Monografia corrigida - Departamento de Segurança da Informação

Universidade de Brasília
Instituto de Ciências Exatas
Departamento de Ciência da Computação
Curso de Especialização em Gestão da Segurança da Informação e
Comunicações
LEONARDO SILVA BITTENCOURT
Os principais Incidentes computacionais no Cadastro Nacional de
Informações Sociais – INSS - consequências para o SISBEN – sistema
de benefício do INSS
Brasília
2011
Leonardo Silva Bittencourt
Os principais Incidentes computacionais no Cadastro Nacional de
Informações Sociais – INSS - consequências para o SISBEN – sistema
de benefício do INSS
Brasília
2011
Leonardo Silva Bittencourt
Os principais Incidentes computacionais no Cadastro Nacional de
Informações Sociais – INSS - consequências para o SISBEN – sistema
de benefício do INSS
Monografia apresentada ao Departamento
de
Ciência
da
Computação
da
Universidade de Brasília como requisito
parcial para a obtenção do título de
Especialista em Ciência da Computação:
Gestão da Segurança da Informação e
Comunicações.
Orientador: Professor Mestre Tiago Conde Teixeira
Universidade de Brasília
Instituto de Ciências Exatas
Departamento de Ciência da Computação
Brasília
Dezembro de 2011
Desenvolvido em atendimento ao plano de trabalho do Programa de
Formação de Especialistas para a Elaboração da Metodologia Brasileira
de Gestão da Segurança da Informação e Comunicações - CEGSIC
2009/2011.
© 2011 - Leonardo Silva Bittencourt. Qualquer parte desta publicação
pode ser reproduzida, desde que citada a fonte.
Bittencourt, Leonardo Silva
Os
principais
Incidentes
computacionais
no
Cadastro
Nacional
de
Informações Sociais – INSS - consequências para o SISBEN – sistema de benefício
do INSS. Leonardo Silva Bittencourt – Brasília: O autor, 2011. p.;
Ilustrado; 25 cm.
Monografia (Gestão Estratégica da Segurança da Informação e
Comunicação) – Universidade de Brasília. Instituto de Ciências Exatas.
Departamento de Ciência da Computação, 2011.
Inclui Bibliografia.
1. Segurança, Informação. 2. Incidentes. 3. CNIS, INSS. I. Título.
Dedicatória
Dedico este trabalho à minha mãe Maria Edilde Silva, eterna batalhadora, à
minha filha Maria Luisa Alves Bittencourt pela alegria e aos meus amigos pelos
incentivos.
Agradecimentos
Agradeço a todos os professores do Curso de Especialização da Segurança
da Informação e Comunicações pelo conhecimento transmitido, aos tutores pelas
experiências compartilhadas, aos colegas da turma Laranja pela troca do saber, ao
Ministério da Previdência Social pela oportunidade e ao nobre orientador professor
Tiago Conde pela paciência e ensinamentos.
Ninguém educa ninguém, ninguém educa a si mesmo, os homens se educam
entre si, midiatizados pelo mundo.
Paulo Freire.
Sumário
Dedicatória ..................................................................................................................3
Agradecimentos ..........................................................................................................4
Sumário .......................................................................................................................6
Resumo .......................................................................................................................8
Abstract .......................................................................................................................9
1 Delimitação do Problema....................................................................................10
1.1 Introdução........................................................................................................11
1.2
1.2.1
Formulações da situação problema .............................................................12
O que é o Cadastro Nacional de Informações Sociais?............................12
1.2.2 Quais as informações que alimentam o Cadastro Nacional de Informações
Sociais? .................................................................................................................12
1.2.3
Quais as funções do CNIS para os sistemas de concessão de benefícios
previdenciários utilizados pelo INSS?....................................................................12
1.2.4
O que é incidente computacional?............................................................12
1.2.5
Onde está localizado incidente computacional nas diversas normas de
Segurança da Informação e Comunicação?..........................................................12
1.2.6
Que tipo de incidentes computacionais sofre o CNIS? .............................12
1.2.7
Quais as principais consequências para o SISBEN?................................12
1.2.8
Quais os principais tratamentos dados aos incidentes de segurança
computacional do sistema CNIS?..........................................................................12
1.3 Objetivos e escopo ..........................................................................................12
1.3.1 Objetivo Geral ...........................................................................................12
1.3.2 Objetivos Específicos ................................................................................12
1.3.3 Escopo ......................................................................................................13
1.4 Justificativa ......................................................................................................13
1.5 Hipótese...........................................................................................................13
1.6 Metodologia .....................................................................................................13
2 Revisões de Literatura e Fundamentos..................................................................15
2.1 A Segurança da Informação e Comunicação ..................................................15
2.2 Ativo de Informação .........................................................................................16
2.3 Riscos ..............................................................................................................16
2.4 Vulnerabilidade ................................................................................................16
2.5 Ameaça............................................................................................................16
2.6 Incidentes de Segurança Computacional ........................................................17
2.7 Ataque .............................................................................................................17
2.8 Tratamento e resposta de incidentes computacionais.....................................19
3. Análise do Cadastro Nacional de Informações Sociais – CNIS -INSS .............21
4. Os principais incidentes de segurança computacional no CNIS – INSS ...........27
5. As principais consequências dos incidentes de segurança computacional no
CNIS com relação ao sistema de Benefício do INSS. ...........................................33
6 Conclusões .........................................................................................................38
6.1 Conclusão........................................................................................................38
Referências e Fontes Consultadas........................................................................40
Resumo
O presente trabalho apresenta os principais incidentes de segurança computacional
no Cadastro Nacional de Informações Sociais com consequência direta o SISBEN –
Sistema de benefícios do INSS, responsável pelas concessões de benefícios
previdenciários. O CNIS é a base de dados nacional que contém informações
cadastrais de trabalhadores empregados e contribuintes individuais, empregadores,
vínculos empregatícios e remunerações, além dos dados cadastrais de pessoas
jurídicas e de estabelecimentos empregadores reconhecidos pela Previdência
Social.
Essas informações são as bases para a concessão de benefícios por
incapacidade como aposentadoria por invalidez ou auxílio doença, pensão por
morte, aposentadoria por idade ou por tempo de contribuição, auxílio maternidade,
além de disciplinar o pagamento de salário-família e auxílio-reclusão. As
informações desse sistema migram para os sistemas de concessão de benefícios
que estão sobre a responsabilidade do Instituto Nacional do Seguro Social (INSS),
sendo responsável mensalmente pelo pagamento de mais de 28 milhões de
benefícios com um valor aproximado 19 bilhões de reais garantindo aos cidadãos
brasileiros sua sobrevivência nos diversos recantos do Brasil. O CNIS vem ao longo
do tempo sofrendo com esse tipo de ação adversa. Assim, buscamos nesse estudo
de caso identificar os principais incidentes de segurança computacional nesse
sistema, as principais consequências para o SISBEN, e por fim descrever os
principais tratamentos dados a esses incidentes de segurança computacional.
Palavras-chave: Segurança, Informação, Incidentes, CNIS, INSS.
Abstract
This paper presents a review of the treatment given by Social Security to computer
security incidents in the National Register of Social Information serves as a basis for
grants of welfare benefits. The CNIS is the national database that contains
registration information of employees and individual taxpayers, employers,
employment contracts, and salaries, in addition to cadastral data of legal entities and
establishments of employers recognized by Social Security. This information is the
basis for granting disability benefits to retirement for disability or sickness, death
pension, retirement by age or by time of contribution, maternity assistance, and
discipline the payment of family allowances and confinement allowance. The
information system of systems migrated to the granting of benefits that are on the
responsibility of the National Institute of Social Security (INSS) is responsible for
monthly payment of more than 28 million of benefits with an approximate value of 19
billion reais granting citizens Brazilians their survival in different corners of Brazil.
