AS ENTIDADES COMO VÍTIMA DE SEUS SISTEMAS

Transcrição

1 Segurança da Informação e Riscos Legais AS ENTIDADES COMO VÍTIMA DE SEUS SISTEMAS Al. Joaquim Eugênio de Lima, 680 1º andar São Paulo SP Brasil

2 Introdução INTRODUÇÃO INTRODUÇÃO

3 Introdução Existe legislação específica para o Direito Eletrônico? Internet é um novo território ou apenas um meio de praticar atos jurídicos? Precisamos de legislação específica para tal fim?

4 Legislação - MEDIDA PROVISÓRIA /2001: instituiu a Infra-Estrutura de Chaves Públicas Brasileira. - LEI /2006: Dispõe sobre a informatização do processo judicial. - LEI /2006 (alterou o art. 154 do CPC): comunicação de atos processuais por meio eletrônico. - LEI 8069/1990 (Estatuto da Criança e do Adolescente): tipificou o crime de pornografia infantil por meio de sistema da Internet. - LEI 9.983/2000 (alterou art. 313-A do CP): tipificou o crime de inserção de dados falsos em sistemas de informações. - LEI /2008 (alterou o art. 201 do CPP): comunicação ao ofendido pode ser feita por meio eletrônico.

5 Introdução MEIOS DE INTRODUÇÃO IDENTIFICAÇÃO

6 Provedor de Acesso

7 Portas da Rede 1. A evolução da Internet, como ocorre com o desenvolvimento de qualquer inovação tecnológica, provocou uma transformação no estudo das normas jurídicas, formando o que se pode denominar de direito digital ou direito da informática, que tem o desafio de equilibrar a delicada balança em que se pesa o interesse econômico, a proteção da privacidade e o anonimato. 2. Os hackers são indivíduos que entram num sistema de informática, quebrando sistemas de segurança, para causar danos. 3. A discussão do tema segurança na rede envolve a discussão de dois assuntos polêmicos: anonimato e privacidade. 4. O direito à privacidade constitui um admite natural ao direito à informação. 5. O direito ao anonimato constitui um dificultador dos mecanismos de segurança em ambiente virtual. 6. Incentivar a clandestinidade na rede significa torná-la um mundo em que ninguém é obrigado a nada, nem responsável por nada. 7. OS PROVEDORES, COMO PORTAS DE ENTRADA E SAÍDA DA REDE, SÃO OS QUE TÊM POSSIBILIDADE DE AVERIGUAR OS DADOS DOS INTERNAUTAS QUE SEJAM SEUS CLIENTES, PROPICIANDO QUE SE INVESTIGUE A PRÁTICA DE ATOS IRREGULARES. 8. Desprovimento ao Agravo de Instrumento. (TJRJ, 8ª Câmara Cível, AI n.º , Des. Letícia Sardas)

8 Direitos Fundamentais Art. 5º Todos são iguais perante a lei, sem distinção de qualquer natureza, garantindo-se aos brasileiros e aos estrangeiros residentes no País a inviolabilidade do direito à vida, à liberdade, à igualdade, à segurança e à propriedade, nos termos seguintes: IV - é livre a manifestação do pensamento, sendo vedado o anonimato; X - são invioláveis a intimidade, a vida privada, a honra e a imagem m das pessoas, assegurado o direito a indenização pelo dano material ou moral decorrente de sua violação; XII - é inviolável o sigilo da correspondência e das comunicações telegráficas, de dados e das comunicações telefônicas, salvo, no último caso, por ordem judicial, nas hipóteses e na forma que a lei estabelecer er para fins de investigação criminal ou instrução processual penal; XXII - é garantido o direito de propriedade;

9 Introdução PROVAS INTRODUÇÃO

10 PROVA ELETRÔNICA Código de Processo Civil Art Todos os meios legais, bem como os moralmente legítimos, ainda que não especificados neste Código são hábeis para provar a verdade dos fatos em que se funda a ação ou a defesa. Impressão? Print Screen? Senha? HD? Perícia?

