Cibersegurança das infraestruturas críticas nacionais

A AC CA AD DE EM MI IA A D DA A F FO OR RÇ ÇA A A AÉ ÉR RE EA A Cibersegurança das Infraestruturas Críticas Nacionais Eduardo Luís Gonçalves Pequeno de Oliveira e Silva Aspirante a Oficial-Aluno Piloto-Aviador 137731-A Dissertação para obtenção do Grau de Mestre em Aeronáutica Militar, na Especialidade de Piloto-Aviador Júri Presidente: Cor/EngEl Luís Filipe Basto Damásio Orientador: Professor Doutor Paulo Cardoso do Amaral Coorientador: TCor/EngInf José Manuel António Gorgulho Vogal: TCor/EngInf Ana Cristina Domingos de Oliveira Rodrigues Telha Sintra, março de 2015 ii Este trabalho foi elaborado com finalidade essencialmente escolar, durante a frequência do Curso de Pilotagem Aeronáutica cumulativamente com a atividade escolar normal. As opiniões do autor, expressas com total liberdade académica, reportam-se ao período em que foram escritas, mas podem não representar doutrina sustentada pela Academia da Força Aérea. iii Agradecimentos A presente dissertação é o terminar do curso de Ciências Militares Aeronáuticas, da Academia da Força Aérea. Considero singular privilégio tal oportunidade, que permitiu, em última análise a realização desta dissertação. Como culminar de um processo académico, identifico e agradeço a disponibilidade manifestada por várias personalidades. Em primeiro lugar, gostaria de agradecer ao Professor Doutor Paulo Amaral, que pela sua boa disposição, paciência e profissionalismo nas inúmeras sugestões e conselhos, se revelou essencial para a elaboração desta dissertação. Os meus sinceros agradecimentos ao meu coorientador, Tenente-Coronel José Gorgulho, pela incansável ajuda demonstrada ao longo de todo o trabalho e incansável esforço de tornar possível a realização das tão importantes entrevistas, bem como ao especial cuidado demonstrado na correção dos textos. A todos os Oficiais, pela sua prestabilidade e disponibilidade ao concederem o privilégio de os entrevistar, nomeadamente a sua excelência o Senhor MajorGeneral Pedro Melo, Tenente-Coronel Viegas Nunes, Major Paulo Branco, Major António Valente, Major João Farinha bem como ao Capitão-Tenente Francisco Assunção. E ainda ao Engenheiro Lino Santos do Centro Nacional de Cibersegurança. Um especial agradecimento à minha família, não só pela educação e condições de formação que me proporcionou, bem como pelo auxílio, motivação e apoio que desde o primeiro minuto se revelaram fundamentais para ultrapassar mais esta etapa bem como todas as que a antecederam. Finalizando os agradecimentos, resta apenas agradecer a todos os que, apoiando ou criticando, tornaram possível o atingir de mais este objetivo que não se trata do fim de um percurso, mas sim do início de uma nova etapa. v Resumo Segundo o Conceito Estratégico de Defesa Nacional (CEDN) aprovado em 2013, o novo ambiente de segurança obriga a uma capacidade de resposta diferente das Forças Armadas (FFAA), isto é, os investimentos de modernização devem concentrar-se em equipamentos de indiscutível utilidade técnica e estratégica em função das capacidades necessárias ao cumprimento das missões prioritárias assumindo grande importância a definição de uma estratégia civil e militar integrada. Assumindo que os ciberataques se manifestam como uma ameaça crescente às Infraestruturas Críticas (IC) em que os potenciais agressores poderão incapacitar totalmente a estrutura tecnológica de um estado nação moderno (CEDN, 2013), este trabalho discute a proteção das IC na perspetiva da gestão do risco relacionado com a cibersegurança e a ciberguerra, e no envolvimento e contribuição potencial das FFAA e das forças de segurança para a gestão desse mesmo risco. Em particular, este trabalho estuda a possível participação das FFAA na ciberdefesa/cibersegurança das Infraestruturas Críticas Nacionais (ICN). Com base numa recolha de documentação da União Europeia, Força Aérea Portuguesa e Forças Armadas, bem como da informação recolhida em entrevistas aos especialistas, é realizada uma análise aos conceitos de ciberdefesa e cibersegurança e às metodologias de gestão de risco RAMCAP e ISO 31000, e será da interligação destes conceitos com a informação retirada das entrevistas aos especialistas que serão estabelecidas as conclusões do trabalho. Conclui-se que as FFAA têm espaço não só na ciberdefesa das ICN mas também na cibersegurança, intervindo não só nos três casos de exceção previstos na lei, mas também na monitorização constante do ciberespaço, sendo a segurança e defesa do ciberespaço o resultado de um trabalho conjunto e combinado. Finalmente, este trabalho recomenda que as FFAA, como parte interessada na cibersegurança das ICN, passem a apoiar na definição dos requisitos de segurança das mesmas em conjunto com o Centro Nacional de Cibersegurança (CNCS) e com a Autoridade Nacional de Proteção de Civil (ANPC). Palavras-chave: ICN, FFAA, Ciberdefesa, Cibersegurança, Guerra da Informação vii Abstract In accordance with the ‘National Defense Strategic Concept (CEDN)’, approved in 2013, the current security environment requires a different response capacity from the Armed Forces. In essence, this means that investment in modernization should focus on equipment of indisputable technical and strategic utility according to the capacities necessary to carry out priority tasks, thus assuming a greater level of importance in defining a civil and military integrated strategy. Assuming that cyber-attacks manifest themselves as an escalating threat to the CI in which potential aggressors may fully incapacitate the technological structure of a modern nation state (CEDN, 2013), the current paper discusses the protection of the IC within the perspective of risk management related to cyber-security and cyberwarfare, as well as the involvement and potential contribution of the Armed Forces and security forces in the management of the risk in question. In particular, this work studies the possible role of the Armed Forces in ICN cyber-defense/cyber-security. In this dissertation, a collection of European Union, Portuguese Air Force and Armed Forces documentation, as well as information gathered during interviews with experts, has been used as a basis for analysis in the light of the concepts of Cyber Defense and Cyber Security, and to the risk management methologies RAMCAP and ISO31000. Through linking the information derived both from theory and from the information gathered during the interviews, we find the interconnection that allows us to the conclusions. We can conclude that the Armed Forces have the necessary space, not only in relation to cyber-defense of the NCI, but also in terms of cyber-security; intervening not only in the three exceptional cases predicted by law, but also in the constant monitoring of cyberspace. The security and defense of cyberspace come as a direct result of this combined work. Ultimately, this paper recommends that the Armed Forces, as an interested party in ICN cyber-security, take part in defining the respective security requirements jointly with the CNCS and ANPC. Keywords: National Critical Infrastructure; Armed Forces; Cyber Defense; Cyber Security; Information Warfare. ix Índice 1 Introdução ...................................................................................................................... 1 1.1 Generalidades............................................................................................................ 2 1.2 Motivação .................................................................................................................. 3 1.3 Âmbito e objetivos ...................................................................................................... 4 1.4 Metodologia ............................................................................................................... 5 1.5 Modelo de Análise ..................................................................................................... 6 1.6 Panorâmica da Dissertação ....................................................................................... 7 2 Revisão da Literatura ..................................................................................................... 9 2.1 Guerra de Informação ................................................................................................ 9 2.2 Information Assurance ..............................................................................................12 2.3 Superioridade de Informação ....................................................................................13 2.4 Guerra Centrada em Rede ........................................................................................13 2.5 Guerra Cibernética ....................................................................................................14 2.6 Sistemas de Informação ...........................................................................................15 2.7 Política de Segurança ...............................................................................................16 2.8 Estratégia de Segurança ...........................................................................................16 2.9 Ciberespaço ..............................................................................................................18 2.10 Ciberdefesa ..............................................................................................................19 2.11 Cibersegurança .........................................................................................................19 2.12 Guerra da Quarta Geração .......................................................................................20 3 Infraestruturas Críticas Nacionais (ICN) ........................................................................23 3.1 Planos de Emergência ..............................................................................................25 3.2 Tipos de Infraestruturas Críticas ...............................................................................27 4 Ciberdefesa ...................................................................................................................29 4.1 Domínios de Atuação ................................................................................................31 4.1.1 Proteção Simples ............................................................................................32 4.1.2 Prossecução Criminal .....................................................................................34 4.1.3 Domínio da Defesa do Estado .........................................................................34 4.2 A Ciberdefesa na Força Aérea ..................................................................................35 4.3 A Ciberdefesa e Cibersegurança nas Forças Armadas. ............................................40 5 ISO 31000 – “Gestão do risco Princípios e Linhas de Orientação” ................................45 5.1 Estrutura da Política de Gestão de Risco ..................................................................46 5.2 “Conceção da Estrutura Para Gerir o Risco” .............................................................48 xvi IC Infraestruturas Críticas ICN Infraestrutura Crítica Nacional ICE Infraestrutura Crítica Europeia IO Information Operations LOBOFA Lei Orgânica de Bases da Organização das FFAA MDN Ministério da Defesa Nacional NATO North Atlantic Treaty Organization PPIC Planos de Proteção das Infraestruturas Críticas RFA Regulamento da Força Aérea TIC Tecnologias da Informação e Comunicação UE União Europeia 1 1 Introdução Atualmente as sociedades mais desenvolvidas encontram-se tendencialmente estruturadas em redes de sistemas de informação e de comunicações dando origem à criação do ciberespaço. Esta caraterística estrutural de funcionamento das sociedades modernas é fundamental para definir e pensar toda a conjuntura estratégica do século XXI. Entendendo a evolução como um desafio e uma oportunidade, é importante garantir que esta aconteça de forma sustentada e, dentro deste contexto, verifica-se que a forma como os diferentes intervenientes utilizam a informação pode ser simultaneamente geradora de oportunidades mas também de novas ameaças. O ciberespaço toma assim grande relevância e importância nas implicações na condução da política e da estratégia dos Estados. (CARRIÇO, 2013) As Tecnologias de Informação e Comunicação (TIC) tornaram-se indispensáveis para a sociedade atual. Neste momento dependemos de toda uma infraestrutura de comunicações e informações para as ações governativas da sociedade, para o sector dos negócios, e até para o exercício dos direitos e liberdades dos cidadãos. Na mesma medida, as nações tornaram-se dependentes das suas infraestruturas de comunicações e informação, e por isso, ataques à sua disponibilidade integridade e confidencialidade podem afetar o próprio funcionamento das nossas sociedades. (KLIMBURG, 2012) Nos termos da constituição e da lei incumbe às Forças Armadas (FFAA) “ desempenhar todas as missões militares necessárias para garantir, a independência nacional e a integridade do Estado” e ainda “ cooperar com as forças e serviços de segurança, tendo em vista, o cumprimento conjugado das respetivas missões, no combate a agressões ou ameaças transnacionais”. (LOBOFA,2009) É de especial relevância para a eficácia das ações de defesa do ciberespaço, a existência de uma atuação sinérgica e combinada da sociedade Portuguesa, ação essa, que envolva os órgãos do Ministério da Defesa Nacional (MDN), do EstadoMaior General das Forças Armadas (EMGFA) e dos Ramos, mas também a comunidade (Despacho n.º 13687/2013). 2 1.1 Generalidades “A cibercriminalidade é uma ameaça crescente às infraestruturas críticas, em que potenciais agressores (terroristas, criminalidade organizada, Estados ou indivíduos isolados) podem fazer colapsar a estrutura tecnológica da organização social moderna;” (CEDN, 2013) Pressupondo por isso que o estado deve procurar garantir e aumentar a segurança das infraestruturas críticas nacionais, em colaboração direta com os operadores dessas mesmas infraestruturas. É também importante definir o conceito de Infraestrutura Crítica Nacional (ICN), assim, e assumindo a definição proveniente do enquadramento legal atual, define-se Infraestrutura Crítica Nacional “a componente, sistema ou parte deste situado em território nacional que é essencial para a manutenção de funções vitais para a sociedade, a saúde, a segurança e o bem-estar económico ou social, e cuja perturbação ou destruição teria um impacto significativo, dada a impossibilidade de continuar a assegurar essas funções” (DL 62/2011) A Resolução do Conselho de Ministros nº12/2012 atribui ao Gabinete Nacional de Segurança (GNS), no âmbito da quarta medida do plano global estratégico de racionalização e redução de custos com as TIC, a missão de coordenação com todas as entidades relevantes na definição e implementação de uma Estratégia Nacional de Segurança da Informação (ENSI), que compreende a criação, instalação e operacionalização de um Centro Nacional de Cibersegurança (CNCS). Compete assim ao CNCS exercer os poderes de autoridade nacional competente em matéria de cibersegurança, relativamente ao estado e aos operadores das ICN. Bem como assegurar a articulação e a cooperação entre os vários intervenientes e responsáveis nacionais na área da cibersegurança (DL 69/2014). O Conceito Estratégico de Defesa Nacional (CEDN) reconhece os desafios de segurança do ciberespaço e recomenda a edificação ao nível das FFAA de uma capacidade de ciberdefesa em concreto com a criação de um Centro de Ciberdefesa (CCD) em simultâneo com a criação de um único serviço coordenador 3 das comunicações e dos sistemas de informação em articulação com os Ramos (Despacho n.º 13692/2013). 1.2 Motivação “Uma das maiores ameaças que Portugal terá de enfrentar nos próximos anos será sem dúvida a dos ciberataques em larga escala às ICN.” (GNS,2011). Na sociedade de informação atual o ciberespaço constitui-se como um domínio estruturante, o que obriga aos estados a existência de uma visão estratégica clara, com objetivos realistas e linhas de ação concretas, tendo sempre como objetivo final a salvaguarda dos interesses nacionais e o aumento do potencial estratégico. (CARRIÇO,2013) Assim, o novo CEDN refere que, dado o atual e novo ambiente de segurança, as recentes questões financeiras bem como as exigências das alianças externas obrigam a uma capacidade de resposta diferente das FFAA bem como à definição de uma estratégia integrada, civil e militar, indispensável para dar resposta às ameaças e riscos atuais. (CEDN,2013) No que concerne à presença de Portugal na North Atlantic Treaty Organization (NATO), esta, dado o crescente aumento de ciberataques às suas infraestruturas de informação e redes, optou por desenvolver um esforço conjunto para dar resposta aos novos desafios à segurança global e à evolução das ameaças, elegendo a ciberdefesa como uma prioridade estratégica para a aliança (CARRIÇO,2013). Assim, e dado o enquadramento estratégico no domínio da cibercriminalidade, é imposto pelo CEDN a avaliação das vulnerabilidades dos sistemas de informação bem como de todas as infraestruturas e serviços vitais por eles suportados. Nesse sentido, é classificado pelo mesmo documento, prioritário garantir a proteção das infraestruturas de informação críticas, criando para esse efeito um sistema de proteção da infraestrutura de informação nacional, bem como definir uma estratégia nacional de cibersegurança e ainda criar a estrutura responsável pelas questões de cibersegurança (CEDN,2013). 