Computer security incident is any action or set of actions taken against a computer or
computer network and which results or may result in loss of confidentiality, integrity or
performance of a data communication network or computer system, in particular,
access. The CNIS has over time suffering with this type of adverse action. Thus, we
identify that the major computer security incidents in the system and finally describe
the main treatments given to these computer security incidents.
Key words: Security, Information, Incidents, CNIS, INSS.
1 Delimitação do Problema
A Previdência Social brasileira tem por finalidade oferecer cobertura aos
cidadãos que tiverem atividades remuneradas e não pertencentes a Regimes
Próprios de Previdências em casos de invalidez, morte ou idade avançada,
proteger a maternidade, disciplinar o pagamento de salário-família e auxílioreclusão e garantir aposentadorias e pensões. O sistema previdenciário
nacional é executado pelo Instituto Nacional do Seguro Social (INSS) que
exerce papel fundamental na estabilidade social do País. Os benefícios pagos
pelo INSS garantem ao cidadão sua sobrevivência nos distintos recantos do
Brasil, além de ser responsável pela economia local de muitos municípios
brasileiros. É através dos dados do Cadastro Nacional de Informações que os
bancos de dados do INSS são alimentados para concessão de benefícios
previdenciários.
O presente estudo de caso, pela importância da Previdência social para
o nosso país e do CNIS para o sistema de benefício do INSS, identificará os
incidentes de segurança computacional no Cadastro Nacional de Informações
Sociais, base que alimenta os sistemas de concessões de benefícios
previdenciários, e as consequências para o SISBEN – Sistema de Benefício do
INSS.
1.1 Introdução
O sistema previdenciário executado pelo Instituto Nacional do Seguro
Social (INSS) exerce papel fundamental na estabilidade social do País. Os
benefícios pagos pelo INSS garantem ao cidadão sua sobrevivência nos
distintos recantos do Brasil, além de ser responsável pela sustentabilidade de
muitos municípios brasileiros.
As despesas com aposentadorias, pensões e auxílios aproximam-se,
atualmente, de 8% do PIB nacional sendo responsável por mais de 28 milhões
de benefícios, pessoas que subsistem graças aos seus pagamentos de
aposentadorias, pensões, auxílios e outras dezenas de milhões são
dependentes dos titulares desses benefícios, assim, igualmente dependem
indiretamente do INSS.
Com objetivo de atender seus segurados o INSS está investindo cada
vez mais em sistemas computacionais com objetivo de facilitar a vida dos
servidores e de seus segurados, agilizando o processo de concessão de
benefícios previdenciários. É através do Cadastro Nacional de Informações
Sociais que o INSS vem alcançando esse objetivo, porém essa facilitação vem
sofrendo com incidentes computacionais, e consequentemente maculando o
sistema de benefício do INSS. Em razão dessa situação, buscamos levantar o
questionamento sobre esses incidentes no CNIS, com intuito de identificá-los,
quais as principais conseqüências para o SISBEN e o qual o tratamento que
está sendo feito para minimizar esses incidentes.
Para tanto, na primeira seção conceituaremos o Cadastro Nacional de
Informações Sociais – CNIS. Na seção seguinte, será conceituado incidente
computacional e localizaremos nas diversas normas de Segurança da
Informação e Comunicação como forma de fundamentar o contexto do
problema levantado e na terceira seção iremos descrever as principais
consequências dos incidentes computacionais do CNIS para o SISBEN, depois
verificaremos os tratamentos dado a esses incidentes de segurança
computacional. Por fim, serão tecidas algumas considerações conclusivas.
1.2 Formulações da situação problema
1.2.1 O que é o Cadastro Nacional de Informações Sociais?
1.2.2 Quais as informações que alimentam o Cadastro Nacional de
Informações Sociais?
1.2.3 Quais as funções do CNIS para os sistemas de concessão de benefícios
previdenciários utilizados pelo INSS?
1.2.4 O que é incidente computacional?
1.2.5 Onde está localizado incidente computacional nas diversas normas de
Segurança da Informação e Comunicação?
1.2.6 Que tipo de incidentes computacionais sofre o CNIS?
1.2.7 Quais as principais consequências para o SISBEN?
1.2.8 Quais os principais tratamentos dados aos incidentes de segurança
computacional do sistema CNIS?
1.3 Objetivos e escopo
1.3.1 Objetivo Geral
O objetivo geral deste trabalho é identificar e analisar os principais
incidentes de segurança computacional no Cadastro Nacional de Informações
Sociais e suas principais consequências para o Sistema de Benefício do INSS.
1.3.2 Objetivos Específicos
1. Descrever sobre Cadastro Nacional de Informações Sociais;
2. Descrever sobre incidentes computacionais;
3. Identificar os principais incidentes de segurança computacional no
CNIS;
4. Identificar as principais consequências dos incidentes computacionais do
CNIS para o SISBEN?
5. Descrever os tratamentos dados pelo INSS aos principais incidentes de
segurança computacional no CNIS.
1.3.3 Escopo
O presente estudo buscará em evidências empíricas identificar os
incidentes de segurança computacional no Cadastro Nacional de Informações
Sociais que é a base de informações para a concessão de benefícios
previdenciários. Nesse sentido, através dos dados quantitativos pesquisado no
INSS
e
as
referências
bibliográficas
de
tratamento
de
incidentes
computacionais, será feita uma correlação entre os dados empíricos e o
tratamento desses incidentes como também será tecido conclusões sobre este
estudo de caso.
1.4 Justificativa
O presente estudo de caso foi escolhido primeiramente devido à
importância do INSS para o nosso país como distribuidor de renda e
estabilidade social, especificamente foi escolhido o sistema CNIS por sistema
crítico que alimenta todos os bancos de dados dos sistemas de concessão de
benefícios executados pelo INSS.
1.5 Hipótese
A falta de um tratamento ou o tratamento inadequado nos incidentes
computacionais ocorridos contra o sistema de Cadastro Nacional de
Informações Sociais implicará na perda de confiabilidade, integridade e
autenticidade
de
suas
informações
por
consequência
alimentará
inadequadamente com essas informações os sistemas de concessão de
benefícios previdenciários deixando vulnerável a segurança da informação e
comunicações no processo de concessão de benefícios executado pelo INSS.
1.6 Metodologia
A Metodologia Científica é o estudo dos pormenores dos métodos
empregados em cada área científica específica, e em essência dos passos
comuns a todos estes métodos. Marconi e Lakatos (2003, p.83) definem o
método científico como o conjunto das atividades sistemáticas e racionais que,
com maior segurança e economia, permitem alcançar o objetivo conhecimentos válidos e verdadeiros - traçando o caminho a ser seguido,
detectando erros e auxiliando as decisões do cientista. Para Yin (2010), o
estudo de caso é uma estratégia de pesquisa indicada para explorar, descrever
ou explicar acontecimentos contemporâneos em ambientes nos quais os
eventos não necessitam ser controlados pelo pesquisador.
O presente estudo de caso utilizou como metodologia o método indutivo
de análise quantititativa e uma revisão bibliografica. A técnica de pesquisa
empregada, nesse estudo foi uma pesquisa de campo, quantitativo-descritiva.
Uma pesquisa de campo é aquela utilizada com o objetivo de conseguir
informações e/ou conhecimentos acerca de um problema, para o qual se
procura uma resposta, ou de uma hipótese, que se queira comprovar, ou ainda,
descobrir novos fenômenos Marconi e Lakatos (2003). A principal técnica
utilizada foi a entrevista com gestorer do Cadastro Nacional de Informações
Sociais vinculados ao INSS e a análise de investigação de fraudes contra o
INSS, realizada pela Assessoria de Pesquisa Estratégica e de Gerenciamento
de Riscos do MPS.
