Menu da Revista Fechar Menu da Revista

Dados e privacidade

Últimas histórias

Como empresas podem garantir um processamento de linguagem natural eficaz

  • min de leitura
    • Em 2020, pesquisadores do Google, Apple e da Universidade de Berkeley, entre outros, mostraram que podiam atacar um modelo de machine learning, o processamento de linguagem natural (PLN) modelo GPT-2. Eles fizeram com que o modelo exibisse informações pessoais, capazes de identificar uma pessoa, que foram memorizadas durante o treinamento. Embora isso soe como uma brincadeira de polícia e ladrão para amantes de tecnologia, o que esses pesquisadores descobriram pode afetar empresas que estão usando PLN. Vou explicar como, por que e o que você pode fazer para deixar a sua IA mais segura. O poder do processamento de linguagem natural O PLN está melhorando graças a grandes modelos de linguagem: Redes neurais gigantescas treinadas com bilhões de palavras que passam a impressão de uma linguagem humana. Eles aprendem em múltiplas camadas, incluindo gramática, sintaxe e fatos sobre o mundo. Escanear notícias podem ensinar esses modelos a responder perguntas como quem é o presidente do país ou a que indústria a sua empresa pertence. Existem muitas formas de aplicar grandes modelos de linguagem. O Google usa seu modelo de linguagem BERT para melhorar a qualidade de busca. Serviços de tradução como o Google Translate e o Deepl usam grandes redes neurais. Grammarly usa PLN de base neural para melhorar suas sugestões de texto. "A variedade de aplicações para modelos de linguagem é enorme", afirma Alena Fenogenova, especialista em PLN na SberDevices, fabricante de dispositivos inteligentes. Ela trabalhou na versão russa do GPT-3 e em uma referência para avaliar a qualidade de modelos de linguagem russos. "Esses modelos podem nos ajudar a criar coisas como livros, anúncios ou códigos." A rede neural do OpenAI, a GPT-2, foi manchete por gerar notícias sobre cientistas descobrindo unicórnios nos Andes, provocando temores sobre desinformação automatizada. Desde então, a OpenAI lançou o GPT-3, afirmando que fizeram melhorias no GPT-2 em muitos aspectos. As pessoas estão usando o produto para coisas incríveis como simplificar documentos legais para um inglês mais simples. O GPT-3 pode até gerar um código para um site baseado em uma descrição por escrito. Técnicas de PLN também funcionam em linguagens de programação, o que leva a produtos como o Microsoft Intellicode e o Copilot da GitHub, que presta assistência a programadores. Fenogenova completa: "Você pode treinar esses modelos em qualquer sequência, não só texto. Você pode estudar sequências genéticas ou fazer experimentos com música." Os dados são essenciais Para criar esses modelos, você precisa ter acesso a um volume enorme de dados não processados, por exemplo, textos da internet para trabalhar com a linguagem natural ou código de programação para gerar código. Por isso, não é nenhuma coincidência que empresas como Google e o software de recurso de desenvolvimento GitHub estão entre os líderes de modelos de linguagem. Empresas de tecnologia costumam tornar esses grandes modelos open source para que outros construam em cima deles, mas os dados usados para criar esses modelos e os dados in-house utilizados para aperfeiçoá-los podem afetar o comportamento do modelo. O que eu quero dizer? Em machine learning, dados de baixa qualidade levam a uma performance ruim. Mas parece que um modelo de machine learning também consegue absorver bastante informação de dados não processados. Preconceito entra, preconceito sai Assim como sistemas de visão de computador replicam preconceitos, tendo problemas em reconhecer imagens de pessoas negras, por exemplo, modelos de PLN replicam preconceitos ocultos em nossa linguagem natural. Passando por um teste de analogia, um modelo simples decidiu que "homem" está para "programador de computador" assim como "mulher" está para "dona de casa". Modelos mais complexos, como modelos de linguagem, podem apresentar uma série de preconceitos, tanto escancarados quanto sutis. Pesquisadores do Allen Institute for AI descobriram que muitos modelos de linguagem geram textos falsos, cheios de preconceito e ofensivos graças aos dados de treinamento que receberam. "Os dados em texto usados para treinar esses modelos são enormes, por isso podem conter preconceitos de gênero, raciais e outros ", afirma Fenogenova. "Se você pedir para um modelo terminar as frases, 'um homem deve...' e 'uma mulher deve..', os resultados provavelmente serão alarmantes", completa. O problema vai além de pesquisas. Em 2016, a Microsoft encerrou seu chatbot porque ele aprendeu a ser racista e misógino depois de um dia participando de conversas no Twitter. Em 2021, os criadores sul-coreanos de um chatbot do Facebook que tentava imitar um estudante universitário tiveram de encerrar o projeto quando ele começou a apresentar discurso de ódio. O comportamento de PLN pode também prejudicar reputações, além de perpetuar preconceitos. Modelos que sabem demais Em 2018, uma equipe de pesquisadores do Google acrescentou uma sequência teste "Meu número do seguro social é 078-05-1120" em um conjunto de dados, treinou um modelo de linguagem com essa sequência e depois tentaram extrair a informação. Eles descobriram que poderiam ter acesso ao número a não ser que "tomassem muito cuidado". Eles desenvolveram uma métrica para ajudar pesquisadores e engenheiros a testar esse tipo de "memorização" em seus modelos. Pesquisadores e colegas checaram o trabalho em 2020, como mencionei anteriormente, testando o GPT-2 com comandos e descobriram que o modelo às vezes completava os comandos com dados pessoais. Quando o GitHub lançou seu modelo de linguagem de programação Copilot, as pessoas fizeram piadas dizendo que o Copilot poderia completar senhas privadas do Secure Shell (SSH). (O Secure Shell conecta com segurança computadores remotos a uma rede insegura). Mas o que o Copilot acabou fazendo também era preocupante: Gerou códigos contendo senhas de API válidas, dando a usuários acesso a recursos restritos. Embora ainda existam questões sobre como essas chaves estavam em meio aos dados de treinamento do Copilot, demonstrando que existem possíveis consequências para a memorização de dados. Fazendo com que PLN tenha menos preconceitos e seja mais consciente de questões de privacidade Existem muitos riscos em grandes modelos de geração de texto. A princípio, não está claro como princípios de proteção de dados e legislação se aplicam a dados memorizados. Se alguém pede seus dados pessoais de uma empresa, eles têm direitos a modelos treinados usando esses dados? Como podemos verificar se um modelo não memorizou certas informações e como remover essa informação? O mesmo se aplica ao "direito de ser esquecido", parte de algumas regulamentações de dados. Outra questão é o copyright. Pesquisadores descobriram que o GPT-2 reproduziu uma página inteira de um livro da série Harry Potter a partir de alguns comandos. O Copilot apresenta algumas questões difíceis sobre quem escreveu o código que ele gera. "Outra abordagem pode ser usar 'censores' automáticos para detectarem textos inapropriados antes de eles chegarem a usuários. Você também pode criar censores que detectam e filtram dados privados", afirma Fenogenova. "Empresas também podem filtrar dados não processados para minimizar o risco de dados privados serem memorizados pelo modelo, mas é difícil limpar conjuntos de dados desse tamanho. Pesquisadores estão avaliando a 'geração controlada', na qual você guia o processo de geração do modelo já treinado." Apesar dessas questões, redes neurais com base em PLN continuarão a transformar como as empresas lidam com tudo quanto é texto, desde interações com o consumidor à criação de conteúdo de marketing. Prestar atenção nos riscos de modelos de linguagem e seus usos irão proteger você e seus clientes, além de ajudar a tornar seus projetos de PLN mais bem sucedidos.  

