Nenhum sistema está seguro...

O objetivo deste site é o de gerar conhecimento na área Forense, Jurídica e tecnologica.

quarta-feira, 22 de setembro de 2021

Política de Governança de TI sob Ações Preventivas e Corretivas

 

POLÍTICA DE GOVERNANÇA DE ATIVOS

AÇÕES PREVENTIVA E CORRETIVA

 

Esta POLÍTICA DE GOVERNANÇA DE ATIVOS versa sobre ações Preventiva e Corretiva com foco em manter a resiliência dos ativos sob uma intervenção técnica. Avaliado sobre a ótica da resiliência, ou seja, sobre os riscos associados a continuidade ao negócio tendo como resultado, o efeito incerto sob um conjunto particular de circunstâncias que, se ocorrerem, podem afetar adversamente a organização, como a exposição a perdas financeiras. Esta política não aborda ações preditivas.

 

AÇÕES CORRETIVAS

Consideradas como práticas necessárias para que algum problema ocorrido não seja recorrente. Como adendo a este conceito, as ações corretivas são aplicadas para eliminar as causas raiz de uma não-conformidade, seja por incidente ou acidentes.

 

AÇÕES PREVENTIVAS

As ações corretivas são práticas necessárias para evitar que um problema traga novos riscos, atuando sempre de forma proativa, é usado para garantir que a resiliência seja mantida sem a necessidade de experimentar algum tipo de inatividade tendo como norte, a continuidade do negócio.

Como metodologia para implementar uma ação corretiva ou preventiva, podem ser usadas listas de verificações, também conhecidas como checklists, na forma de passos a serem executadas para chegar a um fim. Listas de verificações também podem ser definidas com algumas características: lista de fatores, propriedades, aspectos, componentes, critérios, tarefas ou dimensões, a presença, referência ou quantidade que devem ser consideradas para realizar determinada tarefa. Referências que fazem parte das ferramentas definidas na GESTÃO DE RISCOS - Técnicas para o processo de avaliação de riscos (ABNT NBR ISO/IEC 31010).

 

CONSTRUINDO INDICADORES DE CONFIABILIDADE

Neste aspecto, para manter a disponibilidade é necessário atentar-se para o seguinte ciclo: Defeito, Falha, e Falta. As orientações que norteiam estes ciclos são consolidadas com o uso de relatórios para aferir a disponibilidade que se subdivide em: Confiabilidade, Sustentabilidade e Funcionalidade. A primeira está relacionada ao tempo de inatividade denominada de Mean Time Between Failures – MTBF. A segunda aborda o tempo de resposta, o desempenho na restauração dos serviços descrito como Mean To Repair – MTTR. Por fim e não menos importante, o terceiro, que estabelece um elo sob um ponto de compromisso em solucionar o problema do usuário final dentro de um prazo aceitável de inatividade da operação dos serviços previamente aceito pela Direção da Empresa.

Com o objetivo de construir indicadores de confiabilidade, pode ser adotada algumas métricas, comtempladas logo abaixo.

Para fins de um parâmetro aceitável, é possível seguir a seguinte formula para ações corretivas e preventivas:

Sobre o Defeito, ação em que ocorreu um incidente resultando em inatividade, calcula-se qual está sendo a disponibilidade atual:

 

1.      TEMPO REAL DE DISPONIBILIDADE (TD)

É o tempo ideal que o ambiente iria funcionar sem que fosse necessário realizar uma parada de manutenção. Exposta pela formula: Disponibilidade (%) = (Uptime - Downtime) / Uptime.

2.      TEMPO TOTAL DE MANUTENÇÃO (TM)

Mede o tempo que o ambiente ficou parado devido aos reparos e/ou falhas;

3.      NÚMERO DE INCIDENTES/PARADAS (P)


Quantidade de paralizações do ambiente o ambiente sofreu. Para fixar o entendimento, é utilizada a seguinte formula:

Formula 1:

MTBF é = (TD-TM)/P Ou seja:

Exemplo:

Digamos que um ambiente tenha um tempo ideal de disponibilidade de 24 horas, devendo funcionar sem realizar nenhuma parada em 3 turnos de operação. E durante as 24 horas, ela teve 2 paradas que duraram 30 minutos (ou 0,5 horas) cada uma, ou 1 hora no total.

O tempo de disponibilidade também pode ser medido em(TD) Tempo de disponibilidade do ambiente, conforme a fórmula abaixo: 

Disponibilidade em (%) é = (Uptime – Downtime) / Uptime

O MTBF seria: (24 horas – (0,5 horas +0,5 horas) / 2 paradas no total, que é igual a 11,5 horas. Neste exemplo é possível concluir que o ambiente sofre uma parada (downtime) a cada 11,5 horas e meia.

Este tipo de análise auxilia o time de TI a realizar os planejamentos que melhorem esses indicadores para aumentar a produtividade e confiabilidade em consonância com continuidade do negócio.

Após entender o tempo médio de disponibilidade e suas metodologias, é necessário entender as métricas do MTTR (Tempo médio para reparar, solucionar o problema).

