Trabalhando juntos para proteger a Infraestrutura Crítica Nacional

Seguinte

Em qualquer lugar do mundo, o dia a dia de todo ser humano depende da infraestrutura que nos oferece comida, água, serviços financeiros, comunicações e energia. Uma interrupção ou dano gerado a esses sistemas pode ter grandes consequências para nossa sociedade.

Por exemplo, o ataque do WannaCry em 2017 afetou mais de 10.000 organizações em 150 países, e deixou o Serviço Nacional de Saúde do Reino Unido sem funcionamento. Também teve impacto em empresas comerciais, como a espanhola Telefónica e a empresa ferroviária alemã Deutsche Bahn. Sem recursos, proteção e um planejamento, um ataque dessa dimensão poderia voltar a acontecer, e causar danos ainda maiores.

No Reino Unido, por volta de 80 – 85% da infraestrutura crítica nacional é propriedade do setor privado, uma estatística compartilhada entre os países mais poderosos do mundo. Com uma tendência crescente no número de ciberataques, e uma maior sofisticação em sua essência, é imprescindível que os setores públicos e privados não só trabalhem em conjunto, mas também colaborem com flexibilidade e coesão para estarem preparados da melhor forma possível para lidar com ataques desse tipo.

Devido a probabilidade de resultados lucrativos para os invasores, a indústria financeira é particularmente vulnerável a esses ataques direcionados e estratégicos. Na primeira metade de 2018, os ataques financeiros obtiveram um índice de êxito de 1 em cada 3 somente no Reino Unido, dando um prejuízo total de 503 milhões de libras esterlinas. Em 2017, a Equifax, uma das principais agências de relatórios de crédito ao consumidor dos Estados Unidos, sofreu uma brecha de segurança em larga escala, que impactou cerca de 143 milhões de clientes – ou seja, 44% da população estadunidense corria risco de ter seus dados de cartões de crédito roubados.

A segurança da indústria financeira é vital para qualquer país, mas talvez seja ainda mais importante para as grandes potências mundiais. Os ciberataques que afetam os principais bancos do mundo poderiam causar consequências desastrosas, tanto dentro como fora do plano internacional. Com a capacidade de gerar impacto sobre cidadãos, assim como sobre economias nacionais, os ataques devem ser abordados pelos setores públicos e privados em conjunto.

A maior diferença entre ambos setores é o compartilhamento de informação e a inteligência. O setor privado não tem autoridade e os recursos para analisar ameaças à informação externas e monitorar de forma consistente os possíveis ataques, enquanto o setor público costumar carecer de uma forte experiência na indústria e da compreensão de sistemas específicos que se encontram sob o risco de serem atacados. Sem informação confiável por parte dos dois setores, é impossível ter uma imagem clara sobre como poderiam notar as possíveis ameaças.

Para que ambos setores possam alcançar isso, sistemas e processos legais devem ser estabelecidos, conectando o setor público ao privado internamente. Isso poderia ser possível por meio de colaborações de inteligência ao longo da linha de classificação, incluindo o compartilhamento de dados em tempo real e, o mais importante, trabalhar em conjunto para desenvolver planos que definem quais recursos são necessários para combater ameaças e qual é o papel específico de cada setor caso ocorra um ataque.

Em 2016, a União Europeia colocou à disposição a primeira legislação europeia de segurança da informação, com a Diretiva NIS para a segurança de redes e sistemas da informação. Essa norma requer que operadores de serviços essenciais estabeleçam um alto nível de segurança para a infraestrutura crítica, e para reportar incidentes sérios para sua autoridade nacional designada. No entanto, assim como muitos requerimentos legislativos globais, o foco está sobre o compartilhamento de informação, ao invés de uma resposta física e técnica mediante incidentes. Tanto o governo como o setor privado devem ser proativos na prevenção de ataques à informação antes que eles ocorram, ao invés de somente se preocupar com isso após já haver sofrido algumas consequências.

Está claro que, para proteger a infraestrutura crítica nacional, os setores público e privado devem ampliar sua cooperação em inteligência e conectividade. Ainda mais importante, devem assumir um papel proativo para combater ataques antes que eles ocorram, e estarem preparados para trabalhar juntos caso isso aconteça.