salvaguarda de conhecimento sensÍvel: estudo de caso na...
TRANSCRIPT
SALVAGUARDA DE CONHECIMENTO
SENSÍVEL: ESTUDO DE CASO NA
GESTÃO DAS COMUNICAÇÕES EM
PROJETOS GOVERNAMENTAIS
Ferrucio de Franco Rosa (CTI)
Amândio Ferreira Balcão Filho (CTI)
José Henrique de Sousa Damiani (ITA)
Giuseppe Dutra Janino (TSE)
A utilização da Internet como um ativo imprescindível ao
gerenciamento e acesso às informações tem aumentado à medida que
os projetos se tornam globais, ou seja, geridos e executados
globalmente. No entanto, há um significativo aumento nos riscos ao se
disponibilizar pela rede as informações entre os diversos grupos e
membros do projeto. Também há o aumento de gastos e esforços para
se manter a rede, os dados e as decisões seguras. Normalmente as
equipes de Tecnologia da Informação (TI) já mantêm políticas e
estratégias de defesa de suas redes corporativas internas e implantar
os mesmos níveis de segurança para as informações e ativos de
comunicação pela Internet se revela uma sobrecarga muito grande e
um aumento de custos.O desafio das equipes de TI passa então a ser:
implantar e manter de forma efetiva e eficiente um Sistema de
Gerenciamento dos Sistemas de Informação de suas redes corporativas
internas, além de propiciar o acesso a softwares e dados críticos para
os projetos, cujas equipes estão distribuídas globalmente; que pode
incluir subcontratados e terceiros.O conhecimento é uma vantagem
competitiva e talvez o ativo mais importante das instituições. O
vazamento de conhecimento sensível pode causar danos e perdas de
recursos diversos, sendo extremamente prejudicial para o Estado e
para a sociedade como um todo.Medidas especiais de segurança
destinadas a garantir sigilo, inviolabilidade, integridade,
autenticidade, legitimidade e disponibilidade de dados e informações
sigilosos devem ser tomadas, objetivando prevenir, detectar, anular e
registrar ameaças reais ou potenciais a esses dados e informações.
Dessa forma, torna-se extremamente importante a adoção de ações e
medidas para salvaguardar os conhecimentos sensíveis nacionais,
sobretudo por meio da formação de uma cultura de proteção desses
ativos.Na gestão dos projetos governamentais, principalmente os que
envolvam mais de um ministério e que contenham informações
classificadas, deve-se adotar técnicas e ferramentas adequadas para
XXX ENCONTRO NACIONAL DE ENGENHARIA DE PRODUÇÃO Maturidade e desafios da Engenharia de Produção: competitividade das empresas, condições de trabalho, meio ambiente.
São Carlos, SP, Brasil, 12 a15 de outubro de 2010.
2
que estas informações não sejam divulgadas ou manipuladas
indevidamente.Baseado nesta problemática, em normas
regulamentadoras e padrões de melhores práticas, o objetivo deste
artigo é apresentar uma abordagem para manipulação de informações
sigilosas de projetos no âmbito do serviço público federal. Como
objetivo específico, apresentar um estudo de caso onde a abordagem
foi aplicada, seus resultados, as ferramentas utilizadas e uma série de
controles, em forma de recomendações, delimitados e propostos de
modo que possam ser usados na prática pelas instituições públicas
federais sem interferir negati
Palavras-chaves: Salvaguarda de Conhecimento Sensível, Operações,
Segurança da Informação, Gestão de Projetos
3
1. Introdução
O conhecimento é uma vantagem competitiva e talvez o ativo mais importante das
instituições. O vazamento de conhecimento sensível pode causar danos e perdas de recursos
diversos, sendo extremamente prejudicial para o Estado e para a sociedade como um todo. Na
gestão dos projetos governamentais, principalmente os que envolvam mais de um ministério e
que contenham informações classificadas, devem-se adotar técnicas e ferramentas adequadas
para que estas informações não sejam divulgadas ou manipuladas de forma a prejudicar o
andamento das atividades.
Segundo o Programa Nacional de Proteção ao Conhecimento PNPC (ABIN, 2009) é
recomendável que as instituições definam quais conhecimentos devem ser protegidos,
classifiquem e reclassifiquem documentos e materiais em graus de sigilo, conforme a
legislação brasileira e normas internas; estabeleçam a proteção de conhecimentos sensíveis
como função de todos na instituição, dando-lhes ciência de normas, treinando-os para os
procedimentos adequados e sensibilizando-os para a necessidade de proteção, de maneira que
conheçam suas responsabilidades e estejam aptos a cumpri-las.
Baseado nesta problemática, em normas regulamentadoras e padrões de melhores práticas, o
objetivo deste trabalho é apresentar uma abordagem para manipulação de informações
sigilosas de projetos. Neste trabalho a metodologia utilizada é detalhada, apresentando as
melhores práticas de segurança na gestão de projetos governamentais, apresentando
recomendações para implantação de processos seguros, tanto para a gestão da comunicação
em projetos quanto para o trato de informações sensíveis e operação de sistemas considerados
críticos pela instituição.