11 PROVA IMPRESSÃO Na fls. 11 dos autos foi juntada impressão de uma página do site norte-americano com a entrada para o serviço de hospedagem de páginas de usuários chamada geocities.. Porém, nessa impressão não consta nenhuma evidência de uma página que difamou o autor lá inserida. Nas fls. 13 a 29 há impressão do que seria, segundo o autor, o conteúdo da dita página, chamada Cafajestes Home Page. Porém no canto inferior esquerdo está o endereço eletrônico, que não é da Internet, pois assim consta: file://c:\cjb CJB\CafejesteHomeCafejesteHome Page_arquivos\index index.htlm. É de conhecimento de todos que usam computadores e estão com eles um pouco familizarizados que a letra C no início significa que o endereço do arquivo é na unidade C do computador, ou seja, o disco d rígido. Assim não há prova alguma que algum dia existiu um site na internet que publicou o conteúdo impresso pelo autor. (TJRS)

12 PROVA SENHA RESPONSABILIDADE CIVIL. DANO MORAL. DIVULGAÇÃO DE CORRESPONDÊNCIA ELETRÔNICA ( ) COM CONTEÚDO OFENSIVO À HONRA. Oficiada, a Companhia de Processamento de Dados do Município de Porto Alegre (PROCEMPA), responsável pelo servidor utilizado, informou que tal endereço eletrônico estava registrado sob a titularidade do A.L.M. (fl. 115). O requerido, aliás, não negou que o endereço lhe pertencia, não obstante alegasse a inexistência de prova de que enviou o . ORA, SABIDAMENTE, PARA ACESSAR À CONTA, ERA NECESSÁRIO INFORMAR UMA SENHA, A QUAL DEVE SER CONHECIDA APENAS DO USUÁRIO. Do contrário, não haveria razão para sua existência. Então, nas circunstâncias, o enviado é suficiente para comprovar o dano moral e sua autoria. Em seu apelo, o réu sugere que a mensagem eletrônica não se originou de sua conta. Para tanto, à vista de todas as evidências constantes dos autos, era necessário que tivesse sido vítima de fraude. De qualquer modo, por se tratar de prova extintiva do direito do autor, ao requerido competia sua produção, nos termos do art. 333, II, do CPC. (TJRS)

13 PROVA ORKUT Com razão. Não há controvérsia em que o empregado, operando máquina instalada na biblioteca, mediante solicitação dos alunos, procedia na cópia reduzida de subsídio didático passado por professores, de resto providenciando no alcance de material plastificante à confecção de cola destinada a fraudar exames escolares. Inverossímil alegação de que desconhecesse a finalidade por que, reiteradas vezes, eram-lhe requisitadas a redução das cópias e o material plastificante, tanto assim que, fruto de sua atuação, viu-se homenageado por estudantes com a CRIAÇÃO DA COMUNIDADE AMIGOS DO SEU ADEMIR, NO SITE ORKUT, de concorrido acesso na internet (fl. 31). Aos mais de 500 membros da referida comunidade, na fl. 40, assim se dirige o empregado, verbis: : Oi galera! Agora tenho minha página no orkut.. Peço que vocês entrem, porque se eu tiver de ir atrás de cada um vai levar muito tempo. Valeu, um grande abraço para todos. (...) Dentre outros, são exemplos desses depoimentos, mediante veiculação na referida página da internet. (TRT 4ª R)

14 Prova Dados Pretende a autora, por intermédio da presente medida cautelar, a busca e apreensão de dados e informações confidenciais e sigilosas necessárias ao desenvolvimento da sua atividade indevidamente transmitidas pelo requerido para terceiros. E após uma análise dos documentos acostados aos autos, se verifica que se encontram presentes os requisitos para a concessão da medida pleiteada inaudita altera pars. (...) ADEMAIS, DEVE SER CONSIDERADO QUE A CITAÇÃO DO RÉU PODERIA LEVAR AO PERECIMENTO DO DIREITO MEDIANTE A EXCLUSÃO DOS DADOS CONTIDOS EM SEUS COMPUTADORES. SENDO ASSIM DEFIRO O PEDIDO LIMINAR FORMULADO, PARA DETERMINAR A REALIZAÇÃO DE CÓPIA DO CONTEÚDO DOS DADOS CONTIDOS NOS COMPUTADORES DA RESIDÊNCIA DO RÉU RELACIONADOS ÀS INFORMAÇÕES CONFIDENCIAIS DA AUTORA, com o seu posterior acautelamento em cartório. (30ª Vara Cível do Rio de Janeiro/RJ)

