Os Referenciais ISO/IEC 17799 e ISO/IEC 27001 e a Modernização Administrativa

Os conceitos de sociedade da informação e de economia digital são duas constantes, quer na actualidade internacional, quer na actualidade nacional. A liberalização dos mercados internacionais e a globalização trouxeram desafios acrescidos para as organizações. Por um lado, a necessidade de trocar informação, contribuindo desta forma para a melhoria da qualidade de bens e serviços por estas disponibilizados. Por outro lado, a necessidade de proteger essa mesma informação, enquanto recurso valioso e potenciador da aquisição de vantagens competitivas. Actualmente, estas preocupações não se cingem apenas às organizações e empresas privadas.

Todos os dias sentimos necessidade de trocar informação, de comunicar, de saber o que se passa no mundo, de aprender a realizar uma determinada tarefa ou levar a cabo um certo processo. Muitos são os tipos e as naturezas da informação que utilizamos nas mais diversas actividades, quer em casa, quer no emprego. O diagnóstico de um médico, o nosso extracto bancário, o horário de uma determinada loja ou instituição, os documentos necessários para a renovação do nosso bilhete de identidade e a sua correcta forma de preenchimento, são apenas alguns exemplos. Por estas e outras razões, a informação é cada vez mais considerada como um bem valioso, não só pelas organizações, mas também pelos cidadãos e pelo Estado.

Esta necessidade de informação e da aquisição de conhecimento conduziu à verificação da carência de ferramentas que possibilitassem novas formas de comunicação, com maior rapidez e fiabilidade. Da necessidade crescente do efectivo processamento, armazenamento e transmissão de informação resultaram as tecnologias de informação e comunicação que, em conjunto com as pessoas e a informação, são elementos fundamentais dos sistemas de informação.

Das tecnologias desenvolvidas destacam-se os telemóveis, as redes de comunicação de dados e a Internet, que permite a qualquer cidadão que possua um computador pessoal e uma ligação a esta rede global, o acesso a um conjunto de informação e serviços de uma forma mais célere e directa, algo que previamente ao apogeu da Internet era inconcebível. Hoje, esta ferramenta é utilizada por grande parte dos cidadãos e instituições, privadas e governamentais, para o acesso e troca de informação, para tirar partido de serviços ou mesmo adquirir bens, fomentando a modernização da administração pública, central e local que, por sua vez possibilita a melhoria das relações entre munícipe e autarquia, entre cidadão e organismo e entre empresa e organismo.

Contudo, mesmo após a massificação deste cada vez mais importante e distribuído recurso, algumas questões ou problemas mantinham-se e em parte ainda subsistem:

• A atribuição de direitos de acesso a informação sensível, própria ou de outrem, através de uma rede considerada insegura, o que acarreta desafios ao nível da autenticação robusta dos utilizadores e ao nível da protecção da informação a ser transmitida ou mesmo armazenada nos sistemas de informação das entidades ou instituições;
• A troca de informação entre as próprias instituições governamentais requer medidas de segurança adicionais, como o estabelecimento de protocolos próprios e de infra-estruturas de suporte adequadas que possibilitem a transmissão atempada e em formato adequado de informação própria e de cidadãos e empresas;
• A necessidade de autenticação ou da verificação da fiabilidade de documentos, por exemplo, através da validação da assinatura do requerente, algo que no mundo digital se torna bastante mais complexo de ser conseguido, pelo que alguns dos processos são levados a cabo recorrendo a uma abordagem mista: solicitação ou desencadear do processo feito digitalmente e confirmação/efectivação do desencadeamento do processo realizada com recursos a documentação em papel, com valor legal;
• O baixo nível de confiança nas referidas transacções, por parte de cidadãos e empresas, que por um lado receiam pela protecção de informação privada sensível, e por outro, já rotinados na utilização de formulários em papel e documentos de identificação palpáveis, desenvolvem animosidade para com a utilização da referida tecnologia para os diversos fins que possibilita a este nível.

Por outro lado, da utilização dos sistemas de informação para o suporte às relações mencionadas e por conseguinte ao processo de modernização administrativa temos:

• Uma diminuição da burocracia associada com os processos de decisão, tornando simultaneamente estes processos mais transparentes e céleres;
• A diminuição do tempo despendido pelos cidadãos em deslocações e no desencadear de determinados processos, uma vez que poderão fazê-lo a partir de qualquer local e a qualquer hora do dia;
• A ausência da duplicação de registos sobre um determinado processo ou cidadão, através da redução do uso de documentação em papel, em detrimento do recurso a registos e formulários electrónicos, facilmente partilháveis e transmissíveis entre instituições;
• O aumento da produtividade por parte da administração pública central, regional e local, bem como a redução do tempo e recursos alocados ao atendimento ao público localmente, assistindo-se a uma descentralização dos serviços e da tomada de decisão.
  

Atendendo aos benefícios trazidos pelo recurso a ferramentas poderosas como a Internet, torna-se evidente que os desafios supra mencionados deverão ser respondidos de forma adequada. A questão é como.

Segurança da informação

A informação é, sem dúvida, um valioso recurso organizacional, posse da própria organização, de fornecedores, clientes ou parceiros de negócio, muitas vezes a base do negócio e como tal, alvo de cobiça por parte de concorrentes e competidores: todos os dias ouvimos e lemos relatos de casos de ataques à segurança da informação, desde fraude a pirataria informática, passando por espionagem industrial, muitas são as formas e perspectivas que tais problemas podem tomar.

Considerando um ambiente organizacional, a informação é obtida, processada, armazenada, mantida e transmitida com o intuito de dela retirar benefícios ao nível do suporte da tomada de decisão organizacional, pelo que a sua qualidade (fiabilidade, integridade, disponibilidade, confidencialidade, etc.) e adequação são dois elementos indispensáveis para a continuidade do negócio das empresas numa realidade e envolvente cada vez mais competitiva, e apenas podem ser garantidos através da protecção dessa mesma informação.

No entanto, também a informação institucional e pessoal pode revelar-se extremamente valiosa em mãos indevidas: todos sabemos que não devemos dar o nosso número de cartão de crédito a ninguém, ou mesmo o nosso PIN do cartão multibanco, sob pena de podermos ser vítimas de roubo ou fraude, caso esta informação caia nas mãos de prevaricadores; também vários são os casos de roubo de identidade que se sucedem, por exemplo em instituições governamentais e financeiras em vários países espalhados pelo mundo, tornando-se numa constante que, mais cedo ou mais tarde afectará também Portugal.

Desta forma e atendendo ao clima de desconfiança criado por inúmeros relatos de roubo de identidade e demais quebras de segurança que afectam informação dos próprios cidadãos, como podem as instituições, ainda que governamentais, fomentar relações de confiança entre elas próprias e particulares ou empresas? Que nível de garantia é necessário e como pode ser alcançado? A solução passa necessariamente pelo conceito de Segurança da Informação e pelo seguimento e adopção do estipulado nos referenciais internacionalmente reconhecidos a este nível: as normas ISO/IEC 17799:2005 e ISO/IEC 27001:2005.

De acordo com estas normas, segurança da informação pode ser definida como o processo de protecção da informação organizacional (e respectivas infra-estruturas de suporte) contra um vasto conjunto de ameaças de forma a possibilitar a minimização do risco e garantir a continuidade do seu negócio, através da preservação de três características ou dimensões da informação:

• Confidencialidade - A garantia de que a informação apenas se encontra disponível para quem está autorizado a acedê-la;
• Integridade - Salvaguarda da exactidão da informação e dos seus métodos de processamento, sendo uma característica sempre necessária;
• Disponibilidade - Garantia de que as pessoas autorizadas a aceder à informação (e outros bens de informação), podem fazê-lo sempre que necessário.
  

Estes referenciais estipulam ainda a necessidade da protecção adequada da informação independentemente do seu formato físico e mecanismo através do qual é transmitida ou armazenada, alertando para a diversidade de meios à disposição das organizações, incluindo o capital intelectual dos seus recursos humanos.

O standard internacional ISO/IEC 17799:2005- Information Technology - Code of practice for Information Security Management, desenvolvido pela British Standards Intitution (BSI), enquanto BS 7799-1, define as boas práticas para uma gestão efectiva da segurança da informação de negócio das organizações, independentemente do meio ou formato em que essa informação resida, ou mesmo da actividade, dimensão ou natureza das organizações.

