Os segredos do SPED para empresas

As empresas terão de estar preparadas para atender às atuais e a novas demandas do Sped, sob pena de serem punidas

Ricardo Gimenez é sócio-fundador da Coldwell

Estabelecido em 2007, o projeto do Sistema Público de Escrituração Digital (Sped tem foco na informatização da relação entre o fisco e os contribuintes.

A legislação, os processos e novos métodos do projeto Sped trouxeram às empresas e ao fisco um grau elevado de modernização, colocando o Brasil na vanguarda mundial em tecnologia aplicada a obrigações fiscais e processos empresariais de report contábil e fiscal a âmbitos governamentais.

O projeto Sped encurtou o tempo gasto com validações fiscais, escrituração e conferência de documentos, garantindo processos empresariais em tempo real, transparentes e com alto grau de acerto. Desta forma, as empresas já faturam mais rápido, com mais controle gerencial e menos complicação burocrática. As apurações dos resultados financeiros, fiscais e contábeis se tornaram eficientes, reduzindo riscos de fraude e sonegação.

Embora ainda haja dúvidas sobre as mudanças, os benefícios compensam. Por isso, as empresas devem se preparar para esta tendência. Hoje, a principal questão é: por onde começar?

Primeiro é necessário saber que o Sped é um conjunto de leis, programas e procedimentos que mudaram a forma como o Brasil Empresarial trabalhava, forçando investimentos em capacitação e tecnologia aplicada a empresas e pessoal, o que aumentou a transparência fiscal das empresas. O segundo passo é entender quais são os tipos de Sped e em qual obrigatoriedade sua empresa se encaixa. 

Veja:

O projeto Sped consiste em dois formatos de informações a serem entregues ao fisco, como os Arquivos Digitais Periódicos em formato texto (. TXT) e os Arquivos Digitais Trafegados como Mensageira (.XML), tendo três grandes pilares nos dados: Contábeis, Fiscais e a NF-e (Nota Fiscal Eletrônica). Estes fundamentos se dividiram nos formatos a serem entregues ao fisco:

A Nota Fiscal Eletrônica Nacional substituiu a Nota Fiscal em papel. Entregue no formato de Mensageira (.XML) à Receita ou à Secretaria de Fazenda do estado onde é emitida. É enviada ao fisco e validada.

A Nota Fiscal Eletrônica de Serviços. Os serviços são sempre tributados no âmbito municipal, assim, cada município adotou um padrão diferente.

O Sped Contábil, que entrou em vigor em 2008 e foi entregue pela primeira vez em 2009, substituindo os Livros Contábeis em papel, como o Diário e o Razão Analítico. 

Hoje, todas as empresas brasileiras optantes pelo regime de Lucro Real estão obrigadas ou podem aderir voluntariamente ao Sped Contábil. 

O arquivo digital do Sped Contábil deve ser gerado em formato texto (.TXT), de acordo com padrões da Receita, e entregue todo último dia útil do mês de junho de cada ano.

O Sped Fiscal substitui os Livros Fiscais de entrada, saída e inventário. A partir de janeiro de 2011 substituirá também o Controle do CIAP, sendo entregue mensalmente em conjunto.

O Sped PIS-Cofins passará a ser entregue em 2011 com base mensal e inclui dados e notas fiscais em que incidiram PIS e Cofins.

O Sped FCont foi obrigatório em 2008 e 2009, apontando dados referentes a dedução de impostos federais. Foi revogado pelo e-Lalur, antigo Livro de Apuração do Lucro Real. Em seu novo formato eletrônico já é obrigatório a partir de 2010, com entrega em junho de 2011 para empresas no regime tributário do Lucro Real.

O Sped e-FOPAG está previsto para 2012 e será a Folha de Pagamentos Eletrônica.

 

Além destes exemplos, novos modelos e variações irão surgir. Por isso, as empresas e principalmente as de grande porte terão de estar preparadas para atender às atuais e a novas demandas do Sped. 

As empresas são obrigadas a aderir ao Sped seguindo os critérios abaixo:

Código CNAE: Toda empresa é registrada junto à Receita com um tipo de atividade. Este ramo é referenciado pelo Código Nacional de Atividade Econômica (CNAE).

Inscrição Estadual e CNPJ – Por se tratar de uma obrigação federal, mas com cunho estadual, a Receita Federal e a Sefaz de cada estado têm selecionado empresas por numero de IE ou CNPJ, de acordo com o faturamento, benefícios fiscais adquiridos ou concedidos e até pelo montante de impostos devidos ou parcelados.

Segmento de Mercado – Várias empresas já foram selecionadas pelo segmento de mercado, como Produtores de Bebida, Fumo e Atacadistas de Autopeças.

Regime de Acompanhamento Diferenciado – A Receita obrigou em 2008 as empresas nesse regime a entregarem o Sped Contábil.

Em 2009, todas as empresas de Lucro Real. Agora, são as empresas do Lucro Presumido.

Perfil Operacional e Tributário – A Receita e a Sefaz estão livres para enquadrar empresas que tenham certos tipos de Operação Fiscal ou Contribuintes a entregar o Sped.

Para evitar erros e compreender as características do Sped, é importante ter um bom contador. As empresas precisam de processos aderentes ao Sped, pessoas com conhecimento funcional e técnico do que está envolvido no Sped e em seus vários conteúdos, além de software adaptado à legislação do Sped.

E se a empresa não entregar o Sped? As empresas correm o risco de serem multadas em valores que vão de R$ 5 mil pela não-entrega no prazo até a percentuais elevados do faturamento bruto. Podem ter seus sócios e representantes legais acusados de crimes de sonegação com penas de prisão e bloqueio de bens.