A metodologia aplicada para esta finalidade está construída conforme pode ser vista logo abaixo:

Fórmula 2:

MTTR é = Tempo total de Manutenção / Paradas

Tempo total de manutenção dividido pela quantidade de incidentes (paradas). Com esta avaliação, é possível afirmar quanto eficiente é o seu time.  Por fim, é correto afirmar que o MTBF está relacionado a disponibilidade do ambiente ou do projeto que um sistema/equipamento precise ser aferido; já o MTTR é o indicativo de eficiência do time de TI para que a ação corretiva ou preventiva tenha o menor tempo de resposta mantendo a produtividade da operação sempre disponíveis.   Estas métricas estão em conformidade com a norma: NBR5462

 

PLANEJAMENO PARA INTERVENSÃO TÉCNICA

Para a construção de um bom planejamento, ele é seguido de uma introdução, do problema, justificativa, objetivos, metodologia, cronograma, recursos necessários, tipos de problemas que poderão ocorrer, tempo total de manutenção e no final é aferido o tempo de indisponibilidade. Recomenda-se também o uso das referências utilizadas para elaboração do Plano.

INTRODUÇÃO – Deve conter a vinculação do trabalho com o seu respectivo nível de hierarquia dentro da empresa. Aspectos conceituais introdutórios ao tema: Um breve relato sobre as atividades que serão desenvolvidas.

PROBLEMA – É uma descrição sobre o problema/incidente  sobre a ação preventiva ou corretiva. Ela deve conter a data hora do incidente ou suposto motivo que gerou a necessidade de uma intervenção técnica, um relato do impacto e/ou benefício que está sendo (irá) gerado(rar) sobre a operação do negócio.

JUSTIFICATIVA -  Fatores que determinaram ou que podem ser consideradas a raiz do problema. Aqui cabe fazer um comento sobre a importância deste PLANO DE INTERVENÇÃO TÉCNICA, identificando o conjunto de positivo que ela irá proporcionar. É de suma importância responder a seguinte indagação: Porque intervir?

OBJETIVOS – Em consonância com as políticas de conformidade da empresa, é o que se pretende alcançar com a intervenção técnica, constitui sob as ações apontadas no objeto do problema indicados inicialmente. Cabe indagar: Para quê intervir?

METODOLOGIA – É o conjunto de abordagens, técnicas e processos utilizados para resolver o problema indicado no tópico anterior: Objetivos. Nesta sinergia, é necessário construir: Quais caminhos serão abordados para alcançar os objetivos?; Quais critérios e instrumentos serão utilizados?; É possível atingir a resiliência de que forma?. O tópico tem que alcançar a seguinte temática: a metodologia responde quais meios foram adotadas para alcançar o objetivo e manter a capacidade de resistir a uma falha. Estudo das métricas do MTTR e MTBF para os indicadores de confiabilidade.

CRONOGRAMA – Versa sobre o tempo estimado para que a intervenção sugerida seja concluída em uma linha de tempo factível (possível), elenca cada tipo de ação e seus responsáveis com data de início e termino com a devida aprovação do seu superior direto. Deve indagar: Quando intervir?

RECURSOS NECESSÁRIOS – Conjunto de todos os elementos necessários para realização de intervenção. Pode e poderá conter: Os recursos financeiros, Humanos e Materiais, Descrição de empresas parceiras que poderão ser linkadas; aviso para uma segunda equipe de nível 2 ou nível 3 de suporte.

ANEXOS – Deve conter uma copia de algum tipo de autorização que valide a intervenção técnica, pode ser a resposta de algum e-mail com o devido aval ou algum outro documento que indique sua aprovação sob pena de advertência ou justa causa por violação desta política que é considerada uma falta grave. artigo 482 da Consolidação das Leis do Trabalho, a CLT.

quinta-feira, 16 de setembro de 2021

Orientações para Privacidade de Dados no RH

1 ORIENTAÇÕES

Cumpre esclarecer que as recomendações aqui dispostas são aplicáveis para o profissional que foi admitido ou não.

Este é um Guia de cunho instrutivo, não é uma política. Recomenda-se que este documento seja avaliado pelo RH, Gestão e departamento Jurídico da Empresa. Com a devida avaliação, este guia poderá ser utilizado como uma política padrão para a empresa.  Todas as informações dissertadas neste documento estão fortificadas com um embasamento legal e referências da FUNDAÇÃO GETÚLIO VARGAS (FGV).

Os tratamentos de dados pessoais desde a coleta, armazenamento, compartilhamento ou qualquer outro, decorrentes do processo de seleção têm de estar em conformidade com a LGPD. Isto significa atestar que:

(i)               necessita de uma base legal;

(ii)             uma finalidade bem definida quanto o tratamento aplicado;

(iii)     adequação entre o tratamento e a finalidade almejada, dado este que se a finalidade não condisser com o tratamento, este deve ser revisto para não incorrer como uso indevido de dados pessoais.

Para fins desse Guia, o tratamento dos dados pessoais em processo de seleção terá como base legal, o consentimento do titular de dados, isso porque presume-se que o candidato, ciente das exigências para concorrer à vaga, bem como ciente dos dados que serão coletados, optou de forma livre, por permitir que a área de RH da Empresa trate os seus dados. Como adendo, far-se-á a sua exclusão ao término desta finalidade com as devidas ponderações coniventes ao consentimento.

No que compete o consentimento do titular dos dados, ele consiste na manifestação livre, informada e inequívoca, pela qual o titular concorda com o tratamento dos dados pessoais para uma determinada finalidade. Inequívoca no tocante do consentimento, adjetivo que abrange o modo de manifestação, ou seja, é necessário que as informações estejam de forma transparente, sobre quais dados pessoais deverão ser fornecidos por ele, sobre quais serão coletados independente do fornecimento do titular e principalmente o tempo do tratamento destes dados.

