LGPD

METODOLOGIA A.R.C.A.

RISCOS
RISCOS
Processos de gestão de riscos
quanto à gestão da segurança da
informação. Sistêmico e cultural.
Fonte: SERPRO
Fonte: SERPRO
Oragnização: Pessoas usando Estrutura e pilotando Eventos
para alcançar Objetivos
Declaração DE APETITE A RISCOS CGE/MG

RISCOS
Processos de gestão de riscos
quanto à gestão da segurança da
informação. Sistêmico e cultural.
CICLO DA GESTÃO DE RISCOS

FATORES QUALITATIVOS PARÂMETROS

(Ameaças, vulnerabilidades, QUANTITATIVOS
Incidentes/eventos) (Probabilidade, Impacto,
Detectabilidade)

REVISÃO DA DECLARAÇÃO
TIPOS DE RISCOS DE APETITE
No contexto dos espaços (Específica para Segurança da
geográficos e cibernéticos e dos Informação -SI)
processos
(Consciência Situacional)
 BOA-FÉ

PRINCÍPIOS HIPÓTESES

Finalidade Transparência Consentimento Exercício de Direitos

Adequação Segurança Obrigação legal Proteção da vida

Necessidade Prevenção Políticas públicas Tutela da Saúde

livre acesso Não discriminação

LGPD Estudos Interesses legítimos

Qualidade Responsabilização Contrato Proteção do crédito

FUNDAMENTOS

Privacidade Autodeterminação Liberdades Inviolabilidade Desenvolvimento Livre iniciativa Direitos Humanos

informativa Expressão Intimidade Econômico Livre concorrência Personalidade
Informação Honra Tecnológico Defesa do Consumidor Diginidade
Comunicação Imagem Inovação Cidadania
Opinião
Dados Pessoais Interconectados

“DADOS PESSOAIS” PODEM SER:

● Características da pessoa;
● Conexão da pessoa com as 6 classes de
“coisas”.
Eventos alteram dados, relações, outros eventos…
Eventos alteram dados, relações, outros eventos…
tudo, no decorrer do tempo.
Eventos alteram dados, relações, outros eventos…
tudo, no decorrer do tempo.

“TUDO SÃO EVENTOS”.

Incidentesde segurançatambém.
RISCO - Pessoas usando Estrutura e pilotando Eventos
para alcançar Objetivos
RISCO

Para a gestão de riscos de segurança da informação o foco será nos fatores negativos
MAPA SWOT

FORÇAS OPORTUNIDAES

S O
ESTRATÉGIA DE INOVAÇÃO E
CONTRAMEDIDAS MAIOR ALCANCE DOS
EFETIVAS IMPLEMENTADAS OBJETIVOS DA
ADMINISTRAÇÃO

FRAQUEZAS AMEAÇAS

W T
VULNERABILIDADES AMBIENTE EXTERNO
CONTRAMEDIDAS COM É RELATIVA À
FALHAS VULNERABILIDADES
MAPA SWOT

FORÇAS OPORTUNIDAES

S O
ESTRATÉGIA DE INOVAÇÃO E
CONTRAMEDIDAS MAIOR ALCANCE DOS
EFETIVAS IMPLEMENTADAS OBJETIVOS DA
ADMINISTRAÇÃO

FRAQUEZAS AMEAÇAS

W T
VULNERABILIDADES AMBIENTE EXTERNO
CONTRAMEDIDAS COM É RELATIVA À
FALHAS VULNERABILIDADES
RISCO

RISCO=
(Nível)
RISCO

RISCO=
(Nível) Ameaça
RISCO

RISCO=
(Nível) Ameaça
RISCO

RISCO=
(Nível) Ameaça Vulnerabilidade
RISCO

RISCO=
(Nível) Ameaça Vulnerabilidade

Contramedidas
 RISCO

Ameaça Vulnerabilidade
RISCO=
(Nível)
Contramedidas
 RISCO

Ameaça Vulnerabilidade
RISCO=
(Nível)
Contramedidas

PROBABILIDADE
 RISCO

Ameaça Vulnerabilidade
RISCO=
Impacto
(Nível)
Contramedidas

PROBABILIDADE
 RISCO

RISCO= PROBABILIDADE IMPACTO

(Nível)
 RISCO Relacionamento entre os princípios da gestão de riscos, estrutura e processo segundo a ISO 31000:2009
MODELOS (FRAMEWORKS) DE GESTÃO

Fonte: ABNTNBR ISO 31000:2009.

