O que muda para o cidadão com a nova lei de crimes cibernéticos?

Para nós, profissionais da área de segurança, a falta de legislação específica sempre foi um fator que impediu a punição dos responsáveis por atos considerados ilícitos. Atuamos bem no âmbito da tecnologia, mas quando finalmente conseguimos encontrar os culpados, parece que todo o trabalho foi em vão.

Tirando alguns casos de sucesso, o que reina no mundo digital é uma sensação de impunidade quanto ao “crime digital”. Quando esse “crime digital” evolui para um “crime no mundo real”, punir os agressores se torna menos complexo, entretanto, quando ele acontece apenas no âmbito digital a coisa muda de figura.

As provas de perícia passam a ser fundamentais nestes casos e, mesmo assim, em muitos aspectos, existem falhas nas tecnologias que usamos em nosso dia a dia. As mesmas podem ser utilizadas para propiciarem dúvidas às referidas provas.

As novas leis trazem um horizonte diferente para esta questão específica, tratando de forma objetiva muitos dos temas que discutimos. Os principais pontos que foram alterados com a nova legislação e que devem ser observados são:

a) Passa a ser crime o simples ato de interromper (os nossos conhecidos DDOS) os serviços de utilidade pública em mídias disponíveis na Internet. Mas atenção: se sua empresa for atacada, você deve provar que o serviço prestado é de utilidade pública;

b) Os cartões de crédito e débito passam a ser um documento particular. Ações como roubo, adulteração ou falsificação dos mesmos passam a ser regidas por lei já existente;

c) Indicada a criação de setores e equipes especializadas no combate à ação delituosa em rede de computadores, dispositivo de comunicação ou sistema informatizado nos órgãos da polícia judiciária, propiciando a médio e longo prazo o aprimoramento do tema dentro destas instituições;

d) Inclui também a possibilidade de bloqueio de transmissões ou publicações em qualquer meio no intuito de praticar, induzir ou incitar a discriminação ou preconceito de raça, cor, etnia, religião ou procedência nacional;

e) O simples fato de invadir um dispositivo e obter informações privadas, com ou sem intenção de utilizá-las de forma ilícita, passa a ser crime também. Assim, senhas, documentos sigilosos, conversas particulares e correspondência, se forem encontrados de posse de terceiros, sem autorização, já são indicados como crime, independente de serem ou não utilizados para algo ilícito;

f) Desenvolver e distribuir softwares de grampo, escutas ou controle remoto para fins ilícitos também passam a ser considerados crime.

Em resumo, “crime digital”, que ocorre apenas no meio digital, já começa a ser considerado como “crime real” (Na verdade, eu nunca gostei desta diferenciação, pois para mim, o “virtual” ou “digital”, não diferem do “mundo real”, são apenas meios diferentes, regidos pelas mesmas regras humanas).

Estas modificações somadas trazem uma perspectiva nova para os profissionais de segurança de TI. Antes, nossos limites eram balizados única e exclusivamente pela ética, moral e caráter. Entretanto, isso esta mudando gradativamente.

Não só o Brasil, mas outros governos, começaram a fazer ações no intuito de apertar o cerco aos criminosos digitais, desde o grande ataque de DDOS orquestrado pelo grupo Anonymous.

Mudanças de legislação, criação de grupos de resposta e acordos internacionais teem se intensificado.

Os atos dos profissionais de TI tendem, cada vez mais, a serem regidos por normas rígidas e, nesse momento de transição, podem surgir algumas situações estranhas na aplicação da lei. Observemos algumas situações existentes atualmente:

a) Existem muitos softwares no mercado que fazem operações de armazenagem de senhas em áreas temporárias, seja em memória ou disco, para facilitar o uso de sistemas e velocidade - as mesmas senhas que deveriam ser secretas ou armazenadas em dispositivos seguros ou pessoais;

b) Softwares de controle remoto são utilizados por equipes de manutenção para agilizar atendimentos - os mesmos softwares que podem ser utilizados para fins ilícitos;

c) Softwares fazem armazenamento de paginas WWW e outros protocolos (aceleradores de WAN, por exemplo) para melhorar performance - dados que podem ser privados e que não poderiam ser armazenados em outros dispositivos;

d) Sistemas de registro (log) de operação são utilizados para armazenar históricos de operação para avaliação de sistemas – lista de ações que podem ser privadas e que não poderiam estar armazenadas em outros dispositivos;

e) Softwares de invasão e controle são desenvolvidos em universidades para testes de segurança - os mesmos utilizados por hackers para invadir sistemas;

f) Instituições financeiras, governos e instituições privadas que ainda tem bancos de dados de senhas em claro por causa dos sistemas legados - senhas utilizadas em conjunto com cartões que passaram a ser documentos privados;

g) E para variar, os sistemas em nuvem (cloud) que estão no exterior - onde a legislação pode não ser aplicada.