2. Fundamentação Teórica e Terminologia
A segurança permeia todas as áreas de conhecimento da gestão de projetos. De acordo com o
guia PMBOK (PMI, 2008), as áreas de conhecimento na gestão de projetos são: Integração,
Prazo, Custo, Qualidade, Escopo, Comunicações, Recursos Humanos, Risco, Aquisições. O
guia segue o seguinte ciclo de processos: Iniciação, Planejamento, Execução, Monitoramento
e Controle, Encerramento, repetindo este ciclo para cada uma das fases do ciclo de vida do
projeto (Concepção, Desenvolvimento, Construção, Testes e Integração, Entrega).
Para Xavier (2007), o gerenciamento das comunicações do projeto descreve os processos
relativos à geração, coleta, disseminação, armazenamento e a destinação final das
informações do projeto de forma oportuna e adequada.
Valeriano (1998) recomenda que esta área de conhecimento (gestão das comunicações) seja
tratada na, chamada por ele, fase de planejamento, definindo os processos relativos à geração,
coleta, disseminação, armazenamento e a destinação final das informações.
Também se faz necessário o entendimento do conceito de Maturidade Institucional na Gestão
de Projetos. Para Kerzner (2006), é importante compreender que todas as organizações
atravessam seus próprios processos de maturidade, e que se trata de um processo que deve
preceder a excelência. O autor mostra as cinco fases do ciclo de vida para a maturidade em
gestão de projetos, quais sejam: Embrionária, Aceitação pela gerência executiva, Aceitação
pelos gerentes de área, Crescimento, Maturidade; concluindo que praticamente todas as
instituições que alcançaram algum grau de maturidade passaram por essas fases.
Para que o entendimento do trabalho flua de forma natural, alguns termos e conceitos
4
relativos à gestão de projetos e segurança da informação precisam ser definidos, como segue:
Gestão do Conhecimento – Sistema integrado que visa desenvolver conhecimento e
competência coletiva para ampliar o capital intelectual de organizações e a sabedoria
das pessoas (SABBAG, 2007).
Vulnerabilidades – Uma fraqueza no processo que pode ser explorada para violar a
política de segurança de sistemas.
Controles – Mecanismos usados para impedir ou reduzir vulnerabilidades, bem como
buscar a preservação da confidencialidade, integridade e disponibilidade da
informação; adicionalmente, outras propriedades, tais como autenticidade,
responsabilidade, não repúdio e confiabilidade, podem também estar envolvidas
(ABNT 2005).
Conhecimento sensível – Conhecimento sensível é explicado como todo
conhecimento, sigiloso ou estratégico, cujo acesso não autorizado pode comprometer a
consecução dos objetivos nacionais e resultar em prejuízos ao País, necessitando de
medidas especiais de proteção. São considerados originariamente sigilosos, e serão
como tal classificados, dados ou informações cujo conhecimento irrestrito ou
divulgação possa acarretar qualquer risco à segurança da sociedade e do Estado, bem
como aqueles necessários ao resguardo da inviolabilidade da intimidade da vida
privada, da honra e da imagem das pessoas (ABIN, 2009).
Ativos de informação – Qualquer informação que tenha valor para a instituição
(ABNT, 2005). Instalações, serviços, bens e sistemas que, se interrompidos ou
destruídos, podem provocar sério impacto social, econômico, político, internacional ou
à segurança do Estado e da sociedade caracterizam as infraestruturas críticas (ABIN,
2009).
Ameaça (ABNT, 2008) – Um evento que pode ter algum tipo de impacto negativo
para a organização. As ameaças podem ser consideradas intencionais, acidentais ou
naturais (estas sendo causadas por condições ambientais severas).
3. Revisão de Artigos Relacionados ao Tema
Atualmente, tanto empresas quanto o meio acadêmico têm interesse em salvaguardar
informações sensíveis contidas em seus projetos. Iniciativas estão buscando essa proteção,
provocando o surgimento de trabalhos neste sentido. Diversos artigos focaram na gestão de
risco de projetos e alguns com foco específico na segurança das informações contidas nos
projetos ou em metodologias para salvaguardar dados sigilosos (sensitive data). Notou-se na
pesquisa que apenas a partir de 2006 os trabalhos publicados começam a demonstrar
preocupação em proteger os ativos de informação.
Dean (2008) apresenta uma abordagem baseada em risco que pode ajudar as organizações a
planejar e implementar um programa de segurança da informação. Ao fazê-lo, identifica
vários tipos de riscos de segurança da informação, a legislação fundamental sobre a
privacidade e segurança da informação, tais como Gramm-Leach-Bliley e Sarbanes-Oxley.
Em seguida, descreve a abordagem proposta para a gestão das iniciativas de segurança da
informação, identificando os dois tipos de riscos comumente envolvidos em projetos de
tecnologia e uma fórmula para o cálculo do impacto de um risco. Também detalha seis etapas
para o desenvolvimento e implementação de iniciativas de segurança da informação. O
material estudado fornece um bom referencial teórico e apresenta uma legislação fundamental
5
para quando se estuda privacidade e segurança da informação. O trabalho também apresenta
uma sequência de passos para se implantar iniciativas de segurança da informação.
Wheatley (2009) discute como as organizações podem estabelecer e aplicar políticas de
segurança dentro de suas equipes de projeto. Ao fazê-lo, discute problemas críticos de
segurança que as organizações muitas vezes não conseguem resolver. Ele defende a tese de
que os membros da equipe do projeto são a ameaça mais comum para a segurança de um
projeto. Ele também sugere dois métodos para melhorar a organização e segurança do projeto.
