Os Próximos Passos da Estratégia Cibernética de Defesa do Brasil

O Brasil precisa de um novo órgão com as virtudes do CDCiber, mas com foco na segurança empresarial e na capacitação da indústria

Os  criticados eventos globais que ocorreram no Brasil desde 2010 podem não ter entregado à sociedade o conjunto de legados que havia sido prometido em troca do investimento estatal. Mas deles decorre, em grande parte, o fato de o Brasil possuir hoje uma estratégia cibernética de defesa com maturidade de fundamentos em níveis de doutrina, hierarquia, organização política, estrutura operacional, pessoas, iniciativas de P&D e instrumentos táticos de vigilância, monitoramento e resposta.

Não que as ações e investimentos nesse âmbito só tenham começado a existir a partir dos fóruns de preparação, iniciados em 2008, e que reuniram o governo, universidade, forças armadas e indústria para organizar a segurança dos eventos, incluindo-se aí a Copa das Confederações, Conferência Rio +20, Jornada da Juventude, Copa de 2014 e a Olimpíada 2016 que se aproxima.

Desde a década de 90, o Ministério da Defesa dispõe de orçamento médio anual de 1,5% PIB, no qual o gasto com segurança cibernética é contemplado, indiretamente, em projetos de maior abrangência, notadamente nas esferas das telecomunicações, aeroespacial e das estruturas de TI do estado como um todo.

Mas foi com a instituição, em 2010, do Centro de Defesa Cibernética, o CDCiber, concebido naqueles fóruns de preparação, que o Brasil passou a contar com um órgão centralizador de coordenação e integração com resultados práticos já tangíveis.

Inaugurado em 2012, o CDCiber dotou o País de um catalisador com estrutura, recursos e competências que lidera ou executa diretamente 10 projetos estratégicos de boa consistência, entre os quais estão a Rede Nacional de Segurança da Informação e Criptografia (RENASIC), o sistema de comunicação por tecnologia SDN do exército (ou o Rádio Definido por Software), além de outras iniciativas impactantes, como a instituição da Escola Nacional de Segurança Cibernética (ENaDCiber).

O CDCiber teve o mérito de conferir  objetividade para a questão do risco cibernético em nível de segurança nacional e, mais que isto, efetivou uma articulação de esforços envolvendo a esfera militar com a sociedade.

Outro ganho notável do Centro, talvez um dos mais importantes, foi o de ter introduzido no País uma rubrica orçamentária específica para a defesa cibernética, a exemplo do que começa a acontecer hoje na maioria dos países desenvolvidos, sendo o maior exemplo o dos EUA, onde o presidente Obama pleiteia a alocação de US$ 19 bilhões para o nicho no próximo orçamento.

Logo que lançado em 2010, o CDCiber conquistou a expressiva liberação de R$ 400 milhões para o período de um quadriênio, o qual só se iniciou, na verdade, a partir de sua inauguração oficial,  em 2012.

De lá até o fim de 2015, o Centro executou gastos de R$ 190 milhões, abrangendo sua própria organização, o desenvolvimento do arcabouço documental do setor cibernético brasileiro e atividades operacionais de alta criticidade, como a defesa cibernética durante a Copa.

Para o exercício de 2016, o orçamento do Mindef prevê dotação de R$ 36 milhões para a defesa cibernética, valor que se demonstra compatível com a previsão orçamentária de R$ 840 milhões direcionados ao CDCiber até 2035, se considerarmos a média anual resultante de R$ 42 milhões e ponderando-se os efeitos do atual (e oxalá, passageiro) garrote orçamentário.

É preciso ir além do CDCiber

Em síntese, o Brasil ganhou – e muito – em termos de visão estratégica, coordenação e posicionamento da questão cibernética em seu patamar de relevância, a ponto de poder contar agora com a existência de recursos estatais “carimbados”.

Deixamos para um segundo momento a discussão sobre a adequação ou não da magnitude desses recursos, até porque interessa muito mais no momento a definição de políticas claras para o setor, o que entendemos como precondição de seu desenvolvimento econômico.

A restrição que se pode fazer ao Centro de Controle Cibernético (ou melhor, não exatamente ao CDCiber e ao que ele representa, mas à estratégia cibernética de defesa) está no caráter eminentemente militarizado de seus atuais alicerces.

