O documento discute a importância da segurança da informação para organizações públicas e privadas no contexto da crescente digitalização. Ele destaca quatro aspectos fundamentais de uma estratégia de segurança: proteção de comunicações, sistemas e infraestrutura, monitoramento contínuo e processos de governança. Além disso, enfatiza a necessidade de uma abordagem holística que considere fatores técnicos, humanos e de propriedade intelectual.

1. Brasscom - Associação Brasileira das Empresas de Tecnologia da Informação e Comunicação
Rua Funchal 263, conj. 151, Vila Olímpia, São Paulo, SP, CEP 04551-060
Brasscom-DOC-2016-032 (PP&N Segurança da Informação ) v17 1/2
SEGURANÇA DA INFORMAÇÃO E DEFESA CIBERNÉTICA
POSICIONAMENTO NO SEMINÁRIO BRASSCOM POLÍTICAS PÚBLICAS & NEGÓCIOS
Brasília, 31 de março de 2016
A informação é atualmente considerada como ativo estratégico tanto para organizações
privadas quanto para governos ao redor do mundo. A gestão da segurança da informação e
comunicação, incluindo a garantia de inviolabilidade dos dados circulantes e armazenados e
proteção ante as tentativas de intrusão em áreas seguras por parte de atores não autorizados,
tornou-se um desafio global. A experiência no setor revela que as medidas de proteção devem
levar em conta a natureza altamente dinâmica das ameaças, seja decorrente da engenhosidade
técnica ou da motivação humana em buscar brechas e vulnerabilidades.
Neste sentido, entendemos que uma estratégia de segurança da informação e defesa
cibernética deve contemplar quatro aspectos fundamentais: segurança das comunicações de
dados; segurança dos sistemas e da infraestrutura; monitoramento e operação contínua da
segurança; processos e governança.
No âmbito das redes de comunicação observa-se uma forte tendência à utilização de
algoritmos de encriptação cada vez mais sofisticados. O foco moveu-se da inviolabilidade física,
e a consequente prevenção de escutas indevidas através de "grampos", na direção da
inviolabilidade lógica, na qual se garante que a informação permanece inexpugnável ainda que
submetida ao escrutínio alheio desautorizado. Por outro lado, a crescente necessidade de prover
acesso a informações e sistemas através de distintas redes, tais como, Internet e MPLS, bem como
por intermédio de diversos tipos de acesso, a saber, fibra ótica, ADSL, 3G, 4G e mesmo WiFi, torna
inócuas as técnicas de proteção que sejam específicas a um ou outro tipo de rede. Por fim, rígido
controle das chaves de encriptação é essencial para garantir a segurança sistêmica, como
demostra a experiência com o ICP Brasil.
Técnicas de criptografia também têm papel relevante na garantia da inviolabilidade das
informações armazenadas em dispositivos computacionais, tais como servidores, notebooks,
tablets e smartphones. O controle de acesso às informações e aos sistemas que processam as
informações reveste-se, portanto, de especial criticidade, impactando a arquitetura dos sistemas
e a governança de gestão, que implica necessariamente em constante monitoração. A detecção
de tentativas de acesso por parte de pessoal não autorizado e a consequente vedação em tempo
real são essenciais para evitar a violação da informação e o uso indevido de sistemas críticos. Tais
mecanismos usualmente cobrem tanto a infraestrutura computacional quanto a de rede local ou
interna, devotando-se especial atenção sobre gateways com a Internet.
O fator humano não pode ser desprezado! O violador pode estar a quilômetros de
distância, ou ser um membro da própria organização, gozando, inclusive, de certos privilégios de
acesso. Os mais sofisticados sistemas tecnológicos podem tornar-se indefesos ante o agressor
que esteja "dentro de casa". A concepção de processos robustos com níveis de delegação bem
definidos, o constante acompanhamento de atividades e a prática de auditorias recorrentes são
fatores críticos para garantir a higidez organizacional. Modernos sistemas de correlação de
eventos têm sido cada vez mais empregados para fazer frente as ameaças de invasão não
autorizadas, inclusive tentativas de introdução de códigos malignos, tais como vírus e Cavalos de
Tróia.

2. Brasscom - Associação Brasileira das Empresas de Tecnologia da Informação e Comunicação
Rua Funchal 263, conj. 151, Vila Olímpia, São Paulo, SP, CEP 04551-060
Brasscom-DOC-2016-032 (PP&N Segurança da Informação ) v17 2/2
Segurança também se traduz na disponibilidade dos sistemas. Ataques que
congestionam concentradores de acesso à Internet têm se tornado frequentes e cada vez mais
sofisticados. Aqui trata-se de um mundo sem fronteiras e não raro sem bandeiras. Centros de
operação de segurança altamente especializados têm sido constituídos tanto por Estados quanto
por corporações. A gestão da segurança da informação tornou-se uma área dinâmica e com alto
grau de especialização e colaboração. A rapidez com que novas ameaças são introduzidas tem
impulsionado empresas e nações a um esforço continuo de troca de experiências, visando maior
efetividade na prevenção e combate as ameaças através do aperfeiçoamento de sistemas e
práticas.
A adesão a padrões internacionais é fator crítico de sucesso em matéria de segurança
da informação! No tocante à aferição do nível de segurança e confiabilidade de produtos de TI,
já nos manifestamos em favor da adoção, por parte da Administração Pública Federal, do
Common Criteria, materializada pela adesão do Brasil ao Common Criteria Recognition
Arrangement (CCRA). A possível criação de um centro local de Common Criteria poderia atrair
volume de certificação de empresas multinacionais e contribuiria para reduzir os custos de
certificação para empresas brasileiras, possibilitando maior inserção no mercado internacional.
É preocupante a obrigação de auditoria de programas de equipamentos fornecidos a
Administração Pública Federal, introduzida pela Portaria Interministerial nº 141, na esteira do
Decreto Presidencial nº 8.135 de 2013. À luz do dinamismo com o qual se desenvolvem ameaças
à segurança e técnicas de intrusão, são questionáveis os resultados práticos de tal medida. Por
outro lado, o custo e a quantidade de recursos qualificados para a execução de tais auditorias
seriam, seguramente, desproporcionais ao possível benefício. É essencial para a credibilidade do
País garantir o respeito e a proteção da propriedade intelectual dos provedores de hardware e
software de primeira para que continuem motivados a fornecerem para a Administração Pública
Federal.
O desafio da segurança da informação requer uma visão holística, tecnicamente
aprofundada, perseverantemente evolutiva, que não negligencie processos e governança e que
respeite e proteja a propriedade intelectual dos provedores de hardware, software e serviços de
TI!