Em função dos recentes acontecimentos em órgão do governo onde uma gerente de unidade e dona de uma identificação e senha, indica que compartilhou a senha (e identificação) com outra funcionária em função de carga de trabalho, vem a questão: pode-se compartilhar senha?

Considerando as recomendações da Norma NBR ISSO/IEC 27002:2005 – Tecnologia da Informação – Código de prática para a gestão da segurança da informação, não se deve emprestar a senha, permitindo que outra pessoa execute tarefas como o usuário dono da identificação.

Porém, depende de como a organização definiu as regras para o acesso e uso da informação. Os regulamentos (políticas e normas) definidos pela organização precisam ser comunicados formalmente aos funcionários e prestadores de serviço que utilizam o ambiente computacional da organização. Para garantir que o usuário tomou conhecimento do que pode e não pode fazer, é recomendado que o usuário assine um termo de conhecimento de uso da informação.

Nas regras é recomendado que esteja explícito o que é proibido e o que é permitido. Se não puder emprestar a senha, mesmo sob forte demanda de serviço, deve estar escrito no regulamento da organização que é proibido o compartilhamento de senhas.

A definição de regras sobre o uso da informação e dos recursos de informação é um requisito de segurança fundamental. Com esta definição é que podemos dizer se o comportamento de um usuário foi ou não foi adequado.

Evidentemente o caso que está na mídia ainda vai ter um longo caminho, pois muitas informações ainda faltam ser fornecidas e esclarecidas.

Em relação ao uso de senha, cada organização deve definir se a informação a ser protegida deve ter apenas este controle ou merece controles complementares como uso de cartão, cartão inteligente, dispositivo de números aleatórios ou biometria. Cada organização sabe o valor da informação.

Mas, vamos considerar o mais importante: a sua organização. Ela possui regras (políticas e normas) para o uso e acesso da informação e recursos de informação? Se sim: verifique se todos os usuários tomaram conhecimentos desses regulamentos. Se não: é hora de correr e definir como se quer que as pessoas se comportem no acesso à informação.

Não espere sua organização virar notícia!

Edison Fontes, CISM, CISA 
Consultoria em Políticas e Normas de Segurança da Informação
edison@pobox.com 

A realização de teste simulando a ocorrência de uma contingência é uma ação concreta que explicita que a organização, através da sua direção, trata a segurança da informação de maneira profissional. Prepara-se, desta forma, para uma situação que ninguém deseja que ocorra, mas que, tem possibilidade de ocorrer. E acontecendo essa situação, ela acarreta prejuízos financeiros, de imagem e de perda de mercado, podendo até inviabilizar o negócio, comprometendo o investimento dos acionistas e o emprego de cada funcionário.

Muitas vezes nos vem à mente que participar de uma atividade dessas é algo bobo e sem muita importância. Isto é conseqüência de que não temos no Brasil uma cultura de desastres e simulação de situações críticas. Afinal "Deus é brasileiro" diz o ditado. Eu acredito que Ele seja brasileiro, como é mexicano, francês, português, holandês, norte americano e de todas as nações. Ele faz a parte dele e nós devemos fazer a nossa. E a nossa parte, do ponto de vista da organização, é cuidar da informação para que ela esteja disponível para a realização do negócio.

Treinar para a continuidade de negócio através das atividades de simulação de contingência é uma atividade profissional tão importante como as tarefas do dia a dia pelas quais somos responsáveis.

Para um melhor entendimento, devemos ter claro alguns aspectos, como por exemplo:

a) O objetivo do teste
- O objetivo de um teste é permitir que as ações planejadas sejam avaliadas em relação a sua eficácia e eficiência. Conseguiremos na prática realizar cada atividade no tempo previsto?

b) O que é um bom teste?
- Identificar falhas nos procedimentos previstos não quer dizer que o teste não teve sucesso. Um bom teste é aquele que permite que o próximo teste seja melhor do que o atual. Por isso é importante registrar as ações, problemas e ocorrências. Esta documentação nos permite fazer uma avaliação do que pode ser melhorado e aperfeiçoado para o próximo teste.

c) Não se busca culpados
- O espírito de um treinamento para situações de contingência é preparar a organização como um todo para superar adequadamente um desastre. As falhas existentes devem ser identificadas e ninguém será punido por isso. O que deve acontece é para cada falha ou problema identificado deve ser designada uma pessoa que será o responsável pela solução.