DE RISCOS CORPORATIVOS
Relacionamento entre os princípios da
Estabelecimento do contexto
gestão de riscos, estrutura e processo (5.3)
segundo a ISO 31000:2009 Processo de avaliação

Monitoramento e análise crítica (5.6)

de riscos (5,4)

Comunicação e consulta (5.2)

Identificação de riscos (5.4.2)

Análise de riscos (5.4.3)

Avaliação de riscos (5.4.4)

Tratamento de riscos (5.5)

 Eventos alteram dados, relações, outros eventos… tudo, no decorrer do tempo.

Estabelecimento do contexto
(5.3)

Monitoramento e análise crítica

Comunicação e consulta (5.2)
Processo de avaliação
de riscos (5,4)
MODELOS (FRAMEWORKS) DE GESTÃO

Identificação de riscos (5.4.2)

(5.6)
DE RISCOS CORPORATIVOS

Análise de riscos (5.4.3)

Avaliação de riscos (5,4,4)

Tratamento de riscos (5.5)

Fonte: ABNTNBR ISO 31000:2009.

 RISCO
ABNT NBR ISO/IEC 27001:2013.
MODELOS PARA BOAS PRÁTICAS DE GESTÃO DE RISCOS EM

Sistemas de gestão da segurança da informação (P.O.D.C)

ABNT NBR ISO/IEC 27002: 2013.

Código de Prática para controles de segurança da informação (C.)
PROTEÇÃO DE DADOS

ABNT NBR ISO/IEC 27005:2019.

Gestão de riscos de segurança da informação. (P.O.D.C)

ABNT NBR ISO/IEC 31000:2018.

Gestão de riscos - Diretrizes (P.O.D.C)

ABNT NBR ISO/IEC 27701:2019. Técnicas de segurança — Extensão

da 27001 e 27002 — Requisitos e diretrizes (C.)
SEGURANÇA DA INFORMAÇÃO E RISCOS NA LGPD
 O ESPAÇO CIBERNÉTICO E GEOGRÁFICO

DISPOSITIVO DE
ARMAZENAMENTO
Dado pessoal retido em Sistema Gerenciador de Banco de Dados - SGBD

COMPUTADOR
CAMPO TABELA SGBD Porta 3306
IP válido
Ethernet Porta 80

COMPUTADOR
Pessoa Software Software
IP Rede Interna
DISPOSITIVO DE
ARMAZENAMENTO

Pessoa
COMPUTADOR ESPAÇO
IP Rede Doméstica CIBERNÉTICO
DISPOSITIVO DE
ARMAZENAMENTO

ESPAÇO
Pessoa
GEOGRÁFICO

Pessoa
ESPAÇO
GEOGRÁFICO
O ESPAÇO CIBERNÉTICO E GEOGRÁFICO

Fotografia, áudio, vídeo,

Arquivo
frase, linha ou trecho de Eletrônico Digital DISPOSITIVO DE
texto (doc, txt, wav, mpeg, xls, jpg, ARMAZENAMENTO
ppt, pdf, gif, mp3, vob, etc)

Dado pessoal retido em arquivo eletrônico em diretório (pasta) COMPUTADOR

IP válido
Ethernet Porta 80

COMPUTADOR
Pessoa Software Software
IP Rede Interna
DISPOSITIVO DE
ARMAZENAMENTO

Pessoa
COMPUTADOR ESPAÇO
IP Rede Doméstica CIBERNÉTICO
DISPOSITIVO DE
ARMAZENAMENTO

ESPAÇO
Pessoa
GEOGRÁFICO

Pessoa
ESPAÇO
GEOGRÁFICO
RISCO

Art. 44. O tratamento de dados pessoais será irregular quando deixar de

observar a legislação ou quando não fornecer a segurança que o titular dele
pode esperar, consideradas as circunstâncias relevantes, entre as quais:

I - o modo pelo qual é realizado;

II - o resultado e os riscos que razoavelmente dele se esperam;
III - as técnicas de tratamento de dados pessoais disponíveis à época em que foi
realizado.