Não entregar o Sped ou a NF-e é prejuízo. Porém, deve-se atentar à entrega incompleta. Muitas empresas têm entregado arquivos vazios e em branco, o que acarretará multas pesadas e até o bloqueio de inscrições estaduais, resultando no fechamento de empresas em futuras fiscalizações federais, estaduais e municipais.

Ricardo Gimenez é sócio-fundador da Coldwell

Fonte: DCI On-line/ Roberto Dias Duarte

Cias Unimed Vitória é destaque em gestão de TI

Integração de protocolos e sistemas de gestão permitiu ao hospital uma redução de 20% no tempo de atendimento do pronto-socorro

por Guilherme Batimarchi

08/12/2010

Investimentos em infraestrutura de TI e novos sistemas de ERP (Enterprise Resource Planning) clínico e administrativo têm ajudado o Cias Unimed Vitória a gerenciar custos, reduzir o tempo de atendimento do pronto-socorro e aumentar o índice de satisfação dos clientes.

Quer ficar por dentro sobre tudo o que acontece no setor de saúde? Assine gratuitamente a nossa newsletter diária e receba os destaques em sua caixa de e-mail.

Para obter sucesso na padronização de processos, comunicação entre pessoas e sistemas, atualização em tempo real de prontuários eletrônicos e emissão, transmissão e auditoria eletrônica de contas, a instituição conta com o MV 2000, ferramenta desenvolvida pela MV. Além do sistema, o hospital conta com uma infraestrutura de TI que envolve uma rede de 12 km de fibra ótica dividida em três anéis que conectam todas as 12 unidades da Unimed Vitória. 'A disposição da rede permite uma maior segurança no caso de interrupções. Casa aja algum problema com os cabos, os dados que transitam na rede são imediatamente direcionados para uma rota alternativa, mantendo o fluxo de informações sem afetar o usuário dentro das unidades', afirma o gerente de TI do Cias Unimed Vitória, Gison Bscariol.

Integrada a processos como o protocolo de Manchester a utilização do MV 2000 reduziu em 20% no tempo de espera no atendimento do pronto-socorro da unidade e aumentou o nível de satisfação dos pacientes em relação ao serviço prestado de 83% para 91%. 'Informatizamos nossas operações há cerca de sete anos e fomos o primeiro hospital do País a ter um sistema 100% eletrônico, com um índice baixíssimo de resistência à mudança de tecnologia', afirma o superintendente de recursos próprios da Unimed Vitória, Paulo Augusto Aragão

Para que a integração dos ERPs clínico e administrativo fosse um sucesso, o hospital precisava qualificar todo o seu corpo clínico e demais colaboradores envolvidos no processo em um curto período de tempo. Para isso o hospital criou uma estrutura de atendimento 24 horas para dar suporte técnico aos médicos. 'Tivemos 100% de resposta às demandas, o que colaborou muito para reduzir a resistência à adesão do novo sistema por parte dos colaboradores', completa Bscariol.

Segundo o gerente de TI, além do suporte, a instituição ofereceu um programa de qualificação com horários extremamente flexíveis, possibilitando que os profissionais agendassem os treinamentos de acordo com a disponibilidade em suas agendas. 'Algumas de nossas equipes iam dar treinamento aos médicos em seus consultórios e até mesmo em suas residências'.

Projetos futuros

Com o projeto do ERP consolidado, o hospital parte para a segunda etapa de modernização de seus sistemas e em parceria com a MV está desenvolvendo uma solução de certificação digital por meio biométrico de identificação, em que o médico poderá acessar os laudos, exames e até prescrever remotamente. Segundo Aragão, o projeto deve implementado até o final de 2011.

Alem da certificação, está prevista para 2011 a conclusão da construção de uma sala cofre que abrigará a central de processamento de dados (CPD), que conta com tecnologia IBM.

O hospital está investindo cerca de R$ 5 milhões nessas novas tecnologias, além de possuir projetos na área de ECM (Enterprise Content Management) - gestão de conteúdo e informações estratégicas, para a redução de até 80% na emissão de papel em suas unidades e a centralização dos dados dos clientes, cooperados e forncedores em uma única ferramenta de CRM.

Fonte: Saude Businessswes

Poli/USP desenvolve prontuário digital médico

Pesquisadores da Escola Politécnica da Universidade de São Paulo (Poli/USP) desenvolveram o protótipo de um sistema de prontuário digital para o armazenamento do histórico médico de pacientes. 

O sistema eletrônico funciona a partir de um cartão inteligente, semelhante aos utilizados em caixas de bancos, que contém informações de relevância médica que podem ser acessadas via internet por médicos e pacientes.

Segundo o professor Paulo Miyagi, do departamento de Engenharia Mecatrônica e de Sistemas Mecânicos da Poli, com o cartão será possível acessar um banco de dados dos hospitais e laboratórios clínicos na internet com o prontuário médico e todo o histórico clínico e cirúrgico do paciente. Além de tornar mais ágil e preciso o diagnóstico. O sistema também agiliza o atendimento em casos de emergência, uma vez que os médicos conseguem tomar decisões mais rápidas e específicas.

'Em casos de emergência, a rápida identificação e caracterização do paciente são requisitos fundamentais tanto para o médico como para o paciente, evitando erros de diagnóstico e eventuais demoras na avaliação dos procedimentos a serem realizados', explica Miyagi.

