Efeitos de procedimentos de controles de segurança da informação sobre a conduta de colaboradores : uma análise comportamental

Abstract

O tratamento dos riscos relacionados ao comportamento dos colaboradores nas organizações representa um grande desafio na implantação dos sistemas de gestão da segurança da informação. A principal medida adotada é a definição de políticas de segurança da informação, cuja maioria dos estudos restringe-se aos aspectos formais de sua elaboração ou aborda as ações de conscientização como instrumentos de sua implantação. Nesse trabalho é proposto um novo modelo para tratar esses riscos, calcado no arcabouço teórico e metodológico estabelecido pela análise do comportamento, em especial, a teoria analítico-comportamental do direito, mediante a interpretação dos sistemas de gestão de segurança da informação (SGSIs) como subsistemas sociais funcionalmente especializados. Para aferir a viabilidade dessa proposta, isto é, a análise comportamental dos sistemas de gestão de segurança da informação, foram realizados três estudos. No Estudo 1 foi realizada a análise comportamental da política de segurança da informação (PSI) de um órgão da administração pública federal, em que foram identificadas, descritas e analisadas as contingências planejadas no normativo. Os resultados demonstraram que o enforcement da política está calcado na aplicação de sanções e contribuíram para a identificação de falhas, incoerências e medidas complementares para o controle mais eficaz e eficiente dos comportamentos que violam os requisitos de segurança da informação da organização participante. O Estudo 2 avançou na aplicação desse modelo, mediante a análise comportamental da norma social do SGSI estabelecido na organização participante, enquanto uma rede de padrões comportamentais entrelaçados. Com a sua consecução, foram identificados os principais nós comportamentais, a partir dos quais foram identificadas e analisadas as contingências que de fato estavam vigentes e controlavam comportamentos relevantes para o SGSI. A principal constatação do Estudo 2 foi que, apesar de prevista na PSI, a organização não adota a prática de sancionar as condutas que violam seus requisitos de segurança da informação.

x Ou seja, a PSI instituída dificilmente exerce controle sobre os comportamentos a que se destina. Acerca disso, destaca-se que os resultados do referido estudo corroboraram essa conclusão, pois verificou-se que essa ineficiência, em controlar o comportamento dos colaboradores, levou a organização a investir em medidas complementares para dificultar as condutas que violam seus requisitos de segurança da informação. No mesmo sentido, foi verificado que os incidentes de segurança da informação são, usualmente, prontamente tratados na esfera técnica, o que reduz seus impactos e, consequentemente, a percepção de gravidade pelo restante da organização, fato que reduz a probabilidade de aplicação das sanções previstas pelas autoridades administrativas. Sendo assim, o Estudo 2 também apontou a possibilidade de medidas alternativas com vistas ao controle mais eficiente dos comportamentos que violam a PSI da organização participante. No Estudo 3 buscou-se obter uma visão mais abrangente dos principais achados dos primeiros dois estudos, mediante a aplicação de um questionário junto a 21 diretores de tecnologia da informação de empresas brasileiras. Seus resultados corroboraram os principais achados dos primeiros dois estudos, isto é, que o enforcement das PSIs está calcado na aplicação de sanções, que as empresas não aplicam ou raramente aplicam essas sanções, logo investem em mecanismos de proteção complementares para dificultar a ocorrência de violações de sua PSI e que, nos casos em que esses mecanismos não são suficientes para impedi-las, os incidentes de segurança da informação são prontamente tratados pelas unidades de tecnologia da informação, reduzindo seu efeito aversivo para o restante da organização. Tomados em conjunto, os três estudos demonstraram a viabilidade da interpretação analítico-comportamental dos SGSIs e apontam um novo e promissor caminho para a mitigação dos riscos organizacionais.