O que é Segurança da Informação? por Laryssa Miranda e Henrique Haas

Estudos estatísticos mostram que a perda de informação por invasão de hacker, cópias indevidas de material da empresa e espionagem não são as principais causas da vazamento de conhecimento. O principal disseminador dos dados e informações para o público externo é o próprio funcionário em conversas formais e informais. O usuário é o elo mais fraco quando se trata de segurança da informação e quando não orientado pode disseminar informações sem conhecer ou entender o impacto na competitividade do negócio.
Não adianta investir esforços somente em proteção de TI. Para variar, é preciso criar cultura sobre o assunto e a única forma de realizar isso é difundir os conceitos, o valor de cada informação e criar uma política clara com deveres e direitos de cada colaborador. Criar regras e procedimentos para o uso das ferramentas tecnológicas disponibilizadas pela empresa também ajuda a conscientizar o funcionário e a minimizar perdas por acesso indevido, principalmente quando existem implantados sistemas seguros, que garantem a integridade dos dados e informações alem de permitir diferentes perfis de acesso.
A política tem que estar alinhada com o negócio da empresa, caso contrário, se torna um entrave para o seu próprio desenvolvimento e de seus funcionários, além de gerar uma falsa sensação de segurança. O ponto de equilíbrio para a sua empresa sobre o quanto deve controlar e quanto deve abrir as informações depende do negócio e da indústria onde está inserida. Não existe um padrão, uma receita de bolo onde todos podem seguir. A empresa que copia modelos corre o risco imenso de perder competitividade por disseminação da informação confidencial.
É preciso prestar atenção na forma de elaborar e introduzir a política de segurança da informação e das normas nela inseridas afim de não gerar certa alienação nos colaboradores, criando insegurança e medo. Esta política pode barrar não só o que é indevido, mas também a informação que poderia ser útil a própria organização. Em parte, abrir a empresa em certos momentos é importante para captar informações externas. Encontrar o ponto saudável é essencial e para isso é preciso conhecer bem a cultura onde está inserida a empresa, entender seus stakeholders. Não se deve criar procedimentos sem respeitar e conhecer as crenças e hábitos locais. Quando se conhece o ambiente fica possível identificar a melhor forma de fazer os empregados absorverem os conceitos e entenderem o cenário.
Apesar das empresas saberem disso, ainda não existe um trabalho sistemático sobre o assunto. Caso você tenha um filho, é melhor colocar a cerca para ele não ir para próximo a piscina ou ensiná-lo a nadar para sobreviver em qualquer piscina? Esse é o papel da política clara e objetiva, ensinar a todos sobre como proceder nas “n” situações em que poderá vivenciar, para no mínimo quando tiver uma dúvida, saber a quem procurar.
Todo empregado precisa também se interessar pelo assunto e não ficar limitado somente a política. Ele precisa saber as conseqüências do mau uso dos dados, informações, conhecimentos e ferramentas que a empresa disponibiliza. Um e-mail cedido pela empresa é de responsabilidade da mesma. O envio de mensagens não alinhadas às políticas legais, éticas e morais ou o uso de software não regularizado expõem a empresa que irá se tornar responsável pelos danos causados, e a mesma poderá processar o empregado por tais danos. O contrário também é verdadeiro.
É correto o uso de ferramentas que possibilitem a empresa rastrear 100% das atividades do empregado a partir de sua infra estrutura, como o controle e monitoramento da rede, que gera relatórios completos do perfil de acesso a internet, conversas através de comunicadores internos e externos, correio eletrônico e inclusive os circuitos internos de TV as vezes dispostos até em banheiros? As empresas que utilizam dessas ferramentas tem todos os dados e informações registrados ao longo da vida do funcionário na empresa. Será que as pessoas que acessam a essas informações são pessoas bem instruídas para analisá-las? A imagem e a reputação de uma pessoa pode ser devassada quando em mãos incorretas.
Por outro lado, é impossível travar o conhecimento adquirido pelo funcionário durante seu período na empresa, colocar um cadeado para que não saia da cabeça dele (figura). Certos conhecimentos não podem ser disponibilizados principalmente quando o empregado se desliga da empresa. Isso é questão de ética. Muitos ainda confundem informação e ou aprendizado com conhecimento. A falta de uma política clara de segurança da informação na empresa, permitem perdas nesse sentido. O contrato de trabalho deveria prever uma cláusula para o caso de desligamento, mencionando um período após a saída onde o empregado não poderá divulgar qualquer informação da empresa. Existem casos de funcionários que se desligaram de uma empresa e levaram idéias e projetos inteiros para a outra afetando competitividade da anterior.

O limite das ações não é claro. É preciso dar início a um processo, criar a primeira política e adequá-la sempre que necessário, com revisão no mínimo anual. Monitorar ações no dia a dia do colaborador para identificar a eficiência e as falhas existentes. Todos nós somos responsáveis, a empresa e todos os colaboradores nela inseridos. O pior discurso é o “eu não sabia”. Mude de atitude!