2
Revisões
de
Literatura
e
Fundamentos
A revisão literária desse trabalho foi dividida em
Na primeira parte foi buscada na literatura especializada, a partir de uma
visão macro da Segurança da Informação e Comunicação, a descrição sobre
incidentes computacionais, na segunda parte foi feita uma introdução sobre o
Cadastro Nacional de Informações Sociais – CNIS. No terceiro momento,
buscamos identificar os principais incidentes de segurança computacional no
CNIS e as principais consequências desses incidentes computacionais para o
SISBEN, e por fim descrevemos os tratamentos dados pelo INSS aos principais
incidentes de segurança computacional ocorrido contra o CNIS.
2.1 A Segurança da Informação e Comunicação
A ABNT NBR ISO/IEC 27002:2005 (p. ix) subscreve que a Segurança da
Informação visa a proteger uma organização de diversos tipos de ameaças,
buscando entre outros aspectos minimizar os danos.
O Decreto nº 3505 de 2000, Segurança da Informação é a “Proteção dos
sistemas de informação contra a negação de serviço a usuários autorizados,
assim como contra a intrusão, e a modificação desautorizada de dados ou
informações, armazenados, em processamento ou em trânsito, abrangendo,
inclusive, a segurança dos recursos humanos, da documentação e do material,
das áreas e instalações das comunicações e computacional, assim como as
destinadas a prevenir, detectar, deter e documentar eventuais ameaça a seu
desenvolvimento.”
A Instrução Normativa GSI/PR nº 1, de 13 de junho de 2008, Segurança
da Informação e Comunicações: ações que objetivam viabilizar e assegurar a
disponibilidade, a integridade, a confidencialidade e a autenticidade das
informações.
2.2 Ativo de Informação
Para SÊMOLA ( 2003, pp. 1-2) a informação constitui per si um ativo (no
sentido de ser um bem a ser valorizado e preservado), em nossa visão ativo
da informação
é o conjunto dos indivíduos, compostos tecnológicos e
processos envolvidos em alguma das etapas do ciclo de vida da informação.
2.3 Riscos
Michaelis (2008) aborda que “Risco é possibilidade de perigo, incerto,
mas previsível, que ameaça de dano à pessoa ou à coisa...”, ou seja, podemos
considerar como risco, a possibilidade de um evento desfavorável vir a ocorrer.
2.4 Vulnerabilidade
A norma 05/IN01/DSIC/GSIPR explica que vulnerabilidade é qualquer
fragilidade dos sistemas computacionais e redes de computadores que
permitam a exploração maliciosa e acessos indesejáveis ou não autorizados.
2.5 Ameaça
BEAL (2008, p. 14 e 18.) aborda que a ameaça é a expectativa de
acontecimento acidental ou proposital, causado por um agente, interno ou
externo, que pode afetar um ambiente, sistema ou um ativo de informação. As
ameaças podem impactar, de diferentes modos, a sobrevivência de uma
organização, seja ela pública ou privada. As ameaças exploram as
vulnerabilidades e podem ser classificadas em ambientais (naturais como fogo,
chuva, raios, terremotos etc.), técnicas (falhas em hardware e software etc.),
lógicas (furto de senhas eletrônicas, invasão de sistemas entre outras) e
humanas (fraude, sabotagem, erro de operação, venda de informações etc.).
A norma 04/IN01/DSIC/GSIPR nos ensina que ameaça é o conjunto de
fatores externos ou causa potencial de um incidente indesejado, que pode
resultar em dano para um sistema ou organização.
BEAL (2008, p. 14.) explica que a vulnerabilidade é a fragilidade que
poderia ser explorada por uma ameaça para concretizar um ataque tendo como
efeito um impacto. O impacto é o efeito ou consequência de um ataque ou
incidente para a organização, neste caso estudado sempre será um resultado
negativo.
2.6 Incidentes de Segurança Computacional
A norma 06/IN01/DSIC/GSIPR subscreve que incidente é o evento que
tenha causado algum dano, colocado em risco algum ativo de informação
crítico ou interrompido a execução de alguma atividade crítica por um período
de tempo inferior ao tempo objetivo de recuperação;
A ABNT NBR ISO/IEC 27002:2005 (p.98) aborda que a Gestão de
incidentes de segurança da informação tem como objetivo Assegurar que
fragilidades e eventos de segurança da informação, associados com sistemas
de informação sejam comunicados, permitindo a tomada de ação corretiva em
tempo hábil.
Para Gondim (2010) um incidente de segurança computacional é
definido como qualquer ação ilegal, não autorizada ou inaceitável que envolve
um sistema computacional ou rede de computadores.
2.7 Ataque
O ataque é a concretização de uma ameaça, bem-sucedida ou não
mediante uma ação ou omissão deliberada e planejada. Os ataques podem
ser de origem externa ou interna à organização.
Schultz (2002) aponta que os ataques de origem interna, que, ao
contrário do que se apregoa, não necessariamente são em maior número que
os externos, possuem motivações e padrões diversos daqueles, exigindo,
assim, análise e contramedidas diferenciadas.
Em regra, os ataques são realizado por pessoas, ainda que com o uso
de recursos computacionais ou de outra natureza, a sua prevenção torna-se
extremamente complexa por meios automatizados.
Schell (2001) afirma que não há ciência capaz de eliminar
definitivamente os incidentes de segurança da informação, restando a opção
da constante vigilância e verificação.
2.7.1 Discrição dos principais ataques.
As principais intenções dos ataques no sistema de Informaçõas
são:
Violação de
segurança
Descrição
Falsidade
informática
Alegada intenção de provocar engano nas relações jurídicas, introduzir,
modificar, apagar ou suprimir dados informáticos ou por qualquer outra forma
interferir num tratamento informático de dados, produzindo dados ou
documentos não genuínos, com a intenção de que estes sejam considerados
ou utilizados para finalidades juridicamente relevantes como se o fossem.
Inclui a mistificação de sites Web para roubo de credenciais e a distribuição de
mensagens de correio eletrônico de phishing
Interferência em
sistema
informático
Alegada ação intencional e não autorizada ou a tentativa de impedir ou
interromper gravemente o funcionamento do sistema informático, introduzindo,
transmitindo, danificando, apagando, deteriorando, alterando, suprimindo ou
tornando inacessível qualquer componente de software ou hardware. Inclui os
ataques de negação de serviço.
Acesso ilegítimo Alegado acesso ou tentativa de acesso intencional e não autorizado à
a
sistema totalidade ou a parte do sistema informático. Inclui roubo de informação,
informático
nomeadamente segredo comercial, industrial ou dados confidenciais
protegidos por lei.
Interferência
dados
em O ato intencional e não autorizado ou a tentativa de apagar, danificar,
deteriorar, alterar, suprimir ou tornar inacessíveis dados do sistema
informático. Inclui malware e distribuição do mesmo por correio eletrônico.
Recolha
não O ato intencional e não autorizado de reunir informação sobre redes e
autorizada
de sistemas informáticos.
informação sobre
sistema
informático
Violação
de Alegada violação de direitos autorais, independentemente dos conteúdos
direitos de autor
serem constituídos por informação, código fonte, projetos gráficos ou
quaisquer outros elementos do sistema informático protegidos por direitos de
autor.
Mensagem
de Alegada recepção/envio de mensagens de correio eletrônico não solicitadas,
correio eletrônico quer sejam produzidas para efeitos de marketing direto ou sem motivação
não solicitada
aparente. Não inclui distribuição de malware ou ataques de phishing.