4 1.3 Âmbito e objetivos De acordo com o enunciado no atual CEDN, esta dissertação encontra-se integrada na atual linha de pensamento estratégico do Estado Português para a defesa dos interesses nacionais nomeadamente na área de cibersegurança sendo também este um tema relevante na Comunidade Europeia (CE), bem como na Aliança Atlântica na qual o Estado Português se insere. (CEDN,2013) Este trabalho pretende estudar a forma como se encontra organizada a estrutura de cibersegurança e ciberdefesa das ICN e perceber, cumulativamente, se há espaço para um contributo das FFAA nesta matéria. Pretende-se também com este trabalho fazer um levantamento sobre as capacidades de cibersegurança e ciberdefesa do Estado Português, a nível das ICN, dos organismos públicos e das FFAA e, daí perceber, à luz dos conceitos de Guerra de Informação (GI), se estes sectores da sociedade partilham entre si a missão de defesa cibernética, de forma conjunta e cooperativa. E também, de que forma é feita a tutela e supervisão do cumprimento dos pressupostos nacionais e internacionais no âmbito da cibersegurança das ICN junto dos operadores. Sendo que às FFAA, por força da constituição e da lei, está incumbida a missão de salvaguarda dos interesses nacionais, tentaremos com este trabalho concluir se estas deveriam ou não ter mais relevo nas questões de cibersegurança das ICN. Para a realização deste trabalho assume-se a seguinte hipótese: "As Forças Armadas têm espaço para contribuir para a Cibersegurança das Infraestruturas Críticas Nacionais" Assim sendo, a questão que se coloca e que constitui a linha condutora de toda a dissertação é a seguinte: "As Forças Armadas têm espaço para contribuir para a Cibersegurança das Infraestruturas Críticas Nacionais?" 5 1.4 Metodologia Com a pretensão de atingir os objetivos do presente trabalho é adotada como metodologia o modelo enunciado no manual de investigação em ciências socais de Raymond Quivy e Luc Van Campenhoudt. Este projeto de investigação apresenta uma série de fases lógicas de abordagem do problema, recolha de dados, análise dos mesmos, tendo por objetivo uma conclusão que se pretende concreta e fundamentada. Numa primeira fase, é feito um levantamento dos conceitos doutrinários, enquadrados na área de GI, como Intelligence, Guerra Centrada em Rede, Guerra de Quarta Geração, Information Assurance e Guerra Cibernética, Ciberataque, Ciberdefesa, Cibersegurança, de forma a contextualizar o panorama atual. Numa segunda fase, para recolha de dados são utilizados vários processos, como a entrevista a representantes do CNCS, aos responsáveis pela área de ciberdefesa das FFAA entre outras que se entenderem por pertinentes, bem como através da leitura da legislação e documentação nacional e internacional (NATO, UE), diretivas e pareceres de especialistas nacionais na área da proteção de infraestruturas críticas e cibersegurança. Pretende-se nesta fase, através do dados apurados, entender qual o contributo das FFAA nas questões de cibersegurança das ICN e se o mesmo é adequado. Por fim, na terceira fase, após todos os dados recolhidos e tratados, e com o apoio das conclusões intermédias que foram estabelecidas ao longo da análise dos documentos recolhidos, objetiva-se responder à pergunta de partida deste trabalho “As Forças Armadas têm espaço para contribuir para a cibersegurança das Infraestruturas Críticas Nacionais?”. Sendo que o valor das conclusões deste trabalho será subjacente aos dados recolhidos, seja quanto à fonte ou à validade do conteúdo. 6 Figura 1 - Modelo de Quivy e Campenhoudt (Quivy e Campenhoudt,1992) 1.5 Modelo de Análise Partindo da hipótese definida “As Forças Armadas têm espaço para contribuir para a cibersegurança das Infraestruturas Criticas Nacionais" e, com o objetivo de responder à pergunta de partida, “As Forças Armadas têm espaço para contribuir para a cibersegurança das Infraestruturas Criticas Nacionais” é elaborado o presente trabalho que segue como metodologia o método de Quivy e Campenhoudt (Quivy e Campenhoudt, 1992). A análise consiste na interligação de várias dimensões teóricas com o conhecimento prático retirado das entrevistas realizadas aos peritos nacionais. 7 De forma a garantir uma resposta cientificamente validade à pergunta de é necessário desenvolver o conceito de ICN, isto é, a sua definição, os tipos de ICN, os seus planos de emergência, legislação aplicável, etc. Além disso, com o objetivo de estudar as metodologias aplicadas na gestão de risco e proteção das ICN, são analisadas duas metodologias, uma para a gestão de risco, mais generalista - a ISO31000 “Gestão do Risco Princípios e Linhas de Orientação”, e uma outra direcionada para a proteção e gestão de infraestruturas críticas - a RAMCAP. Do estudo destas duas metodologias pretende-se perceber quais os procedimentos e conceitos teóricos previstos pelas mesmas para, posteriormente, verificar se estes são, ou como é que podem ser, aplicados pelos organismos e entidades responsáveis pela ciberdefesa e cibersegurança na proteção das ICN. Uma vez que a pergunta de partida direciona a investigação para a temática da cibersegurança e, de forma subentendida, para a ciberdefesa, é feita também uma análise aos referidos conceitos. Em termos teóricos, através do estudo e interpretação dos diplomas legais e do ordenamento jurídico nacional, bem como de legislação internacional UE e NATO, e ainda dos regulamentos e normativos internos das FFAA e da Força Aérea. Este levantamento teórico é complementado com os dados retirados da entrevista ao CNCS, e, no caso da ciberdefesa, da informação retirada, entre outras, da entrevista à Direção de Comunicações e Sistemas de Informação (DCSI) do Estado Maior da Força Aérea (EMFA) e ao CCD. O recurso às entrevistas anteriormente referidas torna possível um cruzamento dos fundamentos teóricos com a realidade operacional em Portugal em matéria de cibersegurança e ciberdefesa. Com o presente estudo pretende-se assim recolher a informação necessária para que, de forma cientificamente sustentada, possa ser respondida a pergunta de partida, bem como estabelecidas algumas conclusões e recomendações no âmbito da cibersegurança e ciberdefesa em Portugal. 1.6 Panorâmica da Dissertação Esta dissertação encontra-se dividida, fundamentalmente em quatro fases; 8  A 1ª fase, que serve de introdução ao conteúdo do restante trabalho, evidenciando os seus objetivos, generalidades sobre o tema, a motivação, bem como a metodologia que será utilizada;  A 2ª fase, que corresponde a uma síntese do trabalho já desenvolvido e compilado, onde são apresentados diversos conceitos necessários à compreensão do presente trabalho. São abordados conceitos inseridos na área de GI bem como alguns conceitos importantes para este tema tais como Information Assurance, Guerra Centrada em Rede, Guerra Cibernética entre outros;  A 3ª fase, tendo por base os conceitos anteriormente recolhidos, analisa a documentação à luz da GI, de forma a produzir informação credível passível de apreciação. A documentação anteriormente referida é proveniente do enquadramento legal do estado Português (Decretos Lei, Despachos, Resoluções de Conselho de Ministros), de legislação e orientações internacionais (UE e NATO) no âmbito da cibersegurança e da proteção das ICN e das orientações internas da Força Aérea e das FFAA em geral no que concerne aos assuntos de ciberdefesa e cibersegurança e, por último, de orientações, recomendações ou propostas provenientes de entidades privadas, grupos de estudo ou universidades. Ao longo deste capítulo são estabelecidas conclusões intermédias que auxiliam a obtenção da conclusão final;  A 4ª fase, trata-se de uma síntese de todo o trabalho realizado, que se concretiza na obtenção das conclusões finais. Pretende-se neste capítulo analisar de forma integrada e global da problemática da cibersegurança nas ICN respondendo desta forma à pergunta de partida deste trabalho. Serão também deixadas recomendações para estudos futuros nesta temática. 9 Figura 2 - Nova Perspetiva Sobre a Guerra Centrada em Rede (DOD, 2001) 2 Revisão da Literatura Este capítulo tem como finalidade dar a conhecer os conceitos e definições necessários para o enquadramento deste trabalho no âmbito da área de GI. Seguidamente é também feito um resumo dos conceitos iniciais mais importantes para a sua compreensão. 2.1 Guerra de Informação Nos conflitos atuais, a fronteira entre um estado de paz e um estado de guerra, bem como as distinções entre amigo, inimigo ou neutro, são cada vez mais impercetíveis (ALBERTS, 1999).O cenário de conflito alterou-se comparativamente com os conceitos estratégicos e táticos das antigas guerras, em que o inimigo estava perfeitamente definido e identificado, originando, portanto, uma crescente preocupação uma vez que é difícil prever com antecedência o ataque, causa esta que se agrava com o facto de as ferramentas e técnicas necessárias para se fazer GI serem cada vez mais acessíveis e facilmente alcançáveis pelo cidadão normal, criando assim uma possibilidade de guerra assimétrica, fazendo com que a “guerra digital” se torne mais comum que a “guerra física”, não sendo necessário que os adversários tenham contato direto com o inimigo, o que altera todo o paradigma da antiga guerra, podendo, atualmente, o ataque ser originário de qualquer sítio do mundo. (ALBERTS, 1999) 16 transmitem, apresentam, disseminam e operam com informação. Os sistemas de informação também incluem os processos de informação (JP 3.13, 1998). 2.7 Política de Segurança A política de segurança deve ser elaborada tendo em conta os interesses de um Estado, qual a sua posição e poder perante os outros países, e os seus objetivos devem ser consoante os seus interesses e limitações, por via a conseguir defender com eficácia os seus sistemas e informações (WALTZ, 1998). Como tal, são apresentados três elementos essenciais para uma segurança eficaz no que toca à GI e, consequentemente, à segurança do ciberespaço (WALTZ, 1998).  Interesse Nacional – Toda a infraestrutura nacional de informação engloba várias organizações, sejam elas militares ou civis, podendo conter alguns elementos privados. É uma infraestrutura que inclui informações e processos passíveis de sofrerem um ataque (WALTZ, 1998).  Vulnerabilidades – As defesas tradicionais, com a evolução, deixam de ser eficazes e já não existe necessidade de um ataque ser efetuado dentro das fronteiras de um país (WALTZ, 1998).  Objetivo da Segurança – Definir níveis para a segurança de informação e classificá-la consoante a sua importância (WALTZ, 1998). 2.8 Estratégia de Segurança Considera-se a estratégia de segurança nacional como sendo uma arte e uma ciência cuja função é a de conjugar a economia e os aspetos políticos com as FFAA, seja em tempo de paz ou de guerra, de forma a assegurar os objetivos nacionais (WALTZ, 1998). Com a incorporação das FFAA na estratégia de segurança nacional aumentamos a probabilidade de alcançar a vitória e diminuímos o risco de derrota, assegurando assim a eficácia dos objetivos. A estratégia deve ser bem delineada num plano que esteja ao alcance das FFAA e deve obedecer aos seguintes passos: (WALTZ, 1998) 1. Análise situacional das possíveis ameaças às infraestruturas existentes; 17 2. Criação de objetivos estratégicos, consoante as políticas de segurança nacional, para definir o nível de importância dos sistemas a defender; 3. Criação de planos alternativos caso os principais falhem; 4. As alternativas devem ser medidas em termos de eficácia, custo/benefício e risco; 5. Desenvolvimento de um plano estratégico, consoante os riscos e a sua possibilidade de ocorrência, bem como as consequências; 6. O plano estratégico deve ser adaptado consoante a estrutura das organizações envolvidas, a sua missão e meios; 7. A monitorização é essencial para a implementação do plano, de forma a avaliar o desempenho do mesmo. Componentes de um plano de estratégia: (WALTZ, 1998)  Definição das missões militares e não-militares;  Identificação de todas as políticas de segurança, nacionais ou internacionais em que o país esteja integrado;  Definição de objetivos a atingir;  Organizações envolvidas e as suas responsabilidades e papéis;  Plano de efetividade e desempenho. Elementos do plano estratégico: (WALTZ, 1998)  Ameaças e capacidades;  Estrutura nacional e as vulnerabilidades;  Capacidades de GI;  Planos para cada uma das organizações;  Planos operacionais;  Plano de estratégia recorrendo às tecnologias;  Plano de gestão dos riscos. 18 2.9 Ciberespaço “Como a utilização do ciberespaço está diretamente relacionada com o meio onde se realizam atividades de guerra de informação, naturalmente que este novo tipo de guerra tem incidência particular no âmbito da segurança e defesa.” (DINIS, 2009) Desde os seus primórdios o Homem foi conquistando áreas de operação, inicialmente estava confinado ao mar e à terra, mais tarde um novo domínio, o espaço aéreo, que no seu início foi mais utilizado pelos militares mas posteriormente, dado a sua importância, a sua utilização alastrou-se para a área comercial. O quarto domínio chegou com a introdução do “espaço” e desta forma, como último domínio, o ciberespaço. (KUEHL, 2009) O ciberespaço pode ser caracterizado por um conjunto de computadores individuais que estão ligados em rede com o mundo, é também um domínio, com a ligeira diferença de ser construído artificialmente pelo homem, com recurso a material que provém da natureza. (LIBICKI, 2009) “Cyberspace is a global domain within the information environment consisting of the interdependent network of information technology infrastructures, including the Internet, telecommunications networks, computer systems, and embedded processors and controllers”.(JP 2-0, 2007) “Cyberspace is a global domain within the information environment whose distinctive and unique character is framed by the use of electronics and the electromagnetic spectrum to create, store, modify, exchange and exploit information via interdependent and interconnected networks using information-communications technologies (ICT) based systems and their associated infrastructures”. (KUEHL, 2009) 19 Figura 7 - Envolventes do Ciberespaço, (JP2-03-24, 2009) 2.10 Ciberdefesa Em termos simplistas, ciberdefesa, está relacionada com a segurança do ciberespaço de um determinado país, não só na componente militar mas também com todas as agências diretamente envolvidas na segurança de um país, sendo composta pelos sistemas e atividades que fornecem a segurança de informação e a segurança física para a infraestrutura digital dentro da área nacional de segurança (HAYES,2011). Entende-se ciberdefesa como sendo a capacidade de uma nação empregar recursos materiais e humanos ou levar a cabo ações militares com o intuito de proteger os Sistemas de Informação e as infraestruturas críticas contra potenciais inimigos. (COLEMAN, 2008) A ciberdefesa engloba todos os sistemas, programas e tecnologias implicadas na deteção, rastreio e interceção de ataques destrutivos contra as infraestruturas de informação. Engloba ainda todos os procedimentos e métodos necessários para minimizar os efeitos de um eventual ciberataque. (COLEMAN, 2008) 2.11 Cibersegurança É entendida por cibersegurança toda a área nacional que envolve as tecnologias de informação, em particular os sistemas e tecnologias de informação 20 civis. Engloba por isso todos os sistemas e atividades que fornecem a segurança de informação e a segurança física para a infraestrutura nacional do ciberespaço (HAYES, 2011). As ameaças à cibersegurança são denominadas, ciberameaças, isto é, potenciais violações das propriedades de segurança, podendo estas ser de índole acidental ou intencional, sendo as primeiras, tal como o próprio nome indica, desprovidas de qualquer intenção e normalmente caracterizadas por uma falha do software ou sistema. Ou, por outro lado, as de índole intencional, consistem na análise da rede através de sistemas de monitorização e podem ainda evoluir para um ciberataque. (ITU, 2012) Podemos ainda caracterizar as ameaças, segundo o mesmo autor, tendo em conta se estas são ativas ou passivas, sendo que as ativas caracterizam-se por uma tentativa de modificação do estado de normal funcionamento do sistema, como por exemplo, a destruição do equipamento. Já no caso das ameaças passivas estas têm como objetivo retirar informação do sistema sem provocar nenhuma alteração no seu normal funcionamento. Sempre que as ameaças têm sucesso passam a ser classificadas como ataque. (ITU, 2012). 