O Ciberespaço e a Cibersegurança – Desafios e Soluções

Em primeiro lugar, devemos começar por dizer que não existe uma definição de ciberespaço universalmente aceite, o que torna difícil criar um quadro concetual no âmbito do qual se desenvolvem as relações e os acordos internacionais.

Introduzindo este tema, importa referir que o ciberespaço apresenta-se hoje como uma plataforma sem fronteiras permitindo, dessa forma, a interação/ligação de qualquer pessoa para e com os mais diversos objetivos. Por essa razão, através desta possibilidade surgem possíveis ataques tecnológicos que ameaçam Estados, organizações internacionais e privados. Deste modo, torna-se imperioso e necessário a criação de sistemas e estruturas nacionais e internacionais de monitorização e de prevenção de práticas que coloquem em causa a segurança, a qualquer nível, interna e externa dos Estados.

Nesta linha de raciocínio, podemos afirmar que o surgimento da Internet, veio confirmar as expectativas ao criar um novo espaço para a expressão, conhecimento e comunicação humana. Trata-se de um espaço que não tem existência física, apenas virtual, a que denominamos de ciberespaço.

Dito isto, considerando o que foi referido, importa considerar que o ciberespaço deve obedecer a regras de controlo e de governança, o que significa que, para isso, terá, necessariamente de haver cooperação entre os Estados, entre os próprios Estados e as organizações internacionais e, também, entre as empresas, uma vez que são estas que fornecem quer o hardware quer o software (p.e., militar, comercial, empresarial, bancário, financeiro), o que faz com que desempenhem um papel fundamental nesta matéria.

Cumpre agora falar da Estratégia da União Europeia para a cibersegurança: “Um ciberespaço aberto, seguro e protegido”.

Uma comunicação de 7 de fevereiro de 2013, que alertava para o facto de incidentes de cibersegurança terem vindo a aumentar, dava conta que estas ameaças poderiam ter origens diversas, como ataques criminosos, politicamente motivados, terroristas ou patrocinados por Estados, bem como catástrofes naturais e erros involuntários.

Considerando o crescente de novas categorias de ameaças que colocavam em perigo os governos e as empresas dos países da União Europeia, a própria União Europeia sentiu a necessidade de reforçar e reafirmar o seu papel nesta matéria, uma vez que estas ameaças maliciosas põem em risco as economias dos Estados Membros, o avanço para o mercado único digital, o próprio funcionamento das democracias, as liberdades e os valores que são defendidos pela União Europeia.

Dessa forma, em 13 de setembro de 2017, o Presidente Jean-Claude Juncker declarou a este propósito: “Nos últimos três anos, fizemos progressos para garantir a segurança dos cidadãos europeus na Internet. Contudo, ainda não estamos suficientemente preparados para fazer face a ciberataques. A Comissão propõe hoje a adoção de novos instrumentos, nomeadamente a criação de uma Agência da União Europeia para a Cibersegurança, para nos defender melhor desse tipo de ameaças”.

Ainda relativamente a este assunto, Federica Mogherini, Alta Representante, declarou: “A União Europeia prosseguirá uma política internacional que promova um ciberespaço aberto, livre e seguro e apoiará os esforços tendentes a estabelecer normas de comportamento responsável dos Estados, aplicando o direito internacional e adotando medidas que instaurem confiança no domínio da cibersegurança”.

Por essa razão, foi apresentada uma comunicação conjunta ao Parlamento Europeu e ao Conselho, de seu nome: “Resiliência, dissuasão e defesa: reforçar cibersegurança na União Europeia”.

Comunicação essa que visava desenvolver:

a)      resiliência aos ciberataques;

b)      dissuadir ações maliciosas e criminosas ao nível da União Europeia;

c)      e, por fim, reforçar a cooperação internacional no domínio da cibersegurança.

Com o objetivo de aumentar a resiliência aos ciberataques a tal comunicação propôs o seguinte:

·         “Reforçar a Agência da União Europeia para a Segurança das Redes e da Informação (ENISA), na medida em que irá assegurar a possibilidade de a ENISA prestar apoio aos Estados Membros, bem como às instituições da União Europeia e a empresas em domínios fundamentais, incluindo na aplicação da Diretiva relativa à segurança das redes e da informação (Diretiva (UE) 2016/1148 do Parlamento Europeu e do Conselho, de 6 de julho de 2016) e do quadro de certificação da cibersegurança proposto;

·         Iniciativa conjunta da Comissão e da indústria com o objetivo de definir um princípio de “dever de diligência”, a fim de reduzir as vulnerabilidades dos produtos/suportes lógicos e promover a “segurança desde a conceção”;

·         Execução rápida do plano de ação para dar resposta a incidentes transfronteiriços em grande escala;

·         Avaliação de impacto para estudar a possibilidade de uma proposta da Comissão, em 2018, para a criação de uma rede de centros de competências em matéria de cibersegurança e de um Centro Europeu de Investigação e de Competências em matéria de Cibersegurança, partindo de uma fase-piloto imediata. Esta rede e o respetivo centro, têm como objetivo o desenvolvimento e a implantação de tecnologias de cibersegurança e complementarão os esforços no sentido de reforçar as capacidades neste domínio, a nível da UE e a nível nacional;

·         Apoio aos Estados-Membros na identificação dos domínios em que projetos de cibersegurança comuns possam ser considerados para efeitos de financiamento pelo Fundo Europeu de Defesa;

·         Criação de um “balcão único” a nível da UE para ajudar as vítimas de ciberataques, prestando informações sobre as ameaças mais recentes e reunindo recomendações práticas e instrumentos de cibersegurança;

·         Adoção, pelos Estados-Membros, de medidas para integrar a cibersegurança em programas de competências, na administração pública em linha e em campanhas de sensibilização;

·         E, finalmente, a adoção, pela indústria, de medidas destinadas a intensificar a formação em matéria de cibersegurança para o seu pessoal e adotar o princípio da “segurança desde a conceção” para os seus produtos, serviços e processos.”

