Uma seguradora que oferece um seguro cibernético geralmente solicita uma combinação de documentos: uma descrição dos dados pessoais que processa e para que fins, uma descrição das suas medidas de segurança técnicas e organizacionais, comprovação de que tem acordos com fornecedores que processam dados em seu nome, e um protocolo para o caso de algo correr mal. Algumas seguradoras solicitam isto separadamente, outras processam-no num único questionário digital.
Não existe uma lista legal prescrita de documentos para um seguro cibernético. O próprio RGPD impõe uma obrigação de prestação de contas: uma organização deve ser capaz de demonstrar que pensa sobre a proteção dos dados pessoais e que o tem organizado. A forma como essa comprovação se apresenta é determinada pela seguradora, não pela lei. Este é precisamente o detalhe que é mais frequentemente negligenciado neste momento de compra: os empresários procuram o formulário ou o certificado que seja suficiente, enquanto as seguradoras, na prática, querem principalmente ver que existe um conjunto coerente.
O que uma seguradora normalmente quer ver
O núcleo da maioria dos questionários é um registo de atividades de tratamento: uma descrição dos dados pessoais que processa, com que finalidade, durante quanto tempo os mantém e quem tem acesso. Para além disso, muitas vezes é perguntado sobre os contratos de processamento com partes que processam dados em seu nome, como o seu programa de contabilidade, o seu sistema de RH ou uma ferramenta de marketing. Uma terceira parte recorrente é o protocolo para violações de dados: como identifica um incidente, quem informa dentro da sua organização e como avalia se é necessária uma notificação à Autoridade Nacional de Proteção de Dados. Quem tem dúvidas sobre se um incidente se enquadra nessa categoria, pode verificar em algumas perguntas onde é que uma situação se situa aproximadamente.
As seguradoras também costumam olhar para além do RGPD. Perguntas sobre cópias de segurança, política de palavras-passe, autenticação de dois fatores e quem dentro da empresa tem acesso a que sistemas fazem parte da segurança da informação num sentido mais amplo. Isto sobrepõe-se com a privacidade, mas não é o mesmo: uma empresa pode ter um registo de atividades de tratamento impecável e ao mesmo tempo ter uma segurança técnica fraca, ou vice-versa. Uma visão geral das medidas que tomou ajuda a conectar estas duas coisas; veja também como isto é analisado na avaliação de dados e privacidade.
Por que a demonstração é algo diferente de uma certificação
Uma pergunta frequentemente colocada é se um certificado ISO ou outra certificação substitui a prova que uma seguradora procura. Um certificado pode ser relevante, mas raramente substitui a questão sobre a sua situação específica: que dados processa precisamente esta empresa, com que fornecedores trabalha e o que acontece se algo correr mal. Os supervisores e as seguradoras procuram coisas semelhantes neste ponto, mas com um objetivo diferente: o supervisor avalia o cumprimento da lei, a seguradora avalia um risco antes de emitir uma apólice. Esta diferença explica por que duas seguradoras às vezes pedem documentos ligeiramente diferentes, enquanto a base subjacente — o registo, os acordos, o protocolo — é sempre a mesma.
O que pode preparar com antecedência
É aconselhável começar pelo que já tem: que software e fornecedores a sua empresa utiliza e se existe um contrato de processamento. Depois é uma questão de documentar o que realmente acontece: que dados estão onde, quem pode aceder-lhes e quanto tempo são mantidos. Para empresas que o fazem pela primeira vez, um resumo estruturado de perguntas frequentes é um bom ponto de partida; veja respostas a perguntas que aparecem frequentemente neste tipo de pedidos.
Quem preferir primeiro compreender como uma lista de documentos desse tipo é construída e onde as informações se baseiam, pode ler isso no banco de conhecimento. Lá há, para cada assunto, uma resposta breve com a localização no texto oficial, para que você possa verificar de onde vem um requisito; veja, por exemplo, em a base de conhecimento com explicações por tópico antes de conversar com uma seguradora.
De documentos soltos para um registro em andamento
O mais difícil nesse momento de compra não é a elaboração de um documento, mas mantê-lo atualizado. Um registro de processamento de dados que foi criado há um ano e não foi atualizado desde então geralmente não corresponde mais aos serviços que uma empresa está usando. Um sistema que permite que o registro cresça junto com o software realmente utilizado, e que acompanha quais acordos de processamento de dados ainda faltam, economiza esforço no momento em que uma seguradora de repente pede por eles.
Se isso se aplica à sua empresa neste momento e quais documentos você concretamente precisa é algo que você deveria discutir melhor com a própria seguradora ou com um consultor; este artigo fornece esclarecimentos, não aconselhamento jurídico sobre sua apólice específica.
Quer ver primeiro você mesmo onde sua empresa se encontra aproximadamente? A verificação rápida gratuita oferece uma indicação em algumas perguntas, e no banco de conhecimento você encontra, para cada assunto, a resposta breve com a localização incluída. Se você quiser manter o registro e o monitoramento estruturalmente depois, leia em qual é o custo do sistema ao seu redor o que está envolvido.