O protótipo do sistema é constituído de um aplicativo desenvolvido nas linguagens de programação Java, JSP e HTML. O sistema convencional de atendimento médico hoje utilizado no Hospital Universitário da USP, por exemplo, consiste em um banco de dados que armazena informações pessoais dos pacientes. Após identificar o paciente, o atendente alimenta o banco de dados com os sintomas do paciente e o encaminha para o tratamento mais adequado.

'Porém, como não há uma integração de informações com outros hospitais e postos de saúde, tem-se claramente um problema quanto aos registros médicos, ou seja, um paciente que esteja sendo atendido por um hospital pode não dispor dos dados médicos de outros hospitais', diz.

Isso pode implicar, de acordo com o estudo, em um atendimento mais dispendioso, uma vez que pacientes sem passagem anterior pelo hospital precisam ser cadastrados novamente em outros bancos de dados e, mesmo em casos de pacientes já cadastrados, os procedimentos para a localização dos prontuários convencionais com os respectivos registros médicos podem atrasar ao atendimento.

'Em atendimentos para situações emergenciais, a identificação e caracterização do paciente deve ser feita de maneira rápida e precisa. Qualquer perda de tempo ou imprecisão na caracterização do paciente pode trazer consequências negativas', enfatiza.

O sistema foi testado no Hospital Universitário da USP, com alguns alunos simulando serem pacientes e outros, atendentes ou médicos. 'Os testes confirmaram a viabilidade desse tipo de atendimento médico, comparado ao modelo atualmente vigente no HU, sem o uso do cartão', conclui o docente.

O estudo sugere que todas as informações contidas no cartão do paciente também possam ser acessadas na internet por outros hospitais. Assim, o médico consegue alterar ou inserir qualquer informação no cartão, que é automaticamente atualizada nas bases de dados on-line.

Fonte: TI INSIDE Online
segunda-feira, 6 de dezembro de 2010, 15h10

Saiba a diferença entre Nota Fiscal Eletrônica NF-e e a Nota Fiscal Paulista NFP

A NFP (Nota Fiscal Paulista) do Governo do Estado de São Paulo é emitida pelos estabelecimentos comerciais (geralmente quando você compra produtos), em operações em que incide o ICMS. Exemplos: restaurantes, supermercados e postos de gasolina (para mais informações consulte o site www.nfp.fazenda.sp.gov.br)

 

A NF-e (Nota Fiscal Eletrônica) da Prefeitura da Cidade de São Paulo é emitida pelos prestadores de serviços, e gera créditos para abatimento do IPTU no município. Exemplos: estabelecimentos de ensino particulares, estacionamentos, academias de ginástica, clinicas de estética, oficinas mecânicas, entre outros.

Prefeitura de São Paulo

Quem está obrigado à emissão da NF-e?

Todos os prestadores dos serviços constantes da tabela anexa à Portaria SF nº 72/2006 que auferirem receita bruta de serviços igual ou superior a R$ 240.000,00 no exercício anterior, considerando-se todos os estabelecimentos da pessoa jurídica situados no município de São Paulo. Mas, prestadores desobrigados também podem optar pela utilização de NF-e. Leia o item 3.09.

 

Nota Fiscal Eletronica

Finalidade: alteração da sistemática atual de emissão da nota fiscal em papel Modelo 1 ou 1A, por nota fiscal eletrônica com validade jurídica para todos os fins.

Atendimento a dúvidas
Fale Conosco Exclusivo da NF-e (respostas em horário comercial) - informe sua Inscrição Estadual Paulista e selecione o assunto específico.
Central de Atendimento 0800 170 110 (Não atende às dúvidas relacionadas à interpretação da Legislação Tributária)

A SEFAZ/SP realizará uma parada para manutenção em seus sistemas da NF-e no próximo domingo, dia 12/12/2010, das 08h00 às 14h00. Neste período os contribuintes poderão utilizar quaisquer alternativas de contingência previstas na legislação, inclusive o SCAN, que estará ativo junto ao Ambiente Nacional da Receita Federal.

E-mail sobre indisponibilidade do sistema NF-e de SP (24x7):

nfe_indisponibilidade@fazenda.sp.gov.br

NF-e - Ambiente Nacional

O Projeto Nota Fiscal Eletrônica (NF-e) está sendo desenvolvido, de forma integrada, pelas Secretarias de Fazenda dos Estados e Receita Federal do Brasil.

O projeto foi regulamentado a partir da assinatura do Protocolo ENAT 03/2005, de 27/08/2005, que atribui ao Encontro Nacional de Coordenadores e Administradores Tributários Estaduais (ENCAT) a coordenação e a responsabilidade pelo desenvolvimento e implantação do Projeto NF-e.

Desde o início do programa NF-e Nacional em 2008  empresas agrupadas de acordo com o Cadastro Nacional de Atividade Econômica (CNAE) foram gradativamente convocadas à adesão.

Em  1º de dezembro foi iniciada  a quarta e última etapa do ano  de 2010 referente a  adesão  à  NF-e  Ambiente Nacional. Foram  incluídas as empresas que circulam mercadorias e o grupo “Outros”. Ficam fora apenas os microempreendedores individuais.

O grupo “Outros” é composto por 39 números do Cadastro Nacional de Atividade Econômica (CNAE) que não integraram as etapas anteriores e todas as empresas que circulam mercadorias, e que emitem notas do tipo 1 e 1A, não estão incluído, o varejo, que vende para a pessoa física.

A nota fiscal eletrônica faz parte de um projeto maior do Governo Federal, o SPED.

