Workshop ''Cibersegurança: aspectos económicos''

A ANACOM organizou o workshop ''Cibersegurança: aspectos económicos'' com a colaboração da DGAE - Direção Geral das Atividades Económicas, que teve lugar a 30 de setembro, na Fundação Portuguesa das Comunicações, em Lisboa.

O foco deste workshop foi avaliar o impacto da introdução da Diretiva da Segurança e das Redes da Informação (Diretiva SRI) nos agentes de mercado. Esta Diretiva, ainda em projeto, visa robustecer as redes e os serviços em termos da sua segurança em toda a União Europeia (UE). A Diretiva tem como destinatários, por um lado, os Estados-Membros e, por outro, os prestadores de serviços da sociedade de informação, nomeadamente aqueles com ofertas de plataformas de comércio eletrónico, portais de pagamento pela Internet, redes sociais, motores de pesquisa, serviços de computação em nuvem ou lojas de aplicações online, bem como os operadores de infraestruturas críticas dos sectores da energia, transportes, banca, saúde ou do mercado financeiro.

Fátima Barros, Presidente do Conselho de Administração da ANACOM, abriu a sessão salientando que a Diretiva SRI é uma componente fundamental da estratégia global da UE em matéria de cibersegurança. Com efeito, esta Diretiva atuará como garantia de um ambiente digital seguro e fiável, alcançável mediante o esforço de cooperação por parte de todos os Estados-Membros, os facilitadores de serviços de Internet e os operadores de infraestruturas críticas, tais como plataformas de comércio eletrónico, redes sociais e operadores dos sectores da energia, dos transportes, da banca e da saúde.

Neste contexto, Fátima Barros relevou o empenhamento da ANACOM em melhorar a fiabilidade e a segurança das redes e serviços de comunicações eletrónicas, estando prevista em termos de plano de ação, no triénio 2013-2015, a realização de um centro de reporte de notificações de violações de segurança e perdas de integridade, avançando-se também para a realização de auditorias de segurança. A ANACOM pretende ainda desenvolver trabalho com vista a uma melhoria da informação e conhecimento sobre a segurança dos serviços e redes públicas de comunicações eletrónicas, área de atividade recente a nível europeu e que tem o utilizador como destinatário final.

O enquadramento do tema esteve a cargo de Gustav Kalbe, da Direção-Geral Redes de Comunicação, Conteúdos e Tecnologias (CNECT) da Comissão Europeia (CE), que fundamentou a necessidade de concretização da Diretiva SRI no facto de as economias estarem muito dependentes das tecnologias da informação e comunicação, o que torna cada vez maior o impacto dos incidentes de cibersegurança.

A Diretiva SRI obrigará cada Estado-Membro a definir uma autoridade competente para coordenar e garantir a partilha de informação entre os intervenientes, sendo que o esforço de cooperação deverá resultar na identificação de boas práticas e recomendações, no apoio à transposição de requisitos legais, na definição de política industrial, de inovação e de investigação e desenvolvimento e no incremento da educação para uma cultura de segurança.

Os Estados-Membros estão obrigados ainda a definir uma estratégia e um plano de cooperação nacionais de segurança da informação e a estabelecer um CERT nacional (equipa de resposta a emergências informáticas). Esta Diretiva apela à ação das empresas em termos de gestão do risco e partilha de informação com os seus pares.

Luís M. Correia, Professor do Instituto Superior Técnico/INOV-INESC e da Universidade de Lisboa, fez notar que as ciberameaças estão a evoluir em complexidade e a aumentar a um ritmo rápido, afetando as infraestruturas críticas, nomeadamente a rede de abastecimento de água, de comunicações, energia elétrica e transportes.

Os futuros desenvolvimentos da tecnologia com base em acesso Internet permitem antecipar a identificação de vulnerabilidades que podem vir a ser exploradas ao nível dos ciberataques. Salientou que é necessário criar uma cultura de segurança e de proteção às infraestruturas críticas, sob pena de a ausência de cibersegurança poder ter um impacto económico enorme.

