve ser capaz de incorporar regras de privacidade desde a concepção, a fim de garantir que as informações pessoais dos clientes permaneçam seguras durante todo o seu ciclo de vida, sem restringir o acesso a elas para as necessidades comerciais.

As medidas mais comuns que o GDPR exige dos sistemas de backup incluem:

• Procedimentos claros e concisos para restauração de dados e verificação de informações.
• Controles de acesso e mecanismos de autenticação.
• Criptografia para informações confidenciais em repouso e no meio do trânsito.
• Um registro detalhado das tentativas de acesso e das operações de backup.

Principais requisitos do GDPR para proteção de dados

Quando se trata de tarefas de backup, o GDPR exerce muita pressão sobre o princípio da proteção de dados desde a concepção – o que implica que as medidas de segurança devem ser incorporadas aos processos de backup existentes desde o início, em vez de serem adicionadas como uma reflexão posterior. Essa abordagem geralmente pode proporcionar um grau mais alto de controle e segurança sobre as informações, mas pode ser mais difícil de implementar em comparação com as opções de terceiros.

Qualquer empresa que se enquadre na cobertura do GDPR deve apoiar os direitos do titular dos dados e, ao mesmo tempo, manter a integridade dos dados. Os direitos do titular dos dados incluem habilidades como o fornecimento de dados em um formato portátil mediante solicitação, a localização de dados pessoais específicos em backups e a modificação ou exclusão de registros quando solicitado ou exigido. A manutenção da integridade dos dados é obtida com testes regulares de backup, trilhas de auditoria detalhadas e procedimentos completos de verificação de soma de verificação.

Políticas e períodos de retenção de backup do GDPR

As políticas de retenção também estão sujeitas a alterações no âmbito do GDPR, considerando que o regulamento exige justificativa para os períodos de retenção existentes com base em requisitos legais e necessidades comerciais, em vez de armazenar informações indefinidamente, que é o que a maioria das empresas faz.

É preciso ter em mente vários fatores importantes ao estabelecer políticas de retenção para os requisitos do GDPR. Os requisitos legais e regulatórios são um participante óbvio nessa discussão. Além disso, também temos que mencionar o risco de manter informações pessoais desnecessárias, que geralmente são tão importantes quanto as necessidades gerais de continuidade dos negócios nesse contexto. Além disso, o custo de armazenamento adequadamente calculado versus o valor futuro potencial dos dados mostra se é vantajoso para a empresa armazenar informações fora dos prazos obrigatórios.

Requisitos de minimização de dados em backups

A minimização de dados é um tópico incomum no contexto de ambientes de backup. Na maioria dos casos, realizar backups completos é a opção mais fácil, mas o GDPR exige que as organizações sejam muito mais seletivas em seus processos de backup. Com isso em mente, podemos fornecer, pelo menos, algumas regras para estratégias de backup seletivo a serem seguidas a fim de ficar mais em conformidade com os requisitos do GDPR, incluindo:

• Aplicar períodos de retenção diferentes a categorias de dados separadas.
• Identificação e categorização de informações com base em sua sensibilidade.
• Revisão e eliminação regular de backups desatualizados/desnecessários.
• Excluir informações pessoais desnecessárias dos backups realizados regularmente.

Para garantir a conformidade com o GDPR sem perder a eficácia do ambiente de backup, a proteção de dados deve ser vista como uma oportunidade de melhorar o ambiente existente em vez de trabalhar com o GDPR como um obstáculo. O planejamento e a implementação cuidadosos são essenciais para conseguir atingir esse equilíbrio delicado entre a conformidade e o desempenho do backup.

Como implementar medidas de proteção de dados pessoais?

Práticas recomendadas para backup e segurança de dados

É necessária uma abordagem abrangente para implementar medidas robustas de proteção de dados por motivos de conformidade. Somente uma integração perfeita entre os procedimentos organizacionais e os controles técnicos pode atender a todos os requisitos sem prejudicar nenhum dos fluxos de trabalho de operação de backup existentes ou futuros.

A implementação em si geralmente é composta de duas etapas principais: descoberta de dados e proteção de dados. A descoberta de dados inclui um processo completo de mapeamento de dados que identifica todos os dados pessoais no ambiente, bem como um processo de categorização de dados com base nos requisitos de sensibilidade e proteção e uma documentação completa de todas as atividades de processamento e fluxos de dados.