15 SEGURANÇA DA SEGURANÇA Introdução DA INTRODUÇÃO INFORMAÇÃO

16 Cases Segurança da Informação - INDÚSTRIA CERVEJEIRA: desvio de fórmulas por ; - EMPRESA DE CURRÍCULOS: captura de bases de dados através da Internet; - CLÍNICA MÉDICA: cópia de banco de dados de pacientes; - BANCO: empregado de terceirizada divulga login e senhas de acesso ao servidor; - ESCRITÓRIO DE ADVOCACIA: falha em computador expõe histórico criminal de clientes (Canadá - direito comparado).

17 RESPONSABILIDADE CIVIL CULPA: in eligendo; in viligando; in omittendo; in contraendo CÓDIGO CIVIL: Art São também responsáveis pela reparação civil: III o empregador ou comitente, por seus empregados, serviçais e prepostos, no exercício do trabalho que lhes competir, ou em razão dele; (responde objetivamente pelos danos causados, independentemente de culpa) Art. 933 As pessoas indicadas nos incisos I a V do artigo antecedente, ainda que não haja culpa, responderão pelos atos praticados pelos terceiros ali referidos.

18 SUPERIOR HIERÁRQUICO (...) DANO MORAL. CONFIGURAÇÃO. ALCANCE. EFEITOS. Assevera o reclamante por fim, a ocorrência de ofensa moral perpetrada por superior hierárquico, mais precisamente pelo Supervisor Sr. XXXXXX, QUE RESPONDENDO A UM ENVIADO PELO AUTOR, PROMOVEU TRATAMENTO RACISTA E DISCRIMINATÓRIO POR SER NEGRO, EXPONDO- O VEXATORIAMENTE PERANTE A COLEGAS (...) Contrariamente a narrativa da reclamada, IMPOSSÍVEL AFASTAR-LHE A RESPONSABILIDADE LESIVA POR ATOS PRATICADOS POR SEUS AGENTES LABORISTAS ao argumento de vinculação à pessoa física do ofensor em face da pessoa física do ofendido como pretendido (...) Como se já não bastasse, o próprio comando diretivo, organizacional e disciplinar ínsitos ao empregador que denotam a obrigação patronal do comando e fiscalização laborativa e, por óbvio, do ambiente de trabalho, respeito funcional e da pessoa humana dos trabalhadores que estão sob seu comando subordinativo e de fiscalização, por si só, JÁ DENOTAM A RESPONSABILIDADE DO EMPREGADOR POR ATOS PRATICADOS POR SEUS AGENTES (...) Assim, e dada a condição vexatória e humilhante à condição humana e da dignidade do autor naquele ambiente laborativo decorrente do ato discriminatório já elencado e ainda, o sofrimento individual constrangedor que foi submetido o autor, com afetação íntima de sua condição profissional e pessoal, observado porém, o limite temporal da ocorrência, repercussão gerada naquele ambiente de trabalho confessada no depoimento pessoal do preposto e envio de cópia do de fls. 50 a outros empregados descrito no próprio documento, a dimensão empresarial da reclamada majorando a obrigação fiscalizadora e inibitória de tais atos, abrangência subjetiva da afetação e por fim, o caráter pedagógico e punitivo reparador, fixo em R$ ,00 o valor da indenização a ser paga pela reclamada em favor do autor a título de danos morais. (...) (TRT 10ª Região)

