KVKK e Formação em Cibersegurança: Porque a Sensibilização dos Colaboradores Pesa nas Decisões da Autoridade de Proteção de Dados

Nas decisões do Conselho turco de Proteção de Dados Pessoais (Conselho KVKK) sobre empresas que sofreram uma violação de dados há uma conclusão recorrente: a sensibilização dos colaboradores era insuficiente. O Conselho considera-o uma falha mesmo quando houve formação, se essa formação não resultou na prática. Esta falha organizativa surge na fundamentação das coimas ao lado das falhas técnicas. Neste artigo usamos decisões publicadas para explicar porque a formação em cibersegurança deve ser tratada como uma medida obrigatória à luz da KVKK, e como documentá-la.

Porque é que a KVKK exige, na prática, formação em cibersegurança?

O artigo 12.º da Lei n.º 6698 sobre a Proteção de Dados Pessoais obriga o responsável pelo tratamento a adotar "todas as medidas técnicas e organizativas necessárias para garantir um nível de segurança adequado", de forma a impedir o tratamento e o acesso ilícitos aos dados pessoais. O Guia de Segurança de Dados Pessoais da autoridade inclui expressamente a formação e a sensibilização dos colaboradores entre essas medidas organizativas.

A lei não diz "dê este número de horas de formação por ano". Mas, quando o Conselho investiga uma violação, a pergunta é clara: preparou os seus colaboradores para reduzir este risco e consegue prová-lo?

Três exemplos das decisões do Conselho

Exemplo 1: Um email falso do CEO, 217 pessoas, 1 milhão de liras (Decisão 2024/728). Um colaborador do escritório de Amesterdão de uma organização profissional internacional recebe um email que parece vir do Presidente do Conselho de Administração e CEO. O email pede a lista de nomes e emails dos membros na UE e no EEE. O colaborador responde com a lista em anexo. Na verdade, o email vinha de uma conta externa que se fazia passar pelo CEO, e os dados pessoais de 217 membros turcos chegaram a pessoas não autorizadas.

A organização afirma ter dado várias formações aos colaboradores. O Conselho conclui que o incidente "indica que a privacidade e a segurança dos dados não foram plenamente assumidas pelos colaboradores". Verifica também que as definições de segurança do email só foram reforçadas depois da violação. Resultado: 750.000 liras por não adotar medidas de segurança e 250.000 liras por não notificar a violação em 72 horas, uma coima total de 1 milhão de liras.

A mensagem é clara: ter dado formação não chega por si só. É preciso conseguir mostrar que a formação resultou na prática.

Exemplo 2: Uma transferência, 797 servidores, 1 milhão de liras. Numa empresa industrial com atividade global, um ransomware espalha-se por 797 servidores da rede depois de um programa ser descarregado da internet. Segundo a imprensa, os dados afetados incluíam documentos de identificação, passaportes, moradas, IBAN, telefones e grupos sanguíneos, e foram afetadas 4.885 pessoas entre colaboradores, clientes e fornecedores. As falhas identificadas pelo Conselho:

• Políticas de passwords fracas
• Sensibilização insuficiente dos colaboradores para a cibersegurança
• Permissões de acesso à rede mais amplas do que o necessário, o que facilitou a propagação do malware
• Sistemas operativos desatualizados e atualizações de segurança críticas por aplicar
• Ausência de prova de que as vulnerabilidades críticas detetadas em testes de intrusão anteriores tinham sido corrigidas
• Notificação da violação ao Conselho 23 dias depois

A coima: 800.000 liras pela violação da obrigação de segurança e 200.000 liras pela notificação tardia.

Exemplo 3: A conta de um fornecedor, ransomware, 500.000 liras. Numa empresa do setor automóvel, o ataque terá começado com a tomada de controlo da conta de utilizador de um fornecedor do software de recursos humanos. O ransomware encripta ficheiros e os atacantes publicam alguns dos dados na internet. O Conselho conclui que os sistemas não eram monitorizados regularmente, que a atividade anómala na rede não foi detetada a tempo e que a proteção contra malware era insuficiente. Lembra ainda que os responsáveis pelo tratamento têm de garantir que os fornecedores que tratam os seus dados também adotam medidas de segurança adequadas.

O que têm estas decisões em comum?

Em nenhum dos três casos o ataque decorre como num filme. O ponto de entrada é muitas vezes uma ação banal de um colaborador ou de um fornecedor: descarregar um programa, responder a um email que parece vir de uma chefia, uma conta comprometida. Os danos que se seguem resultam de medidas básicas adiadas durante anos.

Por isso, ver a conformidade com a KVKK apenas como avisos de privacidade e inventários de dados fica aquém. Um dos aspetos que o Conselho analisa é o que fez para reduzir o risco humano.

A coima é apenas um dos custos

A coima é o custo visível. Há outros a considerar:

• Custos de resposta ao incidente e de recuperação de dados
• Dias de trabalho perdidos com os sistemas parados
• Perda de confiança de clientes e parceiros
• Risco reputacional pela publicação das decisões do Conselho em resumo

Como deve ser uma formação em cibersegurança eficaz à luz da KVKK?

As decisões do Conselho dão uma pista importante: o efeito e a prova da formação contam tanto como a sua existência. Para um programa eficaz e defensável:

1. Deve ser regular. Uma formação dada uma vez na integração não chega, e um vídeo visto uma vez por ano não muda comportamentos. Módulos curtos e repetidos funcionam melhor.
2. Deve visar os riscos reais. Os pontos de entrada mais frequentes nas decisões são emails de phishing, transferências de malware e passwords fracas. O conteúdo deve centrar-se nisto.
3. Deve ser medida. As simulações de phishing mostram como os colaboradores reagem a um ataque realista e, portanto, se a formação funciona.
4. Deve ser documentada. Quem fez que formação e quando? O que mostraram as simulações? Estes registos são a prova mais concreta durante uma investigação.

Perguntas frequentes

---
A InfoLore oferece programas de sensibilização para a cibersegurança e simulações de phishing que pode documentar à luz da KVKK e do RGPD. Contacte-nos para avaliar a sua situação.