O processo de proteção de dados, por outro lado, consiste na implementação de controles de acesso fortes e criptografia de ponta a ponta, juntamente com esforços de segmentação de rede e patches de segurança regulares, quando possível.

Função do responsável pela proteção de dados na conformidade com o GDPR

Um diretor de proteção de dados (DPO) é um cargo importante com o objetivo de supervisionar várias medidas de segurança de backup. A conformidade é apenas uma das várias áreas de especialização em que um DPO deve ser especialista, sendo que outras categorias incluem:

• Treinamento da equipe sobre o tópico de práticas recomendadas de proteção de dados
• Prestação de consultoria sobre a implementação adequada de medidas de segurança nos fluxos de trabalho de backup
• Desempenhar a função de contato quando se trata de contatar autoridades de supervisão
• Monitorar a integridade da conformidade com o GDPR e outros requisitos, quando aplicável
• Realizar auditorias regulares dos procedimentos de backup

Requisitos de classificação e armazenamento de dados

O processo adequado de classificação de dados é a base de qualquer medida eficaz de proteção de dados. Uma abordagem de armazenamento em camadas é a opção mais recomendada na maioria dos casos, estabelecendo várias camadas de armazenamento com base na importância dos dados. Quatro dos níveis de armazenamento mais comumente aceitos são: crítico (informações pessoais altamente confidenciais), padrão (informações pessoais de rotina), arquivo (informações que raramente são acessadas) e temporário (dados transitórios).

Cada camada da estrutura de classificação deve ter um conjunto definido de recomendações e fluxos de trabalho descritos sobre ela. Isso inclui controles de segurança detalhados, frequência de backup definida, períodos específicos de retenção de dados e procedimentos de acesso minuciosamente explicados.

Considerações sobre transferência de dados internacionais

A transferência de dados entre fronteiras é um tópico popular no campo da conformidade devido ao grande número de empresas modernas que operam em várias jurisdições em todo o planeta. É um tópico muito importante quando se trata do GDPR e de outras regulamentações específicas da região, exigindo a adoção de várias medidas adicionais para garantir sua conformidade:

• Avaliar a base legal para cada região de destino da transferência de dados
• Analisar as decisões de adequação para os países de destino
• Documentar as cláusulas contratuais padrão, quando aplicável
• Descobrir quais proteções técnicas devem ser aplicadas aos dados em trânsito
• Adicionar restrições geográficas ao armazenamento de dados, quando aplicável
• Realizar verificações de conformidade de residência de dados após as transferências
• Monitorar os fluxos de dados internacionais

Requisitos de documentação e trilha de auditoria

A documentação e as trilhas de auditoria são elementos essenciais de praticamente qualquer regulamentação de conformidade, não apenas do GDPR. Uma documentação abrangente geralmente cobre muitos aspectos e elementos diferentes dos processos e medidas internos de uma organização, incluindo:

1. Recursos de configuração do sistema – controles de segurança, padrões de criptografia, procedimentos de gerenciamento de chaves, arquiteturas de backup, matrizes de controle de acesso, fluxos de dados, configurações de segurança.
2. Procedimentos operacionais – respostas a incidentes de segurança, procedimentos de agendamento de backup, etapas de verificação de conformidade, detalhamento do agendamento de backup.

As trilhas de auditoria também devem ser mantidas da mesma forma, com cada auditoria sendo capaz de verificar a precisão e a eficiência das medidas de segurança, juntamente com a adesão da equipe a essas medidas, a conformidade com os procedimentos documentados e assim por diante.

O que é o direito de apagar na conformidade com o GDPR?

O direito de apagar, também conhecido como o direito de ser esquecido, é um direito direto de um cidadão da UE de solicitar a remoção de suas informações privadas dos resultados de pesquisa da Internet e de outras fontes, quando possível. Pode parecer uma solicitação um tanto simples, mas também se torna surpreendentemente difícil quando aplicada no contexto de sistemas de armazenamento distribuídos e arquivos de backup.

