AVISO......................

O que é possível saber sobre nós ?
por Diana F. em Sábado Nov 01, 2008 3:05 pm







Hoje depositamos toda a nossa vida no computador e esquecemo-nos de que um computador ligado à Internet não está no nosso quarto: está na Web e pode ser acedido de qualquer ponto do mundo.

A resposta curta é "tudo". À medida que fomos transferindo para os computadores toda a nossa vida (primeiro foi a contabilidade das empresas, depois os nossos escritos e o nosso correio, depois as compras, depois as fotografias de férias, os filmes, os dados médicos...), a violação dos dados pessoais informatizados pode adquirir uma amplitude potencialmente catastrófica.

O que arriscamos se alguém mal intencionado conseguir aceder a todos os nossos dados, incluindo as nossas palavras-chave? O nosso património (porque alguém pode usurpar a nossa identidade e assumir compromissos financeiros ruinosos em nosso nome), a nossa reputação e a nossa liberdade (porque se podem cometer actos censuráveis ou criminosos em nosso nome).

Quem tenha acesso sem restrições ao nosso computador - e, se alguém com a competência e a persistência devidas quiser fazê-lo, pode consegui-lo - pode ficar a saber o que escrevemos, o que compramos, o que comemos. Que medicamentos usamos, a que médico, advogado e massagista vamos. Quanto ganhamos, a quem devemos dinheiro, os impostos que pagamos. As viagens que fazemos, os sites que visitamos, os livros que lemos, os documentos que procuramos na Internet, a música de que gostamos. Quem são os nossos colegas, os nossos amigos e vizinhos. A que organizações pertencemos e que posições tomamos nessas organizações.

O que escrevemos aos nossos colegas, amigos, pais, filhos, cônjuges e amantes. Os nossos horários e calendários. E cada vez mais os dados sobre a nossa saúde e sobre os processos judiciais onde estamos envolvidos.

Há a noção (correcta) de que as operações que efectuamos na Internet (incluindo o mail que mandamos e recebemos), apesar de não estarem realmente protegidas por meios técnicos fiáveis, como a encriptação, estão protegidas pelo seu número gigantesco. Mas este relativo anonimato é o mesmo de que se pode gozar nas ruas de uma cidade. Se ninguém estiver interessado em nós, passamos de facto despercebidos, mas se alguém com as devidas competências técnicas quiser saber onde vamos e com quem falamos não terá dificuldade em descobrir.


Programa-espião

A maneira mais radical de alguém descobrir tudo isto sobre si é aceder remotamente ao seu computador e instalar aí um programa-espião que registe todos os seus passos e envie relatórios detalhados do que você faz. Outra forma que permite seguir todos os seus passos na Internet é atacar o seu fornecedor de acesso à Internet. Impossível? Não. Todos os sistemas têm falhas de segurança, todos os programas têm bugs e todas as pessoas cometem erros. Se alguém quiser fazer isso e dispuser do tempo e dos meios...

É verdade que tudo isto é muito difícil e exige grande virtuosismo técnico se se tentar espiar uma pessoa definida: João Silva, morador da Rua de Cima, 100 - 1º Dto. Mas quem tem este tipo de requisitos específicos são em geral os serviços de informações, que possuem meios suficientes para estas operações. Mas um ladrão informático não precisa de atacar uma pessoa em particular. Qualquer pessoa lhe serve. E aqui tudo se torna mais fácil. Pode simplesmente ir tentando atacar computadores até que um deles ceda.

José Vitor Malheiros
Público - 01.11.2008
Diana F.

Mensagens: 1545
Registado: Quinta Nov 10, 2005 11:44 am
Localização: between nowhere & goodbye Topo
--------------------------------------------------------------------------------

Re: O que é possível saber sobre nós ?
por Diana F. em Sábado Nov 01, 2008 3:08 pm





UM E-MAIL É COMO UMA CARTA



Para efeitos legais, o e-mail é semelhante a uma carta e a leitura de mensagens electrónicas só pode ser feita com autorização judicial. A explicação é do presidente da associação sindical dos juízes portugueses, António Martins: "O e-mail é uma correspondência, apenas com um suporte diferente. Mas tem uma protecção equivalente". Assim, no caso de uma entidade empregadora pretender aceder ao conteúdo dos e-mails pessoais enviados por funcionários, precisa da autorização de um juiz ou então do consentimento do trabalhador, mesmo que o envio tenha sido feito a partir do endereço de correio electrónico profissional.

Segundo o Código de Trabalho, as entidades empregadoras podem definir regras de utilização do e--mail (bem como da Internet ou outros meios de comunicação, como o telefone). Estas regras devem ser claras e dadas a conhecer a todos os trabalhadores, frisa Clara Guerra, da Comissão Nacional de Protecção de Dados (CNPD).

