5

A SEGURANÇA DA INFORMAÇÃO NA REDE BANCÁRIA NO

MUNICÍPIO DE ROLIM DE MOURA / RO1.

JONATHAN SOUZA DO CARMO2

RESUMO:
A segurança da informação é uma questão que está presente no cotidiano de cada pessoa,
principalmente quando direcionado as redes bancárias. Além de primordial, a segurança da
informação atua para evitar vazamentos e invasões da informação, ou anda investigar os prejuízos
que podem decorrer da falta da mesma. O objetivo do presente artigo foi analisar a participação dos
colaboradores quanto à proteção adequada das informações e dos sistemas contra o acesso não
autorizado de indivíduos que não sejam os devidos titulares da conta. A pesquisa teve a preocupação
de levantar os procedimentos utilizados pelos colaboradores, relacionando os mecanismos, e verificar
como os colaboradores protegem e se comportam diante do assunto segurança da informação. A
segurança da informação, além de necessária, é essencial para redes bancárias, pois propicia melhor
conforto ao cliente, oferecendo garantias para vida do mesmo. Utilizou-se como metodologia para
esta pesquisa, o tipo exploratório e descritivo, método dedutivo, e abordagem qualitativa. Como
técnicas de coletas de dados foram utilizadas a pesquisa bibliográfica, entrevista semiestruturada e
questionário com perguntas abertas e fechadas. A pesquisa foi realizada em 03 bancos no município
de Rolim de Moura/RO, totalizando 09 participantes. Diante dos resultados adquiridos nesta
pesquisa, a questão que chamou mais atenção, foi o fato de 100% dos pesquisados afirmarem que
não existe uma política de segurança praticável e eficaz publicada e comunicada a todos, mas que
estão conscientes dos critérios necessários para manter o compromisso perante a empresa e a
sociedade no que se refere à segurança da informação.

PALAVRAS-CHAVE: Segurança da informação; redes bancárias; procedimentos de segurança.

INTRODUÇÃO

O crescente uso da tecnologia nas redes bancárias brasileiras deixou de ser

artigo de luxo, tornando-se uma questão de sobrevivência no mercado e segurança
aos clientes. Com o avanço da tecnologia e o custo cada vez menor do acesso à
internet, existem mais usuários conectados à rede, e por esse motivo é maior a
exposição das organizações, tornando necessário investimento em tecnologias

1
Artigo apresentado a Universidade Federal de Rondônia, Campus Professor Francisco Gonçalves
Quiles como requisito parcial de obtenção de grau de Bacharel em Administração sob a orientação do
Prof. Me Adriano Camiloto da Silva.
2
Acadêmico do 8º período do Curso de Administração. E-mail: than.carmo_docarmo@hotmail.com
 6

como equipamentos que garantam a segurança dos negócios. Porém, mesmo com
esses equipamentos ainda não é eficaz a segurança da informação. Com as
invasões de hacker3 e a espionagem industrial se tornou cada vez mais fácil enviar
as informações ou mesmo torná-las indisponível.

Em todas as fases da evolução corporativa, as transações de toda a cadeia

de produção passando por fornecedores, fabricantes, distribuidores e consumidores,
sempre tiverem na informação uma base fundamental de relacionamento e
coexistência. Sejam para troca de mercadorias, segredo estratégico, regras de
mercado, dados operacionais ou simplesmente pesquisas, as informações, aliada à
crescente complexidade do mercado, à forte concorrência e a velocidade imposta
pela modernização das relações corporativas, elevou seu posto na pirâmide
estratégica do executivo, tornando-se fator vital para seu sucesso ou fracasso. É ao
lado destas variáveis de mercado que a tecnologia, por meio de instrumentos e
soluções sofisticadas, preparadas para atender qualquer demanda do mercado, se
transformou na principal mola propulsora desta nova fase da informação dentro das
corporações, sob o nome de Tecnologia da Informação (TI).

Estas são algumas das partes de um cenário que transformou a informação

na principal moeda corrente do mundo corporativo, das transações de automação
bancária ao mercado financeiro, do controle de estoque ao comércio eletrônico. No
entanto, da mesma forma que esta mudança de paradigma apresenta constantes
oportunidades, acaba também por ser tornar um ambiente muitas vezes hostilizado,
altamente visado por ações ilícitas e invariavelmente desprovido de instrumentos
para combater e lidar com estas ocorrências.

Esta pesquisa se delimitou na área de Administração de Sistemas de

Informação com estudo sobre segurança da informação na rede bancária
localizadas no município de Rolim de Moura – Rondônia, com alguns colaboradores,
entre eles, gerentes administrativos e gerais de 03 bancos situados no município.
Sendo a informação um ativo de extrema importância nos negócios, esta

3
Programador com gênio para dominar e alterar programas e equipamentos de computação e
teleprocessamento.
 7

deve ser protegida de maneira que não ocorra a possibilidade de acessos não
autorizados, alterações indevidas ou sua indisponibilidade. Segurança da
informação deve ser implantada em todas as áreas da organização, pois, são
encontradas em diversos meios como: impresso ou escrito em papel, armazenado
eletronicamente, enviado pelo correio ou através de meios eletrônicos.

Sêmola (2003) define segurança da informação como uma área do

conhecimento dedicada à proteção da informação contra acessos não autorizados,
alterações indevidas ou sua indisponibilidade. Manter a vantagem competitiva
sustentável é fundamental para os bancos, não só na competição com seus
parceiros, nacionais e internacionais, mas também para se manterem no mercado
financeiro.

A determinação pela velocidade da implantação e dos processos de

integração disponibiliza uma prestação de serviços de qualidade numa permanente
sintonia, baseados em clientes segmentados, podendo servir como diferencial.
Partindo desse pressuposto, os aspectos supramencionados em relação à qualidade
da segurança da informação nas redes bancárias levam ao seguinte
questionamento: como os colaboradores se comportam como agentes integrantes
da segurança da informação?

Estabeleceu-se, desta forma, como objetivo geral da pesquisa, a

preocupação em se analisar a participação dos colaboradores quanto à proteção
adequada das informações e dos sistemas contra acesso, modificação, destruição e
divulgações não autorizadas. O compromisso de todos os funcionários, estagiários,
aprendizes, doravante denominados colaboradores, e dos prestadores de serviços,
no cumprimento das diretrizes, é fundamental para a efetiva implementação da
política de segurança da informação na rede bancária do município de Rolim de
Moura – RO e de qualquer outra rede bancária.

Toda e qualquer iniciativa relacionada à definição de normas ou

procedimentos, bem como contratação de empresas, aquisição de produtos e
serviços inerentes à segurança da informação, é de fundamental importância para a
 8

realização dos procedimentos operacionais. Assim, há a efetivação e a

implementação de uma política corporativa que visa atender aos critérios de sigilo
bancário e a guarda de dados pessoais de clientes e usuários das redes.

Os objetivos específicos desta pesquisa resumiram-se em examinar os

procedimentos informados aos colaboradores para a segurança da informação;
assim como relacionar os mecanismos de segurança da informação utilizados pelos
bancos e verificar como os colaboradores protegem e comportam-se perante a
segurança da informação nas organizações em estudo.

A informação é um dos elementos de negócio mais importantes para as

organizações bancárias. Manter a sua confidencialidade, integridade e
disponibilidade é fator crítico para o sucesso de toda empresa. O direcionamento de
um programa efetivo de proteção dos ativos da informação, sendo a base para o
estabelecimento de todos os padrões e procedimentos de segurança são muito
importantes por sua abrangência ser sobre todas as dependências e ambientes da
organização. A partir da existência de mecanismos, podem-se estabelecer os
procedimentos operacionais, as instruções de trabalho junto ao colaborador e os
padrões de segurança, compondo, assim, um vasto campo consistente de
segurança da informação.

A proteção e privacidade de dados dos clientes são de relevante

importância, refletem os valores das redes bancárias e reafirmam o seu
compromisso com a melhoria contínua da eficácia do processo de proteção de
dados, dá-se, uma contribuição no que se refere à exatidão das informações, onde
as mesmas são consignadas de maneira precisa e completa, dotadas de grau de
detalhamento necessário, que reflete a transparência das operações no setor e
aumenta sua competitividade quanto à segurança da informação retratada frente aos
concorrentes.

É de suma importância para o campo acadêmico o conhecimento dessa

ferramenta como sendo parceira inerente para aplicações de projetos e avaliações e
no perfeito entendimento do sistema de informações operando com objetivos pré-
 9

definidos, sendo necessário compreender que as informações surgem a partir de

dados organizados e processados, proporcionando valor às atividades e se bem
projetados, permite ainda aos seus usuários gerar conhecimento.

Neste contexto, pressupõe-se que informação representa um diferencial

competitivo de grande importância estratégica para as organizações. Em uma
sociedade na qual as tecnologias da informação são rapidamente difundidas, as
organizações precisam se estruturar para lidar com questões como integridade,
disponibilidade, confidencialidade e valor deste importante ativo.

