Dilma x Obama: as lições para as organizações

Desde julho deste ano, um assunto continua na mídia: a possível espionagem do governo dos Estados Unidos, utilizando a sua poderosa agência NSA, em relação às informações do Governo do Brasil, inclusive mensagens de correio eletrônico da presidente Dilma.

Muita coisa precisa ser esclarecida e também precisamos estar cientes que muitos fatos são ações do teatro político que todos os governos executam.

O debate sobre o fato em si e suas implicações devem ser examinados e discutidos. Porém, gostaria de extrair desta situação o que as organizações podem aprender em relação à segurança da informação.

1. A segurança precisa ser proativa.

Considerando as notícias publicadas na mídia, o governo brasileiro e mais especificamente a Presidência da República somente ficou sabendo da espionagem após uma reportagem do Programa Fantástico da Rede Globo de Televisão. Se sua organização for saber da espionagem que sofre por um programa da TV, tenha certeza: sua organização está muito frágil em segurança da informação. Provavelmente, nem exista na sua organização um Processo Corporativo de Segurança da Informação. Seja proativo e implante (ou melhore) o Processo Corporativo de Segurança da Informação.

2. Os parceiros também são nossos concorrentes

Aparentemente, a espionagem do Governo Americano em relação aos dados brasileiros não é uma espionagem de guerra. Trata-se de uma espionagem econômica. Os Estados Unidos são um grande parceiro comercial do Brasil. Mas, também é nosso concorrente. Nas organizações acontece a mesma situação. Precisamos ter parceiros, mas precisamos tratar o assunto “segurança da informação” com estes parceiros com seriedade e rigidez. Precisamos tratar da segurança da informação de maneira séria e com competência.

3. Devemos cuidar do ambiente externo sem esquecer o ambiente interno

Evidentemente, quando acontece uma situação dessas do Governo Americano e do Governo Brasileiro, é notícia, cria discussão e gera muito barulho. Porém, se quisermos proteger efetivamente a informação, precisamos cuidar desta informação internamente. Por exemplo: a maioria das organizações brasileiras circulam mensagens de correio eletrônico pela Internet sem que elas estejam criptografadas. Isto significa que espionar as mensagens de organizações brasileiras no ambiente interno do Brasil é relativamente fácil. Não é necessário quebrar códigos criptográficos.

4. É necessária a existência de regulamentos

Outra questão é a falta de regras/regulamentos (políticas e normas) que a maioria das organizações brasileiras não possue. Como se pode proteger ou estruturar um processo de segurança da informação em uma organização se não existem regras? Voltando ao caso do governo brasileiro, o Estado brasileiro ainda precisa de algumas leis. Recentemente o TSE iria liberar informações de cidadãos brasileiros para uma empresa comercial americana que atua no Brasil e não se poderia garantir que aqueles dados não seriam enviados para fora do país. Graças à reportagem do Jornal O Estado de São Paulo o assunto veio à tona e o próprio TSE voltou atrás e não liberou as informações, segundo a mídia.

5. Precisamos proteger as nossas informações

Evidentemente uma espionagem é um ato de ofensa a um país ou a uma organização. Mas não temos poder sobre outros países e sobre outras organizações. Podemos e devemos ter acordos e ações similares. Porém, o que realmente precisa ser feito é cada organização tratar de proteger as suas informações. Cada empresa precisa implantar e manter os controles de segurança da informação compatíveis com o seu negócio e com o seu porte.

Não espere sua organização sair na mídia para serem tomadas as medidas profissionais para uma efetiva proteção da informação.

*Edison Fontes. Mestre em Tecnologia, possui as certificações internacionais de CISM, CISA e CRISC. É consultor, gestor e professor de Segurança da Informação dos cursos de pós-graduação da FIAP. Compartilha seu conhecimento como colunista do site Information Week. Autor dos livros: Políticas e Normas para a Segurança da Informação (Editora Brasport), Clicando com Segurança (Editora Brasport), Praticando a Segurança da Informação (Editora Brasport), Segurança da Informação: o usuário faz a diferença! (Editora Saraiva) e Vivendo a Segurança da Informação (Editora Sicurezza). Atua na área de Segurança da Informação desde 1989.