A finalidade é muito mais do que um mero acessório do consentimento, é um dos princípios norteadores da LGPD (Lei Geral de Proteção de Dados Pessoais). O consentimento e finalidade andam juntos.

Com o intuito de detalhar brevemente as características do consentimento aqui indicadas, versa que o consentimento pode ser considerado livre nas situações em que ele/ela expressa a sua escolha de forma espontânea e sem qualquer tipo de persuasão ou rotinas automatizadas e/ou implícitas. Ainda sobre este tema, é importante ressaltar que o titular de dados deverá ser informado sobre a possibilidade do não fornecimento do consentimento e sobre as consequências de sua negativa para o tratamento deste referido tratamento (como a sua eliminação do processo seletivo, por exemplo).

 

“A legislação da LGPD versa que o consentimento deve sempre se referir a finalidade com a sua base legal. As autorizações genéricas para o tratamento dos dados são consideradas nulas”

  

Neste compasso, é válido comentar de forma exemplificada alguns métodos destinados para o tratamento dos processos seletivos.

(i)               Coleta

 

§  Quais dados posso coletar em processos seletivos?

Conforme exposto nos parágrafos anteriores, para a realização de coleta é necessário que antes tenha-se determinado a finalidade específica, que neste contexto de seleção de colaboradores referem-se a todos os dados pessoais coletados pertinentes ao processo seletivo.

É concluso observar que existe uma clara finalidade em obter os dados que revelem os meios de identificar o candidato, bem como o seu enquadramento à vaga pretendida. Razoável, portanto, coletar dados como: RG, CPF, e-mail, telefone de contato, indicação sobre a sua formação acadêmica, experiência prévia ao cargo que compete, entre outros.

Noutra ponta, quando o assunto tratar de dados do tipo certidões, há algumas ressalvas que poderão ser consideradas no decorrer deste tema. A consideração especial decorre especialmente do Direito do Trabalho, cabe esclarecer que as orientações aqui fornecidas se referem ao sistema de proteção de dados arguidos pela LGPD, apenas. No entanto, a justificativa do ponto de vista da proteção de dados depende da especificidade do cargo a que compete o candidato desde que encontre legislação específica aplicável ao processo seletivo. Desta forma, em todos os casos, as orientações adicionais cabíveis (área cível, trabalhista, criminal, entre outros) deverão ser buscadas junto ao Jurídico da empresa.

Vejamos alguns exemplos:

§  Certidão de distribuição de ações judiciais em que o candidato for parte;

 

Indagação: É possível exigir do candidato uma certidão para verificar se existem ações em curso em que ele seja parte? As ações aqui abrangem qualquer matéria, cível, criminal, trabalhista.

 

“Como adendo, qualquer tipo de pesquisa têm de estar vinculadas ao objeto da seleção.”

 

§  Certidão de antecedentes criminais

 

Indagação: Poderia ser exigida do candidato a certidão negativa de antecedentes criminais?

 

§  Certidões emitidas por sistemas de proteção ao crédito (SPC, SERASA, entre outros)

 

Indagação: Poderia ser exigida do candidato qualquer espécie de certidão obtida junto a órgãos de proteção ao crédito, como certidões de inexistência de dívidas ou de pontuação em sistemas de score de crédito?

 

Com base em processos de julgados em decisões majoritária nos tribunais, a resposta é negativa para as três hipóteses elencadas.

Contudo, há algumas ressalvas do ponto de vista da proteção de dados, nos casos em que a legislação aplicável ao processo seletivo (e.g trabalhista) permita a exigência. As correntes de entendimento em processos no judiciário (corrente majoritária) têm permitido tal exigência em situações que estas indagações sejam inerentes para julgar sua aptidão ao cargo.

Por exemplo, candidatos que irá trabalhará em funções que envolvam movimentações financeiras e que neste caso, seria mais confiável um que não esteja sendo processado por dívidas; ou de candidatos que irá trabalhar na área de segurança pública ou privada, caso que é relevante saber a sua condição em ações criminais que figure como réu, tal que seria avaliado a sua confiabilidade para a função.

Explanadas tais controvérsias em torno do tema e suas ramificações em outras áreas do Direito, além dos cuidados que a situação exige, em cenários que seja necessário a exigência destes tipos de certidão, recomenda-se:

                       I.          Em primeiro lugar, dever ser consultado o Jurídico da empresa, para que informe se a exigência é permitida do ponto de vista da legislação trabalhista ou cível aplicável ao processo seletivo;

                     II.          Em segundo lugar, deve ser consultado o Encarregado de Dados da empresa, para que sejam consideradas questões de proteção de dados envolvidas.

Em linhas gerais, é ponderado se a especificidade do cargo exige esta certidão negativa e se realmente são imprescindíveis para realização do processo seletivo.  Isto porque a apresentação desses dados pode gerar situações de discriminação do candidato, e não se ater ao propósito de aferir a aptidão para a vaga pretendida.

Ademais do exposto, deve-se reiterar que a LGPD traz como seus princípios norteadores o da necessidade, estabelecendo uma limitação do tratamento de dados pessoais ao mínimo exigido para a realização das suas finalidades. Estes dados devem ser pertinentes, proporcionais e não excessivos com reação às finalidades do tratamento.

