o leitor acesse o site da PwC eleia a mesma de maneira completa. Para este artigo, gostaria de destacar alguns itens que fortalecem oProcesso Organizacional de Seguranca da Informacao como a Base Preventiva parao combate a fraude e a minimizacao dos seus impactos. Vejamos:a. No Brasil, 24% das companhias tiveram situacoes identificadas defraudes economicas e 64% das fraudes foram cometidas por pessoal interno.b. Considerando o triangulo Racionalizacao (Desejo), Oportunidade ePressao, a Oportunidade foi a primeira razao de se cometer a fraude, sendoresponsavel por 74%. Os outros dois elementos ficaram com 13% cada um.c. Canal de Denuncia foi o meio que mais levou a descoberta de Fraudecom 34%, Monitoracao das Informacoes com 21%, e Auditoria Interna com 17%.d. Recomendacoes para o combate a fraude:- Envolvimento e comprometimento da alta direcao.- Gerenciamento de riscos- Controles, politicas, normas, procedimentos e monitoramento.- Continuidade das acoes para a conformidade.Considerando apenas estes destaques acima, o Processo Organizacional deSeguranca da Informacao e fundamental para a existencia de controles que ajudema combater a fraude.A existencia de oportunidade para se fazer a fraude, indicavulnerabilidade em controles de sistemas e fragilidade nos controles deseguranca da informacao. Por exemplo se um usuario descobre que nao existe umaboa trilha de auditoria (ninguem vai saber o que ele fez), ou se ele poderealizar acoes utilizando identificacao de um outro usuario, ou se autorizacoesde acesso que deveriam ser cortados continuam validos, estas fragilidades geramoportunidades para atos de fraudes.Para monitorar as informacoes e necessario a existencia de registros derastreabilidade, e necessario que as identificacoes de usuarios sejam efetivas,estes registros de rastreabilidade precisam ser confiaveis e ter a garantia dasua integridade.O Canal de Denuncia precisa ter suas informacoes guardadas em um padraode sigilo/segredo compativel com o que propoe. Os acessos a estas informacoestem que ser rigorosamente controlados. E necessario a autorizacao adequada e ocorte de acesso de usuarios que nao mais estejam exercendo a funcao.Auditoria interna so vai ser possivel desenvolver o seu trabalho seexistirem as regras e os controles para que sejam identificados aquilo que naoesta em conformidade com as politicas e normas de seguranca da informacao.Somente podera se acusar um usuario de fraude por usar a identificacao de outrousuario, se existir um regulamento indicando que na organizacao a identificacaoe pessoal e intransferivel.Politicas e normas precisam existir de maneira compativel e de facilcompreensao para a organizacao e para os usuarios desta organizacao. Avaliacaode riscos e uma das Dimensoes de Seguranca da Informacao, inclusive com umanorma especifica, a ISO/IEC 27005: 2008.E bom lembrar que a recente Lei 12.737 de 2012, Tipificacao Criminal deDelitos Informaticos, ao incluir no Codigo Penal o Artigo 154-A, exige aexistencia de mecanismos de seguranca. Uma organizacao que nao possui umProcesso de Seguranca da Informacao tera dificuldade perante a justica deprovar varias acoes que tenha sofrido de criminosos, se nao possui controlesadequados com o seu porte e tipo de negocio.Considero o Processo Organizacional de Seguranca da Informacao a base parao combate de crimes economicos na organizacao. Evidentemente existem outrostipos de acoes. Mas, leia a pesquisa da PwC e tire as suas conclusoes.Fonte: Publicado por Edison Fontes, em www.abessoftware.com.br