O direito à exclusão pode ser solicitado pelos titulares dos dados em determinadas circunstâncias, inclusive:

• Dados processados ilegalmente
• Retirada do consentimento do processamento
• Os dados não são mais necessários para a finalidade original
• Objeção ao processamento (sem motivos legítimos que se sobreponham)
• Obrigação legal de apagar dados

Dito isso, o direito de apagar dados também não é absoluto. Há algumas situações em que as organizações ainda podem reter dados, inclusive quando são necessários para fins científicos, históricos ou estatísticos. Além disso, os dados necessários para cumprir obrigações legais e trabalhar com reivindicações legais também estão imunes ao direito de exclusão, e o mesmo pode ser dito para as tarefas que são executadas no interesse público ou no exercício da liberdade de expressão.

Implementação do direito de exclusão no backup de dados

O processo de implementação real do direito de exclusão exige especificamente um bom equilíbrio entre questões de conformidade e limitações práticas. Criar processos sofisticados que possam processar solicitações de exclusão sem comprometer a integridade e o desempenho dos backups não é uma tarefa fácil.

Quando se trata do processo de implementação, podemos apresentar várias estratégias menores que podem ajudar os usuários a criar uma estrutura melhor para a conformidade com o direito de exclusão. Decidir por um sistema de backup que ofereça suporte à exclusão granular de dados seria um bom começo, e os recursos de criptografia com gerenciamento de chaves separado também são bem-vindos aqui.

Outros elementos do lado técnico da implementação são a marcação de metadados para melhor rastreamento das solicitações de exclusão e a criação de índices de locais de dados pessoais nos backups. No entanto, esse é apenas o lado técnico do tópico, mas também gostaríamos de abordar a abordagem processual da implementação que pode ser usada. Essa abordagem pode ser dividida em quatro etapas principais:

• Documentar todas as solicitações de exclusão e as ações tomadas
• Estabelecer um fluxo de trabalho claro para lidar com futuras solicitações de exclusão
• Definição de critérios para determinar se a solicitação de exclusão é tecnicamente viável
• Criar processos que ofereçam restauração parcial com a exclusão de dados apagados

Como mencionamos anteriormente, também há muitas situações em que a exclusão total não é imediatamente viável por um motivo ou outro. Nesse contexto, pode haver várias maneiras possíveis de abordar a questão:

• Manter um registro de exclusão para garantir que as informações excluídas permaneçam excluídas mesmo após as sequências de restauração
• Descobrir como criar novos backups sem informações que já tenham sido apagadas
• Experimentar o apagamento virtual que usa controles de acesso e criptografia
• Estabelecer cronogramas para quando os dados forem completamente apagados dos backups

Não é incomum que as empresas precisem equilibrar o direito à exclusão e outros requisitos da mesma estrutura – seja segurança de dados, recuperação de desastres etc. O objetivo de aderir ao direito de exclusão do ponto de vista do GDPR é fornecer uma abordagem clara e definida para trabalhar com solicitações de exclusão sem interromper a integridade geral do sistema.

Quais soluções de backup garantem a conformidade com o GDPR?

Avaliação de soluções de backup para privacidade de dados

A simples capacidade de uma solução de backup de ser compatível com o GDPR não é suficiente por si só, pois muito mais importante é a maneira como ela é implementada e usada. As empresas também precisam avaliar os recursos de governança e gerenciamento desse software, bem como seus recursos técnicos. Em uma situação ideal, uma solução de backup com suporte ao GDPR teria todos os requisitos de privacidade integrados em seu próprio núcleo, tornando-a perfeita e eficiente.

Com relação aos recursos que as empresas devem procurar em suas soluções de backup para fins de conformidade, podemos fornecer vários exemplos importantes:

• Vastos recursos de criptografia de dados
• Ferramentas flexíveis de pesquisa e descoberta que podem procurar dados pessoais
• Registro de auditoria abrangente
• Controle de acesso granular e seu gerenciamento
• Automação de relatórios de conformidade

Recursos das soluções de backup de dados em conformidade com o GDPR

Quando se trata de recursos mais específicos relacionados ao GDPR que devem ser procurados em uma solução de backup, há pelo menos mais duas categorias a serem abordadas: recursos de gerenciamento de dados e recursos de aprimoramento da privacidade.

Os recursos de gerenciamento de dados que mais ajudam na conformidade são os recursos de classificação de dados, a capacidade de automatizar políticas de retenção, uma variedade de opções seletivas de backup e restauração e um método seguro de eliminação de dados.

