Incidentes não escolhem o porte da empresa

Problemas e incidentes ocorrem o todo tempo nas empresas. Talvez os exemplos abaixo possam demonstrar algumas destas questões corporativas que ocorre silenciosamente  e que pode representar grandes perdas financeiras independente do tamanho da empresa.

§   Suspeita de fraude nos sistemas corporativos;

§   Roubo de ativos;

§   Ausência de justificativas para os custos elevados de licenciamento de softwares;

§   Suspeita de vazamento de informação ou roubo de propriedade intelectual;

§   Necessidade constante de estar compliance com as normas ISO27001, BS25999, PCI, SOX, HIPAA, GLBA, FCPA;

§   Cybercrime ou Crime Eletrônico;

§   Suspeita de lavagem de dinheiro ou adulteração de informações financeira.

§   Processos trabalhistas carentes de informações ou evidências conclusivas;

§   Ausência de um canal de denúncia para endereçar incidentes corporativos.

Entendo o cenário

Incidentes podem afetar a empresa de diversas formas. Um e-mail interno com difamação de colegas de trabalho, ou desmembramentos que podem desencadear em outros tipos de incidentes maiores, como uma “fraude financeira” ou um “roubo de ativos”. Abaixo listei alguns incidentes recorrentes nas empreas hoje:

-    Incidente financeiro: Fraude, falsificação de documentos, corrupção, adulteração de salários, processos operacionais corrompidos, roubo de ativos.

-    Incidente em TI: Violação de políticas de segurança, procedimentos ou códigos, perda ou furto de dados, ataque de vírus, mal uso da internet e e-mail expondo à organização à pornografia, corrente  de mails, engenharia social, difamação, uso incorreto dos ativos da empresa (celular, notebooks,CD).

-    Incidente físico: Falha na segurança do estabelecimento, acesso por pessoas não autorizadas, roubo de ativos da organização ou pessoais, vandalismo, pacotes e encomendas suspeitas, incêndio, enchente, queda de energia, ameaças de ordem pública.

A Gestão de Incidentes é o processo de detecção, tratamento e prevenção de incidentes de segurança. Durante o tratamento de um incidente, ou seja, a partir de uma ruptura operacional do negócio, Planos de retorno operacional tratarão de ações corretivas.

Sempre gosto de comentar sobre o conceito de PDCA - Plan,Do,Check,Act - colocar  os planos em prática é fundamental.

Good luck.

Nem tudo é TI

A segurança da informação tem sido tratada a muito tempo como uma questão essencialmente de tecnologia. Os investimentos em tecnologia tinham pouco ou nada de elemntos de controle de segurança. Com o tempo as eempresas começaram a perceber que incidentes ocorrem todo o tempo e que ninguém está livre de ser surpreendido a qualquer momento.

Sabemos que o uso da Internet hoje é massivo e portanto a segurança de "perímetro" que antes era uma forma de proteger as empresas do "mal que teoricamente estava do lado de fora" já não é mais aplicável.

Posso citar inúmeros exemplos de uso da Internet que transcende a infraestrutura da empresa e que portanto extrapola os perímetros da rede "corporativa local".

• Uso de smartphones na rede interna e que também tem acesso externo por meio do 3G;
• Uso de redes sociais para divulgar materiais da empresa mas aberto para conversações e postagens pessoais;
• Uso de pen-drives e discos externos;
• Uso de e-mail pessoal e comercial da estação de trabalho ou até dos smartphones;
• Uso de ativos pessoais como net e notebooks na empresa.

Assim é possível entender que a quantidade de controles necessários para evitar incidentes como "vazamento de informação", "uso indevido da marca", "uso indevido de e-mails e da Internet", "contaminação por e-mails recebidos", "fraudes internas", entre muitos outros, muitas vezes é superior à capacidade de administração interna da empresa, e que minimamente a prevenção ainda é a melhor saída.A segurança da informação realiza a capacidade de absorção de tecnologias e processos que minimize riscos para o negócio. A continuidade do negócio é o resultado da gestão efetiva dos riscos e da segurança das ações, das pessoas e da infraestrutura da empresa.
Assegurar para ficar tranquilo :-)

Direito & Dever

...porque na Lei de Introdução às Normas do Direito Brasileiro, Artigo 3o., está decretado que  "ninguém se escusa de cumprir a lei, alegando que não a conhece".