Upload
others
View
3
Download
0
Embed Size (px)
Citation preview
Nome proposta
Nome cliente
Data
Estruturação e operação de Monitoramento ativo e contínuo
de e-mails corporativos
Confidencial: Este documento é para uso interno e exclusivo do destinatário e não deve ser copiado ou reproduzido a terceiros. ©2016 ICTS
Novembro 2016
01 ASSESSMENTDE RISCO
03
SUPERVISÃOE RECURSOS PARA
O COMPLIANCE
04CÓDIGO
DE CONDUTAÉTICA, POLÍTICAS
E PROCEDIMENTOS
06
CONTROLES INTERNOS
E MONITORAMENTOS EFETIVOS
07
COMUNICAÇÃOE PROGRAMAS
DE TREINAMENTO CONTÍNUOS
08
CANAL DE DENÚNCIA, MECANISMOS DE INVESTIGAÇÃO E DISCIPLINARES
• Conhecimento dos riscos da companhia • Relevância e priorização para estratégias
de mitigação
• Tone at the top• Permeabilidade da cultura• Responsabilidade coletiva
• Estrutura de complianceindependentee autônoma
• Regras claras, concisase acessíveis
• Códigos setoriais para áreas e relações mais sensíveis
• Política anticorrupção
• Todos prestadores de serviços de alto riscos
• Especial atenção a quem interage com o poder público
• Meios de monitoramento de ambiente corporativo
• Meios de monitoramento de pagamentos
• Auditorias internas
• Treinamentos diferentespara cada nível
• Campanhas periódicasde conscientização
• Canal de denúncia independente, anonimato
• Resultados documentados• Violações apuradas, tratadas
e registradas
02
COMPROMETIMENTOCOM A CULTURADE COMPLIANCE
05ATIVIDADES
DE DUE DILIGENCE
Componentes efetivos de um programa de Ética e Compliance
Outsourcing ICTS – Trusted ServicesTerceirização da operação de:
Monitoramento do ambiente de trabalho (e-mails corporativos, instant messaging, estações de trabalho, telefones celulares e acessos físicos e lógicos)
Monitoramento de processos críticos e auditoria contínua
Monitoramento de riscos na Web
Canal Confidencial (denúncias e atendimentos de ouvidoria interna/externa)
Canal de Emergências
Apuração de casos
Disponibilização de estrutura completa e diferenciada, dedicada à captação, monitoramento e análise de situações deriscos aos negócios de nossos clientes.
Quick Facts – Monitoramentos:
Serviço especializado na detecção, análise e qualificação dos incidentes (risco e relevância), com foco sobre os envolvidos e modusoperandi empregadosOperação fluente em português, inglês, espanhol, francês e mandarim (outros idiomas podem ser suportados)+100 mil contas de e-mail corporativo continuamente monitoradas
Monitoramento ativo e contínuo de e-mails corporativos
Utiliza o fluxo de e-mails corporativos para controle e detecção de irregularidades envolvendo a empresa, seus colaboradores e outros focos de interesse (PF/PJ) Permite a identificação dos envolvidos e coleta evidências/subsídios para o aprofundamento de
ações preventivas, corretivas e de recuperação Adiciona inteligência sobre temas de interesse da organização (projetos estratégicos, divulgação de
resultados, etc) Identifica por meio de análise estruturada e orientada aos riscos corporativos, e pelo mapeamento
das redes de relacionamentos: Transgressões à leis (tráfico de drogas, desvio/furto/roubo de ativos, legislação trabalhista, etc) Transgressões à regulamentações (ex.: FCPA, Lei Anticorrupção) Transgressões às políticas, normas e procedimentos da empresa Vínculos entre colaboradores, entre colaboradores e clientes e/ou fornecedores (conflito de
interesses e favorecimentos/conluios) Vazamento de informações Fraudes Desvios de conduta ética (agressões, assédios, discriminação, relacionamento íntimo, etc.) Erros operacionais Potencial perda de colaboradores-chave (envio de CV, sondagem /hunting)
Monitoramento ativo e contínuo de e-mails corporativosRegras de monitoramento (aplicáveis conforme o objetivo da operação)
Regras padrão - palavras-chave(dicionários mantidos pela ICTS)
Ações fraudulentas Assédio moral Assédio sexual Corrupção/FCPA/Lei Anticorrupção Descumprimento de procedimentos Desligamento/saída de colaborador Discriminação Insatisfação (reclamação) da empresa Mobilizações/Manifestações Recrutamento e seleção Relacionamento íntimo Risco à imagem Sabotagem Suprimentos/Compras Uso ou tráfico de drogas/substâncias ilícitas Vazamento de informações (dados financeiros/metas,
informações estratégicas, propriedade intelectual) Violência/Terrorismo
Regras customizadas - palavras-chave(contextos específicos e temas de interesse do cliente )
Concorrentes (ex) Colaboradores específicos Fornecedores/terceiros específicos Processos específicos Projetos específicos Outros
Regras sobre características da mensagem(independentes do conteúdo)
Fluxo da mensagem (foco sobre saídas) Envio para e-mails públicos Número de destinatários Quantidade de anexos Tipo de anexos Tamanho de anexos Dia/Horário de envio Uso de compactação/proteção por senha
Conjunto de sistemas desenvolvidos com base na metodologia de Gestão de Riscos da ICTS
Permitem a identificação de comportamentos de risco e sinais suspeitos dos colaboradores e operações monitorados, por meio de regras e alertas de monitoramento aplicadas sobre os dados capturados.
