Seguranca informacaosped sc-02-02-2012

Elaborado por Roberto Dias Duarte em janeiro de 2012

t e
a r
Segurança da u
D
Informação as no
i
D
mundo pós-SPED
t o
e r
o b
R Esta obra foi licenciada com uma Licença Creative
Commons - Atribuição - Uso Não-Comercial -
Partilha nos Mesmos Termos 3.0 Não Adaptada.
quinta-feira, 2 de fevereiro de 12
www.robertodiasduarte.com

5 coisas sobre mim... t e
a r
u
D
as
i
D
t o
e r
o b
R

a r
u
1. “Só sei que nada sei”

D Sócrates

as
i
D
t o
e r
o b
R

a r
u
1. “Só sei que nada sei”

D Sócrates

as
i
2. “O otimismo é a fé em
ação”
D Bob Marley

t o
e r
o b
R

a r
u
1. “Só sei que nada sei” 3.

D Sócrates

as
i
ação”
D Bob Marley

t o
e r
o b
R

a r
u

D Sócrates

as
i
ação”
D Bob Marley

t o
e r
4. @robertoduarte
endereço residencial

o b
R

a r
u

D Sócrates

as
i
ação”
D Bob Marley

t o
e r
4. @robertoduarte
endereço residencial

o b
5. www.robertodiasduarte.com.br
R
endereço comercial


t e
a r
u
D
Do que você item as medo?
D
t o
e r
o b
R

t e
a r
Segurança dau
D
s
Informação no
a
i
mundo pós-SPED
D
t o
e r
o b
R
Esta obra foi licenciada com uma Licença Creative Commons - Atribuição - Uso Não-Comercial - Partilha nos Mesmos Termos 3.0 Não Adaptada. www.robertodiasduarte.com
Photographer: Reuters

t e
a r
u
D
as
i
D
t o
e r
o b
R

t e
a r
u
D
9 números as
i
D
importantes
t o
e r
o b
R

t e
a r
u

75%
D
as
i
D
t o
e r
o b
R
Fonte: consultoria Kroll, 2011

t e
a r
u

75%
D
as
i
D
t o
e r
das empresas detectaram algum tipo de fraude em 2011

o b
R

1. t e
a r
u

75%
D
as
i
D
t o
e r
das empresas detectaram algum tipo de fraude em 2011

o b
R

t e
a r
u
60% rt o
D
i as
D

b e
R
o

t e
a r
u
60% rt o
D
i as
D

e
dos casos foram cometidos por funcionários das empresas
b
R
o

2. t e
a r
u
60% rt o
D
i as
D

e
dos casos foram cometidos por funcionários das empresas
b
R
o

t e
a r

2,1%
u
D
as
i
D
t o
e r
o b
R

t e
a r

2,1%
u
D
as
i
D
t o
e r
as fraudes custaram 2,1% do faturamento das empresas

o b
R

3. t e
a r

2,1%
u
D
as
i
D
t o
e r
as fraudes custaram 2,1% do faturamento das empresas

o b
R

t e
a r
Você faz parte dos u 25%
D
as
i
que não detectaram
D
t o
fraude?
e r
o b
R

t e
a r
u
4 bi
rt o
D
i as
D

b e
R o

t e
a r
u
4 bi
rt o
D
i as
D

e
de notas eletrônicas autorizadas desde 2005!
b
R o

4. t e
a r
u
4 bi
rt o
D
i as
D

e
de notas eletrônicas autorizadas desde 2005!
b
R o

t e
a r
u
750.000 rt o
D
i as
D

b e
R o

t e
a r
u
750.000 rt o
D
i as
D

e
de emissores de NF-e: indústria, atacado e outros...
b
R o

5. t e
a r
u
750.000 rt o
D
i as
D

e
de emissores de NF-e: indústria, atacado e outros...
b
R o

t e
a r
u
D
s
Quantas recebem NF-e?
a
i
D
t o
e r
o b
R

6. t e
a r
u
D
s
Quantas recebem NF-e?
a
i
D
t o
e r
o b
R

t e
a r
u
156.926 rt o
D
i as
D

b e
R o

t e
a r
u
156.926 rt o
D
i as
D

e
de empresas transmitiram a ECD em 2011, sendo 10.396 em SC
b
R o

7. t e
a r
u
156.926 rt o
D
i as
D

e
de empresas transmitiram a ECD em 2011, sendo 10.396 em SC
b
R o

t e
a r
u
1,5mi rt o
D
i as
D

b e
R o

t e
a r
u
1,5mi rt o
D
i as
D

b e
de empresas transmitirão a EFD PIS/COFINS em 2012

R o

8. t e
a r
u
1,5mi rt o
D
i as
D

b e
de empresas transmitirão a EFD PIS/COFINS em 2012

R o

t e
a r
u
1%
rt o
D
i as
D

b e
R o

t e
a r
u
1%
rt o
D
i as
D

b e
menos de 1% das empresas utilizam sistemas de informação
integrados (ERP)

