Bildirme Kiplerinin Aktarımı Sırasında Karşılaşılan Güçlükler

4.1. Análise descritiva dos 10 domínios

O questionário foi estruturado com base nos “10 domínios” e sua análise respeitará esta classificação. A seqüência das questões, na análise, é a mesma do questionário aplicado.

O banco privado estrangeiro será denominado Banco A; o banco privado nacional será tratado como Banco B e o banco público federal será chamado Banco C.

I. Práticas de gerenciamento de segurança

Os três bancos possuem uma área específica, que administra a segurança de Tecnologia de Informação. Em cada um, a área de segurança possui denominações próprias, que serão tratadas, neste trabalho, como área de segurança da informação. Nos três bancos, esta área é subordinada à hierarquia de tecnologia, e, em nenhum deles, a área de segurança da informação está ligada diretamente à presidência.

Os Bancos A e B possuem as seguintes práticas: política de segurança, plano de contingência, guia de procedimentos de segurança e plano de continuidade, em caso de incidentes ou desastres. O Banco C possui as mesmas práticas, com exceção do guia de procedimentos de segurança. Estas práticas, nos três bancos, foram desenvolvidas por eles próprios, sem auxílio de consultorias externas.

No Banco A, a política de segurança e o plano de continuidade, em caso de incidentes, foram desenvolvidos com base na experiência e expertise do banco; o guia de procedimentos de segurança e o plano de contingência foram elaborados com base no padrão ou modelo de mercado. Sendo que, o responsável pela política de segurança e pelo guia de procedimentos de segurança está vinculado à área de segurança de informação; o plano de contingência é responsabilidade da área de segurança de informação, juntamente com a área de negócios, responsável pelo Internet Banking; por fim, o plano de continuidade, em caso de incidentes ou desastres, é responsabilidade das áreas de segurança de informação e Tecnologia de Informação.

No Banco B, a política de segurança foi fundamentada no padrão ou modelo de mercado; o guia de procedimentos de segurança foi também baseado no padrão ou modelo de mercado, além da experiência e expertise de empresa de consultoria; o plano de contingência foi desenvolvido com base na experiência e expertise do banco e o plano de continuidade, em caso de incidentes, foi alicerçado também na experiência e expertise do banco no uso de padrão ou modelo de mercado. Sendo que, o responsável por todos estes fatores, em caso de incidentes ou desastres, é a área de tecnologia, apenas.

No Banco C, a política de segurança e o plano de continuidade, em caso de incidentes, foram desenvolvidos com base na experiência e expertise do banco e uso de padrão ou modelo de mercado; e o plano de contingência foi fundamentado na experiência e expertise do banco. Sendo que, as áreas responsáveis pelos planos de contingência e continuidade, em caso de incidentes, são as de Tecnologia de Informação e negócios de Internet Banking. A política de segurança é responsabilidade da área de segurança de informação (“gestão de segurança”).

Existe, nos três bancos, um trabalho de conscientização, educação e treinamento sobre segurança em Tecnologia de Informação que abrange o Internet Banking, sendo que, este trabalho é contínuo, no Banco A, e pontual, nos Bancos B e C. No Banco A, a área responsável por desenvolver este trabalho é a de segurança de informação, sendo que, o trabalho de conscientização também é responsabilidade da área de recursos humanos. No Banco B, a conscientização e educação são responsabilidades da área de Tecnologia de Informação e o treinamento é terceirizado. No Banco C, a conscientização é responsabilidade da área de Tecnologia de Informação e a educação, bem como o treinamento, são responsabilidades da área de recursos humanos.

Tanto no Banco A, quanto no Banco B, há uma área que cuida, especificamente, do gerenciamento de risco do Internet Banking. No Banco A, esta área está subordinada à tecnologia e no Banco B, está vinculada a produtos que cuidam do canal.

II. Arquitetura e modelos de segurança

A arquitetura de segurança do Internet Banking dos bancos estudados foi definida pela área de tecnologia, nos três casos (A, B e C). No caso do Banco B, a área de produtos, gestora do canal Internet Banking, também participou da elaboração da arquitetura de segurança.

A área responsável pela manutenção da arquitetura de segurança do Internet Banking, no Banco A, é a de segurança de informação; no Banco B, as áreas de tecnologia e produtos é que gerenciam o canal Internet Banking; e, no Banco C, apenas a área de tecnologia responde pela arquitetura de segurança.

III. Sistemas de controle de acesso

Os ambientes de desenvolvimento, homologação, produção e o espaço, onde é armazenada a base de dados (mídias), possuem controle de acesso físico nos Bancos B e C. No caso do Banco A, apenas o ambiente de produção não tem um controle de acesso físico.

Ao se questionar quem são os responsáveis pela administração das senhas de acesso aos ambientes e base de dados do Internet Banking, o Banco A indicou a área de segurança de informação, e os Bancos B e C, a área de tecnologia do próprio banco. Nenhum dos bancos terceiriza esta administração ou delega a responsabilidade para a área de help desk, própria do banco.

A terceira questão sobre este domínio investigou a responsabilidade pela administração de alçadas de cada usuário, o que ele pode consultar, alterar, incluir ou excluir no fluxo de desenvolvimento, homologação e produção do Internet Banking. No Banco A, a administração de alçadas é realizada pelos superiores de cada funcionário e pelo dono da informação. Os Bancos B e C responderam que a área de tecnologia do próprio banco realiza esta administração. Em nenhum dos bancos, a área de recursos humanos interfere na administração de alçadas.