1 FUNDAMENTAÇÃO TEÓRICA

1.1 INFORMACÃO

A Informação assume uma importância crescente fundamental peça para as

empresas na descoberta e introdução de novas tecnologias, exploração das
oportunidades de investimento e ainda na planificação de toda a atividade industrial.
Compreende qualquer conteúdo que possa ser armazenado ou transferido de algum
modo, servindo a determinado propósito e sendo de utilidade ao ser humano. Trata-
se de tudo aquilo que permite a aquisição de conhecimento, podendo ser
manipulada e visualizada de diversas maneiras e à medida que a informação circula
pelos mais variados ambientes, percorrendo diversos fluxos de trabalho, ela pode
ser armazenada para os mais variados fins, possibilitando ser lida, modificada ou até
mesmo apagada.

Sêmola (2003, p. 45) define informação como:

conjunto de dados utilizados para a transferência de uma mensagem entre

indivíduos e/ou máquinas em processos comunicativos (isto é, baseados
em trocas de mensagens) ou transacionais (isto é, processos em que sejam
realizadas operações que envolvam, por exemplo, a transferência de
valores monetários).
 10

Neste contexto nota-se que a segurança da informação se refere à proteção

existente sobre as informações de uma determinada empresa ou pessoa, isto é,
aplica-se tanto as informações corporativas quanto às pessoais e em virtude disso a
segurança da informação está relacionada com a proteção de um conjunto de
dados, no sentido de preservar o valor que possuem para um indivíduo ou uma
organização.

1.2 SEGURANÇA DA INFORMACÃO

A segurança da informação consiste em garantir que a informação existente

em qualquer formato esteja protegida contra o acesso por pessoas não autorizadas
(confidencialidade), esteja sempre disponível quando necessária (disponibilidade),
confiável (integridade) e autêntica (autenticidade). A internet,4 por exemplo, tornou-
se instrumento indispensável de pesquisa e estudos. Baseada nesta premissa, o
ambiente da internet já faz parte das fontes de informação estudadas por
pesquisadores de todo o mundo, conforme afirma Tomael et al. (2001, p. 3): “[...] a
internet representa uma verdadeira revolução nos métodos de geração,
armazenagem, processamento e transmissão da informação”.

A importância da informação disponibilizada na internet fez com que

houvesse a necessidade de assegurar a sua preservação e integridade, pelo que
sugere o conceito de segurança da informação. Beal (2005, p.71) define a
segurança da informação como “o processo de proteger a informação das ameaças
para garantir a sua integridade, disponibilidade e confidencialidade”. Estes conceitos
são vistos como suporte para a segurança da informação.

Percebe-se que para garantir a segurança das informações deve ser feita
uma análise de risco que identifique todos os riscos que ameacem as informações,
apontando soluções que eliminem, minimizem ou transfiram os riscos. Nota-se

4
Rede Mundial de Computadores. Rede telemática internacional que une computadores particulares,
organizações pesquisa, instituições de cultura, institutos militares, bibliotecas, corporações de todos os
tamanhos.
 11

também que as ameaças são ações de origem humana, que quando são exploradas
podem gerar vulnerabilidade e produzir ataques, que por sua vez, causam incidentes
que comprometem as informações, provocando perda de confidencialidade,
disponibilidade e integridade e que a informação vem assumindo, cada vez mais,
uma posição estratégica para as organizações, sendo o seu principal patrimônio.
Neste sentido, o controle de acesso às informações é um requisito fundamental nos
sistemas das organizações, visto que a grande maioria da informação de uma
organização está armazenada e é trocada entre os seus mais variados sistemas.

É muito importante que mecanismos de informação sejam projetados para

prevenir acessos não autorizados. Segundo Araújo (2005, p.5) “o fator humano é o
principal desafio para se ter uma boa e segura conduta de segurança da
informação”. Com o aumento das tecnologias e da flexibilidade de acesso a qualquer
tipo de informação, cabe aos indivíduos demonstrar alguma preocupação quanto à
segurança e às ameaças de que passam a ser alvo por parte de alguns indivíduos
mal intencionados.

1.3 A EVOLUÇÃO DA SEGURANÇA DA INFORMAÇÃO

A evolução faz parte do cotidiano e do meio tecnológico e a internet é uma

das evoluções mais importantes. Desde o seu advento, o incentivo a mudança de
paradigmas cresceu e isso possibilitou uma explosão de conectividade e
acessibilidade, onde influenciam consideravelmente a forma como as empresas
gerem seus negócios.

Sêmola (2003) cita que a mudança e o crescimento da TI como os

computadores, tomaram conta dos ambientes de escritório, e quebram o paradigma
e acesso local à informação, chegando a qualquer lugar do mundo através dos cada
vez mais portáteis notebooks e da rede mundial de computadores. Como na internet,
a segurança da informação também evoluiu, saiu do nível puramente técnico e
restrito à área da TI, onde se preocupava em ter um sistema de antivírus e um
 12

firewall 5bem configurado, para um nível de gestão, que além de pensar em

tecnologia, precisa investir e desenvolver também os processos e pessoas.

Gabbay (2003, p.14) na sua dissertação, expõe claramente a evolução da

segurança da informação, dizendo que:

os aspectos relativos à implantação de uma eficiente política de segurança

de Informação vêm evoluindo significativamente ao longo dos anos. Os
procedimentos de segurança da informação têm se alterado bastante desde
seus dias inicias, quando a segurança física, junto comum conjunto de
back-up, compunha os controles de segurança de informação, sendo que
atualmente a segurança de informação é composta de políticas, padrões,
programas de conscientização, estratégias de segurança, etc.

A proposta de uma abordagem para as políticas de segurança da

informação centrada nos pontos de vista do usuário deve, necessariamente, evitar
os conceitos de origem majoritariamente positivista que ora dominam este campo e
que lhe dão o caráter essencialmente tecnológico que o caracteriza, ao deixarem em
segundo plano o elemento social. Assim, a adoção de um modelo interpretativo deve
se caracterizar pela desconstrução de boa parte (se não de todos) dos conceitos
atualmente na área da segurança da informação e sua posterior reapresentação
como componentes de um modelo orientado à visão do homem no contexto
informacional em que se insere.

1.4 PRINCÍPIOS DA SEGURANÇA DA INFORMAÇÃO

A segurança da informação busca reduzir no máximo possível os riscos de

vazamentos de informações, fraudes em arquivos, banco de dados, erros humanos
e operacionais, uso indevido do sistema por falta de treinamento, sabotagens,
paralisações de rede ou serviços, roubo de informações ou qualquer outra ameaça
que possa prejudicar a instituição ou equipamentos da mesma.

A norma da NBR ISO/IEC 17799 (ABNT 2005, p. 09) define segurança da

informação como “a proteção da informação de vários tipos de ameaças para

5
Dispositivo que tem por objetivo aplicar política da segurança a um determinado ponto de rede.
 13

garantir a continuidade do negócio, minimizar o risco ao negócio, maximizar o

retorno sobre os investimentos e as oportunidades de negócio”. Segundo esta
norma, os princípios da segurança da informação são:
a) confidencialidade: garantia de que a informação é acessível somente por
pessoas autorizadas a terem acesso;
b) integridade: a informação é alterada somente pelas pessoas autorizadas;
c) disponibilidade: garantia de que as pessoas autorizadas obtenham acesso
à informação e aos ativos correspondentes sempre que necessário.

Percebe-se que quando se fala em investir em segurança da informação, se

deve investir então para que as informações permaneçam confidenciais, íntegras e
disponíveis para a pessoa certa na hora certa.

1.5 AMEAÇAS À SEGURANÇA DA INFORMAÇÃO

As vulnerabilidades são deficiências de diversas origens, as quais muitas

vezes, não são identificadas a tempo ou não são devidamente tratadas de modo a
evitar um ataque (NAKAMURA, 2002, p. 29). Partindo desse pressuposto as
vulnerabilidades são entendidas como uma fraqueza que podem ser explorado por
ameaças. Diante dessa afirmação é preciso entender as organizações como
sistemas. Os recursos de que a organização dispõe são elementos desse sistema
que serão processados e transformados em produtos ou serviços.

As ameaças à segurança da informação sempre vão existir, porém as

vulnerabilidades podem ser tratadas. Um fator preocupante em relação às ameaças
está na falta de consciência dos executivos de TI. Desde um faxineiro mal
intencionado com acesso a sala do gerente depois do expediente até um aplicativo
adquirido, o qual não foi devidamente testado, são ameaças que as organizações se
deparam no cotidiano.

Sêmola (2003, p.47) conceitua ameaça como sendo:

 14

agentes ou condições que causam incidentes que comprometem as

informações e seus ativos por meio de exploração de vulnerabilidades,
provocando perdas de confidencialidade, integridade e disponibilidade,
consequentemente, causando impactos aos negócios de uma organização.

Gabbay (2003, p.23) cita que “as ameaças existem tanto no ambiente
externo quanto no ambiente interno, sendo fundamental entendê-las para que seja
possível propor medidas de segurança voltadas a eliminar a causa do problema”.
Com isso um processo de análise de risco efetivo pode ajudar consideravelmente no
conhecimento das vulnerabilidades e ameaças, identificando o nível de risco e com
isso, auxiliar em um plano diretor de segurança.