Em seguida, descreve como as organizações podem priorizar a informação que deseja
proteger e integrar medidas de segurança em seus planos de projeto. Wheatley coloca que as
organizações têm muito medo do ataque externo em uma rede corporativa para obter segredos
comerciais. Apresenta que a maior ameaça à segurança corporativa pode não ser um estranho
mal-intencionado, mas sim um membro da equipe do projeto (inimigo interno). Problemas de
segurança acontecem, na maioria das vezes, por negligência e imperícia e não de forma
intencional.
Buchanan (2008) discute como as organizações podem evitar a ameaça interna – tanto a
proposital quanto a acidental – de vazamento de dados. Ao fazer isso, ele descreve porque as
organizações estão vulneráveis a vazamentos de dados internos e de como as organizações
estão respondendo a tais vazamentos. Define a, cada vez mais popular, solução de segurança
estratégica, conhecida como governança de acesso. Ele identifica a fonte mais provável de
eventos de segurança da informação. O autor explica como gerentes de projeto podem
proteger dados críticos e como o gerenciamento de projeto pode fornecer apoio
organizacional para proteger os ativos de dados. Em seguida, os olhares se voltam para os
desafios da segurança dos dados e os papéis que os executivos devem desempenhar para
garantir que suas organizações estão efetivamente protegendo dados sensíveis. Competir
globalmente expõe uma organização a inúmeras ameaças de segurança da informação, tanto
aquelas geradas internamente quanto aquelas geradas externamente. Sem uma estratégia para
evitar tais ameaças e mitigar o impacto real das violações, as organizações não estão
preparadas para se proteger.
Hildebrand (2006) analisa como várias organizações estão enfrentando as ameaças de
segurança eletrônica que geralmente assolam ambos, as organizações e os indivíduos. Ao
fazer isso, ele explica o impacto do roubo de identidade e lista três métodos que
frequentemente os ladrões de identidade utilizam. Discute o esforço do Governo Federal dos
Estados Unidos (conhecida como HSPD 12) para conter o roubo de identidades de
funcionários do governo federal – e a resistência interna do governo está enfrentando na
tentativa de implementar esse esforço. Em seguida, descreve técnicas que as organizações
podem usar para implementar três abordagens para reduzir brechas de segurança, abordagens
que envolvem o desenvolvimento de políticas, criptografia e autenticação, e aplicações de
segurança incorporadas. Também recomenda três métodos para testar os procedimentos de
segurança eletrônica. O autor considera que os extraordinários avanços tecnológicos, que têm
ocorrido durante os últimos vinte anos, têm mudado a maneira como o mundo funciona. Mas,
com estas inovações vieram problemas de segurança graves. No ambiente de negócios de
hoje, conversas sobre problemas como o roubo de identidade agora são rotineiras.
Klingler (2002) apresenta questões relevantes dentro do contexto de segurança, tais como
“Empresas confiam seus dados corporativos confidenciais para gerentes de projeto. Quais as
precauções devem ser levadas em conta e como o gerente de projetos valida a confiança?
Muitos gerentes de projeto têm implementado segurança, privacidade e políticas e processos
de recuperação de desastres, mas quão seguras são as ferramentas do gerente de projeto?”
6
Muitos autores e relatórios de segurança apontam para a direção da necessidade de maior
monitoramento e controle das atividades do chamado “inimigo interno”. A pessoa que recebe
a incumbência de zelar pelas informações dos projetos pode trair a instituição por motivações
diversas. E adicionalmente, este trabalho questiona a confiabilidade das ferramentas que o
gerente de projetos usa para realizar o seu trabalho. Estas ferramentas são confiáveis? Quem
homologou ou atestou o uso desta ferramenta na instituição? Critérios de segurança foram
considerados quando da especificação da ferramenta?
Essex (2003) também destaca questões problema e adicionalmente oferece sugestões para
gerir projetos governamentais de forma eficaz. A terceirização pode trazer habilidades e
conhecimentos necessários para os projetos, mas o gerente de projetos precisa esclarecer as
responsabilidades da subcontratada, o cumprimento dos requisitos de aquisição, e as linhas de
comunicação. A recente tendência de tornar o governo mais acessível aos cidadãos tem
gerado muitos projetos de banco de dados governamentais. Devido à natureza sensível das
informações das bases de dados, a segurança é questão importante. A distribuição real de
informação deve ser analisada cuidadosamente, e as permissões devem ser feitas para os
procedimentos de auditoria governamental necessários. O autor coloca que especialistas em
domínios chave, tais como direito ou segurança devem ser incluídos na equipe do projeto.
