Principais Precauções
A seguir são descritas as principais precauções em relação à segurança da informação no teletrabalho. A maioria dessas precauções também pode ser adotada no trabalho presencial:
Ative a verificação em duas etapas em todos os aplicativos, sempre que disponível.
Também denominado duplo fator de autenticação. Exemplo: 50 milhões de brasileiros já utilizam a Verificação em Duas Etapas para ampliar a segurança.
Utilize senhas fortes.
Não utilize senhas de fácil dedução contendo informações pessoais, preferências pessoais, locais, números sequenciais, sequências de teclas do teclado ou números relativos a alguma data.
Por exemplo, utilize uma palavra que não exista em qualquer dicionário, com letras minúsculas e maiúsculas, combinada com números que não sejam sequenciais, com caracteres especiais (#$&@%/\ ]{ ] } … ) e sinais de pontuação (?!:.,;).
Links relacionados:
Não divulgue sua senha a outra pessoa.
A senha divulgada pode ser armazenada em local inseguro e ser divulgada a outras pessoas de forma contínua. Ademais, eventualmente, uma senha divulgada pode demonstrar a sua lógica para a criação de senhas, a qual poderá ser utilizada para deduzir senhas em outros logins (acessos).
Defina senhas diferentes em cada cadastro e evite reutilizá-las.
Há vazamentos recorrentes em sites e aplicativos e os dados vazados, utilizados para acesso (login), são vendidos posteriormente na dark web.
Por exemplo, no site https://haveibeenpwned.com, ao digitar um e-mail utilizado em algum login, é possível verificar se a senha daquele login já foi vazada (fonte: cartilha do MEC sobre senhas).
Consulte as precauções mínimas relativas a credenciais e aplicativos no uso de smartphones e tablets em http://ufrgs.br/csi/uso-seguro-celular.
Sempre que possível, ative a opção de receber alertas de login (acesso) em redes sociais, contas do Google e Microsoft, entre outras.
Exemplos: https://www.facebook.com/help/instagram/154776793259282 e https://www.facebook.com/help/162968940433354
Na conta gov.br ative a “verificação em duas etapas” e obtenha o nível prata, no mínimo.
O ideal é obter o nível ouro na conta gov.br. Informações sobre níveis podem ser obtidas em https://www.gov.br/governodigital/pt-br/identidade/conta-gov-br.
Previna-se das principais ameaças e técnicas de engenharia social.
Exemplos: https://www.ufrgs.br/csi/docs/TJDFT_CartilhaSegurancaVirtual.pdf
Não divulgue dados pessoais sem finalidade prevista na legislação.
Na dúvida, não divulgue dados pessoais.
Em caso de dúvida, consulte as perguntas frequentes.
Os servidores, colaboradores, bolsistas e terceiros a serviço da UFRGS também podem solicitar orientações sobre proteção de dados e privacidade ao Encarregado pelo Tratamento de Dados Pessoais da UFRGS, por intermédio do e-mail etdp@ufrgs.br.
Ao receber e-mails:
- Não clique em links de um e-mail suspeito e envie-o para fraudes@ufrgs.br.
- Para identificar um e-mail falso, consulte os indicativos mencionados em http://www.ufrgs.br/tri/Documentos/mensagens-fraudulentas-phishing.
- Em caso de e-mails suspeitos de remetentes conhecidos, confirme a autoria do e-mail por outras formas de contato.
- Caso não seja o destinatário correto de um e-mail recebido, avise ao remetente e apague o e-mail.
Não armazene senhas em e-mails.
Caso a sua conta de e-mail seja invadida, as senhas armazenadas em e-mails propiciará acesso a outras contas.
As contas de e-mails têm sido alvo frequente de invasões devido, por exemplo, a:
- senhas fracas;
- computadores ou smartphones infectados com keyloggers;
- falta de antivírus ou antivírus desatualizado;
- uso de redes Wi-Fi inseguras;
- instalação de softwares piratas ou de origem não-oficial; e
- empréstimo de computadores e smartphones a usuários com menor grau de conscientização sobre as precauções necessárias.
Alternativamente, utilize um aplicativo gerenciador de senhas.
No envio de e-mails a múltiplos destinatários externos à Universidade, utilize o campo CCO para indicar os destinatários.
Não divulgue dados pessoais de contato, via campo “PARA” ou “CC”, a outros destinatários que não possuam uma atribuição funcional1 relacionada a esses dados.
Somente podem ser divulgados dados de contato de um servidor(a) fornecidos pela Universidade (ramal UFRGS e e-mail UFRGS). A divulgação de e-mail pessoal ou de número de telefone pessoal requer consentimento prévio, pois esses dados pessoais não estão sujeitos à transparência ou controle social.