19 VÍDEO NA INTERNET

20 CONEXÃO WIRELESS

21 REDES SOCIAIS

22 QUESTÕES TRABALHISTAS

23 JUSTA CAUSA Consolidação das Leis do Trabalho Art Constituem justa causa para rescisão do contrato de trabalho pelo empregador: b) Incontinência de conduta ou mau procedimento; (incontinência de conduta = questões sexuais / mau procedimento = ato faltoso que não pode ser enquadrado nas demais alíneas) c) Negociação habitual por conta própria ou alheia sem permissão do empregador, e quando constituir ato de concorrência à empresa para a qual trabalha o empregado, ou for prejudicial ao serviço; g) Violação de segredo da empresa; i) Desídia no desempenho das respectivas funções; (negligência, preguiça, má vontade, displicência, desinteresse, relaxamento

24 MONITORAMENTO 1. O art. 5º, XII, da CF garante, entre outras, a inviolabilidade do sigilo da correspondência e da comunicação de dados. 2. A natureza da correspondência e da comunicação de dados é elemento que matiza e limita a garantia constitucional, em face da finalidade da norma:preservar o sigilo da correspondência manuscrita, impressa ou eletrônica da pessoa física ou jurídica diante de terceiros. 3. Ora, se o meio de comunicação é o institucional da pessoa jurídica, não há de se falar em violação do sigilo de correspondência, seja impressa ou eletrônica, pela própria empresa, uma vez que, em princípio, o conteúdo deve ou pode ser conhecido por ela. 4. Assim, se o é fornecido pela empresa, como instrumento de trabalho, não há impedimento a que a empresa a ele tenha acesso, para verificar se está sendo utilizado adequadamente. (...) SE O TRABALHADOR QUISER SIGILO GARANTIDO, NADA MAIS FÁCIL DO QUE CRIAR SEU ENDEREÇO ELETRÔNICO PESSOAL, DE FORMA GRATUITA, COMO SE DÁ COM O SISTEMA GMAIL DO GOOGLE, DE ACESSO UNIVERSAL. 5. Portanto, não há dano moral a ser indenizado, em se tratando de verificação, por parte da empresa, do conteúdo do correio eletrônico do empregado, quando corporativo, havendo suspeita de divulgação de material pornográfico, como no caso dos autos. (TST)

25 Dicas para Política de SI: QUESTÕES TRABALHISTAS Regulamento que afaste expectativa de privacidade (RISI); Termo de uso - ciência do empregado quanto à monitoração (TUSI); POP-UPS e login; Treinamento e conscientização do usuário.

26 DISCLAIMER

27 MESSENGER?

28 DIR. COMPARADO New Jersey Supreme Court: Blakley x Continental Airlines (2000): o empregador tem o DEVER de monitorar se há suspeita da divulgação de mensagens difamatórias no ambiente de trabalho, sob pena de responsabilidade CORREO ELECTRONICO. E laboral. Uso particular. Importancia como herramienta de trabajo. Privacidad. Necesidad de políticas claras sobre su utilización.. DESPIDO CON CAUSA. Improcedencia (Causa 15198/2001 S )

29 RISI E TUSI Implementação: (I) Regulamento Interno de Segurança da Informação (RISI) - atribuir responsabilidades, direitos e expectativas de acesso, penalidades, e criar cultura de proteção aos sistemas; (II) Termos de Uso de Sistemas da Informação (TUSI) - legitimar o controle de atividades, e outras considerações visando reforçar a inexistência de expectativa de privacidade.

30 Introdução CRIMES INTRODUÇÃO ELETRÔNICOS

31 Aspectos Criminais

32 SEGREDOS Divulgação de Segredo Profissional CP, Art Revelar alguém, sem justa causa, segredo, de que tem ciência em razão de função,, ministério, ofício ou profissão, e cuja revelação possa produzir dano a outrem: ( a proteção inclui também o segredo oral e até mesmo o segredo deduzido e não apenas o contido em documento dano pode ser não só econômico como moral também) Pena - detenção, de 3 (três) meses a 1 (um) ano, ou multa. SENHA = SEGREDO?

