Por Edison Fontes22 de marco de 2012 22:03KISS Keep it simple, stupid! Traduzindo: faca simples, estupido!Ha muito tempo ouvi esta brincadeira com palavras em ingles, mas de uma mensagem excelente. Faca as coisas de uma maneira simples. E fazer as coisas de uma maneira simples, exige muito conhecimento, experiencia e visao pratica mesmo baseada em uma complicada teoria.Assistindo hoje um telejornal, um pesquisador da EMBRAPA falou mais ou menos isto: precisamos de solucoes simples para um problema complexo que e o da agua.Cada vez mais estou seguindo minha visao: se algo merece ser feito, merece ser bem feito e merece ser feito de forma simples.No assunto seguranca da informacao entendo que existem varias armadilhas que caimos e que torna as solucoes complexas. Gostaria de compartilhar algumas:a) Tratar a seguranca sem escopo, limites e cenarios.A seguranca da informacao envolve muitos aspectos, desde os mais tecnicos ate os relacionados a pessoa humana. Qualquer projeto ou conjunto de acoes em seguranca da informacao precisa ser desenvolvido considerando um ambiente: escopo, limites e cenarios. E necessario ficar claro que as atividades previstas e os objetivos definidos sao validos para o ambiente considerado. Na medida em que a organizacao aumente sua maturidade em seguranca, ela pode expandir e aumentar a complexidade deste ambiente.b) Uma coisa e uma coisa, outra coisa e outra coisaBrincadeiras a parte, somos facilmente levados a querer consertar a organizacao por causa do processo de seguranca da informacao. O que eu quero dizer e por exemplo, se a organizacao tem um pessimo clima organizacional, evidentemente isto vai dificultar o processo de seguranca e o Gestor de Seguranca deve estar atento. Porem, nao e responsabilidade da area de seguranca da informacao de cuidar do clima organizacional. Isto e um problema de Recursos Humanos. A gestao da organizacao e ruim? Que pessimo, isto vai dificultar o processo de seguranca da informacao, mas isto e um problema organizacional, e um problema do gestor maior da organizacao.c) O principal sao os objetivos da organizacaoA seguranca da informacao existe para que a organizacao funcione adequadamente no que diz respeito a informacao e aos recursos de informacao. Nao se faz recuperacao de energia, pela recuperacao da energia. Se faz a recuperacao de energia por que a organizacao precisa acessar a informacao que esta em recursos de informacao que para funcionar precisam de energia eletrica. Todos, sim todos os projetos e conjuntos de acoes somente devem existir para possibilitar o funcionamento da organizacao.d) Comunicacao simplesA comunicacao da seguranca da informacao realizada pelas politicas, normas, procedimentos, material de conscientizacao precisa ser simples e de facil entendimento. Precisa ser direta. Aquilo que for obrigatorio tem que ser colocado como mandatorio. Nao podemos ter frases como; O guarda prendeu o ladrao na casa dele. NA cas do guarda ou na casa do ladrao.e) Se a Organizacao nao quer seguranca, nao teremos segurancaEsta e a parte mais dificil para os Gestores de seguranca que sao funcionarios da organizacao. Muitas organizacoes nao querem levar a seguranca a serio, nao querem gastar recursos com seguranca, por exemplo passam dez anos com uma cadeira em brinquedo de parque