O Projeto SPED - Sistema Público de Escrituração Digital faz parte do Programa de Aceleração do Crescimento do Governo Federal (PAC 2007-2010) e constitui-se em mais um avanço na informatização da relação entre o fisco e os contribuintes.

De modo geral, consiste na modernização da sistemática atual do cumprimento das obrigações acessórias, transmitidas pelos contribuintes às administrações tributárias e aos órgãos fiscalizadores, utilizando-se da certificação digital para fins de assinatura dos documentos eletrônicos, garantindo assim a validade jurídica dos mesmos apenas na sua forma digital.

É composto por três grandes subprojetos: Escrituração Contábil Digital, Escrituração Fiscal Digital e a NF-e - Ambiente Nacional.

Representa uma iniciativa integrada das administrações tributárias nas três esferas governamentais: federal, estadual e municipal.

Para obter mais informações sobre o NF-e, conhecer o modelo operacional, detalhes técnicos ou a legislação já editada sobre o tema, acesse o seguinte endereço: www.nfe.fazenda.gov.br

 

 

Leia Também:

Nota fiscal eletrônica vira obrigatória no País a partir de hoje/ 1º de dezembro 2010

#SPED: NF-e: Entendendo o Protocolo ICMS nº 191, de 30.11.2010 | Roberto Dias Duarte  

Empresas de 257 ramos adotarão nota eletrônica

Certificado digital é obrigatório

Mais um grupo de empresas adere à nota eletrônica

Em caso de dúvida consulte seu contador.
 

Todos que possuem CNPJ podem ter Certificado Digital PJ

O Instituto Nacional de Tecnologia da Informação - ITI publicou, no dia 26 de novembro, a Instrução Normativa nº 10, que permite a todos aqueles que possuem CNPJ adquirir o Certificado Digital de Pessoas Jurídicas.

Segundo o procurador-chefe da ITI, André Garcia, essa medida atende, principalmente, as imposições feitas pelas Secretarias Fazendárias de todo o país, que requerem que as emissões de Notas Fiscais eletrônicas (NF-e) sejam assinadas por um Certificado Digital de pessoa jurídica (PJ), e não física. Assim, condomínios edifícios, espólios, massas falidas e, principalmente, os empresários individuais, que antes só podiam adquirir certificados de pessoas físicas, na pessoa de seus representantes, agora podem adquirir os certificados de pessoas jurídicas, desde que possuam CNPJ. ¨Isso significa facilitar a vida do cidadão e do empreendedor brasileiro¨, concluiu Garcia.

Para ver a íntegra da Instrução Normativa, clique aqui

Fonte : ITI
06-Dez-2010: Brasília - DF

INSTITUTO NACIONAL DE TECNOLOGIA DA INFORMAÇÃO

INSTRUÇÃO NORMATIVA Nº 10, DE 26 DE NOVEMBRO DE 2010
TRATA DA EQUIPARAÇÃO DOS ENTES INSCRITOS NO CADASTRO NACIONAL DE PESSOA JURÍDICA – CNPJ, PARA FINS DE EMISSÃO DE CERTIFICADOS DIGITAIS NA ICP-BRASIL

.
O DIRETOR-PRESIDENTE SUBSTITUTO DO INSTITUTO NACIONAL DE TECNOLOGIA DA INFORMAÇÃO, no uso das atribuições que lhe foram conferidas pelo inciso I, do art. 1º, do anexo I, do Decreto nº 4.689, de 7 de maio de 2003, e pelo art. 1º da Resolução nº 33 do Comitê Gestor da ICP-Brasil, de 21 de outubro de 2004;

CONSIDERANDO a necessidade de equiparação, para fins de emissão de Certificado Digital de Pessoa Jurídica, dos entes que, personalizados ou não, estejam inscritos no Cadastro Nacional de Pessoa Jurídica – CNPJ;

RESOLVE:

Art.1º
Para fins de emissão do Certificado Digital de Pessoa Jurídica, equiparam-se todos os entes que, personalizados ou não, estejam inscritos no Cadastro Nacional de Pessoa Jurídica - CNPJ.

Art.2º
Todos os requisitos relacionados à identificação e autenticação dessas entidades seguirão, no que for aplicável, o disposto no DOC ICP 05.

Art.3º
Esta Instrução Normativa entra em vigor na data de sua publicação.

MAURÍCIO AUGUSTO COELHO

Processo Judicial Eletrônico (PJe)

O Conselho Nacional de Justiça (CNJ) firmou acordo com o Conselho da Justiça Federal (CJF) e os cinco tribunais regionais federais para o desenvolvimento do Processo Judicial Eletrônico (PJe).

O sistema será utilizado em todos os procedimentos judiciais a começar pelas funcionalidades básicas que envolvem a tramitação de processos, como numeração, validação, distribuição, audiências e perícias.

As principais mudanças previstas com a utilização do PJe incluem rapidez na distribuição, no processamento e no julgamento de todo tipo de processo ou recurso; juntada de documentos e expedição de certidões automatizada para eliminar a burocracia; prática dos atos processuais diretamente pelo magistrado, promotor, procurador, advogado, defensor e pela própria parte , mediante a assinatura digital certificada e sem a intervenção de servidores de cartórios ou ofícios.

Desenvolvido pelo Tribunal Regional Federal da 5ª Região (TRF5) com o apoio do CNJ, o sistema ainda está em fase de aperfeiçoamento e, quando estiver finalizado, poderá ser utilizado para qualquer tipo de processo judicial.

