Segurança da informação: o que é, riscos e como proteger

Segurança da informação é a forma como um conjunto de informações é gerenciado para garantir sua confidencialidade, integridade, disponibilidade e autenticidade a fim de preservar o seu valor para um indivíduo ou uma organização.

Para explicar a importância desse assunto para os nossos dias, volto novamente para discussões corriqueiras que temos em nossas rotinas: Como o WhatsApp ganha dinheiro se não tem cobrança?

Vamos pensar nas seguintes situações:

1. Você está navegando na internet para procurar alguma informação para o seu trabalho, acha algo que pode ser legal, mas para ter acesso ao conteúdo completo, você precisa colocar seus dados pessoais.
2. Você entra em um local para almoçar e para ter acesso ao wi-fi, precisa colocar seus dados pessoais em uma rede pública.
3. No seu trabalho, você fica com as suas sessões pessoais de busca salvas em seu computador, que está visível em uma rede pública, compartilhada.
4. Ao fazer uma compra em qualquer site de compras, você coloca além de todos os seus dados, as informações completas do seu cartão de crédito, inclusive o código de segurança.

Bom, qualquer pessoa que está lendo esse texto, provavelmente já passou por alguma das situações acima. E a pergunta que fica é: Alguma vez você já se questionou o que acontece com esses dados todos que deixamos de mão beijada na rede?

Você nunca ficou com medo de colocar essas informações em algum lugar, afinal, quem nunca ouviu falar que a internet é terra de ninguém. Pois bem, se essas questões já passaram na sua cabeça, eu tenho uma boa notícia para você:

O mercado também pensou muito nos últimos anos e várias ações estão em curso para deixar a nossa internet e a relação de dados mais transparente e segura, então vamos entender um pouco o que está acontecendo no mundo e qual é a nossa relação com essas mudanças.

Porque não existe nada mais valioso hoje no mundo do que dados.

Vamos relembrar o caso do Facebook com a Cambridge Analytica, que a violação dos dados dos usuários resultou em uma multa de 5 bilhões de dólares e mais um grande processo para as empresas que ainda está em andamento.

Nessa história conseguimos entender claramente a importância de estabelecer um processo de segurança da informação, pois se esses critérios indicados acima estivessem definidos, aplicados e gerenciados, essa violação não seria possível.

Como o mercado está reagindo a essa necessidade de Segurança da Informação?

De olho em todas as transformações que estão acontecendo no mundo e com base nos recentes escândalos de violação de dados, a União Europeia publicou em 2018 uma lei chamada RGPD (Regulamento Geral sobre a Proteção de Dados) que regulamenta a privacidade, proteção e exportação de dados pessoais, sendo aplicável a todos os indivíduos na União Europeia e Espaço Econômico Europeu.

A partir dessa discussão na União Europeia, outros mercados também criaram as suas próprias especificações, como foi o caso do Brasil, que instituiu o LGPD (Lei Geral de Proteção de Dados), com publicação também em 2018 e com prazo de adequação pelas empresas até 29 de dezembro de 2020.

O que muda na prática para as empresas?

O LGPD é aplicável a todas as empresas que armazenam dados de usuários (ou seja... todo mundo, pois mesmo que não tenham dados de clientes, existem dados de funcionários que precisam ser controlados ?).

O texto da lei determina que todos os dados pessoais (informação relacionada à pessoa natural identificada ou identificável, como nome, idade, estado civil, documentos) só podem ser coletados e tratados mediante o consentimento do usuário sob pena de multa em caso de descumprimento da legislação.

Então, na prática, a empresa deve identificar em todos os seus processos internos como é a coleta, classificação, utilização, acesso, reprodução, transmissão, distribuição, arquivamento, armazenamento e eliminação de informações ao longo do processamento das suas atividades, ou seja, a empresa precisa definir um método para assegurar a segurança das informações dos usuários.

É aí que entra a ISO 27001...

A ISO 27001 é a norma internacional que estabelece justamente o padrão (ou o método) para a segurança da informação da empresa. E o que é mais legal é que a norma estabelece esse padrão não só para as informações dos usuários, que é o objeto do LGPD, mas olha também como são aplicados os atributos de segurança para todas as informações relevantes da empresa.

Por exemplo... você já parou para pensar o risco que a empresa corre ao liberar sem nenhum critério o acesso ao e-mail corporativo em dispositivos móveis particulares? Se esse dispositivo for perdido, o que acontecerá com informações muitas vezes confidenciais da empresa?