2.12 Guerra da Quarta Geração O modo como os conflitos armados se desenvolvem atualmente resulta de uma adaptação e evolução de muitos séculos. Após a extinção do Império Romano a guerra tem vindo a ser separada em quatro gerações, sendo que todas as gerações derivam da geração anterior e o fator que está na origem de tal evolução é o constante desenvolvimento e crescimento da tecnologia, de fatores económicos, políticos e sociais (LIND, 2004). Para que se possa explicar a essência e os conceitos associados à Guerra de Quarta Geração é necessário abordar primeiro as gerações que a precederam. Na primeira geração de guerra moderna a lógica do campo de batalha era muito simples, entrar em confronto direto com o inimigo e tentar aniquilá-lo (LIND, 2004). O principal e único objetivo nas guerras de primeira geração era o de manter a ordem e a disciplina no campo de batalha. A maioria das características que distinguia os militares dos civis vêm da primeira geração, os uniformes, as continência e os postos, foram impostos com a intenção de reforçar uma forte 21 cultura militar de ordem. Com o evoluir dos tempos, com o aumento do número de combatentes e consequentemente com a existência de exércitos maiores, toda esta ordem no campo de batalha até então possível começou a não dar resultado (LIND, 2004). Com o objetivo de resolução do problema anterior, relacionado com a desordem no teatro de operações, surge a guerra de segunda geração desenvolvida essencialmente pelos Franceses durante e após a Primeira Grande Guerra Mundial. Nesta segunda geração o que se pretendia era dividir as forças em grupos mais pequenos com o objetivo de, com recurso à tecnologia existente, atuarem separadamente mantendo a ordem militar no campo de batalha (LIND, 2004). Desenvolvida em grande maioria pelo exército Alemão surge a guerra de terceira geração, com grande aplicação durante a Segunda Guerra Mundial. Esta guerra de terceira geração não é baseada em poder de fogo mas sim em velocidade, efeito surpresa e perturbação mental e física (LIND, 2004). “(…) Fourth Generation marks the most radical change since the Peace of Westphalia.” (LIND 2004). A guerra de quarta geração tem como suas características essenciais, a descentralização e a iniciativa. A sociedade civil, politica e militar são agora parte integrante do conflito armado, o que não acontecia nas gerações anteriores (LIND, 2004). A guerra de quarta geração, tal como as suas antecessoras, foi marcada pelas novas tecnologias e ideias (LIND,2004). Estas novas tecnologias de comunicação e transportes vieram permitir uma maior troca de informação num menor espaço de tempo, situação característica da era da globalização. Como consequência da era da globalização e dos meios de comunicação social, ações de manipulação bem como as manobras psicológicas que têm como objetivo influenciar a opinião mundial, tornam-se mais facilitadas. (KHAN, 2010) Khan no seu “A Response to Fourth Generation Warfare” disse “The wars of decolonization, Chinese Civil War, the Vietnam War, the Afghanistan War, the two Intifadas and the current wars in Iraq and Afghanistan all saw the victory of the insurgents. Clearly, irregular warfare is the wave of the future.” (KHAN, 2010). O JP 3-24 define insurreição como o uso organizado de subversão e violência por parte de um grupo ou movimento que procura derrubar ou mudar à força a autoridade de um governo (JP 3-24, 2009). Até ao século vinte a insurreição era facilmente vencida, mas com o constante crescimento e evolução dos 22 movimentos políticos, comunicação social e armas eficazes e economicamente mais acessíveis, os insurgentes ficaram capazes de conseguir derrotar qualquer superpotência (KHAN, 2010). “(…) insurgency is the wave of the future, able to match and defeat even superpowers.” (KHAN, 2010). 23 3 Infraestruturas Críticas Nacionais (ICN) Sendo este trabalho fundamentalmente sobre a ciberdefesa das ICN é conveniente, antes de ser feita a análise do problema, perceber o que se entende por ICN, assim o presente capítulo tem por finalidade esse mesmo objetivo. Uma definição possível para Infraestrutura Crítica (IC) é a que refere que, se trata dos serviços básicos e das instalações necessárias para o funcionamento da sociedade ou comunidade, identificando como exemplo, os transportes e comunicações, sistemas de abastecimento de água e energia e organismos públicos tais como hospitais, prisões e escolas. (MOTEFF; PARFOMAK, 2004) Existe contudo uma definição mais completa, na medida em que também se refere ao eventual impacto de uma destruição ou perturbação de uma IC, sendo essa a definição que consta no ordenamento jurídico Português. Segundo o Decreto lei 62/2011 de 9 de Maio entende-se por ICN “a componente, sistema ou parte deste situado em território nacional que é essencial para a manutenção de funções vitais para a sociedade, a saúde, a segurança e o bem-estar económico ou social, e cuja perturbação ou destruição teria um impacto significativo, dada a impossibilidade de continuar a assegurar essas funções”. A Comissão das Comunidades Europeias, em 2004, num comunicado intitulado “Proteção das Infraestruturas Críticas no âmbito da luta contra o terrorismo” define que “as infraestruturas críticas são as instalações físicas e de tecnologia de informação, redes, serviços e bens, os quais, se forem interrompidos ou destruídos, provocarão um sério impacto na saúde, na proteção, na segurança ou no bem-estar económico dos cidadãos ou ainda no funcionamento efetivo dos governos nos Estados-Membros.” (Comunicação das Comunidades Europeias, 2004). O referido comunicado acrescenta ainda que, para além das infraestruturas propriamente ditas existem ainda cadeias ou redes de abastecimento que são vitais para a circulação do produto ou da prestação de um serviço, dando como exemplo o abastecimento alimentar ou de água nas áreas urbanas (Comunicação das Comunidades Europeias, 2004). 24 Para além da definição de ICN é ainda importante referir que, segundo dados da Proteção Civil constantes no seu sítio online (Autoridade Nacional de Proteção Civil, 2012) o número de ICN tem vindo a aumentar de forma exponencial e que, para além desse fato estas desempenham funções fundamentais para a economia e segurança dos países, logo a sua inoperacionalidade, se ocorrer de forma prolongada, causará elevados prejuízos. Adianta ainda a referida entidade que, a proteção das ICN em Portugal teve início em 2004, em simultâneo com as primeiras iniciativas da União Europeia (UE) para a construção de uma estratégia e de um plano de ação para a proteção e aumento da resiliência das Infraestruturas Críticas Europeias (ICE). Numa primeira fase foi criado um grupo de trabalho coordenado pelo então Conselho Nacional de Planeamento Civil de Emergência (CNPCE) cujas atribuições passaram agora para a Autoridade Nacional de Proteção Civil (ANPC), sendo o trabalho dividido em três fases, a primeira passava pela identificação e classificação das ICN, nesta fase as ICN foram classificadas de acordo com critérios que traduzem a sua importância relativa para o país e catalogadas numa base de dados georreferenciada, sendo nesta fase classificadas como ICN cerca de 290 infraestruturas das quais, aproximadamente metade ligadas aos sectores da energia e transportes. Posteriormente, numa segunda fase, foi feita a análise e avaliação do risco associado à disfunção de cada IC bem como o estudo e difusão das medidas para reforço da sua proteção, sendo esta uma etapa central da proteção das ICN, uma vez que, é nesta fase que são apuradas as vulnerabilidades face às ameaças. Por último, a terceira fase, consiste na implementação de medidas de monitorização do risco. (Autoridade Nacional de Proteção Civil, 2012) Atualmente, a Comissão Europeia incentiva os seus estados membros a desenvolverem programas nacionais para proteção das ICN e a requisitarem apoio para a sua elaboração sempre que entenderem por necessário. Quando se trata da proteção de ICN se a metodologia e os planos de proteção forem análogos entre os estados-membros permite que todos intervenientes a nível europeu beneficiem de não estarem sujeitos a enquadramentos diferentes o que permite, por exemplo, a redução de custos. Os referidos programas têm que necessariamente abordar, no mínimo, as seguintes questões:  Identificação e designação pelo estado-membro das ICN de acordo com critérios nacionais predefinidos; 25  Estabelecimento de um diálogo com os proprietários/operadores IC;  Identificação de interdependências geográficas e sectoriais;  Elaboração de planos de emergência ligados às infraestruturas críticas nacionais, quando considerado relevante. Sendo que este trabalho tem como foco as ICN é conveniente perceber quais os critérios que levam a que uma IC seja assim considerada. Assim, segundo a doutrina em uso na Comunidade Europeia, existem três fatores que permitem identificar potenciais IC, sendo eles: (Comunicação das Comunidades Europeias, 2006)  O alcance ou extensão – a destruição ou perturbação de um elemento de uma dada infraestrutura é avaliada em função da extensão da área geográfica que pode ser afetada pela sua perda ou indisponibilidade – internacional, nacional, provincial/territorial ou local;  A Magnitude ou gravidade – consequências da perturbação ou destruição de uma dada infraestrutura. É conveniente também salientar que existem critérios que apoiam a avaliação da magnitude potencial: o O impacto na população (número de pessoas afetadas, perda de vidas, doença, prejuízos graves, evacuação); o Os efeitos na economia (efeitos no PIB, importância das perdas económicas e/ou degradação de produtos ou serviços); o A incidência ambiental (impacto no público e em áreas vizinhas); o A interdependência (em relação a outros elementos de infraestrutura crítica); o Efeitos políticos (confiança na capacidade do governo); o Efeitos psicológicos, que podem agravar acontecimentos que, em si mesmo, seriam de menor importância; o Efeitos na saúde pública.  Efeitos no tempo – este critério permite verificar até que ponto a perda de um elemento perpétua no tempo. 3.1 Planos de Emergência Como parte integrante dos Planos de Proteção das Infraestruturas Críticas (PPIC) surgem como elemento fundamental, os planos de emergência. Estes têm 32 Tal como é evidenciado pela tabela 1, a cada domínio de atuação está associada uma perspetiva do ciberataque e consequentemente diferentes objetivos, aos quais correspondem determinados atores envolvidos, bem como os meios e enquadramento jurídico aplicável (Proteção do Ciberespaço: Visão Analítica, 2012). 4.1.1 Proteção Simples A proteção simples “engloba os meios técnicos, processuais e humanos que realizam diariamente as componentes preventiva, reativa e de gestão da qualidade da segurança”, tem o objetivo de proteger as organizações e os indivíduos e é Tabela 1 - Domínios de atuação na proteção do ciberespaço (Proteção do Ciberespaço: Visão Analítica, 2012) 33 realizada, em primeiro lugar, pelas próprias infraestruturas, bem como pelos fabricantes de hardware e software, os técnicos que administram os sistemas de rede, os CSIRT – Computer Security Incident Response Team, mas também pelo Estado, através das suas forças e serviços de segurança e autoridades reguladoras (Proteção do Ciberespaço: visão Analítica, 2012). No domínio da proteção simples, um ciberataque “é entendido como uma sequência de ações destinadas a produzir um resultado não autorizado ou uma perturbação indesejada na confidencialidade, na integridade ou na disponibilidade de um serviço ou produto”, sendo por isso a necessidade de proteção do ciberespaço relacionada com a racional de mercado e de continuidade da prestação de um dado serviço (Proteção do Ciberespaço: visão Analítica, 2012). Neste domínio existem ainda algumas considerações a ter em conta (Proteção do Ciberespaço: visão Analítica, 2012);  A indústria das TIC, se por um lado é responsável pelas vulnerabilidades existentes nos seus produtos, por outro é quem fornece juntamente com a investigação as soluções de segurança;  Existe a necessidade de investimento público e privado, não só em tecnologia, mas também em pessoas capazes de executar a monitorização, deteção, reação e gestão da segurança;  As IC não são obrigadas a acatarem as normas existentes na área da cibersegurança, logo a sua adoção está dependente da visão das mesmas relativamente ao grau de ameaça e da análise custo-benefício. Para além das medidas de proteção de perímetro normalmente associadas à cibersegurança existem ainda as CERT – Computer Emergency Response Team – cujas funções são o alerta e resposta a incidentes de segurança informática, sendo que estas equipas, dado o carácter transnacional que é característico dos incidentes informáticos, trabalham num sistema de cooperação nacional e internacional exigindo às vezes a participação de várias entidades e a existência de uma rede de contactos (Proteção do Ciberespaço: Visão Analítica, 2012). 34 4.1.2 Prossecução Criminal Já no domínio da prossecução criminal, entendem-se os ciberataques como sendo “atos criminalmente relevantes, passíveis de sancionamento dentro do edifício jurídico do respetivo país.” (Proteção do Ciberespaço: Visão Analítica, 2012) Sendo objetivo principal do sistema judicial Português a dissuasão da prática criminal com recurso à prevenção geral, isto é, pelo “exemplo” dado pela retribuição social através da sanção penal e, posteriormente, caso o ilícito o justifique, através da prevenção especial, isto é, da condenação concreta do autor do crime. Uma vez que uma grande percentagem dos ciberataques configuram prática criminal, segundo a legislação nacional e internacional, é importante identificar e julgar os infratores e, verificada a importância da proteção das ICN, a nova lei da ciberdefesa prevê inclusivamente um agravamento substancial das medidas de coação a quem realizar ataques contra as mesmas. (Proteção do Ciberespaço: Visão Analítica, 2012) É ainda importante referir que, por lei, em Portugal a prevenção e investigação dos cibercrimes esta atribuída à Polícia Judiciária. (DL 49/2008) 4.1.3 Domínio da Defesa do Estado No domínio da Defesa do Estado, ciberataque é definido como “ato de guerra, pelo que a resposta se centra na ação militar, com todos os recursos disponíveis, apenas sujeita na ação, no plano nacional, à Constituição da República, à Lei do Estado de Sítio e do Estado de Guerra e, no plano internacional, ao Direito Internacional dos Conflitos Armados e ao Direito Internacional dos Direitos Humanos.” (Proteção do Ciberespaço: Visão Analítica, 2012) 35 4.2 A Ciberdefesa na Força Aérea A política de ciberdefesa da Força Aérea encontra-se vertida no RFA 360-6, regulamento esse cuja finalidade é “estabelecer a política de ciberdefesa na Força Aérea, potenciando a capacidade de proteger os seus SIC e a informação neles armazenada, processada ou transmitida, com importância crítica para o desempenho da missão, contra um ciberataque.” (RFA 390-6, 2011). Sendo o seu conteúdo totalmente aplicado aos sistemas de comunicação e informação da Força Aérea e à informação neles contida. (RFA 390-6, 2011). Este regulamento avança ainda que só será possível alcançar os objetivos de ciberdefesa se existirem princípios doutrinários, procedimentos de operação e Figura 10 - Domínios de Atuação na Proteção do Ciberespaço, (Proteção do Ciberespaço: Visão Analítica,2012) 36 normas devidamente instituídas e treinadas, que permitam uma resposta célere, eficiente e eficaz contra eventuais incidentes de segurança informática (RFA 390-6, 2011). Sendo esta eficiência e eficácia resultado de um elevado conhecimento técnico, e da existência de coordenação e comunicação entre os indivíduos envolvidos. (RFA 390-6, 2011). Segundo a política de ciberdefesa da Força Aérea são cinco as bases da Ciberdefesa; 1. “Política de Segurança, Diretivas e Documentação de Segurança”. Isto é, o “conjunto de princípios orientadores de aplicação da estratégia de segurança definida e que deve focar-se no pessoal, na tecnologia e na informação.” Sendo que a sua implementação requer o envolvimento de diversas entidades no seu planeamento e execução, que incluem a formação, o treino, análise das lições aprendidas, a condução de exercícios, a gestão de recursos necessários, a definição dos instrumentos legais de atuação e dos protocolos de cooperação adequados. (RFA 390-6, 2011). A política de ciberdefesa da Força Aérea está estruturada em três níveis, o de EstadoMaior, o de operação e o de apoio; (RFA 390-6,2011) 1.1. EMFA/DIVCSI – é competência desta Divisão elaborar a referida política de ciberdefesa e, posteriormente, mantê-la atualizada relativamente a novas ameaças e à evolução dos procedimentos e tecnologias. Esta divisão integra ainda a Comissão Coordenadora da Capacidade de Resposta a Incidentes de Segurança Informática (CC-CRISI), com o papel Coordenador dos Grupos de Reação a Incidentes de Segurança Informática (GRISI) seja na Força Aérea, quando o incidente afetar apenas os seus sistemas internos, quer no exterior em sistemas conjuntos. Mantém ainda atualizado um registo de ocorrência dos incidentes e das suas características. 1.2. CLAFA/DCSI – é competência desta direção implementar os procedimentos promulgando as publicações necessárias para adequar as soluções tecnológicas às ameaças. São os recursos humanos desta direção que constituem os GRISI. 1.3. Centro de Informática das Unidades – é competência destas entidades, em coordenação com os Oficiais de Segurança Local dos Sistemas de Segurança e Informação e Comunicação (OSSIC) e dos Administradores Locais dos Sistemas de Informação e Comunicação (ALSIC), 37 implementarem os procedimentos estabelecidos pela DCSI de forma adequada ao local em que se inserem. 2. “Gestão e Análise de Risco”. Trata-se de um processo complexo que, para além do conhecimento das ferramentas informáticas, implica ainda um profundo conhecimento da estrutura da organização, dos sistemas existentes e da cultura organizacional com o objetivo de avaliar as vulnerabilidades e ameaças a que a organização está sujeita e também desenvolver as medidas de segurança a implementar em cada sistema. Este processo está dividido em várias fases que passam pela, análise do risco, mitigação da ameaça ou Figura 11 - Organigrama Ciberdefesa Força Aérea Portuguesa. (RFA 390-6,2011) 38 das vulnerabilidades e pela avaliação e ajustamento das medidas. (RFA 3906,2011) 3. “Deteção de Intrusões”. Sistemas de deteção de intrusões são sistemas que “permitem a monitorização de computadores e das redes que os interligam detetando atividades maliciosas e/ou violações da política de segurança, produzindo relatórios e acionando alertas.”