R o

9. t e
a r
u
1%
rt o
D
i as
D

b e
menos de 1% das empresas utilizam sistemas de informação
integrados (ERP)

R o

Então: e
rt
Vou pensar em segurança agora u a
D
Vou deixar para depois
as
i
D
t o
e r
o b
R

t e
a r
u
Para começar: D
as
o que éD i
fraude?
t o
e r
o b
R

Você arriscaria? t e
a r
u
D
as
i
D
t o
e r
o b
R

Então, fraude é... t e
a r
u
D
as
i
D
t o
e r
o b
R

Então, fraude é... t e
a r
u
D
s
a fé criado para
i má
...um esquema ilícito ou
D ganhos pessoais
de

t o obter

e r
o b
R

Só há fraude, se existe: t e
a r
u
D
as
i
D
t o
e r
o b
R

Só há fraude, se existe: t e
a r
u
D
s
a Golpista
i
D •
t o Ineﬁciência das leis

e r •
•
Incerteza da pena

b
Existência de

o
oportunidades

R
• Pouca ﬁscalização

E, se existe: t e
a r
u
D
as
i
D
t o
e r
o b
R

E, se existe: t e
a r
u
D
as
i
Vítima D
t o
• r
Pouca informação
e
•
• o bIgnorância e ingenuidade

R
Ganância

Lembre-se: quanto piore a
r
gestão, mais fraudes!t
a u
D
as
i
D
t o
e r
o b
R

Lembre-se: quanto piore a
r
gestão, mais fraudes!t
a u não
Dacontece”
“Aqui
as
i
D • Falta interesse

t o • Falta preparo

e r • Falta organização

o b • Falta conhecimento

R

E, há ainda outro fator... t e
a r
u
D
as...o desrespeito às
i leis é considerado
D comportamento
t o
e r “normal”!

o b
R

Quem é vítima e e
quem é golpista?rt
a u
D
as
i
D
t o
e r
o b
R

t e
a r
u
D
4 conceitos as básicos
i
D
t o
e r
o b
R

Ameaça e
rt
u a
D
as
i
D
t o
e r
o b
R

Ameaça e
rt
u a
D
as
i
D
t o
e r
o b
R
Causa potencial de um incidente, que caso
se concretize pode resultar em dano

Vulnerabilidade e
rt
u a
D
as
i
D
t o
e r
o b
R

Vulnerabilidade e
rt
u a
D
as
i
D
t o
e r
o b
R
Falha (ou conjunto) que pode
ser explorada por ameaças www.robertodiasduarte.com

Incidente
t e
a r
u
D
as
i
D
t o
e r
o b
R

Incidente
t e
a r
u
D
as
i
D
t o
e r
o b
R
Evento que comprometa a operação do negócio
ou cause dano aos ativos da organização

Impacto e
rt
u a
D
as
i
D
t o
e r
o b
R

Impacto e
rt
u a
D
as
i
D
t o
e r
o b
R
Resultados do incidente

Agora, podemos fazer e
a análise de risco... rt
u a
D
as
i
D
t o
e r
o b
R

Agora, podemos fazer e
a análise de risco... rt
u a
D
a s
i
D Mitiga
Transfere
o
Impacto

r t
b e Aceita Reduz
R o Probabilidades www.robertodiasduarte.com

Entendeu? te
a r
u
D
as
i
D
t o
e r
o b
R

t e
a r
Quais ativos Du podem
sofrer danos no as mundo
i
D
pós-SPED?
t o
e r
o b
R

Os dados do SPED são e
ativos digitais?a rt
u
D
s ativo não
“Um ativo intangívela um
i é
D física
monetário identiﬁcável sem
o
substância
t
e r ou, então, o ágio pago por expectativa de rentabilidade futura

”
b
(goodwill)

R o Fonte: http://www.cpc.org.br


t e
a r
6 aspectosD
u
que
as
precisamos garantir em
i
ativos Ddigitais
t o
e r
o b
R

