TRABALHO DE SISTEMA DE INFORMAES GERENCIAIS (SIG)

Anlise detalhada do capitulo 12 (Questes ticas e sociais em sistemas de informao)

Trabalho feito por:Thiago AndradeHugo BustamanteDeuler NetoJoao Luiz Mendes

A civilizao humana sempre buscou a proteo das informaes dosConhecimentos adquiridos. Na antiga civilizao egpcia, somente as castas.Superiores da sociedade tinham acesso aos manuscritos da poca, principalmente.Ao que eles escreviam. A escrita por meio de hierglifos do Egito antigo representaUma das vrias formas utilizadas pelos antigos para protegerem a informao ePerpetuarem o seu conhecimento. (GONALVES, 2003).Uma maior ateno para isso passou a existir na sociedade moderna comOs primeiros computadores, que despertaram o interesse por uma maior segurana.Das informaes. Essa preocupao era ainda muito rudimentar, porm com o.Passar do tempo esse processo sofreu muitas mudanas.Os interesses voltados para a segurana no mbito dos computadoresForam crescendo com o surgimento dos computadores time-sharing, que permitiam.Que mais de uma pessoa ou usurio fizesse uso do computador ao mesmo tempo,Acessando as mesmas informaes. Esse acesso no era gerenciado, logo causaria.Efeito indesejvel como de fato acontece nos dias de hoje. A necessidade daImplementao de ferramentas que gerenciassem os mecanismos para minimizar oproblema dos incidentes com as informaes era iminente.Em outubro de 1967 nos Estados Unidos foi criado uma fora tarefa, queresultou em um documento, o Security Control for Computer System: Report ofDefense Science Boad Task Force on computer Security, editado por W. H. Ware,que representou o incio do processo oficial de criao de um conjunto de regraspara segurana de computadores reconhecido mundialmente, que a NormaInternacional de Segurana da Informao ISO/IEC-17799:2000, que j possui umaverso aplicada aos pases de lngua portuguesa, denominada NBR ISO/IEC-17799.(GONALVES, 2003).

A segurana uma das principais reas nas organizaes que estovoltadas para a proteo de seus ativos - tais como a informao - contra acessos,alteraes, publicaes indevidas e no autorizadas, que tm se tornado maispresente e representativos nos SI.Para Freire (2003, p. 1) a segurana da informao protege este, que um ativo importante e de alto valor para a organizao, e que, portanto, necessitaser adequadamente protegido de diversos tipos de ameaas, garantindo assim, acontinuidade dos negcios.Podemos definir Segurana da Informao como uma rea doconhecimento dedicada proteo de ativos da informao contra acessosno autorizados, alteraes indevidas ou sua indisponibilidade. (SMOLA,2003, p. 45).Segurana a definio de um conjunto de diretrizes, normas eprocedimentos que so aplicados em todos os momentos do ciclo de vida, conformeos aspectos complementares da informao, como mostra a Figura 5, viabilizando aidentificao e o controle de ameaas e vulnerabilidades da informao no ambienteorganizacional.Ferramenta que no segue padres, mas metodologias implementadaspelas organizaes, baseadas em normas como a NBR ISO/IEC-17799, conformeestrutura organizacional e perfil no mercado, a segurana essencial. Porm, nemsempre implementada nas empresas, por razes culturais e/ou polticas, comoapoio da direo, foco nas finanas, nos produtos e tantos outros fatores queinfluenciam esse processo. Esse contexto j apresenta resultados positivos rumo amudanas, influenciado por novidades que surgem no mercado e provocamalteraes nas organizaes.A informao, produto do processamento de um conjunto de dados,esteve sempre presente em todas as etapas das atividades desenvolvidas nasorganizaes, cumprindo importante papel na gesto dos negcios e nas tomadasde decises. Todas as organizaes, por menor que sejam, independente do seusegmento no mercado, core-business e porte, sempre usufruram da informaocom objetivos de melhorar a produtividade, reduzir de custos, aumentar a agilidade,e a competitividade, dando apoio tomada de deciso e principalmenteproporcionando ganho de market share.As informaes que h dcadas eram centralizadas e poucoautomatizadas foram tratadas nas fases da evoluo corporativa e da TI, ferramentapropulsora para a