Toda empresa que se preocupa com a Segurança da Informação tem uma Política – Conjunto de Regras – publicada. E o Brasil, como País, tem alguma Política Nacional de Segurança da Informação?

Uma política de segurança da informação é um conjunto de regras e diretrizes dentro de uma empresa que estabelecem como os colaboradores devem agir para que as informações sejam protegidas, garantindo sua confidencialidade, integridade e disponibilidade.

Uma Política de Segurança da Informação, ou PSI, é um manual que orienta as ações necessárias para proteger os dados contra ameaças e garantir a segurança da organização

Veja também: Exemplo de Política da Segurança da Informação

Como podemos ver acima, toda empresa que se preocupa com a segurança das informações por ela tratadas possui um documento com regras e controles (uma política) que é publicado internamente e para o público ou clientes. Mas, quanto ao Brasil, há alguma Política de Segurança da Informação? Algo Nacional?

Talvez você se interesse em: LGPD: Diferença entre Controlador e Operador de Dados Pessoais(DP)

A resposta para essa questão é sim, há e não é algo recente; Por mais que você não saiba, sempre houve indícios de preocupação com a segurança da informação tratada em território nacional brasileiro.

Recentemente temos a LGPD, mas bem antes disso, lá em 1991 já havia início sobre como os dados seriam tratados no Brasil.

História do Brasil em relação a uma Política Nacional de Segurança da Informação

Vamos contar história real para entendermos fatos importantes sobre a política de segurança da informação no Brasil, que fortalece a cultura de segurança da informação na sociedade brasileira.

Lei nº 8.159, de 8 de janeiro de 1991 (BRASIL, 1991)

Dispõe sobre a política nacional de arquivos públicos e privados e providências, e foi sancionada pelo presidente Fernando Collor de Melo. Porém, a lei ainda não era a política de segurança da informação do país. Não continha a estrutura sobre a proteção das informações nacionais.

Decreto nº 2.910 de 29 de Dezembro de 1998

Não era ainda uma política de segurança da informação, mas já dava indícios de classificação da informação, pois atribuía, na seção II da Lei, o conceito de 27 Documento Sigiloso Controlado ou DSC e, no capítulo III, os conceitos de segurança das comunicações e dos sistemas de informação.

Esse Decreto nº 2.910, de 29 de dezembro de 1998, que foi sancionada pelo então presidente Fernando Henrique Cardoso, estabelecia normas para a salvaguarda de documentos, materiais, áreas, comunicações e sistemas de informação de natureza sigilosa, e dava outras providências.

Decreto nº 3.505, de 13 de junho de 2000 (BRASIL, 2000)

Finalmente, no ano 2000, temos oficialmente a primeira PSI com o decreto nº 3.505, de 13 de junho de 2000 (BRASIL, 2000), promulgado pelo presidente Fernando Henrique Cardoso, que institui a política de segurança da informação nos órgãos e entidades da Administração Pública Federal no Brasil. E no art. 3º, são atribuídos os objetivos da política da informação, sendo:

I – dotar os órgãos e as entidades da Administração Pública Federal de instrumentos jurídicos, normativos e organizacionais que os capacitem científica, tecnológica e administrativamente a
assegurar a confidencialidade, a integridade, a autenticidade, o não repúdio e a disponibilidade dos dados e das informações tratadas, classificadas e sensíveis.

Veja também:  Princípios Fundamentais da Segurança da Informação: Confidencialidade, Integridade e Disponibilidade e O que é Segurança da Informação?

Esse decreto já é mais sólito e robusto que os anteriores. Já se asseguravam os pilares principais da segurança da informação (confidencialidade, integridade e a disponibilidade) e os complementares (autenticidade e não repúdio) em uma política de segurança da informação, como também classificar
as informações e tratá-las.

Decreto nº 9.637, de 26 de dezembro de 2018 (BRASIL, 2018)

E 18 anos depois do Decreto nº 3.505, o presidente Michel Temer promulga o Decreto nº 9.637, de 26 de dezembro de 2018 (BRASIL, 2018), que institui a Política Nacional de Segurança da Informação e, também, dispõe sobre a governança da segurança da informação, alterando todos os decretos anteriores. No capítulo I do decreto, especificamente nos artigos 1º e 2º, é instituído:

Art. 1º Fica instituída a Política Nacional de Segurança da Informação – PNSI, no âmbito da administração pública federal, com a finalidade de assegurar a disponibilidade, a integridade, a
confidencialidade e a autenticidade da informação a nível nacional.

Art. 2º Para os fins do disposto neste Decreto, a segurança da informação abrange: I – a segurança cibernética; II – a defesa cibernética; III – a segurança física e a proteção de dados organizacionais; e IV – as ações destinadas a assegurar a disponibilidade, a integridade, a confidencialidade e a autenticidade da informação.

A Política Nacional de Segurança da Informação dispõe sobre princípios, objetivos, instrumentos, atribuições e competências de segurança da informação para os órgãos e entidades da Administração Pública Federal, sob o prisma da governança, e previu, para sua implementação, a elaboração da Estratégia Nacional de Segurança da Informação e dos Planos Nacionais.

Para proceder à classificação da informação, é necessário fazer o preenchimento do Termo de Classificação de Informação – TCI, conforme Anexo do Decreto 7.724 de 16 de maio de 2012. Dentre
as informações que compõem o citado termo, tem-se o Código de Indexação de Documento que contém Informação Classificada – CIDIC.

Lei Geral de Proteção de Dados Pessoais (LGPD) – LEI Nº 13.709, DE 14 DE AGOSTO DE 2018

A LGPD (Lei Geral de Proteção de Dados) é uma lei que protege os dados pessoais dos cidadãos, estabelecendo regras para a coleta, armazenamento e uso desses dados por empresas e organizações. Ela garante mais controle e segurança para os indivíduos em relação às suas informações pessoais. Ela foi criada em agosto de 2018, por meio da Lei nº 13.709. No entanto, sua entrada em vigor ocorreu em setembro de 2020, após um período de adequação e adaptação das empresas e organizações às suas exigências.

As primeiras linhas da lei a descreve,

Esta Lei dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural.