Monitoração de Fraudes nos Sistemas de Informação

Os canais eletrônicos de relacionamento de grande abrangência com clientes e parceiros fazem parte da estratégia de muitas empresas de diferentes indústrias. O objetivo claro é diminuir o custo operacional da estrutura de suporte. Para exemplificar, temos os sistemas Internet Banking, os sistemas de carga de telefones celulares, benefícios corporativos (vale-alimentação, transporte), gestão terceirizada de folha de pagamento e processos de contabilidade, entre outros tantos.

É verdade também que o risco inerente da estratégia é conviver com novas e diferentes vulnerabilidades e técnicas de ataques e fraudes, por meio dos sistemas automatizados. Um ataque bem estruturado e de grande abrangência pode não só gerar uma perda financeira significativa, como acabar com um negócio a partir da fuga em massa dos clientes, por causa da perda da confiança no canal.

Dentro deste contexto, é importante destacar quais medidas devem ser tomadas, ainda durante o planejamento do projeto, para mitigar os riscos levantados. As análises de vulnerabilidades, ou testes de invasão como preferem chamar alguns, são um pré-requisito de qualquer projeto desta natureza, mas podem não ser suficientes atualmente.

É necessário ter um monitoramento contínuo das transações, buscando identificar tentativas de fraudes, ou mesmo testes de limites e controles dos sistemas. Isto é muito comum na área de cartões de crédito. Quem já não teve uma transação negada porque ela não era compatível com o perfil de utilização?

Neste sentido, atualmente, parece ser uma necessidade, e quase uma exigência, migrar esta tecnologia e experiência de monitoração de fraudes para os sistemas emergentes. Refiro-me a criar BIs (Business Intelligence) específicos para monitoramento de transações em tempo de autorização/execução. É claro que as regras de verificações e ações devem ser especificas e adequadas a cada negócio.

Para ilustrar a questão; eventualmente, em um sistema de seguro saúde, uma transação a partir de um cartão magnético em uma entrada de hospital no Pronto Socorro jamais poderá ser negada por suspeita de fraude, mas certamente ela poderá ser “marcada” para acompanhamento mais detalhado.

Por outro lado, a autorização de transações de um mesmo cartão-refeição em locais distantes em curto espaço de tempo pode caracterizar uma suspeita de fraude e gerar uma negação.

Reparem que muito mais do que um trabalho de tecnologia, estamos lidando com o conhecimento aprofundado do processo de negócio, da indústria e do mercado em que a empresa está inserida. Também não é difícil perceber que não se trata de um projeto, com começo, meio e fim. Trata-se de um processo contínuo, no qual as regras e ações serão aperfeiçoadas continuamente e indicadores de qualidade e eficiência devem ser claramente definidos e acompanhados.