Quanto aos recursos de aprimoramento da privacidade, recomendamos que o senhor invista em ferramentas de mascaramento de dados, tratamento de solicitações de acesso a assuntos, recursos de pseudonimização e suporte à avaliação do impacto sobre a privacidade, quando possível.

Soluções de backup na nuvem ou no local

O software de backup geralmente vem em duas formas quando se trata de sua implementação: na nuvem e no local. Alguns softwares oferecem apenas uma única abordagem, enquanto outros podem oferecer ambas. É importante saber que essas duas abordagens têm suas próprias vantagens que devem ser levadas em conta.

Dessa forma, as soluções de backups na nuvem podem oferecer:

• Opções de distribuição geográfica
• Automação de atualizações de segurança
• Certificações de conformidade
• Capacidade de armazenamento escalonável
• Opções de redundância incorporadas

Como alternativa, as opções de backup no local oferecem:

• Um certo grau de independência da conexão com a Internet
• Controles de segurança personalizáveis
• Controle direto sobre a infraestrutura da solução
• Soberania total dos dados
• Tempos de recuperação potencialmente mais rápidos em comparação com as opções de nuvem

A abordagem híbrida também é uma opção em algumas situações, oferecendo um equilíbrio entre as duas opções e a maior flexibilidade. Ela inclui escalabilidade econômica, backup em nuvem para recuperação de desastres, cópias locais para recuperação rápida, flexibilidade na resiliência de dados e assim por diante.

Requisitos de criptografia para dados de backup

A criptografia é um dos elementos mais fundamentais das estruturas modernas de segurança de dados, e a conformidade com o GDPR reforça ainda mais essa afirmação ao fornecer determinados requisitos para a criptografia em repouso e a segurança no meio do trânsito.

A criptografia em repouso deve usar algoritmos fortes (AES-256 ou melhor), sistemas de gerenciamento de chaves seguros, rotação regular de chaves e integração com módulos de segurança de hardware.

A criptografia no meio do trânsito deve ser, no mínimo, TLS 1.3 para transferências de dados e, ao mesmo tempo, fornecer configurações de túnel seguras, gerenciamento de certificados e proteção do caminho da rede.

Como conclusão desta seção, podemos supor que uma versão perfeita de uma solução de backup para conformidade com o GDPR deve ter recursos de criptografia de ponta a ponta, conformidade com os padrões do setor, gerenciamento de chaves integrado e opções de criptografia na origem. Os recursos de segurança abrangentes devem ser a principal prioridade das organizações, embora ainda seja do interesse da própria empresa encontrar uma solução que consiga atingir um equilíbrio entre eficiência operacional e proteção avançada de dados.

Como lidar com a recuperação de dados em conformidade com o GDPR?

A recuperação de dados no GDPR é tão rigorosa e multifacetada quanto os processos de backup de dados, exigindo que se encontre um equilíbrio entre conformidade, velocidade e precisão. Nenhum dos processos de recuperação deve violar inerentemente os direitos do titular dos dados ou, de alguma forma, restaurar informações previamente apagadas.

Uma estratégia de recuperação competente que tenha em mente a conformidade com o GDPR deve executar sequências de verificação pré-recuperação regularmente e, ao mesmo tempo, utilizar uma estrutura de priorização de recuperação como meio de entender o valor e a importância de informações específicas

O processo de verificação pré-recuperação confirma o escopo dos dados que estão prestes a ser recuperados e verifica o status atual do consentimento dos titulares dos dados afetados. Se não houver reclamações aqui, as organizações também precisam validar os níveis de autorização de recuperação e verificar os registros de solicitação de exclusão para garantir que nenhuma solicitação de exclusão seja perdida.