Fonte: CNJ

Advogados que atuam na área trabalhista poderão requer certificado digital na OAB

Advogados que atuam na área trabalhista e que ainda não possuem Certificado Digital poderão requerê-lo na Sala da Ordem dos Advogados do Brasil Seccional Mato Grosso, localizada no Tribunal Regional do Trabalho 23ª Região, em Cuiabá. A ação faz parte da campanha “Certificado Digital abre portas ao Advogado - O PJe vem aí!!!! Informe-se e adquira o seu”, lançada pela Comissão de Direito do Trabalho da OAB/MT, presidida pela advogada Cláudia Aquino de Oliveira, com o apoio do presidente da Ordem, Cláudio Stábile Ribeiro.

Nos dias 9 e 10, 13 e 14 de dezembro, será feito um agendamento para atender os profissionais com agilidade e eficiência, proporcionando-lhes novas oportunidades de trabalho, em especial junto à Justiça do Trabalho com o advento do Processo Judicial Eletrônico. 

O presidente do TRT23, desembargador Osmair Couto, durante explanação na OAB/MT no último dia 1º de dezembro, convidou os advogados que possuem Certificado Digital a se inscreverem para realizar testes com o PJe. 

O magistrado também convidou aos profissionais que não possuem, a providenciarem seu certificado para experimentarem o sistema e, posteriormente, atuarem quando da implantação efetiva do PJe no âmbito da Justiça Trabalhista.

Os interessados podem realizar o agendamento na Sala da OAB/MT no TRT23, ou podem adquirir seu Certificado Digital por meio do link http://www.oab.org.br/ac_oab/default.htm, cujo atalho está disponível no site da OAB/MT. O investimento do Certificado Digital é de R$ 120,00. Porém, é necessário que haja uma leitora USB para sua utilização. Caso o advogado não possua, o valor total do Certificado Digital e mais a leitora é de R$ 240,00. Os documentos necessários são a carteirinha da OAB e um comprovante de domicílio.

A OAB/MT, por meio da Comissão de Direito do Trabalho, colocou-se à disposição do presidente do TRT23 para colaborar com o projeto piloto de implantação do Processo Judicial Eletrônico, o PJe. Conforme o magistrado, os testes com a participação dos advogados deverão ser iniciados ainda este ano.

Conceitos – A assinatura digital é um meio tecnológico que permite atribuir segurança aos documentos digitais. As normas do processo eletrônico no Brasil estão contidas na Lei 11.419/2006, além das Resoluções 90 e 121 do CNJ. 

Para assinar digitalmente um documento é preciso um Certificado Digital, que, por sua vez, é um documento eletrônico que possibilita comprovar a identidade de uma pessoa, uma empresa ou um site, para assegurar as transações online e a troca eletrônica de documentos, mensagens e dados, com presunção de validade jurídica.

Fonte: Olhar Direto:

Vírus brasileiro falsifica "cadeado de segurança" para roubar senhas

Um “mandamento” frequentemente repetido sugere que usuários verifiquem a presença do cadeado de segurança no navegador web. O cadeado serve para confirmar que o site que se está visitando é o site verdadeiro – o que está na barra de endereços – e que a comunicação é segura. Mas pragas digitais conseguem “falsificar” o cadeado. A coluna Segurança para o PC explica como isso acontece.

Se você tem alguma dúvida sobre segurança da informação (antivírus, invasões, cibercrime, roubo de dados, etc), vá até o fim da reportagem e utilize a seção de comentários. A coluna responde perguntas deixadas por leitores todas as quartas-feiras.

Cadeado de segurança autentica a página e criptografa o conteúdo para proteger senhas de interceptação.

Um vírus capaz de realizar a façanha de falsificação do cadeado foi recentemente encontrado por Fabio Assolini, pesquisador antivírus brasileiro da fabricante russa Kaspersky Lab. Assolini investigou a praga e verificou que ela instala uma “autoridade certificadora” (AC, ou CA, na sigla em inglês) no Windows.

O “cadeado de segurança” que aparece nos navegadores web é um certificado SSL. O certificado diz ao navegador como ele deve embaralhar a informação para impedir que ela seja decodificada, caso alguém consiga interceptá-la. Nesse mesmo processo, o certificado precisa informar qual é seu dono, autenticando o site e informando ao usuário que esse é mesmo o site legítimo – pois não devem existir dois certificados para o mesmo site.

O navegador (seja ele o Internet Explorer, o Firefox, o Chrome, Opera, Safari ou outros) confia nessa informação porque o certificado é assinado por uma autoridade certificadora, que funciona como um “cartório digital”. Cada certificado precisa ser “carimbado” por uma autoridade certificadora e o navegador web traz consigo meios de reconhecer os carimbos dados pelos “cartórios” em que ele confia.

Se o certificado não tiver um “carimbo” dessas organizações, o navegador exibirá um erro apontando os problemas encontrados no certificado.

Em um ataque de phishing – em que o internauta recebe um e-mail falso em nome do banco que imediatamente solicita as informações –, o criminoso não tem o controle sobre o computador da vítima. No entanto, quando o usuário instala um vírus no PC, as possibilidades de ataque são mais variadas.

Nos detalhes do certificado, o campo 'emitido por' é diferente do certificado original.

A praga identificada pela Kaspersky redireciona os sites de bancos por meio do arquivo hosts, cujo funcionamento foi explicado por essa coluna anteriormente. O “problema”, para o criminoso, é que o site falso terá exatamente o mesmo endereço do site do banco e, por isso, não irá exibir um certificado – e não é possível obter um certificado para um site que já tem um certificado emitido (as autoridades certificadoras devem conversar entre si para não assinarem dois certificados idênticos).