No painel dedicado às organizações governamentais, Pedro Verdelho, Coordenador do Gabinete Cibercrime da Procuradoria-Geral da República, admitiu que a Internet será, provavelmente, uma das maiores economias do mundo, sendo que manter em segurança e de forma credível os serviços oferecidos tem um custo elevado.

Em contraponto, Mário Valente, Administrador da Seed Capital, fez notar que o modelo de negócio do cibercrime é fácil e barato. Com suporte na deep dark web, os instrumentos para o crime são vendidos na Internet como serviços (é o caso de carding, spam, phishing & bank frauds, pharma scams, counterfeiting, virtual money), considerando que, embora sejam incontornáveis as assimetrias de informação existentes entre o atacante e o defensor, as empresas devem evitar dar ouvidos aos chavões da cibersegurança, privilegiando o investimento na identificação e proteção dos bens e riscos mais básicos da organização.

Em relação à cooperação e partilha de informação, Ricardo Vieira, Investigador Criminal da Secção de Criminalidade de Alta Tecnologia da Polícia Judiciária, referiu que as empresas públicas e privadas fazem hoje parte da "aldeia global", que o cibercriminoso pode ser qualquer um e que o principal móbil é o lucro fácil. Assim sendo, o combate ao cibercrime passa pela partilha, cooperação e coordenação internacional de entidades públicas e privadas.

Na tónica da cooperação interveio Benoît Godart, do European Cybercrime Centre, Europol, com a apresentação do centro de resposta ao cibercrime, o EC3, que está em funcionamento desde janeiro de 2013, sediado na Europol, para apoio às entidades que lidam com o cibercrime nos países da UE. Este centro tem como objetivo a construção de capacidade operacional e analítica para investigações e cooperação com parceiros internacionais.

Como exemplo da cooperação nacional, Lino Santos, Diretor do Serviço de Resposta a Incidentes de Segurança Informática (CERT.PT), Fundação para a Computação Científica Nacional (FCCN), apresentou a rede nacional de Computer Security Incident Response Team (CSIRT), definida como um modelo de cooperação semiformal de adesão voluntária, cujos objetivos são a criação de um ambiente de cooperação e assistência mútua no tratamento de incidentes, a criação de indicadores e informação estatística nacional sobre incidentes de segurança, bem como a criação de instrumentos necessários à prevenção e resposta rápida num cenário de incidente de grande dimensão. A cooperação e a partilha de informação baseiam-se na confiança nas pessoas, que leva tempo a construir.

Pedro Galvão, responsável pelos Serviços de Segurança da IBM Portugal e Senior Managing Consultant da Divisão de Global Technology Services, defendeu que, num modelo de colaboração intra e inter-sector o desafio de partilha de informação está em encontrar uma linguagem que permita "realmente" aprender.

José Alegria, Diretor de Segurança e Privacidade da Portugal Telecom, caracterizou um plano de segurança eficaz como aquele que se suporta em controlos práticos, mensuráveis e credíveis, todavia podendo relevar-se com custos elevados, especialmente para empresas de pequena dimensão. Nesse sentido, divulgou o Data Center da PT na Covilhã como uma solução que dispõe de um centro operacional de segurança e de uma equipa de resposta a incidentes de segurança informática.

Por outro lado, também em oposição a soluções "chave na mão", Pedro Galvão manifestou o entendimento de que cada organização tem uma forma própria de gerir a sua segurança, orientada por requisitos internos e pela interpretação que faz do seu ambiente.

A segunda parte do workshop foi dedicada à apresentação de "casos práticos", tendo a ANACOM convidado oradores dos vários sectores que se inserem no âmbito de aplicação da Diretiva SRI a partilharem as suas experiências ao nível da cibersegurança.