Este referencial, desenvolvido a partir das práticas me vigor na indústria em 1995 e actualizado desde então, disponibiliza às organizações uma base comum para a gestão da segurança da informação e como tal, para o estabelecimento de relações de confiança entre entidades e para o incremento da sua capacidade de resposta a incidentes e de sobrevivência, através do desenvolvimento, implantação e medição efectiva das práticas e controlos de segurança da informação adaptados às necessidades de cada organização.

Desta forma, as organizações são aconselhadas a desenvolver as suas próprias políticas, procedimentos, processos e planos de segurança, bem como os controlos que melhor se adequam aos seus requisitos a este nível, com base nas directrizes estabelecidas no referencial em questão.

Neste sentido, a ISO/IEC 17799 enquanto código de práticas, apresenta 11 capítulos de controlos, que correspondem a cerca de 144 controlos ou medidas de segurança distintas mas complementares, que por sua vez podem ser exponencialmente transformadas em mais de 3000 controlos específicos, organizados da seguinte forma:

• Política de segurança;
• Organização da segurança da informação;
• Gestão de recursos;
• Segurança dos recursos humanos;
• Segurança física e ambiental;
• Gestão das comunicações e operações;
• Controlo de acessos;
• Aquisição, desenvolvimento e manutenção de sistemas de informação;
• Gestão de incidentes de segurança da informação;
• Gestão da continuidade do negócio;
• Conformidade.
  

Importa ainda referir que as directrizes estipuladas nesta norma são independentes de qualquer tecnologia ou ferramenta presente no mercado, pelo que a segurança da informação e práticas associadas, incluem mas não se cingem à segurança informática, fortemente marcada pelo recurso a tecnologia, sendo pelo contrário um processo de gestão, apenas possível e bem sucedido através da intervenção dos recursos humanos e da gestão das organizações.

Por seu lado, a recentemente publicada ISO/IEC 27001:2005 - Information Security Management Systems - Requirements, anteriormente referenciada como BS 7799-2 e inicialmente desenvolvida pela BSI, especifica os requisitos para o desenvolvimento, implementação, operação, documentação, manutenção, revisão e melhoria contínua de um ISMS (Information Security Management System - Sistema de Gestão da Segurança da Informação), em consonância e através do seguimento das boas práticas estipuladas na ISO/IEC 17799.

Este ISMS pode ser entendido como parte de um sistema de gestão global, baseado numa abordagem ao risco para o negócio, no sentido de estabelecer, implementar, operar, monitorizar, rever, manter e melhorar a segurança da informação, nas organizações, e que pode abranger toda uma organização, um departamento, uma unidade de negócio ou somente um processo de negócio crítico e os recursos que lhe estão associados.

A metodologia de implementação da ISO/IEC 27001 numa organização é baseada numa abordagem por processos, nomeadamente no modelo PDCA (Plan Do Check Act), referência comum a outras normas internacionais como a ISO 9001 e a ISO 14001, utilizadas para certificação de Sistemas de Gestão da Qualidade e de Sistemas de Gestão do Ambiente, respectivamente.

Importa ainda referir que a ISO/IEC 27001 se encontra alinhada com as directrizes publicadas em 2002 pela OCDE (Organização para o Comércio e Desenvolvimento Económico) ao nível da segurança das redes e sistemas de informação, amplamente adoptadas pelos estados membros da União Europeia, sendo a ISO/IEC 27001 ainda utilizada para objectivos de certificação.

Como pode então o estipulado na ISO/IEC 17799 e ISO/IEC 27001 contribuir para o alcance de um nível de garantia de segurança da informação apropriado a transacções e troca de informação sensível em formato electrónico, nomeadamente com recurso à Internet, sem que a usabilidade das ferramentas utilizadas seja comprometida?

Como pode a segurança da informação ser parte integrante e em certa medida, a potenciadora da adopção de processos e soluções que possibilitem a melhora da interoperabilidade entre instituições e entre estas e os cidadãos e as empresas, fomentando o e-government e a modernização administrativa?

