Vamos iniciar informando o que não é - não é somente fazer segurança contra hakers, vírus e assemelhados, roubo de informações, e invasão de privacidade. É exclusivamente isto que a maioria das empresas entende como segurança da informação. Contratam um técnico de informática especializado neste aspecto da segurança (muitas vezes é o mesmo técnico ou a mesma empresa que instalou o sistema de segurança ou a rede) para fazer o diagnóstico e indicar / implementar dispositivos e procedimentos para a segurança do ambiente informatizado. Este procedimento implica em duplo risco: 1) põe a raposa a cuidar do galinheiro e 2) não tratam dos demais riscos que ameaçam as informações.
A Segurança da informação é garantir que as informações (em qualquer formato: mídias eletrônicas, papel e até mesmo em conversações pessoais ou por telefone) - estejam protegidas contra o acesso por pessoas não autorizadas (confidencialidade), estejam sempre disponíveis quando necessárias, e que sejam confiáveis (não tenham sido corrompidas ou adulteradas por atos de pessoas mal intencionadas).
Para que haja segurança das informações primeiramente deve ser feita uma Análise de Risco que identifique todos os riscos (vulnerabilidades + ameaças) que ameacem as informações, considerando três categorias básicas - riscos administrativos, físicos e tecnológicos.
Identificados os riscos, o relatório da Análise de Risco deve apontar as soluções que eliminem, minimizem ou transfiram os riscos. É importante lembrar que não se consegue eliminar 100% dos riscos, e aqueles que não são elimináveis devem ser gerenciados para que, ocorrendo um evento que ameace as informações, providências sejam tomadas objetivando garantir, a partir de procedimentos de contingência, a disponibilidade das informações e a continuidade dos processos críticos do negócio.
Finalmente, a alta administração da empresa deve avaliar o relatório da Análise de Risco, e a partir do conhecimento das ameaças e vulnerabilidades, devem decidir, considerando o custo x benefício, quais riscos que devem ser eliminados, quais as providências para minimizar outros e finalmente quais os que devem ser transferidos para terceiros (p.ex. comprar cobertura por seguro e/ou fazer outsourcing).
Como pode ser entendido pelo acima, a segurança da informação é assunto estratégico e deve ser tratado no nível apropriado da organização que é a alta administração (sócios proprietários e/ou diretoria executiva). Não deveria ser simplesmente delegada ao nível tecnológico operacional, o qual tem papel relevante, mas não é boa prática que tome decisões estratégicas que envolvam a Tecnologia da Informação e a continuidade dos negócios.
Victor Antonio Izquierdo é sócio proprietário da ALLSecurity
Olho:
Vamos iniciar informando o que não é - não é somente fazer segurança contra hakers, vírus e assemelhados, roubo de informações, e invasão de privacidade. É exclusivamente isto que a maioria das empresas entende como segurança da informação.