Outra violação de Outra alegada violação (da política) de segurança informática.
segurança
2.8 Tratamento e resposta de incidentes computacionais
A norma 05/IN01/DSIC/GSIPR nos conceitua que o tratamento e
resposta de incidente é o serviço que consiste em receber, filtrar, classificar e
responder às solicitações e alertas e realizar as análises dos incidentes de
segurança, procurando extrair
informações que permitam impedir a
continuidade da ação maliciosa e também a identificação de tendências.
A Resposta a incidentes de segurança é uma metodologia organizada
para gerir consequências a uma violação num sistema computacional que
proteja algum ativo de informação de uma determinada organização. O
principal objetivo do processo de resposta a incidentes de segurança é
minimizar o impacto de um incidente e permitir o restabelecimento dos
sistemas o mais rápido possível.
É a política da sergurança da informação que define um
resposta a incidente
plano de
identificando as etapas do processo que devem ser
seguidos quando um incidente ocorrer. O processo de resposta a incidentes
deve ser produto de uma sinergia entre as diferentes equipes organizacionais,
unindo do escorpo gerencial ao nível técnico.
A responsabilidade do tratamento e resposta a incidentes é da CSIRT
(Computer Security Incidente Response Team). Uma equipe de resposta a
incidentes de seguranc¸a que é constituido por diversas pessoas da
organização como: gestores de segurança, analista de segurança, entre outros.
O tratamento de incidentes são norteados por princípios que segundo
os autores Kenneth Wyk e Richard Forno [Kenneth R. Wyk 2001], o processo
de resposta a incidentes de segurancça deve possuir cinco etapas:
1. Identificação: cabe a esta etapa detectar ou identificar de fato a
existência de um incidente de segurança, essa identificação se dará através de
monitoramento dos sistemas computacionais, utilizando um conjunto de
ferramentas como IDS (sistema de deteccão de intrusão).
2. Coordenação: responsável por identificar a existência de um incidente
e suas consequências na etapa anterior valorando os danos causados pelo
incidente em questão.
3. Mitigacão: tem como o objetivo isolar o problema e determinar a
extensão dos danos , evitar a propagação como implementar soluções
temporárias para o restabelecimento do sistema atingido e posteriomente
soluções definitivas.
4. Investigação: etapa que a equipe de tratamento concentra-se em
coletar e analisar as evidências do incidente de segurança, essas evidências
serão de suma importância para a resolução do incitente como terá uma função
pro-ativa para futuros incidentes com características semelhantes.
5. Educação: consiste em avaliar o processo de tratamento de
incidentes e verificar a eficácia das soluções implementadas, sendo que as
lições apredidas devem ser propagadas para toda a equipe como forma de
autodefesa no futuro.
3.
Análise do Cadastro Nacional de Informações Sociais –
CNIS -INSS
3.1 O INSS
O INSS é formado por mais de 2 mil unidades orgânicas (Agências,
Unidades de Atendimento Autônomas, Gerências e superintendências
regionais), sendo que em sua maioria são Agências da Previdência Social APS.
A rede da Previdência social possui mais de 10000 computadores
conectados, por todo o Brasil. A conexão entre os escritórios da Dataprev,
Gerências Executivas do INSS e as Agências da Previdência Social são feita
por meio de circuito dedicado com uma média de 64 kbps, sendo que a
conexão entre os Centros de Tratamento da Informação da Dataprev (Rio de
Janeiro, São Paulo e Brasília) com o Ministério da Previdência – MPS é feita
por meio de backbone de 2 Mbps.
O INSS trabalha com duas grandes áreas que estão interligadas como
mostra a Procuradoria: responsável pelas ações judiciais do INSS; Benefícios:
reconhecimento e concessão dos benefícios, como podemos ver com a figura
abaixo:
CNIS
Empregado
Pessoas
Procuradoria
Ações
Benefícios
Beneficiário
Benefícios
Fig. - Arquitetura de Informação
Fonte – Dataprev [MPS, 2011]
3.2 O Sistema de Benefícios da Previdência Social - SISBEN
O Sistema de Benefícios da Previdência Social - SISBEN é o sistema
usado pelo INSS para concessão de benefícios. O SISBEN foi desenvolvido
na linguagem de programação COBOL/74, o Banco de Dados DMSII da
UNISYS e o Sistema Operacional é o MVS também da UNISYS e acessa o
CNIS – Cadastro Nacional de Informações Sociais para obter informações
sobre as pessoas que vão ou que já concederam algum tipo de benefício.
Conforme figura
Fig. - Arquitetura do Sistema de Benefícios da Previdência Social
Fonte – Dataprev [MPS, 2011]
O SISBEN é utilizado nas agências do INSS com o nome de PRISMA,
que é a versão para PC, já que a base mesmo do SISBEN fica em um
computador de grande porte no Rio de Janeiro, como exemplifica a Figura.
3.3 O CNIS
O Governo Federal com o objetivo de criar uma base de dados
integrada, determinou a criação do CNT - Cadastro Nacional do Trabalhador,
através do decreto 97.936 de 1989, na forma de consórcio entre Ministério da
Previdência e Assistência Social (MPAS), Ministério do Trabalho (MTb) e Caixa
Econômica Federal (CEF). Posteriormente assumiu, conforme lei 8.212 de
1991, a denominação de CNIS.
O Cadastro Nacional de Informações Sociais é a base de dados nacional
que
contém
informações
cadastrais
individuais,
empregadores,
contribuintes
de
trabalhadores
vínculos
empregados
empregatícios
e
e
remunerações. Os objetivos do CNIS são:
Atender com maior eficácia, os direitos dos trabalhadores, mantendo
informações
confiáveis
sobre
sua
vida
laboral
e
liberando-os
gradualmente do ônus da prova;
Inibir fraudes e desvios na concessão de benefícios previdenciários e
trabalhistas mediante o cruzamento das informações administradas
pelos vários sistemas governamentais;
Buscar o gerenciamento racional e coordenado de informações
dispersas em sistemas de diversos órgãos governamentais;
Manter informações confiáveis dos estabelecimentos empregadores,
permitindo um maior controle sobre a arrecadação e um direcionamento
mais eficaz da fiscalização trabalhista e previdenciária;
Simplificar e reduzir os procedimentos e os custos de coleta de
informações sociais impostos aos estabelecimentos empregadores e à
sociedade;
Instrumentalizar as instituições governamentais com informações sociais
confiáveis como forma de subsidiar a formulação e a avaliação das
políticas públicas; e
Contribuir para a integração das informações administradas por outras
instituições governamentais no âmbito da Seguridade Social.
As fontes de informações que alimentam este cadastro são:
CADASTRO DE TRABALHADORES
Contém os dados básicos e complementares de pessoas físicas
engajadas
em
atividades
produtivas.
Incluem-se
neste
universo
os
trabalhadores empregados ou contribuintes individuais, tais como empresários,
funcionários públicos, ou quaisquer pessoas detentoras de NIT , PIS ou PASEP
e que tenham informado a partir de 1971 (para empregados) ou 1973 (para
contribuintes individuais) seus dados sociais, ou previdenciários ao governo
federal. São fontes deste cadastro: PIS/PASEP; RAIS; FGTS; CAGED e
Cadastro de Contribuintes Individuais.
CADASTRO DE EMPREGADORES
Contém os dados cadastrais de pessoas jurídicas e de estabelecimentos
empregadores
reconhecidos
pela
Previdência
Social.