É bem verdade que o CDCiber já coordena projetos com as universidades, como é o caso do convênio  com a UnB (Universidade de Brasília) na operação da  ENaDCiber, além de manter articulação com empresas do governo, como é o caso do SERPRO, e com desenvolvedores privados de tecnologia cibernética. Mas sua visão estratégica está totalmente focada para o universo da defesa nacional e para o controle de riscos e ações na perspectiva da guerra cibernética.

Falta ao Brasil uma instância congênere ao CDCiber que possa assimilar a sua experiência de coordenação e sua bagagem de conhecimentos para se colocar como o catalisador da segurança cibernética em níveis de infraestrutura e operações civis.

Este novo órgão poderia encapsular a parte cibernética inerente a uma miríade de programas como o Projeto Proteger (também tocado pelo Exército), que prevê recursos de R$ 19 bilhões em 10 anos para a segurança das concessionárias de serviços públicos. Poderia também coordenar projetos hoje sob o guarda-chuva de outros instrumentos de fomento e direcionamento de P&D do estado, sem necessariamente excluí-los.

É o caso de projetos da FINEP com claros vasos comunicantes com a área cibernética. O programa “Inova Empresa”, por exemplo, aporta financiamento para a evolução das redes utilities (“smart grid”) das elétricas e resvala, naturalmente, na segurança cibernética, mas não distingue de forma clara os recursos e as iniciativas a ela pertinentes.

Há também o “Inova Telecom”, que prevê a dotação de cerca de R$ 1 bilhão para o aprimoramento da estrutura de comunicações estratégicas e que apresenta ligação com os recursos do Funttel (Fundo para o Desenvolvimento Tecnológico das Telecomunicações), compreendendo incentivos para a prevenção, detecção, resposta a incidentes e gestão de crise cibernética.

Este nível específico de coordenação aqui proposto é vital para a segurança cibernética brasileira e para a evolução da nossa capacidade industrial e independência tecnológica. Ele poderá contar com parte da estrutura ou base de conhecimento do próprio CDCiber e integrar novos setores representativos da academia e da indústria. 

Sua constituição e funcionamento dependem, porém, de ações concretas na esfera político-econômica, que envolvem  um direcionamento “nacional” do poder de compra do governo. Existem hoje programas  louváveis, como o que abrange a certificação CERTICS, para  atestar a nacionalidade da tecnologia em TI, afetando diretamente o setor cibernético. Há também o selo EED (Empresa Estratégica de Defesa) que, em tese, favorece o agregado tecnológico genuinamente nacional nas compras de insumos militares. Mas não se pode afirmar que tais programas realmente estabeleçam prática formal e sistemática na hora da definição de fornecedores e produtos para o setor estatal brasileiro.

Aliás, para uma política mais eficiente de financiamento do setor seria recomendável a criação de dispositivos indutores para a aquisição de tecnologia nacional, inclusive pelas empresas do setor privado (via incentivo, cotas ou instrumento semelhante).

Outra precondição para nosso avanço cibernético está em enfrentar urgentemente a questão da escassez de massa crítica. Não falamos aqui exatamente de “grandes talentos” ou “mentes inovadoras”, mas de recursos intelectuais preparados para as necessidades práticas da indústria.

Cabe ressaltar que, além da ENaDCiber, esta iniciativa ambiciosa, mas factível e já em operação, existe no âmbito do MEC volume considerável de recursos para o ensino profissional e universitário que poderia ser objeto do poder de influência do novo órgão que aqui proponho.

Mas de nada adiantará formarmos pessoal preparado se o ecossistema não fechar. Ou seja, se não houver um nível de pujança industrial capaz de reter esses profissionais e impedir a perda do nosso investimento em treinamento ou educação especializada.

Enfim, se a experiência do CDCiber já pode nos ensinar algo é que o grande sucesso da sua iniciativa deve nos servir de incentivo para avançar para além da tutela das forças armadas.

O fim da privacidade e os desastres pós-modernos

É preciso encontrar novos meios de preservação da intimidade individual e do sigilo de dados na sociedade superconectada

Ao final dos anos 80, o teórico “pós-moderno” Paul Virilo assinalou que toda invenção tecnológica acarreta o surgimento de uma nova forma de desastre.  Com o advento do balão de passageiros, vieram as tragédias aéreas; o aquecimento a gás propiciou o surgimento da asfixia doméstica; o atropelamento começou com as carroças.

