Alexandre Medeiros - Advogado e Profissional de TI

Alexandre Medeiros - Advogado e Profissional de TI Advogado e DPO | Startup e Inovação | Segurança da Informação | Gestão de Risco | Compliance Advogado(a)

O relatório IAPP – sobre a Privacidade e Confiança do Consumidor no Brasil, publicado em agosto, destaca alguns pontos q...
16/09/2023

O relatório IAPP – sobre a Privacidade e Confiança do Consumidor no Brasil, publicado em agosto, destaca alguns pontos que podem servir de baliza para que as empresas adotem, com urgência, padrões de segurança e medidas para garantir a privacidade e proteção dos dados de seus clientes.

Aponta o documento, sobre o nível de preocupação com a privacidade on-line, que 29% dos entrevistados se consideram muito preocupados, enquanto 39% se preocupam de alguma forma, perfazendo a maioria (68%) daqueles que participaram da avaliação.

A mesma pesquisa demonstra que os usuários, quando sentem insegurança quanto a privacidade e a proteção de seus dados:
- 94% deletam o aplicativo de seu dispositivo móvel;
- 89% optam por desativar o compartilhamento de seus dados pessoais;
- 86% evitam acessar determinado conteúdo;
- 79% declinam de prosseguir com uma compra on-line.

Ainda, quando indagados se seus dados já foram vazados, 47% dos entrevistados assinalaram que sim, sendo que, deste percentual, 43% afirmaram que não continuariam a fazer negócios com a empresa.

Trocando em “miúdos”:
- Cresce o número de pessoas preocupadas com a segurança e utilização dos seus dados;
- Empresas de todos os portes não tem acompanhando as exigências dos titulares, relegando o processo de adequação, muitas vezes por que (a) contratam profissionais inexperientes, (b) visam encontrar lacunas que possam permitir a continuidade ilícita do tratamento de dados, ou, (c) preferem a ilegalidade, acreditando que isso é “coisa do momento”.

O rompimento da credibilidade da marca no mercado (reputação), afasta o cliente da sua base de negócios, algo está diretamente relacionado as 5 forças de Poter, especialmente, na rivalidade entre os concorrentes.

Em síntese, não há mais como se eximir, ou a empresa perde cliente e mercado, ou mantem uma relação fiel com seu público.

Se você acredita que precisa de ajuda para impulsionar o processo de adequação na sua empresa, entre em contato, eu posso te ajudar!



Novo malware MetaStealer mira em sistemas macOS baseados em IntelUm novo malware ladrão de informações chamado MetaSteal...
15/09/2023

Novo malware MetaStealer mira em sistemas macOS baseados em Intel

Um novo malware ladrão de informações chamado MetaStealer está mirando em sistemas macOS baseados em Intel. O malware apareceu à solta, roubando uma grande variedade de informações confidenciais desses computadores.

Os pacotes de aplicativos do malware contêm o essencial, ou seja, um arquivo Info.plist, uma pasta Resources com uma imagem de ícone e uma pasta macOS com o executável Mach-O malicioso. Nenhuma das amostras examinadas pelo SentinelOne foi assinada, apesar de algumas versões apresentarem um Apple Developer ID.

O MetaStealer tenta roubar informações armazenadas nos sistemas comprometidos, incluindo senhas, arquivos e dados de aplicativos, e depois tenta exfiltrá-los via TCP pela porta 3000. Especificamente, as funções do malware permitem exfiltrar as chaves e extrair senhas salvas, roubar arquivos do sistema e direcionar os serviços Telegram e Meta (Facebook).
Em sua versão atual, o MetaStealer roda apenas na arquitetura Intel x86_64, o que significa que não pode comprometer sistemas macOS rodando em processadores Apple Silicon (M1, M2), a menos que a vítima use Rosetta para executar o malware. No entanto, o MetaStealer pode lançar uma nova versão que adicione suporte nativo ao Apple Silicon, por isso é uma ameaça a ser observada.

Fonte: SempreUpdate

                           

O Tribunal Regional do Trabalho da 3ª Região (MG), em recurso julgado em 06 de setembro de 2023, no processo 0010253-84....
15/09/2023

O Tribunal Regional do Trabalho da 3ª Região (MG), em recurso julgado em 06 de setembro de 2023, no processo 0010253-84.###X.5.03.0114, reforçou a sentença prolatada pelo juiz de primeiro grau, mantendo a demissão por justa causa da autora da ação, a ex-funcionária.