Os criminosos arranjam outro jeito: o vírus adiciona um novo “cartório confiável” na lista dos navegadores. Com isso, os criminosos podem carimbar certificados para qualquer site e o navegador irá ver que a assinatura é de uma autoridade confiável, mostrando o cadeado e nenhuma mensagem de alerta.

“Com o ataque concluído, as vítimas passam a ser direcionadas para páginas falsas de bancos com cadeados de segurança e com o https na barra de endereço. Nenhum alerta será exibido na tela no acesso ao site falso, nem quanto a veracidade do certificado digital que está sendo usado, pois ele foi atestado como “legítimo”pela Autoridade Certificadora falsa”, escreveu o especialista da Kaspersky.

Infecção e remoção de programas de segurança

A Kaspersky identificou que a praga usa applets Java para se instalar no sistema. Nesse ataque, mais sofisticado, o internauta visita uma página e é imediatamente infectado caso a versão do Java esteja vulnerável. Após a infecção, o vírus apaga uma chave no registro que avisa o usuário a respeito de atualizações do Java, garantindo que a versão vulnerável permaneça instalada.

Lista de certificados instalados no sistema. Vírus precisa adicionar servidor do criminoso a esta lista.Lista de certificados instalados no sistema.

Em seguida, o vírus instala um driver de sistema com o intuito de garantir a resistência da infecção. Drivers são programas especiais que rodam com privilégios elevados, normalmente usados para permitir que o sistema “converse” corretamente com periféricos (hardware). O driver malicioso tem o intuito de impedir que o vírus seja removido enquanto apaga os softwares de segurança usados pelos bancos.

Finalmente, a praga instala a autoridade certificadora falsa e um arquivo hosts que irá redirecionar os sites de bancos para sites idênticos controlados pelos criminosos. Com isso, o vírus dispensa a criação de janelas falsas ou captura de teclas (keylogging). Afinal, o usuário estará visitando o site “verdadeiro” (inclusive com o cadeado de segurança), mas com o criminoso como ponte entre as duas pontas da conexão, garantindo o roubo dos dados.

Vale ressaltar que essa não é uma vulnerabilidade no protocolo de segurança dos cadeados. Uma vez infectados, computadores não podem mais ser confiados – e isso inclui o cadeado. A Kaspersky recomenda que um computador exclusivo seja usado para acesso ao internet banking quando possível, demonstrando a dificuldade em detectar esse tipo de ataque. Fora isso, a única possibilidade é verificando manualmente o certificado – coisa que poucos usuários fazem ou mesmo saberiam fazer.

Assolini também recomenda que usuários falem com o banco no caso de suspeita de irregularidades na página e, claro que um antivírus atualizado seja usado.

A lição que fica é a de que está cada vez mais difícil combater ataques depois que eles já tiveram início. O melhor a se fazer é ficar prevenido: atualizando o navegador, sistema e plugins e desconfiando de links maliciosos em e-mails.

A coluna Segurança para o PC de hoje fica por aqui. Se você tem alguma dúvida ou sugestão, deixe-a na área de comentários, porque quarta-feira tem o pacotão com respostas a leitores. Fique também atento para notícias e alertas a qualquer momento aqui no G1. Até a próxima!

* Altieres Rohr é especialista em segurança de computadores e, nesta coluna, vai responder dúvidas, explicar conceitos e dar dicas e esclarecimentos sobre antivírus, firewalls, crimes virtuais, proteção de dados e outros. Ele criou e edita o Linha Defensiva, site e fórum de segurança que oferece um serviço gratuito de remoção de pragas digitais, entre outras atividades.

Na coluna “Segurança para o PC”, o especialista também vai tirar dúvidas deixadas pelos leitores na seção de comentários. Acompanhe também o Twitter da coluna, na página http://twitter.com/g1seguranca.

Fonte: G1

Leia também: Vírus brasileiro falsifica "cadeado de segurança" para roubar senhas 
Por: Altieres Rohr Especial para o G1

A Conceito W promove na próxima quarta-feira (08/12) o seminário on-line: “NF-e de Serviços de São Paulo

A Conceito W promove na próxima quarta-feira (08/12) o seminário on-line: “NF-e de Serviços de São Paulo – obrigatoriedade de certificado digital a partir de 2011”. A atividade será realizada das 15h às 16h (horário de Brasília) e as inscrições devem ser realizadas pelo link NF-ESERVICOSSAOPAULO.TK. O evento é gratuito e direcionado às empresas que têm unidades em São Paulo (SP). Para participar é necessário apenas conexão com internet banda larga e caixas de som ou fone de ouvido. Não é necessária nenhuma instalação. O evento é on-line, gratuito e direcionado às empresas que têm unidades em São Paulo (SP).  Para participar é necessário apenas conexão com internet banda larga e caixas de som ou fone de ouvido. Não é necessária nenhuma instalação. O seminário vai contextualizar a nota fiscal eletrônica de serviços de São Paulo e explicar como cumprir a obrigação do certificado digital. Também vai esclarecer dúvidas referentes à certificação digital e à integração do sistema de faturamento das empresas com o webservice da prefeitura de São Paulo para emissão da NF-e de Serviços. O evento apresenta ainda alguns cases de empresas que já trabalham neste modelo (Integração ERP e Prefeitura / NFS-e / Certificado Digital). O conteúdo foi desenvolvido para atender um público variado que necessita de mais informações sobre a NFS-e de São Paulo, como empresas prestadoras de serviços, contadores, sindicatos e associações de prestadores de serviços, contabilistas, controllers, chefes e assistentes de departamento fiscal e contábil, faturistas e demais profissionais envolvidos com a área fiscal de empresas com sede ou unidade na cidade de São Paulo. O programa de nota fiscal de serviços eletrônica (NFS-e) de São Paulo, conhecida no município como NF-e de Serviços, já tem mais de 180 mil empresas cadastradas. Com exceção das empresas optantes pelo regime de tributação simples, a partir de janeiro de 2011, todos os demais prestadores de serviços serão obrigados a emitir a nota eletrônica com certificação digital. Mais informações: Este endereço de e-mail está protegido contra spambots. Você deve habilitar o JavaScript para visualizá-lo. | www.conceitow.com.br/cwnfs-e | (11) 3522-7573 | (47) 3451-5563 Fonte: SEGS.com.br - SP  Dom, 05 de Dezembro de 2010 13:13 Conceito W Sistemas NOTÍCIAS - Info & Ti