Leighton (2008) examina como a organização do autor – LoadSpring Solutions (LSS) –
desenvolveu uma solução de software que provia com acesso remoto seguro à rede central da
empresa uma equipe de projeto de uma empresa de construção localizada no Oriente Médio e
sediada nos Estados Unidos. Ao fazê-lo, sumariza os requisitos de projeto da empresa e define
os desafios de cinco projetos; discute as preocupações de projeto da empresa e identifica os
problemas e soluções comumente envolvidos na criação de uma rede segura que fornece
globalmente acesso a informações sensíveis necessárias às equipes de projetos dispersas
geograficamente. Em seguida, o autor apresenta a solução criada para seu cliente,
descrevendo o processo de projeto do LSS e os elementos chave de sua solução. Como o
mercado de hoje torna-se cada vez mais internacional, mais organizações estão contando com
equipes dispersas globalmente para implementar projetos de missão crítica. Mas a concessão
desse acesso remoto das equipes à rede de informação para completar os seus trabalhos
podem comprometer a integridade e a segurança dos sistemas de TI da organização.
4. Proposta de Abordagem
Gerentes de projeto se tornaram muito importantes para as iniciativas de segurança das
informações, pois o escopo de tais incitativas impacta em todas as atividades do projeto de
forma abrangente. Uma medida importante é fazer da segurança parte integral do projeto e do
orçamento, não tratando a segurança como uma atividade à parte, com um orçamento
separado e recursos previstos somente quando se tornarem importantes.
Por meio da utilização de metodologias de gerenciamento de projeto, é possível analisar as
necessidades, estabelecer as prioridades e obter o consenso das partes interessadas. Também
possibilita implementar as mudanças necessárias em torno do projeto e obter as métricas
corretas, de modo a permitir que seja medido o grau (nível) de maturidade na gestão da
segurança e reportá-lo para a alta gerência.
Definir o fluxo de informação no início do projeto é crítico para prevenir vazamentos, não se
deve deixar que o fluxo de informação evolua naturalmente durante o desenvolvimento do
projeto. Desde o início deve-se definir quem pode ver ou ler quais documentos, relatórios,
participar de reuniões e definir também onde serão armazenados ou descartados. Essas
atitudes visam tornar a tarefa do gerente de projeto bem mais simples, no âmbito da gestão
7
das comunicações.
A segurança permeia todas as áreas de conhecimento da gestão de projetos, mas no âmbito
deste trabalho, será tratada a área de Comunicações, baseando-se no framework sugerido pelo
PMBOK (PMI, 2008). A abordagem, descrita a seguir, visa propor uma forma de gerenciar as
comunicações do projeto, buscando salvaguardar o conhecimento sensível.
Na concepção da abordagem proposta, serão considerados três princípios básicos, que
seguem:
Foco no nível de salvaguarda exigido pelos objetos do contrato;
Facilidade de uso pelos integrantes do projeto;
Baixa complexidade de gerenciamento e suporte.
Conforme apresentado na Figura 1, a área de conhecimento Comunicações está presente em
todo o ciclo dos processos e são tratados os seguintes processos:
Iniciação: Identificar as partes interessadas;
Planejamento: Planejar as comunicações;
Execução: Distribuir as informações e Gerenciar as partes interessadas;
Monitoramento e Controle: Relatar o desempenho;
Encerramento: Não é considerada a área de conhecimento dentro do processo de
encerramento.
Figura 1 – Visão geral dos processos de gerenciamento de projetos. Baseada em: (Xavier, 2009; Com
adaptações)
Dentro do contexto dos referidos processos, apresenta-se a seguinte arquitetura para
salvaguarda de conhecimento sensível, no âmbito das comunicações em projetos
governamentais. A arquitetura apresentada na Figura 2 não objetiva propor uma mudança no
framework PMBOK (PMI, 2008), mas sim, realçar a importância de se observar atividades de
salvaguarda de informação crítica ou sensível durante o processo de gestão.
8
Figura 2 – Visão geral da Proposta.
Como apresentado na Figura 2, a preocupação com a segurança da informação está implícita e
diretamente relacionada com os processos dentro da área de conhecimento Comunicações. Os
componentes da figura foram destacados para mostrar as ações consideradas importantes para
que o processo de gestão segura das informações seja mais efetivo, principalmente, mas não
exclusivamente, em projetos governamentais.
Para cada processo (PMI, 2008) as seguintes considerações sobre segurança das informações
deverão ser observadas:
a) Iniciação: Identificar as partes interessadas;
A identificação das partes interessadas é importante, pois os perfis de usuários
deverão ser considerados durante todo o projeto. Se há informações, de cunho
sigiloso, a serem geradas ou manipuladas, os diversos perfis deverão ser
especificados logo no início para facilitar o planejamento correto das
comunicações no âmbito do projeto, levando-se em conta questões de segurança.
b) Planejamento: Planejar as comunicações;
No planejamento, após a definição do escopo, criação da Estrutura Analítica de
Projeto (EAP) e o desenvolvimento do plano de recursos humanos, o plano de
gerenciamento de riscos deverá considerar também como a comunicação deverá
ocorrer. Assim, o plano de comunicações deverá conter aspectos de segurança para
salvaguarda de conhecimento sensível.
Durante o processo de planejamento, os seguintes pontos deverão ser observados:
Identificação de processos críticos, onde pode haver informações sensíveis;
Identificação dos ativos de informação, com seus respectivos responsáveis;
Identificação das ameaças aos ativos de informação;
Identificação dos controles aplicáveis, em forma de recomendações;
Identificação de vulnerabilidades que podem ser exploradas por agentes de
ameaça;
Identificação de conseqüências da perda de confidencialidade, integridade
ou disponibilidade podem causar;
9
Elaboração de conjunto de recomendações.
