📚 Glossário do curso

Agência Nacional de Proteção de Dados: o órgão federal que fiscaliza o cumprimento da LGPD em todo o país. É a ela que o controlador comunica um incidente de segurança que possa causar risco ou dano relevante aos titulares, como manda o art. 48 da lei (Módulos 7 e 8).

Arquivo que chega junto de uma mensagem e, ao ser aberto, instala um programa malicioso ou abre uma página falsa. Pode se disfarçar de boleto, ofício, planilha ou comprovante. A regra: anexo inesperado, de remetente não confirmado, não se abre (Módulo 2).

Anonimizar é usar meios técnicos razoáveis para que um dado não possa mais ser ligado, direta ou indiretamente, a uma pessoa. Pela LGPD, o dado anonimizado deixa de ser dado pessoal, a não ser que a anonimização possa ser revertida com esforço razoável. Tirar o nome de uma planilha nem sempre anonimiza (Módulo 9).

Correção que o fabricante envia para o sistema do celular, do computador e dos aplicativos. Boa parte das atualizações fecha brechas de segurança já conhecidas pelos golpistas. Por isso, aparelho desatualizado é aparelho mais fácil de invadir (Módulo 5).

Forma de verificação em duas etapas em que um aplicativo no seu celular gera um código que muda a cada instante. Mais segura do que o código por SMS, porque não depende da linha telefônica, que pode ser clonada ou trocada (Módulo 4).

Cópia dos seus arquivos guardada em outro lugar, como na nuvem do órgão ou num disco externo. É o que permite recuperar o que estava no celular perdido ou no computador bloqueado por um sequestro de dados (Módulo 5).

A trava do celular ou do computador, por senha, PIN, desenho, digital ou rosto, que impede quem pega o aparelho de usá-lo. No computador do trabalho, bloquear a tela ao levantar da mesa é o hábito mais simples e mais esquecido (Módulos 5 e 6).

O registro de um crime na polícia. Fraude eletrônica e invasão de dispositivo são crimes previstos no Código Penal. Quando um golpe dá certo, o caso deve ser registrado, em muitos estados pela delegacia virtual, além de comunicado ao órgão (Módulos 3 e 8).

Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil, mantido pelo NIC.br. Publica a Cartilha de Segurança para Internet, em português, que é a referência principal de boas práticas deste curso.

Na LGPD, quem decide como e por que os dados pessoais são tratados. No serviço público, em geral é o órgão. É o controlador que responde pela comunicação de incidentes à ANPD e aos titulares (Módulo 7).

Qualquer informação ligada a uma pessoa identificada ou que possa ser identificada: nome, CPF, endereço, matrícula, foto, número de processo com nome. É o que a LGPD protege e o que passa pelas suas mãos todos os dias (Módulo 7).

Dado pessoal que exige cuidado redobrado, porque pode gerar discriminação: saúde, religião, opinião política, origem racial ou étnica, vida sexual, dados genéticos e biométricos, entre outros. Vaza um dado desses, o dano é maior (Módulo 7).

Dados públicos publicados em formato que qualquer pessoa e qualquer programa conseguem ler, cruzar e reutilizar, como planilhas. São ótimos para a fiscalização, mas informação pessoal protegida não vira dado aberto porque está numa planilha (Módulo 9).

A pessoa indicada pelo controlador para ser o canal entre o órgão, os titulares e a ANPD, e para orientar os servidores sobre proteção de dados. É um dos primeiros a avisar num incidente com dados pessoais (Módulos 7 e 8).

Enganar uma pessoa para que ela mesma entregue o que o golpista quer: uma senha, um código, um pagamento, um clique. Explora emoções como urgência, medo, obediência à autoridade, ganância, curiosidade e gentileza. É o golpe que não precisa de tecnologia (Módulo 1).

A máquina que corta papel em tiras ou pedaços pequenos. É o destino certo de qualquer documento com dado pessoal ou informação sigilosa que não precisa mais ser guardado. Lixo comum e rascunho na impressora são vazamentos esperando acontecer (Módulo 6).

Crime previsto no Código Penal, no art. 171, § 2º-A: enganar a vítima, ou um terceiro induzido a erro, por meio de redes sociais, ligações, e-mails falsos, aplicativos ou dispositivos clonados, para obter vantagem. É crime com pena de reclusão e deve ser registrado (Módulo 3).

Programa ou recurso que guarda todas as suas senhas num cofre protegido por uma única senha-mestra, e preenche o acesso por você. Permite ter uma senha diferente e longa para cada serviço sem precisar decorar nenhuma. Os navegadores e os sistemas do celular já trazem um (Módulo 4).