Além disso e por outro lado, no que respeita à dissuasão, importa referir que esta tem como principal foco pôr em prática um quadro de medidas que sejam credíveis e tenham um efeito dissuasor para os potenciais cibercriminosos e autores de ataques, uma vez que enquanto, estes últimos, nada tiverem a recear, terão pouco incentivo para pararem de tentar. Por essa razão, uma resposta mais eficaz por via da aplicação da lei, centrada na deteção, identificação e ação penal contra os cibercriminosos é fundamental para se criar uma dissuasão eficaz. Sabendo isto, importa agora referir as medidas avançadas pela Comunicação no que a este tema respeita:

·         “Iniciativa da Comissão para o acesso transfronteiriço a provas eletrónicas (início de 2018);

·         Adoção rápida, pelo Parlamento Europeu e pelo Conselho, da proposta de diretiva relativa ao combate à fraude e à contrafação de meios de pagamento que não em numerário;

·         Introdução de requisitos relativos ao IPv6 nos concursos públicos e no financiamento de investigação e de projetos por parte da UE; celebração de acordos voluntários entre os Estados-Membros e os fornecedores de serviços de Internet para promover a adoção do IPv6;

·         Ênfase renovada e alargada da Europol no domínio da informática forense e da monitorização da Internet obscura (darknet);

·         Aplicação do quadro para uma resposta diplomática conjunta da UE às ciberatividades maliciosas;

·         Reforço do apoio financeiro a projetos nacionais e transnacionais para a melhoria da justiça penal no ciberespaço.

·         Criação, em 2018, de uma plataforma de formação em matéria de cibersegurança para fazer face ao atual défice de competências em matéria de cibersegurança e de ciberdefesa.”

Finalmente, a Comunicação teve, também, em vista o reforço da cooperação internacional no que respeita ao tema da cibersegurança, bem como o aprofundamento da cooperação com a NATO.

Em relação a esta cooperação, podemos referir que os seus principais objetivos foram: “avançar com o quadro estratégico para a prevenção de conflitos e a estabilidade do ciberespaço, desenvolver uma nova rede de reforço das capacidades para apoiar  a capacidade de resposta dos países terceiros às ciberameaças, e elaborar diretrizes da União Europeia para reforço das capacidades em matéria de cibersegurança que permitam definir melhor as prioridades dos esforços da União Europeia e, finalmente, reforçar a cooperação entre a União Europeia e a NATO, incluindo a participação em exercícios paralelos e coordenados e uma maior interoperabilidade das normas relativas à cibersegurança”.

Em suma, nesta matéria do ciberespaço e da cibersegurança é objetivo da União Europeia encontrar e angariar os meios necessários para fazer face aos problemas que suscitam.

Contudo, tal questão, encontra os mais variados obstáculos internos, quer na diversidade de instituições, órgãos e agências competentes na União Europeia para lidar com questões como estas, o que acarreta um nível de cooperação e coordenação entre todos elevado, quer por alguma oposição dos seus Estados Membros, uma vez que muitos deles ainda têm problemas no que respeita à segurança e defesa por ainda haver muita dificuldade por considerarem estar a abdicar da sua soberania.

Para finalizar, importa ainda fazer referência às chamadas ameaças hibridas. Estas ameaças vão desde os ataques através Internet contra infraestruturas, ao uso de armas químicas, aos atos terroristas, à disseminação de notícias falsas, entre muitas outras táticas. Este conceito de ameaças híbridas foi formalmente referido em Junho de 2015, na sequência da reunião dos Ministros da Defesa da Organização do Trato do Atlântico Norte (OTAN), em Bruxelas.

As ameaças híbridas caracterizam-se por ações coordenadas e sincronizadas que visam deliberadamente afetar as vulnerabilidades dos Estados democráticos e das suas instituições, empregando um leque particularmente amplo de meios políticos, económicos, militares, civis e de informação, combinando atividades convencionais e não-convencionais, militares e não militares, de forma coordenada, levadas a cabo por atores estatais e não-estatais, recorrendo ainda a campanhas multidimensionais que combinam medidas coercivas e subversivas, com vista ao alcance de objetivos políticos.

Este conceito ainda se encontra em construção, embora o reconhecimento desta nova realidade e uma melhor compreensão deste efeito tenham vindo a possibilitar, não apenas uma definição concetual cada vez mais precisa e determinada, como, também, uma apreensão mais alargada deste novo conceito.

Bibliografia:

·         Os Desafios Contemporâneos à Ação Externa da União Europeia, Lições de Direito Internacional II – ANA MARIA GUERRA MARTINS;

·         COMUNICAÇÃO CONJUNTA AO PARLAMENTO EUROPEU E AO CONSELHO: Resiliência, Dissuasão e Defesa: Reforçar a Cibersegurança na UE;

·         Diretiva (UE) 2016/1148 — Cibersegurança das redes e dos sistemas de informação;

·         https://www.consilium.europa.eu/pt/policies/defence-security/;

·         https://www.consilium.europa.eu/pt/press/press-releases/2016/12/06/eu-nato-joint-declaration/.

Miguel Franco, nº26705