§  Posso coletar dados sensíveis no processo seletivo?

Em determinados processos seletivos podem surgir a necessidade de coletar dados sensíveis. É o que ocorreria, por exemplo, em processos nos quais existisse uma cota específica de vagas destinadas à Pessoas com Deficiência (PCD). Nesse caso, estariam sendo solicitados dados que podem sujeitar os titulares às situações de maior vulnerabilidade social.  Isto posto, o tratamento de dados pessoais sensíveis imputa maior responsabilidade aos que realizam o tratamento desses dados e exige maior atenção e cuidado, que por conseguinte objetiva-se alcançar um grau elevado de proteção.

“Dentro do conjunto de dados pessoais, há ainda aqueles que exigem um pouco mais de atenção: são os dados sobre crianças e adolescentes; e os “sensíveis”, que são os que revelam origem racial ou étnica, convicções religiosas ou filosóficas, opiniões políticas, filiação sindical, questões genéticas, biométricas e sobre a saúde ou a vida sexual de uma pessoa”.

 

Completa dizer que é totalmente possível coletar dados sensíveis, desde que em seu processo de tratamento evidencie certas providências: (i) um número restrito de pessoais com acesso; (ii) esses dados fiquem em um servidor que assegure proteção às informações; (iii) esses dados sejam, preferencialmente, criptografados; e (iv) esteja totalmente em conformidade com o consentimento, a finalidade e a base legal. Assim como os dados sensíveis registrados em papel, eles devem ser armazenados com cuidados especiais próprios desse formato.   

A base legal para a coleta do dado sensível em um processo seletivo também pode ser o consentimento, contanto que seja manifestado de forma específica e destacada, para finalidades específicas (Art. 11, I, LGPD), assim como para o cumprimento de obrigação legal ou regulamentar (Art. 11, II “a” da LGPD), caso haja regulamento ou lei específica que determine sua coleta.

 

§  Preciso de consentimento específico para coletar tais dados?

Se a exigência é destinada ao candidato PCD, não existe a necessidade do consentimento específico, visto que a fundamentação que justifica esse tratamento é a obrigação legal. Por exemplo, destaca-se que existe uma legislação específica que versa sobre a necessidade de as empresas possuírem em seu quadro de funcionários certo quantitativo destinados à PCD. Em paralelo, permanecem as obrigações de transparência quanto à coleta, armazenamento, eliminação e finalidade desses dados.

Nos demais casos, assim como descrito acima, a base utilizada para coleta de dados em processos seletivos é a do consentimento.   Também como demonstrado, nas hipóteses de coleta de dados sensíveis, é necessário maior cuidado, por serem dados que podem expor o titular à maior vulnerabilidade. Neste contexto é recomendado que exija um consentimento específico na coleta dos dados sensíveis para fins de processo seletivo.

Existem dois modos de conseguir este consentimento específico:

Um, situações em que os dados são coletados através de envio de documentos físicos ou digitalizados, deverá também ser preenchido um termo específico de consentimento sobre o tratamento dos dados pessoais sensíveis, onde fique evidente a finalidade e o tratamento que será destinado para estes dados.

Dois, situações em que os dados forem coletados através de um meio eletrônico, este deverá existir um campo em que a pessoa possa marcar o consentimento. Sugere-se um campo em que seja possível marcar o consentimento sobre o tratamento dos dados pessoais, onde fique evidente a finalidade e o tratamento que será destinado para estes dados. O mesmo termo de consentimento pode ser adaptado para este formato eletrônico e pode ser utilizado para situações de dados pessoais ou sensíveis.

Adendo:

“A coleta dos dados pessoais e dados sensíveis está estritamente condicionada ao consentimento específico do/da titular destes dados”.


 §  O candidato pode dar o consentimento parcial? Como proceder neste caso?

Pode ocorrer situações em que o candidato concorde de forma parcial, um fato totalmente possível e é uma opção factível do candidato. Ele deve ser avisado desde o início do processo seletivo sobre quais dados pessoais serão tratados e a consequência do não fornecimento, ou seja, da impossibilidade de avançar para vaga pleiteada. Complemento, caso ele não envie os dados, como sua carta de apresentação ou o seu nome completo ou outros dados que viabilizaria sua contratação, ele não poderá sequer ser considerado para fins avaliativos, por exemplo.

Considera-se também, que a partir do momento em que o candidato fornece/envie estes dados, é possível assumir que este ato faz parte do conjunto de consentimento do titular e ele, portanto, consente com o tratamento destes (Art. 8° da LGPD), ou ainda, quando torna público por si mesmo, tais como em redes sociais (Linkedin).

 

“A coleta dos dados pessoais e dados pessoais sensíveis está, necessariamente, condicionada ao consentimento específico do titular destes dados”.

 

(ii)            Armazenamento

 

§  Por quanto tempo os dados podem ser armazenados?

É recomendado buscar o princípio da proporcionalidade e razoabilidade, haja vista que não existi previsão legal no ordenamento jurídico apontando um direcionamento específico para o armazenamento dos dados coletados em um processo seletivo.  

Findado o processo seletivo, a sua finalidade e o consentimento oferecido pelo candidato ao enviar a documentação solicitada também se extingue. Isto posto, se não houver previsão legal para o tratamento, a recomendação é que os dados devem ser excluídos.