A estrutura de priorização de recuperação usa quatro categorias principais de dados na maioria dos casos:

• Informações históricas ou de arquivo
• Dados operacionais padrão
• Dados pessoais sensíveis ao tempo
• Dados críticos de operações comerciais

Abordagem de violações de dados e conformidade com o GDPR

Toda empresa que se enquadra no GDPR tem a responsabilidade de relatar violações de dados como parte de seu conjunto de regras de conformidade. Não fazer isso é considerado uma violação de conformidade e é tratado de acordo. Quando a recuperação de dados é considerada devido a uma violação de dados, é responsabilidade da organização

• Isolar os sistemas afetados
• Avaliar o escopo e o impacto da violação
• Iniciar o processo de recuperação usando backups limpos como linha de base
• Documentar cada uma das ações relacionadas ao processo de recuperação

O GDPR também estabelece limites de tempo para os requisitos de notificação, fornecendo um prazo específico no qual as autoridades e os usuários devem ser notificados sobre uma violação, juntamente com a comunicação do status da recuperação e outras necessidades.

Teste e validação dos procedimentos de recuperação

Testes regulares de backup são cruciais para garantir que a empresa tenha backups que funcionem adequadamente para trabalhar caso ocorra algum tipo de violação de dados. Um processo de teste típico inclui a verificação da integridade dos dados, a estimativa da precisão da recuperação point-in-time e os processos de teste completos para procedimentos de recuperação total e parcial.

Os requisitos de validação de dados, por outro lado, são um pouco diferentes – eles devem confirmar a integridade dos metadados e testar a preservação do controle de acesso, além de verificar a integridade dos dados após a recuperação e verificar a inclusão de dados não autorizados nos backups.

Se possível, os processos de teste de recuperação devem simular diferentes cenários, inclusive a correção de erros humanos, a restauração após uma falha de hardware, a recuperação de ransomware e até mesmo a recuperação de desastres. Esses processos de teste também devem produzir uma certa quantidade de documentação, incluindo resultados de testes para processos de recuperação, métricas gerais de desempenho de restauração, melhorias identificadas e etapas definidas de verificação de conformidade que foram seguidas.

É altamente recomendável que uma organização mantenha uma espécie de manual de recuperação, um documento que abranja pontos de verificação de conformidade, processos de validação, instruções passo a passo para processos de recuperação e requisitos de autorização, se aplicável.

A restauração bem-sucedida de dados para backups em conformidade com o GDPR depende de preparação e testes, além de um processo de documentação completo. Revisões regulares de todos os elementos da sequência, juntamente com atualizações regulares, devem manter a eficácia do processo e, ao mesmo tempo, garantir que a empresa permaneça em conformidade com o GDPR ou outras estruturas regulatórias.

Como garantir a segurança dos dados pessoais nos backups?

Medidas de proteção contra ataques de ransomware

A ameaça de ransomware é algo que a segurança de backup moderna precisa abordar separadamente do restante dos recursos de proteção de dados, considerando a popularidade dos ataques de ransomware nos últimos anos. As empresas precisam implementar uma variedade de estratégias de proteção em uma única rede de segurança para proteger seus ambientes e backups contra ataques baseados em tecnologias de criptografia.

Alguns dos elementos mais importantes da proteção contra ransomware para informações confidenciais incluem:

• Implementação do armazenamento Write-Once-Read-Many
• Controle de versão com vários pontos de recuperação
• Cópias de backup com opções de air gapping
• Opções somente leitura para snapshots
• Alertas automatizados para atividades suspeitas
• Monitoramento em tempo real dos padrões de backup
• Estruturas de detecção de anomalias
• Procedimentos predefinidos para tipos de ataque específicos para garantir tempos de resposta rápidos

Controle de acesso para dados de backup

Medidas robustas de controle de acesso são uma medida de segurança de dados bem conhecida e comumente usada como recurso de proteção em muitas situações. A versão mais popular dessa medida é o controle de acesso baseado em função, ou RBAC (Role-Based Access Control). Ele usa o princípio do menor privilégio para tentar evitar a extensão excessiva das permissões de cada usuário além do que ele precisa para realizar seu trabalho. Além disso, ele geralmente pode fornecer permissões de acesso por tempo limitado e oferece uma estrutura fácil para realizar revisões regulares de acesso.

Quanto aos métodos de autenticação usados para verificar a identidade de cada usuário, eles não incluem apenas políticas de senha forte e controles de gerenciamento de sessão, mas também o uso de autenticação multifator para qualquer acesso de backup, juntamente com registro e monitoramento detalhados de qualquer atividade de autenticação para uma trilha de auditoria verificável.