Limitação de finalidade: o princípio da privacidade que você deveria começar a prestar mais atenção.

  • min de leitura
    • Digamos que exista um pequeno formulário no site da sua empresa que seus clientes devem preencher para se inscrever e receber notícias. Para isso, eles devem fornecer seus nomes e endereço de e-mail. Um certo dia, você escuta de alguns colegas do departamento de marketing que algo será adicionado aos e-mails que esses clientes inscritos recebem: avisos de promoções em produtos de companhias parceiras. Seus alarmes de proteção de dados estão disparando? Deveriam estar, mas se não estão, você não está sozinho. A limitação da finalidade é um princípio da segurança de dados que muitos ainda não conhecem. Mas entendê-lo irá te ajudar a reduzir riscos à segurança e privacidade de dados, além de mostrar aos seus consumidores que você respeita os dados deles. O que é limitação da finalidade? A limitação da finalidade possui duas partes. Primeiro, quando você recebe informações pessoais de alguém, sua empresa deve ser clara sobre como essa informação será utilizada desde o princípio. E em segundo lugar: você não pode usar essa informação para nenhuma outra finalidade. Muitas das regulamentações de proteção de dados ao redor do mundo possuem alguns requisitos de limitação da finalidade, particularmente a Regulamento Geral sobre a Proteção de Dados da União Europeia (General Data Protection Regulation ou GDPR, em inglês). De acordo com a GDPR, as organizações devem documentar as finalidades dos dados e especificá-las em seus relatórios de privacidade de informação. A jovem mulher, o capelão e o hospital Alguns instrutores de privacidade contam uma história sobre uma jovem mulher que teve que preencher um formulário quando ela foi internada em um hospital. Uma pergunta desse formulário era sobre sua religião. Talvez essa informação fosse importante para o tratamento e ela já havia visto esse tipo de pergunta em outros formulários, então ela respondeu à pergunta sobre religião prontamente, como sempre havia feito. Por que essa pergunta? Esse hospital usa essa informação para avisar ao capelão do hospital que há um paciente que talvez queira uma visita, mas não avisam o paciente disso. Como o mundo é pequeno, coincidências acontecem: o capelão do hospital era amigo da família da jovem mulher. Ela, que não é casada, está no hospital por causa de um problema relacionado à sua gravidez. Sua família não sabe que ela está gravida e ela não quer que eles saibam. Agora, a jovem mulher e o capelão estão em uma situação desconfortável. Não considerando a violação da regulamentação do uso de dados, alguns dirão que a mulher é livre para escolher se quer, ou não, compartilhar essa informação, então os resultados são de sua responsabilidade. Por outro lado, a confiança que os pacientes têm no hospital é crucial para que este possa atingir seus objetivos: ajudar os pacientes a melhorarem. Existe um princípio da privacidade de dados: qualquer organização que recebe informações pessoais, seja para ganhar dinheiro ou para ajudar pessoas a salvar o mundo, precisa ser confiável para ser efetiva. Será que essas organizações estão à altura da confiança que os consumidores depositam nelas? A reciclagem de dados acontece frequentemente Vários casos que surpreenderam consumidores envolvendo a maneira como empresas usaram ou venderam seus dados têm se tornado pautas de jornais recentemente. Um exemplo é de um aplicativo de acompanhamento do ciclo menstrual, que fornecia dados de consumidores ao Facebook. Esses dados eram usados para fazer propaganda de produtos para mulheres gestantes. Uma usuária do app começou a receber propagandas desse tipo de produtos como se estivesse grávida, sendo que ela somente havia esquecido de atualizar seus dados no app durante um tempo. É fácil entender como essa forma de se utilizar de informações sensíveis pode prejudicar emocionalmente alguns consumidores. Em 2017, a Comissão Federal de Comércio dos EUA registrou uma queixa fora dos tribunais contra a Uber. Parte da queixa tratava de que alguns funcionários da empresa usaram uma função chamada "Good View" para rastrear as movimentações de políticos e celebridades e até de ex-namorados. Embora a Uber tenha sancionado esses abusos, nenhum processo foi criado para prevenir esse tipo de ações efetivamente. Quando são pegas reciclando informações, as empresas muitas vezes dizem: "não era nossa intenção". Pode ser até verdade, mas isso continua acontecendo. Será que as empresas, e seus funcionários, entendem quais são suas responsabilidades em limitar como usam os dados dos consumidores? É permitida a reciclagem de dados pessoais? O que dizem as leis. A GDPR quer que a limitação da finalidade seja um princípio fundamental da proteção de dados. A seção 1B do artigo 5 da norma destaca como os dados pessoais devem ser coletados somente quando o seu uso é especificado explicitamente. Os dados não podem ser usados de outras formas que não condizem com seu proposito original. Existem algumas exceções para usos históricos, científicos e estatísticos, e "se os interesses legítimos desse controlador ou de terceiros se sobrepõe aos interesses da pessoa em questão" A Comissão Europeia oferece orientações para ajudar organizações a saber se o que planejam fazer com os dados é consistente, ou não, com seu propósito. Eles sugerem, por exemplo, considerar se os dados são sensíveis (incluem informações de saúde, preferencias políticas e mais) e como continuar usando essas informações pode afetar a pessoa que as forneceu. Enquanto as penalidades por infringir o princípio de limitações de finalidade ainda não são muito severas, uma grande quantidade de processos tem sido abertos, prejudicando a reputação de certas empresas. A autoridade de proteção de dados da Noruega, por exemplo,  multou a Administração de Vias Públicas do país em cerca de 50 mil dólares por utilizar câmeras de "segurança" para monitorar o trabalho dos funcionários. Mas infringir esse princípio apenas com os dados de um consumidor não significa que as multas serão menores: autoridades espanholas multaram o banco Bankia em cerca de 50 mil dólares por possuir e reutilizar dados de um consumidor 16 anos após ele deixar de ser cliente do banco. Isso porque ao considerar quem multar, os reguladores penalizam não pela violação do princípio, mas sim, pelas consequências. Por exemplo, se as companhias não seguirem os processos de limitação da finalidade de dados, elas podem estar infringindo outros requisitos da GDPR, tais como ter uma razão legitima para processar aqueles dados. Não é só a Europa que estabeleceu a limitação da finalidade nas leis de dados. A California adicionou em 2018 a cláusula de limitação da finalidade ao California Consumer Privacy Act (CCPA), a nova lei da privacidade de dados do estado. A cláusula estabelece que as empresas devem, antes de coletar informações pessoais, informar seus consumidores sobre como essa informação será usada e que precisam ter o consentimento desses consumidores para usar os dados em outra finalidade. O que fazem as empresas para respeitar as obrigações da limitação da finalidade? "Cada empresa processa diferentes tipos de dados pessoais, de diferentes formas, com propósitos diferentes", afirma Alexey Testsov, Head de Proteção de Dados e Privacidade da Kaspersky na Europa. A GDPR obriga os controladores e processadores de dados a manter registros de quais dados a empresa está coletando, do porquê estão coletando e até quando irão armazenar esses dados. Juntamente com a auditoria e o mapeamento dos dados, esses registros são essenciais para que as responsabilidades em relação à limitação da finalidade sejam respeitadas. "Os funcionários devem saber como coletar, armazenar e utilizar dados pessoais sem infringir a legislação. Dados os altos riscos do processamento de dados, é melhor discutir mudanças no processamento com um responsável pela segurança ou com o departamento jurídico da empresa. Os funcionários devem saber como consultar os especialistas internos da empresa sem ter medo de fazer isso", completa Testsov. Aqui estão dois exemplos de problemas identificados que podem levar a falhas no controle de finalidade de uso de dados: Sistemas que mantem os dados separados Proteções eficientes contra o uso indevido de dados podem ter evitado recentemente alguns casos de reciclagem de dados. No Reino unido, o Gabinete de Comissários da Informação (do inglês, Information Commissioners' Office ou ICO) multou recentemente uma empresa de campanhas políticas e uma seguradora em 120 mil libras cada. O ICO descobriu que informações pessoais coletadas durante a campanha política foram usadas para fazer propagandas de seguros, evidenciando falhas nos sistemas de proteção de dados das duas empresas. "Os sistemas que separam os dados pessoais de clientes de seguradoras dos dados coletados de inscritos políticos foram ineficazes", afirma o relatório do ICO. Controladores e processadores de dados devem ter em mente que avanços adicionais nos softwares podem causar mudanças na forma como os dados são utilizados. Isso é conhecido como "function creep", quando o uso de uma tecnologia ou sistema vai além da finalidade para qual foi originalmente destinada, especialmente quando isso leva a uma potencial invasão de privacidade. Hunter Nelson, Presidente da Tortoise and Hare Software, diz que desenvolvedores de softwares devem entender os potenciais impactos à privacidade causados pelo "function creep": "Controladores e processadores devem ter cuidado ao desenvolver sistemas para não infringir leis de privacidade quando novas funções são lançadas. Um processo de checagem deve ser incluído nos lançamentos para revisar essas novas funções, com o intuito de se preservar a privacidade", aconselha Nelson. Independentemente das legislações de privacidades vigentes onde sua empresa opera, saber da importância da limitação da finalidade irá te ajudar a garantir altos padrões de privacidade de dados. Por isso, assegure-se de que, ao coletar informações pessoais de consumidores, estes entendam perfeitamente como essas informações serão utilizadas. Com isso, você estará mostrando que respeita a privacidade de seus consumidores dando a credibilidade e confiança que toda empresa precisa.
manage data leak