 

§  Os dados podem ser retidos por mais tempo, depois do processo de seleção?

Há situações em que a empresa encontra um candidato com um bom perfil, mas não contrata, o considera para alguma vaga futura. Para empresa é interessante manter estes dados do processo.

Em uma outra situação, o candidato pode ter sido aprovado para uma outra vaga dentro da própria empresa e neste sentido o titular deste dado pode ter a intenção de ser informado para novas vagas.

Em ambas as hipóteses, os dados podem ser retidos por mais tempo de que o do processo seletivo desde que tal consentimento envolva esta situação.

  

2 DADOS ENVIADOS PELOS CANDIDATOS SEM SOLICITAÇÃO

Em sua totalidade, os dados pessoais exigidos no processo de admissão têm de estar condicionados aos trâmites do recrutamento, com os quais os candidatos têm de consentir desde o início.

Na condição em que os próprios candidatos enviam de livre e espontânea vontade os referidos dados, é taxativo afirmar que os dados só podem ser utilizados para fins de seleção (processo seletivo). É válido adicionar ao entendimento, que os mesmos tratamentos conferidos aos dados tratados sem solicitação aplicam-se aos que são solicitados e devem ser usados com os devidos cuidados e finalidades. Noutra ponta, o ato de enviar estes dados por livre e espontânea vontade também caracteriza como consentimento.

 Adendo,

“Independentemente da forma de coleta, enviados com ou sem solicitação, não podem ser utilizados para finalidades diversas ao que compete a finalidade do processo seletivo”.

 

Adendo que está consonância ao que versa o Art. 8 da LGPD, o consentimento deverá ser fornecido por escrito ou por outro meio que demonstre a manifestação de vontade do titular.

Ainda sob o princípio da proporcionalidade e razoabilidade, entende-se que seria razoável manter o currículo do candidato por 1 (um) ano, mais do que isto seria considerado desnecessário, tendo como justificativa que o currículo poderia estar desatualizado, o interesse na vaga poderia ter deixado de existir, dentre outros fatores e que motivariam por si só, uma nova seleção. Por esse motivo, se houver interesse em manter o currículo armazenado por mais tempo, recomenda-se que se busque junto ao candidato um novo consentimento.

 

3 DADOS ENVIADOS POR OUTROS MEIOS

Como parte do processo seletivo, além dos dados enviados pelos candidatos ainda há possibilidade de coletar dados dos candidatos através de meios alternativos de pesquisa. O recrutador afim de corroborar as informações no currículo pode querer ligar para o último empregador do candidato para verificar se ele possui as qualidades necessárias para a função pretendida.

Em linhas gerais, essas pesquisas podem ser feitas desde que:

(i)               A finalidade do uso de seus resultados esteja estritamente vinculada à realização do processo seletivo em curso.

(ii)             O candidato seja informado de que tais pesquisas serão realizadas

 

Nesta ocasião, o entrevistador deverá expor de forma transparente, quais os dados são relevantes para a sua candidatura da vaga, indicando tanto aqueles que poderão ser obtidos por por outros meios.  

Partindo sob este entendimento, o entrevistador pode considerar fazer algumas pesquisas por conta própria, àqueles apontados que despertava certa atenção, vejamos:

(i)               Certidão de distribuições em ações judiciais em que o candidato for parte.

(ii)             Certidão de antecedentes criminais.

(iii)            Certidões emitidas por órgãos de proteção ao crédito (SPC, Serasa).


Questionado anteriormente, a indagação limitava-se a coletar estas informações solicitando-o diretamente ao candidato como condição à sua participação em processo seletivo. Aqui, a pergunta difere-se:

“o recrutador pode pesquisar por conta própria de posse das informações coletadas no início do processo?”. 

 

Novamente a resposta é a mesma, depende de legislação específica pertinente ao cargo e a depender do caso é necessário consultar o jurídico da empresa ou aplicar algum tipo de normatização para os casos que seja exigido como padrão dentro da empresa.

 

4 CURRÍCULOS COLETADOS EM SITES ESPECIALIZADOS

É comum o uso do banco de currículos de terceiros, a observação considerada é que ao utilizar estes bancos é taxativo ater-se sobre a finalidade, ou seja, está restrito ao processo seletivo que a empresa busca já que os dados inseridos ali não precisam de consentimento uma vez que o próprio autor já o disponibilizou de forma pública, ele consente.


4.1 O USO ILEGAL DOS DADOS PESSOAIS (ART. 42, I E II, LGPD).

Por conseguinte, significa dizer que qualquer tipo de finalidade que cause danos a terceiros, por descumprimento da LGPD, concorre de forma bilateral com empresa que forneceu o acesso a este banco simultâneo a empresa que utiliza a plataforma. Significa afirmar que cada um irá responder com o seu respectivo grau de responsabilidade. A empresa que está recrutando pode deixar vazar a sua senha de acesso a este portal na modalidade corporativa e a empresa que fornece acesso a este banco também pode responder pela falta de uma medida coercitiva para tal acesso indevido usando para tal uma login com acesso de segundo fator (uso de senha síncrona a algum pin gerador de senhas aleatório ou um código enviado por e-mail), ou, sobre o uso indevido das informações que ali são colocadas por parte da plataforma, por exemplo.

Dentro deste interim, uma prática saudável é a de aplicar rotinas de conformidades auditando o site que oferece este banco de currículos, isto de forma periódica. Desta forma a empresa irá diminuir a possibilidade responsabilização solidária.