Estratégias para evitar a corrupção de dados

A corrupção de dados é outro problema substancial para qualquer informação digital, e é por isso que a preservação da integridade dos dados é um recurso importante de praticamente qualquer estrutura moderna de segurança de dados, mesmo fora dos requisitos de conformidade com o GDPR.

A verificação de backup é o primeiro elemento importante desse processo, introduzindo a validação da soma de verificação e a verificação automatizada da integridade de backups e informações arquivadas. Os procedimentos de teste de recuperação e os mecanismos de detecção de corrupção também estão incluídos nessa seção, embora sejam um pouco menos comuns em comparação.

A validação de dados geralmente tem uma estrutura dedicada que é usada não apenas para detectar erros, mas também para resolvê-los de forma automatizada. A sequência de ações segue um padrão relativamente simples:

1. Validação de dados de ponta a ponta
2. Detecção de erros em tempo real
3. Procedimentos de reparo automatizados
4. Auditorias de integridade realizadas regularmente

Há também recursos que podem ajudar ainda mais nas questões de conformidade: redundância de hardware, restrições de acesso físico, proteções de firewall etc. Todas essas medidas são praticamente necessárias para criar um tipo de sistema defensivo capaz de atender a todos os requisitos de conformidade e, ao mesmo tempo, oferecer um nível suficiente de segurança de dados aos seus usuários.

Conclusão

A implementação de soluções de backup com a conformidade com o GDPR em mente pode ser um desafio difícil para a maioria das organizações modernas. Geralmente, é necessária uma abordagem multifacetada, com uma seleção grande e variada de ferramentas e recursos. Neste artigo, exploramos vários aspectos para garantir a conformidade do backup com o GDPR e outras regulamentações, inclusive os princípios básicos do próprio GDPR e a implementação de medidas de segurança específicas.

A maioria das empresas já entende que a conformidade não é mais apenas uma caixa de seleção – é um processo contínuo que deve ser revisado e atualizado regularmente para permanecer relevante e eficaz. Investir em ambientes de backup de alto desempenho não apenas garante a conformidade com estruturas como o GDPR, mas também oferece uma série de benefícios tangíveis para a própria organização em termos de gerenciamento de riscos, continuidade dos negócios, proteção de dados e assim por diante.

Também há muito valor em manter um equilíbrio entre a eficiência operacional e a proteção de dados. Além disso, não é incomum que as empresas que implementaram com sucesso os recursos de conformidade com o GDPR em seus ambientes tenham muito mais facilidade para lidar com outros requisitos regionais, o que as torna muito mais preparadas para a expansão internacional do que alguns concorrentes.

Os princípios de privacidade desde a concepção continuarão a moldar a maneira como as organizações abordam a proteção de dados. O compromisso contínuo de todos os níveis da organização é um requisito para alcançar o sucesso nessa empreitada, e seguir as diretrizes descritas neste artigo deve tornar mais fácil para as organizações criar e manter sistemas de backup que possam estar em conformidade com o GDPR e, ao mesmo tempo, oferecer um conjunto robusto de ferramentas de proteção de dados.

Bacula Enterprise e conformidade com o GDPR

Embora existam muitas soluções de backup de terceiros que podem ajudar seus clientes com a conformidade com o GDPR até certo ponto, há também algumas opções que são muito mais avançadas e detalhadas em comparação. O Bacula Enterprise é uma dessas soluções, oferecendo uma solução especialmente segura combinada com um conjunto abrangente de recursos especialmente adequados para abordar tópicos de segurança de dados, como a conformidade com o GDPR. Ele foi criado com proteção de dados incorporada por design, o que o torna uma ótima opção para empresas que buscam recursos robustos de conformidade com o GDPR.

A ampla gama de recursos que o Bacula pode oferecer nesse departamento é notável, incluindo:

• Recursos integrados de descoberta e classificação de dados
• Trilhas de auditoria e mecanismos de registro abrangentes
• Uma seleção de opções de imutabilidade como medida de segurança contra modificações não autorizadas
• Conjunto de recursos avançados de criptografia, tanto em repouso quanto em trânsito
• Recursos detalhados de geração de relatórios para fins de conformidade
• Recursos complexos de eliminação de dados para apoiar o direito de ser esquecido
• Recurso integrado de avaliação do impacto sobre a privacidade
• Controles de transferência de dados entre fronteiras
• Ferramentas robustas de verificação de dados
• Controle de acesso granular com suporte para RBAC

A arquitetura da plataforma é conhecida por sua flexibilidade e adaptabilidade, o que a torna uma ótima opção para a implementação da conformidade com o GDPR. Há muita liberdade quando se trata de configurar políticas de backup para se alinhar com requisitos específicos sem perder a eficiência operacional. A abordagem modular do Bacula Enterprise possibilita a implementação de uma gama muito específica de recursos que as empresas precisam para os requisitos de conformidade.