Neste momento também deverá estar definido um Ativo de Processo
Organizacional (APO) para classificação de informações sensíveis. No caso do
governo federal, o Decreto nº 4553/2002 define em seu artigo 35 que “As
entidades e órgãos públicos constituirão Comissão Permanente de Avaliação de
Documentos Sigilosos (CPADS)”. Essa comissão atuará em todos os processos da
gestão de projetos, inclusive no encerramento.
Também se deve pensar em como as informações serão armazenadas quando o
projeto terminar e como estas informações serão disponibilizadas futuramente,
mesmo que o solicitante possua credencial de sigilo equivalente.
c) Execução, Monitoramento e Controle: Após definir como as informações irão
tramitar e como as mesmas serão classificadas, deverá ser acompanhado e relatado
o desempenho do processo de comunicação, verificando possíveis falhas ou
incidentes, tais como vazamentos de informação sensível.
d) Encerramento: Quando do término do projeto, as informações deverão ser
armazenadas (tombadas ou arquivadas) em algum repositório. Este repositório
deverá levar em consideração alguns aspectos para permissão de acesso a
informações classificadas. Pode-se citar como preocupação importante como se
dará o controle do acesso a essa documentação arquivada. Um usuário com
credencial “secreto” não poderá acessar toda a documentação classificada com
esse grau de sigilo, pois determinados projetos somente poderão ser acessados
pelos membros da equipe responsável pelo projeto.
Como a equipe irá desfazer-se e existe uma informação importante que precisa ser
divulgada para uma melhor execução de outro projeto, como proceder para re-
classificar as informações sensíveis?
Assim, sugere-se que a CPADS delibere sobre o acesso aos projetos classificados
individualmente, mantendo uma lista mestra de quem pode acessá-los, quem
acessou os referidos documentos, quando e porque houve o acesso e também quem
autorizou o acesso dentro da CPADS. Como essa lista mestra é um APO sensível,
a mesma deverá ser armazenada de forma segura, com acesso restrito. Caso não
haja uma comissão com responsabilidade equivalente à da CPADS, o dono do
ativo de informação deverá definir os procedimentos citados.
5. Estudo de Caso
O Estudo de Caso refere-se ao contrato de consultoria na área de Segurança de Sistemas de
Informação, mais especificamente relacionados ao Sistema Eletrônico de Votação brasileiro.
Neste caso, uma das maiores preocupações era evitar os riscos de: vazamento de informações,
especulação sobre o andamento dos trabalhos, uso político, malicioso, ou venda das
informações, haja vista o interesse que o assunto desperta, nos mais diferentes atores políticos
e imprensa em geral. A tarefa de identificar e mitigar os riscos foi iniciada já nas primeiras
reuniões, ou seja, na fase conceptual do projeto.
Neste tópico, primeiramente, segue uma caracterização das organizações envolvidas, pois as
mesmas possuem idiossincrasias em seus modos de operação e também níveis de maturidade
diferentes com relação à gestão de projetos.
Posteriormente, será descrito como se deu a relação institucional e como foi efetuada a gestão
10
das comunicações no âmbito do projeto, haja vista que o conhecimento a ser gerado e
manipulado é sensível e relacionado diretamente com a segurança nacional.
No processo de planejamento das comunicações, os requisitos colocados pelo contratante
foram tratados e foram definidas as medidas a serem adotadas em todas as fases do projeto.
Essas medidas seriam seguidas por todos os envolvidos no projeto.
5.1. Caracterização das Organizações
As instituições envolvidas são o Tribunal Superior Eleitoral (TSE) e o Centro de Tecnologia
da Informação Renato Archer (CTI), este vinculado ao Ministério de Ciência e Tecnologia
(MCT).
CTI – O CTI é uma unidade do MCT que atua na pesquisa e no desenvolvimento em
tecnologia da informação, principalmente, mas não exclusivamente, nos seguintes focos de
atuação: componentes eletrônicos, microeletrônica, sistemas, software e aplicações de TI, tais
como robótica, softwares de suporte à decisão. Com relação ao nível de maturidade em
Gestão de Projetos, o CTI possui algumas iniciativas ainda não validadas pela alta
administração. Está em curso a discussão para criação do Escritório de Gestão de Projetos,
ainda sem uma estrutura formal estabelecida. Dessa forma, de acordo com Kerzner (2006),
encontra-se na fase de “Aceitação pela gerência executiva”.
TSE – O TSE compõe o Poder Judiciário brasileiro. Sua missão é assegurar os meios efetivos
que garantam à sociedade a plena manifestação de sua vontade, pelo exercício do direito de
votar e ser votado; e sua visão é ser referência mundial na gestão de processos eleitorais que
possibilitem a expressão da vontade popular e contribuam para o fortalecimento da
democracia (TSE, 2009). Com relação ao nível de maturidade em Gestão de Projetos, o TSE
possui um Escritório de Gestão de Projetos ativo, com um corpo de funcionários treinados e
atuantes nos diversos projetos da casa. Dessa forma, de acordo com Kerzner (2006), encontra-
se na fase de “Crescimento”.