O Desembargador André Schmidt de Brito, destacou em seu relatório, pontos relevantes, que atestavam os justos motivos apresentados pela empregadora, demonstrando que a colaboradora:

- Já havia sido repreendida mais de uma vez por conduta inadequada;
- Participou de programa de treinamento e orientação;
- Tinha conhecimento as regras internas, em especial, quanto a proibição do uso de dispositivos móveis;
- Filmava e fazia ‘prints’ de tela dos dados dos clientes.

O que podemos aprender com esse caso?
- A importância da preocupação com os controles internos pautados na segurança da informação e uso adequado dos recursos;
- O gerenciamento do risco humano e o controle dos sistemas internos;
- A preocupação com processos em torno do tema proteção dos dados pessoais;
- A relevância do programa de treinamento e conscientização;
- E, talvez o mais importante (pelo menos a luz das provas em processo judicial), a manutenção da cadeia de evidências, como documentos de participação em treinamentos internos, lógicas (e registros) de controle de acesso e classificação da informação, adequação dos contratos de trabalho e tantos outros.

5 tópicos simples, que facilmente podem ser incorporados em qualquer empresa, mas que neste processo, em virtude da (a) segurança no processo de contratação, (b) garantiu a reputação da empresa, (c) evitando que ela respondesse pelo uso indevido ou vazamento de dados pessoais, e, ainda, (d) assegurou sua defesa em ação judicial.

Se você acredita que sua empresa está vulnerável e precisa de ajuda para tratar de questões sobre os temas jurídico, tecnologia, segurança da informação, defesa cibernética, gestão de risco e privacidade e proteção de dados, eu posso te ajudar!

Usa o Office? Atualize...A exploração dessa vulnerabilidade requer que um usuário abra um arquivo especialmente criado.-...
15/09/2023

Usa o Office? Atualize...

A exploração dessa vulnerabilidade requer que um usuário abra um arquivo especialmente criado.
- Em um cenário de ataque por email, um invasor pode explorar a vulnerabilidade enviando ao usuário um arquivo especialmente criado e convencendo-o a abrir esse arquivo.
- Em um cenário de ataque baseado na Web, um invasor pode hospedar um site (ou aproveitar um site comprometido que aceita ou hospeda conteúdo fornecido pelo usuário) que contém um arquivo projetado especialmente para explorar a vulnerabilidade.

Não há como o invasor forçar os usuários a visitarem o site mal-intencionado. Em vez disso, ele teria que convencer os usuários a clicarem em um link, normalmente na forma de atrativos em um email ou mensagem instantânea, e então convencê-los a abrirem o arquivo especialmente criado.

O ataque propriamente dito é realizado localmente por um usuário com autenticação no sistema de destino. Um invasor pode explorar a vulnerabilidade convencendo a vítima, por meio de engenharia social, a baixar e abrir um arquivo especialmente criado de um site que pode levar a um ataque local ao computador da vítima.

A exploração bem-sucedida dessa vulnerabilidade pode levar à perda total de integridade. A vulnerabilidade pode permitir que um invasor não autenticado insira conteúdo mal-intencionado em um documento que passe na verificação de autenticação quando uma assinatura parcial estiver presente.

Se você acredita que sua empresa está vulnerável e precisa de ajuda para tratar de questões sobre os temas tecnologia, segurança da informação, defesa cibernética, gestão de risco e privacidade e proteção de dados, eu posso te ajudar!

Usa o Windows? Atualize...Esse ataque é limitado a sistemas conectados ao mesmo segmento de rede do invasor. O ataque nã...
14/09/2023

Usa o Windows? Atualize...

Esse ataque é limitado a sistemas conectados ao mesmo segmento de rede do invasor. O ataque não pode ser executado em várias redes (por exemplo, uma WAN) e seria limitado a sistemas no mesmo comutador de rede ou na mesma rede virtual.

Um invasor não autorizado poderia explorar essa vulnerabilidade do ICS (Compartilhamento de Conexão com a Internet) enviando um pacote de rede especialmente criado para o Serviço ICS (Compartilhamento de Conexão com a Internet).