valorizao da informao no ambiente organizacional, conformeOBrien (2004, p. 3).O aumento dos investimentos em TI trouxe alta funcionalidade sinformaes, tornando-as mais acessveis, diferente de quando eram documentosmanuais, manuscritos em arquivos com baixa funcionalidade. Os mainframesherdaram a funo central do processamento e armazenamento dos dados queeram consultados em operaes via acesso remoto. Uma importante mudananesse processo foi o compartilhamento da informao que passou a ser uma prticamoderna na gesto da informao, necessria para dar maior rapidez s aes etomadas de decises.A grande quantidade de informao e a necessidade de gesto da delatm provocado vrios incidentes graves no ambiente empresarial, que apresentaiminente obrigao de definir estratgias de segurana no ambiente organizacional.Essa estratgia deve ser implementada de forma abrangente, devendo ser atribudagrande acuidade aos mecanismos de segurana, inclusive aos administrativos. fundamental buscar a valorizao dos processos e do conhecimento em todaestrutura organizacional, visando obter solues com a implementao de recursosde segurana.Por dcadas desenvolveram-se ferramentas de TI que integraram o nossomundo pessoal, profissional, estilos de vida e o ambiente organizacional de umaforma natural e parcialmente equilibrada. Smola (2004, p. 16) compara a ausnciadesses mecanismos ou sua presena estando completamente alterados, com teruma casa sem portas ou com portas, mas sem as devidas fechaduras e sem polcia.A segurana nos SI sofre particularmente com os problemas noidentificados, pois seu crescimento desorganizado e exagerado impossibilitou quefosse tratada de uma forma lgica e seqencial. Com o atual estado da segurana fcil identificar a sua falta de objetivos concretos, o que impossibilita a captura deuma viso global do problema, levando muitas organizaes a ignorarem osbenefcios da TI e conseqentemente da segurana que se faz necessria. Esseselementos, atualmente, so desconhecidos para 68% das organizaes no mundo,segundo Consultoria Booz Allen Hamilton (2005).Hoje em dia a segurana no mundo empresarial no vista ainda comoum benefcio por este campo tem a sua referncia nos produtos. O ambienteempresarial e os negcios esto focados apenas nos produtos, interessados apenasem movimentar largas somas monetrias, e isso no ajuda a evoluir da forma comoproblema est sendo vivenciado, dificultando a concretizao da prpria adoo dasmelhores prticas.No entanto, identifica-se que as grandes ocorrncias relacionadas fuga eperdas de servio e informaes, principalmente no interior das organizaes,continuam a ser um dos principais causadores de perdas financeiras. Desse modo,quando aplicada aos SI, a segurana deve ser aceita como um fator importante,inevitvel e incontornvel para o ambiente empresarial.Essa perspectiva deve ser entendida, interiorizada e totalmente apoiadaprincipalmente pelos diretores das organizaes. Devem ser definidos objetivosclaros de segurana e sua implementao dever ser fortemente adotada em todoambiente organizacional. Neste processo, existe ainda o papel dos especialistas emsegurana, que ajudam na anlise do risco, nas decises ponderadas e naotimizao dos investimentos para que a segurana seja uma prtica implementadacom objetivos de tornar o ambiente seguro e alcanar resultados por meio da prticae polticas adotadas.Para Smola (2003, p. 44) segurana da informao um termo ambguo,podendo assumir dupla interpretao. Primeiro, porque uma prtica adotada paratornar seguro e manter a segurana no ambiente com metodologias e aplicaesque visam estabelecer: controles, autenticao, autorizao e auditorias, como meioque visa garantir a confidencialidade, integridade e disponibilidade da informao. Esegundo, porque tambm resultado da prtica adotada para alcanar o objetivo,caracterstica que adquire a informao ao ser alvo de uma prtica da seguranacom objetivos, porque alcanada por meio de prticas e polticas padronizadas.A segurana da informao tem como objetivo a preservao de trsprincpios bsicos e atravs deles pode-se ter uma real viso da amplitude dodesafio corporativo para sua implementao e manuteno, conforme Figura 6.

