A questão da segurança passou a integrar a legislação brasileira por meio do decreto 3505, de 13 de junho de 2000, que institui a Política de Segurança da Informação nos órgãos e entidades da Administração Pública Federal. De acordo com o José Bonifácio de Andrada, Subchefe para assuntos jurídicos da Casa Civil, neste momento, o governo criou uma definição para segurança da informação, primeiro passo para que o assunto passasse a ser elaborado e colocado em pauta.

Um segundo passo foi o decreto 3.587, de 5 de setembro de 2000, que estabeleceu normas para a Infra-Estrutura de Chaves Públicas do Poder Executivo Federal - ICP-Gov. Nele ficou definido que a criptografia utilizaria duas chaves matematicamente relacionadas, onde uma delas é pública e, a outra, privada, para criação de assinatura digital, com a qual será possível a realização de transações eletrônicas seguras e a troca de informações sensíveis e classificadas.

Essa tecnologia viabilizará, no âmbito dos órgãos e das entidades da Administração Pública Federal, a oferta de serviços de sigilo, a validade, a autenticidade e integridade de dados, a irrevogabilidade e irretratabilidade das transações eletrônicas e das aplicações de suporte que utilizem certificados digitais.

Em 27 de julho de 2001, a Medida Provisória 2.200-1 instituiu o ICP-Brasil que possibilitará a habilitação de instituições públicas e organismos privados para atuarem na validação jurídica de documentos produzidos, transmitidos ou obtidos sob a forma eletrônica. Com essa medida passa-se a dispor de alternativa para realizar eletronicamente transações que até agora não se podiam fazer e exigiam registros em papel escrito para adquirirem validade.

José Bonifácio esclarece, ainda, que o novo sistema de certificação eletrônica não introduz conceitos novos nas transações, apenas estabelece equivalência e isonomia legal entre os documentos produzidos e obtidos eletronicamente e os documentos firmados em papel, desde que certificados na ICP - Brasil. "Isso significa que as certificações realizadas por entidades certificadoras não vinculadas à ICP-Brasil poderão continuar sendo feitas.

Nessa condição, ao certificar determinado documento, as entidades o atestam quanto à sua autenticidade e integridade, de modo semelhante a uma testemunha. Já no caso de uma entidade certificadora vinculada ao sistema IPC-Brasil, seus documentos gozarão de uma presunção de autenticidade derivada da lei", explica.

A partir de então, as empresas certificadoras passam a ter a opção de estarem ligadas ou não ao ICP-Brasil, dependendo das suas necessidades. "Caso a opção seja participar do ICP, a única condição é que sejam cumpridas as regras estabelecidas na Medida Provisória e pelo Comitê Gestor", diz Bonifácio. A decisão tem vantagens e desvantagens: ao mesmo tempo que dá mais credibilidade à unidade certificadora e pressupõe validade, também significa mais custos.

Os especialistas não cansam de alertar as empresas, públicas ou privadas, de que a certificação digital é uma ferramenta com enorme potencial para aumentar a segurança, mas que requer altos investimentos. É uma solução aparentemente simples, mas exige das empresas preparo para criar uma estrutura capaz de sustentar o novo tipo de aplicação. Neste sentido, o passo dado pelo governo é encarado com otimismo pelo setor privado e só prova que o poder público está atento à questão da segurança, apesar dos problemas burocráticos que a envolvem.

ACORDO

No último dia 24 de agosto, o Serpro e o Instituto Nacional de Tecnologia da Informação - ITI - do Ministério da Ciência e Tecnologia assinaram contrato para prestação de serviços de Autoridade Certificadora Raiz (AC-Raiz) que compõe a Infra-estrutura de Chaves Públicas Brasileira (ICP-Brasil).

O Serpro foi escolhido para operar a AC-Raiz porque dispõe e opera, desde novembro do ano passado, de infra-estrutura adequada, constituída de pessoal qualificado, instalações, equipamentos e softwares específicos, com nível de segurança de padrões internacionais. A operação efetiva do contrato depende apenas de um processo de homologação, sob responsabilidade do Comitê Gestor do ICP Brasil.