No universo da cultura digital, a radicalidade dos sinistros decorrentes de novas tecnologias atinge patamares insanos. E aí não falamos só de efeitos desastrosos pontuais, como o vírus que embaralha textos no computador ou o banditismo cibernético. O maior e mais profundo dos desastres da era cibernética é, na opinião de muitos, a destruição da privacidade. Uma tragédia que prejudica os indivíduos e oferece perigo a empresas e governos.

Hoje, bilhões de pessoas estão expostas pela hiperconexão e pelo compartilhamento da existência social em aplicações de relacionamento. Aplicações que, obviamente, embutem algum modelo de negócio baseado exatamente na inferência sobre dados (ou cacos de dados) que estas pessoas lançam ao navegar na rede.

Exemplos deste novo desastre não faltam no dia a dia. O cartão de fidelidade que usamos no supermercado permite ao comerciante saber que todo dia 10 o cliente X adquire uma garrafa de uísque Y. Juntando este dado a outros, é possível deduzir que quem compra esta marca de uísque pode também adquirir um apartamento de praia.

Em seu livro “O Poder do Hábito”, o jornalista norte-americano Charles Duhig relata o episódio em que o pai de uma adolescente procurou a empresa megavarejista “Target” para reclamar que seu departamento de marketing direto estava enviando conteúdos impróprios para sua filha menor de idade. Mensagens ligadas à maternidade e ofertas de produtos para bebês.

O gerente da loja se apressou a procurar o tal pai para contornar a queixa. Precisaria, para tanto, explicar que um sistema robótico de algoritmos, ligado ao big data da empresa, cruzava milhares de indícios desconexos e signos não estruturados para inferir o nível de propensão à gravidez de mulheres no mundo virtual.

O gerente iria contar ao pai que este modelo de big data já havia provado, na Target, um índice de assertividade beirando os 90%. As massas de informação disforme acionadas pelo tal “analytics”, iria argumentar o rapaz da loja, incluíam desde os ingênuos “likes” que a filha daquele senhor havia distribuído nas redes sociais, até seus mapas de navegação, suas preferências de compra, suas perguntas ao Google.

Mas ao ser procurado pelo gerente, o Pai, já bem mais resignado, em vez de ouvir as desculpas da Target foi logo, ele mesmo, se desculpando. É que, após ter reclamado à empresa, acabara de descobrir que a jovem filha de fato estava... grávida!

Muito mais radical que o “Grande Irmão”, profetizado pelo clássico de George Orwell de 1948, o fenômeno deste novo monstro que a tecnologia chama de “grandes dados”, tem a capacidade até de projetar, para cada um de nós, um novo tipo de futuro potencial.

Um futuro artificial, estatisticamente provável, e expresso através das inferências dos novos sistemas analíticos capazes de definir nossas “propensões futuras” e passar a direcionar o nosso enquadramento a elas.

Por outro lado, ninguém irá abrir mão da nova sociedade e seria ridículo esperar um retrocesso em função de antigos valores, com a individualidade “sagrada”. Mas reconhecer a fatalidade do fim da privacidade – tal como a conhecíamos até muito recentemente - não significa nos resignar a sermos vigiados e monitorados à nossa revelia e sem qualquer resistência possível.

Perdemos a velha e boa privacidade da sociedade analógica, das grandes multidões de pessoas anônimas, e agora precisamos inventar outra forma de privacidade, compatível com o novo modelo de tecnologia ubíqua e pervasiva e em que todos estão submersos.

Por mais difícil que seja conseguir alguma vida exclusivamente pessoal na rede, devemos rejeitar a ideia de um mundo sem direito à intimidade, assim como o setor aéreo rejeita abrir mão de uma remota possibilidade de sobrevivência diante dos seus mais terríveis desastres.

A cada voo comercial, em qualquer ponto do no planeta, a horda de passageiros é submetida a uma aula, sempre repetida e monótona, sobre como usar as máscaras de despressurização e os assentos que flutuam, em caso de mergulho da aeronave nas águas revoltas do oceano. O acidente é para lá de fatal e a solução ofertada é fraquíssima. Mas acima de tudo está o conceito, a ideia de uma contingência indispensável e lastreada na crença de que sempre haverá uma esperança se estivermos devidamente prevenidos.