33 CRIMES HONRA DOS CRIMES CONTRA A LIBERDADE INDIVIDUAL E HONRA CP, Art. 147 Ameaça: Violência moral, destinada a perturbar a liberdade psíquica e a tranqüilidade da vítima, pela intimidação ou promessa de causar a alguém, futura ou imediatamente, mal relevante e injusto (Luiz Regis Prado). CP, Art. 138 Calúnia: : Imputar falsamente a alguém fato definido como crime Chegar a conhecimento de terceiro (6 meses a 2 anos); CP, Art. 139 Difamação: Desacreditar publicamente uma pessoa, maculando-lhe lhe a reputação Chegar ao conhecimento de terceiro (3 meses a 1 ano); CP, Art. 140 Injúria: : Ofensa à dignidade ou decoro de alguém Arranca o conceito que a vítima tem de si mesma Independe da ciência de terceiro (1 a 6 meses). Internet Muito Comum Deixa Vestígio

34 Lei 11829/08 HONRA

35 PORNOGRAFIA INFANTIL Alterado pela Lei 11829/08 Art. 241-A. Oferecer, trocar, disponibilizar, transmitir, distribuir, publicar ou divulgar por qualquer meio, inclusive por meio de sistema de informática ou telemático, fotografia, vídeo ou outro registro que contenha cena a de sexo explícito ou pornográfica envolvendo criança ou adolescente: Pena reclusão, de 3 (três) a 6 (seis) anos, e multa. 1o1 Nas mesmas penas incorre quem: I assegura os meios ou serviços para o armazenamento das fotografias, cenas ou imagens de que trata o caput deste artigo; II assegura, por qualquer meio, o acesso por rede de computadores às fotografias, cenas ou imagens de que trata o caput deste artigo. 2o2 As condutas tipificadas nos incisos I e II do 1o1 deste artigo são puníveis quando o responsável legal pela prestação do serviço, oficialmente o notificado, deixa de desabilitar o acesso ao conteúdo ilícito de que trata o caput deste artigo.

36 Crianças virtuais?

37 RACISMO Racismo - Lei nº 7.716/89 Art. 1º Serão punidos, na forma desta lei, os crimes resultantes de discriminação ou preconceito de raça, cor, etnia, religião ou procedência nacional.

38 TRÁFICO DE DROGAS Tóxicos - Lei n.º 6.368/76 Tráfico Art. 12. Importar ou exportar, remeter, preparar, produzir, fabricar, adquirir, vender, expor à venda ou oferecer, fornecer ainda que gratuitamente, ter em depósito, transportar, trazer consigo, guardar, prescrever, ministrar ou entregar, de qualquer forma, a consumo substância entorpecente ou que determine dependência física ou psíquica, sem autorização ou em desacordo com determinação legal ou regulamentar;

39 TRÁFICO DE DROGAS

40 PROPRIEDADE INDUSTRIAL Propriedade Industrial Lei 9279/96 Art Comete concorrência desleal quem: Falsa afirmação contra concorrente; Meio fraudulento para desvio de clientela; Uso de expressão ou sinal alheio q induz confusão Uso de nome comercial ou título Informações / dados confidenciais que não sejam de conhecimento público

41 LINKS PATROCINADOS

42 PIRATARIA Software Lei 9609/98 O que constitui ofensa? VIOLAR DIREITOS DO AUTOR DE PROGRAMA DE COMPUTADOR Expressão Muito Ampla. Não é só a Pirataria! Uso do Programa diverso do estipulado no contrato; Uso do Programa sem autorização do autor; Qualquer alteração feita sem consentimento do autor; Divulgação ou Comercialização não autorizada; Cópia (Contrafação) para venda Pirataria

43 VIOLAÇÃO DE SOFTWARE

44 CP - Art Destruir, inutilizar ou deteriorar coisa alheia: Pena: detenção de um a seis meses, ou multa. CRIME DE DANO

45 Instigação ao Suicídio Art Induzir ou instigar alguém a suicidar-se ou prestar-lhe auxílio para que o faça: Pena - reclusão, de dois a seis anos, se o suicídio se consuma; ou reclusão, de um a três anos, se da tentativa de suicídio resulta lesão corporal de natureza grave.