Todos
os
estabelecimentos empregadores, independente do ramo de suas atividades
(rural, comercial, industrial, etc., que tenham fornecido dados sociais,
previdenciários ou fiscais ao governo federal a partir de 1964 estarão
cadastrados. São fontes deste cadastro: CGC; Cadastro de Empregadores do
INSS; RAIS; CAGED e FGTS;
CADASTRO
DE
REMUNERAÇÕES
VÍNCULOS
DO
EMPREGATÍCIOS
TRABALHADOR
EMPREGADO
/
E
RECOLHIMENTOS DO CONTRIBUINTE INDIVIDUAL
Contém os dados de vínculos empregatícios desde 1976, e respectivas
remunerações mensais a partir de 1990, além de recolhimentos dos
contribuintes individuais efetuados mensalmente através de carnê (Guia de
Recolhimento do Contribuinte Individual - GRCI) desde 1979. As informações
dos vínculos empregatícios/ remunerações e recolhimentos de contribuintes
individuais permitem determinar o tempo de serviço do trabalhador e o valor do
seu benefício previdenciário. São fontes deste Cadastro: para Vínculos
Empregatícios: RAIS, FGTS e CAGED.
AGREGADOS
DE
VÍNCULOS
EMPREGATÍCIOS
/
REMUNERAÇÕES POR ESTABELECIMENTO EMPREGADOR
Contém dados acumulados de vínculos empregatícios e remunerações
mensais, fornecendo uma visão gerencial de massa salarial e quantidade de
vínculos. Permite a realização de confrontos com as bases de Arrecadação da
Previdência Social, para detectar possíveis divergências entre contribuição
potencial e contribuição efetiva.
Os gestores dos diversos bancos de dados que alimentam o CNIS são:
Gestor:
CEF
-
CAIXA
ECONÔMICA
FEDERAL
PIS - Programa de Integração Social – FGTS - Fundo de Garantia do
Tempo de Serviço.
Gestor: BANCO DO BRASIL - PASEP - Programa de Formação do
Patrimônio do Servidor Público.
Gestor: MPAS - MINISTÉRIO DA PREVIDÊNCIA SOCIAL Cadastro de
Contribuintes Individuais (CI);
Base
de
Recolhimentos
do
Contribuinte
Individual;
Base de Arrecadação Previdenciária; CEI - Cadastro Específico do
INSS;
Gestor: MPAS / MTb / CEF RAIS - Relação Anual de Informações
Sociais.
Gestor: RECEITA FEDERAL - CGC - Cadastro Geral de Contribuintes
Gestor:
MTb
CAGED
-
Cadastro
Geral
de
Empregados
e
Desempregados.
As normas que tratam sobre o Cadastro Nacional de Informações
Sociais são:
Lei nº. 10.403, de 8 de janeiro de 2002, in verbis:
..."(nr) "art. 29-a. o INSS utilizará, para fins de cálculo do saláriode-benefício, as informações constantes no cadastro nacional de informações sociais –
CNIS sobre as remunerações dos segurados. § 1o o INSS terá até 180 (cento e
oitenta) dias, contado...
Decreto nº 1.058, de 21 de fevereiro de 1994.
Trata o decreto do programa de formação do patrimônio do servidor
público - PASEP; d) à tabela do código nacional de atividade econômica CNAE; e) ao cadastro permanente de admissões e dispensas de empregados;
f) à relação anual de informações sociais - RAIS; g) ao Cadastro Nacional de
informações Sociais - CNIS
Decreto nº 4.079, de 09 de janeiro de 2002
Trata da carteira profissional ou da carteira de trabalho e previdência
social e, a partir de 1o de julho CNIS valem para todos os efeitos como prova
de filiação à previdência social, relação de emprego e tempo de contribuição.
Os volumes de dados do CNIS são gigantescos conforme demonstração
abaixo:
•
Registros de dados cadastrais - 190 milhões
115 milhões de empregados a partir de 1971;
75 milhões de contribuintes Individuais a partir de 1973.
•
Registros de Elos
Pis/Pasep - 5 milhões;
C.I - 5 milhões.
•
Dados de Óbitos
CNIS -10 milhões.
•
Registros de dados cadastrais - 26 milhões
18 milhões de CNPJ cadastrados a partir de 1964;
8 milhões de CEI cadastrados.
•
Registros de Vínculos - 600 milhões
RAIS - a partir de 1976;
CAGED - a partir de 1985;
GRE/FGTS - de 1995 a dezembro 1998;
GFIP - a partir de janeiro de 1999;
1,3 bilhões de recolhimentos do Contribuinte Individual a partir
de 1985;
Recuperação das microfichas de 1973 a 1984 (aprox. 500 milhões
de recolhimentos).
4. Os principais incidentes de segurança computacional no
CNIS – INSS
O INSS vem ao longo de sua existência se alargando como protetor e
distribuidor de renda nacional, para cumprir esse papel constitucional, vem
investindo em tecnologia da informação e comunicação para melhor atender
seus segurados. Porém esse investimento em sistemas de informação vem
sofrendo, ao longo dos anos, fraudes.
A Previdência percebendo a necessidade de combater a fraude contra o
seu patrimônio criou a Assessoria de Pesquisa Estratégica – APE. No ano de
1998 instituiu a Assessoria de Pesquisas Estratégicas regulamentando sua
atuação (Portaria INSS/DAF nº. 433/1998). O objetivo dessa assessoria é em
conjutno com o Ministério Público e a Polícia Federal, combater às fraudes
previdenciárias. A partir dessa experiência, foram constituídos grupos de
trabalho em vários Estados, todos apresentando resultados efetivos na
apuração do ilícito previdenciário.
O trabalho em regime de força tarefa previdenciária já realizou as
seguintes operações desde o ano de 2003 até 2011:
OPERAÇÕES
ANO
REALIZADAS
2003
08
2004
20
2005
28
2006
44
2007
41
2008
43
2009
13
2010
42
2011
39
TOTAL
278
Elaboração APEGR
Fonte: APEGR/SE/MPS 2010
Através do convívio empírico dessas fraudes percebemos que um dos
sistemas do INSS mais atingindo é o CNIS, então nossa investigação partiu
dos dados coletados das operações realizadas em regime de força tarefa
(MPS-MPF-DPF), para verificar se essa transcrição em fraude se derivava de
incidentes computacionais ocorrido no CNIS.
Após o estudo das várias operações realizadas contra a fraude
previdenciária,
foi
possível
identificar
quatro
tipos
de
incidentes
computacionais:
violação de segurança é classificado como intrusão ilegal ou não
autorizada em sistemas computacionais, traduzindo no incidente de falsidade
informática, que tem a intenção de provocar engano nas relações jurídicas,
como introduzir e modificar os dados ou documentos do sistema.
Os principais incidentes computacionais identificados sofridos pelo CNIS
são:
•
Inclusão de vínculo empregatício fictício;
•
Inclusão de remuneração fictícia;
•
Alteração de vínculo empregatício;
•
Alteração da Remuneração.
A inclusão de vínculo empregatício fictício no CNIS tem por objetivo o
requerimento e a concessão de um benefício do INSS, sem que o suposto
segurado tenha direito ao tempo de contribuição informado ao sistema. Essa
informação, geralmente, é feita pela GFIP – Guia do Fundo de Garantia e
Informação Previdenciária.
A Inclusão de remuneração fictícia é o incidente praticado por indivíduos
ou grupo organizado com objetivo de incluir renda de segurados do INSS para
que no futuro o requerente tenha salários para ser calculado o valor do seu
benefício, porque se no CNIS não houver renda os benefícios, em regra, serão
concedido no salário mínimo..
A alteração de vinculo é o tipo de incidente praticado para que o cidadão
possa ter mais tempo de contribuição do que teria na realidade, alterar vínculos
concomitantes, com objetivo de requerer benefício do INSS.
