What are Industry-Specific Regulations?

Regulamentações específicas do setor se aplicam a setores específicos, como saúde e finanças. O objetivo principal é proteger dados confidenciais; as leis variam de acordo com os requisitos do setor.

• HIPAA (Lei de Portabilidade e Responsabilidade de Seguro Saúde): Específico do setor de saúde; projetado para proteção de dados de saúde do paciente. 
• PCI DSS (Payment Card Industry Data Security Standard): Indústria financeira; projetado para proteção de dados do titular do cartão durante as transações.
• GDPR (Regulamento Geral de Proteção de Dados): Aplicável a todos os estados membros da UE e rege a coleta e o processamento de dados. Também se aplica aos membros não pertencentes à UE do EEE (Noruega, Islândia e Liechtenstein).

A conformidade regulatória é uma diretriz para suas estruturas de segurança. Você deve cumprir os requisitos regulamentares para segurança cibernética implementando controles de segurança e pensando em suas políticas. 

It’s vital that you comply with regulations to avoid cybersecurity threats, such as data breaches, and subsequently avoid the financial and reputational implications.

• HIPAA: For the healthcare industry and focuses on protecting patient health information, with privacy and confidentiality being the two core aspects. 
• PCI DSS: Financial industry regulation that requires providers to secure cardholder data during transactions; you need it to prevent fraud and for data security. This rule applies to all entities that handle cardholder data.

Learn the differences between these two to ensure that you focus on what applies to your industry and business model.

A conformidade com a HIPAA para SaaS envolve o processamento e armazenamento de dados PHI em seus aplicativos baseados em nuvem. Isso abrange:

• Criptografia de dados
• Controles de acesso
• Trilhas de auditoria
• Acordos de associados de negócios com clientes

Você pode começar observando os recursos de personalização do seu provedor de SaaS e implementar os controles de segurança necessários.

O PCI-DSS torna obrigatória a manutenção de um ambiente seguro ao lidar com informações de cartão de pagamento, e sua intenção é prevenir fraudes. O regulamento foi criado por empresas de cartão de crédito e exige que você faça o seguinte:

• Proteja sua rede: Proteja os dados armazenados e altere suas configurações padrão. Você também precisa instalar firewalls. 
• Proteja os dados do titular do cartão: Encrypt data transmission during the transfer process and ensure that no sensitive data is stored; doing otherwise is against the rules.
• Maintain security: Use antivirus software and keep your systems and apps updated. 
• Control access: Defina parâmetros de acesso do usuário e atribua IDs exclusivos a cada pessoa na nuvem. 
• Monitoramento e testes: Teste suas medidas de segurança e monitore o acesso para evitar violações.
• Política de segurança: Elabore uma política de segurança e revise-a com frequência para fazer alterações.

Siga estas etapas para conformidade com o GDPR do SaaS: 

• Minimização: Colete dados pessoais necessários e armazene-os apenas pelo tempo necessário.

• Consentimento: Obtenha consentimento explícito dos usuários antes de coletar ou processar dados. 
• Direitos do titular dos dados: Dê aos indivíduos acesso aos seus dados e permita que os retifiquem e apaguem se desejarem. 
• Proteção de dados desde a concepção: Considere a privacidade durante toda a fase de design do seu produto. 
• Notificação de violação de dados: Relate todas as violações em até 72 horas e implemente medidas para minimizar seus efeitos. 

Independentemente de onde você opere na UE, o GDPR é obrigatório. Países vizinhos, como o Reino Unido e a Suíça, também têm suas próprias leis a cumprir.

Lembre-se: 

A conformidade é um processo contínuo e você deve revisar regularmente suas medidas de segurança.