1.6 POLÍTICA DE SEGURANÇA DA INFORMAÇÃO

Uma política de segurança é um conjunto de regras e práticas que regulam

como uma organização gerência protege e distribui suas informações e recursos
(ARAUJO, 2005). Na afirmação o autor observa que as políticas de segurança
devem fornecer claramente todas as orientações necessárias para a condução
segura dos negócios da organização. É importante então, que elas sejam
estruturadas de forma a proteger os ativos de informação.

A política de segurança é a formalização de todos os aspectos considerados

relevantes por uma organização para a proteção, controle e monitoramento de seus
recursos computacionais e consequentemente das informações manipuladas. Ela
deve contemplar, de forma genérica, todos os aspectos importantes para a proteção
lógica e física das informações se dos recursos computacionais.

Gabbay (2003, p.41) coloca que a política de segurança da empresa deve

definir itens como:

a) Responsabilidades do uso dos recursos computacionais;

b) Preparar o Plano de Continuidade de Negócio;
c) Elaborar as normas de uso de e-mail e de uso da Internet;
d) Distinguir entre informação pública e privada;
e) Gerenciar acesso e contas de usuários;
f) Prever o combate a ameaça aos sistemas de informação como fogo,
enchente, etc.,
 15

g) Definir a política de privacidade do site da empresa na internet se

houver.

Nota-se que cada empresa deve elaborar uma política de segurança

baseada na sua realidade, ou seja, na sua cultura e em seus processos de negócio.
Um exemplo pode ser a política da internet. De nada adianta uma política se a
empresa não utiliza esse recurso.

Para Sêmola (2003, p.34) a política de segurança da informação deve ser

elaborada considerando:

com extrema particularização e detalhamento as características de cada

processo de negócio, perímetro e infraestrutura, materializando-a através de
diretrizes, normas, procedimentos e instruções que irão oficializar o
posicionamento da empresa ao redor do tema e, ainda, apontar as melhores
práticas para o manuseio, armazenamento, transporte e descarte de
informação na faixa de risco apontada como ideal.

Objetiva garantir a continuidade da empresa quando da ocorrência de algum

incidente de segurança. Este plano é independente da política de segurança, tendo
inclusive uma estrutura de recursos dedicada à gestão do plano, como pessoas e
orçamento, quando necessário.

A norma da NBR ISO/IEC 17799 (ABNT 2005, p.104) coloca que:

convém que os planos sejam desenvolvidos e implementados para a

manutenção ou recuperação das operações e para assegurar a
disponibilidade da informação no nível requerido e na escala de tempo
requerida, após a ocorrência de interrupções ou falhas dos processos
críticos do negócio.

Para Gabbay (2003, p.42) “as estratégias de segurança de informações

críticas repousam primeiramente na conduta apropriada dos funcionários, e de forma
secundária, no uso de soluções tecnológicas”. O autor não abordou o fator
“processos” dentro do contexto da segurança. Entende-se que a gestão da
segurança da informação é baseada no trinômio pessoas, processos e tecnologia
onde somados resultam em ações efetivas para a proteção da informação. Ter
pessoas conscientizadas e orientadas, processos definidos e testados, tecnologias
de proteção como sistemas de detecção de intrusos, firewall, etc., é o cenário
 16

pretendido por qualquer gestor de segurança. O autor não comentou a importância

de um comitê de segurança que pode apoiar o gestor de segurança.

Conforme Sêmola (2003, p.97) “é fator crítico de sucesso iniciar a

organização de um grupo, convencionalmente chamado de comitê corporativo de
segurança”. O comitê de segurança heterogêneo, composto por gestores das
diversas áreas como jurídico, recursos humanos, auditoria interna, por exemplo,
pode agregar valor considerável às ações do gestor de segurança. Desde a criação
de políticas e diretrizes até a aprovação e orientação sobre os investimentos na
mitigação dos riscos de TI.

O autor poderia considerar a construção de uma sistemática de análise de

risco, definindo os níveis de risco que a empresa ou o gestor de TI pode aceitar
controlar ou transferir, como um seguro, por exemplo. Além de uma periodicidade
definida, a composição de um comitê de riscos pode ajudar no direcionamento dos
investimentos dos controles.

1.7 A SEGURANÇA LÓGICA, FÍSICA E O CONTROLE DE ACESSO

A segurança em tecnologia da informação pode ser compreendida por dois

principais aspectos: segurança lógica e segurança física. A segurança física
desempenha um papel tão importante quanto à segurança lógica, porque é a base
para a proteção de qualquer investimento feito por uma organização. Investir em
diferentes aspectos da segurança sem observar suas devidas prioridades pode
ocasionar uma perda de todos os recursos investidos em virtude de uma falha nos
sistemas mais vulneráveis (FERREIRA; ARAÚJO, 2006).

A segurança lógica, em Carneiro (2002) refere-se à segurança da utilização

do software, proteção dos dados, dos processos dos programas e acesso autorizado
dos utilizadores. Isso mostra que sem a segurança lógica, toda a informação de uma
organização fica exposta aos vários tipos de ataques, e que, por isso, deverá ser
criado um conjunto de medidas que impede o acesso indevido a informações, seja
 17

local ou remotamente. Para garantir a segurança lógica, Mamede (2006) destaca

vários aspectos a serem levados em consideração nomeadamente: autenticação e
controle de acesso: firewall, detecção de intrusões, antivírus, filtragem de conteúdo,
criptografia, assinaturas digitais, certificados digitais, redes locais virtuais, redes
privadas virtuais, os quais possa se fazer referência.

Pessoas mal-intencionadas com acesso às áreas críticas como um Data

Center6 podem causar grandes danos à informação e consequentemente à
continuidade do negócio da organização. De acordo com NBR ISO/IEC 17799 (ABNT
2005, p.32) o objetivo da segurança física é “prevenir o acesso não autorizado,
danos e interferências com as instalações e informações da organização”.

Talvez por se tratar de um produto tangível, a segurança física é mais bem

entendida pelo alto escalão. É mais fácil para o gestor de segurança justificar um
investimento como, por exemplo, a compra de portas corta-fogo, de um sistema de
detecção e extinção de incêndio do que propor a aquisição de um sistema de
detecção de intrusos, no qual é um equipamento com software. No entanto, vale
ressaltar, que uma análise de risco auxilia na identificação de vulnerabilidades do
ambiente e consequentemente na priorização dos investimentos.

Referente ao controle de acesso, a norma da NBR ISO/IEC 17799 (ABNT

2005, p.65) coloca que o objetivo é “controlar acesso à informação” e “convém que o
acesso à informação, recursos de processamento das informações e processos de
negócio sejam controlados com base nos requisitos de negócio e segurança da
informação”.

As modernas tecnologias de colaboração podem auxiliar as iniciativas de

gestão do controle de acesso, no entanto, Turban, MacLean e Wetherbe (2004)
colocam que o aprendizado das empresas depende menos da tecnologia e mais das
questões pessoais e organizacionais de predisposição de aprendizado. Verifica-se
que para a definição eficaz do sistema de segurança da informação é necessária à

6
Local onde são concentrados os equipamentos de processamento e armazenamento de dados.
 18

compreensão da importância da informação na sua atividade fim e nos processos

relacionados à sua gestão de como lidar com mecanismos de identificação e
autenticação por exemplo.

Porém, esse processo de usuário e senha em alguns casos não funciona

muito bem, justamente pelo fato das pessoas utilizarem senhas fracas. São
consideradas senhas fracas, aquelas que possam ser descobertas através de
tentativas. Alguns exemplos de senhas fracas são as que possuem até cinco
caracteres, com letras repetidas, ou palavras de dicionário de qualquer idioma. O
que os especialistas recomendam em relação à senha forte é que possua no mínimo
6 caracteres, alguns recomendam 8, composta por letras, números e caracteres
especiais, letras maiúsculas e minúsculas e que seja trocada periodicamente, por
exemplo trimestralmente. (COMITÊ GESTOR DA INTERNET NO BRASIL, 2006).

Tradicionalmente, existem três princípios ligados à identificação e

autenticação: algo que você sabe, algo que você é e algo que você tem. O uso de
pelo menos dois desses princípios fortalecem a autenticação, reduzindo
drasticamente a probabilidade de a senha ser descoberta. (COMITÊ GESTOR DA
INTERNET NO BRASIL, 2006).

“A informação representa a inteligência competitiva dos negócios e é

reconhecida como ativo crítico para a continuidade operacional da empresa.”
(PEIXOTO, 2006, p.37). Por mais, a concessão dos direitos de acesso, apesar de
não ser abordada pelo autor, é de extrema importância. Um processo de concessão
dos direitos de acesso com regras estabelecidas e claras evitam que sejam
liberados acessos indevidos aos funcionários. Manter os registros das autorizações
de acesso para possibilitar a rastreabilidade das concessões, também é parte
importante do processo.

