Quando eu trabalhava em desenvolvimento de novos produtos na maior processadora de cartões de crédito da época, em 2004, conheci uma história interessante sobre segurança, que mudou minha forma de analisar soluções de proteção contra falhas. A história foi apresentada pelo próprio Security Officer, como um exemplo do que deve ser feito para evitar problemas de vazamento de informações confidenciais.

Pra quem não conhece, uma processadora de cartões de crédito é responsável pelo processamento, geração, entrega e cobrança da fatura dos clientes, e portanto tem acesso a uma série de dados ultra mega confidenciais. Não só o número do cartão de crédito de milhões de cardholders[1], mas também o histórico de compras desses indivíduos, algo muito sensível financeira e moralmente falando.

Uma empresa que processa dezenas de milhões de faturas por mês tem centenas (isso mesmo) de pessoas trabalhando na área de segurança. Tinham até uma Vice-Presidência só focada em segurança. Os caras tinham mapeamento de tudo, absolutamente tudo, que poderia ter acesso aos dados sensíveis, e com o mapa da mina, bloquearam e criaram formas de proteger todas as brechas. Bem, na realidade, quase todas.

Além de dezenas de senhas duplas, tokens, códigos de segurança, ambiente dedicado e seguro para gerar as faturas, eles tinham contingência e relatórios para tudo. Havia, porém, um processo que estava capenga, mas ninguém jamais tinha questionado sua vulnerabilidade. Todas faturas geradas tinham uma cópia impressa para conferência de divergências. Essas eram armazenadas por um tempo em cofres ultra seguros e destruídas algum tempo depois. O processo de destruição era todo controlado, com funcionários treinados, que picotavam com uma máquina todas as cópias. As faturas picotadas eram embaladas em caixas de papelão, e levadas a um forno para incineração. Tudo isso acontecia na antiga sede, em São Paulo, na Av. Henrique Schaumann, no bairro de Pinheiros.

Na madrugada daquele dia, o funcionário que estava picotando as faturas estava meio doente, e lá pelas tantas a máquina picotadora pifou. A manutenção chegaria às 6h e o profissional teria que ir ao médico antes desse horário. Ele então ligou para o colega que entraria no próximo turno e avisou que não tinha como concluir o trabalho e que, excepcionalmente, iria embalar caixas com faturas NÃO picadas no canto da sala. Claro, que ele não registrou isso, pois estava fora dos padrões. Mas eles eram amigos e um cobria o outro, na boa. “Sempre fizemos assim, nunca deu problema”, dizia ele. O picotador das 6h da manhã deveria apenas abrir essas caixas, terminar o trabalho de picotagem e então despachar para o carro que levaria o material para incineração.

Acontece que o ônibus desse funcionário do turno das seis da manhã atrasou e ele chegaria atrasado naquele dia. Quando o carro transportador chegou, encontrou as caixas com papel picotado e as caixas com papel NÃO picotado, aparentemente prontas para destruição. Carregaram tudo no carro. Ao subir a rampa, a porta traseira do veículo abriu ao passar na calçada e algumas caixas caíram. Para complicar ainda mais, o motorista não percebeu, e seguiu em frente. Das 7h até as 9h entravam funcionários no prédio, analistas, diretores, vice presidentes… Eles iam encontrando cópias de faturas de cartão de crédito espalhadas pela avenida, voando para lá e para cá. Imediatamente foi criada uma força tarefa para recolher todas faturas, seja na sarjeta, molhada, ou voando no meio da rua. Já pensou se sua fatura estivesse lá?

Moral da história: não adianta nada você ter certificados de segurança, selo de auditoria, protocolo EV-SSL, cadeado, criptografia, traquitanas e firulas de segurança, se seu processo inteiro não for detalhadamente desenhado e preparado para evitar problemas como o que aconteceu nesse caso. Não adianta mandar embora o funcionário, o prejuízo que pode ser causado não compensa. Aliás, é melhor reter todos funcionários que erraram, para que esse tipo de problema não aconteça mais. Coloque-os para desenhar um processo melhor e aperfeiçoar aquilo que aparentemente era 100% seguro.

*
[1]Cardholders: portadores, usuários de cartão de crédito