Alteração de Remuneração é o incidente praticado por indivíduos ou
grupos organizados e que tem o objetivo de aumentar a renda de segurados
para o mesmo na hora do requerimento de seu benefício receba um salário de
benefício maior do que teria direito.
Alguns fatores externos facilitam os incidentes computacionais contra o
CNIS, entre eles:
•
As carteiras de identidades fornecidas pelos institutos de
identificações dos estados brasileiros, muitas sem confiabilidade,
devido serem confeccionadas mediante apresentação de certidões
de nascimento de precária certificação.
•
O CPF, simples matrícula fiscal, muitas vezes, convertido em
registro de identidade, mercê da ausência de uma identificação
nacional fidedigna.
•
Nos cartórios nacionais, é possível registrar pessoas, conseguir
certidão de óbito, casamento, com identidade diversa (para que
uma pessoa se registre em um cartório em caso de recém-nascidos
precisa-se apenas de um atestado médico, confirmando o
nascimento, ou se a pessoa tem certa idade e nunca se registrou,
atualmente precisa apenas de duas testemunhas, não há um banco
de dados unificado no país nem um registro nacional de digitais. Em
caso de óbito se necessita apenas do atestado médico, não
havendo nenhum batimento com os hospitais ou IML.)
•
Para se enterrar um morto no país, em regra, se exige apenas o
atestado médico da morte, deixando por conta dos parentes do
morto a averbação nos cartórios.
•
Expansão da rede atendimento do INSS agências de atendimento
de 1.110 (2009) para 1.830 em 2010, e 1850 no ano de 2011,
ampliando a presença física do INSS de 950 cidades para 1670
municípios brasileiros havendo maior incidência de incidentes
computacionais contra o sistema CNIS e consequentemente ao
sistema de benefício previdenciário.
Os incidentes estudados, juridicamente, causam dano a órgão público e
são tipificados pelo Código Penal Brasileiro, esses ilícitos criminais praticados
contra a Previdência Social foram disciplinados pela Lei 9.983/2000, que
introduziu no Código Penal as figuras típicas seguintes:
- Apropriação indébita previdenciária (art. 168-A, CP - Apropriar-se de
coisa alheia móvel, de que tem a posse ou a detenção.);
- Inserção de dados falsos (art. 313-A, CP - Inserir ou facilitar, o
funcionário autorizado a inserção de dados falsos, alterar ou excluir
indevidamente dados corretos nos sistemas informatizados ou bancos de
dados da Administração Pública com o fim de obter vantagem indevida para si
ou para outrem ou para causar dano.);
- Alteração não autorizada no sistema informatizado da Previdência (art.
313-B, CP - Modificar ou alterar, o funcionário, sistema de informações ou
programa de informática sem autorização ou solicitação de autoridade
competente.);
- Sonegação de contribuição (art. 337-A - Suprimir ou reduzir
contribuição social previdenciária e qualquer acessório, mediante as seguintes
condutas: I – omitir de folha de pagamento da empresa ou de documento de
informações previsto pela legislação previdenciária, segurados empregado,
empresário, trabalhador avulso ou trabalhador autônomo ou a este equiparado
que lhe prestem serviços; II – deixar de lançar mensalmente nos títulos
próprios da contabilidade da empresa as quantias descontadas dos segurados
ou as devidas pelo empregador ou pelo tomador de serviços; III – omitir, total
ou parcialmente, receitas ou lucros auferidos, remunerações pagas ou
creditadas e demais fatos geradores de contribuições sociais previdenciárias);
- Divulgação de informações sigilosas ou reservadas (art. 153, § 1º, CP Divulgar, sem justa causa, informações sigilosas ou reservadas, assim
definidas em lei, contidas ou não nos sistemas de informações ou banco de
dados da Administração Pública.);
- Falsidade documental (art. 296, § 1º - Falsificar, fabricando-os ou
alterando-os: § 1º - Incorre nas mesmas penas: I - quem faz uso do selo ou
sinal falsificado; II - quem utiliza indevidamente o selo ou sinal verdadeiro em
prejuízo de outrem ou em proveito próprio ou alheio; III - quem altera, falsifica
ou faz uso indevido de marcas, logotipos, siglas ou quaisquer outros símbolos
utilizados ou identificadores de órgãos ou entidades da Administração
Pública.);
- Falsificação de documento público (art. 297- Falsificar, no todo ou em
parte, documento público, ou alterar documento público verdadeiro.);
- Violação de sigilo funcional (art. 325, §§ 1º e 2º, CP - Revelar fato de
que tem ciência em razão do cargo e que deva permanecer em segredo, ou
facilitar-lhe a revelação: § 1o Nas mesmas penas deste artigo incorre quem: I –
permite ou facilita, mediante atribuição, fornecimento e empréstimo de senha
ou qualquer outra forma, o acesso de pessoas não autorizadas a sistemas de
informações ou banco de dados da Administração Pública; II – se utiliza,
indevidamente, do acesso restrito. § 2o Se da ação ou omissão resulta dano à
Administração Pública ou a outrem.).
- Estelionato qualificado (art. 171, §3º, do Código Penal - Obter, para si
ou para outrem, vantagem ilícita, em prejuízo alheio, induzindo ou mantendo
alguém em erro, mediante artifício, ardil, ou qualquer outro meio fraudulento: §
3º - A pena aumenta-se de um terço, se o crime é cometido em detrimento de
entidade de direito público ou de instituto de economia popular, assistência
social ou beneficência.).
As fraudes combatidas ao longo dos anos pelo MPS e derivadas de
incidentes computacionais sofridos pelo Cadastro Nacional de Informações
Sociais têm como consequência principal: o aumento do déficit do INSS, e,
subsidiariamente, facilitação à fraude contra o patrimônio do INSS, pressão
social perante os gestores do INSS, concessão irregulares de benefícios,
aumento de demandas judiciais, pressão social sobre os servidores do INSS,
porque seu indeferimento não é aceito pela parte indeferida pelo conhecimento
de pessoas que não tem direito a benefícios, mas recebem, entre outros.
5. As principais consequências dos incidentes de segurança
computacional no CNIS com relação ao sistema de Benefício
do INSS.
Este capítulo apresenta as principais consequências dos incidentes
computacionais no CNIS que afetam diretamente o sistema de concessão de
benefício do INSS.
Os incidentes levantados, nesse estudo, podem ser definidos como reais
(aqueles que estão em vias de ocorrer ou ocorrendo) e potenciais (aqueles
com diferentes probabilidades de efetivação).
Partindo-se do pressuposto do diagnóstico que fizemos, nesse estudo,
os incidentes no sistema CNIS, proporcionam tanto riscos reais, uma vez que
ocorrem a materialização dos incidentes nos sistemas de benefícios do INSS,
quanto riscos potenciais, pois o INSS ainda está engatinhando em políticas da
Segurança da Informação e se não adotadas poderão cada vez mais se
efetivar os riscos de incidentes computacionais no SISBEN.
Tendo-se como verdadeira a expressão, “risco é sinônimo de incidente
computacional”, apesar do INSS estar tomando algumas providências com
relação à SIC, notamos que falta uma preocupação básica da alta gestão do
INSS
que deveria voltar-se inicialmente para a elaboração de medidas de
controle direcionadas ao ambiente interno, onde na maioria das vezes as
perdas derivam de estratégias inadequadas, de uma administração mal
conduzida, ou de um quadro técnico deficiente, no que concerne à política de
segurança da informação e comunicação.
Há também que tomar providências com os fatores externos, esses
facilitam os incidentes de segurança computacional no CNIS e por
consequência no SISBEM, pois a norma 04/IN01/DSIC/GSIPR nos ensina que
ameaça é o conjunto de fatores externos ou causa potencial de um incidente
indesejado, que pode resultar em dano para um sistema ou organização.