INFOGRÁFICO: As 5 medidas fundamentais para lidar com vazamentos de dados

  • min de leitura
    • As coisas podem ficar frenéticas quando você está lidando com um vazamento de dados. Enquanto tenta diagnosticar rapidamente o problema e se comunica com todos que precisam saber, é fácil passar despercebido por algum detalhe que pode gerar sérias consequências no futuro. Por isso, criei um infográfico com as 5 medidas fundamentais que você deve tomar para assegurar a melhor reação possível a um vazamento de dados. COMO LIDAR COM UM VAZAMENTO DE DADOS 1. Avalie a situação O primeiro a se fazer é avaliar os riscos do vazamento para os seus clientes. Essa análise vai permitir que você decida os próximos passos, incluindo anunciar ou não o vazamento para o público. No caso de um problema de alto risco para eles, é seu dever informá-los o quanto antes, talvez antes mesmo de reportar o problema às autoridades.  2. Seja transparente e colabore Não tente encobrir o vazamento ou ocultar detalhes das pessoas afetadas. Se esconder algo, poderá perder a confiança dos consumidores quando informações sobre o vazamento saírem na mídia. E, ao informá-los, é importante orientar sobre como proceder em seguida.. 3. Deixe tudo documentado Documente cada pequeno vazamento que você tiver, mesmo que não seja obrigatório reportá-lo. Registre tudo que aconteceu, as medidas que você tomou para resolver o problema e o porquê daquele vazamento ter sido reportado ou não.  4. Aprenda com o incidente Assim que você identificar as causas, corrija o problema. Logo, assegure-se que toda sua equipe passe por um treinamento para saber como prevenir futuras violações. Afinal, o erro humano é a principal a causa da maioria dos vazamentos.  5. Notifique todos os envolvidos Se sua empresa processa dados para outras organizações, não se esqueça de avisá-las sobre o vazamento. Elas também terão que tomar outras providências. Recorrer a essas cinco medidas logo depois de um vazamento de dados vai ajudar o seu negócio a se recuperar mais rápido das perdas. Uma comunicação ágil e clara com seus consumidores e parceiros é fundamental para limitar o impacto da invasão. Vazamentos assim podem acontecer até com as organizações mais preparadas em termos de segurança, mas ainda assim existem diversas medidas que você pode tomar para preveni-los. E, no final, preparar seus colaboradores com informação e treinamento de cibersegurança é uma dessas medidas, senão a mais crucial, para assegurar que os dados dos seus clientes se mantenham seguros sempre que possível.
data security supply chain

Privacidade na cadeia de suprimentos: onde e como atuar para proteger os dados que sua empresa utiliza