Assim como o exemplo acima, quantas falhas de segurança da informação presenciamos o dia inteiro na rotina da empresa por não pensarmos nos riscos envolvidos nessas liberações?

É por isso que ao ter a necessidade de olhar de forma criteriosa para os dados dos usuários para atendimento a uma legislação, por que não já olhar para a segurança da nossa empresa também?

Afinal, os nossos dados pessoais também estão coletados e é importante saber como eles são gerenciados, certo?

Aliás, esse é o nosso papel enquanto usuários de forma geral, pois esse assunto é muito relevante e diz respeito a todos nós, usuários, em qualquer grau de status digital. Não podemos mais ouvir que a internet é terra de ninguém e é o nosso papel cobrar que as instituições que fazemos parte estejam adequadas com essas exigências. Legal, né!

Contamos com todos nessa empreitada.

O que é informação?

Antes de começarmos a falar de segurança de informação ou ISO 27001, é importante que fique muito claro o que significa informação no contexto de negócios.

Para compreender melhor o significado de uma palavra é importante recorrer ao estudo da etimologia, pois isso nos traz uma clareza sobre significado original e sua evolução para os tempos atuais. Sendo assim, a palavra “Informação” tem a sua origem no latim “INFORMARE”, que significa ‘dar forma, modelar’.

O vocábulo latino, por sua vez, é formado pelo prefixo “in” mais o radical “formare”, de ‘formar’. Daí têm-se a acepção de ‘formar uma ideia de alguma coisa’, que mais tarde passou a ser ‘descrever’ e depois generalizou-se o uso de ‘contar algo a alguém sobre determinada coisa’.

Essa definição é especial porque em termos práticos a informação é justamente isso, um conjunto de dados e conhecimentos organizados, que nos contam algo, permitindo que possamos tomar decisões a partir de tal informação.

É por isso que informação se tornou o bem mais valioso em nossa era, conhecida como a era da informação.

As gigantes do mercado Apple, Google, Microsoft, Amazon e Facebook (as Top 5 em valor de mercado) há tempos veem percebendo isso, e trabalham incansavelmente no desenvolvimento de ferramentas de inteligência artificial, capazes de observar o comportamento de compras dos consumidores e realizar sugestões como base nesse perfil, dentre muitas outras estratégias.

Mas não é só na galáxia dessas grandes empresas que a informação é um bem precioso. A utilização de ferramentas de Inteligência Artificial tem se tornado cada vez mais comum em empresas de pequeno e médio porte por uma questão de estratégia empresarial.

Podemos assegurar isso com uma pequena busca de vagas no Linkedin para Analista de Dados ou Cientista de Dadose afins. Isso porque as empresas estão percebendo como é valioso extrair informações dos dados que elas geram ou coletar dados de maneira inteligente para que possam extrair as informações estratégicas para o negócio.

E nessa era que vivemos o que se espera de uma empresa competitiva é: que seus dados sejam capazes de retroalimentar o seu planejamento estratégico, que contem uma história e que ajude a empresa a decidir os próximos passos.

Se você não utiliza os dados para essa finalidade, você está tomando decisões sem estar informado e deixando de utilizar o bem mais precioso dessa nova era.

O que é segurança da informação?

Sendo a informação reconhecida como o bem mais precioso dessa era, sendo inclusive chamado de o ‘novo petróleo’, é evidente que precisamos protegê-la, certo? Mas protegê-la de quem, ou do quê?

Antes de avançarmos com os conceitos de segurança da informação vamos fazer algumas reflexões:

“Imagine que organizou os dados de anos de atendimento da sua empresa para extrair informações que foram essenciais para determinar o desenvolvimento de um novo produto, que será o novo carro chefe da empresa, e para qual farão grandes investimentos”.

Qual seria o controle que entenderia como sendo fundamental para evitar que essas informações sejam vazadas para um concorrente?

Certamente, essa é uma informação que deveria estar restrita somente aos envolvidos no projeto. Estamos falando aqui de confidencialidade. Então, se eventualmente essa informação vazar o primeiro pilar da segurança da informação estaria derrubado.

“Agora imagine que estas mesmas informações foram extraídas de um banco de dados inválido, fazendo com que as decisões estratégicas não estivessem alinhadas a necessidade real do mercado, seja porque, os dados não eram atualizados, ou porque foram incorretamente manipulados de maneira não intencional”.

Nesse caso estamos falando sobre a integridade, que é o segundo pilar da segurança da informação. Ou seja, as decisões foram tomadas com base em informações não íntegras.