1. Integridade t e
a r
u
D
as
i
D
t o
e r
o b
R

1. Integridade t e
a r
u
O conteúdo não D
pode ser alterado
as
i
D
t o
e r
o b
R

Como você confere ae
t
a r
integridade da NF-e?
u
D
as
i
D
t o
e r
o b
R

2. Autenticidade te
r a
u
D
as
i
D
t o
e r
o b
R

2. Autenticidade te
a r
u
D
as
Quem lê o conteúdo
i
pode conﬁrmar a
D
o
identidade do autor
t
e r
o b
R

<SignatureValue>

t e
EkrnJ7dfQB3BQPaSZ4ajgL2cShEDpBjRNzF4ln/060Jy6rKCwJSm5hZyKHtlcszFR2/C5ZYrBYAUDEHFarfbqAFEUnfWtbGA

r
+KyTNwxl4IPayw4bKDEBH3HRk/qgM8KmKY3hulNFQovDI38EWqGlRZ0hbj+liEXNWlxG61qQE2o=
</SignatureValue>
<KeyInfo>
<X509Data>
<X509Certificate>
u a
D
MIIGJTCCBQ2gAwIBAgIIczSKsXOg7XUwDQYJKoZIhvcNAQEFBQAwTDELMAkGA1UEBhMCQlIxEzARBgNVBAoTCklDUC1CcmFzaWwxKDAmBgNVBAMTH1N
FUkFTQSBDZXJ0aWZpY2Fkb3JhIERpZ2l0YWwgdjEwHhcNMTAwOTEwMTEzOTAzWhcNMTEwOTEwMTEzOTAzWjCB5jELMAkGA1UEBhMCQlIxEzARBgNVBA

s
oTCklDUC1CcmFzaWwxFDASBgNVBAsTCyhFTSBCUkFOQ08pMRgwFgYDVQQLEw8wMDAwMDEwMDEzODAyODUxFDASBgNVBAsTCyhFTSBCUkFOQ08pMRQwE
gYDVQQLEwsoRU0gQlJBTkNPKTEUMBIGA1UECxMLKEVNIEJSQU5DTykxFDASBgNVBAsTCyhFTSBCUkFOQ08pMRQwEgYDVQQLEwsoRU0gQlJBTkNPKTEk

a
MCIGA1UEAxMbSURFQVMgV09SSyBJTkZPUk1BVElDQSBMVERBMIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQCyverrYUBJaiWSAeVT5Hh0GN/

i
ABpt9bYu98hdhLJv36HwCwMF5Rl+G/v4ycEc6wDO2ypd5hy1um0SMTQZI8/
nFgR15FRHzwfYKERPGCJBYFAL07RIoutOvqEDXL5jd2ZuF5bArDDu5JYcRNf8YKJGVMJq36vgKPthJWGh4dmvC1QIDAQABo4IC8jCCAu4wDgYDVR0PA
QH/BAQDAgXgMB0GA1UdJQQWMBQGCCsGAQUFBwMCBggrBgEFBQcDBDAfBgNVHSMEGDAWgBS3YKhb

D
+bKmrgDtdOvVSsmWaGb1XDCBtQYDVR0RBIGtMIGqgRpST0JFUlRPQElERUFTQVRXT1JLLkNPTS5CUqA4BgVgTAEDBKAvEy0wMjA2MTk3MDc4MDQ2Nzc
3NjY4MDAwMDAwMDAwMDAwMDAwMDAwMDAwMDAwMDCgHgYFYEwBAwKgFRMTUk9CRVJUTyBESUFTIERVQVJURaAZBgVgTAEDA6AQEw4wNzMwMTY3MTAwMD
EzMaAXBgVgTAEDB6AOEwwwMDAwMDAwMDAwMDAwVwYDVR0gBFAwTjBMBgZgTAECAQYwQjBABggrBgEFBQcCARY0aHR0cDovL3d3dy5jZXJ0aWZpY2Fkb
2RpZ2l0YWwuY29tLmJyL3JlcG9zaXRvcmlvL2RwYzCB8AYDVR0fBIHoMIHlMEmgR6BFhkNodHRwOi8vd3d3LmNlcnRpZmljYWRvZGlnaXRhbC5jb20u

o
YnIvcmVwb3NpdG9yaW8vbGNyL3NlcmFzYWNkdjEuY3JsMEOgQaA/

t
hj1odHRwOi8vbGNyLmNlcnRpZmljYWRvcy5jb20uYnIvcmVwb3NpdG9yaW8vbGNyL3NlcmFzYWNkdjEuY3JsMFOgUaBPhk1odHRwOi8vcmVwb3NpdG9
yaW8uaWNwYnJhc2lsLmdvdi5ici9sY3IvU2VyYXNhL3JlcG9zaXRvcmlvL2xjci9zZXJhc2FjZHYxLmNybDCBlwYIKwYBBQUHAQEEgYowgYcwRwYIKw

r
YBBQUHMAKGO2h0dHA6Ly93d3cuY2VydGlmaWNhZG9kaWdpdGFsLmNvbS5ici9jYWRlaWFzL3NlcmFzYWNkdjEucDdiMDwGCCsGAQUFBzABhjBodHRwO
i8vb2NzcC5jZXJ0aWZpY2Fkb2RpZ2l0YWwuY29tLmJyL3NlcmFzYWNkdjEwDQYJKoZIhvcNAQEFBQADggEBAJA1CLr8MWr+Rf5XmleEpHlVFJIb/

