O que são regulamentações específicas do setor?

Específico do setor regulamentações, como HIPAA e PCI DSS, além do GDPR multissetorial, são regras de proteção de dados. A maioria aplicam-se a setores específicos, como saúde e finanças. O objetivo principal é proteger dados sensíveis; as leis variarão com base nos requisitos da indústria.

• HIPAA (Lei de Portabilidade e Responsabilidade de Seguro Saúde): Específico para o setor de saúde; projetado para proteção de dados de saúde do paciente.
• PCI DSS (Padrão de Segurança de Dados do Setor de Cartões de Pagamento): Um padrão da indústria de cartões para qualquer negócio que aceita cartões; projetado para proteção de dados de titulares de cartão durante transações.
• GDPR (Regulamento Geral de Proteção de Dados): Aplicável a todos os estados membros da UE e rege a coleta e o processamento de dados. Também se aplica aos membros não pertencentes à UE do EEE (Noruega, Islândia e Liechtenstein).

A conformidade regulatória é uma diretriz para suas estruturas de segurança. Você deve cumprir os requisitos regulamentares para segurança cibernética implementando controles de segurança e pensando sobre suas políticas. 

É vital que você cumpra os regulamentos para evitar ameaças à segurança cibernética, como violações de dados, e, posteriormente, evitar as implicações financeiras e de reputação.

• HIPAA: Para a indústria da saúde e foca na proteção de informações de saúde do paciente, com privacidade e confidencialidade sendo os dois aspectos centrais.
• PCI DSS: Um padrão da indústria de cartões que exige que os provedores protejam os dados dos titulares de cartão durante as transações; você precisa disso para prevenir fraudes e para a segurança dos dados. Esta regra se aplica a todas as entidades que lidam com dados de titulares de cartão.

Aprenda as diferenças entre esses dois para garantir que você se concentre no que se aplica ao seu setor e modelo de negócios.

Estar em conformidade com HIPAA ou GDPR não cobre PCI DSS: uma clínica ou loja online que aceita cartões também deve cumpri-lo, pois se aplica a toda entidade que armazena, processa ou transmite dados de titulares de cartão (PCI SSC).

Conformidade com HIPAA para SaaS significa proteger o processamento e armazenamento de dados PHI em seus aplicativos na nuvem. Isso abrange:

• Criptografia de dados
• Controles de acesso
• Trilhas de auditoria
• Acordos de associados de negócios com clientes

Você pode começar analisando os recursos de personalização do seu provedor de SaaS e implementando os controles de segurança necessários.

O PCI-DSS torna obrigatório manter um ambiente seguro ao lidar com informações de cartão de pagamento, e sua intenção é prevenir fraudes. O PCI DSS é um padrão da indústria em vez de uma lei: o PCI Security Standards Council por trás dele foi fundado em 2006 pela American Express, Discover, JCB International, Mastercard e Visa (PCI SSC). o padrão foi criado por empresas de cartão de crédito e exige que você faça o seguinte:

• Segura o seu rede: Proteja os dados armazenados e altere suas configurações padrão. Você também precisa instalar firewalls.
• Proteja os dados do titular do cartão: A segurança dos dados do titular do cartão abrange criptografar dados durante a transmissão e evitar o armazenamento de certos dados sensíveis; desvios dessas práticas podem resultar em não conformidade.
• Manter a segurança: Use software antivírus e mantenha seus sistemas e aplicativos atualizados.
• Controlar o acesso: Defina parâmetros de acesso do usuário e atribua IDs exclusivos para cada pessoa na nuvem.
• Monitoramento e teste: Teste suas medidas de segurança e monitore o acesso para evitar violações.
• Política de segurança: Elabore uma política de segurança e reveja-a com frequência para fazer alterações.

Siga estas etapas para conformidade com o GDPR do SaaS:

• Minimização: Coletar apenas os dados pessoais necessários e armazená-los apenas pelo tempo que for preciso.
• Consentimento: Tenha uma base legal, como consentimento ou um contrato, antes de coletar ou processar dados (Artigo 6 do GDPR).
• Direitos do titular dos dados: Dê aos indivíduos acesso aos seus dados e permita que os retifiquem e apaguem, se desejarem.
• Proteção de dados por design: Considere a privacidade durante toda a fase de design do seu produto.
• Notificação de violação de dados: Reporte violações à sua autoridade supervisora em até 72 horas a menos que seja improvável que coloquem as pessoas em risco, e implemente medidas para minimizar seus efeitos.

Independentemente de onde você opere na UE, o GDPR é obrigatório. Países vizinhos, como o Reino Unido e a Suíça, também têm suas próprias leis a cumprir.