De acordo com orientações publicadas pela comissão, que é responsável por aprovar os regulamentos internos das empresas quanto ao uso de comunicações, "é ilógico, irrealista e contraproducente que se proíba - de forma absoluta - a utilização do correio electrónico para fins que não sejam estritamente profissionais". Mas, legalmente, não há entraves a que os regulamentos sejam apertados, observa o advogado Manuel Lopes Rocha, especialista em direito informático: "Hoje já se afastou a indecisão inicial em que até se admitia que tudo pertence a uma dada empresa, incluindo o correio electrónico. Mas isso não impede que uma empresa fixe regras muito rigorosas de utilização do e-mail".

Independentemente do que digam os regulamentos internos, a mera indicação (por exemplo, através da informação no campo "assunto") de que uma mensagem é de carácter pessoal é o suficiente para que esta já não possa ser lida.

As orientações da CNPD defendem que as empresas devem analisar apenas elementos como a data e hora de envio, o volume de tráfego, o assunto das mensagens e os endereços dos destinatários para detectar situações anómalas e eventuais utilizações abusivas do correio electrónico profissional.

Mas mesmo o acesso a estes dados "deverá ser o último recurso, sendo desejável que seja feito na presença do trabalhador visado e, de preferência, na presença de um representante da comissão de trabalhadores". Clara Guerra nota, contudo, que o acesso às mensagens profissionais é legítimo, podendo servir, por exemplo, para avaliar o cumprimento de uma tarefa por parte do funcionário.

Joáo Pedro Pereira
Público - 01.11.2008
Diana F.

Mensagens: 1545
Registado: Quinta Nov 10, 2005 11:44 am
Localização: between nowhere & goodbye Topo
--------------------------------------------------------------------------------

Re: O que é possível saber sobre nós ?
por Diana F. em Sábado Nov 01, 2008 3:11 pm




-
VIOLAÇÃO DE DADOS INFORMÁTICOS DEVIA SER DE PARTICIPAÇÃO OBRIGATÓRIA

Ter acesso aos dados privados que estão guardados num computador é muito mais fácil do que as pessoas imaginam. As pessoas ficariam muito preocupadas se soubessem como pode ser fácil e como a maior parte dos seus dados se encontram desprotegidos." Paulo Veríssimo não hesita quando classifica a situação portuguesa em termos de defesa da privacidade dos dados pessoais informatizados: "Há imensas coisas assustadoras."

Paulo Veríssimo é professor da Faculdade de Ciências da Universidade de Lisboa, é especialista em segurança informática e simultaneamente a melhor e a pior pessoa para falar sobre protecção de dados em Portugal. A melhor, porque é essa a sua área de investigação, onde possui um extenso currículo internacional. A pior, porque tem conhecimento directo de muitas situações de risco ou de violação de dados pessoais que não pode identificar nem aprofundar por razões de sigilo profissional. Entre as actividades a que a sua equipa se dedica encontra-se aliás o "treino de penetração em sistemas".

Paulo Veríssimo identifica vários factores que tornam a privacidade dos dados pessoais um bem especialmente frágil: "Antes de mais, o facto de hoje em dia todos os computadores estarem ligados em rede, à Internet, o que permite o seu acesso invisível, remoto, por uma pessoa mal intencionada, sem que o seu proprietário tenha sequer consciência disso. Depois, a imensa quantidade de dados pessoais que são colhidos por entidades públicas e privadas e posteriormente armazenados sem as devidas condições de segurança. Não discuto aqui se é mesmo preciso pedir todos esses dados quando se abre uma conta num banco ou se pede um financiamento para um projecto - ainda que esse seja também um debate que é preciso fazer. Mas se esses dados são exigidos, têm de ser protegidos por quem os pede. E há imensos organismos da administração pública que nem sequer têm ideia do risco de violação, de acesso não autorizado que os seus sistemas correm. Há muita informação pessoal guardada em computadores do Estado ou de empresas que não oferecem qualquer garantia de segurança."


Erros básicos

Um estudo realizado por uma equipa de investigadores do Instituto Pedro Nunes e da Faculdade de Ciências e Tecnologia da Universidade de Coimbra, divulgado em Julho passado ("Um em cada cinco endereços electrónicos do Estado é vulnerável a ataques informáticos", PÚBLICO 29/07/2008), classificava o nível de segurança da Internet portuguesa como "perigoso" (o segundo grau, antes de "muito perigoso" e "caótico") e afirmava que o número de computadores do Estado, acessíveis pela Internet, que apresentavam problemas de segurança era de um em cada cinco. A experiência pessoal de Paulo Veríssimo corrobora esta avaliação. "Há operações que envolvem manipulação de dados pessoais sensíveis, que devia ser feita com algum grau de encriptação e que são feitos sem qualquer protecção, em claro, como se diz na gíria, o que é inadmissível. Encontramos com frequência erros básicos de segurança."
Paulo Veríssimo defende que se definam normas de protecção de dados a serem seguidas por todas os entidades e que estas sejam fiscalizadas de forma exigente por um organismo público. "A Comissão Nacional de Protecção de Dados tem uma postura correcta, mas é preciso ir além do que está a ser feito. É preciso punir severamente quem comete estes erros crassos."