. São sistemas de grande importância uma vez que sem eles muitos dos ataques poderiam acontecer sem sequer serem detetados. Sendo precisamente os ataques que, não provocando nenhum tipo de dano no equipamento, acedem ou retiram informação de forma dissimulada comprometendo desta forma recursos e informações. (RFA 390-6,2011) 4. “Equipas de Reação”. Estas equipas deverão encontrar-se habilitadas a lidar com incidentes de segurança informática e, para tal, os seus elementos deverão possuir formação específica. Estando estas equipas na direção técnica da DCSI, desejavelmente funcionando em regime de H24. (RFA 3906,2011) 5. “Cultura de Segurança”. Considerando que são os recursos humanos os responsáveis por colocarem em prática as politicas e os procedimentos de segurança, se estes não possuírem a formação e o treino adequado não estarão capazes de prevenir, detetar e reagir perante os eventuais incidentes de segurança, ficando ainda desta forma mais vulneráveis às práticas utilizadas com o objetivo de obter acesso a informações dos sistemas por meio de engano ou exploração da confiança dos utilizadores, práticas bastante comuns atualmente sendo que é aceite que a maioria dos incidentes informáticos têm origem interna, quer por intenções maliciosas, quer por puro desconhecimento e inocência dos operacionais. A Força Aérea, no contexto da ciberdefesa, entende que o sistema defensivo deve ser assente no princípio da “ defesa em profundidade”. Este sistema estabelece um anel defensivo que permite uma operação segura dos sistemas através da aplicação integrada de alguns componentes de segurança, tais como, a segurança física, a segurança pessoal, segurança documental, segurança da emissão, segurança da transmissão, segurança criptográfica e segurança da informação. (RFA 390-6, 2011) 39 O RFA 390-6 de 2011 define ainda os pilares da ciberdefesa como sendo os elementos que constituem o ciclo de gestão de incidentes de segurança informática, nomeadamente: (RFA 390-6, 2011).  “Formação e treino”. É considerado um pilar fundamental para a construção de uma cultura de segurança e é constituído por “todas as medidas de antecipação, como a elaboração de planos de instrução, definição procedimentos de operação seguros e a condução de exercícios e treinos adequados de todo o pessoal envolvido na operação e manutenção dos sistemas.” Sendo o objetivo da formação e do treino não só dotar os recursos humanos do conhecimento técnico relacionado com a área da ciberdefesa mas também a criação de uma consciência sobre esta realidade, os riscos e os cuidados necessários.  “Prevenção”. Isto é, a “capacidade de proteger a informação e os sistemas que a processam da perda de confidencialidade, integridade e disponibilidade.” Considera-se a dissuasão como sendo um elemento fundamental uma vez que pretende “convencer” o inimigo de que as medidas de segurança dos sistemas tornarão o seu ataque ineficaz. Outro aspeto que o RFA considera importante é o acompanhamento por parte da intelligence de todo o processo de forma a que exista uma avaliação da credibilidade das ameaças numa tentativa de permitir a existência do tempo necessário para o levantamento das capacidades de defesa e análise de risco. Dada a dificuldade e baixa probabilidade de conseguir ser antecipado um ataque cibernético, muito do esforço da ciberdefesa é despendido na reação a uma agressão o que implica um investimento na robustez dos sistemas mantendoos tecnologicamente atualizados.  “Deteção, Resposta e Atenuação”. Este pilar consiste na capacidade de monitorização dos sistemas com vista à deteção e identificação de atividades suspeitas prevendo o seu impacto e a aplicação de medidas que permitam isolar a ameaça e os sistemas afetados, atenuando desta forma as consequências de um eventual ataque. Para isso os sistemas devem possuir a capacidade de operar mesmo no decurso de um ataque e serem robustos o suficiente para recuperarem a normal operação tão breve quanto possível. 40  “Recuperação e Análise”. Após a existência de um ataque aos sistemas a sua recuperação envolve não só a restauração da informação e do sistema responsável pelo processamento mas também a análise do incidente com vista a que sejam retirados ensinamentos que permitam, no futuro, aumentar a capacidade de resiliência dos sistemas através da alteração ou modificação nos mesmos. É ainda recomendado que, tendo em vista a partilha de informação, sejam gerados avisos de ameaça e técnicas de resposta para a restante comunidade envolvente. A figura seguinte esquematiza as diferentes bases e pilares da ciberdefesa anteriormente abordados permitindo assim uma melhor compreensão do seu posicionamento neste conceito: Figura 12 - Bases e Pilares da Ciberdefesa Tipificadas pela Força Aérea Portuguesa. (RFA 3906, 2011) 4.3 A Ciberdefesa e Cibersegurança nas Forças Armadas. Segundo o Decreto-Lei nº 184 de 29 de dezembro de 2014, é missão da Direção de Comunicações e Sistemas de Informação do EMGFA (DIRCSI), no âmbito da ciberdefesa, “ coordenar a proteção dos valores da integridade, 41 confidencialidade e disponibilidade da informação e dos sistemas de informação das FFAA”. No sector da cibersegurança da defesa nacional é missão da DIRCSI “ coordenar a proteção dos valores da integridade, confidencialidade e disponibilidade da informação e dos sistemas de informação e dos sistemas de informação do restante universo da defesa nacional”. A DIRCSI é “chefiada por um comodoro ou brigadeiro-general” e a sua estrutura é constituída por; (DL 289/2014)  Repartição de coordenação e integração;  Repartição de sistemas de comunicações;  Repartição de sistemas e tecnologias de informação;  Repartição de segurança;  Centro Ciberdefesa;  Serviço de comunicações e sistemas de informação;  Centro de comunicações e Cifra. A DIRCSI desenvolve a sua atividade tendo como orientação a política definida para a área dos sistemas de informação e das tecnologias de informação e comunicação na área da defesa nacional e de forma coordenada com o Ministério da Defesa Nacional e no âmbito das competências do Chefe do Estado-Maior General das Forças Armadas (CEMGFA), tendo como atribuições no domínio da ciberdefesa (DL 289/2014):  Dirigir e coordenar a capacidade de ciberdefesa nacional;  Planeamento, coordenação e gestão dos ciberincidentes de maior relevância para a ciberdefesa;  Aprovisionamento de soluções de proteção da informação e seus sistemas das ameaças do ciberespaço, no âmbito da ciberdefesa;  Coordenação e colaboração com os núcleos Computer Incident Response Capability (CIRC) dos Ramos e do EMGFA;  Partilha de informação e colaboração com o CNCS e com os CIRC nacionais e internacionais; 48  Definir e aprovar a política de gestão de risco;  Assegurar o alinhamento entre a política de gestão de risco e a cultura da própria organização;  Definir indicadores de desempenho da política de gestão de risco coerentes com os indicadores de desempenho da organização;  Alinhar os objetivos da gestão de risco com os objetivos e estratégias da organização;  Garantir que os parâmetros legais e regulamentares estão em conformidade;  Atribuir a cada nível da organização as responsabilidades apropriadas;  Disponibilizar os recursos necessários à gestão do risco;  Garantir que a estrutura de gestão de risco se mantém adequada aos interesses da organização e comunicar as suas vantagens às partes interessadas. 5.2 “Conceção da Estrutura Para Gerir o Risco” 5.2.1 “Compreensão da Organização e do seu Contexto” O primeiro passo antes da criação e implementação da estrutura de gestão de risco é a avaliação e compreensão do contexto interno e externo da organização uma vez que estas podem alterar significativamente a mesma. Assim a avaliação do contexto externo de uma organização deverá incluir (NP ISO31000, 2013):  Todas as envolventes internacionais, nacionais, regionais e locais em termos políticos, culturais, sociais, tecnológicos, naturais;  Tendências e outros fatores críticos para os objetivos da organização;  Relações com os parceiros externos e seus valores. A avaliação do contexto interno da organização deverá por sua vez incluir:  Os recursos e o conhecimento disponível;  Processos de decisão, os sistemas de informação e consequentes fluxos informativos;  Relações com parceiros internos e seus valores;  Modelos, linhas de orientação e normas adotadas pela organização; 49  A cultura da própria organização;  Os objetivos mas também as políticas e as estratégias implementadas para os concretizar;  As relações contratuais quanto à sua forma e extensão;  As responsabilidades e funções resultantes da estrutura organizacional. 5.2.2 “Estabelecimento da Política da gestão do risco” Que permita definir inequivocamente os objetivos e o compromisso da organização neste âmbito da gestão do risco. Esta política deve ter em consideração os seguintes aspetos:  Qual a necessidade da organização para a existência de uma gestão do risco;  Definição de responsabilidades em matéria de gestão de risco;  Gestão de conflitos de interesse;  A ligação entre as políticas de gestão de risco e as próprias políticas da organização em termos de objetivos;  Definição dos parâmetros de medição e reporte do desempenho das politicas de gestão do risco;  Estabelecimento da obrigatoriedade de disponibilização dos recursos necessários aos elementos responsáveis pela gestão do risco;  Estabelecimento da obrigatoriedade de revisão e melhoramento continuo e periódico da estrutura e da política de gestão de risco acompanhando assim a eventual alteração das circunstâncias. 5.2.3 “Responsabilização” Deverá ser garantida pela organização, não só a existência de responsabilização do processo de gestão de risco, como também a existência da autoridade e da competência necessária para que todo o referido processo seja mantido de forma eficaz e eficiente. Para esse efeito são recomendadas as seguintes práticas: 50  Identificação do responsável ou responsáveis pela definição, implementação e manutenção da estrutura de risco bem como de responsabilidades existentes em todos os níveis da organização no processo de gestão do risco;  Identificação dos proprietários do risco, que por sua vez são os detentores da autoridade e responsabilidade de gestão do mesmo;  Avaliação dos processos e do desempenho do sistema de reporte quer interno quer externo e de transmissão da informação relativa à gestão do risco a todos os níveis da organização. 5.2.4 “Integração nos Processos Organizacionais” De modo a que, o processo de gestão de risco possa ser eficaz, eficiente e pertinente, o mesmo terá de ser integrado nos restantes processos da organização, especialmente no que concerne à sua integração no desenvolvimento da política, no planeamento estratégico do negócio e sua revisão, bem como nos processos de gestão da mudança. 5.2.5 “Recursos” Tal como já referido anteriormente deverá existir a preocupação da organização de afetar ao processo de gestão de risco todos os recursos necessários para o seu cumprimento, devendo nomeadamente ter em conta:  A competência, experiência e aptidões existentes nos recursos humanos disponíveis;  As necessidades em termos dos processos, ferramentas e métodos a serem utilizados;  Os programas de formação;  A documentação relativa aos procedimentos e processos já existentes;  Os sistemas de gestão da informação e do conhecimento. 5.2.6 “Estabelecimento de Mecanismos de Comunicação e de Relato Internos” 51 Como já foi evidenciado repetidas vezes anteriormente é essencial a existência e implementação de mecanismos de comunicação e de relato internos de forma a suportar e aumentar a responsabilização e a apropriação do risco na organização. Estes mecanismos deverão, para além de nos casos necessários permitir a consolidação das informações relativas ao risco quando estas forem provenientes de diversas fontes, ter ainda em consideração que parte ou a totalidade desta informação poderá ter caracter sensível, bem como garantir:  Que a informação útil que resulta da aplicação dos processos de gestão do risco se encontra disponível no tempo e aos níveis adequados;  Que são efetuados os devidos relatos internos, relativos não só aos resultados como também à eficácia da estrutura da gestão do risco;  Que os elementos estruturantes da gestão do risco bem como qualquer modificação são comunicados. 5.2.7 “Estabelecimento de Mecanismos de Comunicação e de Relato Externos” Para além dos mecanismos de comunicação internos é ainda importante a existência e implementação de um plano de comunicações com as partes externas interessadas, sendo que estes deverão permitir a consolidação das informações relativas ao risco quando estas forem provenientes de diversas fontes, e terem ainda em consideração que parte ou a totalidade desta informação poderá ter caracter sensível. Assim, o plano de comunicações externas deverá contemplar:  Uma troca eficaz da informação através do envolvimento das partes externas interessadas;  Os reportes das entidades externas para o cumprimento dos requisitos legais, regulamentares da governação;  Que a ocorrência de uma crise ou contingência seja comunicada às partes interessadas;  Que a comunicação com as entidades externas permite a criação de confiança na organização. 52 5.3 “Implementação da Gestão do Risco” 5.3.1 “ Implementação da Estrutura para Gerir o Risco” Com vista a concretização deste objetivo a organização deverá;  Calendarizar todo o processo, definindo a melhor estratégia para a sua implementação;  Garantir o cumprimento de todas as normas regulamentares;  Fazer uso, nos processos organizacionais, da política e dos processos de gestão de risco.  Levar a cabo ações de formação e informação;  Garantir que, aquando do estabelecimento e desenvolvimento dos objetivos, os decisores têm em linha de consideração os resultados dos processos de gestão de risco;  Manter contacto com as partes interessadas garantido assim a adequabilidade da estrutura de gestão do risco. 5.3.2 “Implementação do Processo da Gestão do Risco” Deverá ocorrer de forma a garantir que o processo de gestão do risco analisado seguidamente, é aplicado a todos os níveis e funções da organização, seguindo o plano elaborado para o efeito. 5.4 “Monitorização e Revisão da Estrutura” Com o objetivo de garantir uma gestão de risco eficaz e que proporcione um apoio contínuo ao desempenho da organização esta deve;  Reavaliar a eficácia da estrutura de gestão do risco, isto é, rever se a estrutura, a política e o plano da gestão de risco continuam adequados às alterações do contexto interno e externo da mesma;  Avaliar o desempenho do processo com recurso a indicadores que devem ser revistos periodicamente quanto à sua adequabilidade; 53  Verificar, com periodicidade, a existência de desvios ao plano de gestão de risco bem como os progressos alcançados elaborando relatórios com as referidas informações. 5.5 “ Melhoria Contínua da Estrutura” Com recurso aos resultados obtidos pela monitorização e revisão da estrutura deverá proceder-se a uma otimização e melhoria constante, seja da estrutura, da política ou mesmo do plano da gestão do risco. 5.6 Processo de Gestão de Risco Tal como como tem sido descrito, o processo de gestão do risco deve ocorrer como parte integrante da gestão, da cultura e das práticas organizacionais e adaptado aos processos organizacionais de negócio. Este processo compreende várias atividades ilustradas na figura seguinte e que serão descritas de seguida; Figura 14 - Processo da Gestão do Risco 54 5.6.1 Comunicação e Consulta Tal como evidenciado pela figura 14, a comunicação e consulta deve ser uma constante durante todas as fases do processo. Assim, os planos de comunicação e consulta das partes interessadas, apesar de serem desenvolvidos numa fase inicial, deverão abordar as várias questões diretamente relacionadas com o risco, isto é, as suas causas, consequências e as contramedidas. Sendo que existindo uma comunicação e consulta eficaz ,quer em termos internos quer externos, será possível garantir às partes interessadas bem como aos responsáveis pela implementação do processo da gestão do risco que estes compreendem as justificações e objetivos das decisões tomadas. A ISO 1000 avança ainda que a existência de uma política de consulta em equipa trará algumas vantagens, nomeadamente;  O diálogo entre as várias áreas de especialização para uma melhor análise do risco;  O garante de que os vários pontos de vista são tidos em consideração na definição e avaliação do risco;  Um maior envolvimento de toda a organização, o que permite uma maior adesão e apoio relativamente ao tratamento do risco;  Garantir que tanto os riscos como o seu contexto são identificados de forma adequada; Tal como exposto anteriormente a consulta e comunicação entre as várias partes interessadas na área de gestão é de extrema importância uma vez que, através da troca de valores, pressupostos, necessidades, conceitos e preocupações do coletivo permite uma tomada de decisão mais efetiva e eficaz. Sendo o objetivo primeiro da consulta e comunicação a existência de uma troca de informação mais verdadeira, precisa e compreensível tendo em consideração a sensibilidade da informação e a sua integridade. 