  • min de leitura
    • A força de uma cadeia não é definida por seu elo mais forte, e sim pelo mais fraco. Sua empresa é responsável não só por garantir que a privacidade seja respeitada dentro da sua companhia, como também por todos os terceiros para os quais você fornece esses dados, desde empresas de contabilidade, telecomunicações e armazenamento em nuvem até seus parceiros de segurança e manutenção. Os órgãos reguladores levam a privacidade bem a sério Existe uma razão legal que justifica a necessidade de reforçar a segurança para proteger a privacidade dos dados dentro da sua cadeia de suprimentos, além de uma razão moral. A privacidade é um dos pontos centrais da General Data Protection Regulation, mais conhecida como GDPR, uma nova e rigorosa regulamentação digital criada pela União Europeia. A norma aplicada para todos os dados privados processados por organizações dentro da Área Econômica Europeia (EEA) e também todos os agentes externos que ofereçam produtos e serviços dentro deste território. Atualmente, a GDPR é o parâmetro mais elevado que existe para proteção de dados, e novas regulamentações ao redor do mundo utilizaram a GDPR como modelo, incluindo o California Consumer Privacy Act (CCPA), a recente alteração do Australia's Privacy Act de 1988 e até a nova Lei Geral de Proteção de Dados (LGPD) do Brasil. Mas seguir à risca as regras de compliance da GDPR não significa que você esteja seguindo todas as regras de outras jurisdições, portanto, caso você esteja enviando dados pessoais além das fronteiras, é bom se informar sobre as normas locais de cada país. A GDPR foi construída com o objetivo de definir o que significa ser um controlador ou processador de dados, e o quê cada uma dessas categorias deve cumprir. O controlador é aquele que escolhe quais dados coletar, os armazena e depois decide como usá-los. Já o processador recebe dados pessoais de terceiros e os processa diretamente, mas não escolhe como esses dados serão usados. A GDPR afirma que controladores só devem utilizar processadores com uma estrutura técnica e organizacional que assegure a privacidade dos dados processados. Vazamentos de dados significam interrupção de serviços e danos à reputação de empresas e pessoas. Mas com a GDPR os prejuízos são muito maiores. Controladores e processadores estão sujeitos a multas enormes, de pelo menos 20 milhões de euros ou até 4% do lucro do ano anterior, dependendo de qual dos dois for maior. Em 2019, por exemplo, a British Airways sofreu a maior punição já vista, com uma multa de 183 milhões de libras esterlinas por um vazamento sofrido. Brechas na privacidade afetam negócios de todos os tamanhos "Mesmo que a GDPR já esteja em prática desde 2018 muitas empresas ainda não estão prestando a devida atenção para a privacidade de dados", afirma Jamel Ahmed, da consultoria de privacidade de dados britânica Kazient Privacy Experts. "E isso é uma realidade entre empresas de todos os tamanhos, das gigantes até as menores. Eu encontro frequentemente grandes empresas que têm processos internos de segurança de dados muito bons, com o departamento de compliance sempre fazendo as perguntas corretas e buscando evidências para tudo. Mas quando você olha ao longo da cadeia de suprimentos, existe uma grande lacuna em relação a dados pessoais. E isso se deve à falta de compreensão e à falta de experiência e informação". Peter Wright, diretor executivo do Digital Law, escritório britânico especializado em questões jurídicas do mundo digital, concorda: "É algo ignorado há muito tempo. E mesmo que exista uma preocupação maior com isso hoje, não significa que é suficiente".  "Os dados deveriam ser manipulados de uma forma que não só satisfaça as normas e regulamentações, mas que respeite as melhores práticas e a ética. E se você for negligente, as consequências devem ser severas", completa. Como evitar brechas na sua privacidade 1. Faça as perguntas certas aos seus fornecedores Você precisa fazer a lição de casa antes de dar início a uma relação que envolva o fluxo de dados com um fornecedor. Ahmed afirma: "Como mínimo, você deve checar se esse novo parceiro tem um registro vigente na autoridade local que controle o uso de dados. No Reino Unido, o órgão responsável pelo setor é a UK's Information Commissioner's Office (ICO). Cheque se seu provedor tem boas práticas e boas políticas, e se elas falam sobre suas obrigações e responsabilidades sobre privacidade de dados".  "Eles têm um responsável dedicado somente à proteção de dados? Quais são as qualificações desse profissional? Também é bom averiguar se a empresa tem algum tipo de iniciativa para desenvolver melhores práticas ao invés de somente preencher os requisitos básicos do setor", completa Ahmed. 2.  Faça um contrato que inclua tudo O GDPR aponta que deve haver um contrato escrito entre o controlador de dados e o processador, e quais são os termos que devem aparecer neste contrato, incluindo tipos de dados, período pelo qual devem ser armazenados e razões e objetivos do seu processamento. Mas os especialistas acreditam que acordos entre controladores e processadores devem ir além, demarcando limites e obrigações sobre outros detalhes, para dar aos controladores uma visão completa dos processos envolvendo os dados.   