Domínio 5 · Privacidade, dados e segurança
Segurança da informação
Controles técnicos e administrativos que protegem sistemas e dados contra acesso e uso indevidos.
Resultado esperado
Sistemas que tratam dados infantojuvenis contam com controles proporcionais ao risco.
Por que é importante
Falhas de segurança podem expor informações sensíveis e ampliar riscos de contato e abuso.
Direitos relacionados
- Privacidade
- Segurança
- Informação
- Proteção contra exploração
Práticas fundamentais
Medidas mínimas necessárias para estruturar a capacidade.
- Controle de acesso baseado em necessidade.
- Criptografia em trânsito e em repouso quando aplicável.
- Registro de logs e monitoramento.
Práticas de evolução
Medidas que ampliam consistência, integração, monitoramento e melhoria contínua.
- Testes de intrusão periódicos.
- Programa de recebimento responsável de vulnerabilidades.
Evidências possíveis
- Inventário de dados de crianças e adolescentes
- Registro de bases legais e finalidades
- Política de retenção e eliminação
- Relatórios de testes de segurança
As evidências apresentadas são exemplos orientativos. A pertinência e a suficiência devem ser avaliadas considerando porte, setor, risco e contexto da organização.
Indicadores sugeridos
Minimização de dados
- Objetivo
- Acompanhar a redução de campos e coletas não essenciais.
- Método de cálculo
- Campos de dados eliminados ou tornados opcionais em relação ao inventário inicial.
- Periodicidade
- Anual
- Fonte
- Inventário de dados
- Responsável
- Área responsável pelo domínio
- Observações
- Indicador sugerido. A meta deve ser definida pela organização conforme porte, setor e risco.
Cobertura de controles de segurança críticos
- Objetivo
- Verificar aplicação de controles em sistemas que tratam dados infantojuvenis.
- Método de cálculo
- Sistemas com controles críticos implementados dividido pelo total de sistemas no escopo.
- Periodicidade
- Semestral
- Fonte
- Gestão de segurança da informação
- Responsável
- Área responsável pelo domínio
- Observações
- Indicador sugerido. A meta deve ser definida pela organização conforme porte, setor e risco.
Perguntas de autoavaliação
- Existe uma prática formal documentada?Ver no Assessment
- Há responsável definido?Ver no Assessment
- A prática é aplicada de maneira consistente?Ver no Assessment
- Existem evidências disponíveis?Ver no Assessment
- Os resultados são monitorados?Ver no Assessment
- Há revisão periódica?Ver no Assessment
- Crianças, adolescentes ou seus representantes são considerados?Ver no Assessment
- A alta liderança recebe informações sobre o tema?Ver no Assessment
- Fornecedores e terceiros estão incluídos?Ver no Assessment
- Incidentes geram aprendizado e ajustes?Ver no Assessment
Dependências
Responsáveis recomendados
- Encarregado de dados
- Segurança da informação
- Engenharia
Riscos de implementação
- Coleta ampla justificada por uso futuro indefinido
- Compartilhamento com terceiros sem avaliação
- Ausência de prazos de retenção
Exemplos orientativos
- Organização de pequeno porte: começa formalizando segurança da informação em um documento simples, com responsável nomeado.
- Organização de grande porte: integra segurança da informação aos processos corporativos, com indicadores e revisão periódica.
Referências
- LGPD
- Marco Civil da Internet
- ISO/IEC 27001
- NIST Privacy Framework
Conteúdo orientativo. Não constitui certificação, conformidade automática ou parecer jurídico, técnico ou regulatório.