5.6.2 Estabelecimento do Contexto Este passo da gestão do risco, entenda-se, o estabelecimento do contexto seja ele o contexto externo ou interno, permite que a organização tipifique os seus 55 objetivos, defina quais os parâmetros internos ou externos a ter em conta na gestão do risco. Nesta fase é elaborada uma análise mais detalhada de parâmetros similares aos considerados no estabelecimento do contexto do processo da gestão do risco. 5.6.2.1 Estabelecimento do Contexto Externo O contexto externo é compreendido pelo ambiente externo onde qualquer organização se propõem atingir os seus objetivos. Compreender o ambiente externo inclui: o A envolvente social, cultural, politica, legal, regulamentar, financeira, tecnológica, económica seja a nível local, regional, nacional ou mesmo internacional; o As tendências e os elementos mais importantes com impacto para a consecução dos objetivos da organização; o As relações com as partes interessadas externas no que respeita aos seus valores e perceções, Esta compreensão do contexto externo vem garantir que, aquando do desenvolvimento dos critérios de risco, os objetivos e preocupações de todas as partes são tidas em consideração. 5.6.2.2 Estabelecimento do contexto interno O contexto interno é compreendido pelo ambiente interno onde qualquer organização se propõem atingir os seus objetivos. A compreensão do contexto interno deve incluir; o Os sistemas de informação bem como os fluxos de informação e os processos formais ou informais de tomada de decisão; o A cultura da organização e as relações das partes internas nomeadamente as suas perceções e seus valores; o As capacidades existentes tanto em termos de recursos como de conhecimento; 56 o As políticas, objetivos e as estratégias implementadas para os atingir; o Os modelos, normas e linhas de orientação adotadas pela organização, bem como a sua estrutura, as suas funções, e estilo governativo; O estabelecimento deste contexto interno deverá ocorrer uma vez que a gestão do risco acontece no contexto dos objetivos da organização, qualquer objetivo ou critério de um projeto ou atividade específico deverão ter sempre em consideração os objetivos da organização como um todo. Sendo certo que algumas organizações por vezes falham ao não aproveitarem oportunidades que lhes permitiriam atingir os seus objetivos estratégicos e isso leva a que a sua credibilidade, confiança e valor afetado. 5.6.2.3 “Estabelecimento do contexto do processo da gestão do risco” Partindo da necessidade de justificar todos os recursos utilizados na implementação da gestão do risco e de serem especificados todos os recursos pretendidos bem como as responsabilidades e autoridades que devem ser respeitadas durante todo o processo, é necessário que sejam definidos de forma clara os objetivos, estratégias, o âmbito, bem como os parâmetros das atividades em que o processo será aplicado. Assim, o contexto do processo de gestão do risco deverá focar; o Definição das responsabilidades, metas, metodologias e objetivos das atividades da gestão do risco; o Especificação do âmbito, extensão, objetivos dos estudos necessários bem como os recursos disponíveis para os mesmos; o Estabelecer os parâmetros de avaliação do desempenho e da eficácia da gestão do risco; o Procurar localizar no tempo e no espaço cada atividade, projeto, processo, produto e serviço inerentes á gestão de risco. 57 5.6.3 “Definição dos Critérios do Risco” Sendo que estes serão posteriormente utilizados para avaliar o grau de impacto de cada ameaça associado ao risco que esta representa, estes deverão estar perfeitamente alinhados com os valores e objetivos da organização bem como com os recursos disponíveis. Sendo necessário ter também em linha de conta que alguns desses critérios poderão não ser de caracter facultativo, isto é, estes poderão ser resultado de exigências legais ou de requisitos regulamentares subscritos pela organização. Por fim os critérios de risco deverão ainda ter em linha de consideração a política de gestão do risco previamente definida, devendo incluir:  O nível de tolerância ao risco e a forma como este é determinado;  As variadas causas e respetivas consequências que podem ocorrer e a forma como são medidas;  As opiniões das partes interessadas;  Caso seja oportuno a consideração da existência de combinação de múltiplos riscos, quais as combinações que deverão ser consideradas;  O modo como será definida a probabilidade de ocorrência de cada combinação. 5.6.4 “Apreciação do Risco” Isto é, o “ processo global de identificação, análise e avaliação do risco”. 5.6.5 “Identificação do Risco” Trata-se de uma fase crucial de todo o processo uma vez que um risco que não seja conveniente identificado como tal, não será considerado durante as fases seguintes. Assim pretende-se identificar, não só as fontes do risco, como também as áreas de impacto, as causas e respetivas consequências, para assim cumprir o objetivo de constituir uma lista abrangente dos riscos “ baseada nos eventos que possam, criar, melhorar, prevenir, degradar, acelerar ou retardar a consecução dos objetivos”. É importante que nesta fase de identificação dos riscos a organização esteja na posse da informação mais pertinente e atualizada, para que esta consiga identificar riscos, seja a sua fonte controlada ou não pela própria organização. Esta 64 tempo que é feita uma previsão preliminar de potenciais consequências de um ataque. Esta análise é efetuada nos dois domínios de ação, físico e ciber. Esta avaliação pode ainda ser feita em duas fases, numa primeira fase é feita uma avaliação à infraestrutura como um todo e posteriormente uma análise mais detalhada e individualizada a cada sector da infraestrutura ou sistema. O processo de caracterização de ativos está divido em seis passos: (ASME ITI, 2010) i) Identificação de funções críticas, isto é, determinar os ativos que realizam ou apoiam as funções ou missões críticas. ii) Identificar ativos potencialmente críticos, isto é, os ativos que são necessários para realizar ou apoiar as funções ou missões críticas. Estes podem incluir, recursos humanos, equipamentos, produtos, informações, dependendo do tipo de infraestrutura ou sistema que está a ser avaliado. iii) Identificar Infraestruturas críticas (externas ou internas), como por exemplo, infraestruturas de telecomunicações, energia, transportes, serviços de emergência bem como todas as interdependências que suportam cada IC. Importa ainda nesta fase avaliar o impacto da perda de uma ou mais destas IC. iv) Identificar contramedidas e estratégias de mitigação existentes, incluindo a segurança física, segurança cibernética, controlos administrativos bem como outros mecanismos existentes. v) Estimar o pior razoável cenário possível, resultante da destruição, ou perda de acesso, para cada ativo. Isto é, considerar o potencial para perdas de vidas humanas ou feridos graves, graves perdas económicas para a própria infraestrutura ou para a comunidade que serve, perdas de confiança ou ainda inibição efetiva das funções dos serviços de administração pública, segurança e defesa nacional em qualquer nível. vi) Priorizar os ativos críticos, isto é, utilizando a previsão de consequências resultante do passo anterior, identificar os ativos mais prioritários. 2) Caracterização da ameaça (Threat Characterization) – Trata-se da identificação de potenciais tipos de ataque, sejam eles de caracter geral ou específico, que poderão ser usados contra um dado alvo. As ameaças podem incluir vários tipos de ataque (Ex: Aéreo, Terrestre ou Marítimo) bem como podem atingir várias 65 dimensões (Ex: pequena, media ou grande). As ameaças poderão ser terrorismo ou tempestades, tornados, incêndios, ataques cibernéticos, pandemias, incidentes de origem alimentar. Assim no que respeita à análise de ameaças esta deve contemplar: (ASME ITI, 2010) i) Descrição, no caso de ataques terroristas, das capacidades dos envolvidos incluindo tipos de armamento, táticas e meios disponíveis; ii) Descrição, no caso das causas naturais, de todos os furacões, terramotos, inundações, incêndios, erupções vulcânicas, etc. que ocorreram ou poderão ocorrer num dado local. Deve ser ainda estabelecido um intervalo de magnitudes espectáveis com os danos associados; iii) Elaboração de pares ameaça-ativo, este processo implica que para cada ativo seja considerada cada ameaça possível. Isto é, para uma dada infraestrutura pode fazer sentido considerar um furacão como uma potencial ameaça mas dada a sua localização esta não ser, por exemplo, vulnerável a tsunamis. Desta análise as combinações lógicas resultantes são chamadas pares ameaça-ativos. Se um dado ativo (A) pode ser suscetível a todas as ameaças (T) o número máximo de pares ameaçaativo é dado por A*T; iv) Descrever, no caso dos denominados perigos de dependência, todos os possíveis, tais como, interrupções de serviços públicos, fornecedores, funcionários, clientes, transportes etc; v) Estabelecer um ranking dos pares ameaça-ativo de acordo com a magnitude prevista das consequências; vi) Selecionar os pares ameaça-ativo de maior relevância para a restante análise, os pares selecionados serão os que representarem maiores consequências. Contudo uma ameaça que exija um maior investimento por parte do adversário ou que tenha menor probabilidade de ocorrência (desastres naturais) pode representar menor risco que uma ameaça de menores consequências mas de maior probabilidade de ocorrência. 3) Análise das Consequências (Consequence Analysis) – Consiste na identificação das piores razoáveis consequências que determinada ameaça poderia gerar. Neste passo a infraestrutura ou sistema é analisado em termos da sua organização, estrutura e operação com o intuito de identificar os tipos de 66 Tabela 3 - Escala de consequências para os feridos (ASME,2006) consequências que podem ser esperadas, em termos quantitativos no que respeita a custos financeiros, fatalidades ou ferimentos causados e, em termos qualitativos, aos impactos psicológicos e aos efeitos na segurança nacional ou nas funções governativas. No campo da análise de consequências devem ser seguidos os seguintes passos: (ASME ITI, 2010) i) Aplicar as piores hipóteses razoáveis para cada tipo de incidente. No caso de ataques terroristas deve ser assumido que o adversário é inteligente e tem a capacidade de se adaptar com o objetivo e otimizar ou maximizar as consequências de um cenário. No caso das ameaças naturais devem ser assumidas todas as razoáveis magnitudes do incidente; ii) Devem ser estimadas as consequências em termos de perdas de vidas humanas, ferimentos graves bem como perdas económicas para a instituição; Tabela 2 - Escala de consequências para as fatalidades (ASME,2006) 67 iii) Ter em consideração a existência de consequências adicionais. Tais como consequências sociopolíticas, perda da capacidade estratégica e/ou da confiança do público, impactos psicológicos, etc.; iv) Desenvolver um plano de resposta aos média. Uma vez que, como já visto, publicidade negativa pode representar consequências inesperadas e indesejáveis a longo prazo. Por outro lado os média podem também ser um meio de comunicação valioso para informar a comunidade sobre um eventual incidente e sua recuperação; v) Identificar os danos que dado ataque possa desenvolver, não só na infraestrutura em si mas também em outras infraestruturas ou serviços dos quais esta depende. Uma vez que um dado dano pode impossibilitar que recursos essenciais á operação da IC lhe sejam fornecidos, como por exemplo, impossibilidade de fornecimento de água, luz, alimentação etc. 4) Análise de Vulnerabilidades (Vulnerability Analysis) – Este passo consiste na análise dos pontos fortes e das vulnerabilidades de cada ativo bem como de cada sistema de proteção e das estratégias de mitigação correspondentes a cada ameaça. Desta análise deverá resultar a determinação da probabilidade de um ataque ser bem-sucedido tendo em conta uma dada ameaça e um determinado alvo. Esta análise deve ser conduzida com base num procedimento de 4 fases; 1. Rever todos os detalhes pertinentes da construção das instalações e dos sistemas. Nesta revisão devem ser incluídas as contramedidas e todos os mecanismos de defesa da ameaça, tais como características topográficas, de estrutura ou equipamentos de dissuasão bem como os sistemas de deteção. Tabela 4 - Escala de consequências para as perdas económicas (ASME,2006) 68 Tabela 5 - Escala de Probabilidades de Sucesso de um ataque (ASME, 2006) 2. Analisar a vulnerabilidade de cada ativo crítico ou sistema para estimar a probabilidade de, dado a ocorrência de uma ameaça, ocorrem as consequências previstas no ponto 3. 3. Documentar o método usado para a realização da análise de vulnerabilidades, dos piores casos razoáveis pressupostos, e os resultados da análise de vulnerabilidade. 4. Guardar um registo das estimativas de vulnerabilidades numa escala de probabilidades. A probabilidade de sucesso de um ataque pode ser expressa como uma fração, uma probabilidade, ou o número de sucesso entre tentativas. 5) Avaliação da ameaça (Threat Assessment) – a avaliação das ameaças é composta por dois passos, em primeiro lugar é feita uma avaliação do nível de interesse dos ativos e posteriormente uma avaliação completa das ameaças. O nível de interesse de determinado ativo para um determinado ataque terrorista é avaliado tendo em conta a forma como cada recurso é percebido pelo eventual atacante quando considera as medidas de segurança e robustez do potencial alvo, esta avaliação de interesse é feita pelo próprio operador da IC. A avaliação da ameaça é feita pelo Department Of Homeland Security (DHS) com recurso á Intelligence com o objetivo de perceber quais são os objetivos dos grupos 69 terroristas bem como as suas capacidades. No caso das ameaças naturais a avaliação é feita com base no registo histórico de um dado local especifico. 6) Avaliação do Risco (Risk Assessment) – consiste num processo sistemático e abrangente de análise da informação previamente recolhida relacionada com atos terroristas para um dado sistema ou instalação. Este tipo de avaliação permite ao operador da IC criar uma base de dados para a seleção de estratégias e táticas a adotar para a defesa contra ataques terroristas estabelecendo prioridades com base no risco. Nesta fase a IC deve: a) Calcular o risco para cada par ameaça-ativo como a resultante de um produto entre a análise de consequências, a análise de vulnerabilidades e a avaliação de vulnerabilidades, assim; Risco = Consequências x (Probabilidade da ameaça x Vulnerabilidade) Onde:  Risco, deve ser expresso na unidade monetária por ano (Ex: euros/ano), fatalidades ou feridos graves bem como a combinação de ambos caso seja aplicável;  Probabilidade da Ameaça, tal como visto no ponto 5, trata-se de uma probabilidade de uma ameaça especifica ocorrer para um ativo em particular. A unidade de medida é o próprio valor da probabilidade ou frequência de ocorrência ao longo de um determinado período de tempo.  Vulnerabilidade, tal como visto no ponto 4, é também uma probabilidade, desta feita, a de que uma ameaça a um alvo especifico resulta nas consequências estimadas no ponto 3, sempre que a ameaça ocorra.  Consequências, tal como visto no ponto 3, são expressas para cada par ameaça-ativo relativamente ao numero de vitimas, feridos graves, perdas económicas quer seja para o operador/dono da IC quer seja para a região onde a mesma opera ou serve. Quando é feita a avaliação do risco, o número de fatalidades, ferimentos graves e consequências económicas devem ser calculados separadamente. Por outro lado, se for atribuído um valor monetário à vida humana e/ou a 70 cada tipo de ferimentos já se torna possível combinar as fatalidades com os ferimentos e com as perdas económicas. 