5.2. Descrição do Estudo de Caso
Em 2008 o TSE contratou o CTI para realizar estudos de vulnerabilidades no Sistema
Eletrônico de Votação, especialmente na urna eletrônica, com vistas a submeter esse sistema a
testes públicos de vulnerabilidades em 2009. Logo se percebeu a necessidade de estabelecer
mecanismos que garantissem a segurança dos dados e informações trocadas entre a equipe do
CTI sediada em Campinas e a sede do TSE em Brasília. Era necessário que os recursos de
segurança adotados fossem simples de utilizar para os usuários e muito seguros na perspectiva
dos administradores de TI.
Como o objeto do projeto contratado é justamente a Segurança de Sistemas de Informação, ou
seja, do Sistema Eletrônico de Votação, a própria equipe contratada do CTI é a mais adequada
para estabelecer as medidas a serem adotadas para se garantir a confidencialidade e
integridade dos dados do projeto. Com essa perspectiva, não se recorreu às equipes que
gerenciam as redes de dados das duas instituições na definição das medidas adotadas. Foram
discutidos procedimentos e medidas, divididos da seguinte forma: segurança lógica,
segurança física, recursos humanos, procedimentos e comportamentos.
Inicialmente, foi feita uma análise para definir as necessidades de comunicação entre as
equipes e então decidir quais mecanismos e modos de operação seriam adotados ao longo da
realização do projeto. Essa análise pautou-se por, primeiramente, manter o foco no objeto do
contrato de modo a entender quais as necessidades e desafios que o objeto contratado impõe.
11
Em seguida, não se apoiar nas equipes de TI das instituições, mas sim numa equipe própria
bastante reduzida, focada na solução que atenda às necessidades de segurança levantadas.
Finalmente, que as soluções adotadas fossem simples de utilizar no dia-a-dia e de baixa
complexidade de suporte e gerenciamento. A seguir é detalhado como ocorreu esse processo.
Deve-se deixar claro que as ações apresentadas neste tópico não são não-conformidades
encontradas, mas sim um apanhado de melhores práticas utilizadas durante todo o projeto.
Em reunião entre o contratante e o contratado foram definidos os critérios, ferramentas e
procedimentos relativos à segurança das informações. Tendo em vista a complexidade que
esse tema pode assumir foram definidos os seguintes critérios para nortear as decisões a serem
tomadas:
a) Foco no nível de salvaguarda exigido pelos objetos do contrato – propor medidas que
atendam às necessidades do projeto sem se preocupar em resolver questões de
segurança relativas às organizações envolvidas;
b) Facilidade de uso pelos integrantes do projeto – adotar ferramentas que sejam
facilmente assimiladas pelos diversos tipos de usuários, ou seja, que após uma
pequena explanação estes sejam capazes de fazer uso dessas ferramentas;
c) Baixa complexidade de gerenciamento e suporte – a equipe do projeto será a
responsável por implantar e gerir as medidas adotadas, devendo resultar em um dos
principais motivos da busca de facilidade de gerenciamento.
Foram tomadas as seguintes decisões relativas à segurança lógica:
a) Todos os documentos foram classificados no grau de sigilo “Secreto”;
b) Todas as mensagens eletrônicas serão criptografadas e assinadas, tanto para troca de
mensagens entre a equipe de projeto como com o TSE; o aplicativo GnuPG é utilizado
para este fim, integrado aos leitores de e-mail. O GnuPG (The Gnu Privacy Guard) é
um software livre para criptografia de mensagens eletrônicas. Disponível em:
<www.gnupg.org>;
c) Somente assuntos administrativos poderão ser discutidos por telefone, fixo ou móvel;
d) Assuntos técnicos serão tratados em reuniões presenciais, ou através de vídeo-
conferência utilizando o aplicativo Skype, pois este faz uso de criptografia na troca de
mensagens de texto e voz. O Skype é um software gratuito para comunicação de voz
sobre rede de dados. Disponível em: <www.skype.com>;
e) Em todos os computadores envolvidos nas atividades do projeto, deverá ser instalado o
aplicativo TrueCrypt para manter criptografados todos os documentos do projeto. O
TrueCrypt é software livre para criptografia de discos rígidos de mídias eletrônicas.
Disponível em: <www.truecrypt.org>;
f) Usar computadores dedicados para atividades sensíveis;
Com relação à Segurança Física:
a) Sala separada dedicada às atividades técnicas do projeto;
b) Implantar controle de acesso físico em pelo menos dois níveis;
c) Adotar controle na portaria com segurança física em período integral, monitorando o
ambiente com gravação de imagens e seu respectivo procedimento para restauração e
12
verificação dos vídeos gravados;
d) A Instituição deverá adotar uma política de gerenciamento de riscos, de forma a
inventariar ativos, riscos, segurança dos ativos e planos de contingência e
continuidade.
Quanto a Recursos Humanos, procedimentos e comportamentos:
a) Assinatura de um Termo de Confidencialidade por todas as partes que tiveram a
qualquer nível de acesso aos dados e discussões do projeto;
b) As reuniões e conversas sobre o projeto são sempre realizadas em ambiente
apropriado;
c) É empregada a política de mesas e quadros limpos;
d) Todos os papéis relativos ao projeto são fragmentados antes de serem descartados;
e) Não se transportará documentos em papel, somente em mídia eletrônica criptografada;
f) Os consultores são orientados para não comentar com ninguém as atividades em
desenvolvimento;
g) Foi elaborada uma lista com os nomes das pessoas que podem ter acesso aos
documentos;
h) Deverá haver separação de papéis entre os membros da equipe (need to know);
i) Definição e implantação de uma política de treinamento em gestão de segurança da
informação para os envolvidos;
j) Adotar um procedimento para desimpedimento (desligamento) seguro de pessoal
(servidores e terceiros).
