Cibersegurança – mudança de comportamentos são mais eficazes na prevenção de ciberataques

Pedro Faustino, Diretor Executivo da Axians Portugal

O recente ataque global “WannaCry” não foi surpresa para quem está minimamente atento. Este tipo de problema não é de agora e, ao longo da história da humanidade há vários exemplos de procura de informação privilegiada e de procurar antecipar ou condicionar a atuação do adversário ou inimigo. As motivações são também tão diversas como questões de ordem financeira, estratégica e geoestratégica, para apenas referir as grandes motivações. Veja-se o que se passou durante a II Guerra Mundial, com a preocupação dos contendores de ambas as partes em conflito em conseguir decifrar as comunicações do inimigo para garantir o sucesso militar no terreno. Teremos aqui talvez o primeiro campo de batalha no domínio da cibersegurança e dos ciberataques. Mas falar de ciber não é colocar o problema no domínio do abstrato, do etéreo, esquecendo as consequências que ele acarreta em termos práticos para a economia e o dia-a-dia dos cidadãos, singulares, empresariais, organizações ou países.

As discussões sobre o mais recente e conhecido ataque dito global, o muito mediatizado “WannaCry”, do meu ponto de vista, não abordaram verdadeiramente o problema. Os ataques foram de uma simplicidade tecnológica verdadeiramente aterradora, assente na exploração de um sistema operativo da Microsoft desatualizado, o que traduz uma realidade comportamental preocupante: poucos têm por hábito atualizar sistemas operativos, seja por inércia, seja por questões financeiras, ou outras. Ora, qualquer estudante de um curso tecnológico sabe que os sistemas têm de ser atualizados – quanto mais não seja, pelos motivos que estiveram à vista. Estamos, portanto, no domínio dos comportamentos.

Os modelos de ataque têm evoluído em sofisticação e no modus operandi e as empresas não estão preparadas para isso. Um Side Channel Attack, por exemplo, permite um ataque através de emissões eletromagnéticas, e não pressupõe qualquer ligação à rede. Estes ataques possibilitam, entre outras coisas, decifrar chaves de encriptação. Os Estados Unidos da América lançaram no ano passado um concurso de 26 milhões de dólares para promover a investigação deste tipo de ameaças, que aumenta consideravelmente a exposição a potenciais ameaças. Isto seria impensável há uns anos atrás, mas, no fundo, tudo se centra numa questão de comportamentos.

Estado regulador

O Estado deve e tem de assumir um papel ativo no problema. O edifício jurídico que estabelece o quadro legal no que respeita ao combate aos crimes informáticos e que regula as atividades das empresas é de grande dimensão. Mas não define qual o papel do estado na matéria nem se refere a práticas e mecanismos de ciberdefesa. O Estado deve ir além do  mero investidor e assumir-se como regulador fundamental. As empresas têm de apresentar políticas e ações de conformidade com uma gigantesca miríade de regulamentos e leis, mas não existe qualquer sansão para quem não tenha os últimos patches de segurança instalados na infraestrutura. O cibercrime é, cada vez mais, um problema de domínio público e, numa rede, o nível de segurança mede-se pelo elo mais fraco. Por isso, os eventos de maio passado não passaram de uma pequena brincadeira face ao potencial verdadeiramente destruidor de um ataque que afete seriamente os serviços críticos da sociedade ao ponto de os paralisar.

O atual sistema de segurança está a ser pervertido com a existência de serviços cloud. A economia de escala induz que a cloud concentre num pequeno número de data centers cada vez mais informação crítica. O que pode acontecer se esses data centres forem objeto de um ataque à séria?

Cooperação multinacional é essencial

Temos acompanhado o esforço militar na prevenção deste tipo de ataques. Associados ao exército, participámos recentemente no desenvolvimento de um protótipo de um laboratório de cibersegurança. Somos das poucas empresas em Portugal que trabalha com as instituições internacionais, incluindo a NATO. Somos das poucas empresas nacionais que estão envolvidas nas discussões e programas sobre segurança e defesa informática europeus. Os custos de entrada nestes programas são elevados e trata-se de processos de longo prazo, o que implica resiliência para os acompanhar. É precisa determinação das empresas e capacidade para trabalharem cooperação, algo fundamental – até porque a filosofia subjacente a estas instituições pressupõe a distribuição do investimento por vários países. O que se justifica, uma que estão em causa concursos de grande dimensão e poucas empresas responder assertivamente sozinhas. E mesmo as que o conseguem, enfrentam o risco de ter uma parte significativa do seu trabalho alocada a um contrato. Nestes casos, a cooperação é sempre multinacional e Portugal tem pouca tradição na matéria.

O problema da segurança é global e o esforço para mitigar o impacto dos ataques deve ser também global.

---