Notadamente, a atualização está disponível para as versões de Windows que a Microsoft ainda mantem suporte, portanto, Windows 10 e 11.

Se você acredita que sua empresa está vulnerável e precisa de ajuda para tratar de questões sobre os temas tecnologia, segurança da informação, defesa cibernética, gestão de risco e privacidade e proteção de dados, eu posso te ajudar!

                     

Vamos colocar uma pá de cal neste assunto?No Brasil não temos uma legislação que regula propriamente o envio de email ma...
07/08/2023

Vamos colocar uma pá de cal neste assunto?

No Brasil não temos uma legislação que regula propriamente o envio de email marketing (SPAM), a exemplo do CAN-SPAM/2003-EUA (Controlling the Assault of Non-Solicited Po*******hy and Marketing Act), que estabelece requisitos para quem envia email comercial não solicitado.

Em uma sociedade dirigida por dados, que impactam as relações comerciais e pessoais, seja em ambiente físico ou digital, há limites legais, e a prova vem com os preceitos que integram o Marco Civil da Internet e Lei Geral de Proteção de Dados, a exemplo, além de diversos códigos e orientações extravagantes sobre o tema.

Assim, é necessário considerar que os direitos e liberdades individuais, como a privacidade, são fundamentos que não podem ser colocados em detrimento por puro interesse comercial.

A mera perseguição do lucro não encontra escora no legítimo interesse, é preciso algo mais, como uma relação prévia entre controlador e titular de dados.

Portanto, o legítimo interesse não é uma pedra filosofal que transmuta (valida) os dados coletados de maneira ilícita e não autorizada, como dados compartilhados entre controladores sem o conhecimento do titular de dados.

Neste sentido, antes de determinar o legítimo interesse como base legal para o envio de email marketing, se faz necessário classificar as informações que integram uma base de dados e que foram regularmente coletadas no desenvolvimento da atividade do controlador, de outras, diametralmente opostas, como aqueles adquiridos por meio de “raspagem” de dados ou outras fontes onde inexiste uma relação entre as partes ou não houve o prévio consentimento por parte do titular de dados.

No primeiro caso, talvez ainda seja necessário o consentimento do titular (analisar o caso concreto), mas, no segundo, o legítimo interesse não se sustenta.

Ficou com dúvidas e não sabe por onde ordenar o processo de adequação, entre em contato, podemos te orientar.

Gerenciamento de risco não é algo novo!Há muito se discute possíveis métodos rápidos e eficazes de avaliações dos riscos...
04/08/2023

Gerenciamento de risco não é algo novo!

Há muito se discute possíveis métodos rápidos e eficazes de avaliações dos riscos e as probabilidades dos seus impactos nos negócios, diante do surgimento de eventos, em especial, aqueles inesperados, evidentemente, com o objetivo de manter a continuidade das operações de uma empresa.

É fato que a gestão de risco não se limita ao tratamento de dados pessoais, mais, de toda a gama de informações que circundam as atividades comerciais, como a exemplo, a inteligência do negócio.

Assim, com o advento da Lei Geral de Proteção de Dados, o tema se acomodou como uma luva, não somente em virtude da obrigação (cumprimento) dos requisitos técnicos dispostos na Lei, mas, como um bom argumento para impulsionar os processos de governança de dados, que normalmente estão apoiados na avaliação do “apetite ao risco” do empresário.

Apetite ao risco?

Então, confesso que não gosto do termo, mas, tenho ouvido com frequência nos mais diversos ambientes onde se versa sobre o tema privacidade e proteção de dados.

Isso me lembra os tempos de criança, onde meus pais me davam Biotônico Fontoura ou Sadol para abrir (estimular) o “apetite”, com o objetivo de aguçar minha “vontade” de comer.

Com base nisto, quando escuto alguém falar em “apetite ao risco”, imediatamente vem a minha cabeça: toma aqui um ataquezinho de DDOS para atiçar a tua vontade de experimentar certos problemas (riscos)...

Seguindo a analogia, particularmente prefiro pensar nos intolerantes a lactose, que sabem o quanto podem (pelo menos deveriam) ingerir leite e derivados antes que o risco se torne eminente.

Risco é algo que queremos afastar e não atrair!