Os trs princpios bsicos da segurana da informao.Para Ferreira (2003, p. 2) muito fcil atacar sistemas informatizados,visto que os SI esto conectados atravs das redes. Portanto, pode acontecer aperda de confidencialidade, quando informaes carem nas mos da concorrncia,perda de integridade, quando as informaes forem corrompidas ou apagadas, eperda de disponibilidade quando no puderem ser acessadas para o fechamento deum grande negcio. Isso caracteriza a segurana da informao pela preservaode:_ Confidencialidade garantia de que toda informao deve serprotegida, com certo grau de sigilo, acessvel somente a pessoasautorizadas._ Integridade visa proteger toda informao contra alteraesindevidas, intencionais ou acidentais._ Disponibilidade garantia de que toda informao e ativos estarodisponveis e somente sero acessados por usurios autorizados nomomento em que delas necessitem para qualquer finalidade.Dentre os aspectos de segurana da informao, dois elementos soconsiderados essenciais na execuo da metodologia em complemento aos trsprincpios bsicos da segurana, considerando os objetivos organizacionais, Figura_ Autenticidade identificao e reconhecimento formal da origem doselementos em uma transao, por meio de controles de identificao._ Legalidade valor legal de acordo com clusulas contratuaispactuadas, legislao poltica institucional vigente, seja nacional ouinternacional.O PDS o planejamento e a elaborao de diretrizes, normas eprocedimentos para controlar acessos aos dados e informaes no ambienteorganizacional.O planejamento para implementar e manter a segurana nos SI deve serenfatizado com importncia e esforo para o seu desenvolvimento, algo que pareceser uma tarefa fcil ou desnecessria, para muitas organizaes. No entanto, esseprocesso depende de toda organizao da diretoria aos usurios finais, com osmesmos objetivos focados na melhoria constante dos SI.[...] foroso reconhecer que grande parte das empresas no Brasil iniciou(e, por vezes, prosseguiu) seus esforos de melhoria dos sistemas deinformao com um nvel de planejamento bastante precrio. (BIO, 1996, p.Para Beal (2005, p. 37) a efetiva gesto de segurana precisa serpermanente, cclica, interativa e baseada em processo tcnicos e organizacionaisconsistentes. Portanto, adotar um modelo corporativo de gesto permite organizao equacionar os desafios de proteo, levando em conta todos osaspectos essenciais para a segurana: componentes dos ambientes fsico e lgico,pessoas e processos. Na adoo do modelo de gesto, um mtodo conhecido comoPDCA (de plan, do, check, act) utilizado em processo de gesto da qualidade eoutros nveis de gesto, til para fornecer uma visualizao global das etapas quedevem compor a gesto da segurana da informao.A elaborao de um modelo de gesto de segurana deve levar emconsiderao, em primeiro plano, os desafios do negcio como um todo,abrangendo todos os conceitos de segurana: confidencialidade, integridade,disponibilidade e os aspectos de autenticidade e legalidade.detectados desvios ou falhas a seremcorrigidos).Planejamento o fator crtico de sucesso para a iniciativa de gerir asegurana da informao e o Plano Diretor de Segurana justamente oelemento especfico. Mais do que uma rubrica oramentria destinada ainvestimentos tecnolgicos, como sugere o j tradicional Plano Diretor deInformtica, o PDS tem de ser dinmico e flexvel para suportar as novasnecessidades de segurana que surgem em virtude da velocidade como ocontexto corporativo muda. (SMOLA, 2003, p. 86).Na elaborao e implementao do PDS, algumas mudanas, que seroconstantes conforme as prioridades, devero ser aplicadas para conter e prevenir asvulnerabilidades e os riscos nos sistemas. Desse modo, uma abordagem deve serfeita em toda estrutura organizacional, analisando os recursos utilizados pelosistema, os processos e os componentes, atravs de informaes coletadas noambiente organizacional.Metodologia de qualquer tipo no deve ser implementada na estruturaorganizacional, mesmo que tenha atendido as necessidades de outrasorganizaes, essa restrio deve-se ao fato que o desenvolvimento do PDS exigeatendimento, conforme a estrutura organizacional, as caractersticas da organizao,os seus valores ticos, a sua cultura, o tipo do negcio no mercado, recursos deprocessamento de dados, custos e benefcios, recursos humanos e os seusaspectos polticos.Para Smola (2003, p. 87) definir um PDS em um ambiente organizacionaldeve ser entendido como um fato necessrio e importante, mesmo que nem todosos problemas sejam resolvidos, exclusivamente, por meio dos recursos detecnologias no processamento dos dados. A metodologia deve estar voltada para aanlise de alternativas de hardware, software, recursos humanos e custos.Para planejar e implementar uma metodologia, embora exista umacaracterstica universal, preciso considerar que as organizaes so diferentes eque seus estgios de evoluo em sistemas so dinmicos, sendo assim, apenas asetapas ordenadas abaixo devem ser seguidas para no perder o foco e chegar aofracasso.