“Uma vez concluída a seleção do colaborador, a finalidade alcançará o fim que se destina e todos os dados que não forem essenciais para a fase de vinculação do colaborador devem ser eliminados”.

 

5 TRATANDO DADOS DE COLABORADORES

5.1 DADOS PARA A CONTRATAÇÃO

       I.          Coleta

É esperado que o time de RH utilize outros dados exigidos para vinculação no caso de um colaborador regido pela CLT e não coincidir em sua totalidade, com os dados exigidos no cadastro inicial que caberá julgar se este é indispensável para ser coletado em conformidade com a vinculação pretendida.

Neste caso em tela, a finalidade da coleta é a constituição do vínculo entre o Contratante (empregador) e o novo colaborador. Deste modo, devem ser coletados somente os dados necessários para a contratação.

“Um parêntese para uma observação saudável, há duas distinções: (i) o candidato forneceu os seus dados inicialmente para fins de processo seletivo; (ii) estes dados foram obtidos com esta finalidade específica. Neste parêntese, o recrutador terá que solicitar novamente o consentimento, salvo se inicialmente ele também mencionou esta outra finalidade”.

Utilizando um embasamento legal da LGPD, para um consentimento válido e legítimo, ele precisa estar dentro deste rol:

                          I.          Livre;

                         II.          Informado;

                       III.          Inequívoco, e

                       IV.          Utilizado para uma finalidade determinada.

Neste último, utilizado para uma finalidade determinada, é possível explanar que para cada tipo de finalidade, o titular dos dados precisa ter a opção de escolher permitindo-se que ele forneça o consentimento para fins específicos.  

Dados comuns e padrão para a contratação:

§  Nome;

§  RG;

§  CPF;

§  Dados bancários para  fins de pagamento;

§  Número de PIS/PASEP/NIS;

§  Carteira de trabalho (dispensado para os casos de carteira de trabalho digital);

§  FOTO

Tal coleta está respaldada no Art. 7, V da LGPD, tendo como base legal a execução de contrato. Nesta base legal podem ser tratados dados pessoais quando a finalidade for a de permitir a execução de um contrato no qual o titular de dados possui interesse na execução.

“Abre-se novamente um ponto de atenção, nenhum tipo de dado pode ser tratado sem o devido consentimento atrelado a base legal e principalmente a sua finalidade”.

Abre-se um parêntese para o dado de exame admissional, não é necessário solicitar um consentimento para esta finalidade, na medida em que ela se justifica com o contrato de trabalho, respaldado pela CLT (Consolidação das Leis do Trabalho). Cabe ainda, o comento do E-Social, sistema informatizado da administração pública, cuja o seu abastecimento trata as informações trabalhistas, fiscais e previdenciárias, ademais o seu registro é obrigatório tendo como base legal a obrigação regulatória (Art. 7, II da LGPD).

É concluso afirmar que quaisquer informações deste cunho, seja ela sensível ou de dados pessoais, não é necessário qualquer adendo de requisito adicional de consentimento por parte do colaborador, ela é uma obrigação regulatória.

É concernente aludir que no momento da coleta dos dados pessoais ou sensíveis junto aos titulares, é necessário que este consentimento seja claro, preciso, em linguagem acessível e de fácil compreensão com a informação de quais dados serão tratados, assim como a sua finalidade, e quais tratamentos serão aplicados – incluindo os compartilhamentos que serão realizados entre as unidades internas da Empresa. Atentar-se sobre os dados excessivos e desnecessários no compartilhamento destes dados.

Por fim, cabe dizer que a LGPD também traz, em seu art. 46, em seu ordenamento o comando alinhado com o princípio da segurança como padrão para o tratamento da informação. Dispõe sobre a necessidade de que os agentes (a empresa como controlador ou um terceirizado que compartilhar estes dados – o operador) técnicas administrativas e tecnológicas capazes de proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou impreciso com intenção de má fé.

 

5 TRATANDO DADOS DE EX-COLABORADORES

Seguindo a sinergia do conhecimento alcançado até este ponto, todos dados pessoais tratados durante o vínculo estabelecido com os colaboradores possuem um “ciclo de vida”, significa afirmar que estes dados não podem ser armazenados por um tempo indeterminado.

Findado o vínculo, os dados devem ser excluídos da base de dados, consoante ao prevê o Art. 16 da LGPD. Em concordância ao disposto acima, há casos que o ex-colaborador pode pleitear uma ação na justiça e neste fato a empresa terá que arguir de todos os dados necessários para criar a sua defesa.

Assim ao que postula o Artigo 16 para a exclusão, ela também aponta os casos que terá exceções quanto a eliminação dos dados, isto é, findado o tratamento e após alcançar o seu objetivo. A exceção em seu inciso I deste artigo, é apresentado como previsão legal ou que exista a necessidade do armazenamento para funções regulatórias da Controladora (a empresa) ou processos judiciais.

“Desta forma, em todos os casos, as orientações adicionais cabíveis (área cível, trabalhista, criminal, entre outros) deverão ser buscadas junto ao Jurídico da empresa”.

 

Neste compasso, a legislação trabalhista destaca que há um prazo para ingresso de ações trabalhistas, ela prescreve em 2 (dois) anos após o término da relação estabelecida (Constituição Federal, Artigo 7 XXIX). Com este entendimento, recomenda-se a exclusão após este lapso de tempo.  

