Agora é crime
Desde a zero hora de 2 de abril de 2013, é crime “invadir dispositivo informático alheio”. Até 1º de abril de 2013 às 24h não era crime. Porém, a Lei 12.737/2012 é bem explícita quando indica “mediante violação indevida de mecanismo de segurança”. Isto significa que organizações e pessoas precisam implantar mecanismo de segurança. Mas o que seria mecanismo de segurança? Simples: qualquer controle, qualquer ação que indique ou impeça o acesso indevido. Quer dizer, não dá para o (potencial) criminoso dizer: “Eu não sabia que não podia entrar! Não tem nada impedindo nem informando!”
O gestor organizacional, o executivo ou o dono da informação deve exercer suas funções com “cuidado e diligência que todo homem ativo e probo costuma empregar na administração de seus próprios negócios”, de acordo com o Código Civil, Artigo 1.011.
Mas, para uma organização parece confuso. Que medidas deveria implantar? Novamente simples. Há vários anos, existe a Norma internacional ISO/IEC, que foi publicada no Brasil pela ABNT como NBR ISO/IEC 27002:2005 – Tecnologia da informação – Técnicas de segurança – Código de prática para a gestão da segurança da informação.
Em resumo, a organização precisa ter um Processo Organizacional de Segurança da Informação, sob risco de seus administradores serem acusados de negligência profissional.
Independentemente de seu porte e do seu tipo de negócio, cada organização têm condições de ter um processo estruturado de segurança da informação. Evidentemente, a rigidez da implementação dos controles será diferente para cada tipo de organização. Mas todos os controles existirão. Desde um escritório de um profissional autônomo, que ele próprio leva a cópia de segurança para casa, até uma grande corporação que possui cópias de segurança em vários locais a quilômetros de distância.
Como pessoas, precisamos ter mais cuidado e também colocar mecanismos de proteção. Exemplo: senha no celular. Se você não tiver uma senha na entrada do celular, caso outra pessoa acesse as suas informações, pela Lei, ela não estará cometendo crime ao entrar. Se tiver uma senha e esta pessoa conseguir quebrar ou adivinhar a senha, estará cometendo o crime de invadir dispositivo informático.
A Lei está longe de ser perfeita. Os operadores do Direito têm várias críticas e muito bem fundamentadas. Mas, é a Lei existente.
Rigorosamente, as organizações já deveriam ter proteção da informação antes da lei. Afinal, proteção da informação é para evitar situações que prejudiquem a organização pelo mau uso, pelo erro ou pela má fé de pessoas. Depois de o impacto ter acontecido, a organização já sofreu. A Lei permite uma culpabilidade, uma penalização. Mas, o que queremos é que as organizações (e as pessoas) protejam as suas informações.
A propósito, sua organização tem um Processo de Segurança da Informação para o ambiente de tecnologia e para o ambiente convencional (pessoas, lixo, papel, e similar)?
*Edison Fontes. Mestre em Tecnologia. Possui as certificações internacionais de CISM, CISA e CRISC. É consultor, gestor e professor de Segurança da Informação dos cursos de pós-graduação da FIAP. Compartilha seu conhecimento como colunista do site Information Week. Autor dos livros: Políticas e Normas para a Segurança da Informação (Editora Brasport), Clicando com Segurança (Editora Brasport), Praticando a Segurança da Informação (Editora Brasport), Segurança da Informação: o usuário faz a diferença! (Editora Saraiva) e Vivendo a Segurança da Informação (Editora Sicurezza). Atua na área de Segurança da Informação desde 1989.