Alertas de monitoramento construídos sobre dados estruturados e dados não estruturados (buscas por palavras chave, inclusive, no caso de e-mails, sobre o conteúdo de arquivos anexados)
Foco no comportamento do colaborador/envolvidos e não apenas em eventos individuais, considerandopadrões de comportamento ao longo do tempo (histórico e tendências)
Plataforma de monitoramento ICTSDetecção de incidentes
Acessado via internet, para gestão dos incidentes registrados, de forma segura e eficaz, oferecendo: administração de usuários pelo própio cliente visualização e atualização de informações ao
longo do ciclo de apuração dos incidentes (registro de observações/decisões tomadas, inclusão de anexos, solicitação de informações via workflow de tarefas, customização de campos para qualificação de aspectos do incidente e envolvidos) criptografia das informações registradas, com
senha definida e gerida pelo Cliente realização de buscas livres e/ou estruturadas
por diferentes características do incidente (conteúdo, período, tipo, prioridade, etc) geração de relatórios on-line (dashboard
dinâmico) e possibilidade de exportação para PDF ou XLS Relatórios customizados podem ser desenvolvidos
conforme a necessidade do cliente.
Plataforma de monitoramento ICTSGestão dos casos
Monitoramento ativo e contínuo de e-mails corporativosFluxo de operação
Uma interação freqüente suporta a otimização contínua das regras de monitoramento.
Estatísticas gerenciais são disponibilizadas periodicamente1.
Mensagens alertadas são analisadas e correlacionadas, permitindo a identificação de incidentes (situações de risco à empresa), com identificação dos envolvidos.
Os dados de e-mail (entradas e saídas) são enviados do ambiente do cliente para o ambiente da ICTS.
1 Normalmente, periodicidade semanal (incidentes da semana) e mensal (relatório executivo do monitoramento)
Os dados são processados e verificados por um conjunto de regras de risco que promovem assertividade ao monitoramento.
Os incidentes e recomendações são reportados e/ou escalados para responsáveis previamente definidos. Evidências são preservadas.
1
2
3
4
5
6
Relatórios
Análise dos Riscos
Evidências
Gestor do Cliente
Analista TS
Gerente TS
Controle eQualidadeControle eQualidade
Reporte e Follow-upReporte e Follow -up
Análise e Recomenda ção
Análise e Recomenda ção
• Mapeamento e Customização dos Riscos
• Definição de Regras para monitoramento
• Análise Individual
• e-mails• Relatórios on-line• Relatórios
periódicos• Recomendações• Escalamento de
incidentes
Regras
IncidentesAlertasEventos
AnáliseReportesRecomendaçõesEscalamento
Regras
IncidentesAlertasEventos IncidentesAlertasAlertasEventos
AnáliseReportesRecomendaçõesEscalamento
RelatóriosRelatórios
Análise dos Riscos
Análise dos Riscos
EvidênciasEvidências
Gestor do Cliente
Analista TS
Gerente TS
Gerente TS
Controle eQualidadeControle eQualidade
Reporte e Follow-upReporte e Follow -upReporte e Follow-upReporte e Follow -up
Ambiente técnicodo cliente
Análise e Recomenda ção
Análise e Recomenda ção
• Mapeamento e Customização dos Riscos
• Definição de Regras para monitoramento
• Análise Individual
• Relatórios on-line• Relatórios
periódicos• Recomendações• Escalamento de
incidentes
Regras
IncidentesAlertasEventos
AnáliseReportesRecomendaçõesEscalamento
Regras
IncidentesAlertasEventos IncidentesAlertasAlertasEventos
AnáliseReportesRecomendaçõesEscalamento
Envio
Nível de detecção3,4 incidentes/mês para cada 100 contas monitoradas
Foco em vazamento de informações é efetivo, porém outros perfis de comportamento são também detectados.
