Internet deve garantir disponibilidade e integridade. Sigilo é para aplicação!

A Internet, o conjunto de sua estrutura e de seus componentes devem garantir obrigatoriamente para os usuários a integridade da informação e a disponibilidade do serviço. O sigilo da informação deve ser providenciado pelas aplicações e pelos responsáveis de conteúdo. Se você envia um email sem criptografia não pode exigir que a rede garanta a confidencialidade.

Com a divulgação das informações do Analista da NSA dos Estados Unidos, Edward Snowden, mostrando para os leigos que existe espionagem do Grande Irmão americano, muitos governantes querem exigir regras de confidencialidade para a Internet. Estes comentários têm mais o objetivo de impressionar o público interno de cada país do que uma vontade verdadeira de luta pela verdade, justiça, transparência e privacidade. Mas não deixa de ser uma preocupação válida e com respingos na política externa. Evidentemente, o fato de informações de pessoas circularem sem proteção adequada, não dá o direito de um país estrangeiro espionar estas informações.

Porém, é preciso colocar as responsabilidades de maneira bem definida. A Internet foi desenvolvida com o objetivo de troca de informações e isto ela cumpre muito bem até hoje, mesmo após o seu (necessário) uso comercial. A Internet precisa garantir a integridade da informação, isto é, aquilo que foi colocado na rede deve chegar no seu destinatário de maneira correta, sem estar corrompida. Outra obrigação da Internet é estar disponível para a sua utilização.

A confidencialidade, o sigilo da informação, precisa ser fornecida pelo serviço, tipo correio eletrônico. Não deve nunca ser a rede que garanta o sigilo da informação enviada por um email. Quer ter sigilo? Use a criptografia de dados. É uma aplicação comercial? As boas soluções existentes no mercado darão um padrão de sigilo para informação adequado. Trata-se de um país, de um Estado (nação politicamente organizado)? Entendo que não é adequado utilizar soluções de criptografia comerciais. Principalmente de países onde a legislação praticamente permite que órgãos de segurança abram para o governo suas “portas de fundo” para a quebra de sigilo. Para um Estado, deve-se desenvolver uma tecnologia própria de criptografia compatível com a informação que se deseja proteger.

Além do mais, não basta se preocupar com a espionagem de outros países quando a mensagem passa por eles. E internamente no Brasil, como fica o sigilo nos provedores de acesso? Por isso, a rede e os elementos que possibilitam o seu funcionamento devem garantir a integridade da informação e a disponibilidade do serviço. O sigilo é por “conta do freguês”.

Mas, o freguês, que pode ser Estado ou Organização, precisa dizer como quer a sua segurança, descrevendo as suas políticas e normas de segurança da informação. E muita organização não as tem, ou se tem é apenas para cumprir alguma regulamentação ou auditoria.

Cada organização e cada Estado têm a segurança que merecem. Ou melhor, a segurança que decidem ter.

*Edison Fontes. Mestre em Tecnologia, possui as certificações internacionais de CISM, CISA e CRISC. É consultor, gestor e professor de Segurança da Informação dos cursos de pós-graduação da FIAP. Compartilha seu conhecimento como colunista do site Information Week. Autor dos livros: Políticas e Normas para a Segurança da Informação (Editora Brasport), Clicando com Segurança (Editora Brasport), Praticando a Segurança da Informação (Editora Brasport), Segurança da Informação: o usuário faz a diferença! (Editora Saraiva) e Vivendo a Segurança da Informação (Editora Sicurezza). Atua na área de Segurança da Informação desde 1989.