_ Identificao dos processos de negcio: entrevistas e brainstorm;_ Mapeamento da relevncia;_ Estudo de impactos dos conceitos: confidencialidade, integridade,disponibilidade, e dos aspectos de autenticidade e legalidade;_ Estudo de prioridades: gravidade, urgncia e tendncia;_ Estudo de permetros;_ Estudo de atividades desenvolvidas no ambiente organizacional.Associar as aes de levantamento de informaes do negcio, entenderos desafios, conhecer os planos de curto, mdio e longos prazos e as demandas essencial para diagnosticar os sintomas, as anormalidades e os riscos potenciais,identificando ameaas, vulnerabilidades e impactos inerentes ao negcio. Essasaes devem ser realizadas mesmo que no incidam diretamente nos processos donegcio da organizao.O mapa de relacionamento na fase preliminar do levantamento contribuipara um melhor desenvolvimento da anlise entre os processos do negcio e asaplicaes de infra-estrutura fsica, tecnolgica e humana, conforme Figura 8, poisse trata de uma tarefa complexa em funo de fatores dificultadores como: visocorporativa, complexidade dos ambientes organizacionais e a acessibilidade eflexibilidade no uso de tecnologias.Ameaas e vulnerabilidades so elementos do grupo denominado risco,que so visualizados com a possibilidade de explorao nos SI, a partir da suacomplexidade e dinmica, que exigem das organizaes, atravs da gesto desegurana da informao, a identificao, atravs de mtodos detectivos, de outroselementos do grupo de risco que so o ataque, o incidente e o impacto e, prevenirpara alcanar os objetivos de segurana, especficos para o negcio, Figura 9.Esse processo precisa ser desenvolvido de forma permanente e interativa.mudana organizacional, ou tecnolgicas com implicaes nos critrios desegurana que podem criar novas ameaas e aumentar significativamente apossibilidade de um incidente causando impactos no negcio. importante perceberque, mesmo aplicando todas as medidas de segurana, sempre haverpossibilidade de um incidente ocorrer.O risco a probabilidade de que agentes, que so as ameaas, exploremvulnerabilidades, expondo os ativos a perdas de confidencialidade edisponibilidade, e causando impactos nos negcios. Estes impactos solimitados por medidas de segurana que protegem os ativos, impedindoque as ameaas explorem as vulnerabilidades, diminuindo, assim, o risco.(SMOLA, 2003, p. 55).Figura 9 Elementos que geram risco nos SI.Para Beal (2004, p. 14) ameaas so expectativas de acontecimentoacidental ou proposital, provocadas por agentes ou condies, a alvos de ataqueque causam incidentes s informaes, atravs da explorao de vulnerabilidades,provocando perdas, prejuzos de confidencialidade, integridade e disponibilidade aonegcio da organizao.Agente ImpactoSmola (2003, p. 47) classifica as ameaas nos seguintes grupos:_ Naturais que so causadas por fenmenos da natureza como:maremotos, poluio, enchentes, terremotos, tempestadeseletromagnticas, poluio, etc._ Involuntrias causadas, na maioria das vezes, pelodesconhecimento, mas tambm causadas por falhas humanas e outrosfatores como erros e falta de energia._ Voluntrias causadas por agentes humanos, que atuam e planejamataques propositais, esses agentes so qualificados como hackers,invasores, espies, ladres, criadores e disseminadores de vrus decomputador.As vulnerabilidades so falhas nos SI de uma organizao, que durante amanipulao ou processamento dos dados, permitem a explorao provocandoincidentes com informaes, afetando diretamente os princpios da segurana dainformao.As vulnerabilidades so elementos apticos que s provocam incidentesse exploradas atravs de uma ameaa. Elas tambm podem ser provocadas porfatores no planejados na elaborao do PDS, esse processo deve levar emconsiderao todos os fatores ligados diretamente ou indiretamente estruturaorganizacional.O risco decorre da existncia de ameaas nos SI com a possibilidade deexplorao das vulnerabilidades, causando perdas na integridade, confidencialidadee disponibilidade, gerando impactos nos negcios. A percepo da necessidade dediagnosticar e realizar anlises j prioridade em algumas organizaes, mas ainda insignificante quanto ao entendimento do que anlise de segurana.A anlise de segurana, consciente do risco, no deve estar voltada,somente para os recursos tecnolgicos, ou seja, hardware, software, redes esistemas, mas compreender todas as variveis e recursos