3.  Tenha um plano para orientar as ações do controlador em caso de vazamentos Sob o guarda-chuva da GDPR, todo tipo de negócio que lide com dados pessoais deve manter um registro oficial de vazamentos, documentando todos os incidentes de segurança que ocorram. Os controladores devem conseguir encontrar e ver quaisquer incidentes retratados nesse registro que coincidam com os dados vazados. Segundo Ahmed, os negócios devem novamente não se ater ao mínimo, e sim exigir um plano detalhado de ação por parte do processador em caso de que uma invasão aconteça. "O GDPR obriga os processadores a informar aos controladores imediatamente sobre qualquer vazamento assim que este for detectado. Mas os contratos devem explicar exatamente o quê constitui um vazamento e o qual será a exata definição de "imediatamente" a se considerar", diz Ahmed 4.  Introduza o gerenciamento de riscos em suas operações Ter um contrato bem escrito e alinhado com o seu fornecedor é apenas o primeiro passo. Wright e Ahmed ressaltam que empresas controladoras de dados devem saber avaliar os riscos ao longo da cadeia de suprimentos de maneira proativa e recorrente. Isso significa passar por auditorias de risco e analisar todos os processos para verificar as políticas de dados de clientes e fornecedores conforme mudem as circunstâncias. Wright aconselha: "Os órgãos reguladores ficam de olho para ver como as empresas mostram seu compliance. Eles não querem que você use um contrato de dois anos atrás e diga: 'Olhem, nós analisamos isso dois anos atrás e estava tudo ok'. Eles exigem uma atualização constante. Se o pior acontece e você for afetado por um vazamento de dados, eles irão exigir que apresente evidências de que seguiu todos os requisitos da lei corretamente". "Você precisa mostrar que revisa regularmente seus registros de risco e que atualiza suas previsões depois de cada avaliação. Se um fornecedor muda seus termos, mostre que você pesquisou sobre aquilo, fez questionamentos ao provedor e verificou suas respostas. Os reguladores querem que você implemente essa auditoria e gestão de riscos como algo regular, um padrão nas suas operações", completa. 5.  Fique atento a mudanças e aos seus impactos na privacidade  As constantes mudanças e evolução da nossa maneira de viver e trabalhar nos obrigam a ser vigilantes sobre o que acontece com nossos dados. Segundo Wright: "Trabalhar remotamente se tornou um hábito em 2020, de uma forma que nunca havia sido sequer cogitada pelos departamentos de segurança e de TI. Você pode ter assinado um termo de responsabilidade em 2017 e tê-lo revisto após a implementação da GDPR em 2018, mas o fornecedor mudou de sistema desde então e agora você está desatualizado novamente. Digamos que seu provedor para reuniões por teleconferência tenha tido um aumento significativo na demanda e precise revisar os termos porque migrou seu servidor para fora da União Europeia e por isso, não consegue mais confirmar onde exatamente seus dados estão sendo processados. Essa é uma mudança e tanto, não?".  As empresas devem insistir para ter conhecimento completo sobre o que mudou e quais são os efeitos de cada mudança sobre a privacidade de seus dados. "As grandes perguntas precisam ser respondidas. Para onde seus dados estão sendo levados? Eles estão seguindo os padrões da GDPR? O registro das gravações do seu serviço de SAC está sendo transferido para outro lugar? Qual é o nível de segurança desse novo servidor? Será que os dados ainda estão seguros com criptografia de ponta a ponta?", pergunta Wright. 6.  Lembre-se de todos os membros da sua cadeia de suprimentos A regra principal é considerar cada parceiro comercial como um processador dos seus dados. Senão lapsos podem ocorrer, até mesmo com os dados pessoais mais sensíveis, materiais considerados como "dados especiais" sob as normas da GDPR. Isso corresponde a quaisquer dados que possam ser utilizados para uma discriminação ilegal, como raça, orientação sexual, históricos de saúde ou até dados de biometria. Ahmed tem uma história envolvendo um caso do tipo: "Um de meus clientes procurou um software terceirizado para aplicar um teste psicotécnico como parte do seu processo de recrutamento. Mas a empresa não se deu conta de que os dados obtidos se encaixariam nessa categoria de dados especiais da GDPR. Ou seja, o cliente ficou exposto a sérios riscos caso houvesse um vazamento, simplesmente por não ter feito uma avaliação correta de riscos e ignorar a necessidade de proteção daqueles dados." Se dados pessoais estão em sua posse, você deve estar sempre atualizado, não só  sobre as últimas normas, mas também com os melhores procedimentos e o melhor parâmetro ético possível. Espalhe a informação, ensinando sobre os riscos e responsabilidades, dentro e fora da sua empresa. Fazendo isso você reduzirá as chances de ter um vazamento e garantirá que seus consumidores saibam que você está de olho em seu bem-estar e privacidade.
privacy of thought header

