Desde julho deste ano um assunto continua na mídia: a possível espionagem do Governo dos Estados Unidos, utilizando a sua poderosa Agência NSA, em relação às informações do Governo do Brasil, inclusive mensagens de correio eletrônico da Presidente Dilma.
Muita coisa precisa ser esclarecida e também precisamos estar ciente que muitos fatos são ações do teatro político que todos os governos executam.
O debate sobre o fato em si e suas implicações devem ser examinados e discutidos. Porém, neste comentário gostaria de extrair desta situação o que as organizações podem aprender em relação à segurança da informação.
1) A segurança precisa ser proativa.
Considerando as notícias publicadas na mídia, o governo brasileiro e mais especificamente a Presidência da República somente ficou sabendo da espionagem após uma reportagem do Programa Fantástico da Rede Globo de Televisão. Se sua organização somente for saber da espionagem que sofre por um programa da TV, tenha certeza: sua organização está muito frágil em segurança da informação. Provavelmente nem exista na sua organização um Processo Corporativo de Segurança da Informação. Seja proativo e implante (ou melhore) o Processo Corporativo de Segurança da Informação.
2) Os parceiros também são nossos concorrentes.
Aparentemente a espionagem do Governo Americano em relação aos dados brasileiros, não se trata de uma espionagem de guerra. Trata-se de uma espionagem econômica. Os Estados Unidos é um grande parceiro comercial do Brasil. Mas, também é nosso concorrente. Nas organizações acontece a mesma situação. Precisamos ter parceiros, mas precisamos tratar o assunto segurança da informação com estes parceiros com seriedade e rigidez. Precisamos tratar da segurança da informação de maneira séria e com competência.
3) Devemos cuidar do ambiente externo sem esquecer o ambiente interno.
Evidentemente uma situação dessas do Governo Americano e do Governo Brasileiro aparecer nos jornais, é notícia, cria discussão e gera muito barulho. Porém se quisermos proteger efetivamente a informação precisamos cuidar desta informação internamente. Por exemplo: a maioria das organizações brasileiras circulam mensagens de correio eletrônico pela Internet sem que estas mensagens estejam criptografadas. Isto significa que espionar as mensagens de organizações brasileiras no ambiente interno do Brasil é relativamente fácil. Não é necessário quebrar códigos criptográficos.
4) É necessário a existência de regulamentos.
Outra questão é a falta de regras/regulamentos (políticas e normas) que a maioria das organizações brasileiras não possuem. Como se pode proteger ou estruturar um processo de segurança da informação em uma organização se não existem regras? Voltando ao caso do governo brasileiro, o Estado brasileiro ainda precisa de algumas leis. Recentemente o TSE iria liberar informações de cidadãos brasileiros para uma empresa comercial americana que atua no Brasil e não se poderia garantir que aqueles dados não seriam enviados para fora do Brasil. Graças à reportagem do Jornal Estado de São Paulo o assunto veio à tona e o próprio TSE voltou atrás e não liberou as informações, segundo a mídia.
5) Precisamos proteger as nossa informações.
Evidentemente uma espionagem é um ato de ofensa a um país ou a uma organização. Mas, não temos poder sobre outros países e sobre outras organizações. Podemos e devemos ter acordos e ações similares. Mas, o que realmente precisa ser feito é cada organização tratar de proteger as suas informações. Cada organização precisa implantar e manter os controles de segurança da informação compatíveis com o seu negócio e com o seu porte.
Não espere sua organização sair na mídia (Fantástico, por exemplo) para serem tomadas as medidas profissionais para uma efetiva proteção da informação.