Cuidado com o que você fala, para quem e onde!

 

“Três pessoas podem guardar um segredo, se duas delas estiverem mortas”

Benjamin Franklin

Você entra no elevador e duas pessoas estão conversando sobre um problema da empresa. Não dizem muita coisa. Um nome, um fornecedor, uma apuração em andamento, e em seguida a frase: “A diretoria ainda não sabe”. 

Talvez você nem trabalhe naquela empresa. Talvez não conheça aquelas pessoas. Mas, em menos de um minuto, recebeu informações que provavelmente não deveria ter recebido, e...

Não houve invasão de sistema.
Nenhuma senha foi descoberta.
Nenhum e-mail foi interceptado.
Nenhum hacker foi necessário.

Até o volume da conversa importa. Às vezes nos empolgamos, o tom de voz aumenta e aquilo que deveria ficar entre duas pessoas acaba chegando à mesa ao lado, ao corredor inteiro ou até mesmo para quem está esperando aquele elevador. 

O vazamento nem sempre acontece pela internet 💪😶

No happy hour
A reunião em um restaurante

Um relatório esquecido sobre a mesa
O nome mencionado onde não deveria

Uma apuração compartilhada com quem “é de confiança”
Aquela fotografia do escritório publicada nas redes sociais

A pergunta aparentemente inocente feita pela pessoa certa, no momento certo

Às vezes, a informação simplesmente é exposta. Em outras, alguém procura por ela, observando, perguntando, criando confiança ou induzindo uma pessoa a revelar algo que normalmente não revelaria. É aí que entra a...

Engenharia Social

Quando pensamos nesse termo, é comum associá-lo imediatamente a phishing, e-mails falsos ou golpes pela internet. Mas a Engenharia Social é muito mais antiga que o mundo digital. Ela explora principalmente pessoas, comportamentos, relações de confiança e pequenas informações que, isoladamente, parecem sem importância. 

Um nome. Um cargo. Uma rotina. Um fornecedor. Uma viagem. Uma reunião. Um problema interno. Para quem sabe conectar os pontos, um pequeno fragmento de informação pode ser o início de algo muito maior. Por isso, Segurança da Informação não começa apenas no computador.  

E vale lembrar que nem toda exposição de informação é Engenharia Social. Mas toda informação exposta pode se tornar matéria-prima para ela. 

Começa no comportamento e sim, o ambiente importa

Não é apenas a informação confidencial que merece cuidado. Uma conversa aparentemente banal pode revelar ou confirmar algo que alguém já sabia. Assim, antes de falar sobre assuntos da empresa em ambientes públicos, se pergunte: 

“O que alguém poderia fazer com essa informação?”

Quem está ao seu lado não precisa entender toda a conversa. Às vezes, uma única informação é o que faltava para completar o quadro.

Informação corporativa nas redes sociais

Uma fotografia aparentemente inocente pode revelar o crachá, tela do laptop, quadro de reuniões, planta, localização, fornecedor, rotina do executivo, sistema utilizado ou detalhes de uma instalação. Quantas vezes percebemos, em fotos utilizadas nas próprias apresentações da empresa, que um empregado está sem o EPI necessário para aquele local ou situação? A fotografia foi feita para mostrar uma coisa e acabou revelando outra.

E mais... com o aumento da qualidade das imagens, até detalhes que normalmente passariam despercebidos podem se tornar informação: reflexos em superfícies, documentos ao fundo, códigos, identificações e, em determinadas condições, detalhes biométricos e outras características que, dependendo da resolução, distância e condições da imagem, podem comprometer a sua segurança e da Empresa.

Na Segurança, existe um princípio simples, mas fundamental para a proteção da informação:

Need-to-know (Necessidade de conhecer)

E não tem a ver com “a pessoa ser confiável ou não”, mas com uma pergunta muito mais simples: 

“Essa pessoa precisa dessa informação?”

Apuradores praticam isto o tempo todo, ou deveriam. Dentro da própria equipe de Segurança, nem todos possuem as informações de uma apuração. E esta compartimentação é necessária.

Apurações exigem compartimentação

Em uma apuração, compartilhar informação indiscriminadamente pode alertar o investigado, contaminar depoimentos, influenciar testemunhas, permitir destruição de evidências e prejudicar a reputação de pessoas que talvez nem tenham cometido irregularidade (Leia mais no post Retrabalho: Como Integrar informações e evidências).

Não precisamos estar diante de um grande caso, de informações estratégicas ou de documentos classificados para aplicar o need-to-know. Ele aparece em situações muito mais simples: no lugar onde conversamos, naquilo que deixamos visível, no que publicamos, no que compartilhamos e até na quantidade de informação que decidimos revelar. Pequenos cuidados podem impedir que informações aparentemente desconectadas sejam reunidas e transformadas em algo muito mais valioso.

Confidencial não significa secreto

Nem toda informação precisa ser secreta. O comportamento muda conforme a classificação. Um modelo seria:

Pública: Site, vagas, comunicados e relatórios públicos.

Interna: Procedimentos, comunicados internos, agendas e ramais.

Confidencial: Contratos, dados de empregados, relatórios de apuração e informações financeiras.

Restrita: Informações críticas de apurações, credenciais de acesso, planos de proteção e vulnerabilidades de Segurança.

Lembre-se: Mesmo uma informação pública ou aparentemente inocente pode ganhar valor quando combinada com outras.

Segurança da informação também é postura

Antes de falar, enviar ou mostrar uma informação, pense:

Essa pessoa precisa saber? 
Por que precisa saber?
Este é o lugar apropriado para esta conversa?
Este é o canal adequado?
Preciso dizer tudo?
O que aconteceria se essa informação chegasse à pessoa errada?

Por exemplo, um gerente pode ter posição hierárquica elevada e ser absolutamente confiável. Isso não significa que precise conhecer quem está sendo investigado, quais evidências já foram encontradas ou quem será entrevistado amanhã. 

Hierarquia não substitui necessidade de conhecer

No final, proteger informação não depende apenas de tecnologia, classificação ou sistemas de acesso. Depende também de comportamento. Antes de falar, compartilhar, publicar ou mostrar alguma coisa, talvez baste lembrar de três perguntas:

O quê? Para quem? Onde?

Como naquela conversa no elevador, onde nós mesmos acabamos entregando a informação de mão beijada. A informação simplesmente chegou a quem não precisava conhecê-la. 

Proteger informação não é apenas impedir que alguém a roube. É saber quando, onde, como e com quem ela pode ser compartilhada. 

Fontes:

Information Asset Protection Guideline (IAP-2021)

Checklist de Segurança - Protection of Assets (POA)

Abraço