Com a entrada de Portugal na terceira fase do plano de desconfinamento, em vigor desde o dia 1 de outubro, foram anunciadas as últimas medidas de levantamento das restrições, anteriormente impostas devido à situação epidemiológica que o país atravessava.
Terminou a recomendação do teletrabalho, ficando a cargo da entidade patronal decidir pela sua eventual manutenção, ou, por outro lado, pelo regresso ao regime presencial de laboração, estabelecendo também quais as condições para o exercício do regime presencial.
Ora, se na pendência do exercício laboral em regime de teletrabalho foram adotadas, por várias entidades patronais, medidas com vista a reforçar a segurança do tratamento de dados pessoais tendo em conta o contexto, tais como a utilização de VPN, a adoção e/ou atualização de antivírus ou firewall ativados nos dispositivos dos colaboradores, a disponibilização de meios de autenticação segura, a limitação de acesso a sistemas e pastas que contenham dados sensíveis, entre outros, agora que o regime de trabalho presencial volta a ser uma realidade cada vez mais presente, questiona-se quais as medidas que, no âmbito da segurança da informação, deverão ser adotadas tendo em conta o regresso a este regime de “normalidade” no âmbito laboral.
No nosso entendimento, assume especial relevância a necessidade de reforçar o conhecimento do procedimento “Clean Desk/Clean Screen”.
A implementação deste procedimento advém de recomendações legais aplicáveis às entidades patronais e seus colaboradores, principalmente para aquelas que lidam com informação sensível e/ou confidencial. Tais recomendações estão em concordância com os standards internacionais, nomeadamente com as Technical Guidelines for Security Measures do European Network and Information Security Agency (ENISA) e as da norma ISSO 27001.
Por outro lado, a adoção deste tipo de procedimento é absolutamente essencial para evitar uma eventual fuga de informação e para garantir uma atuação em conformidade com o Regulamento Geral Sobre a Proteção de Dados (RGPD).
O “Clean Desk/Clean Screen” tem por objetivo definir diretrizes de prevenção, monitorização, deteção, reação, análise e correção, que visam manter o estado de segurança desejado e garantir a confidencialidade, integridade e disponibilidade da informação.
Neste conspecto, deixamos aqui alguns exemplos de diretrizes a adotar com vista à implementação de um procedimento “Clean Desk/Clean Screen”:
Posto de trabalho
- Primazia por um posto de trabalho limpo e organizado, com os seus documentos em suporte de papel, devidamente arrumados em local apropriado;
Documentos em suporte de papel
- Armazenamento, quando não estiverem em uso, de qualquer documento em suporte físico que contenha informações consideradas sensíveis e/ou confidenciais, em local seguro e trancado;
- Destruição ou devolução, quando emprestados por outros departamentos, dos documentos que não se revelarem já necessários;
Reuniões
- Verificação de que a sala onde decorrem reuniões em que serão abordados temas confidenciais ou sensíveis, se encontra devidamente fechada e protegida, privilegiando, deste modo, a confidencialidade da informação partilhada;
- Destruição ou armazenamento do material utilizado no âmbito da reunião, que tenha sido deixado nas mesas;
Utilização de dispositivos digitais
- Utilização exclusiva de dispositivos, aplicações e equipamentos autorizados pela entidade patronal;
- Utilização das credenciais de acesso ao sistema, composto por username e password, de carácter único, confidencial e intransmissível.
- Alteração periódica da password de acesso ao sistema, evitando-se a repetição de passwords já utilizadas;
- Bloqueio do ecrã ou log-off em caso de inatividade;
- Proteção dos dispositivos digitais com sistema antivírus e firewall atualizado e software autorizado e licenciado;
- Realização de backups de segurança periódicos e encriptação de dados, sempre que possível;
As diretrizes supramencionadas são apenas alguns exemplos dentro de muitos outros existentes no âmbito de adoção de um procedimento “Clean Desk/Clean Screen”, que deverá ser um processo adaptado às necessidades concretas da entidade que o pretende implementar.
por Ana Bastos e Joana Oliveira, Área de Prática – TMT/Privacidade e Cibersegurança
