Política de Segurança & Segurança das Informações

Carlos Paiva (*)

                                                              “A informação prévia não se pode obter de fantasmas nem espíritos, nem se pode ter por analogia, nem descobrir mediante cálculos. Deve se obter de pessoas; pessoas que conheçam a situação do adversário.”

Sun-Tzu – “A Arte da Guerra”

Os riscos e ameaças são cada vez mais presentes, a prevenção e a segurança , nem sempre...

A fragilidade dos sistemas de proteção nas organizações parece avançar na mesma proporção com que aumentam os riscos. A afirmação , aparentemente confusa, é a real dimensão dos perigos na segurança organizacional em nosso meio. A ampliação dos casos de fraudes das mais variadas cometidas contra instituições diversas dá o quadro real  de insegurança atual, onde a busca por dados, registros, informações e sistemas é intensiva, enquanto as mais comezinhas regras de segurança são alvo da leniência e do despreparo para o enfrentamento de uma realidade onde mais do que nunca “informação é poder”. Num ambiente cultural onde segurança é temática sempre esquecida na forma comportamental, mas sempre presente na forma de comentários verbais, notadamente quanto a fatos que ocorrem a terceiros, é fácil perceber, o terreno fértil para as ações criminosas contra as organizações.

Este cenário de “risco total programado”, acaba por ser a marca em grande parte dos ambientes ocupacionais. Saídas inopinadas de um micro com este “logado” e com acesso livre, são comuns: Conversas sobre os novos projetos da empresa, feitos em ambientes públicos, em especial nos transportes e nos bares e restaurantes, fazem parte do dia-a-dia, onde “mostrar que sabe” é sinal de “status” ! Deixar documentos sobre as mesas em forma de papel ou meio digital é uma prática comum: Permitir o acesso de visitantes a todas as áreas da empresa também é uma forma de mostrar “gentileza”...

                                      Em algumas organizações, estas tem a posse de dados de clientes e fornecedores, e talvez não saibam , que são integralmente responsáveis cível e criminalmente, no caso da obtenção desses dados a partir de suas empresas ! Um empregado que venha a “desviar” esses registros ou fazendo deles conhecimento público, importará na possível  responsabilização da organização pela ação e/ou omissão que permitiu o fato, cabendo-lhe então provar que havia adotado –todas- as medidas técnicas e legais para impedir o fato. E vai ser muito complicado , provar em juízo, a “inocência”, quando os princípios básicos de segurança, tal como uma “Política de Segurança” não houverem sido implementados...

E já que estamos centrados no tema, vale lembrar que quando falamos em “Política de Segurança”, não estamos nos referindo as práticas ingênuas de produzir um documento e pensar que por sí este resolverá o problema, já que sabemos que a absorção de novas normas e conceitos na organização, não se fazem apenas por papel  ou por mensagens no correio interno, como se fosse simples assim, evitar altos riscos com um texto ! É fácil perceber o erro, pois quando se pensa p.ex. em implantar um programa de qualidade, isso envolve a contratação de consultores, a realização de treinamento para todos os empregados, campanhas de sensibilização ( algumas vezes até com premiação como incentivo...), palestras, manuais de serviço, suporte operacional para a nova atividade, mas principalmente “envolvimento e comprometimento pessoal” de colaboradores e direção corporativa. Assim, se desejarmos resultados em segurança, a mesma técnica deve ser usada. Não é preciso “reinventar a roda”, basta apenas seguir modelos já testados e de sucesso na organização !

                                        “Política de Segurança” tem de estar alinhada aos negócios e/ou objetivos da organização, seja ela pública ou privada; Deve ser estabelecida a partir de pesquisa interna, onde buscar-se-á a diretriz para sua implantação a partir das necessidades observadas ; Deve ser “focada”, ou seja, não pode perder-se no meandro das estruturas ou detalhar-se a ponto da perda de credibilidade ; Exige que sua elaboração seja conduzida por “staff” competente, não sendo profícuo, que se utilize a técnica do “ control c” e “control v” para simplesmente copia-la, agregar uns novos substantivos, mudar os verbos e implanta-la, sem mesmo saber o por quê.

                     A educação corporativa, tão dimensionada para a capacitação técnica e acadêmica, é a mesma que deve ser utilizada para a segurança. Chega as raias do absurdo organizações que dizem estar fazendo “gerenciamento de riscos” ; “gestão do conhecimento”; “inteligência competitiva” ; “tecnologia da informação”,  e outras tantas formas contemporâneas de gestão, que ainda englobam “Arquitetura Organizacional”, “Out-Replacement”, “Learning”, “Resiliência”, não perceberem que sem “segurança”, nada disso existe, e, se existe corre riscos permanentes. Todo esse investimento pode estar sendo “jogado fora” ou até mesmo, sendo bem aproveitado pelo(s) concorrente(s) que acompanham numa forma criminosa de “benchmarketing”, o que ocorre , e como ocorre na empresa, através de canais de informações que variam da infiltração, passando pela cooptação de quadros. Faz-nos lembrar, episódio recente, em que uma organização contratou um “expert” para uma nova área de atividades implantada na produção, e teve custos elevados para a geração de relatórios e palestras que eram dadas aos colaboradores da área em expansão, cujas cópias e gravações eram repassadas para a concorrente...  

Informação & Conhecimento são os ativos mais valiosos nas organizações

A segurança das informações, calcada apenas em sistemas e máquinas, excluindo o trato de recursos humanos, suas inferências, referências, riscos e prevenção de incidentes, está fadada a gerar decepções, pois em nenhum momento histórico onde o ser humano foi ator, ele deixou de ocupar o papel de protagonista. Máquinas são “enganadas”, “preparadas para errar” e até mesmo “preparadas para não funcionar”. Atrás de cada uma delas, existe uma mão e uma mente humana que nem sempre conhecemos e se conhecemos, talvez não saibamos do que e quando será capaz.