46 Falsa identidade CP - Art Atribuir-se ou atribuir a terceiro falsa identidade para obter vantagem, em proveito próprio ou alheio, ou para causar dano a outrem: Pena - detenção, de três meses a um ano, ou multa, se o fato não constitui elemento de crime mais grave.

47 Typosquatting - Site O typosquatting consiste na criação de site malicioso com endereço parecido com o do site original, mas com erro na grafia. Tem origem na soma dos termos ingleses typo (erro de digitação) e squatting (prática comum dos jovens europeus de invadir prédios abandonados).

48 Phishing O phishing consiste na tentativa de adquirir informações sensíveis (senhas, números de cartão de crédito, etc.) ao se fazer passar por pessoa ou empresa confiável. Tem origem no termo inglês fish.

49 ESTELIONATO PROCESSO PENAL. HABEAS CORPUS. ESTELIONATO. CRIME PRATICADO PELA INTERNET. PRISÃO PREVENTIVA. INEXISTÊNCIA DOS REQUISITOS. 1. Crime de estelionato praticado pela internet, com a participação, segundo o que consta do inquérito, de diversas pessoas, com atuações determinadas - a) o programador (o que cria a página clone, os programas, ex. o Trojan ou cavalo de Tróia) - responsável pela captura da senha; é o cracker,, não hacker, b) o usuário ( o explorador direto do programa), ou seja, o operador do programa; c) o plaqueiro,, (de placa), biscoiteiro ou cartãozeiro (responsável pela aquisição dos cartões bancários e pela arrecadação de boletos que serão pagos via internet); d) sub-plaqueiro (a pessoa que, apesar de não conhecer os usuários do programa, compra os cartões magnéticos dos laranjas e os vende a plaqueiros que mantém contato com o usuário; e) o laranja (o que empresta sua conta para receber os créditos espúrios da internet) - com a finalidade de pescar (obter mediante ardil) a senha de correntistas [pishing[ = password (senha) + fishing (pescaria)] e retirar dinheiro de suas contas bancárias. 2. Se o paciente, segundo consta dos autos do inquérito, é mero laranja e sub-plaqueiro plaqueiro,, dependendo sua atuação da do outros participantes do esquema, o programador e o usuário, não tem como perturbar a ordem pública, social, nem econômica, não havendo razão para que seja decretada sua prisão preventiva, como dito na decisão impugnada.

50 Introdução QUESTÕES INTRODUÇÃO POLÊMICAS

51 PRIVACIDADE Questões Polêmicas Privacidade CF, Art. 5º, XII. É inviolável o sigilo da correspondência e das comunicações telegráficas, de dados e das comunicações telefônicas, salvo, no último caso, por ordem judicial, nas hipóteses e na forma que a lei estabelecer para fins de investigação criminal ou instrução processual penal; CP, Art Devassar indevidamente o conteúdo da correspondência fechada, dirigida a outrem: Pena detenção, de 1 (um) a 6 (seis) meses, ou multa. 1º II- quem indevidamente divulga, transmite a outrem ou utiliza abusivamente comunicação telegráfica ou radioelétrica dirigida a terceiro, ou conversação telefônica entre pessoas; Pena detenção de 1 (um) a 3 (três) anos

52 Questões Polêmicas Privacidade PRIVACIDADE Lei 6.538/78, art. 47: Cartão postal objeto de correspondência, de material consistente, sem envoltório, contendo mensagem e endereço; Correspondência toda comunicação de pessoa a pessoa, por meio de carta, através de via postal, ou por telegrama;

53 E MAIL É CORRESP.? TACRIM

54 PÓS-GRADUAÇÃO

55 OBRIGADA!

56 Camilla do Vale Jimene Advogada atuante na área do Direito Eletrônico; Pós-graduada em Processo Civil pela PUC/SP; Professora da UNIP e da Unigran; Instrutora da Febraban, Módulo e Brasiliano; Colaboradora do portal de TI Revista PCs e de diversos outros veículos de comunicação. copyright Camilla do Vale Jimene, DR