Enigma – um lição aprendida (ou não) ao não considerar os fatores humanos na segurança de informação?

Artigo da semana: "The Weakest Link: The Human Factor - Lessons Learned from the German WWII Enigma Cryptosystem".

No blog de hoje, vamos usar um exemplo do passado como uma lição. Algo que a história nos mostra e que pede reflexão.

Uma grande parte dos negócio ocorre em ambientes puramente computacionais e essa migração cada vez mais aumenta. Conceitos de segurança e logicamente a criptografia passa a ser cada vez mais um fator crítico para o sucesso das dessas transações. Na área militar, esse preocupação é antiga, pois é naturalmente uma área de vanguarda, já que muitas inovações tecnológicas nascem no ambiente do mercado de defesa, nucleado por entidades e institutos ligados ao departamento de defesa de diversos países. Nesse ponto em específico, a preocupação é fundamental pois a informação precisa ser identificada e protegida, pois no caso de serem corrompidas ou descobertas geram danos materiais e humanos.

Durante a Segunda Guerra, a máquina do Enigma era uma evolução considerável para o seu momento. Sem a menor sombra de dúvidas. a melhor tecnologia em criptografia da época, e considerado um ambiente extremamente seguro e imune a ataques. A Alemanha possuía esse diferencial com o Enigma, uma máquina fabulosa. Os códigos gerados pelo Enigma, mesmo com outra máquina, não conseguiriam ser quebrado de imediato, pois seria necessária a chave e os ajustes corretos nos rotores da máquina. Essa segurança que o Enigma deu aos alemães, fez com que eles descartassem a possibilidade de que o sistema poderia ter vulnerabilidades. Esse foi sem dúvida o maior erro, pois o seu sistema de segurança não era perfeito e as falhas dos seus operadores foi o que levou seu código a ser quebrado. A Polônia e mais tarde a Inglaterra, começaram a investir pesado para quebrar os códigos do Enigma gerado pelo alemães. Apesar de ser uma tarefa complexa, que exigiu um esforço grande, nada faria parar o objetivo de quebrar o código dos alemães. As vulnerabilidades foram exploradas, como por exemplo, ao investigar-se as rotinas dos operadores, documentos que não eram descartados de maneira correta e claro a traição de alguns, levando ao fim do sonho do alemães de que o Enigma era um ambiente imune.

Mesmo com um exemplo bastante antigo percebemos que os problemas em Segurança sempre tem a falha humana como aliado, seja por prepotência, negligência ou ainda dinheiro. O fator humano é potencialmente o elo mais fraco da segurança da informação. Começa errada qualquer política de proteção à informação que só enxerga o ponto de vista tecnológico. Treinamentos adequados e freqüentes é um ponto-chave dessa discussão. O freqüente é importantíssimo, pois na medida em que as pessoas são treinadas e executam uma rotina, elas tendem a degradar a execução visto que conhecem bem os procedimentos, porém essa é uma vulnerabilidade alta em qualquer sistema de segurança de informação. Todas as camadas de uma empresa devem ser contempladas por uma política de segurança da informação. O exemplo do Enigma demonstra exatamente isso. Os alemães acreditavam ter um sistema imune a qualquer falha. Sem dúvida uma lição. Se foi aprendida ou não, fica a questão do título deste blog. Não são raros os casos similares ao Enigma, mesmo hoje, com as inovações tecnológicas disponíveis e em estudo.