Então, me conta, quais medidas e contramedidas foram adotadas na sua empresa para resistir (impedir, tolerar) ataques cibernéticos (risco)?

Se você tem dúvidas sobre como e quais mecanismos podem proteger o seu ambiente (físico e digital) entre em contato comigo, vou te ajudar...

Nesta semana tomei ciência de que tramita na Assembleia Legislativa de Goiás um projeto de lei que visa regular a coleta...
03/08/2023

Nesta semana tomei ciência de que tramita na Assembleia Legislativa de Goiás um projeto de lei que visa regular a coleta de dados pessoais por parte do comércio varejista.

Particularmente, vejo a iniciativa com bons olhos, pois há excessos por partes dos agentes de tratamento no acesso a dados pessoais, onde uma fração significativa das empresas sequer realizou qualquer movimento no sentido de adequação as regras impostas pela LGPD, que completa 5 anos neste mês.

Mas, há conflitos!

A proposição 2023000600 que dispõe sobre o fornecimento de dados pessoais para compra de produtos ou contratação de serviços, que já teve parecer favorável da Comissão de Constituição e Justiça, discorre, em seus argumentos, que a matéria é relevante a defesa do consumidor, assim sendo, em consonância com o art. 24 da Carta Magna, concorrem a União, os Estados e o Distrito Federal o trato do tema.

Todavia, é preciso relembrar que a Emenda Constitucional 115/2022 incluiu proteção de dados como direito fundamental (art. 5º, LXXIX).

Indo mais além, a mesma Emenda, destacou que o tema proteção e tratamento de dados é de competência privativa da União (art. 22, ###).

Voltando ao projeto de lei, é possível verificar em suas fundamentações, com o intuito de afastar o rigor do art. 22, o destaque a Lei Geral de Proteção de Dados, enfatizando, ao final, que não há avanço do ente Estadual sobre os assuntos exclusivos da União.

Será?

A meu ver, o tema está mais para a proteção de dados do que para a relação de consumo, mesmo porque, o interesse é regular a forma com os dados são coletados e tratados (principal) e não como determinado serviço ou bem é colocado em circulação (acessório), sem deixar de mencionar a (quase total) impossibilidade de dissociar a coleta de dados com a entrega de um produto ou serviço (objetivo econômico), que é regulado pela Lei Geral de Proteção de Dados.

Precisamos ver as cenas do próximo capítulo!

Cuidado!Há no mercado diversos profissionais que se autointitulam "especialistas" em Lei Geral de Proteção de Dados e qu...
03/08/2023

Cuidado!

Há no mercado diversos profissionais que se autointitulam "especialistas" em Lei Geral de Proteção de Dados e que facilmente podem ser comparados a um Smartwatch Original X8 Ultra (o relógio da imagem deste post).

Em uma rápida apresentação induzem o mercado a acreditar que são de fato um Apple Watch Ultra, mas, quando avaliados com mais atenção percebe-se que se trata de uma imitação.

Nada contra quem compra uma réplica, desde que tenha ciência de que está adquirindo um "produto" limitado e sem originalidade.

É importante que as empresas compreendam que comprar uma imagem de conhecimento não atenderá com o devido rigor todas as expectativas (proteção, segurança e versatilidade) que atendem os desígnios pautados nas diversas normas e legislações que abordam a privacidade, a proteção de dados e a segurança da informação, isso, fatalmente dará maior amplitude aos riscos.

A LGPD não é uma ilha mágica que exclusivamente trata de privacidade e proteção de dados, há um arquipélago formado por mais de 40 normas que orientam setores e garantem a segurança técnica e jurídica.

Qualidade profissional vem da vivência, da expertise desenvolvida mediante a soma de aspectos teóricos e práticos.

Precisa de ajuda? Eu posso te orientar!

Estamos animados em anunciar o lançamento de nosso novo site e marca!Depois de muito planejamento e trabalho duro, estam...
03/04/2023

Estamos animados em anunciar o lançamento de nosso novo site e marca!

Depois de muito planejamento e trabalho duro, estamos prontos para apresentar a vocês uma nova e emocionante versão de nossa empresa.

Nossa nova marca representa nosso compromisso contínuo com a inovação e qualidade, além de refletir nossa visão e valores. Ela transmite uma mensagem clara de confiança e credibilidade, e esperamos que vocês gostem tanto quanto nós.

