BRASSCOM – Associação Brasileira das Empresas de Tecnologia da Informação e Comunicação

Rua Funchal, 263 – conjunto 151 – Vila Olímpia – CEP: 04551-060 - São Paulo – SP

Tel: +55 11 3053-9100 / Fax: +55 11 3053-9115 www.brasscom.org.br

1/3

São Paulo, 03 de abril de 2014. Aos Excelentíssimos Senhores Ministros de Estado Ministro Chefe da Casa Civil, Aloizio Mercadante Ministro das Comunicações, Paulo Bernardo Ministra do Planejamento, Miriam Belchior Ministro da Defesa, Celso Amorim Assunto: Sugestão de consulta pública prévia à regulamentação do Decreto 8.135/2013 Prezados Ministros, A garantia da inviolabilidade de informações confidenciais e a higidez de sistemas críticos à segurança nacional constituem-se desafios importantes no cumprimento do dever constitucional da União face ao Estado Brasileiro. Há que se louvar, portanto, a diuturna e diligente gestão da segurança de dados, tanto aqueles que circulam através de redes de comunicação quanto aqueles que são processados e armazenados em sistemas computacionais. A experiência ao longo da história da indústria de Tecnologia da Informação e Comunicação revela que as medidas de proteção precisam levar em conta a natureza altamente dinâmica das ameaças, seja decorrente da engenhosidade na concepção de técnicas de violação ou na motivação humana debruçada sobre a busca de brechas e vulnerabilidades. O desafio da segurança da informação requer uma visão holística, tecnicamente aprofundada e perseverantemente evolutiva. Neste sentido, a regulamentação do Decreto 8.135 reveste-se de especial relevância não só para a Administração e para o setor de Tecnologia da Informação e Comunicação, mas principalmente para toda a sociedade. Cremos que o setor tem muito a contribuir sobre este tema tão complexo quanto crítico para o pais. A Brasscom respeitosamente sugere a V. Exas. a realização de uma consulta pública que possibilite às empresas e às entidades representativas debruçarem-se sobre os anteprojetos dos instrumentos normativos reguladores com o fito de oferecerem contribuições relevantes, baseadas em experiência nacional e internacional, que promovam o aperfeiçoamento da abordagem a ser adotada para a gestão da segurança da informação do Estado, contemplando os aspectos sumariamente discorridos a seguir.

BRASSCOM – Associação Brasileira das Empresas de Tecnologia da Informação e Comunicação

Rua Funchal, 263 – conjunto 151 – Vila Olímpia – CEP: 04551-060 - São Paulo – SP

Tel: +55 11 3053-9100 / Fax: +55 11 3053-9115 www.brasscom.org.br

2/3

Segurança das Comunicações de Dados No âmbito das redes de comunicação observa-se uma forte tendência a aplicação de algoritmos de criptografia cada vez mais sofisticados. O foco moveu-se da inviolabilidade física, e a consequente prevenção à escutas indevidas através de "grampos", na direção da inviolabilidade lógica, na qual se garante que a informação permanece inexpugnável ainda que submetida ao escrutínio alheio desautorizado. Por outro lado, a crescente necessidade de prover acesso a informações e sistemas através de distintas redes, tais como, Internet Pública e VPN IP MPLS, típicas em ambiente corporativo, e por intermédio dos mais variados meios de acesso, a saber, fibra ótica, ADSL em par metálico, cable modem, bem como, serviços sem fio, tais como GPRS, 3G, 4G e mesmo WiFi, torna inócuas as técnicas de proteção que sejam específicas a um ou outro tipo de rede. Por fim, rígido controle das chaves de encriptação é essencial para garantir a segurança sistêmica, como demostra a experiência com o ICP Brasil. Segurança dos Sistemas e da Infraestrutura Técnicas de criptografia também tem papel relevante na garantia da inviolabilidade das informações armazenadas em quaisquer dispositivos, desde sofisticados servidores até tablets e smartphones. O controle de acesso às informações e aos sistemas que processam as informações reveste-se, portanto, de especial criticidade, impactando a arquitetura dos sistemas e a governança de gestão, que implica necessariamente em constante monitoração. A detecção de tentativas de acesso por parte de pessoal não autorizado e a consequente vedação em tempo real são essenciais para evitar a violação da informação e o uso indevido de sistemas críticos. Tais mecanismos usualmente cobrem tanto a infraestrutura computacional quanto a de rede local ou interna, devotando-se especial atenção sobre o pontos de interface com a Internet Pública. Governança e Operação da Segurança A fator humano igualmente não pode ser desprezado. O violador pode estar a quilômetros de distância tentando penetrar indevidamente em sistemas para os quais não está autorizado, mas pode, igualmente, ser um membro da própria organização, gozando inclusive de determinados privilégios de acesso. Os mais sofisticados sistemas tecnológicos podem tornar-se indefesos ante o agressor que esteja "dentro de casa". A concepção de processos robustos com níveis de delegação bem definidos, o constante acompanhamento de atividades e a prática de auditorias recorrentes são fatores críticos para garantir a higidez organizacional. Modernos sistemas de correlação de eventos tem sido cada vez mais empregados para fazer frente as ameaças de invasão não autorizada, inclusive tentativas de introdução de códigos malignos, tais como vírus e Cavalos de Tróia. Segurança também se traduz na disponibilidade dos sistemas aos agentes que deles dependem. Ataques que usam congestionamento de concentradores de acesso à Internet Pública tem se tornado cada vez mais frequentes e as técnicas de ataque cada vez mais sofisticadas. Aqui trata-se de um mundo sem fronteiras e não raro sem bandeiras. Sofisticados centros de operação de segurança tem sido constituídos tanto por Estados quanto por corporações mundo à fora. A gestão da segurança da informação tornou-se uma área dinâmica e com alto grau de especialização e colaboração. A rapidez com novas ameaças são

BRASSCOM – Associação Brasileira das Empresas de Tecnologia da Informação e Comunicação

Rua Funchal, 263 – conjunto 151 – Vila Olímpia – CEP: 04551-060 - São Paulo – SP

Tel: +55 11 3053-9100 / Fax: +55 11 3053-9115 www.brasscom.org.br

3/3

introduzidas tem impulsionado empresas, até mesmo concorrentes, e nações a um esforço continuo de troca de experiências, visando o maior efetividade na prevenção e combate as ameaças através do aperfeiçoando de sistemas e práticas. Aspecto Multifacetado do Desafio A garantia da segurança da informação é um desafio complexo e multifacetado. Demanda soluções a altura, que sejam dinâmicas, adaptativas e não percam de vista a colaboração sob pena de obsolescência precoce. A implementação de sistemas robustos passa pela concepção de arquitetura integrada que leve em consideração os pontos de maior fragilidade tanto na comunicação quanto no armazenamento e processamento da informação. Não está atrelada necessariamente a este ou aquele software sendo função do emprego de vários técnicas, tecnologias, equipamentos, softwares e práticas, ofertados por uma miríade de fornecedores especializados. A qualificação dos profissionais envolvidos na operação e a coordenação organizacional e operacional sob a égide de governança clara e processos eficientes são também fatores crítico de sucesso. Reiteramos nosso interesse e disposição, no melhor espírito público, para oferecer contribuições relevantes sobre a regulamentação do Decreto 8.135/2013, registrando protestos pela estima e consideração.

Sergio Paulo Gallindo Presidente

Associação Brasileira das Empresas de Tecnologia da Informação e Comunicação

Cc: Sergio Sgobbi, Diretor de Inovação e Capacitação Associados, Conselho e Diretoria da Brasscom