Resumo
O Dia Internacional da Segurança da Informação, celebrado em 30 de novembro, corresponde à denominação em português de uma campanha originalmente conhecida em inglês como Computer Security Day. Seu objetivo é estimular pessoas e organizações a proteger computadores, programas e informações contra falhas, perdas, acessos não autorizados e outras ameaças. A evidência histórica mais sólida disponível atribui a iniciativa ao capítulo de Washington, D.C., do Special Interest Group on Security, Audit, and Control (SIGSAC), da Association for Computing Machinery (ACM), em 1988. Um relatório anual do próprio SIGSAC registra que a iniciativa nasceu naquele ano e foi posteriormente adotada como atividade do grupo.
A data é difundida internacionalmente por instituições de ensino, organizações de tecnologia, empresas e órgãos públicos, inclusive no Brasil. Contudo, não foi identificada norma brasileira que tenha instituído 30 de novembro como data nacional, nem resolução das Nações Unidas que a reconheça como data internacional oficial. Por isso, sua classificação mais apropriada é institucional, e não oficial.
É frequente a afirmação de que a data teria sido criada em resposta direta ao worm de Morris, programa que se disseminou pela internet em 2 de novembro de 1988. O episódio é importante para o contexto histórico da segurança computacional e ocorreu no mesmo ano da criação da campanha. Entretanto, os documentos históricos consultados sobre o Dia da Segurança Computacional atribuem sua origem à iniciativa do capítulo de Washington do SIGSAC e explicam a escolha do período pelo objetivo de manter a atenção à segurança durante as festas de fim de ano. Eles não apresentam o worm como ato formal de criação da data. Assim, a vinculação causal direta deve ser tratada como versão repetida posteriormente, mas não comprovada pela documentação fundadora localizada.
Contexto histórico
No fim dos anos 1980, computadores já eram empregados de forma crescente em universidades, empresas e órgãos governamentais. A proteção de senhas, programas, cópias de segurança, inventários de equipamentos e controles de acesso passou a ser uma preocupação mais visível, ainda antes da popularização comercial da internet e décadas antes de a palavra “cibersegurança” ganhar o sentido amplo atual.
Em 2 de novembro de 1988, um programa autorreplicante passou a explorar falhas em máquinas Unix ligadas à então pequena internet acadêmica e governamental. O estudo técnico de Eugene H. Spafford, produzido naquele mesmo mês, registrou que o programa se disseminou por milhares de máquinas e interrompeu atividades normais e a conectividade por vários dias. O caso ficou conhecido como worm de Morris. Ele demonstrou, de maneira pública e concreta, a escala que vulnerabilidades de software e redes interconectadas poderiam alcançar.
Esse episódio ajuda a explicar o ambiente de preocupação em que o Dia da Segurança Computacional foi criado. Mas contexto histórico e causa documental não são a mesma coisa: a coincidência temporal não basta, por si só, para provar que o incidente determinou a criação da comemoração.
Origem documentada
O relatório anual do ACM/SIGSAC referente ao exercício de 1995 declara que o Computer Security Day foi uma iniciativa iniciada em 1988 pelo capítulo de Washington, D.C., do SIGSAC, para conscientizar a comunidade sobre segurança computacional. O mesmo texto informa que a campanha havia sido adotada como atividade do próprio ACM/SIGSAC e que organizações participantes recebiam cartazes e sugestões de ações.
Uma publicação universitária de 1994, da University of British Columbia, oferece confirmação independente e contemporânea: afirma que a data começou em 1988, quando o capítulo de Washington do SIGSAC decidiu dar maior atenção à segurança computacional. O texto descreve uma observância descentralizada, realizada nos locais de trabalho e estudo, e registra a adesão de mais de mil organizações naquele ano.