que superam os aspectostecnolgicos do ambiente interno e externo. Deve ser considerada com uminstrumento fundamental para diagnosticar as mudanas na situao real desegurana do SI da organizao. um conjunto de diretrizes, normas, procedimentos e instrues queformam a poltica de segurana de um SI no ambiente organizacional.Para Ferreira (2003, p. 17) a poltica, padres e procedimentos so aexpresso e o anseio dos acionistas nas tomadas de decises em relao ao uso dainformao por aqueles que a ela tm acesso. A poltica, normas e procedimentosfornecem melhor direcionamento para as implementaes tcnicas e formam umconjunto de aes que compem a gesto de segurana da organizao.Para Smola (2003, p. 108) a elaborao e implementao da poltica desegurana so importantes e necessrias. Todos os nveis da estruturaorganizacional devem participar desse processo permanente. Para essa elaboraoa organizao necessita formar um grupo ou comit, mas, necessariamente, noprecisa criar um departamento, isso depende da estrutura da organizao e donegcio.O importante formar um grupo capacitado com representantes das rease departamentos da organizao, com o objetivo de integrar vises, percepes enecessidades caracterizadas que devero gerar critrios da poltica de segurana.Esse propsito fundamental para a nitidez dos problemas, desafios e impactos,pois agregar valor ao processo de gesto, evitando conflitos e redundncias noestabelecimento das polticas de segurana.A poltica de segurana tem como objetivo e propsito orientar e apoiar asaes da gesto de segurana em toda organizao, por isso abrange toda a suaestrutura, conforme ilustra Figura 10.O comprometimento da alta direo fundamental e extremamentenecessrio para que o envolvimento dos funcionrios ou usurios finais sejaatingido. Ressalta-se que esse envolvimento depende diretamente da forma como apoltica comunicada e compartilhada no ambiente organizacional. Convm que adireo estabelea uma poltica clara e demonstre apoio e comprometimento com asegurana da informao atravs da emisso e manuteno de uma poltica desegurana da informao para toda a organizao. Por meio das diretrizes definidas no documento que estabelece a PSI, aorganizao precisa expressar a importncia da informao, conscientizando osrecursos humanos do valor do seu comprometimento na implementao, seguindoas normas que so estabelecidas na poltica de segurana. Isso feito com oobjetivo de orientar para uso adequado das informaes no ambienteorganizacional, assim como os procedimentos e as instrues, que tem carteroperacional quando aplicados, em maior quantidade, descrevendo detalhadamentecada ao e atividade.Perceber essa complexidade e estabelecer padres, responsabilidades ecritrios no ciclo da informao dentro do nvel de segurana, d a ela o seuverdadeiro valor na gesto de segurana nos nveis estratgico, ttico e operacional.Esse contexto requer dinamismo e mudanas previsveis e imprevisveis na estruturaorganizacional para manter atualizada em todos os aspectos a PSI e seuscomponentes. A classificao da informao, critrios normatizados para admissoe demisso de funcionrios ou usurios finais, criao e manuteno de senhas,descarte de informao em mdias magnticas e manuteno de sistemas, tambmcontribui para manuteno da PSI.A gesto de segurana da informao na sua aplicabilidade responsvelpelo controle quantitativo, qualitativo e de desempenho dos SI nas organizaes.Esses controles so fundamentais na gesto quando so eficazes e proporcionamsegurana, portanto, devem ser implementados em todos os recursos e elementosdo SI, seguindo a PSI da organizao, bem como as melhores prticas globais emsegurana da informao.A segurana lgica e fsica utiliza os controles com o objetivo de minimizarerros, fraudes, destruio nos SI, garantir a qualidade, reduzir o impacto, prevenircontra ameaas e controlar as vulnerabilidades, monitorando o ciclo da informao eo acesso s instalaes de hardwares.OBrien (2004, p. 401) classifica os trs principais tipos de controles quedevem ser desenvolvidos e implementados na cultura de segurana de umaorganizao para garantir a qualidade da segurana da informao dos SI, so eles:_ Controles dos sistemas administram o desempenho e a seguranado SI, formados por dispositivos e mtodos criados com o objetivo degarantir, restringir e validar com preciso as atividades de entrada,processamento, armazenamento e sada, atravs de