Como por parte do governo federal, as organizações precisam identificar a Informação Pessoal Identificável (IPI), bem como a Informação de Saúde Protegida (APS) por diferentes razões e tratá-las de forma segura. Qualquer acesso ou divulgação não autorizada de tais informações pode resultar em graves conseqüências para os indivíduos cujos dados tenham sido comprometidos. Além disso, como o governo tem a responsabilidade de salvaguardar esta informação importante, ele decreta e aplica a legislação que regula o uso de IPI e DCC.
A compreensão da importância e valor destes dados pode ser considerada o primeiro passo para mantê-los seguros. O acesso não autorizado de PII ou PHI pode ser prejudicial tanto para indivíduos como para organizações. É dever dos profissionais do CISSP tomar as medidas necessárias para manter as IPI e as DCC seguras e protegidas de qualquer ameaça externa ou interna.
Informação Pessoal Identificável (IPI)
Informação Pessoal Identificável é qualquer informação que possa ser usada com o propósito de identificar, localizar ou contatar qualquer indivíduo específico, seja combinada com outras fontes facilmente acessíveis ou por si mesma.
PII pode incluir dados ligados a qualquer indivíduo através de registros médicos, de emprego, financeiros ou educacionais. Vários desses conjuntos de informações que podem ser utilizados para identificar um determinado indivíduo podem consistir em um nome, endereço de e-mail, dados biométricos, número de telefone, impressões digitais ou número de segurança social.
As agências federais têm a responsabilidade de salvaguardar qualquer informação sensível, incluindo o IPI de um indivíduo. Os profissionais do CISSP devem, portanto, dar importância fundamental para manter estes dados seguros.
Informação Sanitária Protegida (PHI)
Informação Sanitária Protegida é qualquer informação relacionada ao estado de saúde, prestação de cuidados de saúde ou pagamento de cuidados de saúde que possa ser mais vinculada a qualquer indivíduo específico. No entanto, as DCC são interpretadas de forma bastante ampla e incluem qualquer tipo de histórico de pagamento médico ou registos de um paciente.
Recentemente, tornou-se cada vez mais importante proteger as DCC, embora a sociedade tenha confiado nelas durante tanto tempo sem qualquer problema de segurança importante. Este problema atual de proteger o PII surgiu principalmente por causa do aumento da incidência de ataques de hacking. Com os avanços tecnológicos e o uso de computadores, a proteção de Dados de Identificação Pessoal tornou-se essencial para todas as organizações. Muitas leis importantes foram implementadas de diferentes formas para proteger as IPI, tais como FCRA, HIPAA, GLBA, Privacy Act, COPPA e FERPA.
Estas leis são usadas como um meio vital para tentar garantir que as organizações sejam restringidas no compartilhamento de informações pessoais sensíveis com qualquer terceiro. Além disso, elas precisam de fornecer os requisitos necessários para proteger os DCC da forma mais apropriada. Os profissionais de CISSP têm de compreender e proteger as DCC de indivíduos contra ataques cibernéticos em organizações relacionadas onde estes dados podem ser armazenados pelos indivíduos para seu próprio interesse.
Exemplos de DCC e porque é que os CISSP têm um papel a desempenhar
É uma opção lucrativa para recolher e vender DCC numa base legal, mas infelizmente, as DCC são frequentemente exploradas por criminosos ou pessoas maliciosas que querem roubar a identidade de uma pessoa ou cometer crimes. Ainda assim, de acordo com as estatísticas do FBI, o roubo de identidade é considerado um dos crimes que mais cresce nos EUA, tendo a capacidade de causar danos financeiros, bem como emocionais, às vítimas. Muitos governos, portanto, criaram legislações para limitar o processo de distribuição de informações pessoais por causa da ameaça imposta. Alguns exemplos de PII incluem:
- PII inclui um número de identificação de qualquer indivíduo, incluindo o número do cartão de crédito, número do passaporte, número da carta de condução, número de identificação do paciente ou número do seguro social.
- PII também inclui o nome de indivíduos, incluindo o nome de solteira da mãe, qualquer pseudónimo usado ou o seu próprio nome de solteira.