7) Gestão do Risco (Risk Management) – Neste passo é determinado qual o nível de risco aceitável e a que custo. A gestão de risco é um processo que pretende compreender os riscos das decisões relativas à implementação de ações, tais como a implementação de contramedidas de segurança ou de mitigação de consequências, com o objetivo de alcançar num nível risco/ custos aceitável. A avaliação de risco é caracterizada pela identificação, avaliação e controlo dos riscos para um nível compatível com o valor atribuído ao ativo. Neste passo a IC deve: i) Definir potenciais alternativas de contramedidas e consequentes estratégias de mitigação, estimando o investimento e respetivos custos de operação de cada operação; ii) Assumindo a aplicação de tais contramedidas alternativas e consequentes estratégias de mitigação, recalcular as consequências, probabilidade de ameaça e vulnerabilidades para cada opção; iii) Calcular o risco, dada a consequência da opção de mitigação e subtrair o risco sem a mesma (a opção de “não fazer nada”), para assim obter o benefício de cada opção; iv) Calcular a relação custo/beneficio através dos passos usados nos pontos i) e iii) obtendo assim uma estimativa da quantidade de redução do risco por cada unidade de custo; v) Selecionar as opções que apresentam uma melhor relação benefícios /custo. Alocar os recursos financeiros, humanos, etc. necessários para implementar e operar as opções selecionadas. Deverá também ser tido em consideração o custo de oportunidade, uma vez que por cada unidade monetária investida na redução do risco, a mesma não estará disponível para ser investida nos projetos que à missão ou operação da IC dizem diretamente respeito; vi) Gerir a implementação e operação das opções selecionadas, avaliar a sua efetividade e modificá-las com regularidade para obtenção da eficiência máxima. O processo de análise de risco deve ser repetido periodicamente ou sempre que necessário dada a existência de novas 71 informações resultantes do ambiente de operação ser tendencialmente dinâmico e por conseguinte se encontrar em constante mudança; vii) Desenvolver um plano de comunicações detalhado que esteja em vigor e com o qual todos os indivíduos, que possam potencialmente vir a ser afetados por um incidente, estejam familiarizados. O plano de comunicações deve também sofrer atualizações regulares uma vez que as próprias tecnologias de comunicação também se encontram em constante evolução. Devem ser utilizados meios de comunicação standard bem como variados métodos de comunicação tais como internet, telemóvel, redes sociais etc; viii)Deverão ser considerados os planos de evacuação, se necessários, como parte integrante da resolução do risco. Os mesmos devem considerar todos os tipos razoáveis de incidentes que poderiam afetar as próprias rotas de evacuação, as estratégias de evacuação bem como os seus tempos. Estes planos devem incluir estimativas do número de indivíduos e os meios de evacuação. Figura 15 – Sete Passos da Metodologia RAMCAP 73 7 Análise Após compilação de toda a informação contida nos capítulos anteriores, isto é, após o estudo individualizado das ICN, metodologias de proteção de ativos críticos (RAMCAP e ISO 31000) e, concretamente, dos conceitos e princípios relacionados com a ciberdefesa e cibersegurança em Portugal, existe agora a necessidade de cruzar a fundamentação teórica com a realidade. O que se pretende objetivamente é confrontar os princípios teóricos com a realidade do ambiente nacional e tirar daí conclusões com o objetivo de responder à pergunta de partida. Para tal, o capítulo de análise encontra-se dividido em duas seções, a primeira direcionada para as metodologias de proteção, ISO31000 e RAMCAP, e a segunda direcionada para a análise da cibersegurança e ciberdefesa, relacionando os dois conceitos com as duas metodologias anteriormente referidas. 7.1 Aplicação do Modelo de Análise Tal como referido na introdução, no presente capítulo pretende-se o confronto entre a teoria recolhida e o ambiente operacional existente em Portugal verificado aquando das entrevistas. A análise é realizada de acordo com o modelo de análise inicialmente definido, com o objetivo de estudar as metodologias aplicadas na gestão de risco e proteção das ICN, analisando duas metodologias, uma para a gestão de risco, a ISO31000, e uma outra direcionada para a proteção e gestão de infraestruturas críticas, a RAMCAP. Do estudo destas duas metodologias pretendese perceber quais os procedimentos e conceitos teóricos previstos pelas mesmas para, posteriormente, verificar se estes são, ou podem ser, aplicados pelos organismos e entidades responsáveis pela ciberdefesa e cibersegurança na proteção das ICN. 80 identificar, julgar e condenar os seus responsáveis, a legislação aplicada são as regras normais do sistema judicial sendo os principais atores os órgãos de polícia criminal, o ministério público e os magistrados judiciais. Do domínio da defesa do estado os ciberataques são vistos como um ato de guerra que poderá pôr em risco o funcionamento do mesmo, sendo objetivos deste domínio a eliminação da ameaça que coloca em causa a soberania nacional ou o ganho de superioridade também no domínio ciber relativamente a um dado inimigo. Para tal a atuação neste domínio está sujeita aos termos previstos na Constituição da República, na Lei do Estado de Sitio e do Estado de Guerra bem como no Direito Internacional dos Conflitos Armados e dos Direitos Humanos, os seus atores são as FFAA e os serviços de informação. Adicionalmente foi sugerido um quarto domínio por alguns dos especialistas nacionais entrevistados: o domínio diplomático, onde se incluem a título exemplificativo as políticas de não proliferação de ciberarmas, diretivas europeias de cibersegurança, entre outros. É o conjunto destes quatro domínios que deve constituir a capacidade de cibersegurança e ciberdefesa nacional, isto é, os quatro domínios devem funcionar de forma colaborativa e integrada para que todo o processo de segurança e defesa também no domínio ciber aconteça de forma eficiente e eficaz. 7.3.4 Formação e Qualificação no Domínio Ciber Tal como referido na secção 5.3.1 referente à avaliação do contexto interno das organizações, a ISO 31000, refere que um dos fatores a ter em conta num processo gestão do risco são os recursos e conhecimento existentes. Sendo na secção 5.3.5 do mesmo capítulo, recursos, entendidos, não só mas também, como competência, experiência e as aptidões existentes nos recursos humanos disponíveis bem como apontada a necessidade de disponibilização de programas de formação. Assim, em conformidade com a teoria anteriormente referida, todos os especialistas entrevistados apontaram também a formação como um elemento chave no domínio ciber tendo sido verificada uma escassez de recursos humanos qualificados a nível mundial dado este ser um domínio recente. A questão da falta de recursos humanos qualificados agrava-se, segundo a visão da ciberdefesa, uma 81 vez que, conforme referido, esta para além de ter de possuir todas as capacidades da cibersegurança necessita ainda de adquirir a capacidade de CNE e CNA. Com vista a que as FFAA adquiram este nível de capacidade existe a necessidade de qualificar mais recursos humanos com estas competências. Processo que poderá ser facilitado dada a futura instalação da escola de sistemas de comunicação e informações da NATO em Portugal transferida de Itália. As FFAA têm recursos humanos, qualificados na área de sistemas de informação, comunicação e tecnologias. A partir do momento em que passam a existir operações militares também no domínio ciber, torna-se imperativo a existência de uma adaptação dos planos de formação dos recursos humanos, tal como acontece nos outros domínios. Desenvolver CNO é uma componente idêntica a operar um sistema de armas e por isso implica uma qualificação intensiva que, neste momento, não só em Portugal como nos restantes países, ainda se está a ser desenvolvida. Ainda não existe uma tipificação de um modelo que defina quais as qualificações mínimas para que seja possível operar eficazmente um sistema de armas ciber. Sendo a formação apontada como um requisito chave do domínio ciber dada a importância que o conhecimento assume no referido domínio, as FFAA, apesar de possuírem alguns recursos humanos com a formação base em sistemas de informação, comunicação e tecnologias necessitam agora, dada a especificidade e exigência da condução de CNE e CNA, de adaptar, não só os planos de formação, como também as carreiras dos militares envolvidos para que estes possam atingir essa capacidade. O presente capítulo de análise, encontrando-se dividido em duas seções, a primeira direcionada para as metodologias de proteção e gestão do risco, ISO31000 e RAMCAP, e a segunda direcionada para a análise da cibersegurança e ciberdefesa, permitiu a interligação destes quatro conceitos base de todo o trabalho. Desta interligação, isto é, ao cruzar as metodologias de gestão e proteção de ICN, que nos fornecem os procedimentos teóricos que devem ser seguidos, com a teoria abordada relativamente às ICN, bem como à ciberdefesa e cibersegurança e ainda com a informação retirada das entrevistas realizadas, permitiu a obtenção das conclusões necessárias para a resposta à pergunta de partida no capítulo seguinte. 83 8 Conclusão e Recomendações Neste capítulo são apresentadas as conclusões resultantes de todo o levantamento teórico bem como do ambiente operacional no domínio ciber em Portugal. Pretende-se, com recurso à análise feita no capítulo anterior, dar resposta às questões e hipóteses colocadas aquando da introdução. Será ainda feito inicialmente um apanhado dos conceitos chave indispensáveis para a correta perceção desta dissertação de mestrado. Serão igualmente sistematizados os pressupostos assumidos para a realização da investigação bem como apresentadas algumas recomendações para trabalhos futuros. 8.1 Conclusão A elaboração deste trabalho passou por várias fases cujo objetivo final era o de reunir informação pertinente e necessária com recurso à maior variedade possível de fontes de informação, o que incluiu o testemunho de especialistas no domínio da cibersegurança e ciberdefesa em Portugal. A fim de proporcionar uma resposta objetiva e clara à pergunta de partida, primeiramente foram definidas as linhas orientadoras de toda a investigação, alguns conceitos introdutórios, bem como a já referida pergunta de partida e hipótese de trabalho. Foi ainda explicado o que motivou a realização deste trabalho e indicada a metodologia a ser seguida. Assim, foi assumida inicialmente a seguinte hipótese de trabalho; "As Forças Armadas têm espaço para contribuir para a Cibersegurança das Infraestruturas Críticas Nacionais" Foi igualmente definida a questão que definiu toda a linha condutora de desenvolvimento deste trabalho de investigação; "As Forças Armadas têm espaço para contribuir para a Cibersegurança das Infraestruturas Críticas Nacionais?" 84 Posteriormente, com o âmbito e metodologia definidos iniciou-se um levantamento dos conceitos já existentes no âmbito da GI, a revisão da literatura, onde toda a temática relacionada com o tema foi contextualizada de acordo com o modelo de Quivy Campenhoudt. Desta forma foi adquirido conhecimento e teoria de base que permitiu o desenvolvimento de toda a restante investigação. Nesta fase foi abordado o conceito de GI, sendo o mesmo definido e interligado com as diversas áreas de ação transversais, tais como, Intelligence, Guerra Centrada em Rede, Guerra de Quarta Geração, Information Assurance e depois mais direcionadas para o tema em questão, Guerra Cibernética, Ciberataque, Ciberdefesa e Cibersegurança de forma a contextualizar o panorama atual. Depois de todo o desenvolvimento onde, de acordo com a metodologia, foram abordadas as temáticas, ciberdefesa, cibersegurança, ICN e as metodologias ISO31000 e RAMCAP, é no capítulo 7, capítulo esse dedicado à análise, que são relacionados todos os conceitos, pretendendo-se nessa fase estabelecer um cruzamento de toda a teoria recolhida, compilada e tratada, com a realidade apurada aquando da realização das entrevistas. Nessa análise foi possível confrontar os princípios teóricos com ambiente nacional, isto é, tratou-se de um cruzamento de toda a informação com o objetivo de perceber em que medida as metodologias de proteção de ICN identificadas (ISO31000 e RAMCAP) interagem no contexto da ciberdefesa e da cibersegurança e vice-versa. Do cruzamento dos dados efetuados durante a análise retiram-se as seguintes conclusões intermédias:  Cada IC é legalmente obrigada a deter um plano de emergência que dê resposta, entre outros, aos requisitos de segurança exigidos pela ANPC;  Em matéria de cibersegurança está previsto esses mesmos requisitos serem definidos com o apoio do CNCS;  As ICN devem permitir uma participação coordenada entre os seus proprietários/operadores e as autoridades nacionais responsáveis, bem como requisitarem o apoio do CNCS sempre que necessário;  Sendo que, qualquer medida de segurança representa um custo e a maioria das ICN são operadas por entidades privadas cujo um dos principais objetivos se trata da obtenção de lucro, seria pertinente a existência de uma autoridade reguladora também no domínio ciber que auditasse o cumprimento dos requisitos definidos; 85  A ciberdefesa, como parte interessada na defesa das ICN, deveria também, juntamente com a cibersegurança e com a ANPC, apoiar a definição dos requisitos de segurança a serem posteriormente cumpridos pelas ICN;  A capacidade no domínio ciber é uma capacidade diferente das habituais, uma vez que não se consubstancia numa materialização de meios, sendo um dos fatores mais relevantes a existência de recursos humanos qualificados;  Tal como acontece nos restantes domínios operacionais (ar, terra, mar e espaço) a cibersegurança e ciberdefesa são indissociáveis, sendo compaginável com o que acontece entre a segurança e a defesa;  A ciberdefesa abrange todos os aspetos relacionados com cibersegurança e ainda cumulativamente a componente de CNA e CNE;  A utilização de violência armada no ciberespaço, no decorrer de operações militares ou não, é uma competência própria e exclusiva das FFAA e consequentemente da ciberdefesa;  Fora do âmbito estritamente militar a intervenção das FFAA apenas está prevista ocorrer nos termos da lei, nos três estados de exceção previstos, estado de sítio, estado de guerra e estado de calamidade pública;  Verifica-se um número reduzido de recursos humanos qualificados na área ciber, situação que se agrava na área da ciberdefesa uma vez que os próprios Ramos ainda não possuem uma carreira especifica para a área da ciberdefesa, e os planos de formação ainda não estão elaborados nem mesmo ao nível NATO, não estando definidos os requisitos de formação necessários para certificar um operador de ciberdefesa.  Atualmente a condução de CNA apenas está prevista no âmbito de uma operação militar de maior espetro sendo a ciberdefesa mais uma ferramenta ao dispor das chefias militares. Estas conclusões têm como base os seguintes pressupostos, assumidos no início deste trabalho:  Atualmente as sociedades mais desenvolvidas encontram-se tendencialmente estruturadas em rede, levando assim à construção do ciberespaço; 86  O estado deve procurar garantir e aumentar a segurança das ICN, em colaboração direta com os operadores dessas mesmas infraestruturas.  As ICN utilizam como referência a metodologia RAMCAP;  Tanto a ciberdefesa como a cibersegurança são partes interessadas na proteção das ICN; Podemos então, a partir das conclusões intermédias acima referidas, responder à pergunta de investigação definida inicialmente. "As Forças Armadas têm espaço para contribuir para a Cibersegurança das Infraestruturas Críticas Nacionais?" Dada a dificuldade existente em identificar a origem da ameaça no domínio ciber (secção 7.2.2) bem como os seus impactos face à sua natureza assimétrica e transversal, (secção 7.2.3) e uma vez que as FFAA serão chamadas a atuar contra uma ameaça externa ou contra qualquer outra que pelos seus impactos coloque em causa a Soberania Nacional (secção 7.2.2), as FFAA deverão também assegurar o desenvolvimento de capacidades e a criação de competências no domínio da ciberdefesa que tornem possível a proteção das infraestruturas de informação críticas e o governo eletrónico do Estado. O ciberespaço constitui em si um novo domínio de interação social, onde, tal como se verifica nos restantes domínios de interação social, se torna necessário identificar o papel a desempenhar pelos diversos órgãos, públicos e privados, na garantia da sua proteção e utilização segura. Para tal é recomendada uma tentativa de avaliação do impacto dos diversos tipos de ataques cibernéticos, bem como o risco social associado a cada ameaça, separando os de motivação criminosa, que se enquadram essencialmente nas atribuições da cibersegurança, daqueles que, por apresentarem, entre outras, características como um maior poder disruptivo, alcance ou magnitude, possam colocar em risco a segurança e defesa do Estado e que como tal se enquadram na missão e atribuições da ciberdefesa, exigindo uma participação ativa das FFAA. 87 Assim, respondendo agora à pergunta de partida, resposta essa apoiada em dados objetivos e tratados no capítulo da análise e agora sintetizados e sistematizados na conclusão. As FFAA participam na segurança das ICN no domínio ciber da mesma forma que o fazem no domínio aéreo, terrestre, naval e espacial. A defesa do ciberespaço deverá ser feita de forma colaborativa (secção 7.2.3), isto é, apesar da cibersegurança das ICN se encontrar mais enquadrada nas missões e atribuições do CNCS, que uma vez solicitado estará disponível para prestar o apoio necessário, e apoiará a ANPC na definição dos requisitos de segurança, as FFAA, como elemento que, com a missão primária da defesa dos seus próprios sistemas, monitoriza o ciberespaço, tendo conhecimento de uma ameaça às ICN deverá comunicar a referida informação às entidades competentes uma vez que faz parte das suas missões a cooperação com as entidades nacionais responsáveis pela cibersegurança, ciberespionagem, cibercrime e ciberterrorismo. Assim, a defesa do Estado Português contra ameaças externas bem como a atuação nas três situações de exceção previstas (Calamidade Pública, Estado de Sitio ou Guerra) de forma a ser assegurado o regular funcionamento das instituições democráticas e o exercício das funções de soberania do Estado, são responsabilidades atribuídas pela Constituição da República Portuguesa às FFAA, sendo estas o único órgão legalmente capaz de executar CNA e CNE. 8.2 Recomendações e Futuras Contribuições No seguimento da presente dissertação de mestrado, surgiram perspetivas de análise que poderão ser objeto de estudo no futuro, nomeadamente;  No contexto da Força Aérea, perceber se um ataque à rede interna, RIGFA, rede não segura, teria ou não impacto na rede segura da Força Aérea.  