MONITORAMENTO DE E-MAILS CORPORATIVOS - TIPOS DE INCIDENTES
Base analisada:• +16 mil contas de e-mail corporativo
monitoradas de forma contínua• Período: Jan/10 até Jul/14• 11.448 incidentes detectados
Estatísticas da operação de monitoramento ICTS
Operações/Manufatura e Comercial concentram +50% dos incidentes detectados
Fraco24%
Crítico0,4%
Forte 18%
Médio58%
PERFIL DE IMPACTO POTENCIAL
Base analisada:• +16 mil contas de e-mail corporativo
monitoradas de forma contínua• Período: Jan/10 até Jul/14• 11.448 incidentes detectados
Estatísticas da operação de monitoramento ICTS
MONITORAMENTO DE E-MAILS CORPORATIVOS – ÁREAS OFENSORAS
Identificada funcionária da área de Compras enviando para e-mailparticular um link de site de armazenamento e compartilhamento dearquivos, 4shared.com.Análise aprofundada revelou que neste link a funcionáriadisponibilizava publicamente (sem senha) diversas planilhas - totalde 180MB - contendo informações detalhadas de estoque deprodutos.
Identificado funcionário (Técnico de Logística Jr.) enviando para e-mailde terceiro uma planilha contendo informações de 6.764colaboradores (Nome, Cargo, Salário, Data de Adm, Idade,Escolaridade), incluindo informações do CEO/Presidência, DiretoriaGlobal, Vice Presidência, entre outros. Verificou-se também que omesmo funcionário realizava o vazamento de informações defornecedores e clientes.
Salários da Empresa
Neste caso, a funcionária enviou para e-mail particular planilhacontendo informações sobre promoções programadas para aBlack Friday, representando alto risco de vazamento paraconcorrentes ou benefício próprio da funcionária. Identificamostambém que os funcionários da mesma área, e que tinhamacesso a essas informações privilegiadas sofriam de fatoassédio de colegas e familiares para divulgação dos preçosantes da data prevista.
Funcionário envia para e-mail particular planilhas contendoinformações financeiras e do planejamento de crescimentopara os próximos 5 anos do grupo (Societário Anual,Regulatório Anual, Projeções, Balanço Patrimonial, Projeçõesdo Balanço, Fluxo de Caixa Indireto, Dívida Líquida porEBITDA, Balancete Regulatório).
Divulgação de Resultados e Planejamento Financeiro
Posição de EstoquesPromoções da Black Friday
Exemplos de casos detectados pelo monitoramento ICTS
VAZAMENTO DE INFORMAÇÕES
Através da regra Vazamento de Informaçãoidentificou-se um funcionário (Comprador Jr)enviando para e-mail particular planilha contendodiversos valores.
Confirmou-se que o funcionário superfaturava o valor das compras a fim de obterbenefício próprio. O monitoramento de e-mail também levantou suspeitas sobreoutros funcionários do setor.Com essas evidências a empresa teve informações suficientes para demitir ofuncionário e outros que participavam da ação irregular.
Nesta planilha encontramos abas com informaçõesde cotação de produtos e a aba “apartamento”. Aanálise foi focada nessa relação entre um assuntoparticular (apartamento) e os preços dosfornecedores.Analisando os valores, identificamos que adiferença entre a cotação do fornecedor e novopreço era por volta de R$13 mil, aproximadamentemetade do valor da entrada citada na aba“apartamento”.Novas buscas revelaram um contexto de pressãosituacional e financeira: nascimento do filho dofuncionário e a compra do apartamento.
Contexto
Análise
Resultado
SUPERFATURAMENTO DE COMPRAS E RECEBIMENTO DE PROPINA
Exemplos de casos detectados pelo monitoramento ICTS
Através das regras de monitoramento identificou-se troca demensagens de cunho suspeito de um funcionário (Assistente deLogística) com e-mail de domínio público.
"Primex, vem na sexta to com a branquinha dura [cocaína]que aquele bandido me empurrou, o véio ta sem nada porenquanto então vai a que tem . se vier da uma ligada amanhã. abraço" / " (...) dei 300 conto pro bandido me adiantar a9nine [cocaína 99% de pureza] (...)”