Além do GDPR, o Bacula também pode ajudar a manter a conformidade com várias outras estruturas regulatórias, como ISO 27001, SOX, HIPAA, NIST e assim por diante. É uma solução inestimável para empresas que operam em várias jurisdições regulatórias.

O motivo pelo qual o Bacula é uma maneira poderosa de garantir a conformidade total com o GDPR pode ser ilustrado em um caso de uso em que uma organização de médio ou grande porte tem um departamento de TI diversificado e/ou em silos, com muitos aplicativos, tipos de arquivos, estratégias de armazenamento e software legado diferentes. Além disso, esses tipos de ambientes normalmente continuam a evoluir de acordo com as necessidades atuais e futuras. A menos que a solução de backup e recuperação seja capaz de se integrar a um ambiente de TI tão desafiador e em evolução, a organização terá dificuldades para atender aos requisitos do GDPR. Isso ocorre por motivos como a possibilidade de outros sistemas de backup inadequados não conseguirem gerenciar o backup e a recuperação a partir de uma interface de usuário de “painel único” e/ou não conseguirem pesquisar, localizar e monitorar os dados de forma eficiente e conveniente.

O senhor pode saber mais sobre os recursos do Bacula aqui.

Perguntas frequentes

Por quanto tempo devemos reter os dados de backup de acordo com o GDPR?

Embora não haja períodos exatos de retenção para dados de backup no GDPR, esses períodos de retenção ainda teriam que ser definidos por cada empresa individualmente, fornecendo uma justificativa legal para esses períodos. Além disso, o princípio de limitação de armazenamento do GDPR pode ser violado pelo armazenamento de dados pessoais por mais tempo do que o necessário, o que torna muito mais importante o tópico de descobrir os limites de armazenamento de dados da sua empresa. Na maioria dos casos, os backups são armazenados por 30 a 90 dias e as cópias de arquivo são mantidas por 1 a 7 anos, embora esses números possam ser diferentes dependendo do setor e de outros fatores.

Podemos armazenar backups na nuvem e manter a conformidade com o GDPR?

Tecnicamente falando, as soluções de backup em nuvem também podem estar em conformidade com o GDPR, tornando-as uma opção de armazenamento viável. No entanto, essas soluções teriam que passar por seu próprio conjunto de requisitos:

• Centros de dados localizados na UE com proteção de privacidade adequada
• Controle sobre as chaves de criptografia
• Criptografia forte em repouso e no meio do trânsito
• Auditorias regulares
• Acordos claros de processamento de dados com os clientes

Que documentação precisamos manter para nossos procedimentos de backup?

A lista exata de documentos pode mudar dependendo das circunstâncias, mas alguns dos exemplos mais essenciais permanecem os mesmos na maioria dos casos, incluindo

• Registros de processamento de dados
• Registros de treinamento da equipe
• Procedimentos e políticas de backup
• SLAs de terceiros
• Cronogramas de retenção de dados
• Planos de resposta a violações
• Avaliações do impacto da proteção de dados
• Medidas e controles de segurança
• Resultados dos testes de recuperação

Com que rapidez devemos informar uma violação de dados relacionada a backup?

As organizações têm vários requisitos quando se trata de relatar violações de dados relacionadas a backup. Violações substanciais devem ser relatadas às autoridades de supervisão em até 72 horas após a descoberta inicial, com os indivíduos afetados sendo notificados sobre a violação sem demora (se ela representar um risco para suas informações pessoais de alguma forma). Todas as violações devem ser documentadas, inclusive as que não exigiram notificação aos usuários finais.

Cada relatório de violação deve conter, no mínimo, as seguintes informações

• Natureza e escopo de uma violação
• Suas consequências
• Medidas tomadas (ou propostas)
• Informações de contato para obter mais detalhes.