Fraudes: ambiente externo ou ambiente interno
Edison Fontes*
Com quem devemos nos preocupar? Fraudadores externos ou fraudadores internos? Resposta simples: com os dois tipos de fraudadores. A intensidade pode variar, dependendo das características do negócio, do momento da organização e da composição do seu público interno e externo. Uma coisa é certa: devemos nos proteger até de pessoas que nem sabemos quem são.
Todo o cuidado é pouco quando se trata de público externo. Apesar de alguns tipos de empresas, principalmente as famosas, serem um chamativo para o ataque, com as ferramentas disponíveis hoje em dia, os fraudadores “rodam a metralhadora” a esmo e o ambiente de tecnologia que apresentar uma vulnerabilidade será alvo de um trabalho mais personalizado. Sendo assim, uma regra inicial: mantenha seu ambiente de tecnologia adequadamente e continuamente protegido. Faça a sua lição de casa. Hoje já existem diversos programas que implementados e mantidos de maneira correta proporcionam um bom nível de proteção aos dados de sua empresa.
Em relação ao público interno, teoricamente não deveríamos ter problemas, pois ele é formado por pessoas que a organização convidou para trabalhar. Isto é, a empresa teve todas as condições de analisar o profissional e não escolher possíveis fraudadores. Mas ninguém tem escrito o rótulo de “fraudador” na testa. Além do que, ao longo do tempo, a pessoa e o seu ambiente mudam. Portanto, é preciso cuidado também com o público interno que igualmente pode abrigar um fraudador em potencial.
Para que aconteça um delito é necessária a ocorrência simultânea de três aspectos:
- Motivação: depende exclusivamente da pessoa. Portanto, é o elemento no qual menos podemos interferir.
- Falta de controle: um processo sem o devido controle permite que uma vulnerabilidade seja aproveitada. Desenvolver controles e monitorar vulnerabilidades é uma forma de evitar ações de má fé.
- Oportunidade: é o momento em que o usuário tem a possibilidade de realizar uma ação de má fé. Muitas vezes, existem as vulnerabilidades, mas o usuário não teve a oportunidade de identificá-la.
A junção desses três aspectos possibilita a realização de uma fraude ou ação de má fé. Portanto, é preciso trabalhar com ações preventivas, detectáveis e, em último caso, de recuperação para minimizar a possibilidade de ocorrência de fraudes na organização.
*Edison Fontes. Mestre em Tecnologia, possui as certificações internacionais de CISM, CISA e CRISC. É consultor, gestor e professor de Segurança da Informação dos cursos de pós-graduação da FIAP. Compartilha seu conhecimento como colunista do site Information Week. Autor dos livros: Políticas e Normas para a Segurança da Informação (Editora Brasport), Clicando com Segurança (Editora Brasport), Praticando a Segurança da Informação (Editora Brasport), Segurança da Informação: o usuário faz a diferença! (Editora Saraiva) e Vivendo a Segurança da Informação (Editora Sicurezza). Atua na área de Segurança da Informação desde 1989.