Os dados pessoais de alunos(as) são de uso restrito da Universidade e devem ser tratados apenas por pessoas vinculadas à UFRGS que tenham atribuições funcionais relacionadas com os respectivos dados. Apenas pode ser divulgado publicamente o nome do aluno, curso e a situação do vínculo com a Universidade, conforme precedente da CGU (vide Decisão).
[1] atribuição funcional: atribuição relativa à função na Universidade, relativa ao trabalho inerente ao vínculo laboral com a Universidade.
Utilize o e-mail fornecido pela UFRGS para assuntos relacionados ao trabalho na UFRGS.
Plataformas “gratuitas” de e-mail não atendem a legislação vigente, quando utilizadas para assuntos institucionais. Os detalhes constam em https://www.ufrgs.br/proprivacidade/hospedagem.
No conteúdo do e-mail:
- Evite divulgar dados pessoais de terceiros por e-mail.
- Caso seja inevitável, avise aos destinatários que:
- o e-mail não deve ser encaminhado a outros destinatários que não tenham atribuição funcional relacionada com os respectivos dados; e
- caso o e-mail tenha sido recebido equivocadamente, deve ser eliminado imediatamente.
- Caso seja inevitável, avise aos destinatários que:
Utilize a VPN, o computador disponibilizado pela UFRGS e a rede da UFRGS para tratamento de dados pessoais relacionados ao trabalho.
O tratamento de dado pessoal é toda e qualquer operação com um dado pessoal (fonte: LGPD).
Na rede UFRGS, utilize o drive O:, U:, Z: ou outro drive, conforme o nível de acesso que deseja permitir, ou utilize o ChasqueBox.
Configure a VPN adequadamente para acessar o computador disponibilizado pela UFRGS.
Consulte a documentação e, se necessário, peça auxílio ao Responsável de TI da sua unidade ou departamento.
Informações sobre a configuração da VPN:
https://www.ufrgs.br/documentacaoti/category/redes/acesso-remoto/vpn-servicos
Solicitação do serviço:
https://www1.ufrgs.br/CatalogoServicos/servicos/servico?servico=3178
Detalhes sobre as atribuições dos Responsáveis de TI:
https://www.ufrgs.br/csi/docs/UFRGS-PoliticaGestaoAtivosTI.pdf
Lista de responsáveis indicados pelas unidades e departamentos:
https://www.ufrgs.br/documentacaoti/responsaveis-de-ti.
Ao compartilhar um computador pessoal com outras pessoas, utilize, no sistema operacional, um usuário diferente para cada pessoa.
A mesma precaução deve ser adotada com smartphones. Em síntese: não utilize dispositivos eletrônicos, que contenham dados pessoais, compartilhados com outras pessoas, sem distinção de usuário. Os demais usuários podem não ter o mesmo nível de conhecimento e conscientização. Além disso, os dados pessoais tratados em teletrabalho somente podem estar acessíveis às pessoas com atribuições funcionais relacionadas ao respectivo tratamento (acesso devido às necessidades das atividades relacionadas ao trabalho na UFRGS). Evite atribuir o nível de administrador a outro usuário, pois, se a conta de um usuário administrador for contaminada por um malware, as demais contas de usuário podem ser comprometidas.
Em relação a celulares/smartphones adote também as precauções indicadas em http://ufrgs.br/csi/uso-seguro-celular.
Não instale software pirata, software de procedência suspeita ou desconhecida.
O software pirata é utilizado para vários golpes virtuais. Exemplos:
https://cidadaonarede.nic.br/pt/videos/o-que-e-botnet
https://cartilha.cert.br/fasciculos/codigos-maliciosos/fasciculo-codigos-maliciosos.pdf
https://www.ufrgs.br/csi/docs/TJDFT_CartilhaSegurancaVirtual.pdf
https://canaltech.com.br/seguranca/game-de-super-mario-e-usado-para-espalhar-virus-no-windows-254112
Somente instale programas e aplicativos a partir do site do fornecedor oficial ou de outras fontes confiáveis.
Use apenas sistemas e ferramentas recomendados pela Universidade.
Em caso de dúvida sobre algum software, pergunte ao Responsável de TI da sua unidade ou departamento, ou esclareça sua dúvida por intermédio do botão “Esclarecer dúvida” em https://www1.ufrgs.br/CatalogoServicos/servicos/servico?servico=3203.
O antivírus é fundamental e deve ser mantido atualizado e em execução.