Como recuperar os livros digitais

Durante a fase piloto do projeto Sped, discutiu-se sobre a importância da escrituração fiscal e contábil e o tipo de mudança que esta representava para as empresas, principalmente, em relação ao armazenamento das informações.

As empresas vinham de um modelo em papel, em que os livros eram encadernados, registrados e arquivados em um “arquivo morto”. Muitas, cresceram armazenando livros fiscais, notas fiscais, uma economia altamente rentável, em uma época onde os espaços de arquivos eram raros. Até que surge o novo modelo digital e algumas empresas não mudaram os seus processos e continuam a armazenar as EFD/ECD em desktop, em um servidor qualquer das áreas fiscal e contábil, ou em DVD. Até que o inesperado acontece e por acidente, os arquivos se perdem.

Como recuperar estes livros digitais?

Nesta situação, a empresa pode baixar o programa RECEITANET BX e com o certificado digital, pode fazer o download do arquivo enviado desde que este já tenha sido registrado. Porém, a RFB adverte que esta possibilidade é exclusiva para este período de adaptação e que ela não pretende ser o back-office das empresas.

Na verdade, este é mais um processo de mudança para as empresas, que necessitam de uma melhor gestão. As multinacionais que tem sede fora do país e até empresas que tem ações negociadas na bolsa de Nova Iorque, por exemplo, tiveram de olhar para este processo forçadas pela SOX Sarbanes Oxley (Lei americana que estabelece novos padrões de governança). Outras, mantém seus sistemas em algum Datacenter e ainda nem pensaram a respeito.

Fonte: Análise de Balanço: Newsletter Aliz Informa nº 30 - Ano I – 2010

WikiLeaks e Certificação Digital

 

Entenda a forte relação entre WikiLeaks e Certificação Digital 

WikiLeaks é uma organização transnacional sem fins lucrativos, sediada na Suécia, que publica, em seu site, posts de fontes anônimas, documentos, fotos e informações confidenciais, vazadas de governos ou empresas, sobre assuntos sensíveis.

O site foi construído com base em vários pacotes de softwares. Apesar do seu nome, WikiLeaks não é um wiki.  Leitores que não têm as permissões adequadas não podem editar o seu conteúdo.

Para a postagem, WikiLeaks utiliza o TOR visando preservar a privacidade dos seus usuários, e garante que a informação colocada pelos usuários não é rastreável. 

TOR - The Onion Router, é uma rede de computadores distribuída com o intuito de prover meios de comunicação anônima na Internet. 

A rede TOR é uma rede de túneis http (com tls), onde os roteadores da rede são computadores de usuários comuns rodando um programa e com acesso web. O objetivo principal da infraestrutura de segurança do projeto é garantir o anonimato do usuário que está acessando a web.

TLS -Transport Layer Security - (em português: Segurança da Camada de Transporte) e o seu predecessor, Secure Sockets Layer - SSL (em português: Protocolo de Camada de Sockets Segura).

São protocolos criptográficos que conferem segurança de comunicação na Internet para serviços como email (SMTP), navegação por páginas (HTTP) e outros tipos de transferência de dados. 

O protocolo SSL provê a privacidade e a integridade de dados entre duas aplicações que comuniquem pela Internet. Isto ocorre através da autenticação das partes envolvidas e da cifra dos dados transmitidos entre as partes. Esse protocolo ajuda a prevenir que intermediários entre as duas pontas da comunicação tenham acesso indevido ou falsifiquem os dados transmitidos.

É o certificado digital utilizado por sites que exibem selos de sites seguros, o cadeadinho na barra inferior do seu navegador.

O site WikiLeaks foi lançado em Dezembro de 2006 e, em meados de Novembro de 2007, já continha 1,2 milhões de documentos. 

No site, a organização informa ter sido fundada por dissidentes chineses, jornalistas, matemáticos e tecnólogos dos Estados Unidos, Taiwan, Europa, Austrália e África do Sul. 

Julian Paul Assange

Seu diretor é o australiano Julian Assange, jornalista e ciberativista.

WikiLeaks recebeu vários prêmios para novas mídias, incluindo o New Media Award 2008 da revista The Economist.

Em junho de 2009, a WikiLeaks e Julian Assange ganharam o Media Award 2009 (categoria "New Media") da Anistia Internacional, pela publicação de Kenya: The Cry of Blood - Extra Judicial Killings and Disappearances, em 2008 um relatório da Comissão Nacional Queniana de Direitos Humanos sobre a política de extermínio no Quênia. Em maio de 2010, WikiLeaks foi referido como o número 1 entre os "websites que poderiam mudar completamente o formato atual das notícias".

