Rafael Capitão — #seguranca-da-informacao

Segurança e Privacidade se complementam mas não se confundem

2026-04-09T11:15:00Z

Segurança da informação e privacidade são áreas que se complementam, mas não são sinônimas. Confundir as duas ou tratar uma como subconjunto da outra cria lacunas de conformidade e de proteção.

O que cada uma faz?

A segurança da informação protege sistemas, redes e dados contra acessos não autorizados, vazamentos e ataques. Seus instrumentos são técnicos: criptografia, controle de acesso, DLP, SIEM, operações de SOC. A pergunta central é "quem pode acessar o quê e como impedimos acessos indevidos".

A privacidade faz perguntas diferentes. Esses dados deveriam existir em primeiro lugar? A coleta é proporcional à finalidade declarada? O uso atual é compatível com o que foi informado ao titular? A privacidade não protege apenas o dado, ela protege a pessoa por trás dele.

Um sistema pode ser tecnicamente seguro e ainda assim violar a privacidade se os dados estiverem sendo usados para outros fins.

Onde isso aparece na prática?

Implementação de DLP - A ferramenta monitora e bloqueia saída de dados. Mas sem uma análise de privacidade prévia, a configuração pode criar monitoramento desproporcional de colaboradores, sem base legal clara e sem que os titulares tenham sido informados.

Resposta a incidentes - A equipe de segurança identifica um vazamento e quer preservar logs para investigação forense. A equipe de privacidade precisa avaliar: quais dados foram expostos, quem precisa ser notificado, em qual prazo e com qual conteúdo. Sem processos integrados, a organização chega atrasada na notificação à ANPD.

Projetos com ferramentas de IA - A segurança quer restringir o uso de ferramentas não aprovadas. A privacidade precisa mapear quais dados pessoais estão sendo inseridos, por quem e com qual finalidade. Sem essa conversa, o bloqueio técnico existe, mas o mapeamento de risco não.

Onboarding de fornecedores - O time de segurança faz assessment técnico do fornecedor. O time de privacidade avalia o DPA, as bases legais, a cadeia de suboperadores e os mecanismos de transferência internacional. Sem integração, a organização aprova um fornecedor tecnicamente seguro mas juridicamente exposto.

O que acontece quando não há essa integração?

Já vi casos em que a segurança implementou controles de monitoramento de endpoints sem qualquer envolvimento de privacidade. E o resultado? Colaboradores monitorados sem aviso adequado, dados coletados além do necessário, e a organização exposta a reclamações trabalhistas e questionamentos regulatórios.

O caminho oposto também acontece com programas de privacidade bem estruturados no papel, mas sem qualquer controle técnico por trás.

A maturidade está na integração entre as duas áreas, com processos conectados e boa comunicação. Isso exige decisão, estrutura e clareza sobre onde cada área começa e onde termina.

A senha do Louvre era Louvre

2025-11-11T02:36:00Z

A senha do Louvre era “Louvre”. Sim, você leu certo.

Recentemente, veio à tona que o Museu do Louvre usava como senha do seu sistema de vigilância... “Louvre”.

Parece ironia, mas essa história ilustra um problema que vejo todos os dias em organizações de todos os tamanhos. A tecnologia avança, investimos em sistemas sofisticados de proteção, mas tropeçamos no fundamento mais básico: senhas fracas.

Não importa o quanto você invista em segurança da informação se a porta de entrada está escancarada com uma senha óbvia. É como ter o melhor sistema de alarme do mundo e deixar a chave embaixo do tapete.

O que me preocupa é que esse não é um caso isolado. Estudos mostram que senhas como "123456", "password" e variações com o nome da empresa ainda estão entre as mais utilizadas globalmente. Em projetos que já acompanhei, é comum encontrar credenciais padrão nunca alteradas, senhas compartilhadas entre equipes inteiras ou anotadas em post-its colados no monitor.

Uma senha forte precisa combinar letras maiúsculas e minúsculas, números e caracteres especiais, com no mínimo 12 caracteres. Mas sei que é difícil lembrar de tudo isso, especialmente quando temos dezenas de acessos diferentes no dia a dia profissional. Por isso, como mencionei em um post recente, os gerenciadores de senhas são essenciais. Eles criam e armazenam senhas complexas e únicas para cada sistema, deixando você livre dessa sobrecarga mental e eliminando a tentação de reutilizar a mesma senha em múltiplos lugares.