Este projeto teve seu apogeu durante os dias 10 a 13 de novembro de 2009, quando foram
realizados os Testes Públicos no Sistema Eletrônico de Votação (TSE, 2009). Estes testes
foram patrocinados pelo TSE e permitiram aos interessados testar as urnas eletrônicas e os
sistemas correlatos. Este evento foi amplamente coberto pelos meios de comunicação.
Quando o contrato for encerrado (fase de entrega), as informações classificadas deverão ser
reclassificadas e ocorrerão os processos de descredenciamento das partes interessadas e o
devido arquivamento das informações.
5.3. Considerações sobre o Estudo de Caso
Como lições aprendidas, podem-se citar o aprendizado e a conscientização dos envolvidos no
uso de ferramentas para salvaguarda de conhecimento, como preconiza a IN-01 (BRASIL,
2008) e o Decreto nº 4553 (BRASIL, 2002).
Procedimentos e soluções foram adotados para que os envolvidos pudessem implantar os
processos seguros, tanto para a comunicação na gestão de projetos quanto para o trato de
informações sensíveis e operação de sistemas considerados críticos pelas instituições
envolvidas.
O acesso a assuntos sensíveis somente é permitido a pessoas com necessidade de conhecê-los.
Também deverão ser guardados documentos sob custódia em locais seguros e trancados,
atribuindo grau de sigilo preliminarmente à elaboração de documento, para que o material e
os rascunhos utilizados na sua produção recebam o devido tratamento. Recomenda-se também
certificar-se de que esboços, cópias e materiais subsidiários à produção de documentos
13
sensíveis sejam devidamente destruídos, por fragmentação ou outro processo. A eliminação
dos documentos propriamente ditos só deve ser realizada em conformidade com as
determinações legais.
Foi necessário desenvolver atividades de conscientização dos envolvidos e as ferramentas
utilizadas se mostraram eficientes, de baixo custo e de baixa complexidade de gerenciamento
e uso.
O exercício dessa metodologia nas instituições envolvidas gerou uma cultura de segurança
para atividades ou processos na gestão de projetos interinstitucionais e na gestão das
comunicações.
6. Conclusões
O conhecimento é um ativo importante de uma organização, sendo muito difícil definir quais
informações deverão ser classificadas como sigilosas, principalmente nas fases iniciais dentro
do ciclo de vida do projeto. Dessa forma, devem-se buscar mecanismos (métodos e processos)
destinados a garantir, efetivamente e de uma forma aplicável, sigilo, inviolabilidade,
integridade, autenticidade, legitimidade e disponibilidade dos ativos organizacionais, antes,
durante e depois do projeto.
Neste trabalho apresentou-se uma abordagem para salvaguarda de conhecimento sensível na
gestão das comunicações dentro do contexto de projetos governamentais. Um estudo de caso,
com seus resultados, que utilizou a abordagem foi apresentado. São propostas recomendações
para se trabalhar com conhecimento sensível, de modo que possam ser usados na prática por
organizações interessadas, buscando não interferir negativamente na produtividade.
As instituições envolvidas, por manipularem informações sensíveis, estão trabalhando para
adicionar controles de segurança na gestão de projetos, buscando sempre responder às
seguintes questões:
i) Em que medida o aumento da confidencialidade impacta negativamente na
disponibilidade de conhecimento e na produtividade da instituição?
ii) Quais são as melhores práticas (aplicáveis e pouco geradoras de burocracia e custos)
para proteção de conhecimento sensível?
iii) Uma questão mais ampla é verificar se as instituições públicas, que lidam com
conhecimento sensível e com informações relacionadas com a privacidade dos
cidadãos, estão preparadas para atuarem como guardiãs destes ativos tão importantes?
Recomenda-se às instituições públicas que busquem implantar os seus Sistemas de Gestão de
Segurança da Informação, baseados na norma NBR ISO/IEC 27001:2006, pois os resultados
obtido com essa implantação serão ativos de processos organizacionais fundamentais para a
gestão do conhecimento sensível.
Ainda há muito por fazer quando o assunto é “Proteção do Conhecimento”, devido à grande
complexidade e multidisciplinaridade do tema e seus sem número de atores e interesses
envolvidos. Pouca pesquisa é direcionada ao tema, pois é difícil medir (quantitativamente) e
apontar o retorno dos investimentos nessa área, sempre prevalecendo ações corretivas em
detrimento de ações preventivas.
14
Referências
ABIN – AGÊNCIA BRASILEIRA DE INTELIGÊNCIA. PNPC – Programa Nacional de Proteção ao
Conhecimento. Brasília DF, 2009. Disponível em: http://www.abin.gov.br/modules/mastop_publish/?tac=PNPC
ABNT – ASSOCIAÇÃO BRASILEIRA DE NOMAS TÉCNICAS. NBR ISO/IEC 27001: Sistema de Gestão
da Segurança da Informação. Rio de Janeiro, 2006.