Qualquer evento que comprometa dados ou sistemas: um acesso não autorizado, um vazamento, a perda de um aparelho com dados, um ataque que bloqueia os sistemas, um e-mail com dados mandado para a pessoa errada. A LGPD, no art. 48, exige que o controlador comunique à ANPD e aos titulares os incidentes que possam causar risco ou dano relevante (Módulos 7 e 8).

Informação que a lei manda proteger, por prazo ou por natureza: dados pessoais de terceiros, segredos industriais, informações que coloquem em risco a segurança da sociedade ou do Estado, e outras definidas na Lei de Acesso à Informação. Nem tudo o que está num processo pode ser dito ao telefone ou mostrado no balcão (Módulos 6 e 7).

Crime previsto no Código Penal, no art. 154-A: entrar num celular, computador ou outro aparelho de outra pessoa, sem autorização, para obter, alterar ou destruir dados, ou para instalar brechas e obter vantagem. É crime com pena de reclusão e deve ser registrado (Módulo 3).

Lei de Acesso à Informação, a Lei 12.527/2011. Garante o direito de qualquer pessoa pedir informações aos órgãos públicos e obriga os órgãos a publicar, por conta própria, a sua estrutura, os contatos, os gastos e as licitações. Transparência não é "vale-tudo": os dados pessoais continuam protegidos (Módulos 1 e 7).

Os três artigos da Lei Geral de Proteção de Dados que mais importam neste curso. O art. 46 exige que quem trata dados pessoais adote medidas de segurança contra acessos não autorizados e situações acidentais ou ilícitas. O art. 47 estende essa obrigação a qualquer pessoa que participe do tratamento, inclusive depois que ele termina. O art. 48 obriga o controlador a comunicar à ANPD e aos titulares os incidentes que possam causar risco ou dano relevante (Módulos 1, 7 e 8).

Um endereço que mostra uma coisa e leva a outra. O texto do botão diz "gov.br", mas o destino é uma página falsa; ou o endereço imita o verdadeiro com uma letra trocada. Dá para ver o destino real passando o mouse por cima, no computador, ou pressionando e segurando, no celular, sem clicar (Módulo 2).

A sua lista com os contatos (chefia, TI, encarregado, banco, operadora) e os passos para cada cenário de incidente: cliquei, mandei, perdi o celular, vazou. É a atividade do Módulo 8 e a oitava parte do Meu Plano de Segurança. Fica impressa, à mão, porque na hora do susto o celular pode ser justamente o que você perdeu.

Qualquer programa feito para causar dano ou roubar informações: vírus, programas espiões, sequestradores de dados. Entra pelo anexo, pelo link, pelo pendrive, pelo aplicativo baixado fora da loja oficial. Antivírus atualizado ajuda, mas a melhor defesa é não abrir a porta (Módulos 2 e 5).

A prática de não deixar à vista, na mesa ou no balcão, documentos com dados pessoais, senhas anotadas, crachás e pendrives, principalmente ao sair e no fim do dia. Junto com o bloqueio de tela, é a base do posto de trabalho seguro (Módulo 6).

Dados sobre o próprio arquivo, que viajam junto com ele: autor, datas, programa, comentários, revisões, texto oculto, abas escondidas e, nas fotos, o aparelho e o local. Conferir e limpar os metadados é parte de publicar sem vazar (Módulo 9).

O plano pessoal que você monta ao longo do curso e testa por 30 dias no projeto final. Tem nove partes: Minha exposição, Meus sinais de alerta, Meu protocolo de confirmação, Minhas contas protegidas, Meus aparelhos, Meu posto seguro, Meus dados sob cuidado, Meu plano de emergência e Minha publicação segura.

O princípio da necessidade da LGPD: tratar só os dados pertinentes, proporcionais e não excessivos para a finalidade. Na publicação, é a pergunta feita coluna por coluna: quem fiscaliza precisa disto? (Módulos 7 e 9).

Na LGPD, quem trata os dados em nome do controlador: por exemplo, a empresa contratada que mantém o sistema de agendamento ou de folha. Também deve garantir a segurança dos dados (Módulo 7).

A "pesca" por mensagem: um e-mail, SMS, mensagem de aplicativo ou página falsa que imita alguém de confiança (o órgão, o banco, a chefia, a TI) para fisgar uma senha, um código, um pagamento ou um clique. É a forma mais comum de golpe e o tema do Módulo 2.