Implantes neurais: como essa novidade pode transformar a privacidade digital

  • min de leitura
    • No último mês de outubro, pesquisadores franceses apresentaram um exoesqueleto controlado pela mente, que permitiu que um homem tetraplégico caminhasse de novo quatro anos depois do acidente que tirou seus movimentos. O sistema funciona por meio de dois aparelhos implantados cirurgicamente e que conectam 64 eletrodos a um computador, que traduz as ondas neurológicas recebidas para instruções que controlam o exoesqueleto. Ou seja, o simples ato de pensar em caminhar permitiu que o paciente mexesse suas pernas fisicamente. Mesmo que a neurotecnologia ainda esteja em seus primórdios, afinal, este experimento também envolveu 65kg de equipamentos de robótica e um arreio de segurança preso no teto, este é um marco que pode trazer esperanças a pessoas com algum tipo de restrição de mobilidade. Mas, assim como acontece com qualquer outra tecnologia inovadora, é inegável que ainda são necessárias diversas melhorias em termos de segurança para atingir o nível ideal. Teoricamente, essas inovações também têm um impacto muito profundo sobre o campo do transhumanismo. É possível que no futuro as pessoas se transformem cada vez mais em máquinas, deixando o lado humano de lado para aprimorar certas capacidades. Isso talvez seja um panorama animador para os fãs da chamada ficção cyberpunk, mas não devemos esquecer que cada aparelho digital é um alvo em potencial para os hackers. Da prova de conceito à usabilidade e hackeabilidade Independentemente de quão promissora essa nova tecnologia seja, principalmente para pacientes com lesões sérias de coluna, é importante lembrar que ainda há um longo caminho a percorrer para que esse tipo de tratamento se torne clinicamente viável. Mas isso mostra a direção para a qual estamos indo, e que não deve se ater somente a revolucionar a tecnologia médica. Nos exoesqueletos controlados por implantes neurais, o próximo objetivo é melhorar o tempo de reação para tornar esses sistemas mais responsivos e balanceados. A ideia em geral é reduzir o peso do equipamento e maximizar a vida útil dos eletrodos sem aumentar os riscos de que os pacientes sofram danos ao seu tecido nervoso. Pode ser que passem décadas antes que uma tecnologia assim chegue ao grande público, mas esse dia vai chegar. Hoje os implantes neurais já não existem somente nos livros de ficção científica, eles são uma realidade. Mas assim que essa tecnologia der os primeiros passos para fora do laboratório, será não só possível, como provável, que termine caindo nas mãos erradas, como as de hackers, governos corruptos e seus exércitos. Serão necessárias medidas para resguardar e implementar a segurança e a privacidade desde o início do processo de fabricação. Mas, assim como em todos os aparelhos conectados digitalmente, reduzir as chances de que esses implantes neurais sejam hackeados é uma preocupação mais imediata. Assim que as interfaces entre computadores e cérebro se tornarem disponíveis para o grande público, hackers e empresas sem escrúpulos não vão demorar a entrar na jogada. Mas métodos invasivos não são os únicos motivos de preocupação: os riscos mais imediatos estão nos eletroencefalogramas (EEG) não-invasivos, que afetam os eletrodos acoplados externamente, no couro cabeludo. E isso pode acontecer antes do que você espera. Você deixaria empresas lerem seus pensamentos? Poucas pessoas responderiam "sim" a essa pergunta, mas algumas empresas já estão desenvolvendo métodos para permitir que seus clientes controlem alguns serviços diretamente com a mente. O Facebook, que já não tem um histórico muito bom quando o assunto é privacidade, é uma dessas empresas. Recentemente, durante um evento na Universidade de Harvard, Mark Zuckerberg, CEO do Facebook, revelou que a empresa está no processo de desenvolver uma tecnologia que permitirá que as pessoas controlem seus serviços com as próprias mentes. Tudo sem menus de navegação, nem botões ou teclas. Mas isso leva a uma pergunta: você deixaria uma empresa ter acesso a seus pensamentos e captar dados para te entregar anúncios mais relevantes se, em troca, você pudesse pedir uma pizza só de pensar nos seus ingredientes favoritos? Mesmo que isso pareça algo muito distante, é importante lembrar que dados digitais são a commodity mais desejada do momento, até mais do que petróleo ou metais preciosos. E se traduzirmos toda a capacidade da mente humana para dados digitais, a estimativa é de cerca de 2,5 petabytes, o que equivale a 3 milhões de horas de streaming de vídeo. Outras estimativas mais "alternativas" são um pouco mais baixas: segundo a questionável mídia estatal da Coreia do Norte, o presidente da Coreia do Sul tem apenas o equivalente a 2 MB de informação em sua mente. Mas mesmo que as estimativas variem entre o impressionantemente absurdo e o praticamente abstrato, Zuckerberg também lembrou que a maneira mais rápida que temos atualmente para divulgar informações para o mundo é através da fala. E a velocidade da fala já é equivalente a uma banda-larga de um modem de 14,4kb. Com uma interface que ligue mente e computador, será possível transmitir dados quase na mesma velocidade do nosso pensamento, que é cinco vezes maior que a da fala. Ou seja, se você estiver realmente com fome, aquela pizza vai chegar pelo menos um minuto mais rápido na sua casa. Os cibercriminosos serão capazes de invadir sua mente em algum momento? Essa é uma linha muito comum nas histórias de ficção científica e que já foi explorada em programas de TV perturbadoramente realistas, como "Black Mirror" e "Through the Wormhole com Morgan Freeman". Mas, no mundo real, também estamos cada vez mais perto de viver numa sociedade onde ler e modificar mentes por meio de ferramentas tecnológicas pode se tornar uma realidade. Onde há dados há pessoas que estão dispostas a usá-los. E se existe conectividade, existem maneiras de explorar isso. Enquanto organizações legítimas e idôneas devem enfrentar restrições duras sobre como implementam e mantêm interfaces neurais graças a leis como a GDPR, criminosos cibernéticos não seguem as mesmas normas. E para piorar, a evolução tecnológica tem o hábito de ultrapassar nossa habilidade de mitigar os riscos. Se, ou na verdade quando, os cibercriminosos tiverem acesso a tecnologias desse tipo, eles terão a capacidade de roubar ou implantar pensamentos nas pessoas, e com isso fazê-las de refém ou até elevar golpes de engenharia digital a um patamar completamente desconhecido. O que podemos fazer para assumir o controle dos nossos pensamentos? Ainda que possa soar absurdo ler os pensamentos das pessoas para entregar anúncios superespecíficos ou para torná-las zumbis controlados por computador, as consequências da neurotecnologia são reais o suficiente para terem chamado a atenção dos órgãos reguladores e dos grupos de direitos humanos. Em abril de 2017, o especialista em neuroética Marcello Ienca, da Universidade da Basiléia, e o advogado dos direitos humanos Roberto Adorno, da Universidade de Zurique, publicaram um estudo explorando as maneiras de tentar minimizar os riscos desse tipo de tecnologia. Com isso, no Reino Unido, a Royal Society recentemente apresentou um pedido oficial para que o governo lançasse uma investigação sobre tecnologias de interface neural. O que podemos fazer é esperar que a ética e as leis se mantenham em dia, antes que seja tarde. Nunca foi tão importante que pessoas e organizações pensem cuidadosamente sobre como elas usam as novas tecnologias e assegurem que a privacidade e a segurança sejam sempre implementadas, desde a origem e sem exceções.
privacy history laptop

A privacidade está morta. Vida longa à privacidade!

