Ep. 03 Segurança Cibernética - Cenário atual das instituições

Salve, Pessoal!

Nesse post vou fazer um breve panorama sobre a situação das instituições financeiras do Brasil no tocante à cibersegurança.

Antes de chegar nos dados, vou começar explicando rapidamente alguns detalhes envolvidos na Gestão de Segurança Cibernética.

É consenso entre profissionais da área de segurança (seja ela cibernética ou não) que ideias como Risco Zero ou Segurança Total são mitos. Sabe-se, sim, que existe um trade-off entre Usabilidade e Segurança. Quanto mais "usável" uma ferramenta, mais ela tende à insegurança. Quanto mais se adiciona segurança, mais difícil de usá-la.

Pense na sua casa. Se não houvesse muro, portão, alarme, chave na porta? Era só parar o carro e entrar direto na casa, poupando alguns minutos por dia, certo? Esse é um cenário de baixa segurança e alta usabilidade. Do contrário, uma casa com mais de um portão, alarme, chave tetra, cachorro, etc. Exige do usuário um certo rito para chegar até a residência: Abrir os portões, segurar o cachorro, achar as chaves, abrir duas ou três fechaduras. Nesse exemplo temos alta segurança e baixa usabilidade.

Por essa ótica, computador 100% seguro é só aquele que está desligado, aeronave 100% segura é aquela que está no chão, etc. Em síntese, só teríamos segurança total quando um dado sistema deixasse de executar a função para a qual foi concebido.

Essa introdução foi para que o leitor compreenda que há uma certa "arte" envolvida na tarefa de gerenciar riscos. Essa "arte" deve levar em conta a natureza do negócio, o contexto, seus usuários, os agentes externos, enfim, uma miríade de fatores. No caso da segurança cibernética no contexto financeiro, o trabalho começa pela definição de um conjunto de boas práticas (normalmente baseadas em normas internacionais) que sejam ajustadas à realidade da instituição. 

Essas considerações e decisões são aglutinadas em um documento normalmente denominado Política de Segurança da Informação (PSI) e são implementadas, de fato, por meio de um Programa de Segurança Cibernética. Perceba que estes são documentos "guarda-chuva", que estabelecem orientações mais genéricas para que cada profissional de nível tático cuide de suas tarefas técnicas. É preciso lembrar, contudo, que sem essa definição prévia é difícil começar a caminhar em uma gestão eficiente de riscos.

No final de 2017 a ANBIMA promoveu uma pesquisa com as instituições financeiras do Brasil. Os resultados, ao meu ver, foram alarmantes. Àquela época, 29% das instituições não possuíam sequer um Programa formal de Segurança Cibernética. Das que tinham, 19% não eram atualizadas a mais de 12 meses. 

Acho alarmante porque o Programa é só um primeiro (e importante) passo, mas sua simples existência não assegura que medidas reais estão sendo tomadas. Abaixo dessa camada inicial, devem ser tomadas inúmeras ações jurídicas, técnicas e de compliance, não abordadas nessa pesquisa.

Veja os gráficos:

Fonte: http://www.anbima.com.br/pt_br/especial/ciberseguranca.htm

Presumo que você esteja se perguntando a mesma coisa que eu: "Será que a minha corretora tem esse programa?" Será que já aconteceu com outro cliente?

Há algumas semanas, mandei uma mensagem para o suporte de quatro corretoras onde possuo conta. Solicitei informações simples:

   1. A instituição financeira possui programa formal de segurança cibernética?

   2. Vocês possuem equipe de tratamento de incidentes cibernéticos e/ou de combate à fraude?

   3. Como devo proceder se notar alguma anomalia?

   4. A corretora está compliant com a legislação no que se refere a segurança?

Para a minha surpresa, recebi apenas uma resposta. Ela dizia que "nenhum cliente está autorizado a falar direto com a área de TI da empresa". As demais nem sequer responderam. Resta-me pensar que o helpdesk está mal treinado nesse assunto, ou que não é o tipo de pergunta que eles recebem normalmente.

Honestamente, eu duvido que o assunto seja ignorado internamente em corretoras, pois os "bancões" já estão bem preparados nesse assunto há algum tempo. Importante frisar que até um certo ponto da história, os bancos faziam uma rápida investigação para averiguar se era caso de auto-fraude (quando o próprio usuário simula um golpe) e, caso constatado que não, restituíam o valor imediatamente e assumiam o prejuízo.

Entretanto, com o crescimento do número de casos e por pressão das instituições bancárias, o entendimento jurídico começou a se virar "contra" o usuário e começaram a serem proferidas sentenças que atribuem ao usuário a responsabilidade solidária no incidente. Ou seja, se ficar comprovado que você não tomou nenhum tipo de cuidado (due dilligence) com sua segurança, a instituição pode se eximir da restituição.

Como não sou da área jurídica, não vou esmiuçar os detalhes, mas fica aqui um alerta importante. Se você não tomar um conjunto de medidas simples e for vítima de fraude, pode ficar sem sua grana e, por conseguinte, sem sua IF.

Se você tiver tempo, veja a "mesa redonda" da ANBIMA aqui:

Nos vemos no próximo post!

Abraços!

AdV