No contexto da cibersegurança nacional, estudar a obrigatoriedade ou não do cumprimento da norma ISO 27001”Information Security Management” por todas as ICN. 89 9 Referências Bibliográficas ALBERTS, David S.; GARSTKA John J.; Stein Frederick P. - Network-Centric Warfare: Developing and Leveraging Information Superiority. CCRP Publication Series, 1999. ALBERTS, David S.; GARSTKA John J.; HAYES, Richard E.; SIGNATORI and David T. – Understanding Information Age Warfare. Washington DC - EUA: CCRP Publication Series, 2001. ASMEA Risk Analysis Standard for Natural and Man-Made Hazards to Higher Education Institutions, ISBN 9780791859636, 2005 ARQUILLA, RONEFELDT; John, David – Swarming and the Future of Conflict. ISBN 0-8330-2885-5 RAND, 2000. BATISTA, Gonçalo [et al] - Ciberterrorismo: a nova forma de crime do sec. XXI, como combatê-lo? Revista da Academia Militar Proelium, 2003. BILLO, Charles; CHANG, Welton – An Analysis of the Means and Motivations of Selected Nations States. Institute for Security Technology Studies, Dartmouth College, 2004. CARRIÇO, Alexandre, coord. – Estratégia da Informação e Segurança da Informação: Investigação Conjunta IDN-CESEDEN, Lisboa, 2013, ISBN 978-97227-2272-8. CEBROWSKI, Arthur K., US NAVY – The Implementation of Network-Centric Warfare. 2005. CEDNConceito Estratégico de Defesa Nacional, Resolução do Conselho de Ministros Nº 19 de 2013, D.R. I Série B, 2013-04-05, 2013 A-3 P:As FFAA terão capacidade de desenvolver CNO? R:Começando por clarificar o conceito CNO (Computer Network Operations), e seguindo a doutrina americana, estas operações dividem-se em CND (Computer Network Defense),CNA (Computer Network Atack) e CNE (Computer Network Exploitation). A criação do CCD visa precisamente o desenvolvimento das CNO. Há já muito tempo que as FFAA praticam ações de cibersegurança,desde que usamos computadores. Os nossos sistemas são dos sistemas melhor protegidos em Portugal pois são sistemas relativamente mais fechados, em que muitos deles estão desligados da internet. Com a organização da ciberdefesa, nomeadamente a criação do CCD, iremos mais longe, teremos um conhecimento mais profundo, não só da defesa como também do ataque. Porque para saber defender bem temos de saber como o adversário pode conduzir o ataque. Será fundamental para as ações militares no futuro saber degradar a capacidade de comando e controlo do adversário. Podemos estar no princípio de um domínio novo tão importante que não admira que daqui a uns anos para termos sucesso num conflito, tal só será possível com a existência de supremacia no domínio do ciberespaço. O CCD não compete com o CNCS. A sua missão é distinta e não sobreponível com a missão do CNCS, Terá sim que existir um relacionamento institucional colaborativo entre ambos. O ciberespaço é um novo domínio operacional em que quem lá combate não é a Força Aérea, não é a Marinha, não é o Exército, são outros militares, embora oriundos dos três Ramos. Para percebemos quem deveria ser o responsável pela ciberdefesa por um lado e da cibersegurança por outro, basta analisar o que acontece nos outros domínios operacionais relativamente a este assunto. À semelhança do que acontece com o domínio aéreo, marítimo e naval, quem manda na ciberdefesa é o comandante das FFAA. Se por outro lado, perguntarmos quem defende as ICN em termos das ameaças vindas do ciberespaço teremos que de ver o que a lei diz, no diz respeito aos restantes domínios operacionais, terra, mar e ar. Lembro que há uns anos atrás as FFAA tinham uma incumbência para defender as ICN e existiam planos para essa defesa que eram regularmente treinados. Era uma missão que estava atribuída as FFAA. Neste momento não está, as FFAA não têm como missão primeira defender as ICN, exceto se forem chamadas a intervir. Na ciberdefesa deve seguir-se o mesmo paradigma. Quando existe um acontecimento A-4 no ciberespaço, que pela sua dimensão ou característica ultrapassa as capacidades de qualquer outra organização civil ou se simplesmente for necessário o apoio das FFAA, é dada ordem a estas para a atuar. O que as FFAA poderão ter, é a vantagem de estarem melhor preparadas e informadas e poderem antecipar se o ataque poderá ocorrer, uma vez que para nos defendermos de uma ameaça em qualquer domínio, temos que saber previamente quais são as ameaças, quem é o inimigo o tipo de armamento e nesse aspeto estaremos melhor preparados. Não devemos nunca cair na simplicidade de pensar que a cibersegurança é o mesmo que a ciberdefesa. A missão do CCD é diferente e não concorre com a missão do CNCS. Poderá colaborar, terá informação que poderá ser útil para a defesa dos sistemas nacionais e essa informação tem que fluir com o CNCS e vice-versa. Não deve existir qualquer tipo de competição entre cibersegurança e ciberdefesa sendo duas componentes do sistema de defesa de Portugal no domínio do ciberespaço. P:Sendo a maior parte das ICN operadas por entidades privadas cujo principal objetivo é a obtenção de lucro, e uma vez que as soluções de segurança estão sempre associadas a um custo, entende que deveria existir uma entidade externa que auditasse e regulasse o cumprimento dos requisitos de cibersegurança ou dos planos de segurança em termos gerais? R:A regulamentação tem que existir, tal como existe noutros sectores. Na área da cibersegurança também deverão existir requisitos que deveriam ser cumpridos pelas ICN. Em termos de fiscalização desses requisitos esta deveria ser feita pelas entidades fiscalizadoras e nunca pelas FFAA. A analogia tem de ser feita da mesma forma como é feita para as outras áreas da vida em sociedade. P:Qual a sua opinião sobre a eventual criação de um novo Ramo para o domínio ciber? R:Em termos conceptuais, no futuro, a área ciber poderá vir a ser autonomizada pela importância que tem. O facto de falarmos em novo Ramo é exagerado. Cada vez mais temos de deixar cair a palavra Ramo e passar a ver as FFAA como um corpo único com várias componentes, a componente naval, terrestre, aérea e uma componente ciberespaço. As FFAA podem funcionar bem sem uma divisão A-5 estanque dos Ramos, dai que na área da ciberdefesa os militares que trabalham neste domínio são recrutados e formados pelos Ramos, sendo a sua carreira regulada pelo ramo exercendo os militares funções no CCD. A criação de um ramo que tivesse necessidade de fazer recrutamento, formação, etc. é absurdo, não há dimensão. P:O CCD reúne as capacidades humanas e técnicas necessárias para ser o último reduto da defesa do estado? R:O CCD não é a última barreira, é a primeira. E terá essa capacidade, teremos um grande suporte de tecnologia para o conseguirmos fazer. P:Concorda com afirmação de que capacidade do domínio ciber é uma capacidade diferente das habituais, isto é, por norma é comum, quando se pensa em capacidade, associar-se uma materialização direta de meios sejam eles aeronaves, carros de combate ou navios, o que não é o caso da capacidade ciber pois esta trata-se de uma capacidade de conhecimento intensivo onde a existência de um reduzido número de indivíduos altamente qualificados poderá fazer toda a diferença. R:Concordo, não é ter muitos recursos financeiros para se adquirir toda a tecnologia que existe disponível que per-si fará a capacidade. O que é necessário é a existência de especialistas. O conhecimento é o mais importante. Temos de recorrer a sensores e tecnologia que nos permitam ter uma “picture” do ciberespaço e depois sim, ter recursos humanos que nos permitam interpretar essa mesma “picture” e tomar decisões no ciberespaço. São áreas em que a formação demora muitos anos e está em constante mudança e evolução. P:É possível falar numa única autoridade nacional esta área? R:Autoridade única no país há uma, o Sr. Presidente da República. No que respeita à ciberdefesa, se tivermos dúvidas, ela deve ser organizada como o que acontece nos outros domínios operacionais, terra, mar e ar. A legislação em vigor é clara na organização das responsabilidades atribuídas às FFAA e quem a chefia. No caso da A-6 ciberdefesa é o CEMGFA que tem a competência sobre a utilização deste domínio operacional no decurso de operações militares... No caso da cibersegurança, a legislação entretanto publicada atribui responsabilidades ao CNCS no ciberespaço, assim como, lembrando que existem outras áreas cujas entidades terá responsabilidades na defesa do ciberespaço, como referências ao cibercrime e ciberespionagem, entre outras. Não vejo razão para não se utilizarem as estruturas nacionais já existentes a nível de direção, para também tratarem dos assuntos neste domínio do ciberespaço, a nível da organização civil facilitando a sua organização defensiva. Por outro lado, e seguindo o paradigma da Defesa e Segurança, também seria outra forma inteligente de organizar o ciberespaço. P:Assumindo agora um cenário com uma ICN, a EDP, que pressupomos que possui neste momento capitais e gestão estrageiros, existindo um conflito externo e os gestores da EDP entendiam fazer um boicote de energia ao país com recurso ao domínio ciber. As FFAA teriam a capacidade, técnica, humana e legal para dar resposta, em termos práticos? R: Em termos legais as FFAA apenas podem intervir se para isso forem solicitadas pelas entidades competentes, ou se tiver sido acionado e declarado um estado de exceção. Nessas condições as FFAA podem intervir em qualquer área. Nessas situações extremas, o general CEMGFA assume o comando das operações militares, a lei dá-lhe esse poder. Portanto as FFAA, têm de estar preparadas para intervir em qualquer área, as FFAA teriam de ajudar a recuperar o controlo, mas é óbvio que os especialistas em gestão de infraestruturas como a EDP não são as FFAA. O que aconteceria numa situação extrema é que as FFAA iriam ajudar a repor uma estrutura amiga nos postos de decisão. Neste caso, em que a EDP estaria controlada por pessoas da nação invasora, estas iriam ser afastadas da direção, forçadas a sair, se necessário com recurso à força e o país assumia o controlo da IC. As FFAA terão de ter a capacidade militar de tomar, fisicamente, o controlo da instalação. Sobre o controlo e administração dos sistemas, como temos técnicos portugueses a trabalhar nessas empresas, essa questão não se coloca uma vez que esses colaboradores voltariam as ter as condições para operar os sistemas normalmente obedecendo a ordens nacionais. Repor a normalidade de sistemas complexos poderia demorar vários dias ou meses sem o apoio dos A-7 técnicos conhecedores dos próprios sistemas. Concluindo, à semelhança do que acontece nos domínios aéreo, naval ou terrestre as operações militares no ciberespaço na defesa de uma IC não serão certamente dissociadas da utilização dos restantes domínios operacionais. A-9 10.2 Entrevista ao Sr. Major Valente – EMFA DCSI (Este texto, de propósitos académicos, não reflete de forma integral a referida entrevista, sendo apenas válido quando ao conteúdo e não quanto à forma) P: Existe a Capacidade de Ciberdefesa na Força Aérea? R: Interpretando a capacidade de ciberdefesa como tendo 3 vetores, defensivo, exploração e ataque, não a Força Aérea não tem a capacidade de ciberdefesa, apenas possui sistemas que protegem os seus próprios sistemas. Não tendo também as FFAA a capacidade de atualmente defender Portugal e as consequentemente as suas infraestruturas críticas (ICN) no ciberespaço. P:Como está organizada a capacidade de ciberdefesa na Força Aérea? R: A DCSI (ver missão da DCSI), tem como missão a segurança dos sistemas informáticos Força Aérea, contudo alguns sistemas de comando e controlo do comando aérea são administrados pelo comando aéreo. A entidade que tem papel na segurança, DIVCSI na componente de doutrina, politicas estratégia uma vez que é uma divisão de estado-maior. Sendo que mais uma vez o comando aéreo pronuncia-se sobre os sistemas de comando e controlo sendo contudo a fronteira ténue, havendo permuta de conhecimento e apoio entre a direção e a divisão. P: Para além do RFA 390-6 “ Politica de ciberdefesa da Força Aérea” existe mais algum documento doutrinário ou legislação nacional /internacional que regule/oriente a ciberdefesa na Força Aérea? R: A Força Aérea está comprometida com a legislação nacional, lei do cibercrime (mais relacionada com o cibercrime).Em termos de doutrina não, provavelmente o RFA 390-6 segue a doutrina NATO. Por definição a ciberdefesa devia proteger o país e nada do que existe escrito neste momento reflete esse objetivo. A-10 P: A Capacidade de Ciberdefesa da Força Aérea é articulada com a capacidade de ciberdefesa dos restantes Ramos das FFAA? R:Sim, existe a partilha de conhecimento, através de uma comissão coordenadora dos CIRC (Computer Incidente Response Center ou Capability) e existe também um órgão do EMGFA a CCCRISI (Comissão Coordenadora da Capacidade Resposta Incidentes de Segurança Informática e um GRISI (Grupo de Resposta a Incidentes de Segurança Informática) esta é nossa capacidade de segurança instalada. Existem reuniões sobre este fórum, com as entidades responsáveis pela segurança dos Ramos falam e coordenam com base nessa comissão coordenadora estratégias capacidades que são depois postas em pratica em exercícios NATO ou exercícios nacionais. O mundo da ciberdefesa é relativamente pequeno sendo muito importante “conhecermos as caras” dos elementos de ciberdefesa dos vários Ramos. Agora que está a nascer o CCD que ainda não tem “initial operation capability” (IOC) provavelmente a filosofia irá mudar, isto é, a Força Aérea que neste momento tem uma capacidade autónoma provavelmente irá ficar mais dependente funcionalmente do CCD. O CCD neste momento tem 7 elementos em permanência, 3 oficiais superiores 2 tenentes e 2 sargentos ajudantes. O CCD nascerá com 3 enclaves (extensões/filiais) um na marinha, um no exército e outro na Força Aérea. P: Se existir um ataque ao CA, por exemplo ao radar, a Força Aérea está preparada? R: Não, temos apenas capacidade de resposta. A DCSI esta mais sensível á RIGFA (rede interna geral da Força Aérea) para efeitos administrativos e logísticos (aceso á internet grupo wise pastas de redenão classificada. No caso do radar como entra numa rede de comando e controlo é o CA que tem a primeira palavra a dizer, a primeira capacidade de resposta é do CA das suas equipas de segurança (não estão constituídas como equipas de ciberdefesa) que provavelmente estarão preparadas para dar uma resposta. Mas sem dúvida que existiram contactos em caso desse tipo de incidente entre as duas entidades. P: A Força Aérea tem participação nas computer emergence team CERT? A-11 R: Tem, a Força Aérea participa como membro das FFAA participa no fórum CSIRT nacional (Computer Security Incidente Response Teams),onde os representantes das equipas de resposta a incidentes de segurança informática se reúnem para discutirem a temática. Nesse fórum estão representadas algumas ICN, as FFAA, FCT (Fundação de Ciências e Tecnologia a FCCN (Fundação para a Computação Cientifica Nacional) sendo que foram estes dois últimos que criaram o site CERT.PT dado a inexistência de outro tipo de capacidade CERT. É um fórum que permite a discussão e conhecer as pessoas. Sendo um fórum sem nenhum tipo de formalização legal. Provavelmente esta capacidade irá agora para o CNCS agora sim fundamentada por enquadramento legal o que permitirá uma melhor coordenação de reposta a um ataque ciber a um ICN. Atualmente se algum elemento das FFAA chegar por exemplo junto da EDP para defender a EDP de um ataque externo provavelmente a própria EDP não dará acesso ao seu firewall uma vez que legalmente nada a obriga a faze-lo. Logo se o CEO da EDP disser que nenhum responsável de segurança da EDP participa no fórum, uma vez que a participação é voluntaria, nada o obriga. P: De que forma as FFAA intervém na ciberdefesa das ICN? R: Não intervém. Apenas no fórum de discussão CSIRT. P: Tem conhecimento se o atual programa de proteção ICN engloba as FFAA? R: Não tenho conhecimento. Desconheço a existência de um Plano Nacional de Proteção de ICN. Como chefe da secção de ciberdefesa na DCSI não conheço o plano de emergência de cibersegurança de proteção da infraestruturas crítica que é a Força Aérea. Sendo que na parte do comando aéreo – parte classificada, os sistemas de comando e controlo pode estar previsto pela NATO. Deverá ser analisado se a parte dos sistemas não classificados que são responsabilidade da DCSI uma vez afetada põem em causa ou não os sistemas informáticos classificados do comando aéreo. Mas ainda não foi estudado. P: Face ao impacto disruptivo das ciberameaças e à necessidade de garantir o comando integrado das operações a desenvolver no ciberespaço, os Estados A-12 Unidos da América, em 2009, anunciaram a criação do US Cyber Command, assumindo de forma clara o ciberespaço como um novo domínio operacional, onde podem ser conduzidas operações militares. Seguindo a iniciativa norteamericana, a Alemanha anunciou pouco tempo depois o levantamento da sua estrutura nacional de cibersegurança e ciberdefesa, no âmbito da qual previa o levantamento e ativação de um comando militar para o ciberespaço. Mais recentemente, cerca de 30 países assumiram igualmente iniciativas neste Domínio tem conhecimento se Portugal se integra nesse grupo? R: Tenho conhecimento, Portugal não integra esse grupo. Podemos chegar ao ponto de Portugal evoluir para um quinto ramo. Neste momento temos as forças terrestres no vetor terrestre, as forças navais no vetor marítimo e as forças aéreas nos vetor aéreo mas nasceu um vetor novo, o