Capítulo 3 — A informação nas organizações

Mapa da aula

Aula 03 publicada. Mapa, exemplo, EX007.

flowchart TD
  N0["3.1 O que a Ashfield guarda"]
  N1["3.2 Fluxos"]
  N2["3.3 Responsabilidade"]
  N3["3.4 Valor e dano"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX007"]

Desenho lógico

flowchart LR
  N0["3.1 O que a Ashfield guarda"]
  N1["3.2 Fluxos"]
  N2["3.3 Responsabilidade"]
  N3["3.4 Valor e dano"]
  N0 --> N1 --> N2 --> N3 --> Q["EX007"]

[3.1 O que a Ashfield guarda]
    |
    v
[3.2 Fluxos]
    |
    v
[3.3 Responsabilidade]
    |
    v
[3.4 Valor e dano]
    |
    v
[Exemplo resolvido] --> [Exercício EX007]

Objetivos de aprendizagem

Você vai (1) identificar as informações que uma organização guarda; (2) rastrear como as informações circulam; (3) reconhecer quem é responsável por elas.

3.1 O que a Ashfield guarda

Aisha lista as informações que a Ashfield guarda: dados de identificação dos associados, registros de poupança e de empréstimos, dados de cartões de pagamento, registros dos funcionários, atas do conselho e contratos com fornecedores. Parte delas fica no sistema bancário central, parte no e-mail e em pastas compartilhadas e parte em papel nas agências. O Dr. Carrow aponta que as informações em papel e em conversas também precisam de proteção, e que muitas violações envolvem informações fora dos sistemas principais. Ela também observa as fichas de adesão em papel guardadas nos armários das agências e as pastas de empréstimo à espera de digitalização numa bandeja destrancada, como exemplos de informações fora de qualquer sistema computacional.

3.2 Fluxos

A informação se movimenta. Os documentos de identidade de um novo associado são digitalizados numa agência, enviados ao sistema central e conferidos por um responsável pela conformidade. Os pedidos de empréstimo passam da equipe da agência para os agentes de crédito e daí para um comitê de crédito. Aisha desenha esses fluxos e anota onde a informação sai da Ashfield, por exemplo para uma agência de informações de crédito e para um processador de cartões. Ela aprende que cada fluxo é um ponto em que a informação pode ser interceptada, alterada ou perdida. Ela rotula cada seta do diagrama com a informação que ela transporta e o método usado para enviá-la.

3.3 Responsabilidade

Todo tipo de informação precisa de alguém responsável por decidir como ela é protegida. Na Ashfield, o chefe de crédito é responsável pelos registros de empréstimos, e o responsável pela conformidade, pelos documentos de identidade. Aisha descobre que ninguém é claramente responsável pelas pastas compartilhadas, onde os funcionários salvam cópias de relatórios. O Dr. Carrow explica que as informações sem dono tendem a se acumular sem controles, e que atribuir a responsabilidade costuma ser o primeiro passo prático de segurança. Mais tarde, o diretor executivo da Ashfield atribui as pastas compartilhadas ao chefe de operações, que começa pedindo às equipes que apaguem as cópias antigas.

3.4 Valor e dano

Aisha estima o dano caso cada tipo de informação fosse exposto, alterado ou ficasse indisponível. A exposição dos documentos de identidade poderia possibilitar fraudes contra os associados; registros de empréstimos alterados poderiam esconder empréstimos ruins; a indisponibilidade do sistema bancário central interrompe todas as transações. Ela ordena as informações pelo dano potencial. Ela aprende que essa ordenação orienta onde gastar o esforço de segurança limitado, e que ela precisa ser revista quando a organização muda. Ela apresenta a ordenação ao seu grupo de seminário, que contesta duas das posições. Depois da discussão, ela sobe as atas do conselho, porque contêm decisões confidenciais sobre perdas com empréstimos e sobre funcionários.

Exemplo resolvido

Aisha lista as informações da Ashfield, desenha os fluxos, inclusive os externos, encontra pastas compartilhadas sem dono e ordena as informações pelo dano potencial.

Caso sintético. Os tipos de informação são sintéticos.

Erros e limites

Ignorar o papel e as pastas compartilhadas deixa muita informação sem proteção.

Exercícios

• EX007 — Destinatários externos. Cite um destinatário externo de informações da Ashfield.

  Mostrar critérios de avaliação

  Rubrica: 3 = uma agência de informações de crédito;; 2 = um;; 1 = vago;; 0 = nenhuma.

• EX008 — Repositório sem dono. Que repositório não tinha uma pessoa responsável?

  Mostrar critérios de avaliação

  Rubrica: 3 = as pastas compartilhadas;; 2 = parcialmente correto;; 1 = outro;; 0 = nenhuma.

• EX009 — Propósito da ordenação. O que a ordenação pelo dano orienta?

  Mostrar critérios de avaliação

  Rubrica: 3 = onde gastar o esforço de segurança;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.