1.8 ENGENHARIA SOCIAL VOLTADA A SEGURANÇA DA INFORMAÇÃO

Erickson (2003) argumenta que os ataques na internet são normalmente

 19

praticados por crackers7, que são hackers mal intencionados. Ainda existe uma
confusão em relação a esses dois termos, pois o termo hacker está associado ao
indivíduo que possui um elevadíssimo grau de desconhecimento em assuntos
relacionados à computação, como por exemplo, linguagens de programação, redes
de computadores entre outros conhecimentos e utilizam todo o seu conhecimento
para melhorar softwares8 de forma legal ao contrário dos crackers que têm como
objetivo trazer danos, roubar informações, dinheiro e etc.

A ideia de hacker pode invocar imagens estilizadas de vandalismo

eletrônico, espionagem, cabelo tingido e piercing9. A maioria das pessoas associa
hackear com violação de lei, portanto insinuam que todos aqueles que se dedicam a
atividades hackers são criminosos. É verdade que existem pessoas, que utilizam
técnicas hackers para quebrar a lei, mas hacker não está muito relacionado a isso.
Na verdade, hacker está mais relacionado a seguir a lei do que quebrá-la.
(ERICKSON, 2003, p.1).

Pode-se definir engenharia social como a arte de manipular pessoas a fim

de contornar dispositivos de segurança ou construir métodos e estratégias para
ludibriar pessoas, utilizando informações cedidas por elas de maneira a ganhar a
confiança delas para obter informações (SILVA, 2008). Peixoto (2006, p. 36) salienta
que, “A engenharia social, propriamente dita, está inserida como um dos desafios
(se não o maior deles) mais complexos no âmbito das vulnerabilidades encontradas
na gestão da segurança da informação”.

O termo engenharia social ficou mais conhecido a partir de 1990, através de

um famoso hacker chamado Kevin Mitnick. Esse termo designa para as práticas
utilizadas a fim de se obter informações sigilosas ou importantes de empresas,
pessoas e sistema de informação, explorando a confiança das pessoas para
enganá-las (PEIXOTO, 2006).

7
Especialista em penetrar sistemas da segurança ou descodificar programas e códigos da informação.
8
Conjunto de programas, processos e regras relacionados ao funcionamento de conjuntos de tratamento da
informação.
9
Perfuração na pele para utilização de tachas e enfeites.
 20

Dentre as várias formas de furto de informação da engenharia social,

destaca-se a observação de Mitnick (2003) onde ao invés de ficar se descabelando
para encontrar uma falha no sistema, muitas vezes o hacker pode simplesmente
largar no banheiro um disquete infectado ou algum dispositivo que criei curiosidade,
como o logotipo da empresa e uma etiqueta bem sugestiva: “Informações
Confidenciais. Histórico Salarial 2003”, por exemplo. É provável que alguém por
curiosidade que o encontre, rapidamente o insira na máquina.

O termo “engenharia” foi atribuído a essa prática porque é construída sobre

informações e táticas de acesso às informações sigilosas de forma indevida. Já o
termo “social” foi atribuído porque utiliza pessoas que vivem e trabalham em grupos
organizados. Essas práticas simplesmente ganharam esse novo termo, pois são
antigas, utilizadas geralmente por detetives a fim de obterem informações e também
por magistrados com o objetivo de comprovar se um declarante fala a verdade.
(SANTOS, 2004).

1.9 A SEGURANÇA DA INFORMAÇÃO VOLTADA AS REDES BANCÁRIAS

No setor bancário todo ano, o sistema financeiro precisa reavaliar as suas

estratégias tecnológicas. Há muito, o Brasil está na ponta dessa evolução,
otimizando processos, implementando novos sistemas e integrando o cliente
(SÊMOLA, 2003). Percebe-se que o que se espera nesta etapa do processo, é que
as empresas possam assimilar as novas regras de segurança, transformando-as em
parte integrante da sua cultura, incorporando-as às atividades de seu cotidiano com
naturalidade.

Para Sêmola (2003) os esforços e investimentos em segurança continuam

sendo subestimados pelas empresas. Contudo, é importante mudar este cenário, de
forma que estejam atentas para a necessidade de uma política de segurança
corporativa que contenha diretrizes e orientações claras, objetivas e adequadas para
minimizar os riscos e reduzir o impacto sobre seu negócio. Diante disso, pressupõe-
se que desta maneira, atingindo a maturidade, terão um processo importante como a
 21

segurança da informação bancária, implantado com eficiência e com a certeza de

estarem prontas para uma próxima evolução.

Seguindo essa tendência, milhões de reais estão armazenados nas

memórias dos computadores. Sêmola (2003) expõe que os princípios básicos da
segurança são a confidencialidade, integridade e disponibilidade das informações.
Quando aplicados, permitem reduzir os riscos como vazamentos, fraudes, erros,
sabotagens, uso indevido, roubo de informações e diversos outros fatores que
possam comprometer estes princípios. Mas os benefícios não param por aí.
Consegue-se maior produtividade dos usuários através de um ambiente mais
organizado e maior controle sobre os recursos de informática.

Apesar de toda polêmica em torno do assunto e do número cada vez maior

de adesões corporativas, poucos compreendem e conhecem a infraestrutura
necessária para se ter a solução implantada adequadamente e que permita extrair
os melhores resultados. É preciso ter cautela e consciência de que a tecnologia
interfere no comportamento das pessoas e, em se tratando de uma atividade crítica -
pois manipulam valores virtualmente - a segurança passa a ser um assunto pontual
e determinante para o sucesso da empreitada.

Neste contexto Sêmola (2003) acrescenta dizendo que o risco também é

crítico no ambiente de intranets10. O modelo atual para segurança das redes tem
assumido que o "inimigo" está do lado de fora da empresa enquanto que dentro,
todos são confiáveis. Esta ideia tem feito com que os administradores de rede
utilizem uma estratégia de segurança que restringe o acesso para qualquer usuário
externo e por outro lado, libera de forma irrestrita o acesso aos servidores para a
totalidade dos usuários internos. Esta estratégia, embora simples, não é adequada
já que sabemos que a maior parte dos problemas ocorre em função de ameaças
internas.

Para Peixoto (2006) um dos principais problemas que a segurança da

10
Rede de computadores privadas que utiliza tecnologia usada na internet.
 22

informação deve tratar é a segurança em pessoas. A cooperação dos usurários é

essencial para a eficácia da segurança. Eles exercem um forte impacto sobre a
confidencialidade, integridade e a disponibilidade da informação, pois, por exemplo,
o usuário que não mantiver a confidencialidade da senha, não evitar o registro da
mesma em papeis que não estão guardados em locais seguros, não utilizar senhas
de qualidade ou ainda que compartilhe senhas individuais, compromete a segurança
da informação. A prevenção é um trabalho diário, sem resultados imediatos e muitas
vezes mal percepcionado pelos colaboradores, por isso, todo o esforço é pouco na
execução desse objetivo.

Sêmola (2003) norteia que nos processos que suportam a atividade das
instituições de crédito, a função da segurança da informação está presente em
diferentes níveis: proteção das pessoas, proteção dos bens, salvaguarda da
informação e na percepção adquirida pelos clientes sobre o nível de segurança. Este
último fator, de consciencialização, é determinante nas relações diárias
colaborador/cliente, constituindo-se como elemento diferenciador na percepção dos
valores da instituição ligados à confiança, reconhecimento e solidez. Diante desse
pressuposto percebe-se que a cultura de prevenção pode ser a chave de sucesso
para a proteção de pessoas e envolve todos os colaboradores.

2 PROCEDIMENTOS METODOLÓGICOS

Para realização desta pesquisa foi utilizado os critérios exploratório e

descritivo, com abordagem qualitativa e método dedutivo.

Para Thums (2000, p. 117) a pesquisa exploratória compreende aqueles que

visam a oferecer maior familiaridade com o problema de pesquisa ou com a
construção de hipóteses. Compreende um planejamento mais flexível. Geralmente
envolve levantamentos bibliográficos, entrevistas com pessoas que conhecem o
problema e a análise de exemplos.

A pesquisa descritiva trata-se de uma ferramenta importante para a

 23

realização de um estudo, pois, para Köche (1997) na pesquisa descritiva não há

manipulação de variáveis, nem a busca da relação causal, mas procura-se, a partir
de dados presentes na realidade, tal como se apresentam verificar a relação
existente entre variáveis importantes de um dado objeto de investigação, para
melhor explicá-lo.

Para Gil (2006), a pesquisa tem um caráter pragmático, é um “processo

formal e sistemático de desenvolvimento do método científico. O objetivo
fundamental da pesquisa é descobrir respostas para problemas mediante o emprego
de procedimentos científicos”. Ressalta que a pesquisa qualitativa considera que há
uma relação dinâmica entre o mundo real e o sujeito, isto é, um vínculo indissociável
entre o mundo objetivo e a subjetividade do sujeito que não pode ser traduzido em
números.

No que tange o método dedutivo Lima (2002, p.50) ressalta que “parte de
uma situação abrangente para a particularidade, numa relação descendente, onde
realizados a partir das teorias e leis de ocorrências dos fenômenos gerais para as
constatações particulares”. Deste modo, o método dedutivo estabelece várias
estruturas lógicas através do levantamento de dados e/ou hipóteses dentre outras
conclusões de forma assertivas.

