Framework para Compliance com a LGPD -

Parte 3 - Gestão de Riscos de Privacidade

(continuação)
Published on December 31, 2019

Em continuação à parte 2 desta série, finalizaremos a discussão do componente Gestão de Riscos de

Privacidade. 
Para o processo de gestão de riscos, a Norma 27005 aborda escopo, contexto e critérios; processo de
avaliação de riscos; tratamento de riscos; comunicação e consulta; e monitoramento e revisão.
Agora, é hora de definir o bloco de Identificação de Riscos de Privacidade.

A Norma ISO 27005:2018 estabelece cinco tipos de identificação que, adaptados às necessidades do
compliance com a LGPD, passam a ter a seguinte denominação e descrição:

1. Identificação de Ativos de Privacidade

A saída deste subprocesso é uma lista de ativos, cujos riscos de privacidade devem ser gerenciados,
além de uma lista de processos de negócios relacionados aos ativos e à sua relevância.

1 Identificação de Ameaças à Privacidade dos Dados Pessoais

A entrada desse subprocesso são informações sobre ameaças obtidas na análise de incidentes, dos
proprietários de ativos, de usuários e outras fontes, incluindo catálogos de ameaças externas.
A saída é uma lista de ameaças com a identificação do seu tipo e origem.
A Norma 27005 exemplifica ameaças típicas no Anexo C.
2. Identificação de Controles Existentes
A saída deste subprocesso é uma lista de todos os controles existentes e planejados, assim como seus
status de implementação e de uso.

3. Identificação de Vulnerabilidades
A saída deste subprocesso é uma lista de vulnerabilidades em relação a ativos, ameaças e controles.
Além disso, deve ser elaborada uma lista de vulnerabilidades que não estão relacionadas a nenhuma
ameaça identificada.
A Norma 27005 exemplifica vulnerabilidades e suas respectivas ameaças no Anexo D.

4. Identificação de Consequências
A saída deste subprocesso é uma lista de cenários de incidentes, com suas consequências relacionadas a
ativos e processos de negócios, com respeito à proteção dos dados pessoais.
Após essas identificações específicas, passa-se ao fluxo padrão de gestão de riscos da Norma 27005,
qual seja, processo de avaliação de riscos; tratamento de riscos; comunicação e consulta, e
monitoramento e revisão.