Insegurança jurídica também é insegurança da informação

*Por Bruno Telles e Caio Telles

Existe uma métrica que resume quase tudo na gestão da segurança da informação, e ela não é o número de ferramentas contratadas nem o tamanho do time. É o intervalo entre o momento em que uma falha passa a existir e o momento em que ela é corrigida. Todo o resto é consequência disso. O cibercriminoso não precisa de nada além desse intervalo.

Quem trabalha na defesa aprendeu a encurtar esse tempo com tecnologia, com processo, com monitoramento contínuo. O que raramente se discute em público é que uma parte relevante dele não se perde em nenhuma dessas etapas. Perde-se depois, quando um modelo de contratação que ninguém dentro do departamento jurídico já viu antes chega para análise e recebe a única resposta que o repertório disponível permite dar, que é frear.

A cena se repete com pouca variação. A liderança de segurança avalia, por exemplo, um programa de bug bounty, entende o valor, aprova e defende internamente. O processo segue para compras e, em paralelo, para o jurídico. Começam então as perguntas: quem é essa pessoa que vai testar nosso ambiente, o que acontece se ela acessar um dado pessoal, e se houver vazamento, existe algum tipo de vínculo, quem responde perante a ANPD, qual é a nossa exposição se algo der errado.

São perguntas legítimas. O problema não é o jurídico perguntar. O problema é que o Brasil não tem uma resposta pronta para oferecer, e uma negociação que deveria durar dias acaba consumindo meses.