“E por fim, vamos pensar que a empresa sequer foi capaz de lançar o produto antes do concorrente, pois uma pessoa chave na empresa, que detinha conhecimento e informações cruciais para a finalização do projeto se desligou, fazendo com que a empresa levasse tempo para reorganizar as informações e dar continuidade no projeto”.

Aqui, estamos falando sobre disponibilidade, ou o terceiro pilar da segurança da informação.

Com essas abordagens práticas fica mais fácil compreender que garantir a segurança da informação, em termos genéricos, é protegê-la de vazamentos e divulgações não autorizados, protegê-la de forma que permaneça sempre íntegra para que as informações possam ser confiáveis e protegê-la para que esteja sempre disponível quando necessário.

Jason Andress, em seu livro, The basics of information security, define segurança da informação como “metodologias e práticas que visam proteção das informações e dos sistemas de informações visando todos esses pilares, confidencialidade, integridade e disponibilidade”.

Quais empresas devem investir em segurança da informação?

Com a criação da LGPD (Lei Geral de Proteção de Dados), todas as empresas precisarão disponibilizar ou direcionar recursos para a implantação de práticas e controles que visam a garantir a segurança da informação.

Mas, muito além do atendimento de questões legais, todas as empresas que compreendem a importância dos ativos de informações que possuem, irão buscar formas de garantir que estas informações estejam seguras sobre a ótica dos pilares da segurança de informação, garantido que as informações estejam disponíveis para a tomada de decisão, que estejam íntegras para assegurar decisões assertivas ao negócio, e que estejam confidenciadas somente a quem é de direito.

Por que investir em segurança da informação?

Não foram apenas as empresas que perceberam a informação como um ativo valioso. O número crescente de ataques cibernéticos, que teve ainda um aumento drástico durante a pandemia, demonstra o interesse de criminosos por esse tipo de crime.

De acordo com o relatório da Multinacional Trend Micro, empresa especializada em desenvolvimento de softwares de segurança corporativa para servidores, aponta o Brasil como o segundo país com mais ataques de ransomwares (aqueles em que os criminosos cobram valor para o resgate das informações) em 2020 em todo o mundo.

Com isso, vemos que as ameaças existem e estão cada vez mais sofisticadas, por isso a empresas precisam buscar formas de mitigar ao máximo o risco de se tornarem a próxima vítima desses criminosos.

Principais falhas de segurança já conhecidas

As ameaças de segurança de informação existem e sempre irão existir. Por definição, as ameaças não são algo que as empresas tenham controle. Já as vulnerabilidades, sim. Estas, se conhecidas e bem gerenciadas, podem mitigar e ou eliminar os riscos de segurança da informação.

É como uma bela casa. O proprietário não pode assegurar que não haja pessoas mal-intencionadas que queiram roubá-la. Mas, pode avaliar todas as vulnerabilidades que aumentam o risco que isso aconteça e estabelecer controles para minimizar ou diminuir esse risco, como a instalação de câmeras de segurança, cerca elétrica, muros altos, janelas e portas gradeadas e etc. Essas sim são ações que estão sob o seu controle.

Com a segurança da informação é a mesma lógica. Todos os ataques de segurança acontecem por meio de vulnerabilidades não conhecidas ou não gerenciadas.

A empresa pode não estar ciente da sua própria vulnerabilidade, mas há criminosos ou funcionários desatentos ou mal-intencionados, podem tornar públicas informações sigilosas da organização.

Em de novembro de 2020, o Hospital Albert Einstein foi notificado pelo o Procon-SP para explicar sobre o vazamento de lista que dava acesso a informações pessoais e médicas de pacientes testados, diagnosticados e internados por covid-19 e que ficaram expostos na internet durante um mês.

O vazamento ocorreu após um cientista de dados do Hospital Albert Einstein, em São Paulo, divulgar em um fórum uma lista de usuários e senhas que permitiam acessar dados de pessoas testadas. O hospital tinha acesso às informações por trabalhar em um projeto com o ministério.

Após a denúncia, a pasta disse que as chaves de acesso foram trocadas, e o hospital abriu investigação para apurar o caso.

Outro caso mais antigo, de 2001, revela que os vazamentos de informação não acontecem somente online. A empresa Procter & Gamble, para evitar processos judiciais, pagou à concorrente Unilever cerca de 10 milhões de dólares depois que teve um detetive contratado descoberto revirando o lixo da Unilever em buscar de informações.

Assim, vemos que as ameaças e vulnerabilidades podem estar para todo lado. Abaixo, listamos principais falhas de segurança de informação que precisam ser observadas pelas empresas.