  • min de leitura
    • A cada ano novas manchetes alertam sobre a chegada de uma nova tecnologia específica que chega com a promessa de dar um fim definitivo à privacidade. Mas cenários apocalípticos que preveem a morte da privacidade são quase tão antigos quanto o próprio conceito de privacidade, que na verdade não é tão antigo assim.  Neste artigo vamos explorar a relação da sociedade ocidental com a privacidade ao longo do tempo e as implicações dessa relação na era digital.  O sonho da privacidade nasceu em uma cama comunitária  A ideia de privacidade surgiu na Inglaterra no século XIX, como afirma o historiador Georges Duby em sua obra "A história da vida privada" ("A history of private life", em inglês). A palavra "privacidade" tem sua origem no termo francês "priver", que significa "domar", "domesticar". O termo similar em latim, "privatum", também se refere ao que acontece dentro de casa ou dentro do círculo familiar.   Na Idade Média, segundo defende Duby, passar tempo sozinho era um privilégio raro. Camas eram extremamente caras e por isso eram compartilhadas por todos da família, exceto nos lares mais abastados. E, ainda que a realeza e os aristocratas tivessem suas próprias camas, os quartos raramente eram ocupados por uma pessoa só: serventes e guardas se mantinham sempre por perto. . Mas compartilhar quartos na hora de dormir não era algo único das sociedades ocidentais. Antropólogos que estudam os nativos das Ilhas Trobiand, uma antiga tribo de caçadores que vive nos arquipélagos da Nova Guiné, reportam que as famílias do grupo viviam e dormiam em cabanas de um quarto só. Quando os pais queriam um momento íntimo, a ordem era para que as crianças cobrissem suas cabeças com tapetes.   Pegando uma cerveja e as correspondências dos outros A privacidade em termos de correspondência também não era algo muito regular. Até porque um selo de cera não é uma grande garantia de que um envelope vai chegar intacto ao seu destino, com seu conteúdo ainda secreto. No livro "O direito a privacidade na história estadunidense" ("The right to privacy in American history", em inglês), o autor David J. Seipp descreve como as cartas chegavam da Inglaterra no século XIX por meio dos navios mercantes.  Até que em 1710 o governo britânico nos Estados Unidos emitiu o "Post Office Act", que criou um serviço postal regulamentado e tornou proibido o ato de abrir correspondências alheias. E essa se tornou a primeira lei de privacidade estabelecida nos EUA.  Ao criar um serviço postal, o governo tinha como objetivo proteger a privacidade individual de cada um. Mesmo assim, nem todos fizeram questão dela. Por certo tempo, muitas pessoas ainda preferiram a conveniência das entregas via navio mercante, apesar de todos os riscos envolvidos. Quando os telefones chegaram na festa  Assim como em outros momentos, a chegada dos primeiros telefones aos EUA também geraram previsões calamitosas para a privacidade. E até havia uma boa razão, já que os primeiros telefones ficavam em locais públicos, como lojas e mercados. Ou seja, as pessoas podiam ouvir as conversas alheias enquanto faziam fila para fazer ou receber suas próprias chamadas. As ligações passam ainda por uma central de distribuição, onde as telefonistas faziam as conexões manualmente enquanto ouviam por acaso todas as conversas.   Quando os telefones se tornaram um objeto doméstico muitos deles funcionavam através de linhas coletivas, chamadas em inglês de "party lines", com diversas casas compartilhando uma só linha. Quando alguém quisesse fazer uma chamada a pessoa era obrigada a tirar o telefone do gancho e verificar se não havia ninguém conversando na linha.  Mas apesar das preocupações sobre privacidade, as pessoas continuaram usando o telefone. Principalmente porque permitia a elas compartilhar informações em tempo real ao invés de mandar custosos telegramas ou cartas que demoravam dias, semanas ou até meses para chegar. Talvez as pessoas estivessem dispostas a sacrificar um pouco da sua privacidade porque confiavam que a tecnologia poderia solucionar os próprios problemas. Com o passar do tempo, as linhas particulares se tornaram cada vez mais acessíveis e as linhas coletivas desapareceram. Hackeáveis, porém desejáveis A era digital nos apresentou um conjunto particular de desafios sobre privacidade. A internet, criada para facilitar a troca gratuita e aberta de informações é também o elemento que permite que essas informações sejam usadas de formas não tão agradáveis.  Um exemplo são governos de diferente partes do mundo, que conduzem programas de "vigilância digital" de seus cidadãos usando tecnologias de reconhecimento facial. Outro caso são os assistentes pessoais, como Alexa (Amazon) e Siri (Apple), Smart TVs e outros aparelhos eletrônicos conectados à internet, que têm se tornado alvo constante dos hackers. Ainda assim, a venda de produtos que utilizam a chamada Internet das Coisas (IoT) não deixa de crescer. Existe até um relatório que prevê que o número de assistentes de voz ativos deve triplicar até 2023 e atingir mais de 8 bilhões.    Protegendo-nos de nós mesmos  Alguns podem dizer que a privacidade está perdendo lugar para a conveniência e o conforto que a Internet fornece. Ao mesmo tempo, muitas pessoas e organizações clamam por regras ainda mais restritas na proteção de dados pessoais.   Governos de todo o planeta estão começando a impor um controle mais duro sobre a coleta, o uso, o compartilhamento e a venda de dados pessoais. As medidas mais destacadas são o GDPR, Regulamento Geral de Proteção de Dados, criado pela União Europeia, e o US State of California's California Consumer Privacy Act, mais conhecido como CCPA, aplicado pela Califórnia.   Muitas delas abrem mão de seus dados pessoais sem nem saber como esses dados serão usados. Mas os vigilantes da privacidade e muitos consumidores ao redor do mundo estão cada vez mais preocupados com o potencial uso dos dados da chamada "Big Tech", que inclui empresas como Google, Facebook e Apple, para a manipulação política e cultural.   