Com a necessidade de buscar informações detalhadas, em torno deste tema e suas ramificações em outras áreas do Direito, além dos cuidados que a situação exige, na hipótese de exclusão de dados, recomenda-se:

(i)               Em primeiro lugar, deve ser consultado o Jurídico da Empresa, para que informe se a exigência é permitida do ponto de vista da legislação trabalhista ou cível aplicável ao processo seletivo;

(ii)             Em segundo lugar, deve ser consultado o Encarregado da Empresa, para que sejam consideradas as questões de proteção de dados envolvidas.

Alinhado ao lapso exigido pela legislação para ajuizar qualquer tipo de ação trabalhista, é válido a retenção dos dados até o trânsito e julgado da ação.

No tocante a ações sobre o sistema financeiro e dados da contabilidade, estes devem ser armazenados até que o prazo para uma ação de cunho civil e/ou tributária possa ser ajuizada face à Empresa.

 

REFERÊNCIAS

BRASIL. LEI GERAL DE PROTEÇÃO DE DADOS PESSOAIS. Lei nº 13.709, de 14 de agosto de 2018. Disponível em: http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/L13709.htm. Acesso em: 15 set. de 2021. PARLAMENTO

EUROPEU E O CONSELHO DA UNIÃO EUROPEIA. GENERAL DATA PROTECTION REGULATION – EU 2016/679. Disponível em: Acesso em: 15 set. 2021.

PORTAL ONLINE. INSTITUIÇÃO DE ENSINO E PESQUISA – FUNDAÇÃO GETÚLIO VARGAS (FGV). Guia de Proteção de Dados. Disponível em: https://portal.fgv.br/sites/portal.fgv.br/files/recursos_humanos.pdf Acesso em: 13 set. 2021.

https://www.sitesa.com.br/contabil/conteudo_trabalhista/procedimentos/p_trabalhista/c48.html#:~:text=7%C2%BA...,25%2F5%2F00).

terça-feira, 14 de setembro de 2021

Criando equipe de Suporte no Active Directory

 

Estes procedimentos tem o objetivo de criar um grupo de administradores do AD (Active Directory) para os usuários de suporte Nível I, em conformidade ao que descreve o Framework ITIL (Information Technology Infrastructure Library ou em tradução livre), ou seja, conjuntos de boas práticas.                   

 

CAPÍTULO 1

O novo grupo terá permissões de administrador típicas na OU que você selecionar. Para este projeto será concedido os privilégios mínimos, apenas o de instalar programas, colocar máquinas no AD ou outras ações pertinentes que a gestão de TI achar necessário.

Principais ações que o novo grupo não será capaz de fazer:

·       Reorganizar OUs;

·       Alterar propriedades no nível de domínio;

·       Coletar senhas do LAPS (Microsoft Local Administrator Solution);

Estes perfis de configuração é o padrão utilizado para a maioria dos cenários nas empresas, contudo é possível ajustar com cada necessidade.

Iniciando os trabalhos, será usado o ASSISTENTE DE DELEGAÇÃO DE CONTROLE. Primeiro siga com os passos abaixo, vejamos:

1.     Abra Usuários e Computadores do Active Directory;

2.     Crie uma OU (Organizational Unit) de SUPORTE

3.     Clique com o botão direito na referida UO, vá para Novo e clique em Grupo;

Figura 1 – Criação de Grupo.

 

Figura 2 – Tela para nomear o nome do novo Grupo.

3- Nomeie o grupo

4- Clique com o botão direito na unidade organizacional para a qual deseja conceder permissões a este grupo e clique em Delegate Control.

Figura 3 – Usando o método de Delegação

 Observe que, para seguir o Princípio do menor privilégio, você não deve dar ao grupo acesso a todo o domínio

5- Clique em Add e selecione o grupo que você acabou de criar

6- Verifique as seguintes opções:

·       Criar, excluir e gerenciar contas de usuário

·       Redefina as senhas do usuário e força a alteração da senha no próximo logon

·       Leia todas as informações do usuário

·       Criar, excluir e gerenciar grupos

·       Modificar a associação de um grupo

·       Gerenciar links de política de grupo

·       Gerar conjunto de políticas resultante (planejamento)

·       Gerar conjunto de políticas resultante (registro)

 

Figura 4 – Criação das delegações, adicionando o grupo criado anteriormente.

 Com base nesta tela da figura 4, supracitado, é necessário seguir os passos abaixo para delegar a capacidade de desbloquear contas de usuário. Após cumprir estes passos, este grupo de administradores do Active Directory já pode ser adicionado à sua equipe de Suporte/ TI sem expor os aspectos vitais do seu ambiente.

1- Clique com o botão direito na unidade organizacional para a qual deseja conceder permissões a este grupo e clique em Delegate Control
2- Clique Add e selecione o grupo que você criou anteriormente
3- Selecione Create a custom task to delegate
4- Selecione Only the following objects in the folder e clique User Objects no final da lista
5- Selecione Property-specific em Show these Permissions
6- Marque Ler e Escrever para LockoutTime

Com estas configurações o perfil já está criado para o time de suporte, contudo é recomendado aplicar mais algumas camadas de segurança. Observe logo abaixo:

1- Abra Usuários e Computadores do Active Directory.
2- Clique com o botão direito na UO ( criada recentemente ) em que deseja criar o grupo de segurança, vá para Novo e clique em Grupo.