As técnicas de coletas de dados utilizadas foram: a pesquisa bibliográfica,

entrevista semi-estruturada ou despadronizada e questionário com perguntas
abertas e fechadas buscando obter possíveis respostas ao problema pesquisado.
Este estudo caracteriza-se pelo levantamento bibliográfico como procedimento
metodológico inicial. Do ponto de vista dos procedimentos técnicos segundo Gil
(2006), pode ser pesquisa bibliográfica: “quando elaborada a partir de material já
publicado, constituído principalmente de livros, artigos de periódicos e atualmente
com material disponibilizado na internet”.

Para Manzini (1990, p. 154), a entrevista semi-estruturada está focalizada

em um assunto sobre o qual confeccionamos um roteiro com perguntas principais,
complementadas por outras questões inerentes às circunstâncias momentâneas à
 24

entrevista. Para o autor, esse tipo de entrevista pode fazer emergir informações de
forma livre e as respostas não estão condicionadas a um padrão de alternativas.

Outro instrumento utilizado neste estudo foi o questionário onde se obtém

respostas mais rápidas e mais precisas, possibilitando mais uniformidade na
avaliação, em virtude da natureza impessoal do instrumento e obtém respostas que
materialmente seriam inacessíveis. Marconi e Lakatos (2003, p. 201) definem
questionário como sendo “um instrumento de coleta de dados, constituído por uma
série ordenada de perguntas, que devem ser respondidas por escrito e sem a
presença do entrevistador”.

A pesquisa bibliográfica foi realizada por meio de livros, revistas

especializadas, sites, artigos, dissertações e teses com o objetivo de analisar a
participação dos meios de segurança quanto à proteção adequada das informações
e dos sistemas contra acesso, modificação, destruição e divulgações não
autorizadas, fazendo o apontamento adequado de alguns autores e seus
esclarecimentos para uma melhor compreensão do estudo.

As entrevistas (APÊNDICE A) foram compostas por 10 perguntas,

elaboradas pelo próprio acadêmico e que abrange os conceitos estabelecidos nos
objetivos da pesquisa, e os questionários (APÊNDICE B) foram compostos por 19
perguntas abertas e fechadas, aplicados em 3 instituições financeiras do município
de Rolim de Moura-RO nos meses de outubro e novembro de 2013. Vale ressaltar
que o questionário e a entrevista foram adaptados do artigo de Duarte (2002), com o
título: Segurança Informática: o caso das escolas secundárias da cidade da Praia.

A seleção das instituições financeiras ocorreu de forma não probabilística

utilizando o critério de acessibilidade e conveniência do pesquisador. Para Mattar
(1996) as técnicas de amostragem não probabilísticas são utilizadas quando não se
conhece a probabilidade de um elemento da população ser escolhido para participar
da amostra. Em alguns estudos descritivos ou exploratórios pode não ser necessária
a preocupação em conhecer esta probabilidade. Principalmente quando não é
objetivo do estudo fazer generalização dos resultados das análises estatísticas da
 25

amostra para a população de onde a amostra foi retirada.

Para a entrevista e o questionário, os sujeitos da pesquisa foram compostos

por colaboradores das instituições financeiras que exercem as suas atividades
profissionais com grande dependência da tecnologia da informação, entre eles:
gerentes gerais, gerentes administrativos e escriturários da rede bancária situada no
município de Rolim de Moura-RO, totalizando 09 participantes, divididos
igualitariamente em 03 bancos (B1, B2 e B3).

A pesquisa foi realizada no município de Rolim de Moura-RO, junto aos

bancos B1, B2 e B3, onde o banco B1 é a principal instituição financeira pública
federal a mais tempo instalado no município; o banco B2 a principal instituição
financeira privada a mais tempo instalada no município; e o banco B3 é a única
instituição financeira federal de fomento e promoção do desenvolvimento da região
amazônica. Os resultados apresentados foram organizados utilizando o programa
Excel para a tabulação dos dados dos questionários. Os questionários foram
respondidos por 01 escriturário, 01 gerente administrativo e 01 gerente geral, de
cada uma das 03 instituições bancárias.

O projeto foi estruturado conforme Manual do Artigo Científico do Curso de

Administração, elaborado por Silva, Torres Neto e Quintino (2010), onde apresenta
os passos e processos para projeção de uma pesquisa, esclarecendo os pontos
necessários para se criar um texto sucinto, com abordagens de extrema qualidade.

3 ANÁLISE DO RESULTADO

De acordo aos dados coletados mediante a aplicação do questionário, foram

adquiridos como resultado do público pesquisado que os informadores têm faixa
etária entre 18 a 42 anos, sendo 89% do sexo masculino, 67% com ensino superior
completo, sendo destes 77% formados em administração.

Quanto à segurança física, em análise as respostas apresentadas, no

 26

quesito definição dos requisitos de segurança para localização dos equipamentos

45% responderam que a empresa não tem definido estes procedimentos, e com
relação a monitorações das condições ambientais de segurança, 67% afirmam que a
empresa não recebe tais providencias. É importante lembrar, que a segurança física
desempenha um papel tão importante quanto à segurança lógica, pois é à base da
proteção do investimento feito por uma instituição. Sem o devido funcionamento,
declarar perda de recursos por falha no sistema, pode acorrer a qualquer momento,
instantaneamente.

Gráfico 01: Segurança Física

Segurança Física
3
Frequência

Banco 1
1
Banco 2
Banco 3
0
Sim Não Não sei Sim Não Não sei Sim Não Não sei
Requisitos de segurança Monitorização Controle Adicional
Alternativas

Fonte: o autor (2014)

Quanto ao controle adicional para minimizar riscos, 78% afirmaram que

existem controles como: extintores, senhas, alarmes, guardas e detectores de
fumaças e 89% responderam que a empresa utiliza e oferece devida manutenção
para equipamentos de segurança para casos de emergência. É muito importante
que a empresa receba tais benefícios, pois isto é uma extensão da segurança.

Não há como garantir que um sistema funcione, se a estrutura não recebe

as devidas manutenções periódicas. O bom desempenho da segurança da
informação dependera dos agentes físicos que irão respaldar e garantir que a
informação esteja em perfeito estado e com bons recursos de funcionamento.

Quanto à segurança lógica, 89% afirmaram existir requisitos de segurança,

 27

como senhas de acesso que devem ser modificadas a cada 30 dias, códigos, a
própria hierarquia de cargos ocupados, que determina a autorização de acessos, e o
cartão funcional de serviços. A respeito dos softwares não licenciados, 55% não
souberam responder a pergunta e 100% relatam existir proteção nas aplicações
para impedir acessos não autorizados. A segurança lógica é um quesito muito
importante, pois é a extensão e/ou complemento da segurança física, onde a
utilização de software respalda os cuidados criados pela segurança física. Este tipo
de segurança busca organizar a informação de modo a impedir a invasão de dados.

Gráfico 02: Segurança Lógica

Segurança Lógica
3
Frequência

1 Banco 1
Banco 2
0
Banco 3
Sim Não Não sei Sim Não Não sei Sim Não
Requisitos de segurança Softwares não licenciados Proteção nas
aplicações
Alernativas

Fonte: o autor (2014)

É importante destacar que a política da instituição quanto à segurança da

informação é à base de orientação para os colaboradores, porém, a disponibilização
de dispositivos é o que garante o bom funcionamento do sistema. Levam-se em
consideração todos os requisitos, as políticas e diretrizes, e não menos importante,
os softwares e aplicações que não permitem o acesso direto a dados confidenciais.
Este fator confirma ainda a afirmação feita por Gabbay (2003) onde destaca que as
estratégias de segurança de informações dependem primeiramente da conduta
apropriada dos funcionários, e segundo, no uso de soluções tecnológicas.

Vale destacar ainda, que os clientes apostam nesses dispositivos para

segurança, neste caso, financeiramente necessário, para proteger seus
investimentos. Por ser uma obrigação exclusiva da rede bancária, a mesma,
 28

juntamente com sua equipe, deve estar sempre atenta a seguir, assumir e praticar
todos os requisitos necessários, buscando sempre inovar e estar à frente de
elementos mal intencionados. Sem tais requisitos, classificados como segurança
lógica, toda e qualquer informação da instituição fica exposta a ataques. Por isso a
necessidade da segurança lógica, complementada pela segurança física. Ambas,
tem o intuito de impedir o acesso indevido a informação.

Sobre os programas de formação relacionados às questões de segurança,

55% afirmaram receber treinamentos e quanto às campanhas de sensibilização 45%
apresentaram que a empresa oferece tais serviços. Este fator confirma a teoria de
se estabelecer políticas e diretrizes, e fazer estas explícitas a todos os
colaboradores, sejam por meio de anúncios e campanhas, seja por meio de
formação, enfim, o que for mais alcançável para um resultado positivo.

A comunicação empresarial exerce grande potencial para o

desenvolvimento, equilíbrio, e expansão das empresas. Também confirma o
contexto aplicado por Peixoto (2006) que evidencia um dos principais problemas da
segurança da informação, a segurança em pessoas. Para se exigir a participação
dos colaboradores e para manter o equilíbrio dos recursos da segurança da
informação, é preciso que a empresa se comprometa em oferecer formação
adequada para alimentar o conhecimento do indivíduo, assim como orienta-lo no
percurso a ser realizado para manter as diretrizes estabelecidas.