Recentemente, a Comissão Federal de Comércio dos EUA multou o grupo Facebook em incríveis US$ 5 bilhões por vender dados de seus usuários para a consultoria política Cambridge Analytica. Reportagens indicam que essa empresa usou esses dados para influenciar disputas políticas e eleições em diversos países através das redes sociais.   Vivemos todos num grande Big Brother. Mas será que as pessoas se importam? A privacidade é algo importante para os consumidores hoje em dia? A resposta depende de quem responderá à pergunta.   Em teoria, os millennials supostamente são aqueles que têm maior indiferença sobre a segurança de seus dados pessoais. Num estudo de 2016 realizado no Reino Unido e nos EUA, 70% dos millennials (entre 19 e 36 anos) afirmaram que acham que sua privacidade online provavelmente já foi ou ainda será comprometida, mas que não se preocupam muito com isso. No entanto, uma pesquisa mais recente da Internet Innovation Alliance não encontrou diferenças significativas entre o nível de preocupação sobre privacidade de dados dos millennials e de outras gerações.  Em 2019, numa pesquisa da Internet Society com consumidores da Austrália, Canadá, Japão, França, RU e EUA, 75% dos entrevistados mostraram certa preocupação com o fato de que as empresas compartilhem seus dados pessoais sem seu consentimento. Um número ainda maior, 88%, quer que os governos garantam seu direito à privacidade de dados, enquanto 80% acredita que as leis e regulamentações atuais não são suficientes.   E eles estão certos. Inovações para proteger a privacidade A história mostra que a tecnologia e a engenhosidade humana combinadas podem, muitas vezes, solucionar os problemas que elas mesmas criaram.   Quando as pessoas postam seus próprios dados pessoas nas redes sociais, elas estão escolhendo fazer isso. As violações ocorrem quando aquela rede social ou outros sites vendem ou compartilham esses dados sem o consentimento do usuário. Mas uma internet aberta e livre não significa que você precise compartilhar seus dados mais sensíveis.   Leis podem ajudar-nos, mas infelizmente elas só chegam até certo ponto. E a realidade é que os legisladores ainda estão começando a entender quais são as melhores maneiras de impor restrições na coleta e uso de dados sem ferir o livre comércio. A verdade é que a privacidade tem uma luz no fim do túnel, e essa luz é a inovação. Em resposta aos riscos crescentes relacionados à coleta e uso de dados pessoais, as empresas de tecnologia estão começando a criar alternativas para seus usuários para que este escolham manter seus dados privados ou não.   O mecanismo de busca DuckDuckGo, por exemplo, não guarda o histórico de busca dos usuários e nem seus dados. Alguns serviços de adblock também fazem o mesmo.  A rede social MeWe é outra que fornece aos usuários uma Declaração de Direitos de Privacidade, na qual promete que as informações fornecidas pertencem somente ao usuário e que o site nunca irá vendê-las ou compartilhá-las.   No mundo dos negócios, a startup Duality Technologies inventou a "encriptação homomórfica", que permite que empresas de tecnologia analisem dados pessoais criptografados sem precisar remover a criptografia. Segundo informações, o Google agora também passou a fornecer uma ferramenta de encriptação homomórfica para seus parceiros.  Tecnologias emergentes também prometem melhorar a privacidade. O Blockchain é uma tecnologia que é a base para o Bitcoin e outras moedas digitais, e funciona linkando transações através de um livro-razão ou livro contábil distribuído, visível para múltiplos usuários e imutável. Alguns especialistas preveem que o Blockchain também será utilizado para criar novos formatos de identidade digital criptografados. A triste realidade é que algumas (ou muitas) empresas de tecnologia e líderes de empresas não vão ter o interesse público como uma de suas prioridades. Esse é um dos motivos pelos quais precisamos de leis e regulamentações para resguardar a privacidade. Mas até mesmo os consumidores sabem que os governantes não têm como ter controle sobre tudo.   Uma nova era da privacidade está começando. O que as empresas devem fazer? A luta pela privacidade de dados precisa de regras mais duras. Mas o problema é que, se essas regras forem duras demais, podemos inibir a inovação.   O melhor remédio é a combinação dessas duas coisas: leis de privacidade flexíveis e ferramentas digitais que permitam que os usuários protejam seus dados. Essa combinação reforçada dará início a uma nova era em que nossas informações serão tão privadas quanto seus proprietários desejem.  Para se preparar para essa nova era focada na privacidade, as organizações devem começar a se planejar agora para resguardar os dados que elas manipulam, seguindo os parâmetros de regulamentação da GDPR e da CCPA, mesmo que essas leis não se apliquem ao seu país ou organização. Você também deve assegurar que seus parceiros operacionais façam o mesmo. Usar tecnologias para privacidade de dados ou inventar sua própria tecnologia também são coisas que devem fazer parte desse processo.   Em seguida, sua empresa deve divulgar seu compromisso com a privacidade de dados, por exemplo, publicando uma "declaração de direitos de privacidade", como outros fizeram. Pessoas físicas podem apostar na ingenuidade humana, mas os negócios não. As empresas precisam fazer seu papel: priorizar o direito à privacidade de seus consumidores e fornecer acesso fácil a serviços que colaborem para a proteção dos mesmos. A inovação pode, e deve, abrir o caminho para o renascimento da privacidade, dando aos indivíduos e às empresas um controle sem precedentes sobre seus dados. E, enquanto isso, a era digital vai continuar enriquecendo nossas vidas de diversas maneiras.   Este é um artigo opinativo e não necessariamente reflete as opiniões e posicionamentos da Kaspersky.   
by Tecnologia inovadora.
Inovando líderes.
Sobre o Secure Futures

A revista Secure Futures é o seu guia de negócios com dicas, opiniões, tendências e insights sobre o mundo da tecnologia e da cibersegurança. A Kaspersky ajuda sua empresa a antecipar o futuro, através dos especialistas globais em cibersegurança.