O papel da segurança da informação na interoperabilidade e na modernização administrativa

As funções das instituições da administração pública quer central, quer regional ou local, são realizadas com base em informação, informação esta que se encontra em diversos formatos e cujo processamento, armazenamento e transmissão é realizado de formas distintas e com recurso a ferramentas diferentes, consoante o propósito a alcançar ou consoante os intervenientes no processo.

A multiplicidade de cenários possíveis é enorme, bem como o conjunto de soluções, mas analisemos brevemente como os controlos da ISO/IEC 17799 e da ISO/IEC 27001 podem contribuir para o sucesso da interoperabilidade entre instituições governamentais e contribuir para a segurança dos diversos processos associados à administração pública, bem como para o estabelecimento de relações de confiança entre cidadãos, empresas e instituições governamentais.

Cada um dos 11 capítulos de controlos especificados nestes referenciais internacionais podem representar um importante papel para a segurança na interoperabilidade e no processo de modernização administrativa. Segue-se a apresentação destes conjuntos de controlos, bem como alguns exemplos.

• Política de segurança. O estabelecimento de uma Política de Segurança da Informação tem por propósito a determinação dos objectivos e da direcção e suporte por parte da gestão de topo ao nível da segurança da organização na organização, de acordo com os requisitos de negócio e regulamentação e legislação relevantes em vigor. Como tal a definição de uma política de segurança global que regulasse a segurança da informação ao nível das relações entre instituições e entre estas e os cidadãos e empresas pode representar o primeiro passo para uma cultura de segurança única e para a uniformização dos controlos e procedimentos utilizados por estas.
• Organização da segurança da informação. A organização da segurança da informação tem por objectivo facilitar a gestão da segurança da informação em ambientes organizacionais, tendo em conta constrangimentos decorrentes das diferentes estruturas organizacionais e modelos de negócio existentes e amplamente adoptados. O desenvolvimento e implementação de uma matriz única para a gestão e estruturação da segurança da informação nas instituições governamentais possibilitará também a uniformização de processos a este nível e por exemplo no que concerne a relações com entidades externas, incluindo mesmo questões que se prendem com o estabelecimento de acordos formais com estas.
• Gestão de recursos. O alcance e manutenção da protecção adequada dos recursos organizacionais é a meta da gestão de recursos, algo que usualmente passa pela inventariação e classificação dos diferentes recursos (entre os quais se conta informação e infra-estruturas de suporte) críticos para a continuidade do negócio da organização, de acordo com a sua relevância para os processos de negócio em questão e de acordo com o impacto do seu compromisso em caso de falha de segurança. No que concerne ao processo de modernização administrativa e de interoperabilidade entre instituições, a gestão de recursos torna-se relevante por exemplo, para o conhecimento das diferentes e numerosas infra-estruturas de processamento, armazenamento e disponibilização da informação, mas principalmente para o conhecimento da sensibilidade e criticidade da informação obtida, disponibilizada, processada e armazenada em cada processo, determinando a forma como essa informação será protegida.
• Segurança dos recursos humanos. Os controlos especificados no capítulo subordinado à temática da segurança dos recursos humanos tem por propósito garantir que os colaboradores, entidades subcontratadas e utilizadores de terceiros compreendem as suas responsabilidades e se encontram adequados às funções para que são considerados, no sentido de reduzir o risco de roubo, fraude ou utilização indevida de infra-estruturas da organização. Outros objectivos prendem-se com o conhecimento também por parte destes, das ameaças e preocupações ao nível da segurança da informação, das suas responsabilidades e que estão equipados para suportar a política de segurança organizacional no decurso da sua actividade normal e reduzir o risco de erro humano. Este é um aspecto extremamente importante para qualquer organização, incluindo instituições da administração pública: a necessidade de sensibilizar quer os cidadãos, quer os seus próprios recursos humanos para as questões da segurança da informação e formá-los no sentido de minimizar a probabilidade de ocorrência de quebras ou falhas de segurança relacionadas com erros humanos.