Entretanto, não é infalível, conforme motivos expostos, por exemplo, neste link. Por isso, demais precauções são necessárias.
O antivírus licenciado para computadores da UFRGS está disponível em https://www1.ufrgs.br/CatalogoServicos/servicos/servico?servico=3424.
Faça backup frequente dos computadores utilizados (computador pessoal e do computador fornecido pela UFRGS).
Não utilize HDs ou pendrives sem senha. Faça backup dos documentos de trabalho na rede UFRGS, utilizando o drive O:, U:, Z: ou outro drive, conforme o nível de acesso que deseja permitir, ou utilize o ChasqueBox. Os motivos estão indicados na página https://www.ufrgs.br/csi/faq.
Mantenha o sistema operacional e demais softwares atualizados.
As versões anteriores podem ter vulnerabilidades documentadas, que podem ser exploradas por cibercriminosos, como, por exemplo, nesta documentação. Exemplos aqui.
A data de término do suporte de versões do Windows consta aqui (pág. 3).
Não utilize sistemas operacionais obsoletos.
Consulte detalhes aqui.
Os locais de armazenamento (físicos e digitais) de dados pessoais tratados em teletrabalho somente podem estar acessíveis às pessoas com atribuições funcionais relacionadas ao respectivo acesso (acesso devido às necessidades das atividades relacionadas ao trabalho na UFRGS).
Adote a “Política de Mesa Limpa”: não deixe documentos com dados pessoais expostos no local de trabalho.
Garanta que o descarte de material com dados pessoais impossibilite a leitura ou a identificação desses dados após o descarte.
Não reaproveite papéis e dispositivos, que contenham dados pessoais, para outros fins não relacionados às finalidades iniciais.
Exemplo: não utilize relatório, com dados pessoais, como folha de rascunho.
Consulte as recomendações indicadas em http://www.ufrgs.br/tri/seguranca-em-salas-de-webconferencia.
Configure a rede doméstica com senha forte e modo WPA2 (AES) ou WPA3.
Consulte as precauções indicadas em https://cartilha.cert.br/fasciculos/redes/fasciculo-redes.pdf.
Evite usar redes Wi-Fi públicas.
Evite principalmente em caso de login em aplicativos, sistemas ou sites. Se for inevitável, consulte as precauções indicadas em https://www.gov.br/gsi/pt-br/composicao/SSIC/dsic/boletim-informativo-mensal/boletim-informativo-n-19.pdf.
Conheça as obrigações legais da sua função para evitar responsabilizações.
“São deveres fundamentais do servidor público: manter-se atualizado com as instruções, as normas de serviço e a legislação pertinentes ao órgão onde exerce suas funções. ” (Decreto nº 1.171/1994, XIV, q)
Por exemplo, a EDUFRGS disponibilzou o curso:
“Segurança da Informação, LGPD, LAI e IA na UFRGS: Riscos e Precauções Fundamentais ”
O CSI e o PROPRIVACIDADE disponibilizaram trilhas de aprendizagem em:
Elabore um Relatório de Impacto à Proteção de Dados Pessoais quando obrigatório
Vide situações de obrigatoriedade na Resolução CSI nº 3/2024.
Em uma situação de divulgação indevida de dados (vazamento de dados) avise o Time de Resposta a Incidentes (tri@ufrgs.br).
Detalhes constam na Política de Tratamento de Incidentes de Segurança da Informação.
Sugere-se consulta também à Cartilha sobre Precauções com Dados Pessoais.
Em caso de extravio de dispositivo, que contenha dados pessoais de pessoas vinculadas à UFRGS ou com dados da Universidade, avise o Time de Resposta a Incidentes (tri@ufrgs.br).
Em caso de dúvida:
Os servidores, colaboradores, bolsistas e terceiros a serviço da UFRGS podem solicitar orientações sobre segurança da informação por intermédio do e-mail csiufrgs@ufrgs.br. Dúvidas sobre proteção de dados e privacidade podem ser encaminhadas ao e-mail etdp@ufrgs.br.
Sugestões de precauções podem ser enviadas para csiufrgs@ufrgs.br.
Precauções adicionais podem ser encontradas em:
- Perguntas Frequentes sobre Segurança da Informação:
https://www.ufrgs.br/csi/faq
- Perguntas Frequentes sobre Proteção de Dados Pessoais e Privacidade:
https://www.ufrgs.br/proprivacidade/faq
Sugere-se também a participação nos cursos indicados em https://www.ufrgs.br/csi/cursos.
- Precauções para datacenters em unidades da Universidade (elaborar um RIPD para os processos desses datacenters também é fundamental).