As insurgências de empresas atuantes em plataformas digitais, ou então, que dependem de serviços de trocas de dados, informações e serviços online é cada vez mais recorrente, sobretudo, com a ascensão de novos modelos de serviços financeiros e a introdução de novas sistemáticas para gestão e pagamento através de aplicativos ou plataformas alternativas.
Esses novos moldes advindos da sofisticação da tecnologia e do armazenamento de informações exigem, contudo, que as instituições financeiras ou responsáveis por trocas de dados usem meios de trabalho capazes de trocar informações de maneira celere, oferecendo capacidade e custos just-in-time¹.
Tais necessidades vem sendo supridas através do serviço de armazenamento em nuvem, responsável pelo fornecimento de dados em qualquer lugar e a qualquer momento, o que acaba eliminando a necessidade de empresas gerenciarem sua própria infraestrutura de reserva de informações, sobretudo, através da contratação de serviços provedores de tecnologia.
Toda essa facilidade traz consigo, entretanto, uma enorme responsabilidade em relação à segurança cibernética dos usuários, uma vez que os setores de finanças e tecnologia são os que mais sofrem ataques cibernéticos e, também, os que são vítimas dos maiores impactos e riscos desses problemas.
O Grant Thorton International Business Report (IBR)² analisa os principais líderes empresariais em 35 economias diferentes e, ao pesquisar sobre ataques cibernéticos, concluiu que uma em cada seis companhias foi alvo de um ataque cibernético em 2014. No Brasil, detectou-se que 11% dos negócios foram alvos de ataques, no mesmo período.
Outra conclusão da pesquisa gira em torno do reconhecimento, por parte das empresas, de ataques virtuais como problemas relevantes na gestão e governança de seus negócios. Enquanto 74% das empresas de finanças vêem esse tipo de crime como forte ameaça para o exercício de suas atividades, de forma geral, apenas 12% dos negócios consultados reconhecem este cenário como um entrave para seu desenvolvimento.
O gráfico abaixo faz um retrato desta situação³:
Diante dessa perspectiva, o Banco Central do Brasil (Bacen) atentou-se em regulamentar uma política de segurança cibernética, exigindo que as instituições tenham controles e sistemas cada vez mais robustos, especialmente quanto à resiliência a ataques cibernéticos.
Em 26 de abril de 2018, o Conselho Monetário Nacional (CMN) editou a Resolução nº 4.658⁴, que versa sobre a obrigatoriedade de empresas regulamentadas pelo BACEN a implementarem política de segurança própria, delimitando, inclusive, um plano de ação que obedeçam requisitos para a contratação de serviços de processamento.
Em nota⁵, o Bacen afirma que “…. essa medida permite que as instituições financeiras continuem recorrendo a inovações junto a provedores de tecnologia, mas com aperfeiçoamento dos requisitos prudenciais e de governança nesse processo.”
É importante observar que a Resolução não atentou apenas em delimitar requisitos e cláusulas contratuais específicas, mas também, em exigir programas de capacitação e conscientização em segurança da informação com avaliação periódica de pessoal, conforme o artigo 3º, inc. VI, letra a.
Segundo a advogada especialista em Direito Digital Patricia Peck⁶:
“não basta ter a tecnologia, é preciso educar na prevenção de riscos, visto que muitos dos incidentes de vazamentos envolvem falhas comportamentais. Por isso a relevância de se implementar mecanismos de disseminação de cultura de segurança com medição de resultados apuráveis.”⁷
Esse conjunto de mudanças de posturas e a necessidade da empresa em se planejar quanto a estruturação de um plano de ação, além da responsabilidade de responder por possíveis incidentes, exige adaptação prévia quanto a prática, avaliação e monitoramento dos serviços prestados.
É nesse ponto que cresce a importância da governança corporativa. Diante das exigências do mercado atreladas à tecnologia e inovação no contexto econômico atual, é de suma relevância a reunião de requisitos que permitam o aperfeiçoamento de princípios da empresa capazes de otimizar sua organização interna, a fim de atender o bem comum.
O que nos leva a abertura de mais uma questão a ser colocado em pauta: A governança corporativa tecnológica. Seria a governança como guia de decisões estratégicas empresariais numa era marcada pelo desenvolvimento tecnológico. Assim na perspectiva regulatória interna, o planejamento empresarial precisa se modernizar e acrescentar a segurança tecnológica como um dos elementos das novas métricas de governança corporativa.
Cassiane Costa Andreatta e Carla Beux
[1] Termo em inglês, cuja tradução é “no momento certo”.Conceito, inicialmente, utilizado pela Toyota Motor Company para definir um sistema de administração capaz de coordenar a produção com o mínimo de atraso. Atualmente, o ‘just in time’ é entendido como uma filosofia que inclui aspectos de administração, gestão da qualidade e organização do trabalho. Disponível em <https://www.erpflex.com.br/blog/o-que-e-just-in-time>
[2] O International Business Report da Grant Thorton (IBR) é uma pesquisa realizada há 22 anos que tem como objetivo fornecer informações sobre as opiniões e expectativas de mais de 10 mil empresas de 35 economias. São entrevistados CEO’s, diretores, presidentes e outros executivos seniores, levando em conta os cargos mais relevantes para cada país. Disponível em <https://www.grantthornton.com.br/insights/articles-and-publications/ciberespaco/>
[3] Pesquisa realizada pela Grant Thorton. Disponível em <https://www.grantthornton.com.br/insights/articles-and-publications/ciberespaco/>
[4] BANCO CENTRAL DO BRASIL. Resolução nº 4.658, 26 de abril de 2018. Dispõe sobre a política de segurança cibernética e sobre os requisitos para a contratação de serviços de processamento e armazenamento de dados e de computação em nuvem a serem observados pelas instituições financeiras e demais instituições autorizadas a funcionar pelo Banco Central do Brasil. Brasília, 26 abri. 2018. Disponível em <http://www.bcb.gov.br/pre/normativos/busca/normativo.asp?numero=4658&tipo=Resolu%C3%A7%C3%A3o&data=26/4/2018>. Acesso em: 07 mai. 2018.
[5] CMN – Votos do Banco Central – Reunião de 26/04/2018. Agenda BC+: CMN regulamenta política de segurança cibernética. Disponível em <http://www.bcb.gov.br/pt-br/#!/c/notas/16455>
[6] Advogada especialista em Direito Digital com 18 livros publicados, pesquisadora convidada do Instituto Max Planck da Alemanha e da Columia University de NYC EUA. Professora Convidada da Universidade de Coimbra de Portugal e da Universidade Central do Chile. Professora Coordenadora da pós graduação de Inovação e Direito Digital da FIA. Doutoranda em Direito Internacional na USP. Sócia-fundadora do Escritório Patricia Peck Pinheiro Advogados.
[7] PECK, Patrícia. Segurança cibernética e nuvem. Linked In, 27 de Abri. 2018. Disponível em <https://www.linkedin.com/pulse/seguran%C3%A7a-cibern%C3%A9tica-e-nuvem-patricia-peck>
