Conformidade da segurança dos dados com a Lei de Proteção de Informações Pessoais no Japão

Resumo da norma

A Lei de Proteção de Informações Pessoais (APPI) — n.º 57 de 2003 é a legislação primária que se aplica à recolha e tratamento de dados pessoais; esta lei foi revista em 2017 e 2022, respetivamente.

A APPI criou a Comissão de Proteção de Informações Pessoais (CPP, Personal Information Protection Commission), uma entidade reguladora que pode emitir diretrizes sobre a aplicação e interpretação da Lei e dos seus requisitos. 

A PPC publicou diretrizes práticas para a APPI – Regras Gerais, com os seguintes 10 capítulos:

• Capítulo 1: Objetivo e âmbito de aplicação
• Capítulo 2: Definição
• Capítulo 3: Obrigações dos operadores de empresas que tratam informações pessoais
• Capítulo 4: Abordagem das recomendações, ordens e ordens de emergência
• Capítulo 5: Isenções
• Capítulo 6: Disposições especiais de aplicação
• Capítulo 7: Responsabilidades das instituições de investigação académica
• Capítulo 8: Aplicação extraterritorial
• Capítulo 9: Revisão das diretrizes
• Capítulo 10: Pormenores das medidas de controlo de segurança a implementar

As organizações sediadas no Japão devem cumprir os requisitos da APPI quando tratam os dados pessoais dos titulares dos dados. Se for uma organização estrangeira, estará sujeita ao APPI se preencher os três critérios seguintes:

• Âmbito pessoal: a APPI aplica-se se a sua organização tratar as informações pessoais de titulares de dados japoneses.
• Âmbito territorial: se recolher os dados pessoais de um titular de dados para efeitos de prestação dos seus produtos e serviços e tratar os dados pessoais de titulares de dados num país estrangeiro, estará sujeito aos requisitos da APPI. 
• Âmbito de aplicação material: a APPI aplica-se ao "tratamento" de dados pessoais. O tratamento refere-se à recolha, conservação, utilização, transferência e outro tipo de tratamento de informações pessoais.

A Thales ajuda as organizações japonesas a cumprir a Lei de Proteção de Informações Pessoais, ao abordar os requisitos essenciais de proteção de informações pessoais com encriptação avançada e gestão de chaves para os requisitos abaixo.

Requisito: Capítulo 2-1: Informações pessoais; Capítulo 3-5-3-1: Situações a comunicar e Capítulo 10-3: Medidas de gestão da segurança da organização

A encriptação e a tokenização podem proteger com êxito dados confidenciais, como informações pessoais, mas as próprias chaves criptográficas devem ser protegidas, geridas e controladas pela organização para aumentar ainda mais a segurança dos dados.

Proteger dados confidenciais

• A organização pode proteger dados confidenciais com o CipherTrust Tokenization que fornece recursos abrangentes de segurança de dados, incluindo encriptação ao nível dos ficheiros com controlos de acesso, encriptação ao nível das aplicações, encriptação de bases de dados, mascaramento de dados estáticos, tokenização "vaultless" com mascaramento dinâmico de dados baseado em políticas e tokenização "vaulted" para suportar uma vasta gama de casos de utilização de proteção de dados. O CipherTrust Transparent Encryption (CTE) fornece encriptação de dados em repouso com gestão centralizada de chaves, controlo de acesso de utilizadores com privilégios e registo detalhado de auditoria de acesso a dados. Isto protege os dados onde quer que estes residam, no local, em várias nuvens e em ambientes de grandes volumes de dados e repositórios.

Controlo:

• O regulamento exige que as organizações sejam capazes de monitorizar, detetar, controlar e comunicar o acesso autorizado e não autorizado a dados e chaves de encriptação. As empresas podem controlar o acesso aos seus dados e centralizar a gestão de chaves com o CipherTrust Manager, CipherTrust Cloud Key Management (CCKM) e a CipherTrust Data Security Platform para uma forte separação de funções e para aplicar políticas de gestão de acesso muito granulares e de utilizadores menos privilegiados.

Requisito: Capítulo 10-6: Medidas técnicas de controlo da segurança

A encriptação de rede pode proteger os dados em movimento e a solução de proteção contra ransomware ajuda as organizações a detetar ataques informáticos e a proteger dados confidenciais.

• Os High Speed Encryptors (HSE) da Thales fornecem encriptação de dados em movimento independente da rede (camadas 2, 3 e 4), garantindo que os dados estão seguros à medida que se deslocam de um local para outro ou do local para a nuvem e vice-versa.
• O CipherTrust Transparent Encryption Ransomware Protection (CTE-RWP) fornece uma forma não intrusiva de proteger ficheiros/pastas contra ataques de ransomware. Monitoriza de forma contínua os processos no que diz respeito a atividades anormais de E/S e alerta ou bloqueia a atividade maliciosa antes que o ransomware se possa apoderar completamente dos seus terminais e servidores.