Parágrafo único. Responde pelos danos decorrentes da violação da segurança

dos dados o controlador ou o operador que, ao deixar de adotar as medidas de
segurança previstas no art. 46 desta Lei, der causa ao dano.
RISCO

Art. 44. O tratamento de dados pessoais será irregular quando deixar de

observar a legislação ou quando não fornecer a segurança que o titular dele
pode esperar, consideradas as circunstâncias relevantes, entre as quais:

I - o modo pelo qual é realizado;

● Coleta: por formulário escrito à mão, espera-se controle de chaves dos armários de documentos
com dados pessoais
● Coleta: por formulário informatizado, espera-se controle de senhas de acesso aos arquivos que
retém os dados pessoais
RISCO

Art. 44. O tratamento de dados pessoais será irregular quando deixar de

observar a legislação ou quando não fornecer a segurança que o titular dele
pode esperar, consideradas as circunstâncias relevantes, entre as quais:

II - o resultado e os riscos que razoavelmente dele se esperam;

● Resultado do tratamento de dados: processamento sem discriminação, com precisão e o esperado pelo objetivo
do processo.

● Riscos do tratamento de dados: a identificação, análise, avaliação e apetite precisam ser razoáveis. O titular não
pode exigir controle de riscos extraordinário, muito além do razoável. (ameaças não razoáveis ou eliminação total
de vulnerabilidades ou nível de risco zero). Contudo, o controlador não deve ser negligente aceitando um apetite
de riscos em nível muito alto para fatores de risco que podem ser razoavelmente controlados.
RISCO

Art. 44. O tratamento de dados pessoais será irregular quando deixar de

observar a legislação ou quando não fornecer a segurança que o titular dele
pode esperar, consideradas as circunstâncias relevantes, entre as quais:

III - as técnicas de tratamento de dados pessoais disponíveis à época em que foi

realizado.

O titular tem direito de esperar que sejam usadas as melhores técnicas, mas somente as
disponíveis na época do tratamento. Se novas técnicas surgem (e ficam disponíveis), os novos
tratamentos, a partir daí, precisam se atualizar com essas novas técnicas disponíveis e que
oferecerem mais segurança, que é o que o titular tem direito de esperar que seja feito, o que
exigirá do controlador também atualizar todas as etapas da gestão de riscos, a cada nova técnica
ou medida de segurança a ser implementada.
RISCO
Parágrafo único. Responde pelos danos decorrentes da violação da segurança dos dados o controlador
ou o operador que, ao deixar de adotar as medidas de segurança previstas no art. 46 desta Lei, der causa
ao dano.

Significa, literalmente, que: deixar de adotar as medidas de segurança previstas no art. 46 da LGPD é dar
causa a danos decorrentes da violação da segurança dos dados pessoais.
Incidente: violação da segurança dos dados (confidencialidade, integridade e disponibilidade)
Impacto: danos (decorrentes do incidente - nexo de causalidade)
Causa do dano: deixar de adotar as medidas de segurança previstas no art. 46 desta Lei -
(“...aptas a proteger os dados pessoais…”) - medidas que protegeríam contra o incidente.
Responde pelos danos: controlador ou operador que deixou de adotar as medidas de segurança.
RISCO
Art. 46. Os agentes de tratamento devem adotar medidas de segurança, técnicas e
administrativas aptas a proteger os dados pessoais de acessos não autorizados e de
situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer
forma de tratamento inadequado ou ilícito.

§ 1º A autoridade nacional poderá dispor sobre padrões técnicos mínimos para tornar aplicável o
disposto no caput deste artigo, considerados a natureza das informações tratadas, as características
específicas do tratamento e o estado atual da tecnologia, especialmente no caso de dados pessoais
sensíveis, assim como os princípios previstos no caput do art. 6º desta Lei.

§ 2º As medidas de que trata o caput deste artigo deverão ser observadas desde a fase de concepção
do produto ou do serviço até a sua execução.

Art. 47. Os agentes de tratamento ou qualquer outra pessoa que intervenha em uma das fases do
tratamento obriga-se a garantir a segurança da informação prevista nesta Lei em relação aos dados
pessoais, mesmo após o seu término.
RISCO
Art. 46. Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas
aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas
de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.

Resolução XX de XX de XXXXX de XXXX

Dispõe sobre os padrões técnicos, mencionados no inciso XXI do Decreto Estadual nº 48.237/2021 e
aplicáveis às medidas de segurança, técnicas e administrativas de proteção de dados pessoais, no
âmbito da Controladoria-Geral do Estado de Minas Gerais.