• Segurança física e ambiental. Os controlos estabelecidos pelo capítulo se segurança física e ambiental tem por objectivo prevenir o acesso físico não autorizado, bem como danos e interferências o perímetro e na informação da organização e prevenir a perda, dano, roubo ou compromisso de recursos e a interrupção das actividades organizacionais. Talvez o aspecto mais visível da segurança da informação será precisamente a protecção física do equipamento e demais infra-estruturas de suporte à informação processada, armazenada e comunicada. Também no que concerne à interoperabilidade entre instituições separadas quer lógica quer fisicamente, esta dimensão de controlos ganha extrema relevância, por exemplo, ao nível da protecção da cablagem que une as diversas infra-estruturas ou mesmo ao nível da protecção física (controlo de temperatura, manutenção, alimentação eléctrica, etc.) dos servidores que controlam e possibilitam essas mesmas transacções.
• Gestão das comunicações e operações. A inclusão da segurança ao nível da gestão das comunicações e operações tem por objectivos: garantir a correcta e segura operação das infra-estruturas de processamento da informação; a implementação e manutenção de um nível apropriado de segurança da informação e entrega de serviços, alinhados com acordos de entrega de serviços por parte de terceiros; a minimização do risco de falhas do sistema, bem como a protecção da integridade do software e da informação; a manutenção da integridade e disponibilidade da informação e das respectivas infra-estruturas de processamento e a garantia da protecção da informação em redes e a protecção da infra-estrutura de suporte; a prevenção da divulgação, modificação, remoção e destruição não autorizadas de informação de recursos e a interrupção das actividades de negócio; a manutenção da segurança da informação e do software trocados dentro da organização e entre esta e entidades externas; a garantia da segurança dos serviços de comércio electrónico e a sua segura utilização, e ao nível de monitorização da utilização dos sistemas, detectar actividades não autorizadas de processamento de informação. Este capítulo é talvez que apresenta o maior número de controlos directamente relacionados com a problemática da insegurança na interoperabilidade entre instituições governamentais, nomeadamente porque lida com a vertente mais técnica do referido processo, em conjunto com os dois capítulos seguintes, indo desde a protecção das comunicações, à protecção da informação em transmissão e das infra-estruturas que a possibilitam, passando pela realização e teste de backups e respectivas infra-estruturas, pela destruição de equipamento e pela monitorização da utilização dos diferentes sistemas e serviços.
• Controlo de acessos. Atendendo a que o acesso à informação, infra-estruturas de processamento da informação e processos de negócio deve ser controlado com base nos requisitos de negócio e de segurança, o capítulo subordinado à temática do controlo de acessos tem por objectivo responder a diferentes desafios: prevenir acessos não autorizados por parte dos utilizadores, bem como o compromisso ou roubo da informação e respectivas infra-estruturas de processamento; garantir o acesso dos utilizadores autorizados e prevenir acessos não autorizados aos sistemas de informação; prevenir acessos não autorizados a serviços de rede, sistemas operativos e a informação contida em sistemas aplicacionais e ainda garantir a segurança da informação aquando da utilização de infra-estruturas de computação móvel e de teletrabalho. O controlo de acessos é sem dúvida um aspecto fundamental para a disponibilização de serviços on-line por parte de empresas e instituições governamentais, uma vez que é necessária a autenticação e identificação inequívoca dos cidadãos e empresas que tiram partido dos referidos serviços; a garantia de que apenas quem está autorizado a aceder a um determinado tipo de informação é crucial, nomeadamente porque no caso da administração pública a informação transaccionada é muitas das vezes de cariz privado ou confidencial, pelo que o compromisso da sua integridade e confidencialidade poderia acarretar consequências drásticas para cidadãos, empresas e mesmo para as próprias instituições. Assim, a definição e implementação de mecanismos de autenticação dos utilizadores em portais governamentais e a definição dos diferentes níveis de acesso a serviços e informação revelam-se de extrema importância para a segurança da informação e para o sucesso do processo de modernização administrativa.