ciberespaço. Por isso defendo que nos Força Aérea não devemos cultivar a capacidade de podermos ter a capacidade de ataque, não deverá nascer na Força Aérea. Por tal como quando não existia a preocupação de uma guerra aérea antes de existirem aviões, também não se previa a capacidade de existir uma guerra no Ciber espaço antes de existir Ciber espaço, mas agora já há essa potencialidade. P: Se existir hoje um ataque a uma central da EDP que mande abaixo a rede elétrica, sabe se as FFAA são mobilizadas, se algo esta previsto? R:Sei, as FFAA não são mobilizadas a não ser que a EDP o peça. P2: E temos capacidade para apoiar, está algo previsto? R: Não está nada previsto mas sim temos essa capacidade de apoiar e dar um tipo de informação. Num cenário caótico, dependendo sempre da vontade da EDP, pediria ajuda ao fórum CSIRT, e provavelmente ao CNCS a curto prazo, no caso do fórum CSIRT a FFAA serão apenas mais um elemento a apoiar da resolução do problema. E essa capacidade de resposta cria-se de forma informal. É um novo tipo de ameaça por isso muito pouco ainda está escrito, muito pouco está previsto e planeado para lhe dar resposta. A-19 P:Está prevista a articulação do CCD com o CNCS? R:Sim está previsto, não só a coordenação com o CNCS como também uma coordenação estreita com o CIRC da NATO e dos Ramos e com uma entidade, que foi neste momento absorvida pelo CNCS, era o CERT.pt. Tudo isso está previsto e o CCD tem ligações de trabalho com as entidades, não podemos trabalhar de “costas voltadas” numa área que acaba por ser global. Em termos de lei orgânica o CCD é a entidade responsável pela cibersegurança do sector defesa, por isso o CNCS, que tem de coordenar com todos sectores, no âmbito da defesa o CCD é o representante para o CNCS. P:São realizados treinos de uma situação no domínio ciber que implique a mobilização das FFAA junto das ICN? R:Sim, o ano passado foram realizados dois exercícios nesta área, o “Lusitano” que é um exercício do EMGFA que envolve a participação de todos os Ramos onde o CCD já esteve a participar especificamente na área ciber e um exercício da NATO, o “cyber coalition” que muitos países da NATO e parceiros participam e trabalham precisamente esta área da ciber. P:Concorda com afirmação de que capacidade do domínio ciber é uma capacidade diferente das habituais, isto é, por norma é comum, quando se pensa em capacidade, associar-se uma materialização direta de meios sejam eles aeronaves, carros de combate ou navios, o que não é o caso da capacidade ciber pois esta trata-se de uma capacidade de conhecimento intensivo onde a existência de um reduzido número de indivíduos altamente qualificados poderá fazer toda a diferença. R:Sim, mas também necessitamos de ter meios técnicos. Contudo também é necessário saber operar esta área e bem. As FFAA tem recursos humanos, em cada ramo, qualificado nesta área, área de sistemas de informação, comunicação e tecnologias. É essencial um conhecimento de base, uma vez que é um conhecimento muito técnico que abrange muitas áreas, o que implica um conhecimento elevado. Irá obrigar a uma adaptação dos planos de formação dos A-20 recursos humanos para trabalharem nesta área. A partir do momento que passam a existir operações na área ciber, tal como acontece nos outros domínios, também terão que existir nesta área. Operar um sistema de informação qualquer engenheiro consegue, a componente ciber é uma componente idêntica a operar um sistema de armas e por isso implica uma qualificação intensiva que neste momento, não só em Portugal como nos restantes países, ainda estão a pensar como se irá criar essa componente de qualificação que permita “ transformar” um engenheiro num operador de ciberdefesa, um elemento capaz de operar o sistema de armas ciber defesa, a própria NATO ainda não tem um modelo de qualificação e formação na aérea ciber, ainda está um projeto em estudo para dizer quais são as qualificações mínimas necessárias para uma pessoa operar o nosso sistemas de armas ciber. A-21 10.4 Entrevista ao Sr. Engenheiro Lino Santos - Centro Nacional de Cibersegurança (Este texto, não reflete de forma integral a referida entrevista, sendo apenas válida quando ao conteúdo e não quanto à forma e apenas para efeitos académicos) P: Dado não ser um termo consensual, qual a sua definição de ciberdefesa e de cibersegurança? R: Só não é consensual se “tentarmos inventar muito”, segurança e defesa embora sejam dois termos não completamente disjuntos são mais ou menos consensuais. A defesa está relacionada com a proteção de fronteiras relativamente a um inimigo externo. Hoje em dia existem outras ameaças externas para além dos atores estatais e a fronteira entre segurança e defesa é difusa, em vários domínios, mesmo no ciber. Quando falamos em terrorismo a ameaça também é externa e se repararmos quem trata o terrorismo ou pelo menos coordena o combate ao terrorismo em Portugal é o sistema de segurança interna e não a defesa. O ciber pode ser comparado ao terrorismo uma vez que são ameaças assimétricas, atores estatais e não estatais. Posto isto, o que é normalmente aceite é definir a ciberdefesa como as capacidades de proteção dos sistemas próprios das FFAA – assegurar o funcionamento em missão, proteção do perímetro das FFAA e depois a segunda via, a exploração do ciberespaço - CNO que só as FFAA o podem fazer – ações ofensivas. Para mim a Cibersegurança é um conjunto de capacidades nos vários domínios de atuação com vista a melhorar a insegurança das redes e inclui as medidas de proteção simples nos Ramos civil e militar, inclui a prossecução criminal (combate ao cibercrime) e a defesa. Se perante uma situação qualquer chegarmos a uma das três situações previstas na Constituição (Estado de Sítio, Calamidade ou Guerra) as FFAA assumem o controlo a partir daí e têm de estar preparadas para isso. Mais uma vez comparando com o terrorismo qualquer estado tem ao seu dispor 4 domínios disponíveis, proteção simples (treino das pessoas para se protegerem e A-22 identificarem eventuais terroristas, proteção de instalações e sistemas), depois como o terrorismo é crime, o sistema judicial deve identificar os terroristas e levá-los à justiça para serem punidos, por outro lado, a defesa também tem um papel muito ativo no combate contra o terrorismo, depois ainda existe o campo diplomático. E este é o esforço conjunto contra o terrorismo, mais uma vez a cibersegurança também tem estes 4 domínios, proteção simples (CNCS, as autoridades reguladoras sectoriais, as iniciativas de consciencialização de utilização segura da internet, os CERT), depois temos o domínio da prossecução criminal, a maior parte dos atos praticados por hackers configuram um crime (policia judiciaria e tribunais) e depois temos a defesa que tem a necessidade de proteção dos seus próprios sistemas e depois tem a capacidade ofensiva (“tal como a Força Aérea tem os aviões prontos, não quer dizer que ande sempre aos tiros a alguém, é necessário é estar pronto para quando for necessário”) e depois as FFAA tem uma responsabilidade maior em situações de emergência e de guerra. Temos ainda campo diplomático (politicas de não proliferação de ciberarmas, diretivas europeias de cibersegurança).Na minha opinião cibersegurança é tudo isto. Estas são as competências que contribuem para uma melhor cibersegurança nacional. P: Como está organizada a capacidade de cibersegurança em Portugal? R: Não temos uma estrutura de cibersegurança em Portugal, é algo que venho a defender há muitos anos. O decreto lei 62 de 2011 prevê a identificação das ICN e a criação de planos de segurança aprovados pelo Secretário-Geral da Administração e Segurança Interna, este é um trabalho que acontece em coordenação com a ANPC (elaboração dos planos), esse trabalho está a ser feito com uma metodologia que prevê uma análise de risco, na sequência da análise de risco são propostas um conjunto de medidas, para ser feita uma análise de risco é necessário desenhar um conjunto de cenários, os cenários em Portugal identificados como prioritários são a ameaça terrorista, sísmica e a ameaça ciber. Na questão da ameaça ciber estamos atrasados, uma vez que nos últimos anos as relações institucionais não foram muito favoráveis. O CNCS no seu corpo de atuação tem as ICN como um eixo prioritário, os serviços de reação que estão a ser desenhados têm duas áreas de atuação, os organismos do estado e as ICN. Também é cometida ao CNCS a responsabilidade do A-23 planeamento civil de emergência do ciberespaço que também vai tocar nos planos que estão a ser preparados pela ANPC, por isso, quando se diz que a responsabilidade é de A ou de B eu não tenho tantas certezas assim. Para mim a proteção de ICN é uma responsabilidade vinda do DL 62/2011 da ANPC e do sistema de segurança interna o que não quer dizer que o CNCS não trabalhe para as IC e não tenha as IC como uma prioridade. P: O CNCS não deveria ser a entidade com mais capacidade (conhecimento) na área ciber e o responsável nesse domínio? R: Isso seria o cenário ideal. Não convém também dividir os planos isto é, a ANPC trata da ameaça terrorista e o CNCS trata da ameaça ciber, uma vez que um plano de segurança deve responder a todas as áreas de forma holística o que não quer dizer, e é o que vai ser feito, o CNCS vai ajudar a ANPC a elaborar os requisitos para os planos de segurança de cada IC, porque quem apresenta os planos é cada IC mas quem define os requisitos e a ANPC com o apoio do CNCS. P: Tem informação se CNCS é considerado uma IC? Pela definição não, uma vez que se o CNCS, por algum motivo, interrompesse a sua atividade o país não parava, as pessoas não eram afetadas a curto médio prazo. P: A que tipo de problemas dá resposta/incidentes da resposta o CNCS? Às ameaças Ciber, com 3 grupos de entidades servidas, os organismos do estado, as ICN e o ciberespaço funcional em geral. P: O CNCS já adquiriu a IOC? Ainda não. P: O CNCS terá capacidade técnica e humana para dar resposta a um incidente de Cibersegurança? A-24 Terá de ter. Neste momento se acontecesse algum incidente grave é óbvio que respondemos ao problema mas estruturalmente não estamos preparados (final de janeiro) P: Qual a relação das ICN com os CNCS, tem papel regulador ou auditor? Prefiro não responder a essa pergunta. As IC pertencem a um sector de atividade e cada sector tem um regulador. E também para a área ciber deverá ser assim. Deverá ser uma abordagem em rede. E não hierárquica. O CNCS não vai combater cibercrime, nem vai atuar em caso de emergência ou de guerra com responsabilidade de coordenação nacional, isso é responsabilidade da defesa. P:Entende que deveria existir um organismo/entidade que devesse “obrigar” as ICN a cumprir determinados requisitos nacionais em matéria de cibersegurança? A maior parte das ICN são operadas por privados. Uma forte disrupção ou uma falha prolongada de uma dessas ICN vai alterar o estado normal, vai provocar tumultos, logo o bom funcionamento das ICN é do interesse nacional. Há duas abordagens cumulativas do problema. Uma a autorregulação, diálogo entre o sector público e o privado no sentido de encontrar o equilíbrio, isto é, o sector privado aceita que é para o seu interesse e para o interesse nacional os princípios e requisitos de segurança. Mas como qualquer medida de segurança tem um custo há sempre o lado de quem paga. Logo pode não ser suficiente o mecanismo de auto regulação e aí é necessário aplicar regras “top down”, produzir norma e obrigar o privado a executá-la. E depois há uma terceira abordagem que é a” auto regulação se possível regulação se necessário”. Adicionalmente alguns sectores têm uma tradição muito forte na autorregulação, sector bancário, nesta área ciber há muito que produzem normas internacionais que têm que ser adotadas por cada banco de forma a estes poderem estar “em jogo”. Respondendo à sua pergunta, eu diria que é necessário uma entidade centralizada que emitisse norma, mas que se deve primeiro procurar um entendimento entre o A-25 sector público e privado em mecanismo de auto regulação. Ainda não estamos nesta fase porque não há um diálogo público-privado. A autorregulação que existe é privado-privado. P: Entende que em última circunstância devia ser permitido a uma entidade ou organismo estatal intervir nos sistemas de uma dada IC, mesmo sem a necessidade do seu consentimento, no sentido de dar resposta a um incidente nacional? R: O estado não pode entrar dentro de uma empresa, nunca uma autoridade do estado vai configurar uma firewall de uma empresa privada. O estado não pode sequer ter essa responsabilidade. A teoria aponta para 3 tipos de autoridade, a autoridade total (existe a possibilidade de conduzir operação na comunidade servida, na prática só existe quando o CERT pertence à entidade o CERT da EDP faz uma analise e executa), autoridade partilhada (o CNCS aponta um conjunto de medidas de mitigação e a decisão é conjunta entre o centro e as IC, nós só temos uma parte da informação mas a IC tem outra) e depois uma situação em que a autoridade é praticamente nula, a decisão é só tomada pela IC. Estes são os tipos de autoridades teóricas existentes para uma ação das equipas de reação a incidentes. P:Uma vez que as FAA são, à luz da Constituição e da Lei, o último reduto na defesa do estado, entende que estas deverão ser o organismo com maiores capacidades técnicas e humanas no domínio ciber? R: A escalada para a defesa está mais relacionada com o impacto do que com a dificuldade. A questão não é uma questão de ter mais capacidade é uma questão legal da constituição. Em termos de dificuldade, se o problema é difícil há uma coordenação internacional. A-27 10.5 Entrevista ao Sr. Tenente-Coronel Viegas Nunes (Este texto, de propósitos académicos, não reflete de forma integral a referida entrevista, sendo apenas válido quando ao conteúdo e não quanto à forma) P:Existe a capacidade de ciberdefesa nas FFAA? R:Em primeiro lugar é necessário “ clarificar as águas” entre ciberdefesa e cibersegurança. A melhor forma para isso é perceber, no mundo real, quais são as missões de segurança e quais são as missões de defesa e estabelecer um paralelo com o mundo virtual que não é diferente, isto é, o que é chamado de segurança e de defesa no mundo real tem também uma extensão virtual, o que significa que as funções de combate ao cibercrime, que são no mundo real o combate ao crime, a responsabilidade é das forças de segurança, missões de defesa (de guerra) são da responsabilidade das FFAA, são aliás inalienáveis das FFAA (missão das FFAA defesa do estado contra ameaças externas segundo a constituição da república) e tal tem repercussão no ciberespaço, isto é as FFAA são responsáveis pela defesa militar do ciberespaço. Daqui podemos retirar que uma coisa é falar de segurança (cibersegurança) outra coisa é falar de defesa (ciberdefesa). Na sua essência as duas não são absolutamente distintas nem diferenciáveis para lá do facto de a ciberdefesa ter de ter tudo o que a cibersegurança tem em termos de capacidades mais as computer network operations (CNO com três componentes, ataque defesa e exploração). À luz da ordem jurídica só as FFAA podem desenvolver CNO. Em termos simplistas as FFAA têm de fazer tudo aquilo que todas as entidades que trabalham em cibersegurança fazem mais CNO, isto é, as capacidades e qualificações necessárias à cibersegurança têm de existir nas FFAA de forma mais exigente para que seja possível conduzir operações no ciberespaço. As FFAA devem ter a capacidade de ciberdefesa mas esta ainda não está operacional, existe um mandato para levantar a capacidade para ser atingida a IOC (initial operational capability) no final do ano de 2014, logo não existe no momento da entrevista uma capacidade estruturada e operacional de ciberdefesa nas FFAA. A-28 Quando alguém disser que está pronto, é o primeiro passo para deixar de estar pronto, porque isto é uma capacidade que se vai construindo e adaptando no tempo porque o desenvolvimento tecnológico é muito rápido e não se coaduna com soluções consolidadas, antes pelo contrário, isso é uma perversão de ter capacidade. P:Como está organizada a capacidade de ciberdefesa? Já existe algo organizado ou pensado uma vez que ainda não existe a capacidade? R:Esta capacidade de ciberdefesa como já foi referido encontra-se em fase de levantamento. Estamos numa fase intermédia desse desenvolvimento, estamos na IOC. Ainda não é possível falar de uma organização da capacidade de ciberdefesa, deverá existir até 2020. É prematuro dizer que as FFAA possuem uma capacidade efetiva. P:O Despacho 13691 de 2013 prevê a criação de um CCD no âmbito do estado maior general das FFAA em simultâneo com a criação de um único serviço que coordene as comunicações e os sistemas de informação em articulação com os Ramos procurando-se uma lógica de centralização e especialização dos recursos existentes. Em conhecimento desta diretiva? R: Não é uma diretiva. É uma orientação política para a ciberdefesa dimanada do Sr. Ministro da Defesa, é uma diretiva orientadora, como em qualquer área militar antes de ser levantada a capacidade é necessário uma diretiva orientadora que é o que esse documento constitui, é por isso, uma orientação para o levantamento. Nesse documento vinha a indicação de que deveria ser o EMGFA a fazer o estudo e a submeter um plano de levantamento da capacidade que foi aprovado no início deste ano. Existe por isso um plano de implementação mas que como o próprio nome indica ainda está em implementação.