Segurança da Informação: Conformidade não garante proteção total do negócio

A conformidade com leis, regulamentos e requisitos de mercado é fundamental para a segurança da informação, mas não garante, por si só, a proteção efetiva de uma organização. Essa é a principal reflexão de Edison Fontes, Advisor e Gestor de Segurança da Informação, que destaca a importância de ir além do cumprimento de obrigações para assegurar a continuidade e sustentabilidade do negócio.

Fontes utiliza a analogia de um profissional de sinalização rodoviária que, ao pintar uma faixa, contorna um buraco em vez de reportá-lo. Embora cumpra sua tarefa específica, o risco para os motoristas permanece. Da mesma forma, em organizações, o cumprimento de procedimentos isolados ou a implementação de controles exigidos por regulamentos não significa que os riscos gerais estejam sendo adequadamente tratados.

A missão da Segurança da Informação além da conformidade

A missão da Segurança da Informação, segundo Fontes, é garantir que a organização alcance seus objetivos, protegendo o recurso informação em todas as suas formas. Isso envolve assegurar a conformidade legal, mas também o tratamento íntegro, autêntico, confidencial, auditável, sustentável, disponível e confiável da informação, alinhado à Governança Corporativa.

A proteção não se limita a equipamentos, redes ou sistemas, nem se restringe a atender auditorias ou obter certificações. A informação é um recurso essencial presente em todas as atividades corporativas, e sua proteção deve considerar não apenas o ambiente tecnológico, mas também pessoas, processos, instalações, fornecedores e ameaças.

Direcionadores e a distinção entre exigência e controle efetivo

As exigências de Segurança da Informação provêm de direcionadores estruturais, como normas ISO/IEC 27001 e o NIST Cybersecurity Framework, e direcionadores obrigatórios, como leis e regulamentos. No Brasil, a Lei Geral de Proteção de Dados Pessoais (LGPD) exige medidas para proteger dados pessoais.

No entanto, Fontes ressalta a distinção entre uma exigência e a transformação dessa exigência em controles efetivos. Não basta elaborar uma política ou um procedimento; é preciso verificar se são conhecidos, aplicados, acompanhados e se realmente protegem a organização diante dos riscos. A conformidade documental não é sinônimo de proteção efetiva.

Maturidade dos controles e o papel da Direção

Um aspecto crucial é a avaliação da maturidade da gestão dos controles de Segurança da Informação. Conhecer o nível de maturidade permite identificar fragilidades, estabelecer prioridades e direcionar investimentos. A Direção precisa ter ciência desses riscos para tomar decisões conscientes.

O Gestor de Segurança da Informação deve conduzir essa avaliação, que deve resultar em um Plano de Ação. Este plano precisa ser apresentado ao Corpo Diretivo para aprovação, demonstrando o envolvimento da alta gestão com a proteção da informação e a sustentabilidade do negócio. A decisão sobre aceitar riscos residuais deve ser consciente e documentada.

AG²C: Arquitetura, Governança, Gestão e Conformidade integradas

Fontes propõe uma estruturação da Segurança da Informação em quatro eixos complementares: Arquitetura (como a segurança deve ser estruturada), Governança (quem direciona e decide), Gestão (transforma direcionamentos em ações) e Conformidade (verifica a aderência aos requisitos). Esses eixos devem considerar permanentemente as dimensões transversais de Gestão de Riscos, Cultura de Segurança e Necessidades do Negócio.

A efetividade da Segurança da Informação depende da integração desses eixos e da consideração de uma Arquitetura Holística, que abrange desde a informação até o contexto mais amplo da organização, incluindo fatores humanos, tecnologia, ecossistema de negócios e ambiente geopolítico. A pergunta final é se os controles realmente protegem o negócio, e não apenas se as obrigações de compliance estão sendo cumpridas.