Os principais ataques acontecem, geralmente, de dentro da própria

instituição, e as campanhas de sensibilização são primordiais para alertar os efeitos
e consequências da violação das regras. A Segurança da Informação se inicia,
verdadeiramente em uma empresa, a partir do momento que é definido uma política
clara sobre a proteção da informação. Seu propósito fundamental é fornecer
orientação e apoio às ações de gestão da segurança de uma organização.

Ao se tratar de segurança da informação, logo se trata dos recursos,

dispositivos e processos utilizados pelas instituições para garantir o objetivo da
organização em manter a segurança de seus clientes. Senhas, controle de acesso,
 29

equipamentos de segurança, hierarquia de responsabilidades, são alguns dos

variados processos implementados pelas instituições. Estes recursos possibilitam a
restrição das informações dentro e fora da empresa, controlando a acessibilidade
dos dados dos clientes e da própria instituição. Na questão relacionada aos
processos de segurança definidos para acessar informações, foram expressos no
gráfico 03:

Gráfico 03: Processos de segurança para acessar informações

Processos de Segurança

Não há um processo específico

Definição de responsabilidades
Alternativas

Controle de acesso Banco 3

Banco 2
Manuseio/utilização dos equipamentos Banco 1

Password

0 1 2 3
Frequência

Fonte: o autor (2014)

Observa-se que com base em tais respostas, todos os bancos apresentam

os processos de segurança necessários para melhor atender aos seus clientes. É
importante salientar a responsabilidade que tais colaboradores assumem em
garantir que estes requisitos sejam seguidos e praticados. Porém, os sucessos de
tais processos dependem de uma peça fundamental, o homem. O comprometimento
do colaborador em usar as ferramentas de modo a prosseguir com a atividade
necessária para Este ponto vem ainda confirmar o pressuposto apresentado por
Araújo (2005) sobre o fator humano ser o principal desafio para uma boa conduta de
segurança da informação.

Quanto à política de segurança, 100% afirmam não existir uma política

aprovada pela gerência, publicada e comunidade a todos os funcionários, e 55%
 30

dizem não haver uma revisão periódica das políticas de segurança. Este é um ponto
que pode comprometer seriamente a segurança da informação e pode ainda
apresentar um início de ameaça à instituição.

Por mais que a consciência do colaborador esteja em pleno acordo com o

sigilo e boa conduta para segurança, é de extrema importância que se estabeleça
tais comunicações. As ameaças existem tanto no ambiente externo, quanto e
principalmente no ambiente interno. Por isso, é fundamental uma análise de risco e
estabelecimento de políticas explícitas de comum acordo e compreensão de todos
os colaboradores.

Referente às entrevistas realizadas, verificou-se que os 09 participantes tem

consciência do conceito de segurança da informação, e principalmente das diretrizes
estabelecidas pelas redes bancárias de maneira abrangente e geral com relação à
política corporativa de segurança da informação. Observa-se que as politicas de
segurança da informação e suas revisões não estão estabelecidas de forma clara e
específicas as normas internas da empresa.

Mesmo consciente das políticas que tomam as empresas de maneira geral,

a empresa precisa determinar as coordenadas internas para que os colaboradores
possam cooperar com o sistema. Seguem as regras estabelecidas, para sigilo total
da informação, e complementam suas atividades apostando nos elementos de
segurança da informação, como chaves de segurança, token11, biometria, como uma
extensão no trabalho já realizado por todos os colaboradores da instituição.

Uma resposta que se destacou no quesito definição do processo de

segurança da informação, disponibilizado pelo gerente do Banco 2, diz respeito aos
passos seguidos pelos colaboradores, resumidamente apresentados como: análise
da segurança; definição/atualização de regras de segurança; implementação e
divulgação das regras de segurança, administração da segurança e auditoria, todas
voltadas essencialmente para um diagnóstico periódico e sequencial da segurança

11
Dispositivo eletrônico gerador de senha, sem conexão física com computador.
 31

da informação, contando com o apoio da equipe.

O escriturário do banco 03, também explanou sobre o processo de

segurança da instituição. Destacou que as formas com que trabalham, conta com
um comitê executivo de segurança da informação, gestor da informação, gestor de
área de acesso restrito, administrador de recursos de informática, e o gerente que é
responsável pela proteção da informática. Observa-se que essas instituições tem
preocupação em estabelecer as políticas de forma que os colaboradores tenham
acesso e consciência das responsabilidades e que estas, estão em constante
reavaliação.

Quanto à infraestrutura a qual a instituição adotou para tratar da segurança

da informação, 67% dos entrevistados, responderam que funciona hierarquicamente
ou por meio de um organograma funcional, transferindo responsabilidades para cada
agente dependendo de seu cargo. O escriturário do banco 1 ressalta que a empresa
está com projetos de uso da biometria e distribuição de dispositivos do tipo token
para assinatura digital, garantia acesso restrito as dados. Sobre o interesse em
procurar como funciona a segurança da informação em outras instituições, 67% dos
entrevistados, responderam que não se interessaram em pesquisar sobre isso.

O gerente administrativo do banco 2, ressalta que não procurou se informar

adequadamente sobre a SI em outras redes bancárias, mas que pela experiência
adquirida pelos anos de trabalho no ramo bancário, praticamente todas as
instituições adotam o mesmo sistema, porém, a forma de acesso pelo cliente é
diferenciada, sendo uns mais acessíveis e outros não, mas, de forma geral, todos
buscam garantir segurança. O entrevista no banco 1 relata que todas as instituições
seguem as regras estipuladas pelo Banco Central (BACEN). Sendo assim, todos os
bancos têm seus aspetos primários de segurança da informação.

Outro ponto observado foi com relação à descrição da maneira como os

elementos de segurança podem ajudar na segurança, ou seja, a forma como os
entrevistados visualizam os elementos da segurança da informação, onde
destacaram a agilidade dos elementos e o principal objetivo destes em garantir a
 32

segurança de seu cliente. Pode se observar que todas as instituições seguem uma
mesma linha de objetivo e processo da segurança da informação, estabelecendo
regras rígidas aos colaboradores, de sigilo e cuidado adequado a cada cliente da
instituição.

No que se diferi em levantar o comportamento dos colaboradores como

agentes integrantes da segurança da informação, pode-se assim afirmar, que estes
buscam colocar em prática todas as diretrizes, respeitando a hierarquia, sistema
normativo, treinamentos, mantendo senhas com números e letras, não acessando
informações relevantes de lugares inapropriados, e nem repassando informações
que não estejam legalmente autorizadas pelo titula, orientando também os clientes
quanto ao uso de canais alternativos e outros dispositivos de segurança.

Os entrevistados foram questionados também quanto as centrais de

atendimento para dúvidas, críticas e sugestões quanto à gestão da informação. As
respostas obtidas foram que estas funcionam como meio de solução de problemas
específicos, que é um ótimo canal de buscar informação e seguro, pois as
informações não são passadas a terceiros, e seus atendimentos objetivam ocorrer
de forma rápida e precisa em horários que vão além do atendimento oferecido pelas
agências. Mesmo sendo uma alternativa pouco visada, a central de atendimento
trata de um complemento dos serviços bancários, onde pode oferecer serviços
adicionais em horários flexíveis, oferecendo as opções de reclamações e sugestões.

Quanto aos canais de segurança, o entrevistado do banco 01 destaca

também as centrais de atendimento como, internet banking, mobile banking, e os
caixas eletrônicos. Além deste, mais 05 entrevistados apresentaram como canal de
segurança, a internet. Mesmo contendo algumas ameaças, a internet ainda é o meio
mais fácil, rápido e ágil de trabalhar com negócios e informações. Vale ressaltar que
os entrevistados salientaram que nestes casos, a necessidade de apresentação de
no mínimo duas (02) senhas de acesso (alfanumérica), confirmação de dados de
posse pessoal e intransferível, podendo acessar suas informações, com os
elementos corretos que facilitam o sigilo de seus dados.
 33

CONSIDERAÇÕES FINAIS

Esta pesquisa buscou analisar a participação dos colaboradores quanto à

proteção adequada da informação. Tal objetivo levou a examinar os procedimentos
utilizados pelas redes bancárias para a segurança da informação, assim como
verificar se os colaboradores assumiram o compromisso de seguir todas as políticas
necessárias para junto com os dispositivos oferecidos pelas instituições, garantir a
segurança da informação nas redes bancárias.

A realização da pesquisa, assim como a aplicação do questionário e

entrevista, contribuiu no conhecimento acadêmico para aplicações e avaliações no
sistema da informação, e com a sociedade em si, onde o levantamento de dados
sobre a segurança da informação apresentou os requisitos básicos mais frequentes
nas redes bancárias, e o conhecimento dos colaboradores quanto à importância de
seguir tais passos para garantir o sucesso empresarial através da segurança
desejada e exigida pelos clientes.