Participação obrigatória

O investigador avança uma medida concreta, de fácil aplicação e que acredita que poderia contribuir para reduzir drasticamente os riscos: "Tem de ser obrigatória a participação às autoridades de qualquer acesso indevido a dados pessoais. Deveria ser crime não o fazer. E deveria ser igualmente obrigatório por lei informar cada uma das pessoas cujos dados foram acedidos e cuja privacidade foi comprometida. Se isto fosse feito assim, as boas práticas de segurança iriam generalizar-se."
Estas medidas foram aprovadas recentemente na Califórnia e estão lentamente a tornar-se consensuais entre as pessoas preocupadas com a segurança e os direitos individuais.

"Há bancos que gostariam de melhorar as suas práticas de segurança, mas que não o fazem porque isso os iria deixar numa situação desfavorável relativamente à concorrência", explica. "É por isso que tem de ser o Estado a generalizar estas práticas."


Três chaves

Ao contrário de uma ideia muito difundida sobre segurança informática - segundo a qual não vale a pena ter demasiados cuidados porque os nossos dados estão tão disseminados que, se alguém quiser realmente, conseguirá sempre acedê-los -, Paulo Veríssimo defende que a tecnologia, pelo contrário, abre possibilidades novas de protecção dos dados. O que é preciso é utilizá-las.

"Actualmente, quem quiser fazer uma escuta telefónica pode fazer uma escuta telefónica, mesmo sem mandato judicial. Não deve, mas tecnicamente, pode. Mas é possível usar tecnologias que tornam as escutas ou as consultas ilegais praticamente impossíveis."

Uma das soluções possíveis é o registo automático das operações informáticas e das informações sensíveis em discos que apenas podem ser acedidos com o uso simultâneo de três chaves criptográficas, por hipótese. "Uma das chaves pode estar nas mãos de um juiz, outra da polícia e outra noutra entidade qualquer, conforme a situação."

Se uma solução deste tipo tivesse sido adoptada para arquivar os mails dos funcionários das Finanças, o problema agora levantado deixaria de existir. Só teria sido possível o acesso legal a esses mails.


José Vitor Malheiros
Público - 01.11.2008
Diana F.

Mensagens: 1545
Registado: Quinta Nov 10, 2005 11:44 am
Localização: between nowhere & goodbye Topo
--------------------------------------------------------------------------------

Re: O que é possível saber sobre nós ?
por Diana F. em Sábado Nov 01, 2008 3:13 pm





SINDICATO DOS IMPOSTOS REQUEREU ACESSO AO PROCESSO ONDE E-MAILS FORAM LIDOS


O Sindicato dos Trabalhadores dos Impostos (STI) já requereu ao Departamento de Investigação e Acção Penal (DIAP) de Lisboa a consulta do processo aberto no seguimento de uma queixa do anterior director-geral dos Impostos, Paulo Moita Macedo, por alegadas fugas de informação dos funcionários para órgãos de comunicação social.

A posição do STI surge no seguimento da notícia do PÚBLICO da passada segunda-feira que dava conta de que a Inspecção-Geral de Finanças (IGF) tinha analisado milhares de mensagens de e-mail de centenas de funcionários dos Impostos e que tinha lido o conteúdo de muitas dessas mensagens, designadamente as enviadas para órgãos de comunicação social.

Para que a IGF acedesse ao conteúdo das mensagens, o DIAP pediu autorização ao Tribunal de Instrução Criminal, que argumentou que se estava perante uma situação de correspondência aberta e, como tal, cabia ao Ministério Público proceder à sua apreensão. E foi isso que aconteceu.

As mensagens seleccionadas foram apreendidas e, após a leitura dos e-mails, a IGF concluiu, no entanto, que não houve violação do segredo a que estão obrigados os funcionários e a queixa que corria no DIAP acabaria por ser arquivada já este ano.

Público - 01.11.2008
Diana F.

Mensagens: 1545
Registado: Quinta Nov 10, 2005 11:44 am
Localização: between nowhere & goodbye Topo
--------------------------------------------------------------------------------

isto SERA UM aviso?