Alcançar o patamar de proteção adequada para situações de contingência pela organização não acontece da noite para o dia. É um longo percurso e é semelhante a uma escada: temos que subir cada degrau. O primeiro teste de simulação de contingência não contemplará todas as situações e todos os cenários, mas permitirá que para uma determinada situação e cenário definidos, a organização tenha a sua recuperação em um tempo aceitável.

Você que vai participar deste primeiro teste colabore profissionalmente, mas antes de tudo, colabore de coração aberto. Afinal, esta organização faz parte da sua vida e lhe permite que sua vida seja vivida.

Ao elaborar com a organização a primeira versão do plano, concluimos uma longa tarefa, da mesma maneira como um navio chega a um porto. Porém, este porto não é um porto de chegada, mas um porto de partida!

Boa viagem para todos os que participam de testes de planos de continuidade de negócio.

Edison Fontes, CISM, CISA 
Consultoria em Segurança da Informação.
edison@pobox.com 

Tenha santa paciência! Diria o Santo Papa.

Pelas barbas de Netuno! Diria Robin para o Batman.

Sr. Dirceu! Que maqueavelismo é esse? Querem prejudicar minha campanha para governador! Diria Odorico Paraguassú, personagem do Mestre Dias Gomes.

PQP! Diria o Tonico da padaria da esquina.
 
Pois é! Pela segunda vez em poucos meses o Enem foi reprovado em segurança da informação! Na primeira vez foi um caso de fraude. Nesta segunda vez, pelas notícias da mídia, um caso de falta de gestão e falta de tratamento de todos os aspectos do processo de segurança da informação.
 
Segundo o Jornal Estado de São Paulo:
Uma falha do Instituto Nacional de Estudos e Pesquisas Educacionais (Inep) permitiu acesso livre aos dados pessoais de 12 milhões de inscritos nas últimas três edições do Exame Nacional do Ensino Médio (Enem).

O que é mais grave é que, ao ser avisado pelo Jornal o Inep afirmou que os dados seriam acessados apenas pelas instituições de ensino, mediante identificação e senha. Isto é, aparentemente, não foi feito nenhum teste. Pois, se tivessem feitos testes básicos, a falha teria sido facilmente identificada.

Evidentemente um fato como este merece ser melhor investigado para que se esclareça o que aconteceu, ou melhor, o que não aconteceu.

Quando se fala em segurança da informação, sempre chega alguém e lembra que não existe segurança 100%. É verdade. Porém para situações que podem ser facilmente previstas a segurança tem que ser 100%.

O risco desses dados terem alimentado os bancos de dados dos golpistas e criminosos é grande. Conforme o titular da Delegacia de  Estelionato do Departamento de Investigações sobre o Crime Organizado (Deic), Eduardo Gobetti, declara ao Jornal Estado de São Paulo, esse é um prato cheio para a ação criminosa. “Tudo que um golpista quer são informações pessoais como essas!"

Solução: tratar a segurança da informação como um processo, considerar todas as dimensões e ter um profissional com experiência em segurança da informação na equipe do projeto. Porém, este profissional de segurança da informação precisa ter autonomia e autoridade adequadas.

Ao Enem só resta estudar para fazer bem feito e não ser reprovado novamente.

Não é uma tarefa fácil. É difícil, trabalhosa, mas possível!

Edison Fontes, CISM, CISA 
Consultoria em Segurança da Informação.
edison@pobox.com 

Quando falamos de privacidade o que nos preocupa de imediato são as milhares de câmeras que nos seguem onde quer que estejamos, é o sinal do celular que registra em que regiões da cidade nós estamos, é o acesso indevido aos nossos dados armazenados no órgãos do governo, nos bancos e nas diversas empresas com as quais transacionamos e tudo onde tem nossa informação.

Porém, precisamos aprender que privacidade começa com a atitude de cada pessoa. Nestes últimos dias têm sido divulgadas notícias onde as pessoas não cuidam da sua privacidade e sofrem consequencias.