- Informação de identificação, como endereço IP ou MAC, e outros identificadores estáticos que possam ligar um indivíduo específico consistentemente também são considerados em PII.
- Informação de endereço, como números de telefone (comercial ou pessoal), endereços de rua e endereços de e-mail, são incluídos em PII.
- Características pessoais ou biológicas, incluindo varreduras de retina, impressões digitais, imagens de características distintivas, assinatura de voz, raios-x, ou geometria do rosto são consideradas no PII.
- Além disso, informações pessoais como indicadores geográficos, data de nascimento, local de nascimento, atividades, religião, finanças, médicas ou educacionais, são consideradas no PII.
A identidade de um indivíduo torna-se vulnerável sob certas circunstâncias quando uma ou mais partes das informações de fácil acesso acima mencionadas são reunidas, mesmo que possam parecer inofensivas se permanecerem por si mesmas. É aqui que os CISSPs precisam se apresentar para proteger esses dados sensíveis.
Exemplos de Informação Sanitária Protegida (PHI) e o Papel dos CISSPs
A Lei de Portabilidade e Responsabilidade de Seguros de Saúde (HIPAA) requer a adoção de certas regulamentações de segurança para a proteção de informação pessoal de saúde. Normalmente, considera-se DCC como sendo qualquer informação relacionada com a saúde que possa ser identificada individualmente e produzida ou recebida pelos prestadores de cuidados de saúde, incluindo operadores de planos de saúde e câmaras de compensação de saúde.
PHI pode estar relacionada com a saúde presente, passada ou futura de um indivíduo, quer em termos físicos ou mentais. Os DCC podem também incluir a condição actual de um indivíduo em relação à saúde. Em geral, os DCC podem ser utilizados para a identificação de qualquer indivíduo específico. Adicionalmente, refere-se a informação que é mantida assim como transmitida em qualquer forma como electrónica, papel ou fala.
No entanto, os DCC não se referem aos registos relacionados com a educação que são cobertos pela EFRPA ou pela Lei dos Direitos e Privacidade da Família Educativa. Também não se refere aos registos de emprego mantidos por qualquer empregador. Os regulamentos dos DCC referem-se classicamente a uma variedade de campos diferentes que normalmente podem ser usados para identificar um indivíduo. Estes incluem:
- Nomes
- Todas as datas ligadas diretamente a uma pessoa, como data de nascimento, data de alta, data da morte e administração
- Números de fax e telefone
- Endereços de correio e de rua (incluindo subdivisões geográficas como país e códigos postais)
- Registos médicos, beneficiário do plano de saúde, certificado, números de segurança social e de conta
- Identificadores de veículos, biométricos, voz e impressões digitais
- Imagens fotográficas de características reconhecíveis e o rosto completo
- Outro número, código ou característica única que possa ser útil para reconhecer uma pessoa
>
Os profissionais do CISSP devem, portanto, colocar ênfase em manter estes dados seguros. Isto é coberto em Segurança de Ativos do Domínio II no exame CISSP.
Diferentes Formas de Manter os CISSPs PII e PHI Seguros contra Ataques Maliciosos
A “Security Baseline” é um conjunto de características básicas de segurança que deve ser completado por qualquer sistema ou serviço. Estes recursos ou objetivos não envolvem medidas técnicas e são escolhidos para serem completos e pragmáticos. Assim, deve haver um “Documento de Implementação de Segurança” separado com os detalhes de como diferentes objetivos de segurança podem ser cumpridos através de qualquer serviço ou sistema específico. Esses detalhes geralmente dependem do serviço ou do ambiente operacional do sistema em que ele é implantado. Além disso, pode utilizar e aplicar medidas de segurança relevantes de forma criativa. As derrogações de linha de base são bastante possíveis e esperadas. Qualquer derrogação deve ser marcada explicitamente.
“Scoping”, por outro lado, é um sistema de avaliação contínua de qualquer situação, que geralmente é realizada através de discussão, consultas e monitoramento.
“Tailoring” é adaptar necessidades ou especificações de acordo com os requisitos operacionais atuais através de suplementação, modificação e/ou exclusão sem se desviar das normas.
