Neste mês entra em vigor a Lei 12.846, assinada em 01 de agosto de 2013, pela Presidente Dilma Rousseff, conhecida como Lei Anti Corrupção. Uma organização envolvida em situações de acusação de corrupção precisará ter um bom Processo Organizacional de Segurança da Informação para minimizar os seus problemas, seja ela culpada ou inocente.
Todas as atividades de uma organização que utiliza a informação, seja no ambiente computacional e/ou no ambiente convencional, precisa ter controles adequados de proteção desta informação. A versão 2013 da Norma NBR ISO/IEC 27002 apresenta 114 (cento e quatorze) controles básicos para a existência da segurança da informação.
Tomando por base a Lei 12.846, gostaria de destacar três itens da mesma que indicam claramente (para aqueles que querem ouvir) a necessidade de controles de segurança da informação. Vejamos:
a) Art. 3º – A responsabilização da pessoa jurídica não exclui a responsabilidade individual de seus dirigentes ou administradores ou de qualquer pessoa natural, autora, coautora ou partícipe do ato ilícito.
A novidade desta lei é a possibilidade de penalização da pessoa jurídica. Porém, este artigo terceiro indica que este fato não exclui a responsabilidade individual. Para se ter registrado as ações individuais é necessário que quando do uso da informação (sistemas ou correio eletrônico) exista:
– identificação individual intransferível;
– autenticação do usuário que garanta que o usuário é realmente ele mesmo;
– registro do que o usuário realizou com a informação, com os sistemas de informação e com os recursos de informação;
– autorização do uso da informação por outro usuário que tenha autoridade e responsabilidade para a esta autorização;
– guarda destas informações para permitir a auditabilidade do que foi realizado.
b) Art. 5º, I – Prometer, oferecer ou dar, direta ou indiretamente, vantagem indevida a agente público, ou a terceira pessoa a ele relacionada (Ato lesivo).
A comunicação de pessoas utiliza fortemente o correio eletrônico. E com certeza em uma situação de investigação, este serviço será analisado. A organização precisa ter políticas de uso do correio eletrônico, uso individual, definição de guarda das mensagens, e responsabilidades claras e comunicadas aos usuários. Em algumas organizações é utilizado o uso (não recomendado nunca pela segurança) de contas de correio eletrônico onde a identificação é o cargo e não uma identificação de pessoa. Isto facilita alguns procedimentos, mas complica a responsabilização e também exige regras mais complicadas para o uso da ferramenta de correio eletrônico nestas situações.
c) Art. 5º, V – Dificultar atividade de investigação ou fiscalização de órgãos, entidades ou agentes públicos (Ato lesivo).
Se um órgão de investigação solicitar da organização a trilha de auditoria de acesso a sistemas ou uso de ferramentas tipo correio eletrônico, e se esta organização não tiver os registros de auditoria gravados e guardados, com as identificações individuais e outros controles, com certeza poderá ser interpretada pelo judiciário como um empecilho para as investigações. Não ter cópias de segurança de informações e outros controles, recomendados pela Norma NBR ISO/IEC 27002, poderá custar uma decisão judicial não favorável à organização, e ter seu nome enquadrado na Lista Negra das organizações que praticam corrupção.
Estes três itens da lei são mais explícitos em relação aos controles de segurança da informação. Porém, com certeza, uma organização que segue os normativos internacionais e aceitos no Brasil em relação à segurança da informação, ajudará em um possível problema neste tema ou em outras situações.
Processo Organizacional de Segurança da Informação. Não tenha uma organização sem ele. Um dia a Justiça vai lhe cobrar certos controles.