O combinado do setor sobre como se confirma, antes de agir, um pedido de pagamento, de alteração de dados bancários, de dado de cidadão ou de acesso a sistema: quem confirma, por qual canal, em quanto tempo e o que nunca se faz por mensagem. É a atividade do Módulo 3 e a terceira parte do Meu Plano de Segurança.

Um código de barras quadrado, colado por cima do verdadeiro ou enviado numa mensagem, que leva a uma página falsa ou a um pagamento para a conta do golpista. Antes de pagar ou entrar num site por QR code, confira o endereço que aparece na tela e a origem do código (Módulo 2).

Programa malicioso que bloqueia os arquivos ou os sistemas e cobra um resgate para liberá-los. É um dos ataques mais graves contra órgãos públicos, porque para o serviço. A orientação é não pagar, não tentar resolver sozinho e avisar a TI na hora (Módulos 1 e 8).

Descobrir quem é a pessoa por trás de um dado que parecia anônimo, cruzando campos como bairro, idade, cargo e escola, ou comparando com outras bases. Em grupos pequenos, poucos campos bastam. Por isso se publicam totais e faixas (Módulo 9).

Senha longa é mais segura do que senha complicada. Uma frase-senha é uma sequência de várias palavras, fácil de lembrar e difícil de adivinhar, que só você conhece. Uma senha por serviço, nunca a mesma do e-mail pessoal, nunca anotada à vista (Módulo 4).

O serviço que a Lei de Acesso à Informação manda cada órgão manter para atender e orientar o público, informar o andamento de documentos e receber os pedidos de acesso. Costuma ser chamado pela sigla SIC (Módulo 9).

Phishing que chega por mensagem de texto no celular: "sua encomenda está retida", "seu cadastro vai ser bloqueado", "clique para regularizar". O espaço curto e o link encurtado escondem o destino. Vale a mesma regra: não clica, confirma por outro canal (Módulo 2).

Ocultar a parte protegida de um documento antes de publicá-lo ou entregá-lo. A tarja de verdade é aplicada com a ferramenta de tarjamento, que apaga o texto de baixo; o retângulo desenhado por cima esconde só para os olhos. Depois de tarjar, teste copiando e colando (Módulo 9).

A pessoa a quem os dados pessoais se referem: o cidadão atendido, o servidor na folha, o fornecedor no contrato. É quem a LGPD protege e quem precisa ser avisado quando um incidente pode causar risco ou dano relevante (Módulo 7).

O dever dos órgãos de publicar, por conta própria, informações de interesse público, como estrutura, contatos, gastos e licitações, previsto na Lei de Acesso à Informação. É bom para o cidadão e, ao mesmo tempo, matéria-prima para golpes mais convincentes: por isso você precisa saber o que está público sobre você (Módulo 1).

O dever do órgão de responder aos pedidos de acesso à informação feitos por qualquer pessoa, sem exigir o motivo. Completa a transparência ativa, que é publicar sem ninguém pedir (Módulo 9).

Quando dados saem do lugar onde deveriam ficar e chegam a quem não deveria ter acesso: por invasão, por e-mail mandado para a pessoa errada, por planilha compartilhada com link aberto, por documento esquecido na impressora. Senhas que vazaram em outros serviços são reaproveitadas pelos golpistas em novos ataques (Módulos 4, 6 e 7).

Uma segunda prova de que é você, além da senha: um código no celular, um aplicativo de autenticação ou uma chave física. Se a senha vazar, o golpista ainda não entra. É a proteção mais eficiente para as suas contas, e o curso pede que você a ative em todas as contas de trabalho que permitirem (Módulo 4).

Phishing por telefone: alguém liga dizendo ser do banco, do suporte de TI, da empresa do sistema ou de um órgão, e pede uma senha, um código ou uma ação. Um tom de voz seguro e alguns dados verdadeiros bastam para convencer. Desligue e ligue de volta pelo número oficial (Módulos 2 e 3).

Rede privada virtual: uma conexão protegida que o órgão oferece para você acessar os sistemas de fora, como de casa ou de um Wi-Fi público. Quando o seu órgão tem uma, use-a sempre que trabalhar fora da rede do órgão (Módulo 5).

A rede sem fio aberta de aeroportos, cafés, hotéis e praças. Quem controla a rede pode ver ou desviar o que passa por ela. Evite acessar sistemas do trabalho e contas importantes nessas redes; se precisar, use a VPN do órgão. Em casa, troque a senha padrão do roteador (Módulo 5).