No final das contas, o Louvre tinha suas câmeras, seus alarmes e seus seguranças. Mas a diferença é que, diferentemente de um museu que pode contar com seguranças físicos, no ambiente digital, sua senha é frequentemente a única linha de defesa entre seus dados e um invasor.

Gerenciadores de senhas

2025-09-26T02:40:00Z

Ainda é comum ver pessoas usando a mesma senha em todos os serviços ou, pior, guardando senhas em bloco de notas, documentos do Word ou planilhas. Sem falar naquelas clássicas combinações como 123mudar, 12345 ou o nome do pet. Nada disso é seguro.

Como eu faço? Uso um gerenciador de senhas, no meu caso o 1Password, mas há ótimas opções no mercado, como Bitwarden, ProtonPass, NordPass, Keepass e Dashlane. Uma dica: fujam do LastPass, ele já sofreu nos últimos anos vários incidentes de segurança graves. Todas as minhas credenciais ficam em um cofre criptografado. Cada serviço tem uma senha única e robusta, com pelo menos 14 caracteres, incluindo letras maiúsculas, minúsculas, números e símbolos.

E não, eu não preciso ficar inventando ou decorando senhas complexas. O próprio gerenciador gera automaticamente combinações seguras, como por exemplo: Vey_tx6Nxu8q@o. Assim, minha única preocupação é lembrar da senha mestre, que dá acesso ao cofre. Essa prática me garante mais segurança e tranquilidade.**

E você, já utiliza algum gerenciador de senhas?

Os riscos por trás do QR Code

2025-09-15T17:04:00Z

Os QR Codes deixaram de ser novidade e hoje estão por toda parte: em cardápios, anúncios, eventos e até mesmo em processos internos das empresas. A promessa é sempre de praticidade e economia, mas nem sempre o que está por trás desse quadrado em preto e branco é tão simples assim.

Ao escanear um QR Code, o usuário pode ser redirecionado para links maliciosos que instalam softwares indesejados, mas o risco não para aí. Muitos geradores de QR funcionam como plataformas de coleta de dados. Em segundos, conseguem registrar informações como endereço IP, localização, carimbo de data e hora e até detalhes sobre o dispositivo utilizado. Tudo isso sem que o usuário perceba e, em muitos casos, sem que a própria empresa que contratou o serviço saiba exatamente como esses dados são tratados.

Esse cenário traz implicações diretas para segurança e privacidade. Do ponto de vista legal, a responsabilidade pelo tratamento de dados recai também sobre a empresa que utiliza o recurso. Além disso, há impactos de reputação quando o cliente descobre que o simples ato de abrir um cardápio digital pode significar a entrega de seus dados para terceiros.

Adotar QR Codes não é um problema em si, mas exige avaliação criteriosa dos provedores e atenção a práticas de privacidade. Em alguns casos, optar por soluções estáticas, que apenas direcionam para um link sem rastreamento, pode ser o caminho mais seguro.

Proteja documentos enviados

2025-05-21T21:55:00Z

Cuidado simples, mas que faz diferença na proteção dos seus dados

Ainda é comum receber pedidos para o envio de documentos pessoais por e-mail ou aplicativo. Às vezes é inevitável: um processo de contratação, abertura de conta ou matrícula escolar. O problema é que, uma vez enviado, aquele documento pode ser replicado, armazenado ou até compartilhado sem controle.

Uma dica simples, mas pouco falada, é aplicar uma marca d’água sobre o arquivo com o nome da empresa ou pessoa que está solicitando e a data do envio. Isso não impede o uso indevido, mas desestimula fraudes e ajuda a identificar a origem, caso o documento vaze ou apareça em algum lugar onde não deveria.

É o tipo de precaução que leva poucos segundos, mas que mostra que você está atento à forma como seus dados circulam. Pequenas atitudes, quando viram hábito, podem reduzir bastante o impacto de uma exposição.

Segurança, Privacidade e Dados

2025-04-25T02:03:00Z

Proteção de dados, segurança de dados e privacidade de dados: tudo igual? Nem tanto.

Se você já achou que esses termos são sinônimos, não está sozinho, mas há diferenças importantes que vale a pena entender.