Propriedade de dados
O ato de ter total controle e direitos legais sobre qualquer peça ou conjunto de elementos de dados é conhecido como Propriedade de dados. Ele define e dá informações sobre o legítimo proprietário de qualquer ativo de dados específico e a política de uso, aquisição e distribuição implementada pelo proprietário dos dados.
Remanência de dados
Representação residencial dos dados digitais é conhecida como remanência de dados, que permanecem mesmo após tentativas de removê-los ou apagá-los.
Collection limitation
O uso de frameworks de privacidade pode ser pensado como ferramentas para ajudá-lo a pensar a respeito da privacidade dos dados e ajudar a enquadrar as discussões sobre privacidade para entender seus requisitos.
Existe um fórum para “países comprometidos com a democracia e a economia de mercado” chamado The Organization for Economic Co-operation and Development (OECD). O lema da organização é fornecer um ambiente para que os governos comparem experiências de políticas para ter as respostas para problemas comuns e identificar as melhores práticas, coordenando diferentes políticas internacionais e nacionais.
Os Princípios de Privacidade da OCDE a nível internacional fornecem a estrutura de privacidade mais comumente utilizada. As redes de privacidade são refletidas nas leis emergentes e existentes sobre privacidade e proteção de dados, servindo assim como base para a produção de programas de privacidade de práticas de ponta e outros princípios adicionais.
Os Princípios de Privacidade: O que os CISSPs devem saber
Os princípios de privacidade, de acordo com as Diretrizes que regem a proteção da privacidade e fluxos transfronteiriços de dados pessoais, são os seguintes:
Princípio de limitação de coleta
Deve haver limites para a coleta de dados pessoais e qualquer informação desse tipo deve ser obtida por meios justos e lícitos. Além disso, quando apropriado, os dados devem ser obtidos com o consentimento ou conhecimento do envolvido.
Princípio da Qualidade dos Dados
Todos os dados pessoais obtidos devem ser pertinentes às finalidades da sua utilização, e somente na medida em que sejam essenciais para essas finalidades. Os dados utilizados devem ser completos, precisos e mantidos atualizados.
Princípio da Especificação da Finalidade
As finalidades da coleta de dados pessoais devem ser especificadas o mais tardar durante o momento da coleta e no momento de cada utilização posterior. Além disso, limita-se ao cumprimento das finalidades para as quais são recolhidos e não é incompatível com as finalidades quando há a ocasião de uma mudança nas finalidades.
Princípio de limitação de uso
Dados pessoais não podem ser disponibilizados, divulgados ou utilizados para outras finalidades que não aquelas de acordo com as leis e o consentimento do sujeito dos dados.
Princípio das Proteções de Segurança
Dados pessoais devem ser protegidos contra riscos potenciais, tais como acesso, uso, modificação, distribuição e divulgação ou perda não autorizados, implementando salvaguardas de segurança razoáveis.
Princípio da Abertura
Deve haver uma política geral de abertura em relação a práticas e desenvolvimentos no que diz respeito a informações pessoais. Deve haver meios prontamente disponíveis para estabelecer a natureza e a existência de informações pessoais, as finalidades-chave do seu uso e a identidade com o endereço residencial habitual do controlador de dados.
Princípio de participação individual
Todos os indivíduos devem ter os seguintes direitos:
- Obter informações do responsável pelo tratamento de dados, e confirmar se o responsável pelo tratamento de dados tem alguma informação relativa a ele;
- De ter comunicado ao responsável pelo tratamento de dados os dados relativos a ele:
- Em tempo prático;
- A uma taxa (não excessiva);
- De uma forma razoável; e
- De uma forma facilmente inteligível;
>
- De dar razões mediante pedido feito nos termos das alíneas (a) e (b) acima mencionadas, e de capacidade para contestar tal negação;
- De contestar os dados relativos a ele e de ter os dados alterados, completados, rectificados ou apagados se a contestação for bem sucedida.
Princípio da responsabilidade
Todos os controladores de dados têm que ser responsáveis pelo cumprimento das medidas que dão efeito aos princípios acima mencionados.