Essas fontes sustentam a identificação do criador institucional como o capítulo de Washington, D.C., do ACM SIGSAC. Elas não sustentam as versões que atribuem a criação a uma entidade chamada “American Computer Equipment Association”, “Association for Computer Security” ou a uma declaração estatal. Tais denominações aparecem em conteúdos posteriores e em calendários, mas não foram confirmadas pela documentação institucional primária localizada.
Por que 30 de novembro foi escolhido
A explicação documentada para o período é preventiva e organizacional. A publicação da University of British Columbia, em 1994, informa que foi escolhido o último dia útil de novembro para que a atenção à segurança permanecesse alta durante a temporada de festas, quando ela poderia se tornar menos rigorosa. A ideia era antecipar um período de férias, viagens, fechamento de atividades, maior consumo e menor vigilância operacional.
Há, porém, uma divergência documental importante. O relatório do ACM/SIGSAC de 1995 diz que a observância ocorria no primeiro dia útil de dezembro; já a publicação de 1994 menciona explicitamente o último dia útil de novembro. Nas décadas seguintes, a data se consolidou amplamente como 30 de novembro, inclusive em materiais da associação voltada à campanha e em comunicações de instituições participantes. A divergência provavelmente reflete uma prática de adaptação ao calendário de trabalho, mas os documentos examinados não permitem determinar com segurança se 30 de novembro foi a regra fixa desde 1988 ou se se tornou a convenção predominante posteriormente.
Portanto, é documentado que a escolha visava manter a segurança em evidência antes das festas de fim de ano. Não é documentado, nas fontes fundadoras localizadas, que 30 de novembro tenha sido escolhido por ser a data do worm de Morris: o ataque ocorreu em 2 de novembro de 1988.
Evolução e linha do tempo
- 2 de novembro de 1988: ocorre a disseminação do worm de Morris na internet então existente; análises técnicas contemporâneas registram impacto em milhares de máquinas.
- 1988: o capítulo de Washington, D.C., do ACM SIGSAC inicia o Computer Security Day, segundo o relatório institucional posterior do grupo.
- 1993: o National Institute of Standards and Technology (NIST) registra “Computer Security Day” em seu relatório anual de atividades.
- 30 de novembro de 1994: a University of British Columbia promove a observância e informa que ela reuniria mais de mil organizações, com o tema da responsabilidade individual.
- 1995: relatório do ACM/SIGSAC registra a adoção da iniciativa como atividade do grupo e participantes em 11 países, além da maioria dos estados norte-americanos.
- Anos 2000 em diante: a campanha passa a ser divulgada de forma mais ampla como data internacional de conscientização, agora frequentemente associada a senhas, atualizações, cópias de segurança, engenharia social, privacidade e proteção de dados pessoais.
Como é observada
Não há rito único, feriado ou cerimônia central obrigatória. Historicamente, a proposta foi que cada organização realizasse ações em seu próprio ambiente. Entre as medidas sugeridas em materiais dos anos 1990 estavam trocar senhas, verificar a presença de vírus, fazer cópias de segurança, remover arquivos desnecessários, conferir inventários de programas e equipamentos, proteger fisicamente computadores e verificar controles sobre código-fonte.
Na forma contemporânea, as ações costumam incluir campanhas educativas, treinamentos, revisão de senhas e autenticação multifator, atualização de sistemas, testes de cópias de segurança, simulações de phishing e divulgação de políticas de segurança. Essas práticas não decorrem de uma obrigação legal vinculada à data; são formas de adesão voluntária ao seu propósito de conscientização.
Situação, abrangência e legislação
Situação: institucional. A comemoração decorre de iniciativa associativa e profissional ligada ao ACM/SIGSAC, com difusão posterior por instituições públicas, privadas e educacionais. Ela não foi localizada como feriado ou data oficial criada por lei no Brasil.
Abrangência: mundial, com circulação e observância também no Brasil. A designação “internacional” descreve sua difusão transnacional; não equivale, por si só, a reconhecimento por organização intergovernamental.