A política de SIC não pode ser tomada apenas pelos reflexos imediatos,
sem uma ordenação, sem uma determinação da cúpula administrativa do
INSS, e com pouco envolvimento do seu corpo funcional, a ABNT NBR
ISO/IEC 27002:2005 (p. ix) subscreve que a Segurança da Informação visa a
proteger uma organização de diversos tipos de ameaças, buscando entre
outros aspectos minimizar os danos.
É nesse sentido, que o Decreto nº 3505 de 2000, nos informa que
Segurança da Informação é a “Proteção dos sistemas de informação contra a
negação de serviço a usuários autorizados, assim como contra a intrusão, e a
modificação desautorizada de dados ou informações, armazenados, em
processamento ou em trânsito, abrangendo, inclusive, a segurança dos
recursos humanos, da documentação e do material, das áreas e instalações
das comunicações e computacional, assim como as destinadas a prevenir,
detectar, deter e documentar eventuais ameaças a seu desenvolvimento.”
Por fim a IN do GSI/PR nº 1, de 13 de junho de 2008, que é a base de
toda a SIC para a APF, grifa que Segurança da Informação e Comunicações:
são ações que objetivam viabilizar e assegurar a disponibilidade, a integridade,
a confidencialidade e a autenticidade das informações.
A falta ou a pouca clarividência de uma Política de Segurança da
Informação dificulta uma respostas aos incidentes de segurança computacional
que exige uma metodologia organizada para gerir consequências a uma
violação num sistema computacional que proteja algum ativo de informação de
uma determinada organização. O principal objetivo do processo de resposta a
incidentes de segurança é minimizar o impacto de um incidente e permitir o
restabelecimento dos sistemas o mais rápido possível.
Foi notado nesse estudo que os incidentes identificados: inclusão de
vínculo empregatício; alteração da Remuneração está ligada a prejuízo
patrimonial do INSS e por consequência, por se tratar de uma autarquia
pública, um prejuízo para sociedade brasileira.
Sempre o incidente trará um dano para organização, como subscreve a
norma 06/IN01/DSIC/GSIPR que incidente é evento que tenha causado algum
dano, colocado em risco, algum ativo de informação crítico ou interrompido a
execução de alguma atividade crítica por um período de tempo inferior ao
tempo objetivo de recuperação.
É importante que o INSS entenda que gerir incidentes é evitar prejuízo e
diminuir fragilidades sistêmicas, é dar mais segurança aos seus clientes interno
e externo como bem patrocina a ABNT NBR ISO/IEC 27002:2005 (p.98) que a
Gestão de incidentes de segurança da informação tem como objetivo
assegurar fragilidades e eventos de segurança da informação, associados com
sistemas de informação sejam comunicados, permitindo a tomada de ação
corretiva em tempo hábil.
Portanto é a política da sergurança da informação que define um plano
de resposta a incidente identificando as etapas do processo que devem ser
seguidos quando um incidente ocorrer.
O tratamento de incidentes são norteados por princípios que segundo
os autores Kenneth Wyk e Richard Forno [Kenneth R. Wyk 2001], o processo
de resposta a incidentes de segurancça deve possuir cinco etapas:
identificação, coordenação, mitigacão, investigação educação.
Na Identificação o INSS, peca por seu sistema de idetificação a ações
adversas ao sistema CNIS, ainda embrionário, essa identificação se dá através
de processos reativos, como após a detecção de determinada fraude contra o
INSS verifica-se a exestências de vulnerabilidades que contribuiram para o
incidente computacional.
Na área de Coordenação, o responsável por identificar a existência de
um incidente e suas consequências, também está iniciando como processo,
não havendo uma coordenação especializada para identificar os incidentes
ocorridos no CNIS, sendo pulverizada tanto no Ministério da Previdência
Social, como no órgão executório o INSS.
Com relação a
Mitigacão, tem como o objetivo isolar o problema e
determinar a extensão dos danos , evitar a propagação como implementar
soluções temporárias, o INSS está buscando mecanismo para cumprir essa
parte, porém as mitigações são feitas posterior, como exemplo as auditoria
realizada em benefícios, que buscam a mitigar as ações adversas sofriada pelo
CNIS.
A Investigação que é a etapa que deveria ter uma equipe de tratamento
concentrada em coletar e analisar as evidências do incidente de segurança,
está a quem do necessário, geralmente, é feita após uma atiivdade de
auditoria, monitoramento, ou ainda, operações em parceria do MPS com o
DPF, assim que é identificado as irregularidades procura-se encaminhar ao
setor responsável para as devidas providências.
Com relação a
Educação que consiste em avaliar o processo de
tratamento de incidentes e verificar a eficácia das soluções implementadas,
está em fase inicial, sem um resultado amadurecido e palpável. Mesmo assim
o INSS vem buscando meios para combater os incidentes.
O INSS vem implantando inovações nos processos gerenciais, em
sistemas corporativos, nos recursos humanos entre outros, com intuito geral,
servido indiretamente como resposta aos incidentes computacionais, verificado
nesse estudo. Dentre as inovações estão:
•
Recursos humanos
O estoque de conhecimento de uma organização é importante para o
processo de combate aos incidentes computacionais com isso o INSS vem
investindo no nível de conhecimento das pessoas seja no âmbito técnico para
fazer com que as pessoas aumentem sua percepção.
•
Ouvidoria
A Ouvidoria do Ministério da Previdência Social foi criada como
instrumento de melhoria da qualidade dos serviços previdenciários geridos pela
previdência social brasileira.
O início de suas operações começou em
20/08/98, após alteração da Lei 8.213/91. Esse novo canal proporcionou ao
cidadão livre acesso, mediante contato pelas Centrais de Atendimento (135),
ou através de cartas, fax e internet, para apresentar suas reclamações, críticas,
sugestões, elogios e denúncias relativos à prestação dos serviços no âmbito
previdenciário público. A Ouvidoria veio imprimir transparências aos processos
internos, resgatar a credibilidade, através do respeito às demandas da
sociedade. O contato permanente com o cidadão através da Ouvidoria tem
facilitado os diagnósticos gerenciais e tem norteado as decisões estruturais
adotadas pela Alta Direção do INSS.
•
Certificação digital
No ano de 2009, o INSS passou a conceder a aposentadoria por idade
a trabalhadores urbanos em apenas 30 minutos. Essa liberação mais rápida do
benefício foi determinada pelo Decreto 6722/08, publicado no Diário Oficial da
União no dia 31 de dezembro de 2008, foi viabilizada pela base de dados do
CNIS que foi certificada digitalmente.
Até o fim de 2008, a metodologia de concessão de benefício utilizada
era mais demorada porque os servidores do instituto tinham de conferir todas
as informações sobre os vínculos empregatícios e contribuições. Com o
decreto já em vigor, o processo de checagem dos dados não sofreu alteração,
mas foi agilizado pelo sistema que permite o reconhecimento dos direitos de
forma automática. Com isso, o cidadão não precisa mais, a não ser no caso de
divergência, levar vários documentos, isso vem contribuindo para diminuir
incidentes computacionais que tem como causa principal falsidade em
documentos, já que o servidor da previdência não é treinado para verificar se
um documento tem indícios de fraude.
•
Combate ao Crime Previdenciário
A APEGR é o órgão de inteligência do Ministério da Previdência Social
atuando em 23 estados e no Distrito Federal e suas ações se baseiam em
procedimentos técnicos de inteligência e de análise de riscos, com objetivo de
apurar
ações
ilícitas
organizadas
e
produzir
conhecimentos
sobre
determinados fatos ou situações que possam trazer prejuízos ao patrimônio
previdenciário, com a finalidade de responsabilizar os autores, bem como
assessorar na gestão de riscos (Art. 1º, Portaria nº. 350, de 22/08/2006).
