Insegurança jurídica também é insegurança da informação

*Por Bruno Telles e Caio Telles Existe uma métrica que resume quase tudo na gestão da segurança da informação , e ela não é o número de ferramentas contratadas nem o tamanho do time.

É o intervalo entre o momento em que uma falha passa a existir e o momento em que ela é corrigida.

Todo o resto é consequência disso.

O cibercriminoso não precisa de nada além desse intervalo.

Quem trabalha na defesa aprendeu a encurtar esse tempo com tecnologia, com processo, com monitoramento contínuo.

O que raramente se discute em público é que uma parte relevante dele não se perde em nenhuma dessas etapas.

Perde-se depois, quando um modelo de contratação que ninguém dentro do departamento jurídico já viu antes chega para análise e recebe a única resposta que o repertório disponível permite dar, que é frear.

A cena se repete com pouca variação.

A liderança de segurança avalia, por exemplo, um programa de bug bounty, entende o valor, aprova e defende internamente.

O processo segue para compras e, em paralelo, para o jurídico.

Começam então as perguntas: quem é essa pessoa que vai testar nosso ambiente, o que acontece se ela acessar um dado pessoal, e se houver vazamento, existe algum tipo de vínculo, quem responde perante a ANPD, qual é a nossa exposição se algo der errado.

São perguntas legítimas.

O problema não é o jurídico perguntar.

O problema é que o Brasil não tem uma resposta pronta para oferecer , e uma negociação que deveria durar dias acaba consumindo meses.