Opinião e Análise

Poliana Szernek

Antonio C. Tovo

Os números são contundentes: os riscos de segurança cibernética não podem mais ser ignorados. De acordo com a pesquisa Allianz Risk Barometer publicada em 2022, os riscos cibernéticos superam inclusive interrupções de cadeias de fornecimento e a Covid-19 como principais riscos comerciais globais. Essa constatação já era esperada, considerando o aprendizado das companhias com uma das mudanças mais proeminentes trazidas pela pandemia.
Neste contexto, os esforços relacionados à governança ambiental, social e corporativa, atualmente agrupados na sigla <a href="https://www.jota.info/tudo-sobre/esg">ESG</a> (ou ASG), encontram sintonia com a preocupação de proteção cibernética. 
Embora possa soar técnica e tecnológica, a segurança cibernética está longe de ser um problema exclusivo do Departamento de TI. A quantidade de problemas potencialmente trazidos por questões cibernéticas afeta várias áreas de um negócio, exigindo uma abordagem holística e uma análise cuidadosa dos potenciais riscos pelo jurídico, como veremos a seguir.
Como se sabe, em poucas palavras, sob o prisma do trinômio ESG, as empresas são avaliadas em função dos fatores ambientais, sociais e de governança que indicam o quão sustentáveis são suas práticas comerciais. Um nível de sustentabilidade e maturidade sob esses fatores é exigido por qualquer entidade corporativa que procure ser relevante no presente (sem mencionar o futuro) e capaz de atrair (e reter) investidores e talentos.
A segurança cibernética conecta-se a todos os aspectos ESG, assumindo gradualmente maior relevância dentro da governança. 
1) Sob práticas em prol do meio ambiente, a segurança cibernética garante, por exemplo, o controle sobre as fontes de risco ambiental que poderiam ser ensejadas a partir de um ataque cibernético. Para ilustrar a importância desse aspecto, vale lembrar o ataque cibernético contra o sistema informatizado de gerenciamento de resíduos e esgoto de Maroochy Shire, em Queensland, na Austrália. O ataque – perpetrado pelo ex-funcionário da empresa Vitek Boden, em represália após ser rejeitado para uma vaga de emprego – consistiu na liberação de milhões de litros de esgoto não tratado em parques e rios locais, causando sérios danos ao meio ambiente local. 
Relata-se que o ataque produziu mortandade de vida marinha, contaminação e escurecimento de cursos d’água, gerando um odor insuportável para os residentes da região. Levando em conta que este ataque ocorreu em 2000, o incremento de digitalização dos últimos 20 anos torna muito mais amplas as possibilidades de desastres ambientais a partir dos mesmos instrumentos.
Surge aqui a oportunidade para se questionar: qual foi a última vez que houve um penetration test dedicado aos sistemas de gerenciamento de resíduos da sua organização? O Legal Business Partner que dá suporte à área ambiental saberia informar? E os procedimentos em torno das atividades que podem ensejar um risco ambiental? Estão sendo revisados periodicamente e constam no planejamento de entregas do ano?
2) Do ponto de vista social, ressalta-se o status de "ativo" valioso que os dados de indivíduos e de corporações atingiram, sobretudo nos últimos anos. Não por outro motivo, foram estabelecidos sistemas normativos de proteção legal de dados pessoais em vários países, inclusive no Brasil. Embora a conexão entre impacto social e demanda por segurança de dados não seja óbvia, os danos causados por violações recentes demonstram as consequências em termos financeiros, reputacionais e operacionais.
Mais recentemente, no setor público, o Ministério da Saúde enfrentou um "apagão de dados" após ter sofrido um <a href="https://www.jota.info/opiniao-e-analise/artigos/conectesus-apagao-vulnerabilidade-tratamento-de-dados-12012022">ataque cibernético</a> em dezembro de 2021. Neste ataque, os hackers invadiram o site do ministério e derrubaram vários sistemas, incluindo aquele que continha informações sobre o Programa Nacional de Imunização e outro utilizado para emitir os certificados digitais de vacinação. Tal apagão teve alto impacto social, dificultando uma acurada visibilidade das estatísticas da pandemia e obstando que os cidadãos brasileiros utilizassem seus certificados de vacinação em atividades nas quais sua apresentação era compulsória. 
Em relação ao setor privado, em janeiro de 2021, 200 milhões de cidadãos brasileiros tiveram seus dados vazados. Este vazamento foi considerado o maior envolvendo dados pessoais no país até o presente, contendo nomes, números de CPF, dados biométricos, endereços, números de telefone, endereços de email, pontuação de crédito, salário e muito mais. Ainda não está claro de onde vieram os dados, mas a natureza das informações vazadas indica que pode ter se originado em uma prestadora de serviços de proteção ao crédito.
É desnecessário dizer que, considerando as fiscalizações que podem ser promovidas pela <a href="https://www.jota.info/opiniao-e-analise/artigos/lgpd-e-anpd-saiba-o-que-sao-e-entenda-as-diferencas-entre-a-lei-e-o-orgao-13042022">Agência Nacional de Proteção de Dados (ANPD)</a>, é essencial que o jurídico já tenha implementado, com o apoio do departamento de TI ou da área de segurança da informação, medidas efetivas sobre o que fazer em momentos de crise em caso de ataques cibernéticos. Há portanto uma constante demanda (estatal e de setores da sociedade civil) por responsabilização dos entes jurídicos em direção à integridade, disponibilidade e confidencialidade no tratamento de dados pessoais. 
Ter um comitê de crise, apoio técnico especializado e um plano já desenhado para que a organização não fique desprotegida são medidas mínimas que podem garantir uma rápida reação depois de um evento desta natureza.
3) Por fim, não é possível estabelecer quaisquer medidas e investimentos eficazes em segurança cibernética sem uma governança apropriada. Em pesquisa realizada com diversas companhias na América Latina em 2020, constatou-se em geral que a grande maioria não realiza investimentos suficientes em seu orçamento de TI. Dado o alto impacto que uma política de segurança cibernética deficiente pode ter em uma empresa, espera-se que o tema seja considerado como uma decisão prioritária a ser tomada pela Diretoria Executiva. Além de as decisões sobre alocação de recursos passarem pelo corpo diretivo, deve haver um entrelaçamento da segurança cibernética com as operações da empresa mesmo em seus mínimos aspectos – para isso é necessária uma visão abrangente do negócio, que só a alta direção possui. 
Já está superada a ideia de que a segurança é incumbência exclusiva do departamento de TI e de que ela deve passar a compor o conselho executivo por si só (com a figura de um diretor de segurança da informação, por exemplo). Afinal, tanto os stakeholders quanto os clientes desejam que as empresas nas quais investem ou consomem tomem todas as medidas possíveis para se proteger contra um vazamento, e que tenham protocolos eficazes de recuperação de desastres e resposta a incidentes caso ocorram. Ainda, quando se fala em prevenção, o jurídico pode dar o apoio e ser um dos corresponsáveis pelos mecanismos que mitigarão os riscos expostos neste breve texto.
Na América Latina, a maioria dos países possui leis e normas para segurança cibernética, mas muitos estão nos estágios iniciais de maturidade. Ainda há um longo caminho a percorrer na construção de uma cultura de segurança cibernética. Até lá, entendê-la como elemento parte de ESG é crucial para esta construção.

adi-goldstein-EUsVwEOsblE-unsplash

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Já está superada a ideia de que a segurança é incumbência exclusiva do departamento de TI

A relação entre segurança cibernética e ESG

Entender a cultura de segurança cibernética como elemento parte de ESG é crucial. Ainda há um longo caminho para construção dessa cultura