GDPR obriga passwords de 9 caracteres em Portugal e backups offsite

Já foi publicado em Diário da República algumas das obrigatoriedades a nível técnico que terão que ser cumpridas em Portugal a propósito do novo Regulamento Geral de Protecção de Dados - RGPD / GDPR e encontram-se por lá algumas coisas curiosas.

A Resolução do Conselho de Ministros n.o 41/2018 especifica um conjunto de medidas a seguir, umas de carácter obrigatório, outras como recomendação, que deverão ser tomadas em consideração pelos developers.

Para começar, e fazendo total sentido nos dias que correm, passa a ser obrigatório a utilização de comunicações seguras a todos os níveis: interface, app (referindo-se a toda a parte operacional) e bases de dados. Isto é algo que qualquer app ou serviço já deveria fazer por sua própria iniciativa, mas que assim passa a ter que ser feita, obrigatoriamente.

A nível das passwords, a obrigatoriedade de usar passwords seguras vai ao ponto de especificar em detalhe o que deverá ser exigido:

"... a palavra-passe deve ter no mínimo 9 caracteres (13 caracteres para utilizadores com acesso privilegiado) e ser complexa. A sua composição deverá exigir a inclusão de 3 dos 4 seguintes conjuntos de caracteres: letras minúsculas (a...z), letras maiúsculas (A...Z), números (0...9) e caracteres especiais (~ ! @ # $ % ^ & * ( ) _ + | ` - = \ { } [ ] : “ ; ‘ < > ? , . /). Poderá, em alternativa, ser constituída por frases ou excertos de texto longo conhecidos pelo utilizador, sem caracter de «espaço»."

... Parece-me curioso que façam tantas exigências e depois no final digam que não se pode utilizar o "espaço", mas pronto... confirma-se que preferem apostar na "quantidade" em vez da "qualidade". Não é feita nenhuma referência quanto a desincentivar a utilização de passwords do estilo "Abc123456" ou "Aaaaaaaa1", o que também deveria ter sido, no mínimo, recomendado.

O que é recomendado é que se utilize um sistema de autenticação 2-factor, que passa a ser obrigatório para os administradores.


Garantir que os dados não desaparecem é outra das preocupações, passando a ser obrigatória a existência de backups online e offsite.

Devem existir dois tipos de backups (online e offsite), que devem obedecer aos mesmos requisitos de segurança definidos para os sistemas produtivos.
Os backups offsite devem ser guardados numa localização que não esteja exposta aos mesmos riscos exteriores da localização original, podendo ser da organização mas geograficamente distinta e/ou afastada.

Estes são apenas alguns dos pontos que me pareceram mais marcantes numa primeira leitura rápida destas novas exigências por conta do RGPD... mas certamente existirão outros; podem deixar nos comentários aqueles que acharem pertinentes. :)