A Internet, o conjunto de sua estrutura e de seus componentes, deve garantir obrigatoriamente para os usuários a integridade da informação e a disponibilidade do serviço. O sigilo da informação deve ser providenciado pelas aplicações e pelos responsáveis de conteúdo. Se você envia um e-mail sem criptografia não pode exigir que a rede garanta a confidencialidade.
Com a divulgação das informações do Analista da NSA dos Estados Unidos, Edward Snowden, colocando para os leigos que existe espionagem do Grande Irmão americano, muitos governantes querem exigir regras de confidencialidade para a Internet. Estes comentários têm mais objetivo de impressionar o público interno de cada país do que uma vontade verdadeira de luta pela verdade, justiça, transparência e privacidade. Mas, não deixa de ser uma preocupação válida e com respingos na política externa. Evidentemente o fato de informações de pessoas circularem sem proteção adequada, não dá o direito de um país estrangeiro espionar estas informações.
Porém, é preciso colocar as responsabilidades de maneira bem definida. A Internet foi desenvolvida com o objetivo de troca de informações e isto ela cumpre muito bem até hoje, mesmo após o seu (necessário) uso comercial. A Internet precisa garantir a Integridade da informação, isto é, aquilo que foi colocado na rede deve chegar no seu destinatário de maneira correta, sem estar corrompida. Outra obrigação da Internet é estar disponível para a sua utilização.
A confidencialidade, o sigilo da informação precisa ser fornecido pelo serviço, tipo correio eletrônico. Não deve nunca ser a rede que garanta o sigilo da informação enviada por um e-mail. Quer ter sigilo: use a criptografia de dados. É uma aplicação comercial? As boas soluções existentes no mercado darão um padrão de sigilo para informação adequado. Trata-se de um país, de um Estado (nação politicamente organizado), entendo que não é adequado utilizar soluções de criptografia comerciais. Principalmente de países onde a legislação praticamente permite que o órgão de segurança, abram para o governo suas “portas de fundo” para a quebra de sigilo. Para um Estado, deve-se desenvolver uma tecnologia própria de criptografia e compatível com a informação que se deseja proteger.
Além do mais, não basta se preocupar com a espionagem de outros países quando a mensagem passa por eles. E internamente no Brasil, como fica o sigilo nos provedores de acesso? Por isso, a rede e os elementos que possibilitam o seu funcionamento devem garantir a integridade da informação e a disponibilidade do serviço. O sigilo é por “conta do freguês”.
Mas, o freguês, que pode ser Estado ou Organização, precisa dizer como quer a sua segurança, descrevendo as suas políticas e normas de segurança da informação. E muitas organizações não as têm, ou se tem, é apenas para cumprir alguma regulamentação ou auditoria.
Cada organização, cada Estado tem a segurança que merece. Ou melhor, a segurança que decide ter.