Art. 1º Os padrões técnicos estabelecidos nesta resolução deverão ser aplicados como referência para o planejamento e como critérios para
a avaliação da qualidade das medidas de segurança, técnicas e administrativas quanto à sua adequação e suficiência para proteger os dados
pessoais.

§1º Os padrões técnicos estabelecidos nesta Resolução deverão ser aplicados considerando:
a) a natureza das informações tratadas;
b) as características específicas do tratamento;
c) o estado atual da tecnologia, especialmente no caso de dados pessoais sensíveis e
d) os princípios a serem observados nas atividades de tratamento de dados pessoais nos termos do art. 6º da LGPD.

§2º Os padrões técnicos estabelecidos nesta Resolução e as medidas de segurança, técnicas e administrativas adotadas para a proteção dos
dados pessoais deverão ser observadas desde a fase de concepção até a de execução de programas, atividades, serviços, processos, eventos
ou projetos relacionados ao cumprimento das competências e atribuições da CGE/MG.

§3º Todas as unidades administrativas da estrutura orgânica da CGE/MG, bem como quaisquer pessoas ou servidores nelas em exercício,
ao executarem atribuições que tratem dados pessoais - ou que intervenham em uma das fases do tratamento - são obrigadas a garantir a
segurança da informação e os padrões técnicos estabelecidos nesta Resolução.
RISCO - GESTÃO DE INCIDENTES E CRISES

Art. 48. O controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de
segurança que possa acarretar risco ou dano relevante aos titulares.

§ 1º A comunicação será feita em prazo razoável, conforme definido pela autoridade nacional, e deverá
mencionar, no mínimo:
I - a descrição da natureza dos dados pessoais afetados;
II - as informações sobre os titulares envolvidos;
III - a indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados, observados os
segredos comercial e industrial;
IV - os riscos relacionados ao incidente;
V - os motivos da demora, no caso de a comunicação não ter sido imediata; e
VI - as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo.

§ 2º A autoridade nacional verificará a gravidade do incidente e poderá, caso necessário para a salvaguarda
dos direitos dos titulares, determinar ao controlador a adoção de providências, tais como:
I - ampla divulgação do fato em meios de comunicação; e
II - medidas para reverter ou mitigar os efeitos do incidente.

§ 3º No juízo de gravidade do incidente, será avaliada eventual comprovação de que foram adotadas medidas
técnicas adequadas que tornem os dados pessoais afetados ininteligíveis, no âmbito e nos limites técnicos
de seus serviços, para terceiros não autorizados a acessá-los.
RISCO - SISTEMAS DE INFORMAÇÃO

Art. 49. Os sistemas utilizados para o tratamento de dados pessoais devem ser estruturados de forma a
atender aos requisitos de segurança, aos padrões de boas práticas e de governança e aos princípios gerais
previstos nesta Lei e às demais normas regulamentares.

● Requisitos de Segurança (previstos na LGPD? Quais?)

● Padrões de Boas Práticas (previstos na LGPD? Quais?)
● Padrões de Governança (previstos na LGPD? Quais?)
● Princípios Gerais previstos na LGPD
● Demais normas regulamentares (da ANPD, do Estado, da SEPLAG, da SEFAZ, da PRODEMGE, de órgãos e
entidades Operadoras de Dados e da própria CGE)

● Sistemas gerenciais desenvolvidos pela CGE

● Sistemas gerenciais desenvolvidos pela PRODEMGE sob encomenda
● Sistemas gerenciais desenvolvidos por terceiros - Sistemas específicos sob encomenda
● Sistemas gerenciais desenvolvidos por terceiros - Sistemas prontos
● Sistemas aplicativos “pacotes fechados”

LGPD Art. 49 passa a ser parte das exigências necessárias de qualificação técnica de produtos em edital de
licitação para aquisição de licenças, perpétuas ou temporárias ou assinaturas de sistemas de informação
gerenciais ou sistemas aplicativos ou outros quaisquer utilizados para tratar dados pessoais.
RISCO gul a m
de Re os (ARCA
e nto d
)
os

d e l o c
Mo cni
a d rõ es Té
P
Seção II
Das Boas Práticas e da Governança

Art. 50. Os controladores e operadores, no âmbito de suas competências, pelo tratamento de dados
pessoais, individualmente ou por meio de associações, poderão formular regras de boas práticas e de
governança que estabeleçam as condições de organização, o regime de funcionamento, os procedimentos,
incluindo reclamações e petições de titulares, as normas de segurança, os padrões técnicos, as obrigações
específicas para os diversos envolvidos no tratamento, as ações educativas, os mecanismos internos de
supervisão e de mitigação de riscos e outros aspectos relacionados ao tratamento de dados pessoais.