Segurança de Dados

É como trancar a porta da sua casa. O foco é evitar acessos não autorizados, vazamentos ou alterações indevidas nos dados.

Exemplos: criptografia, firewalls, controle de acesso.

Privacidade de Dados

É sobre respeitar o que pode ou não ser feito com seus dados pessoais. Quem pode ver? Para qual finalidade? Você autorizou?

Exemplos: consentimento, direito ao esquecimento, opt-out.

Proteção de Dados

É o “guarda-chuva” que cobre tanto a segurança quanto a privacidade. Une práticas técnicas, jurídicas e organizacionais para garantir o uso responsável e legal dos dados.

Exemplos: classificação de dados, avaliação de impacto à privacidade, gestão de riscos.

Enquanto segurança protege o acesso, privacidade protege o uso. E proteção de dados garante que tudo isso funcione de forma alinhada à lei.

Privacidade, Segurança e Anonimato

2025-03-18T02:34:00Z

Privacidade, Segurança e Anonimato: o que cada um significa? No mundo digital, esses três conceitos são frequentemente confundidos, mas cada um tem um papel distinto na proteção dos dados e da identidade das pessoas.

Privacidade: É a garantia de que seus dados só serão acessados pelas partes às quais você deu permissão. Envolve controle sobre quem pode ver suas informações e como elas são usadas.

Segurança: Está relacionada à proteção contra acessos não autorizados e ataques. É a confiança de que as aplicações que você usa são seguras, os envolvidos são legítimos e seus dados estão protegidos contra ameaças.

Anonimato: Refere-se à capacidade de agir sem ser identificado de forma persistente. Em outras palavras, é a possibilidade de navegar ou interagir sem que sua identidade real seja rastreável.

Embora relacionados, esses conceitos não são sinônimos. Você pode ter segurança sem privacidade (exemplo: um sistema altamente seguro que coleta todos os seus dados) e privacidade sem anonimato (exemplo: usar um serviço que protege seus dados, mas ainda sabe quem você é).

No seu dia a dia, pense nesses conceitos como camadas de proteção digital. Entender essas diferenças é essencial para tomar decisões mais informadas sobre como proteger seus dados e sua identidade online.

O que o Zero Day nos ensina

2025-02-27T22:56:00Z

Zero Day: As lições de cibersegurança que a nova série da Netflix nos ensina

Esta semana, assisti a série Zero Day, da Netflix, estrelada por Robert De Niro. A trama mistura conspiração cibernética, ataques hackers e desinformação, trazendo um suspense instigante e, ao mesmo tempo, um alerta sobre os desafios da segurança digital. O título da série faz referência a um conceito na cibersegurança: as vulnerabilidades Zero Day.

O que é um Zero Day?

Em termos simples, uma vulnerabilidade Zero Day é uma falha de segurança desconhecida pelo fabricante do software ou sistema. Isso significa que não há correção disponível, tornando-se uma oportunidade de ouro para atacantes explorarem a falha antes que possa ser corrigida. Hackers, governos e cibercriminosos frequentemente buscam essas vulnerabilidades para realizar ataques sofisticados.

Principais lições da série

O ataque cibernético na série foi projetado para prejudicar o país, no caso EUA, explorando várias vulnerabilidades de zero day simultaneamente em diferentes plataformas, incluindo iOS, Android, Windows e sistemas críticos de infraestrutura, como grades de energia e controle de tráfego aéreo. Essa greve sincronizada leva a interrupções generalizadas, pânico e perda de vidas. Além do suspense, Zero Day levanta questões relevantes para o mundo real:

A guerra cibernética já é uma realidade – Ataques digitais podem desestabilizar governos, empresas e a sociedade.
A desinformação amplifica os riscos – Em um mundo onde fake news se espalham rapidamente, ataques cibernéticos podem ser usados para manipular percepções e influenciar decisões estratégicas.
Privacidade e segurança caminham juntas – O vazamento de dados pode ser a porta de entrada para ataques, reforçando a necessidade de boas práticas de proteção.

🎭 Uma ótima dica para a semana do Carnaval! 🎭

Se você prefere um programa mais tranquilo ou quer alternar entre a folia e um bom suspense, Zero Day é uma excelente escolha! A série não só prende a atenção, mas também nos faz refletir sobre os desafios da cibersegurança no mundo atual.