A não utilização de forma correta e eficaz da segurança da informação

acarretará em vazamentos de informações, utilizadas por indivíduos mal
intencionados, na qual ao usufruir desses dados, podem comprometer o financeiro
dos clientes. Logo, isso destruirá a rede bancária, pois, a partir do momento que seja
permitido o acesso não autorizado a dados pessoais de um grupo de clientes, a
empresa perde sua confiabilidade perante o mercado, sendo destruída por seu
próprio descuidado ou não seguimento da segurança da informação.

Quanto as dificuldades encontradas em implementar a segurança da

informação, pode-se levantar os requisitos relacionados a política da segurança da
informação, ou seja, estabelecer regras e normas que os colaboradores possam se
comprometer em seguir e permanecer sempre na mesma linha de integridade. Por
mais que por meio da ética e da moral já se tenha uma base dos quesitos
obrigatórios da segurança da informação, as normas internas da empresa também
são levadas em consideração, e com base nas informações adquiridas pela
 34

pesquisa, observou-se que o maior obstáculo está relacionado à peça fundamental

de qualquer organização: o ser humano.

Observando os resultados, pode-se assim afirmar que as instituições

bancárias do município de Rolim de Moura/RO, apresentaram comprometimento
com os procedimentos para a segurança da informação, utilizando os mecanismos
necessários oferecidos pela organização e seu comportamento perante a segurança
da informação nas instituições em estudo, é de grande dedicação e
comprometimento.

Os pontos fortes da pesquisa, é que pode-se analisar de forma geral e

específica a preocupação e objetivos de toda rede bancária em buscar garantir total
proteção das informações de seus clientes, onde estas estão em constante busca
para assegurar a segurança dos dados de seus clientes.

Os pontos fracos consistem na não conscientização adequada e frequente

dos portadores de conta em redes bancárias de manter sigilo de suas informações,
a troca constante de senha, a utilização de todos os dispositivos oferecidos pela
rede bancária, e principalmente, para os usuários de internet banking, a
conscientização de utilização de antivírus que dificultem acesso de crackers. Essa
indicações partem dos colaboradores que atendem diariamente os clientes, e estes
devem estar atentos a estes detalhes.

Algumas sugestões para melhoria, é que as políticas da segurança da

informação estejam mais explícitas e acessíveis aos colaboradores, de forma que os
bancos em pesquisa que apresentaram frequência alta de não implantação de
políticas possam receber práticas eficazes, aprovada pela gerência e que sejam
publicadas e comunicadas a todos os colaboradores.

As sugestões para trabalhos futuros que utilizarem como base esta pesquisa
é que abranjam para outras instituições, com intuito de se criar campanhas de
sensibilização para todas as redes bancárias, e aprofundar os estudos nos
 35

dispositivos de segurança já utilizados e quais podem complementar o avanço da

tecnologia para a segurança da informação.

É importante levar em consideração que não foi estendida a pesquisa para

todas as redes bancárias, porém, podendo estimar que aos elementos básicos de
segurança da informação são os mesmo em todas as instituições, diga-se que em
algumas, os dispositivos e procedimentos de segurança da informação se
encontram mais avançados.

Por fim, considerou-se que a pesquisa atingiu seu objetivo, na qual a mesma
apresentou a análise da participação dos colaboradores, a fim de verificar se os
mesmos seguem as políticas e diretrizes estabelecidas pela instituição quanto à
proteção adequada das informações e dos sistemas contra acesso, modificação,
destruição e divulgações não autorizadas.

REFERÊNCIAS

1 ARAUJO, Eduardo. A Vulnerabilidade Humana na Segurança da Informação.

2005.

2 ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS – ABNT.NBR ISO/IEC

17799:2005: Tecnologia da informação - código de prática para a gestão da
segurança da informação, 2005.

3 BEAL, Adriana, Segurança da Informação: Princípios e Melhores Práticas para

a Proteção dos Ativos de Informação nas Organizações. 1. Ed. 2005

4 CARNEIRO, Alberto. Introdução à Segurança dos Sistemas de Informação.

Lisboa/Porto/Coimbra: FCA – Editora de Informática, Lda. 2002.

5 COMITÊ GESTOR DA INTERNET NO BRASIL, Centro de Estudos, Resposta e

Tratamento de Incidentes de Segurança. São Paulo 2006. Disponível em:
<http:cartilha.cert.br/dowonload/cartilha-segurança-internet.pdf> Acesso em 23 de
abril de 2013.

6 DUARTE, R. Pesquisa qualitativa: reflexões sobre o trabalho de

campo. Caderno de Pesquisa, n. 115, p. 139-154, março/2002
 36

7 ERICKSON, Jon. Pirateando: A arte da exploração. San Francisco: Digerati

Books, 2003.

8 FERREIRA, Fernando Nicolau Freitas; ARAÚJO, Marcio Tadeu. Política de

segurança da informação: Guia prático para embalagem e implementação. Rio
de Janeiro: Ciência Moderna, 2006.

9 GABBAY, M. Fatores Influenciadores na Implementação de Ações de Gestão

de Segurança da Informação: um estudo com executivos e gerentes de tecnologia
da informação em empresas do Rio Grande do Norte. Dissertação (mestrado) -
Universidade Federal do Rio Grande do Norte, 2003.

10 GIL, Antonio Carlos, 1946. Como elaborar projetos de pesquisa. 4 ed. São
Paulo: Atlas, 2006.

11 KÖCHE, José Carlos. Fundamentos de metodologia científica: teoria da

ciência e prática da pesquisa. 14. Ed. Petrópolis: Vozes, 1997

12 LIMA, Teófilo Lourenço de. Manual básico para elaboração de monografia. 3

ed. Canoas: Ulbra, 2002

13 MAMEDE, Henrique São. Segurança Informática nas Organizações.

Lisboa/Porto/Coimbra: FCA – Editora de Informática, Lda. 2006

14 MARCONI, Marina de Andrade; LAKATOS, Eva Maria. Fundamentos de

metodologia científica. 5.ed. São Paulo: Atlas, 2003.

15 MATTAR, F. Pesquisa de marketing. Ed. Atlas. 1996

16 MITNICK, Kevin D.: SIMON, William L.; A Arte de Enganar: Ataques de

hackers: Controlando o Fator Humano na Segurança da Informação. São Paulo:
Pearson Education, 2003.

17 NAKAMURA, Emílio Tissato; GEUS, Paulo Lúcio. Segurança de redes em

ambientes cooperativos. SP: Berkeley, 2002.

18 PEIXOTO, Marcio C. P. Engenharia Social e Segurança da Informação na

Gestão Corporativa. Rio de Janeiro: Brasport, 2006.

19 SANTOS, Luciano A. L. O impacto da engenharia social na segurança da

informação. 2004. Monografia – Universidade Tiradentes, Aracaju, 2004. Disponível
em:<http://thehell.org/thehell/apostilas/O%20impacto%20da%20engenharia%20soci
 37

al%20na%20seguran%E7a%20da%20informa%E7ao.pdf>. Acesso em: 14 junho.

2013.

20 SÊMOLA, M. 2003: Gestão da Segurança da Informação. 1. Ed. Rio de Janeiro:

Campus, 2003.

21 SILVA, Adriano Camiloto da; NETO, Diogo Gonzaga Torres; QUINTINO, Simone
Marçal. Manual do artigo científico do curso de administração. Universidade
Federal de Rondônia – Campus Cacoal. Cacoal-RO:2010.

22 SILVA, Elaine M. da. Cuidado com a engenharia social: Saiba dos cuidados
necessários para não cair nas armadilhas dos engenheiros sociais. 2008. Disponível
em: http://www.baixaki.com.br. Acesso em 13 de junho de 2013.

23 THUMS, Jorge. Acesso à realidade: Técnicas de pesquisa e construção do

conhecimento. 2 ed. Porto alegre: Ulbra, 2000.

24 TOMAÉL, M. I. et al. Avaliação de fontes de informação na internet; critérios

de qualidade. Informação & Sociedade; estudos, João Pessoa, v. 11, n. 2, p. 13-35,
2001.

25 TURBAN, E., MCLEAN, E., WETHERBE, J. Tecnologia da Informação para

Gestão. Transformado os negócios da economia digital. 3. Ed.Porto Alegre. Editora
Bookman, 2004.
 38

ANEXO
 39

ANEXO A: TERMO DE CONSENTIMENTO LIVRE E ESCLARECIDO

Você está sendo convidado (a) a participar, como voluntário (a), da pesquisa
sobre A segurança da informação nas redes bancárias no município de Rolim
de Moura / RO, no caso de você concordar em participar, favor assinar ao final do
documento. Sua participação não é obrigatória, e, a qualquer momento, você poderá
desistir de participar e retirar seu consentimento. Sua recusa não trará nenhum
prejuízo em sua relação com o pesquisador (a) ou com a instituição.
Você receberá uma cópia deste termo onde consta o telefone e endereço do
pesquisador (a) principal, podendo tirar dúvidas do projeto e de sua participação.

