O que são regulamentações específicas do setor?

Específico do setor regulamentações, como HIPAA e PCI DSS, além do GDPR de setor cruzado, são regras de proteção de dados. A maioria aplicam-se a setores específicos, como saúde e finanças. O objetivo principal é proteger dados sensíveis; as leis variarão com base nos requisitos do setor.

• HIPAA (Lei de Portabilidade e Responsabilidade de Seguro Saúde): Específico do setor de saúde; projetado para proteção de dados de saúde do paciente.
• PCI DSS (Payment Card Industry Data Security Standard): Um padrão do setor de cartões para qualquer empresa que aceita cartões; projetado para a proteção de dados do titular do cartão durante as transações.
• GDPR (Regulamento Geral de Proteção de Dados): Aplicável a todos os estados membros da UE e rege a coleta e o processamento de dados. Também se aplica aos membros não pertencentes à UE do EEE (Noruega, Islândia e Liechtenstein).

A conformidade regulatória é uma diretriz para suas estruturas de segurança. Você deve cumprir os requisitos regulamentares para segurança cibernética implementando controles de segurança e pensando em suas políticas. 

É vital que você cumpra as regulamentações para evitar ameaças de segurança cibernética, como violações de dados, e, posteriormente, evitar as implicações financeiras e de reputação.

• HIPAA: Para o setor de saúde e foca na proteção de informações de saúde do paciente, tendo a privacidade e a confidencialidade como os dois aspectos centrais.
• PCI DSS: Um padrão do setor de cartões que exige que os provedores protejam os dados dos titulares de cartão durante as transações; você precisa dela para prevenir fraudes e para a segurança dos dados. Esta regra se aplica a todas as entidades que lidam com dados de titulares de cartão.

Aprenda as diferenças entre esses dois para garantir que você se concentre no que se aplica ao seu setor e modelo de negócios.

Atender ao HIPAA ou ao GDPR não cobre o PCI DSS: uma clínica ou loja online que aceita cartões também deve atendê-lo, pois se aplica a toda entidade que armazena, processa ou transmite dados de titulares de cartão (PCI SSC).

Conformidade com HIPAA para SaaS significa proteger o processamento e armazenamento de dados PHI em seus aplicativos na nuvem. Isso inclui:

• Criptografia de dados
• Controles de acesso
• Trilhas de auditoria
• Acordos de associados de negócios com clientes

Você pode começar examinando os recursos de personalização do seu provedor de SaaS e implementando os controles de segurança necessários.

O PCI-DSS exige a manutenção de um ambiente seguro ao lidar com informações de cartão de pagamento, e sua intenção é prevenir fraudes. O PCI DSS é um padrão da indústria em vez de uma lei: o PCI Security Standards Council por trás dele foi fundado em 2006 pela American Express, Discover, JCB International, Mastercard e Visa (PCI SSC). o padrão foi criado por empresas de cartão de crédito e exige que você faça o seguinte:

• Proteja a seu rede: Proteja os dados armazenados e altere suas configurações padrão. Você também precisa instalar firewalls.
• Proteja os dados do titular do cartão: A segurança dos dados do titular do cartão abrange criptografar dados durante a transmissão e evitar o armazenamento de certos dados sensíveis; desvios dessas práticas podem resultar em não conformidade.
• Manter a segurança: Use software antivírus e mantenha seus sistemas e aplicativos atualizados.
• Controle de acesso: Defina parâmetros de acesso do usuário e atribua IDs exclusivos a cada pessoa na nuvem.
• Monitoramento e testes: Teste suas medidas de segurança e monitore o acesso para evitar violações.
• Política de segurança: Elabore uma política de segurança e revise-a com frequência para fazer alterações.

Siga estas etapas para conformidade com o GDPR do SaaS:

• Minimização: Colete apenas os dados pessoais necessários e os armazene apenas pelo tempo que precisar.
• Consentimento: Tenha uma base legal, como consentimento ou um contrato, antes de coletar ou processar dados (Artigo 6 do GDPR).
• Direitos do titular dos dados: Dê aos indivíduos acesso aos seus dados e permita que os retifiquem e apaguem se desejarem.
• Proteção de dados desde a concepção: Considere a privacidade durante toda a fase de design do seu produto.
• Notificação de violação de dados: Comunique violações à sua autoridade supervisora em até 72 horas a menos que seja improvável que coloquem as pessoas em risco, e implemente medidas para minimizar seus efeitos.

Independentemente de onde você opere na UE, o GDPR é obrigatório. Países vizinhos, como o Reino Unido e a Suíça, também têm suas próprias leis a cumprir.