Legislação e documentos: não foi identificado ato legislativo brasileiro ou resolução internacional que institua especificamente o Dia Internacional da Segurança da Informação em 30 de novembro. A legislação brasileira sobre segurança da informação e proteção de dados trata de políticas, competências, sigilo, proteção de dados e segurança digital, mas não foi localizada norma que crie esta comemoração. O documento institucional central para a origem é o relatório do ACM/SIGSAC; registros do NIST e da University of British Columbia corroboram a existência e a prática da campanha nos anos 1990.
Controvérsias e limites de comprovação
A principal controvérsia é a autoria da iniciativa. Diversos textos recentes atribuem a data genericamente à ACM, a uma “Association for Computer Security” ou a uma associação norte-americana de equipamentos de informática. A fonte institucional do ACM/SIGSAC, porém, é mais específica: aponta o capítulo de Washington, D.C., do SIGSAC como iniciador em 1988. A forma mais precisa de apresentar a origem é, portanto, relacioná-la ao capítulo local do grupo especializado da ACM.
Outra controvérsia é a relação com o worm de Morris. O incidente é real, ocorreu em novembro de 1988 e teve grande importância histórica. Ainda assim, nenhuma das fontes institucionais e contemporâneas localizadas sobre a fundação da data afirma que ele foi a causa formal da criação. A versão deve ser apresentada como associação retrospectiva plausível, não como fato comprovado.
Também há discrepância entre “último dia útil de novembro” e “primeiro dia útil de dezembro” nos registros de 1994 e 1995. A prática atual de fixar 30 de novembro é amplamente usada, mas a evolução exata dessa fixação permanece insuficientemente documentada nas fontes encontradas.
Curiosidades relevantes
- O worm de Morris não ocorreu em 30 de novembro, mas em 2 de novembro de 1988; por isso, a escolha de 30 de novembro não corresponde ao aniversário do incidente.
- O relatório do NIST relativo a 1994 registra que ações do Computer Security Day alcançaram 2.600 integrantes de sua equipe, evidenciando que a data já era usada em programas de conscientização de instituições científicas e governamentais.
- Em 1994, a University of British Columbia apresentou a responsabilidade individual como tema da observância, sinal de que o enfoque em comportamento de usuários já estava presente antes das atuais campanhas de cibersegurança.
- Materiais históricos da campanha incluíam recomendações hoje datadas, como proteger disquetes contra gravação, ao lado de medidas ainda correntes, como trocar senhas e manter cópias de segurança.
FAQ
O Dia Internacional da Segurança da Informação é oficial no Brasil?
Não foi localizada lei federal brasileira que institua a data em 30 de novembro. No Brasil, ela é uma efeméride de conscientização divulgada por instituições e calendários, sem o status de data nacional oficial comprovado.
Quem criou a data?
A documentação mais consistente atribui a iniciativa, em 1988, ao capítulo de Washington, D.C., do SIGSAC, grupo de segurança da Association for Computing Machinery (ACM).
O worm de Morris criou a comemoração?
Não há prova documental suficiente para afirmá-lo. O worm ocorreu no mesmo mês e no mesmo ano e compõe o contexto histórico, mas as fontes fundadoras consultadas não o apresentam como a causa formal da criação.
Por que a celebração é em 30 de novembro?
Uma fonte de 1994 explica que o último dia útil de novembro foi escolhido para reforçar a segurança durante as festas de fim de ano. Há um registro institucional de 1995 que menciona o primeiro dia útil de dezembro; a consolidação posterior em 30 de novembro é evidente, mas sua cronologia exata não está totalmente esclarecida.
É a mesma coisa que Dia da Cibersegurança?
Não necessariamente. A denominação histórica é Computer Security Day, centrada na segurança de computadores e informações. Hoje ela é frequentemente aproximada da cibersegurança, campo mais amplo que inclui redes, serviços, pessoas, infraestruturas e ambientes digitais.