senhas,comparao de registros e outros cdigos de segurana desenvolvidospara identificar o correto processamento e armazenamento dos dados,para que, os produtos da informao estejam completos e disponveisaos usurios autorizados;_ Controles de procedimentos - procedimentos-padro, documentao,requisitos de autorizao e auditoria, elaborados com o objetivo deorientar como os recursos dos SI, correio eletrnico e redes daorganizao devem ser operados com segurana no desenvolvimentodas atividades;_ Controles de instalao proteo fsica, controles de falhas,telecomunicaes e seguros, executados atravs da segurana deredes com softwares de monitoramento, criptografia, firewalls eantivrus, constitudos de mtodos criados para proteo deinstalaes de hardwares e redes, contra perdas ou destruio,provocadas por ameaas naturais, involuntrias ou voluntrias.Para Ferreira (2003, p. 97) os controles so classificados em duascategorias, sejam de mtodos ou no, a saber:_ Controles preventivos previnem tentativas de violao a PSI,implementado mecanismos de controle de acesso como criptografia eautenticao;_ Controles detectivos visualizam e informam sobre tentativas deviolao a PSI, incluindo procedimentos de auditoria, firewalls eantivrus para detectar intrusos.Os recursos humanos, por serem considerados o elo mais frgil do SI,precisam ser treinados, conscientizados e sensibilizados para a necessidade e aresponsabilidade de criar e manter a segurana da informao no ambienteorganizacional no desenvolvimento das atividades. Esse processo pode parecer, ouser difcil de ser executado, pelo fato do ser humano ser complexo, dotado deiniciativas, criatividade e sofrer influncias de fatores externos, mas o nvel deconhecimento e o perfil dos funcionrios tm grande valor nesse contexto.A especificao e criao de normas, procedimentos e diretrizes paracriao, manuseio, armazenamento, transporte, descarte de recursos de auditorias eautenticao no garantem uma segurana eficiente para o ambiente e os SI, se acpula da organizao no estiver comprometida e os usurios envolvidos, paraimplementao da PSI.Segundo Smola, (2003, p. 130) essa fragilidade precisa ser tratada deforma gradativa, com intuito de criar uma cultura de segurana, integrando asatividades dos usurios e comprovando que essa ao um instrumento deautoproteo que deve ser compartilhada por todos e entendida comoresponsabilidade de cada indivduo. Somente dessa forma as organizaes teroverdadeiros aliados na batalha de reduo dos riscos e na gesto de segurana dainformao.Existem inmeras formas para as organizaes construrem a cultura desegurana no seu ambiente interno com propagao para o externo. Isso pode serfeito atravs de seminrios abertos voltados para o compartilhamento e percepodos riscos que podem causar impactos potenciais no negcio; campanhas dedivulgao, atravs de correio eletrnico, proteo de telas, informativos,comunicados internos e outros que apresentem os padres, critrios e instruesalinhados s necessidades do negcio; cursos de capacitao de acordo com operfil de cada profissional, pois alguns necessitam do conhecimento de conceitos,mtodos e tcnicas bsicas, mdias ou avanadas, dependendo tambm da rea. Otermo de responsabilidade um instrumento fundamental para a formao dacultura, pois alm de formalizar o compromisso e o entendimento, divulga aspunies cabveis pelo desvio de conduta.A organizao precisa dispor de um processo disciplinar aplicvel apessoas que tenham violado polticas ou procedimentos de segurana. Aexpectativa de punio essencial para ajudar a inibir comportamentosque podem acarretar desrespeito s normas de seguranaEsse processo para ser eficaz requer planejamento, implementao,manuteno e anlise contnuos, sensibilizando e capacitando, do contrrio tudoser invivel na formao e desenvolvimento da maturidade da cultura desegurana, tornando-o mais vulnervel a novas situaes de riscos, devido velocidade com que surgem as falhas de segurana.Ferreira (2003, p. 30) afirma que, de acordo com a norma tcnica NBRISO/IEC 17799 Cdigo de Prtica para Gesto de Segurana da Informao,seo 6.2, o treinamento deve garantir que os usurios estejam cientes dasameaas e da preocupao de segurana da informao e equipados para apoiar aPSI da organizao durante a execuo normal do seu trabalho. Prestadores deservios e fornecedores tambm devem receber treinamentos e atualizaesregulares sobre a PSI.