A lista é enorme! A distância entre o que a tecnologia oferece como segurança para uso comum e as necessidades informacionais da sociedade crescem a cada dia. A necessidade de comunicação ainda prevalece sobre a segurança.

No final das contas, tudo dependerá de como os juristas interpretem a aplicação da lei. Juristas que em primeiro momento, não tem conhecimento dos aspectos técnicos e dos limites da tecnologia. Vai ser, no mínimo, interessante e curioso observar este processo evolutivo.

Com certeza, ainda vamos avançar muito, mas já demos os primeiros passos. Afinal, já somos uma sociedade digital há algum tempo.

Clique nas leis abaixo e leia na integra.

Lei nº 12.737 - Lei Carolina Dieckmann

Lei nº 12.735 - Lei Azeredo

A qualidade de software como base competitiva

  Em postagens anteriores, tivemos muitas discussões sobre como a qualidade do desenvolvimento de software influencia na segurança da informação. Pensando nisso, estou postando um resumo da tese de especialização que o colega Lucas Pereira elaborou e publicou no site http://testelabs.blogspot.com.
Boa leitura.

Nos dias atuais, com um mercado altamente competitivo, que reúne vários fabricantes e fornecedores de diversos tipos de produtos e serviços, a qualidade deixa de ser um diferencial competitivo e passa a ser um item básico de sobrevivência das organizações, uma necessidade permanente. Desta forma, uma empresa que forneça bens e/ou serviços com baixa qualidade corre um sério risco de ser descartada pelo mercado consumidor.

Devido a esse mercado altamente competitivo, as empresas passaram a se preocupar em adotar as técnicas mais modernas de qualidade e produtividade para combinar os recursos disponíveis de maneira a aumentar o seu volume de negócios, garantindo a satisfação dos seus clientes e suas margens de lucro.

Em contrapartida, se as empresas não entregam novos produtos ou funcionalidades aos clientes, rapidamente se tornam obsoletas. Assim, o grande desafio é equilibrar as ações para entregar constantemente novos produtos com qualidade e custos adequados. 

Esta teoria é facilmente compreendida através da triângulo da qualidade (TRIPLE CONSTRAINT). Uma estrutura para a avaliação de demandas conflitantes, um triângulo em que um dos lados ou um dos cantos representa um dos parâmetros que está sendo gerenciado pela equipe do projeto. (PMI, 2004:375) 

O triângulo trata do gerenciamento de necessidades conflitantes do projeto, como o escopo, o tempo e o custo. No que tange a qualidade do projeto é necessário encontrar o balanceamento desses três fatores.

Para encontrar esse equilíbrio existem diversas ferramentas como, por exemplo, o PDCA (Plan, Do, Check, Action), o KAMBAN e o 05 Porquês, que têm a função de ajudar as empresas a atingir a excelência nos seus projetos, melhorando continuamente e aplicando valor ao seu produto.

Existem inúmeras vantagens para se efetuar testes de qualidade nos softwares desenvolvidos. A principal delas é a satisfação dos clientes, pois reduzindo o número de reclamações deles, o produto passa a ser indicado e a imagem da empresa melhora a cada dia. Com isso, surge a fidelização em relação aos produtos, a maturidade e estabilidade dos softwares passam a ser atingidas rapidamente e os custos com desenvolvimento e manutenção são reduzidos, gerando maior receita à empresa.

Com base na pesquisa e na observação das empresas estudadas, seguem as recomendações sobre a estrutura organizacional que melhor se adéquam ao departamento de testes de software:

- Não é recomendado que o Departamento de Qualidade e Testes de Software seja coordenado pela mesma gerência da Equipe de Desenvolvimento, pois pode haver conflitos de interesse;

- O departamento de Testes de Software deve estar preferencialmente abaixo de uma diretoria específica de qualidade da empresa;

- A estrutura interna do Departamento de Teste de Software deve seguir os padrões de certificações existentes, citadas anteriormente, que são:

• Líder do Projeto de Testes: responsável pela liderança de um projeto de teste específico, normalmente relacionado a um sistema de desenvolvimento, seja um projeto novo ou em manutenção (RIOS e MOREIRA, 2006);

• Engenheiro/Arquiteto de Teste: responsável pela montagem da infraestrutura de teste, montando o ambiente de teste, escolhendo as ferramentas de teste e preparando a equipe para executar o seu trabalho neste ambiente de teste;

• Analista de Teste: responsável por modelar, especificar e documentar os casos de testes que devem ser realizados, em resumo esta função cria os Planos de Testes que o testador irá executar;

• Testador: responsável por executar os testes e analisar os resultados obtidos, seguindo parâmetros previamente definidos no Plano de Testes.