Foi através do combate previdenciário que foi possível enxergar os
primeiros indícios de incidentes computacionais aqui identificados, além disso,
se quantificou monetariamente demonstrando que a falta de um tratamento ou
o tratamento inadequado nos incidentes computacionais ocorrido contra o
sistema de Cadastro Nacional de Informações Sociais implicará além da perda
de confiabilidade, integridade e autenticidade de suas informações nos
sistemas de concessão de benefícios previdenciários, acarreta prejuízo ao seu
patrimônio.
6 Conclusões
Este capítulo apresenta as conclusões resultantes do estudo de caso
sobre a análise e identificação dos principais incidentes computacionais no
CNIS e sua repercussão para o sistema de benefício do INSS.
6.1 Conclusão
.O presente estudo de caso alcançou o objetivo geral proposto que foi
identificar e analisar os principais incidentes de segurança computacional no
Cadastro Nacional de Informações Sociais e suas principais consequências
para o Sistema de Benefício do INSS.
Nessa investigação foi descoberta que não há uma definição de
processos para tratamento de incidentes computacionais no CNIS.
Nesse cenário estudado, foi possível confirmar nossa hipótese que a
falta de um tratamento ou o tratamento inadequado nos incidentes
computacionais ocorrido contra o sistema de Cadastro Nacional de
Informações Sociais implicará na perda de confiabilidade, integridade e
autenticidade
de
suas
informações
por
consequência
alimentará
inadequadamente com essas informações os sistemas de concessão de
benefícios previdenciários deixando vulnerável a segurança da informação e
comunicações no processo de concessão de benefícios executado pelo INSS.
Os incidentes computacionais identificados no CNIS e que tem
consequência direta na concessão de benefícios do INSS é resultado de
facilidades encontradas nos controles da instituição como a falta de Política de
segurança da informação, servidores sem capacitação adequada, entre outros.
Há de se compreender que o CNIS não sofre apenas uma ação isolada,
mas
todo
um
conjunto
de
ações
que
se
imputam
em
incidentes
computacionais, tem consequência direta na concessão de benefícios
previdenciário do INSS, essas ações, que pode ser criminosas, éticas, morais
penalizam em primeiro lugar os clientes que precisam dos serviços do INSS e
de forma indireta a sociedade brasileira.
Portanto
faz
necessário
implantar
o
tratamento
de
incidentes
computacionais e no caso do nosso estudo se der uma atenção para o
Cadastro Nacional de Informações Sociais, que é a base das informações da
concessão de benefícios do INSS.
Referências e Fontes Consultadas
ABNT - ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS. Tecnologia da
informação - Técnicas de segurança - Sistemas de gestão de segurança
da informação - Requisitos: ABNT NBR ISO/IEC 27001:2006. 1a. ed. Rio
de Janeiro, 2006.
BEAL, Adriana. Segurança da informação: princípios e melhores práticas para
a proteção dos ativos de informação nas organizações. 1. Ed. São Paulo –
SP: Atlas, 2008.
BRASIL. Decreto No. 3.505, de 13 de junho de 2000 : Institui a política de
segurança da informação nos órgãos e entidades da administração
pública
federal.
Brasília,
<http:www:planalto:gov:br/ccivil
2000.
Disponível
03/decreto/D3505:htm>.
Acesso
em:
em:
Agosto de 2009.
COSTA, E. O. Gestão de Riscos. Campus Universitário Darcy Ribeiro. Instituto
Central de Ciências, Janeiro 2008. 15 p. Notas de Aula desenvolvidas no
âmbito do Programa de Pesquisas e Formação de Especialistas para a
Elaboração da Doutrina Nacional de Gestão da Segurança da Informação
e Comunicações.
DEPARTAMENTO DE SEGURANÇA DA INFORMAÇÃO E COMUNICAÇÕES
DO GSIPR. Norma Complementar 01/IN01/DSIC/GSIPR, de 13 de
outubro de 2009 : Metodologia de gestão de segurança da informação e
comunicações.
Brasília,
outubro
2008.
Disponível
em:
<http://dsic.planalto.gov.br>. Acesso em: Maio de 2011.
DEPARTAMENTO DE SEGURANÇA DA INFORMAÇÃO E COMUNICAÇÕES
DO GSIPR. Norma Complementar 05/IN01/DSIC/GSIPR, de 14 de agosto
de 2009 : Criação de equipes de tratamento e resposta a incidentes em
redes computacionais - etir. Brasília, agosto 2009. Disponível em:
<http://dsic.planalto.gov.br>. Acesso em: Novembro de 2010.
DEPARTAMENTO DE SEGURANÇA DA INFORMAÇÃO E COMUNICAÇÕES
DO GSIPR. Norma Complementar 08/IN01/DSIC/GSIPR, de 19 de agosto
de 2010 : Gestão de etir: Diretrizes para gerenciamento de incidentes em
redes computacionais nos órgãos e entidades da administração pública
federal. Brasília, agosto 2010. Disponível em: <http://dsic.planalto.gov.br>.
Acesso em: Novembro de 2010.
FERNANDES, Jorge Henrique Cabral (org.). Gestão da segurança da
informação e comunicações. Volume 1. Brasília: Faculdade de Ciência da
Informação, 2010. 113 p. ISBN 978-85-88130-08-1.
FERNANDES, Jorge Henrique Cabral. Protocolo de Estudo de Caso: Sistemas
de Informação de Missão Crítica em Organizações da Administração
Pública Federal: Sistemas, Informação e Comunicação. Programa de
Formação de Especialistas para a Elaboração da Metodologia Brasileira
de Gestão de Segurança da Informação e Comunicações - PFEMBGSIC.
Curso de Especialização em Gestão da Segurança da Informação e
Comunicações: 2009/2011. Departamento de Ciências da Computação da
Universidade de Brasília. 2010. 17 p.
GABINETE DE SEGURANÇA INSTITUCIONAL DA PRESIDÊNCIA DA
REPÚBLICA. Instrução Normativa GSI No. 1, de 13 de junho de 2008 :
Disciplina a gestão de segurança da informação e comunicações na
administração pública federal, direta e indireta, e dá outras providências.
Brasília, junho 2008. Publicada no DOU No. 115, de 18 Jun 2008 – Seção
1. Disponível em: <http://dsic.planalto.gov.br/legislacaodsic>. Acesso em:
Agosto de 2009.
GONDIM, João José Costa. Tratamento de Incidentes de Segurança: GSIC651
(Notas de Aula). Curso de Especialização em Gestão da Segurança da
Informação e Comunicações: 2009/2011. Departamento de Ciências da
Computação da Universidade de Brasília. 2010. 23 p.
MALTA, T. V. Direito na Sociedade da Informação. Campus Universitário Darcy
Ribeiro. Instituto Central de Ciências, Dezembro 2007. 50 p. Notas de
Aula desenvolvidas no âmbito do Programa de Pesquisas e Formação de
Especialistas para a Elaboração da Doutrina Nacional de Gestão da
Segurança da Informação e Comunicações.
MARTINS, M. C. T. Análise e Solução Preliminar para Problemas de
Segurança da Informação na Advocacia-Geral da União. [S.l.], 6 2009.
Monografia de Conclusão de Curso (Especialização) - Departamento de
Ciência da Computação, Instituto de Ciências Exatas, Universidade de
Brasília.
YIN, R. K. Estudo de Caso: Planejamento e Métodos. 2. ed. Porto Alegre:
Bookman. 2001.