Constantes mudanas tm ocorrido nos SI em decorrncia da revoluoda TI que ampliou a capacidade para adquirir, manipular, armazenar e transmitirinformaes. Essas mudanas radicais tm causado grandes impactos nasorganizaes, devido a conceitos, princpios, planos, polticas e controles desegurana adotados e implementados nos SI utilizando recursos da TI. Muitasvezes, sem informar, treinar e sensibilizar os usurios responsveis nodesenvolvimento das atividades do ciclo da informao do negcio.Esse processo falho decorre da falta de planejamento e, portanto, temprovocando questes ticas que esto envolvidas nas tomadas de decisesestratgicas no investimento em recursos de TI que podem afetar o desempenho donegcio da organizao.Para OBrien (2004, p. 413) importante que a gesto de seguranacompreenda as dimenses ticas do trabalho em organizaes e da utilizao datecnologia, porque nas tomadas de decises quanto ao uso da TI, pode haver umadimenso tica que precisa ser considerada, pois as pessoas utilizam filosofiasticas bsicas como: egosmo, lei natural, utilitarismo e o respeito pelas pessoas oudefendem valores ticos nas decises.O desenvolvimento da TI e a aplicao dos seus recursos disponveis nasorganizaes tm gerado muitas situaes de carter tico no ambienteorganizacional, que vem tornando-se a cada dia mais complexo, com definies decerto ou errado nem sempre claras no PDS elaborado com as polticas desegurana e os tipos de controles adotados para implementao pela gesto desegurana da informao.Definir o cdigo tica, que um conjunto de princpios da organizao, fundamental para servir de guia nas tomadas de decises na gesto de segurana,considerando os princpios e as questes ticas. Segundo Turban (2003, p. 503) adiversidade de aplicaes de TI e o crescente desenvolvimento criaram diversasquestes ticas que foram estruturadas por R. O . Manson e outros em quatrocategorias, que so:_ Privacidade coleta, armazenagem e disseminao de informaessobre os indivduos;_ Preciso autenticidade, fidelidade, preciso das informaescoletadas e processadas;_ Propriedade valor intelectual da informao;_ Acessibilidade direito de acesso informao ou pagamento peloacesso.As organizaes e, conseqentemente, a gesto de segurana devemestar preparadas para elaborar e implementar regras e para monitorar e controlar ociclo da informao no SI da organizao, considerando os princpios e filosofiasticos da instituio. Isso deve ser compartilhando com cada ser humanocomprometido ou envolvido nos processos do negcio da organizao, visto que sodiversos os modelos ticos utilizados pelos seres humanos na aplicao das suasfilosofias ticas nas escolhas feitas diariamente, seja na vida pessoal ou no trabalho.O ser humano, no seu desenvolvimento, passa por diversos estgios darevoluo moral que est dividida em vrios ambientes, conforme Figura 11, atabsorver em um nvel de raciocino tico capaz de perceber que necessariamente oque no tico, ilegal.Os desafios ticos da TI nas organizaes podem ser minimizadosquando o treinamento, a conscientizao, a sensibilizao e a publicao do PDSso realizados e aplicados desde a seleo e admisso dos profissionais daorganizao, at o relacionamento com fornecedores e a formao de parcerias.O cdigo de prtica NBR ISO/IEC 17799 define que a gesto da seguranaenvolvendo pessoas tem como objetivo reduzir os riscos de erro humano,roubo, fraude ou uso indevido das instalaes da corporao. Assim, anorma recomenda que estas medidas sejam tomadas na fase derecrutamento, includas em contrato e monitoradas durante a vigncia decada contrato de trabalho. (Mdulo Security Magazin, 2005)Situaes controversas, como monitorao de correio eletrnico ou usode cmeras e gravao de conversas telefnicas, tm gerado processos trabalhistase judiciais em todo no Brasil, influenciados na maioria dos casos, pela falta dedefinies ticas das organizaes e dos profissionais.A monitorao por computador tem sido criticada como uma invaso deprivacidade dos funcionrios porque em muitos casos, eles no sabem queesto sendo monitorados ou no sabem como a informao est sendoutilizada. Segundo Gilberto Martins de Almeida, advogado e professor de Direito daInformtica da PUC-Rio, esse cenrio precisa ser analisado levando-se em conta aprivacidade das organizaes, os seus segredos comerciais e industriais. "Por isso,ela tem a legtima expectativa e direito de fiscalizar o cumprimento de regras desigilo, monitorando o uso de sua rede e dos recursos que disponibiliza aosprofissionais. As leis que garantem a privacidade e a lei que reprime a concorrnciadesleal, Lei 9.279, em seu artigo 195, autorizam o monitoramento, atendendo orequisito previsto na Lei 9.296".Cabe s organizaes protegerem seu ambiente, seu patrimnio e seusativos, utilizando os recursos legais de TI na gesto de segurana, conforme asnormas nacionais e internacionais para