• Aquisição, desenvolvimento e manutenção de sistemas de informação. O capítulo subordinado à inclusão da segurança nos processos de aquisição, desenvolvimento e manutenção de Sistemas de Informação tem por propósito garantir que a segurança é uma parte integrante dos sistemas de informação, prevenindo desta forma erros, perda, modificação não autorizada e utilização indevida de informação em aplicações; proteger a confidencialidade, autenticidade e integridade da informação através de meios criptográficos; garantir a segurança dos ficheiros de sistema, bem como dos sistemas aplicacionais e da informação; e por fim, reduzir os riscos decorrentes da exploração de vulnerabilidades técnicas publicadas. A inclusão da segurança na aquisição, desenvolvimento e manutenção de sistemas e software que suportam a disponibilização de serviços on-line, por parte de instituições governamentais é um factor determinante para o alcance da segurança das comunicações e da própria informação: de que servem mecanismos de autenticação robustos e as melhores e mais seguras infra-estruturas de processamento, armazenamento e disponibilização da informação se os sistemas que a gerem e suportam não oferecem garantias a este nível?
• Gestão de incidentes de segurança da informação. O processo de gestão de incidentes de segurança da informação pretende garantir que eventos e falhas de segurança da informação, associados com sistemas de informação são comunicados de forma a permitir a implementação atempada das medidas correctivas adequadas e garantir que uma abordagem consistente e eficaz é aplicada à gestão de incidentes de segurança da informação. Neste sentido, também os controlos especificados neste capítulo são relevantes para o processo de modernização administração: a identificação atempada e a correcta comunicação de incidentes de segurança, como seja por exemplo, a indisponibilidade momentânea de um portal ou website, ou mesmo de um serviço, pode revelar-se indispensável para a garantia da qualidade dos serviços prestados aos cidadãos e para a manutenção das relações de confiança previamente estabelecidas.
• Gestão da continuidade do negócio. A gestão da continuidade do negócio, objectivo último da segurança da informação nas organizações, tem por intuito contrapor interrupções nas actividades de negócio e proteger processos críticos de negócio dos efeitos de falhas significativas dos sistemas de informação ou de desastres, e garantir a recuperação atempada dos primeiros. Na sequência do que foi referido ao nível do papel da gestão dos incidentes de segurança da informação na melhoria da interoperabilidade e do processo de modernização administrativa, também o planeamento da continuidade do negócio e dentro deste, o planeamento da contingência e recuperação, desempenham importantes papéis, na medida que estipulam o que deverá ser feito na eventualidade da verificação de um evento não previsto ou de um desastre de proporções e/ou consequências significativas.
• Conformidade. Por fim, é obrigatória a conformidade com a legislação em vigor, bem como com quaisquer obrigações contratuais e o cumprimento de quaisquer requisitos de segurança preestabelecidos; Outros objectivos deste capítulo são a garantia da conformidade dos sistemas com as políticas e standards organizacionais, bem como a maximização da eficácia e minimização da interferência de e para o processo de auditoria aos sistemas de informação. No que concerne ao desafio da modernização administrativa e interoperabilidade entre instituições, a conformidade é um aspecto fundamental, atendendo ao nível de sensibilidade e criticidade da informação processada, armazenada e transmitida, mas também ao nível das questões de reconhecimento de assinaturas digitais e/ou 'físicas' dos requisitantes dos diversos serviços, pelo que é necessária a observância do estipulado na legislação não só nacional, mas também comunitária (UE).
  

Conclusão

Atendendo aos diversos benefícios trazidos pela modernização da administração pública central, regional e local, bem como ao nível da interoperabilidade entre organizações e instituições governamentais, podemos afirmar que ambos os processos virão a ganhar uma importância crescente para a desburocratização das relações entre cidadãos e empresas e instituições governamentais, aumentando a qualidade e rapidez dos serviços por estas prestados aos primeiros. Contudo, importantes e difíceis desafios se colocam a este nível, nomeadamente no que concerne a questões relacionadas com a segurança da informação dos diferentes intervenientes nas referidas relações e processos.

Parte da solução para os desafios trazidos pelo alcance da interoperabilidade entre instituições públicas e ao nível da modernização administrativa, passa sem dúvida pela adopção de boas práticas ao nível da segurança da informação, pelo que o estipulado nos referenciais internacionais ISO/IEC 17799 e ISO/IEC 27001 podem revelar-se crucial para estas entidades e facilitar a adopção de ferramentas tecnológicas e recursos como a Internet, garantindo a sua segurança e robustez, sem no entanto comprometer a sua usabilidade.

Produzido em 2005