Salesforce Security 101: O que é Conformidade com PII?

A sua organização Salesforce armazena algumas das informações mais sensíveis dos seus clientes e potenciais clientes. Essas informações sensíveis, também conhecidas como informações pessoais identificáveis (PII), são o cerne das suas operações de vendas e marketing — mas também podem levar a grandes preocupações com a segurança.

Infelizmente, basta uma única violação de segurança para que seus clientes percam a confiança em sua empresa — e para que seu negócio sofra como resultado. A falha em proteger as informações pessoais identificáveis leva a pesadas multas regulatórias e processos judiciais, e ainda pior, pode causar danos irreparáveis ao seu negócio.

Neste post, estamos detalhando o que exatamente é PII e como manter a segurança e a conformidade enquanto continua a executar operações de receita eficazes.

O que é PII?

Informações pessoais identificáveis são quaisquer dados que podem ser usados para identificar diretamente um indivíduo específico. Inclui, obviamente, o primeiro e último nome de uma pessoa, endereço de email, número de seguro social, número de telefone ou endereço — mas também coisas mais obscuras como endereços IP.

Existem dois tipos de PII: sensível e não sensível. PII não sensível é geralmente qualquer coisa no registro público, como um endereço ou número de telefone comercial. PII sensível, por outro lado, inclui coisas como números de conta bancária, informações de passaporte ou detalhes de cartão de crédito — dados que são tipicamente protegidos por quadros legais ou regulatórios de privacidade.

O que é conformidade com PII?

Existem diversos padrões regulatórios que regem a conformidade com PII. Alguns deles afetam apenas organizações sediadas em um país/região específico; outros, como o GDRP da UE, afetam qualquer negócio que opere naquela região. Aqui está um resumo de algumas das regulamentações que estão mais comumente no escopo para empresas norte-americanas:

• GDPR. O Regulamento Geral sobre a Proteção de Dados é um quadro regulatório que se concentra na proteção de dados na UE (União Europeia) e no EEE (Espaço Económico Europeu). Entre outras coisas, o GDPR aborda o uso indevido e a exploração de dados dos consumidores. As multas por violação desses requisitos de conformidade com PII são algumas das mais altas do mundo, chegando a 20 milhões de euros.
• CCPA. The California Consumer Privacy Act (CCPA) is the first of its kind in the US. The CCPA provides California residents with the ability to control how businesses process their personal information. Businesses will now have to honor requests from California residents to access, delete, and opt out of sharing or selling their information.
• GLBA. A Lei Gramm-Leach Bliley é um marco regulatório dos Estados Unidos que se concentra em como as instituições financeiras protegem e compartilham dados sensíveis de seus clientes. O GLBA exige que as instituições se comuniquem com os consumidores sobre como seus dados estão sendo utilizados e ofereçam a eles a opção de não participar do compartilhamento de dados.
• PCI DSS. The Payment Card Industry Data Security Standard specifies information security standards for companies that work with credit card information. This law requires all companies working with credit card information to maintain cybersecurity through the use of firewalls, encryption, regular updates, access restrictions, etc. Learn how to leverage File Integrity Monitoring for PCI DSS here.
• HIPAA. A Lei de Portabilidade e Responsabilidade de Seguros de Saúde é um padrão de conformidade bem conhecido que visa proteger as informações sensíveis dos pacientes, também conhecidas como informações de saúde protegidas (PHI). A HIPAA exige que os prestadores de serviços de saúde e outras empresas que trabalham com PHI tenham medidas de redundância e segurança adequadas, com requisitos específicos em torno de coisas como acesso físico e online, transferência de dados e auditorias regulares.

A nova configuração de segurança de PII do Salesforce

Para garantir a segurança dos consumidores, a Salesforce introduziu uma nova configuração de segurança em sua versão Winter ‘22 chamada Enhanced Personal Information Management permission. Esta permissão restringe usuários externos de visualizar informações pessoais nos seus registros de usuário. Por padrão, este novo recurso permite que você escolha até 20 campos para proteger, definindo a categoria de conformidade de cada campo como “PersonalInfo”. Os administradores podem escolher quais campos são considerados informações pessoais — e uma vez que um campo é definido como “PersonalInfo”, ele será ocultado de outros usuários externos.

Para instruções sobre como configurar esta nova permissão, clique aqui.

Protecting PII

Proteger PII vai muito além do escopo do Salesforce. Abrange controles técnicos e físicos e geralmente depende das especificidades das organizações — como elas funcionam, com o que trabalham e a quais requisitos de conformidade estão sujeitas. Dito isso, algumas práticas recomendadas gerais para proteger PII incluem:

• Localizando todas as informações sensíveis no seu sistema
• Utilizing data classification to accurately identify and categorize the types of information in your system. We have a post walking you through data classification here.
• Excluindo ou arquivando qualquer informação sensível que não seja mais necessária ou esteja em uso
• Usando criptografia (esta pode ser a mais importante!)
• Implementando processos adequados de desligamento para funcionários
• Identificar e eliminar quaisquer erros de permissão
• Minimizando a coleta de dados

O Custo de um Vazamento de Dados

Como mencionamos, as informações dos clientes são alguns dos dados mais críticos com os quais sua empresa trabalha — mas também são os mais vulneráveis. Em 2018, PII representou 97% das violações de segurança, levando a consequências financeiras significativas para as empresas afetadas.

O Cost of a Data Breach Report da IBM afirma que o custo médio de um vazamento de PII em 2020 foi de 3,86 milhões de dólares — um número que salta para 7,13 milhões para a indústria da saúde. Para colocar esses números em contexto, vazamentos de dados de PII normalmente custam a uma organização 150 dólares por registro; quanto mais dados de clientes você armazena, mais vulnerável você está.

Com tudo isso dito, é crítico para as organizações conhecerem a importância de proteger PII no Salesforce. As técnicas de proteção de dados acima vão colocá-lo no caminho certo — mas se você armazena muitos dados no seu Salesforce Org (ou qualquer aplicação empresarial), você deve considerar investir em um data security software para ajudá-lo a proteger eficazmente o seu PII enquanto também monitora ameaças à segurança.

Entre em contato com a Netwrix para saber como nossas ferramentas de segurança de dados podem ajudá-lo a começar.