Sigilo da Informação
Nas últimas semanas o tema sigilo da informação está em evidencia na mídia. Dois assuntos estão provocando este interesse pelo tema:
– tempo de guarda dos documentos ultra-secretos;
– sigilo e não transparência nos dados das obras da Copa do Mundo de 2014 prevista para ser realizada aqui no Brasil.
Nestes dois casos o componente político e o interesse de motivo duvidoso são a motriz das apaixonadas defesas realizadas por pessoas de duvidosas aspirações.
Mas na sua organização como anda o sigilo da informação? Mais especificamente, como está a classificação da informação? Entendo que alguns cuidados precisam ser tomados quando se que implantar ou desenvolver o conceito de segurança da informação.
1. Entenda o objetivo da classificação da informaçãoClassificar a informação em relação ao seu nível de sigilo e definir regras indicando como a informação deve ser manuseada, armazenada e distribuída. Um dos casos em discussão é se os documentos do governo classificados como ultra-secretos devem ser abertos após 50 anos ou devem ficar indisponíveis para sempre.
2. Os níveis de classificaçãoSugiro que se a organização ainda não tem uma classificação de sigilo de informação, comece com três níveis:
– Pública: a informação pode ser compartilhada com todos da organização e de fora da organização. Este conhecimento não trará impacto financeiro e de imagem para a organização.
– Interna: a informação deve ser acessada apenas pelos funcionários e demais tipos de usuários internos. Eventualmente com a autorização do gestor da informação pode ser entregue a um público externo.
– Confidencial: a informação deve ser rigorosamente protegida para que pessoas não autorizadas tenham conhecimento desta informação. O conhecimento por pessoas não autorizadas pode acarretar impactos financeiros e de imagem. Pode ser indicada a área que pode ter acesso. Exemplo Confidencial (Marketing) é uma informação confidencial e somente o pessoal da Área de Marketing deve ter acesso.
3. Quem classifica?O Gestor da Informação é a pessoa que tem a responsabilidade de classificar a informação. Para tanto o elemento a ser tratado deve ser de conhecimento do gestor: tela, relatório, apresentação em Power Point.
4. Divulgue e treine os usuáriosOs usuários precisam saber o que significa esta classificação de sigilo da informação. Para tanto, precisam ser trinados.
5. A Arquitetura de Segurança da InformaçãoLembre-se que a Classificação da Informação é uma dimensão da Segurança da Informação. A proteção da informação vai valer pelo conjunto de ações. Pense especificamente em classificação, mas também pense de maneira abrangente considerando as demais dimensões.
A classificação da informação deve ter regras explícitas sobre como tratar a informação e quais são as responsabilidades dos usuários.
Edison Fontes, CISM, CISA
Nucleo Consultoria