______ NBR ISO/IEC 27005: Gestão de Riscos de Segurança da Informação. Rio de Janeiro, 2008.
ALBERTS, C.; DOROFEE, A. – Managing Information Security Risks: The OCTAVESM Approach, 5th
Printing. Pittsburgh, PA: Software Engineering Institute, Carnegie Mellon University, 2005.
BRASIL – Gabinete de Segurança Institucional da Presidência da República. INSTRUÇÃO NORMATIVA
GSI/PR nº 1, de 13 de junho de 2008. Disciplina a Gestão de Segurança da Informação e Comunicações na
Administração Pública Federal, direta e indireta, e dá outras providências.
______ – PRESIDÊNCIA DA REPÚBLICA FEDERATIVA DO BRASIL. Decreto nº 4.553, de 27 de
dezembro de 2002. Dispõe sobre a salvaguarda de dados, informações, documentos e materiais sigilosos de
interesse da segurança da sociedade e do Estado, no âmbito da Administração Pública Federal, e dá outras
providências.
BUCHANAN, J. – Blind spot. PMI – PM Network. Vol. 22, no. 6 (June 2008), p. 42-47. 2008. Disponível em:
<http://www.pmi.org/Marketplace/Pages/ProductDetail.aspx?GMProduct=00101068200&iss=1>
DEAN, M. – A risk-based approach to planning and implementing an information security. PMI Global
Congress 2008 -- EMEA. Proceedings. 2008. Disponível em:
<http://www.pmi.org/Marketplace/Pages/ProductDetail.aspx?GMProduct=00101073500>
DSIC – Departamento de Segurança da Informação e Comunicações do Gabinete de Segurança
Institucional da Presidência da República (GSI/PR). Sítio que disponibiliza uma compilação da legislação
vigente a respeito da Segurança da Informação e Comunicações. 2009. Disponível em: <
http://dsic.planalto.gov.br/legislacaocgsi>.
ESSEX, D. E. – Detect + protect. PMI – PM Network. Vol. 19, no. 1 (Jan. 2005), p. 36-41. 2005. Disponível
em: <http://www.pmi.org/Marketplace/Pages/ProductDetail.aspx?GMProduct=00100827800&iss=1>
______ A matter of public record. PMI – PM Network. Vol. 17, no. 8 (Aug. 2003), p. 22-26. 2003. Disponível
em: <http://www.pmi.org/Marketplace/Pages/ProductDetail.aspx?GMProduct=00100723800&iss=1>
HILDEBRAND, C. – Safety zone. PMI – PM Network. Vol. 20, no. 9 (Sept. 2006), p. 28-33. 2006. Disponível
em: <http://www.pmi.org/Marketplace/Pages/ProductDetail.aspx?GMProduct=00100957200&iss=1>
KERZNER H. – Gestão de Projeto: as Melhores Práticas. 2006. Editora Bookman Companhia.
KLINGLER, C. – Security, privacy and disaster recovery for the project manager. PMI Seminars &
Symposium. Proceedings. 2002. Disponível em:
<http://www.pmi.org/Marketplace/Pages/ProductDetail.aspx?GMProduct=00100490600&iss=1>
LEIGHTON, E. – Securing software and data for today's dispersed project teams. PMI Global Congress 2007--
North America. Proceedings. 2009 Disponível em:
<http://www.pmi.org/Marketplace/Pages/ProductDetail.aspx?GMProduct=00101048000&iss=1>
PMI – PROJECT MANAGEMENT INSTITUTE. A guide to the Project management body of knowledge.
Syba: PMI Publishing Division, 4th edition, 2008. Disponível em: <www.pmi.org>.
SABBAG, P. Y. – Espirais do conhecimento: ativando indivíduos grupos e organizações. – São Paulo: Saraiva,
2007.
SEI – SOFTWARE ENGINEERING INSTITUTE. CMMI for Systems Engineering/Software Engineering
(CMMI-SE/SW), Staged Representation,Version 1.1, Technical report CMU/SEI-2002-TR-02. Pittsburgh, PA:
Software Engineering Institute, Carnegie Mellon University, 2002.
SOFTEX – SOCIEDADE SOFTEX. MPS.BR – Melhoria de Processo do Software Brasileiro Guia Geral
Versão 1.1. Maio 2006. Disponível em: <www.softex.br>.
TSE – TRIBUNAL SUPERIOR ELEITORAL. Missão e Visão institucionais. Brasília, 2009. Disponível em:
<www.tse.gov.br>. Acessado em: 19/11/2009.
15
______ Testes de Segurança. Brasília, 2009. Disponível em: <testes públicos -
http://www.tse.gov.br/internet/eleicoes/teste_seguranca.htm>. Acessado em: 19/11/2009.
WHEATLEY, M. – An inside job. PMI – PM Network. Vol. 23, no. 7 (July 2009), p. [46]-50. 2009. Disponível
em: <http://www.pmi.org/Marketplace/Pages/ProductDetail.aspx?GMProduct=00101073500>
XAVIER, C. M. S. – Gerenciamento de Projetos: como definir e controlar o escopo do projeto. – 2. ed. atual. –
São Paulo: Saraiva, 2009.