Além disso, realizamos buscas na Web e identificamosimagens em redes sociais que indicaram gastos e estilo de vidaincompatíveis com o salário/cargo do funcionário.
Novas análises revelaram que o funcionário enviava para terceirosmaterial com conteúdo pornográfico, inclusive pedofilia.
Com base nas evidências levantadas pela ICTS, a empresa tevesubsídios suficientes para demitir o funcionário.
Contexto
AnáliseUm estudo da linguagem utilizada revelou que se tratava detráfico de drogas:
Resultado
TRÁFICO DE ENTORPECENTES
Exemplos de casos detectados pelo monitoramento ICTS
Cronograma típico
Atividades Definição
Confirmação de objetivos
Entendimento/Refinamento dos riscos a serem prevenidos Mapeamento das pessoas, informações, áreas, processos/sistemas
e transações relacionados aos riscos identificados Definição dos parâmetros e regras específicas de monitoramento
Preparação Técnica e
Operacional
Implantação da infra-estrutura tecnológica de monitoramento (conectividade, transferência de mensagens) Definição dos termos e estratégias de varredura contínua Parametrização do sistema de monitoramento ICTS (filtros e
regras de monitoramento) Customização dos procedimentos de operação (SOP): gestão da
rotina, gestão de incidentes (relevância, categorização, escalamento e melhoria contínua) Capacitação das equipes
Operação assistida
Início da operação: fine-tuning de filtros, regras e padrões operacionais (SOP) Confirmação de SLA e dos relatórios da operação e gestão
Operação contínua
Monitoramento e análise ativa dos riscos (contínuo) Reportes pontuais e periódicos Reuniões de acompanhamento, feedback e recomendações Aprimoramento contínuo das regras de monitoramento
Semanas 01 02 03 04 05 06 ...
Implantação
Confirmação de objetivos
Preparação Técnica
Preparação Operacional
Início da operação
Operação assistida
Operação contínua ...
Monitoramento ativo e contínuo de e-mails corporativosImplantação
Contamos exclusivamente com profissionais de formaçãosuperior, selecionados num processo rigoroso queenvolve a avaliação de Aderência Ética® de cadaindivíduo, garantindo elevado padrão ético e moral,adequados ao nível de confidencialidade e maturidadeque o serviço requer.
Profissionais treinados em Gestão de Riscos, Segurançade Informações, Inteligência Preventiva e na aplicação detécnicas de entrevista por telefone e de análise deconteúdo oral e escrito, segundo a metodologia SCAN© –Scientific Content Analysis.
Habilitada para definir recomendações alinhadas aocontexto de negócio de cada cliente, para reação ecorreção dos riscos inerentes às situações denunciadas.
Diferenciais ICTS
Nossa EstruturaNossa Equipe Realizada na cidade de Barueri (Alphaville), São Paulo, em local segregado das
demais operações da ICTS, conta com ambientes internos organizados deacordo com a criticidade do serviço prestado, monitorados por câmeras deCFTV e gravação no formato digital.
Toda a infraestrutura tecnológica e instalações (estação de trabalho, link decomunicação, mobiliário, etc.) e, fundamentalmente, os quesitos de segurançafísica e de informações, são geridos pela própria ICTS e seguem elevadospadrões de segurança.
Todo ambiente lógico de armazenamento e transmissão de dados seguereconhecidos padrões e critérios de segurança, tais como:Comunicação encriptada, protocolo HTTPS (SSL), para acesso ao site e
páginas administrativas, e VPN na comunicação interna, tanto de voz comodados. Infraestrutura redundante de servidores e links em topologia de alta-
disponibilidade (99,95%), monitorada de forma automatizada em regime 24x7. Backups diários e semanais, transferidos para locais físicos distantes
(distância superior a 18 km).
Propriedade e Confidencialidade
Material de propriedade da ICTS;
Este material contém informações confidenciais, e é proibida a sua divulgação em público;
Este documento é somente para utilização interna do destinatário primário e não deve ser copiado ou reproduzido a terceiros.
Cassiano MachadoSócio diretor
www.icts.com.brFinding the Right Track
Fernando ScanaviniLíder da prática
SÃO PAULO+55 11 2198 4200Rua James Joule, 655º andar, Torre SulBerrini, São Paulo – SPCEP 04576-080
RIO DE JANEIRO+55 21 2511 2651Av. Rio Branco, 109 cj 702Centro, Rio de Janeiro – RJCEP 20040-004