§ 1º Ao estabelecer regras de boas práticas, o controlador e o operador levarão em consideração, em

relação ao tratamento e aos dados, a natureza, o escopo, a finalidade e a probabilidade e a gravidade dos
riscos e dos benefícios decorrentes de tratamento de dados do titular.
RISCO
Art. 50. (continuação)

§ 2º Na aplicação dos princípios indicados nos incisos VII e VIII do caput do art. 6º desta Lei, o controlador,
observados a estrutura, a escala e o volume de suas operações, bem como a sensibilidade dos dados tratados e a
probabilidade e a gravidade dos danos para os titulares dos dados, poderá:

I - implementar programa de governança em privacidade que, no mínimo:

a) demonstre o comprometimento do controlador em adotar processos e políticas internas que assegurem o
cumprimento, de forma abrangente, de normas e boas práticas relativas à proteção de dados pessoais;
b) seja aplicável a todo o conjunto de dados pessoais que estejam sob seu controle, independentemente do modo
como se realizou sua coleta;
c) seja adaptado à estrutura, à escala e ao volume de suas operações, bem como à sensibilidade dos dados tratados;
d) estabeleça políticas e salvaguardas adequadas com base em processo de avaliação sistemática de impactos e
riscos à privacidade;
e) tenha o objetivo de estabelecer relação de confiança com o titular, por meio de atuação transparente e que
assegure mecanismos de participação do titular;
f) esteja integrado a sua estrutura geral de governança e estabeleça e aplique mecanismos de supervisão internos e
externos;
g) conte com planos de resposta a incidentes e remediação; e
h) seja atualizado constantemente com base em informações obtidas a partir de monitoramento contínuo e
avaliações periódicas;
RISCO
Art. 50. (continuação)

II - demonstrar a efetividade de seu programa de governança em privacidade quando apropriado e, em

especial, a pedido da autoridade nacional ou de outra entidade responsável por promover o cumprimento
de boas práticas ou códigos de conduta, os quais, de forma independente, promovam o cumprimento desta
Lei.

§ 3º As regras de boas práticas e de governança deverão ser publicadas e atualizadas periodicamente e

poderão ser reconhecidas e divulgadas pela autoridade nacional.

Art. 51. A autoridade nacional estimulará a adoção de padrões técnicos que facilitem o controle pelos
titulares dos seus dados pessoais.
RISCO no contexto ETAPA ‘RISCO’: PASSOS 3º
E 4º

da Metodologia
A.R.C.A.

ETAPA ‘ADMINISTRAÇÃO’: PASSOS ETAPA ‘CONTROLE’ : PASSOS 5º

1º E 2º E 6º

ETAPA ‘AUDITORIA’: EM TODOS OS

PASSOS
RISCO - QUADRO CONJUGADO: IDENTIFICAR E AVALIAR

Probabilidade Impacto

Fonte: ENAP
Exemplo de resultado da etapa AVALIAÇÃO DE RISCOS
Fonte: ENAP
AVALIAR

DETECTABILIDADE: O tempo entre a ocorrência do incidente e a sua detecção tem

sido considerado a TERCEIRA DIMENSÃO da avaliação de risco, pela relevância
dessa variável.
AVALIAR
TRATAR - Modelo de quadro: registro das medidas e novo nível de risco

Fonte: ENAP
TRATAR - Modelo TEVEP para planejamento e execução de projetos
para as medidas de tratamento dos riscos

1 - APERFEIÇOAR CONTROLES DE ACESSO LÓGICO

2 - IMPLANTAR TÉCNICAS DE DESENVOLVIMENTO SEGURO

3 - APERFEIÇOAR SEGURANÇA EM REDES

Fonte: HOMOSAPIENS - ESCOLA DE PLANEJAMENTO

 METODOLOGIA A.R.C.A.
RISCOS
Processos de gestão de riscos
quanto à gestão da segurança da
informação. Sistêmico e cultural.