atingir os objetivos, gerando impactospositivos e visveis para o desempenho das organizaes e reduzindo os nveis deincerteza para tomada de deciso. Os usurios ou profissionais, tambm devem tera responsabilidade de implementar princpios e filosofias ticas da TI, e deassumirem, seja na vida pessoal ou profissional, em qualquer ambiente, esseprocedimento que vital para as organizaes, usurios e profissionais na utilizaodos SI.A evoluo da informao, o desenvolvimento e a implementao de SI edos recursos da TI proporcionam s organizaes, profissionais, usurios e asociedade maior capacidade para ampliar, adquirir, manipular e comunicarinformaes referentes aos negcios, vida profissional e pessoal de todos.Toda essa evoluo progride com velocidade tornando-se de grandeimportncia, principalmente nas estruturas e nos ambientes organizacionais, quesofreram vrias mudanas com o objetivo de gerenciar de modo eficiente suasinformaes. Logo, o gerenciamento das informaes, atravs dos SI utilizando osrecursos da TI, foi necessrio para garantir rapidez nos processos realizados peloscomponentes e recursos de um SI, que se desenvolveram em razo da evoluo doconhecimento humano.Os SI tornaram-se importantes nas estruturas organizacionais,contribuindo com o gerenciamento e a classificao das informaes teis nastomadas de decises estratgicas, tticas e operacionais no desenvolvimento dosnegcios. Esse contexto motivou as organizaes a divulgarem e compartilhareminformaes e resultados do processamento dos dados coletados importantes aosegmento do negcio.A globalizao trouxe a Era da Informao que agregou valor sinformaes das organizaes, criando diversos desafios para estas e seusprofissionais que realizam operaes atravs dos recursos de software, hardware,redes e dados dos SI, provocando a concorrncia dos interesses legais e ilegais nosambientes internos e externos das instituies.Um dos desafios das organizaes foi adotar e implementar mtodos paragarantir a segurana da informao que um conjunto de diretrizes, normas eprocedimentos aplicados em todos os movimentos do ciclo de vida da informao deacordo com o negcio desenvolvido. Esse desafio exigiu melhor planejamento dosgestores de toda estrutura organizacional e a elaborao do PDS, que estabelece ostipos de controles a serem implementados no SI e as PSI a serem seguidas noprocessamento dos dados e gerenciamento da informao.No entanto a simples criao de normas ou implantao de ferramentasde segurana no suficiente para minimizar os riscos de incidentes de segurana(ataques, vazamento de informao, infestao por vrus, etc), e sim a adoo deum completo processo de gesto da segurana, dinmico e participativo que inclui adefinio de responsabilidades de todos os elementos envolvidos no processo dainformao com base na poltica de segurana.As metodologias de segurana da informao devem ser adotadasconsiderando as normas, processos e caractersticas tcnicas e no tcnicas dasegurana dos sistemas para seu manuseio e proteo. Porm, muitasorganizaes tm ignorado o valor de suas informaes, a necessidade de manter ametodologia de segurana e at mesmo de investimento, por considerarem estasdespesas que no traro retorno sobre investimento, viso que no contribui comeficcia para a gesto da informao, maior ativo das organizaes.A falta de critrios, planejamento e investimentos nos recursos dos SI, naadmisso, treinamentos e sensibilizao dos profissionais e usurios finais, tmcausado grandes prejuzos s organizaes de diferentes segmentos no mercado.Essa necessidade tambm tem criado desafios ticos para as organizaes queadotam metodologias de segurana e recursos da TI com objetivos de garantir asegurana das informaes. As dimenses ticas devem ser consideradas pelasorganizaes na elaborao e implementao da metodologia de segurana,atenuando os efeitos nocivos da TI, analisando os aspectos da segurana e asvulnerabilidades existentes na estrutura tecnolgica dos sistemas de informao.Os recursos humanos, que compreendem todos os profissionais eusurios finais dos SI, considerados o mais frgil elo da segurana da informao,precisam cumprir as diretrizes, as normas e procedimentos estabelecidos noambiente organizacional, atravs da metodologia adotada e contribuir para odesenvolvimento da cultura de segurana da informao, considerando asdimenses e filosofias ticas pessoais e organizacionais.O sucesso na implementao e manuteno da segurana da informao,essencialmente, no carece da formao de um departamento de comit desegurana na estrutura organizacional, da aquisio de sistemas ou recursos de TIcom configuraes avanadas, mas do comprometimento do nvel estratgico daorganizao, do envolvimento dos profissionais e usurios finais treinados ecapacitados, de SI estruturado, dos recursos de TI adotados e implementadosconforme a necessidade do negcio desenvolvido pela organizao.

3