Para o profissional, temos algumas certificações no mercado. São elas:

Para as empresas desenvolvedoras temos:

Bullying, mais uma ameaça à segurança das corporações.

A palavra bullying apareceu em nosso país há pouco tempo. Em épocas passadas – as quais remontam à minha infância – ser chamado de gordinho, narigudo, magrelo ou baixinho causava no máximo uma chateação temporária e em poucos casos levava a traumas incuráveis. Então, o que exatamente fez uma brincadeira sem graça transformar-se em bullying?

Imagem: meioambientetecnico.blogspot.com.br

Note, vez ou outra, todos nós corremos o risco de fazer uma brincadeira infeliz e acabar desagradando alguém, seja propositalmente ou não. Quando percebemos o incômodo do outro, a maioria de nós pede desculpas. Entretanto, há pessoas que continuam insistindo na mesma brincadeira de forma agressiva e sistêmica, isso é bullying. 

Essa insistência caracteriza uma intenção de humilhar e prejudicar o outro em situações que vão além do contexto da brincadeira. Foi o que aconteceu com a inspetora escolar Karen Klein. Vítima de insultos por parte dos alunos, sua história repercutiu na Internet e causou grande comoção.  

O aumento progressivo dessas situações de violência levou as autoridades, inclusive, a tomar algumas atitudes mais severas. No Distrito Federal, por exemplo, já existe uma iniciativa legal para combater esse tipo de comportamento dentro das escolas. 

No ambiente corporativo, episódios de desrespeito também tendem a ocorrer cada vez mais, afinal o estudante de hoje é o profissional de amanhã. Muitos casos têm chegado à Justiça e denunciam profissionais que ameaçam divulgar informações da empresa, como áudios de reunião ou fotos/vídeos de chefia em situações comprometedores, caso sejam demitidos. Essas situações podem ser flagradas entre colaboradores ou entre chefes e subordinados.

A atual facilidade de se disponibilizar um dado (áudio ou vídeo) pela Internet passou a trazer prejuízos maiores às empresas.  Isso porque o conteúdo do material divulgado nem precisa ser altamente relevante à corporação para causar problemas, basta que a informação esteja contextualizada de modo a prejudicar a empresa ou a pessoa.   

Por exemplo, se o presidente de uma determinada marca de bebida for fotografado tomando uma bebida do concorrente, esta foto pode ser facilmente utilizada como mecanismo de pressão. Caso vá para a Internet, o dano será do ocupante do cargo, mas atingirá também a empresa, em consequência da exibição pública de seu principal diretor consumindo o produto do concorrente.

Do ponto de vista da segurança da informação, essa mudança no comportamento social obriga as empresas a adotar medidas preventivas em relação a determinadas atitudes. Já que, agora, a exposição do indivíduo pode afetar diretamente o negócio, comprometendo tanto a imagem da corporação quanto as relações internas. 

Então, o que as empresas podem fazer para evitar certos transtornos? Trabalhos realizados com o intuito de minimizar a fofoca ou estabelecer comportamentos adequados dentro das instituições devem ser ampliados pela equipe de RH, principalmente no que diz respeito às mídias sociais e o impacto direto delas no trabalho de cada um. Campanhas de conscientização e normatização sobre o assunto precisam ser inseridas nas cartilhas. É necessário que o problema seja tratado corporativamente, de forma que, caso algo aconteça, as vítimas possam sentir-se seguras e informar suas chefias. 

Se a empresa ficar ciente de algum episódio interno que possa ser considerado bullying, ela deve tomar ações imediatas para conter o problema, levando-o às autoridades competentes. É preciso ter em mente que mesmo que o caso tenha apenas repercussão interna, as vítimas podem processar a empresa por conivência, assim a normatização e o registro documental imediato do ocorrido devem ser providenciados.