Nosso novo site foi projetado para ser mais intuitivo e fácil de usar, proporcionando uma experiência de usuário melhor e mais agradável. Com uma navegação simplificada, é mais fácil encontrar o que você precisa, desde informações sobre nossos produtos e serviços até formas de entrar em contato conosco.

Os créditos, quanto ao desenvolvimento do site e revitalização da marca, são do gabaritado profissional .medeiros , da .

Queremos agradecer a todos os nossos clientes e parceiros por seu apoio contínuo. Estamos ansiosos para continuar trabalhando com vocês e para apresentar novidades e melhorias em nossa empresa.

Visite nosso novo site e nos conte o que você achou! Estamos sempre abertos a feedback e sugestões.

Link na Bio!

BeSafe | BeCompliance | BeLegal

Pois é, é o que vivo dizendo!Tá precisando de uma forcinha para destravar o teu projeto de adequação a LGPD?Eu posso te ...
23/03/2023

Pois é, é o que vivo dizendo!

Tá precisando de uma forcinha para destravar o teu projeto de adequação a LGPD?

Eu posso te ajudar com isso, basta me mandar uma mensagem…

O fenômeno ChatGPT tem levado curiosos a utilizar o serviço, para as mais variadas finalidades, a criatividade não tem l...
22/03/2023

O fenômeno ChatGPT tem levado curiosos a utilizar o serviço, para as mais variadas finalidades, a criatividade não tem limites. Mas, há outro lado, substancialmente preocupante, uma vez que o “produto”, baseando em inteligência artificial (IA), tem sido amplamente utilizado para fins não tão divertidos ou benéficos, conduzindo profissionais da segurança da informação a elevar os níveis dos controles de segurança em suas organizações.

Tendo como pano de fundo matéria abordada no CSO Online, fiz apontamentos sobre o tema, visando tornar o conteúdo acessível:

1. Entender a ameaça: Profissionais de segurança cibernética devem avaliar a capacidade real de ataque produzido por IA, considerando as vulnerabilidades dos recursos, especialmente no contexto de vetores de phishing e chatbots, e assim criar uma estratégia defensiva.

2. Mentalidade e cultura: Treinamento e conscientização são ferramentas comprovadamente adequadas na redução de ataques cibernéticos, afinal, ninguém pode proteger algo que de fato não entende o seu valor.

3. Ação adequada: Organizações devem desenvolver habilidades voltadas a segurança cibernética em seus funcionários, pois com o avanço da IA, erros de redação em textos são coisas do passado. Criar uma “dúvida razoável” para as mensagens recebidas é o primeiro filtro de proteção. Não tem certeza, não clique!

4. Executar simulações de phishing: Simples, teste seu pessoal! Crie métricas, avalie o resultado e realimente o programa de treinamento e conscientização.

5. Incorpore ferramentas de detecção de IA: Medidas e contramedidas, jogue o mesmo jogo do atacante. A OpenAI e outras plataformas já disponibilizam ferramentas para detectar textos produzidos por IA.

6. Denuncie: Se ficou na dúvida, procure orientação do responsável pelo programa de segurança da informação de organização.

7. Mecanismos de proteção: O Captcha, provavelmente, se tornará vulnerável a IA, assim, o uso de soluções como Autenticação Multifator tem se mostrado um recurso ainda confiável, devendo ser implementando em todas as plataformas que permitem sua integração.

Endereço

Rua Santa Cruz, 2187/Sala 10/Vila Mariana
São Paulo, SP
04121-002

Horário de Funcionamento

Segunda-feira 09:00 - 12:00
13:30 - 18:00
Terça-feira 09:00 - 12:00
13:30 - 18:00
Quarta-feira 09:00 - 12:00
13:30 - 18:00
Quinta-feira 09:00 - 12:00
13:30 - 18:00
Sexta-feira 09:00 - 12:00
13:30 - 18:00

Notificações

Seja o primeiro recebendo as novidades e nos deixe lhe enviar um e-mail quando Alexandre Medeiros - Advogado e Profissional de TI posta notícias e promoções. Seu endereço de e-mail não será usado com qualquer outro objetivo, e pode cancelar a inscrição em qualquer momento.

Compartilhar