O caso da privacidade cibernética e da integridade dos dados exige da indústria de TI um paradigma de perseverança semelhante. É desafio do setor de segurança da informação não apenas criar as criptografias (os algoritmos de barreira que, teoricamente, devem evitar a queda livre do “avião da privacidade” pelo simples fato de ele estar suspenso no ar). Precisamos também fomentar condutas que tenham a intimidade e o sigilo como premissas vitais, e que sejam repetitivas e reproduzidas por todos.

Fomentar condutas, quer dizer, fazer que nossos sistemas “impeçam” o usuário de espalhar seus dados (ou os dados empresariais que eles acessam) de forma indiscriminada e ingênua.  Induzi-lo, através de requerimentos de software, ao comportamento digital responsável.

E ao lado dessa tecnologia impositiva, é nosso papel projetar estratégias abrangentes para todo o ciclo da segurança. O que inclui indicar às empresas que o funcionário deve assinar termos de adesão se comprometendo a algo equivalente a “atar cintos” e a “não fumar” quando navegando na rede da companhia. 

Resulta de tudo isto que combater na luta pela privacidade exige, em alguma medida, o ato paradoxal de se monitorar os hábitos de navegação das pessoas e disciplinar o modo como os indivíduos (e aqui falamos mais especialmente dos internautas empresariais) se relacionam com as redes.

Conscientizar funcionários de que seus passos são acompanhados por um sistema lícito de controle que quase tudo vê é, por incrível que pareça, uma medida essencial para se mitigar a exposição involuntária de informações pessoais que possam ser empregadas contra a intimidade destas próprias pessoas ou contra o sigilo e integridade dos dados corporativos.

Aspectos Aborrecidos da Segurança da Informação

O homem de segurança  da informação precisará, fatalmente, incomodar seus colegas com aspectos “desconfortáveis” da segurança de TI e do comportamento das equipes.

Apesar de toda a resistência interna nos diversos departamentos empresariais, a segurança da informação está cada vez mais deixando de ser um assunto exclusivo do CIO, ou do profissional especialista da área, para ser também um típico problema de gestão de pessoas que tem impacto sobre a organização inteira.

A propósito dessa tendência, a literatura especializada oferece uma gama de frameworks e referências para tentar auxiliar os gestores. Merece atenção, em especial, a série de normas NBR ISO/IEC 27000, que não deixa dúvidas sobre a necessidade de controle do RH como aspecto imprescindível para minimizar o risco de vazamento de informação, bem como sobre a importância de se atentar para a questão do ambiente cibernético.

A ISO 27002 contempla de forma detalhada uma lista de recomendações que abrangem desde os cuidados na contratação de funcionários até a descrição de alguns processos disciplinares que se tornam imprescindíveis para a segurança da informação no ambiente corporativo.

Daí que, de um jeito ou de outro, os responsáveis pela TI e demais envolvidos diretos em políticas de segurança terão que, cedo ou tarde, acionar seus colegas - gerentes, diretores, presidentes, coordenadores de equipe - para tratar da conscientização para a segurança da informação e da importância das normas de conduta no uso da informação e dos recursos eletrônicos na empresa.

Assunto para muitos "cansativo" e de ROI nem sempre muito considerado, a conscientização (ou, como alguns preferem, a imposição de regras rigorosas) para a segurança da informação costuma ser também considerada uma "chateação" para o ambiente de concordância que sempre se busca nas empresas. Além de também "tomar o tempo de pessoas que poderiam estar vendendo e fazendo a roda girar". Daí a sua difícil aceitação em certo âmbito nas empresas.

Mas, como eu dizia mais acima, a consciência desse fato - de que a gestão de pessoas é crucial para a segurança - começa a assumir novos contornos para cúpula empresarial à medida em que alguns fatos conjugados vão se tornando mais nítidos aos olhos do dono do negócio:

1. As normas para garantir conformidade estão cada vez mais endereçando as vulnerabilidades decorrentes da ação de usuários, internos ou externos, e cuja ocorrência certamente acarretará prejuízo.
2. Com a enorme abundância de meios de acesso à rede, praticamente todos os funcionários, clientes remotos e usuários externos acessam bases de informação que podem conter informações críticas de negócio. E certamente tais conexões facilitam a ação de um agente mal-intencionado.
3. Esta mesma abundância de acesso, com excelentes taxas de velocidade de navegação, e toda uma infraestrutura tecnológica para negócio tende a transformar, na cabeça do colaborador, a estrutura digital da empresa em um "jeito melhor" de acessar o Facebook ou o WhatsApp. Então, a linha que separa o lazer e o trabalho pode às vezes ficar muito tênue, um fato que faz acender aquele brilhante cifrão interrogatório nos olhos do empresário.
4. Não bastasse a banalização do acesso, através dos computadores da empresa, há ainda o fenômeno dos smartphones e tablets pessoais consumindo de forma considerável o canal Wi-Fi empresarial e potencializando a situação de descontrole e exposição ao risco.
5. Sem querer completar a lista de problemas - que seria realmente muito grande - vale lembrar que a superexposição dos funcionários em seus perfis de redes sociais acrescenta um nível de vulnerabilidade até recentemente impensável para a segurança dos negócios. E isto, especialmente nesses tempos em que o cibercrime já detém domínios que vão da engenharia social a sofisticadas técnicas de espionagem.

Portanto, a necessidade de solução para o fator "gente" como um dos elos mais vulneráveis e mais críticos da política de segurança já não é exatamente uma novidade.

Em fóruns de discussão, seminários e encontros do setor, já é comum encontrarmos especialistas em segurança (e em direito digital) que recomendam a criação de "manuais de segurança" que são, em grande medida, documentos de prévia e explícita advertência para que o funcionário tenha - e ateste ter - ciência sobre seus limites de uso dos recursos de rede e de TI da empresa e sobre suas responsabilidades - incluindo ônus judiciais - para os casos de uso inadequado.

Para a advogada Patrícia Peck, especialista na área do direito digital, toda segurança jurídica da empresa está em risco se ela não tiver documentos de "ciência", assinados pelos funcionários, que as ajude em futuras querelas sobre o monitoramento defensivo do e-mail corporativo e outras informações sobre navegação na Internet utilizando os recursos da empresa.

Acontece também que, embora ainda haja muitos embates sobre este tipo de monitoramento, a prática de mercado já pacificou que eles são legítimos nos canais estritamente institucionais do negócio e que as empresas necessitam fazê-lo em defesa de seus dados e até de dados de terceiros que estejam sob sua custódia.

Mas, uma vez definida esta prática como um padrão atinente aos costumes e aos marcos regulatórios (sejam eles do direito ou da indústria) retornamos a questão novamente ao CIO, ou ao homem da segurança, ao qual caberá não só o papel de coordenar esta mudança comportamental no ambiente das corporações, mas também promovê-la.

É que, para que tais mudanças se efetivem, será preciso que os sistemas de controle também estejam adequados, por exemplo, para avisar o funcionário (e também alertar o controlador) que ele deixe de acessar aquela rede social em que está navegando, e na qual nada existe de pertinente ao seu trabalho.

Sem uma central de controle unificado (normalmente sintetizada através de um Firewall UTM), é inviável a uma empresa estabelecer o monitoramento necessário para a implementação de políticas de tráfego, acesso à informação e uso de recursos de rede.

Da mesma forma, a análise posterior dos logs e da ação de cada usuário, para o caso de elucidação de incidentes envolvendo a segurança ou privacidade do negócio, irá depender de rastreamentos somente viáveis a partir de recursos disponíveis em uma central de monitoramento deste tipo.

A grande maioria das empresas, entretanto - e aí  se incluem algumas de porte até razoável - ainda credita a segurança à ação de providências bem mais simples, como a instalação de "poderosos antivírus", o bloqueio de sites recreativos e o envio de e-mails genéricos de advertência para que as equipes não se dispersem no Instagram ou no Facebook.

Pois este é outro assunto "chato" a ser levado aos colegas pelo homem de segurança. Ativos estratégicos do negócio continuarão em alto risco enquanto as empresas não entenderem que o investimento em segurança é mais do que um gasto indesejável, mas uma proteção de todo o negócio em si. É preciso investir no melhor do controle de proteção até para se ter mais produtividade e sustentabilidade a longo prazo.

De preferência, não baixe ferramentas gratuitas da Internet para uso na segurança e controle do seu negócio. Também procure saber se o Firewall UTM que pretende instalar atende as exigências da norma ISO 27002 e, se possível, busque encontrar material referencial em universidades, órgãos governamentais de segurança e defesa ou empresas de pesquisa como o Gartner.

A moral da história, se é que existe uma, poderia ser a seguinte: investir em segurança é mesmo bem pouco excitante. Mas sem sombra de dúvida muito melhor é apostar em redução de riscos do que em contenção de danos.