e
qp0oQ4Tv+Z/1yV7tmDpjqMuEoktT0M9sca4TVxtyW4vQMriIow7b8msk5NtPm7FiF54XViinoDTl7s3wVaFV/whHs3zTRQHeXtcD6nz+rQY2A3/
TTvPHVB4s8ytDtzCdQ1OgwArCiax8W4Norqv19EAqX/wSIstCeCaPxk/5f4+5mQ4ODSo/

b
2wAABgwIgDB3BmAIfun32WuD6mYCaNFfLI2oZCV4y2KxmWY7Zy2SO40X8/DEZ/
CTGahEqsj02Y70akNtUQ4tlMJEKxfzCN0PUj9BdkqrY2jYRk0UTf2s/O4SrFONjPjOrTAxqk=
</X509Certificate>
</X509Data>
</KeyInfo>
</Signature>
R o

3. Não repúdio te
r a
u
D
as
i
D
t o
e r
o b
R

3. Não repúdio te
ar
u
D
as
O emissor não pode i
negar a autenticidadeD
da mensagem o
r t
b e
R o

MP 2.200 - agosto/2001
t e
a r
u
D
as
i
D
t o
e r
o b
R

MP 2.200 - agosto/2001
t e
a r
u
“As declarações constantes dos D
s
ade
i
documentos em forma eletrônica

D
produzidos com a utilização
processo de certiﬁcação

t o
disponibilizado pela ICP-Brasil
r signatários”
presumem-se verdadeiros
e
b
em relação aos
o(Artigo 10º § 1º)
R

AJUSTE SINIEF 07/2005
t e
a r
u
D
as
i
D
t o
e r
o b
R

AJUSTE SINIEF 07/2005
t e
a r
Considera-se Nota Fiscal Eletrônica - NF-e o u
documento emitido e armazenado D
a
eletronicamente, de existência apenas digital,s
i
com o intuito de documentar operações e
D
prestações, cuja validade jurídica é garantida pela

t o
assinatura digital do emitente e autorização de uso

e r
pela administração tributária da unidade federada
do contribuinte, antes da ocorrência do fato

o b
gerador.

R
(Artigo 1º § 1º) www.robertodiasduarte.com

4. Disponibilidade te
a r
u
D
as
i
D
t o
e r
o b
R

4. Disponibilidade te
a r
u
A informação deve estar
D
disponível sempre que
s
necessária
a
i
D
t o
e r
o b
R

5. Conﬁdencialidade e
t
a r
u
D
as
i
D
t o
e r
o b
R

5. Conﬁdencialidade e
t
a r
u
D
A informação só
as
está disponível i
para aqueles D
devidamente
t o
autorizados
e r
o b
R

6. Auditabilidade te
a r
u
D
as
i
D
t o
e r
o b
R

6. Auditabilidade te
a r
u
Registro de alterações e D
consulta de dados
as
i
D
t o
r
Quem?
Quando?
O que fez?
b e
R o

t e
a r
u
D
2 itens
as
i
D
fundamentais
t o
e r
o b
R

1. Certiﬁcados Digitais t e
a r
u
D
as
i
D
t o
e r
o b
R

1. Certiﬁcados Digitais t e
a r
u
Integridades
D
i a
Autenticidade
NãoDrepúdio

t o
Conﬁdencialidade

e r
o b
R

Assinatura digital te
a r
u
D
as
i
D
t o
e r
o b
R

Um caso real... te
r a
u
D
as
i
D
t o
e r
o b
R

Carimbo do Tempote
a r
u
D
as
i
D
t o
e r
o b
R

Um livro de presentee
rt
u a
D
as
i
D
t o
e r
o b
R

Um livro de presentee
rt
a
u que...
D
1a pessoa

as
i
D
t o
e r
o b
R

t e
2. Sistemas e processosa r
u
D
as
i
D
t o
e r
o b
R

t e
2. Sistemas e processosa r
u
D
as
Integridade
i
Autenticidade
Não repúdio
D
+

t o
Conﬁdencialidade

r
Disponibilidade

e
Auditabilidade

o b
R

t e
a r
u
Mas...
D
as“aqui não
i
D precisa...”
t o
e r
o b
R

t e
a r
u
D
s
9 situaçõesahipotéticas
i
D
t o
e r
o b
R

1. Qual a probabilidade te
de...
a r
u
D
as
i
D
t o
e r
o b
R

de...
a r
u
D
papel de um ia
s
Receber nota ﬁscal em
fornecedor
D
que deveria emitir NF-e?

t o
e r
o b
R

Impacto... t e
a r
u
D
as
i
D
t o
e r
o b
R