Não testar com excelência pode custar caro: US$ 77 milhões a US$ 160 milhões.
Este é o valor estimado por especialista da área financeira que o RBS (Royal Bank of Scotland) e seus bancos coligados, NatWest e Ulster Bank, gastarão com pessoal extra, reembolso de clientes e ações na justiça. O que aconteceu? Em função de uma atualização de sistema no ambiente computacional, um profissional de tecnologia da informação cometeu um erro em uma operação de cópia de segurança (backup): congelou os sistemas, apagou todos os dados e deixou 17 milhões de contas de clientes indisponíveis. O fato aconteceu na quarta feira (20-junho) e no final da sexta feira 22-junho tinha sido solucionado o problema da indisponibilidade. Porém até a segunda feira 25-junho, as 100 milhões de transações que precisaram ser reprocessadas ainda não tinham sido completadas, isto é, as contas ainda não estavam com os valores totalmente atualizados.
Os clientes continuaram com os saldos que tinham nas contas, mas passaram dois ou três dias sem acesso, sem realizar pagamentos ou receber depósitos. Evidentemente a reclamação destes clientes foi geral. A FSA, Autoridade de Serviços Financeiros do Reino Unido aguardará um relatório do RBS descrevendo o que realmente aconteceu para definir mais especificamente o que fará em relação ao banco e em relação aos controles existentes para as instituições financeiras.
Este é um típico caso em que o objetivo de disponibilidade da informação não foi atendido. A integridade se manteve (a informação do saldo de cada cliente foi mantida) e a confidencialidade (o sigilo das contas) se manteve. Mas, para uma organização financeira nos dias atuais onde o padrão de acesso a informação é 24×7 (vinte quatro horas por dia em sete dias por semana), a disponibilidade é crítica. Parou? Vem impacto (financeiro ou de imagem) de imediato.
As notícias dos meios de comunicação indicam que ocorreu um erro. Isto é, aparentemente não houve má fé ou tentativa de fraude. Mas, a segurança da informação também se preocupa com erros. Uma das dimensões da segurança da informação é o desenvolvimento de sistemas. E nesta dimensão uma preocupação é com os testes realizados. O roteiro de teste cobre todas as situações? Mas este caso tem também haver com a Dimensão de Recursos Humanos que se preocupa se os profissionais estão capacitados para desempenharem as suas funções. E por último, considerando este caso, devemos considerar a dimensão da continuidade de negócio.
Nesta última dimensão citada, continuidade de negócio, muitas (e muitas e muitas vezes) as pessoas pensam apenas na probabilidade: mas, qual a probabilidade disto acontecer? Esta não é a pergunta que deve ser feita. Deve-se perguntar para a organização, não só para a área de TI: e se isto acontecer? E se um profissional não treinado adequadamente faz um procedimento com erro e parar o ambiente de tecnologia? Como a organização enfrentará este problema? Como se garantirá a continuidade dos serviços prestados pela organização?
Ah! Edison, você parece que anda com uma nuvem com chuvas e trovoadas em cima da cabeça. Isto é muito caro! Caro? Pode até ter um valor alto, mas garanto que é menos do que os 77 milhões de dólares (ou 160 milhões), previstos de impacto para este caso. Além, é claro, do desgaste da imagem institucional. Somente daqui a alguns anos o banco poderá indicar com certeza qual foi o impacto na sua imagem no mercado, nos clientes.
Mas, por acaso esta situação aconteceu no RBS e coligados. Mas, e se esta situação de erro acontecesse com a sua organização? Ela estaria preparada para reagir a uma situação dessas? Existem controles para evitar este problema? Os profissionais estão capacitados para desempenharem as suas funções? É bom pensar antes e aprender com as histórias dos outros. E olha que vem da terra de reis e rainhas. A propósito será que o Charles (o Príncipe, o viúvo da Diana) um dia vai ser Rei. Opa! Não vamos misturar assuntos.
Proteja a informação da sua organização. Uma indisponibilidade pode lhe trazer um grande impacto!
A propósito: não ando com nuvem pesada em cima da cabeça! Gosto muito do sol! Principalmente se for em uma Ilha chamada Itamaracá, a Pedra que Canta, a Terra da Ciranda. Não fica na Terra da Rainha, mas lá, “sou amigo do rei”, como o poeta Manuel Bandeira na Terra de Pasárgada.
Edison Fontes, CISM, CISA, CRISC, Ms.
Núcleo Consultoria em Segurança