Em abril de 2010, WikiLeaks postou, no website Collateral murder, um vídeo feito em 12 de julho de 2007, que mostrava civis iraquianos sendo mortos durante um ataque aéreo das forças militares dos Estados Unidos.

Em julho do mesmo ano, a organização ganhou maior visibilidade mundial, ao divulgar o Afghan War Diary, uma compilação de mais de 76.900 documentos secretos do governo americano sobre a Guerra do Afeganistão.

No mês de outubro, em articulação com grandes organizações da mídia, WikiLeaks publicou um pacote com quase 400.000 documentos secretos, denominado Iraq War Logs, reportanto torturas de prisioneiros e ataques a civis pelos norte-americanos e seus aliandos, na Guerra do Iraque.

Em 28 de novembro, publicou uma série de telegramas secretos de embaixadas e do Governo estadunidense.

Dois dias depois, em 30 de novembro, a pedido da justiça da Suécia, a Interpol distribuiu em 188 países, uma notificação vermelha, ou seja, um chamado àqueles que souberem do paradeiro de Julian Assange, para que entrem em contato com a polícia - o que equivale aproximadamente a uma ordem internacional de prisão. Isto porque, em agosto, duas mulheres suecas denunciaram Assange por violência sexual.

Em 1º de dezembro, WikiLeaks anunciou que a Amazon.com o expulsara dos seus servidores, onde estava hospedado desde que começaram os ataques contra seu hospedeiro sueco, Bahnhof, em 28 de novembro, o que tornou o acesso instável. 

Kevin Mitnick

Segundo Kevin Mitnick, considerado o mais famoso Hacker do mundo: "Roubar dados é muito mais fácil do que protegê-los".

O WikiLeaks e Julian Assange  estão apontando o quanto as empresas e autoridades governamentais do mundo todo não tratam suas informações sensíveis como deveriam.

A Tecnologia para evitar ou pelo menos reduzir os riscos de vazamento de informações existe! Cabe à autoridades entender os riscos a que estão expostos e aplicar a tecnologia.

A Certificação Digital e a tecnologia que evitaria o vazamento de muitas das informações divulgadas, principalmente as que foram capturadas através de e-mails entre empresas, organizações governamentais ou profissionais de comunição e jornalismo.

No controle de acesso aos arquivos eletrôinicos e físicos deveria ser aplicada a combinação de certificados digitais, certificados de atributo e o time stamp. Winlogon com certificação digital e não senhas e identificação biométrica. 

A Biometria sozinha não garante nada porque seu “segredo” é compartilhado em um servidor para ser checado no momento  do acesso. Digitais humanas são facilmente reproduzidas com a ajuda de um simples silicone. Salvo se utilizados leitores ultra sofisticados o silicone não funciona, pois são consideradas correntes sanguíneas etc ou se as digitais forem gravadas em mídia criptográficas (Met-on-Card) como esta previsto, por exemplo, no projteo brasileiro do  RIC - Registro de Identificação Civil .

No caso do controle de acesso ser feito através de senhas, é brincadeira, não vale nem comentar. 

Se fzermos uma analogia entre as senhas de acesso com a história do chapeuzinho vermelho, a senha é a casinha de palha. Se desfaz num sopro.

O controle de acesso com certificados digitais permite trilha de auditoria com logs de acesso aos arquivos confidenciais, transferência para mídias e impressão em papel. Até mesmo faz o controle dos acessos à ambientes físicos.

A comunicação interna nessas organizações e entre Governos de Estado deveriam ser resguardadas por certificados de assinatura, certificados de atributo e certificados de sigilo. E a tempestividade  da ação deveria ser conferida pelo uso do carimbo de tempo, o time stamp.

Não tenho a pretensão de resolver a questão da segurança internacional e existem inúmeros outros recursos  e aspectos técnicos que não  domino e não citei neste artigo. Quero apenas alertar para o fato de que a tecnologia já existe e está disponível para empresas, indústrias e organizações governamentais agregarem mais segurança a troca e guarda de suas informações.

WikiLeaks nesse episódio veio expor a ferida da sociedade eletrônica e das organizações com o "descompromisso" com a proteção e troca de dados sensíveis. 

É claro que em muitos casos os documentos divulgados são antigos e foram “coletados” numa época em que não existiam recursos tecnológicos dos quais estamos falando. Também alguns vídeos publicados que não faziam parte de nenhum acervo governamental. 

Mas fato é que a entrega desses materiais é feita diretamente aos servidores protegidos da WikiLeaks ou via colaboradores que transmitem aos servidores  utilizando justamente a proteção  da tecnologia de criptografia que os detentores das informações deveriam utilizar.

Não faço aqui apologia ao crime, mas é um tanto ridículo as autoridades mundiais e a mídia internacional tentarem jogar a opinião pública contra Julian Assange por conta do crime de violência sexual supostamente praticado por ele.

Pelo amor de Deus, o cara é um gênio. Se é do bem ou do mau, não cabe a mim julgar, porém as atenções da mídia e da opinião pública deveriam se voltar para a questão da troca e a guarda das informações "Top Secret" e a  responsabilidade da publicação de documentos e vídeos não autorizados por parte da  Winkileaks.

Próximo alvo anunciado: EMPRESAS, começando por grande banco americano, cujos memorandos internos supostamente mostrariam algum tipo de negócio escuso.

Regina Tupinambá

Este Blog publica matérias e artigos extraídos da mídia que expressam a opinião dos respectivos autores e artigos escritos por mim que expressam, exclusivamente, minha opinião pessoal sem vínculo a nenhuma organização.

Leia também: Que Hacker resiste a tanta facilidade?