Lei de crimes de delitos informáticos

Em 2 de abril, a Lei 12.737/2012 começou a vigorar. O que não era crime, agora já é. Com esta lei, o Art. 2º,  Decreto-Lei nº 2.848, de 7 de dezembro de 1940 – Código Penal, fica acrescido do crime: “Invasão de dispositivo informático”.

De uma maneira simples, com definições de dicionários mais utilizados temos:

Invasão: Ato de invadir. Entrar à força. Entrar sem permissão.

Dispositivo: Qualquer peça ou mecanismo de uma máquina destinado a uma função especial.

Informático. Referente à Informática, que é o tratamento automático da informação.

Porém, a lei coloca uma condição para o crime:

Art. 154-A. Invadir dispositivo informático alheio, conectado ou não à rede de computadores, mediante violação indevida de mecanismo de segurança e com o fim de obter, adulterar ou destruir dados ou informações sem autorização expressa ou tácita do titular do dispositivo, ou instalar vulnerabilidades para obter vantagem ilícita:

É necessária a existência de mecanismos de segurança. Ou utilizando a terminologia da Norma NBR ISO/IEC 27002:2005, é necessária a existência de um conjunto de controles de segurança da informação.

As organizações precisam desenvolver e implantar (cada uma) o Processo Organizacional de Segurança da Informação, que será composto pelas Dimensões de Segurança, amparadas pelas Normas da Família ISO 27000. A Lei define o crime, mas as organizações (e pessoas) precisam e proteger estruturadamente para que se configure o crime.

Esta Lei explicita a responsabilidade que os gestores e executivos das organizações têm (quer queiram, ou não) descrita no Código Civil, Art. 1.011: “O administrador da sociedade deverá ter, no exercício de suas funções, o cuidado e a diligência que todo homem ativo e probo costuma empregar na administração de seus próprios negócios.”

Seguir boas práticas é uma ação do bom administrador, que deve ser diligente nas suas atividades e decisões. Se a organização não possuir um processo efetivo de segurança da informação, o administrador da sociedade será responsabilizado.

Para ter um Processo Organizacional de Segurança da Informação é necessária uma abordagem estruturada, organizada, planejada e executada com profissionalismo. Organizações de quaisquer portes podem ter o seu processo de segurança da informação. O tamanho das ações é que será diferente. Toda organização precisa de cópias de segurança. A forma como será difere para um escritório de um profissional e secretária e uma organização com 150 mil colaboradores. Mas, independentemente disso, todos têm que ter cópias de segurança.

A Lei servirá para facilitar a punição para os crimes. Mas, o Processo Organizacional de Segurança da Informação protegerá a Organização para que os crimes não aconteçam ou para a minimização da ocorrência de crimes?

Apesar do crime chamar atenção, o processo de segurança também evita ou minimiza os erros cometidos quando da utilização da informação. As diversas estatísticas apontam para 80% os impactos causados por erros. Somente o restante seriam impactos provocados por ações de má fé.

Que venha a Lei. Não é o melhor texto, como muitos advogados criticam. Mas, independentemente dela, a sua Organização precisa proteger a informação. E esta necessidade de proteção é uma lei de mercado e de sobrevivência. Para proteger a informação é necessário um processo estruturado baseado na Norma NBR ISO/IEC 27002:2005. Não aposte na sorte nem no amadorismo: as consequências podem ser fatais!

*Edison Fontes. Mestre em Tecnologia, com certificações internacionais de CISM, CISA e CRISC. É consultor, gestor e professor de Segurança da Informação dos cursos de pós-graduação da FIAP. Compartilha seu conhecimento como colunista do site Information Week. Autor dos livros: Políticas e Normas para a Segurança da Informação (Editora Brasport), Clicando com Segurança (Editora Brasport), Praticando a Segurança da Informação (Editora Brasport), Segurança da Informação: o usuário faz a diferença! (Editora Saraiva) e Vivendo a Segurança da Informação (Editora Sicurezza). Atua na área de Segurança da Informação desde 1989.