Figura 5 – Procedimento 1, Criação de mais uma camada de segurança – Grupo

3- Nomeie o grupo;
4- Clique com o botão direito na unidade organizacional para a qual deseja conceder permissões a este grupo e clique em Properties;

Figura 6 – Procedimento 2, para camada de segurança

Observe que, para seguir o Princípio de menor privilégio, recomenda-se que é aplicada algumas diretivas, veja a seguir.

5- Vá para a Security guia e clique em Advanced
6- Clique em Add=> Select a principal e escolha o grupo que você acabou de criar
7- Permitir a política em This object and all descendant objects


Figura 7 – Procedimento 3, Criação da camada de segurança. 

 

Figura 8 – Procedimento 4, Criação da camada de segurança.

 

Figura 9 – Procedimento 5, Criação da camada de segurança.

 

8- Verifique as seguintes opções:

o   Criar objetos de usuário

o   Criar objetos de computador

o   Excluir Objetos de Computador

o   Criar Objetos de Grupo

o   Excluir objetos do grupo

9- Clique OK
10- Clique em Add=> Select a principal e escolha o grupo que você acabou de criar
11- Permitir a política em Descendant Computer objects

Figura 10 – Procedimento 6, Criação da camada de segurança.

 

Figura 11 – Procedimento 7, Criação da camada de segurança.


Este procedimento 7 segue o mesmo passo do procedimento 5 da 

figura 8.

12- Verifique Full Control, clique OK
13- Clique em Add=> Select a principal e escolha o grupo que você acabou de criar
14- Permitir a política em Descendant Group objects

Figura 12 – Procedimento 8, Criação da camada de segurança.


15- Verifique Full ControlOK
16- Clique em Add=> Select a principal e escolha o grupo que você acabou de criar
17- Permitir a política em Descendant User objects

18- Verifique Full Control, clique OK
19- Clique OK e OK novamente para confirmar

Com estes procedimentos o grupo de administradores do Active Directory já pode ser adicionado à sua equipe de Suporte/TI sem expor os aspectos vitais do seu ambiente.

 

CAPÍTULO 2

DELEGAR PERMISSÕES PARA INSERIR E TIRAR DO DOMÍNIO OU APENAS RENOMEAR COMPUTADORES NO DOMÍNIO


 PROCEDIMENTO C2-1


1- Clique com o botão direito na unidade organizacional para a qual deseja conceder permissões a este grupo e clique em 
Delegate Control
2- Clique Add e selecione o grupo que você criou anteriormente

3- Selecione Create a custom task to delegate 

Se o objetivo for ingressar e reingressar computadores no domínio, as permissões necessárias são:

Active Directory Object Type

  • Computer Object
  • Create selected object in this folder
  • Delete selected object in this folder


Permissions

  • Reset Password
  • Read and Write Account Restrictions
  • Validated Write to DNS Host Name
  • Validated Write to Service Principal Name


Figura 13 - Tela de exemplo para configuração de perfil com privilégios de remover do domínio ou ingressar. 

PROCEDIMENTO C2-2

Se o objetivo for renomear computadores no domínio, as permissões necessárias são:

Active Directory Object Type

  • Computer Object

Permissions

  • Read All Properties
  • Write All Properties
  • Validated Write to DNS Host Name
  • Validated Write to Service Principal Name

Se o intuito for para fazer ambos os procedimentos deste capítulo 2, então adicione já no Procedimento C2-1, estes itens em Permissions:

  • Read All Properties
  • Write All Properties

Com estes procedimentos é possível alcançar os objetivos do artigo evitando assim o compartilhamento de senhas únicas para todos os colaboradores do time de TI. É de suma importância aplicar estes procedimentos, isto possibilita a criação da consciência saudável de segurança da informação e permite a responsabilização de suas ações por parte do colaborador.

O próximo passo é a criação de um artigo falando sobre a implementação do LAPS (Microsoft Local Administrator Solution), ele é responsável por alterar a senha automaticamente de forma aleatória. Concluindo então este Assessment de segurança do Active Directory.


 Fonte: 

 https://www.portalgsti.com.br/2017/08/grupos-de-usuarios-no-active-directory.html

 http://www.linhadecodigo.com.br/artigo/2794/limitando-a-adicao-de-maquinas-no-dominio.aspx

 https://social.technet.microsoft.com/Forums/pt-BR/8c251a2c-5a26-4744-8da7-8c2833b57e51/delegar-controle-para-inserir-maquinas-no-dominio-em-um-ou-ad?forum=especinfrapt

 https://docs.microsoft.com/pt-br/troubleshoot/windows-server/identity/retore-deleted-accounts-and-groups-in-ad

 https://docs.microsoft.com/pt-br/windows-server/identity/ad-ds/manage/component-updates/appendix-i--creating-management-accounts-for-protected-accounts-and-groups-in-active-directory

https://docs.microsoft.com/pt-br/windows-server/failover-clustering/configure-ad-accounts

https://dicasdeinfra.com.br/criar-um-grupo-de-administradores-do-active-directory-win-2012-r2/


Análise da Vulnerabilidade CVE-2024-23113 no FortiGate

  Relatório Técnico: Análise da Vulnerabilidade CVE-2024-23113 no FortiGate e Medidas de Mitigação Introdução Nos últimos anos, as vulnerabi...