UNIVERSIDADE: Fundação Universidade de Rondônia – UNIR, Campus Cacoal-RO

PESQUISADOR (A) RESPONSÁVEL: Jonathan Souza do Carmo
ORIENTADOR: Me. Adriano Camiloto da Silva
ENDEREÇO: AV.: Maceió, nº 5787 Rolim de Moura/RO
TELEFONE: (69) 8454-9580 (69) 3442-3364

OBJETIVOS:
- Descrever a importância da segurança da informação para o setor bancário;
- Examinar os procedimentos informados aos colaboradores para a segurança
da informação;
- Explicar os mecanismos de segurança da informação utilizados pelos bancos;
- Verificar como os colaboradores protegem e/ou comportam-se perante a
segurança da informação nas organizações em estudo.

PROCEDIMENTOS DO ESTUDO: (se concordar em participar da pesquisa, você

terá que responder a uma entrevista semiestruturada e a um questionário sobre A
segurança da informação nas redes bancárias, contendo 20 questões referentes
às característica sem relação à qualidade da segurança da informação nas redes
bancárias. Os dados coletados serão tabulados e analisados para fechamento do
artigo de conclusão de curso pela Fundação Universidade de Rondônia – UNIR.

RISCOS E DESCONFORTOS: a pesquisa não oferece nenhum risco ou prejuízo ao

participante.

BENEFÍCIOS: Análise da participação dos colaboradores quanto à proteção

adequada das informações e dos sistemas contra acesso, modificação, destruição e
divulgações não autorizadas.

CUSTO/REEMBOLSO PARA O PARTICIPANTE: Não haverá nenhum gasto ou

pagamento com sua participação.

CONFIDENCIALIDADE DA PESQUISA: Garantia de sigilo que assegure a sua

privacidade quanto aos dados confidenciais envolvidos na pesquisa. Os dados e o
seu nome não serão divulgados.

Assinatura do Participante: _______________________________

 40

APÊNDICE
 41

APÊNDICE A: ENTREVISTA

Esta pesquisa refere-se ao trabalho de conclusão de curso para obtenção do

título de Bacharel em Administração, com o tema “A segurança da informação
nas redes bancárias no município de Rolim de Moura / RO” com intuito de
analisar a participação dos colaboradores quanto à proteção adequada das
informações e dos sistemas contra acesso, modificação, destruição e
divulgações não autorizadas. Vale ressaltar que a entrevista foi adaptada do
artigo de Duarte (2002), com o título: Segurança Informática: o caso das escolas
secundárias da cidade da Praia.

1. O que é segurança da informação para você colaborador?

2. De que forma é definido o processo de segurança da informação na

instituição financeira a qual trabalha?

3. A instituição a qual trabalha definiu uma infraestrutura formal e com

responsabilidades específicas, para tratar da Segurança da Informação de
forma adequada? De que forma ela está estruturada ou como você acredita
que ela está estruturada?

4. A instituição a qual trabalha possui elementos de segurança à informação

(chaves de segurança, tokens, etc.)?

5. Descrever de que maneira esses elementos pode ajudar na segurança da

informação na sua instituição financeira.
6. A organização possui uma Política Corporativa de Segurança da Informação?
Quais são suas diretrizes?

7. Fale sobre os canais de segurança para acesso as informações dos clientes e

usuários e para os clientes e usuários da instituição a qual trabalha.

8. Já procurou saber sobre a segurança da informação em outras instituições,

de que forma elas trabalham?
 42

9. Fale sobre as centrais de segurança para dúvidas, críticas e sugestões

quanto à gestão da informação Se houver.

10. De forma você pratica a segurança da informação?

Desde já grato pela participação!

Atenciosamente: Jonathan Souza do Carmo
Contato: (69) 3442-3364 e (69) 8454-9580

TERMO DE CONSENTIMENTO
Eu __________________________________________________, declaro que de
livre e espontânea vontade participei da pesquisa.
Assinatura do participante____________________________________________
Local/data: ________________________________________________________
Caso não queira identificar-se marque o campo seguinte: ( )
O pesquisador responsável por este Artigo é JONATHAN SOUZA DO CARMO do
curso de Bacharel em Administração com trabalho de conclusão de curso sobre o
tema SEGURANÇA DA INFORMAÇÃO EM REDES BANCÁRIAS DO MUNICÍPIO
DE ROLIM DE MOURA/RO, sob orientação do Prof. Me Adriano Camiloto.
Esta pesquisa é de caráter sigiloso. Não serão divulgados nomes de participantes.
 43

APÊNDICE B - QUESTIONÁRIO

Esta pesquisa refere-se ao trabalho de conclusão de curso para obtenção do

título de Bacharel em Administração, com o tema “A segurança da informação
nas redes bancárias no município de Rolim de Moura / RO” com intuito de
analisar a participação dos colaboradores quanto à proteção adequada das
informações e dos sistemas contra acesso, modificação, destruição e
divulgações não autorizadas. Vale ressaltar que o questionário foi adaptado do
artigo de Duarte (2002), com o título: Segurança Informática: o caso das escolas
secundárias da cidade da Praia.

Perfil

01 - Idade
( ) 18 a 22 anos
( ) 23 a 27 anos
( ) 28 a 32 anos
( ) 33 a 37 anos
( ) 38 a 42 anos
( ) 43 a 47 anos
( ) 48 a 52 anos
( ) 53 a 57 anos
( ) acima de 58 anos

02 - Sexo
( ) Masculino ( ) Feminino

03 - Escolaridade:
( ) Ensino Fundamental ( ) completo ( ) incompleto
( ) Ensino Médio ( ) completo ( ) incompleto
( ) Ensino Superior ( ) completo ( ) incompleto
( ) Outros _________________________

04 - Caso seu grau de escolaridade seja de superior completo ou incompleto,

indique a área de formação:
( ) Administração
( ) Economia
( ) Direito
( ) Contabilidade
( ) Sistema de informação
( ) Outros:_____________________
 44

05 – Quanto tempo tem de instituição?

( ) menos de 01 ano
( ) de 01 a 03 anos
( ) de 03 a 05 anos
( ) mais que 05 anos

06 - Qual cargo ocupa?

( ) Escriturário
( ) Gerente administrativo
( ) Gerente Geral

Segurança Física

07- Estão definidos os requisitos de segurança para a localização dos equipamentos

críticos (calor, umidade)?
( ) Sim, quais? ______________________________________________________
( ) Não
( ) Não sei

08 - Existem monitorizarão das condições ambientais para todos os equipamentos da

organização (proteger os equipamentos do calor, umidade, poeira)?
( ) Sim, quais? ______________________________________________________
( ) Não
( ) Não sei

09 - Há um controle adicional de segurança nos locais onde estão os equipamentos

críticos (controles que possam minimizar os riscos tais como roubo, inundação,
incêndio)?
( ) Sim, quais? ______________________________________________________
( ) Não
( ) Não sei

10 - É realizado manutenção e atualizações dos componentes de segurança nos

equipamentos?
( ) Sim. Com que frequência? ________________
( ) Não
( ) Não sei

11 - Existem equipamentos para casos de emergência?

( ) Sim, quais? ______________________________________________________
( ) Não
( ) Não sei

Segurança Lógica

12 - Existem requisitos de segurança para a utilização dos sistemas?

( ) Sim, quais? ______________________________________________________
( ) Não
( ) Não sei
 45

13 - Há softwares não licenciados?

( ) Sim ( ) Não ( ) Não sei

14 - Existe alguma proteção nas aplicações para impedir o acesso não autorizado?
( ) Sim ( ) Não ( ) Não sei

15 - Existem programas de formação relacionadas com questões de segurança?

( ) Sim, quais? ______________________________________________________
( ) Não
( ) Não sei

16 - Existe alguma campanha de sensibilização?

( ) Sim ( ) Não ( ) Não sei

17 – Indique os processos de segurança definidos para acessar as informações são:

( ) password (senha);
( ) manuseio/utilização dos equipamentos;
( ) Controle de acesso;
( ) definição de responsabilidades.
( ) Não há um processo específico

Política de segurança

18 - Existe uma política de segurança (praticável e eficaz) aprovada pela gerência,

publicada e comunicada a todos os funcionários?
( ) Sim, qual? _______________________________________________________
( ) Não

19 – Há revisões periódicas das políticas de segurança?

( ) Sim ( ) Não ( ) Não sei

Desde já grato pela participação!

Atenciosamente: Jonathan Souza do Carmo
Contato: (69) 3442-3364 e (69) 8454-9580

TERMO DE CONSENTIMENTO
Eu __________________________________________________, declaro que de
livre e espontânea vontade participei da pesquisa.
Assinatura do participante____________________________________________
Local/data: ________________________________________________________
Caso não queira identificar-se marque o campo seguinte: ( )
O pesquisador responsável por este Artigo é JONATHAN SOUZA DO CARMO do
curso de Bacharel em Administração com trabalho de conclusão de curso sobre o
tema SEGURANÇA DA INFORMAÇÃO EM REDES BANCÁRIAS DO MUNICÍPIO
DE ROLIM DE MOURA/RO, sob orientação do Prof. Me Adriano Camiloto. Esta
pesquisa é de caráter sigiloso. Não serão divulgados nomes de participantes.