• Falhas de segurança em sistema: As falhas de segurança em sistemas podem não ser conhecidas de imediato pelos próprios desenvolvedores, por isso é sempre importante garantir que as atualizações de softwares estejam em dia e que vulnerabilidades sejam investigadas periodicamente;
• Brechas na gestão de acessos: Não fazer o correto gerenciamento dos acessos aos sistemas de informações, a entradas de pessoas ao estabelecimento da empresa, ou até mesmo, a áreas importantes da empresa, permitindo que informações estejam disponíveis a mais pessoas do que o necessário, é aumentar o risco de segurança de informação;
• Falhas na gestão de backup das informações: Não realizar o backup das informações ou realizar com a periodicidade inadequada, frente a necessidade do negócio. Outro erro primário na gestão de backups é a proteção inadequada, mantendo o backup no mesmo local da informação original;
• Ausência de procedimentos relacionados a segurança da informação: Não documentar as práticas e controles necessário para a segurança da informação. É muito pouco provável que a empresa conseguirá perpetuar a adoção de controles, sem que isto esteja documentado e sirva como uma guia para quem quer que seja que adentre a organização.
• Falhas em treinamentos e conscientização: Por último, mas não menos importante a falta de treinamento e conscientização é uma das vulnerabilidades mais exploradas pelos hackers. Se as pessoas não estiverem conscientes das formas de ataque e dos procedimentos de controle, serão presas fáceis dos criminosos.

Segurança da informação x LGPD

Com a aprovação da LGPD, em agosto de 2020, o tema de segurança da informação tem ficado muito mais evidente, assim como as repetidas denuncias de vazamento de dados pessoais.

Aqui é importante destacar que já é consenso para os estudiosos da lei que não será possível atendê-la integralmente, sem fazer o uso de boas práticas de segurança da informação.

[Post] LGPD: Conheça mais sobre a LGPD

Lembra dos pilares que explicamos anteriormente: Confidencialidade, Integridade e Disponibilidade? São pilares imprescindíveis para o atendimento a esta legislação.

O primeiro porque a empresa precisa garantir a confidencialidade dos dados dos titulares. A integridade, pois pela ótica da legislação, será responsabilidade da empresa garantir a qualidade dos titulares, ou seja, que estes sejam íntegros.

E, por fim, a disponibilidade, para que a empresa tenha sempre disponíveis os dados dos titulares, esta precisará atender integralmente a legislação de proteção de dados, sob pena de perder o acesso ao banco de dados em caso de tratamento do dado em desacordo com a lei.

Esta é uma das sanções previstas pela lei, outras sanções previstas são:

• Advertência, com a indicação de prazo para a adoção de medidas corretivas;
• Multa simples de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada a R$ 50.000.000,00 por infração;
• Multa diária
• Publicização da infração após devidamente apurada e confirmada a sua ocorrência;
• Suspensão parcial do funcionamento do banco de dados a que se refere a infração pelo período máximo de seis meses, podendo ser prorrogado por igual período, até a regularização da atividade de tratamento pelo controlador;
• Suspensão do exercício da atividade de tratamento de dados pessoais a que se refere a infração pelo período máximo de seis meses, podendo ser prorrogado por igual período;
• Proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.

Segurança da informação e segurança de TI são a mesma coisa?

Quando se fala em segurança de informação ainda é comum associar o assunto ao universo de TI, quando na verdade, a tecnologia da informação é apenas uma parte do processo.

Isto porque, conforme vimos ao longo deste artigo, as informações da empresa podem estar disponíveis em outros meios que não digitais.

Lembra do caso, da Procter & Gamble procurando por informações no lixo da concorrente? Ou daqueles dados pessoais de colaboradores impressos e arquivado em pasta lá na sala do RH? Ou até mesmo daquela informação estratégica de um novo produto discutida na última reunião e vazadas de um funcionário para um amigo?

Para diferentes situações, controles distintos precisam ser aplicados, seja a implantação de um contrato de confidencialidade, com o apoio do jurídico, seja de controles práticos na rotina do RH, até mesmo o treinamento de conscientização.

Como as informações estão em diferentes formatos e disponível de diversas formas, são necessárias análises de vulnerabilidade de acordo com a realidade de cada empresa para que então seja possível identificar quais são os ativos que a organização necessita ou deseja proteger e os controles necessários para tal finalidade.

Quer o quadro completo da norma? Veja o guia da ISO 27001: o que é, requisitos e como certificar.