Nova dimensão da ciberdefesa: a BKA recebe competências alargadas
A arquitectura de segurança alemã está perante uma mudança significativa: com a projectada lei de reforço da cibersegurança, a Polícia Judiciária Federal (BKA) passará a estar autorizada a actuar activamente contra as infra-estruturas dos atacantes. O ministro federal do Interior, Alexander Dobrindt (CSU), classificou o projecto como "um marco para a arquitectura de segurança da Alemanha" e anunciou: "Respondemos, desligamos a ameaça. Se formos atacados, poderemos perturbar os atacantes e destruir a sua infra-estrutura."
Esta nova forma de "ciberdefesa activa" marca uma mudança de paradigma na estratégia alemã de cibersegurança. Enquanto até agora estavam sobretudo em primeiro plano medidas defensivas, passará a ser possível actuar preventivamente contra potenciais ameaças.
Da protecção passiva à defesa activa
Até agora, a ciberdefesa alemã limitava-se sobretudo a medidas reactivas. "Até agora reagíamos aos ataques tentando desviá-los para zonas inofensivas da rede", explicou o ministro Dobrindt sobre o procedimento anterior. Estes métodos eram eficazes, mas representavam o máximo das medidas activas de defesa até agora possíveis.
Futuramente, também o software e os servidores de atacantes no estrangeiro poderão ser visados. Este alargamento de competências é politicamente justificado com a alteração da situação de segurança e com a maior urgência no ciberespaço.
Cenários concretos de aplicação das novas competências
Segundo as novas regras, a BKA passará a poder combater vários tipos de infra-estrutura dos atacantes:
- Dispositivos IoT usados indevidamente para ciberataques
- Servidores que funcionam como centros de comando e controlo
- Instâncias de cloud sequestradas
- Servidores de comando e controlo (Command & Control) para coordenar ataques DDoS
O objectivo é poder intervir precocemente para impedir à partida ataques como os DDoS, antes que causem danos.
Distinção face ao controverso conceito de hackback
O ministro Dobrindt sublinhou que as medidas previstas não são um hackback. Um hackback seria um "contra-ataque de retaliação não dirigido", enquanto aqui está em primeiro plano a prevenção concreta de perigos pela Polícia Judiciária Federal, pela polícia federal e pelo Serviço Federal de Segurança da Tecnologia da Informação.
Para ilustrar, o ministro recorreu a uma analogia: "Quando uma mala abandonada representa um perigo, agimos contra ela e não começamos por apurar a quem pertence." Quem exactamente está por detrás de um sistema atacante é irrelevante para a prevenção do perigo. Importante é apenas que a estrutura de servidores represente uma ameaça concreta.
Com base nesta distinção, o governo federal não vê necessidade de alterar a Lei Fundamental. As medidas previstas deverão mover-se no quadro das possibilidades constitucionais existentes.
Vozes críticas da sociedade civil
Apesar das garantias do governo federal, os críticos vêem na norma uma problemática competência de hackback. A sua principal preocupação: nos ciberataques profissionais são regularmente usados indevidamente equipamentos alheios, pelo que as medidas poderiam atingir não os verdadeiros autores, mas terceiros não envolvidos.
As medidas de cibersegurança previstas juntam-se a uma série de projectos legislativos destinados a alargar as competências das polícias e do Ministério Público. Depois dos planos de conservação de dados, das leis de transposição sobre recolha de prova digital e das competências de análise de dados e de comparação biométrica na Internet, este é já o terceiro grande pacote deste tipo.
É especialmente criticado o ritmo previsto da legislação, uma vez que os projectos deverão passar pelo Bundestag a toda a velocidade.
Enquadramento e significado para o sector da segurança
As novas competências representam um alargamento considerável das medidas estatais de cibersegurança. Para as empresas e organizações isso significa, por um lado, uma protecção potencialmente maior contra ciberataques; por outro, surgem também novos desafios jurídicos e técnicos.
A ciberdefesa activa é vista como complemento necessário às medidas de protecção existentes, como o endurecimento dos sistemas informáticos ou as obrigações legais de maior segurança informática decorrentes das regras NIS2.
Efeitos no sector da tecnologia de segurança
As competências estatais alargadas podem alterar as exigências às soluções de segurança privadas. As empresas poderão passar a poder contar mais com medidas de defesa robustas e coordenadas pelo Estado, enquanto ao mesmo tempo ganha importância a documentação e a transparência das suas próprias medidas de segurança.
Perspectivas: desafios jurídicos e técnicos
A concretização das novas competências trará vários desafios. Os aspectos de direito internacional terão de ser considerados, tal como a distinção prática entre sistemas legítimos e sistemas usados indevidamente.
Para o sector da segurança surgem novas possibilidades de cooperação com entidades estatais, mas aumentam também as exigências de documentação e rastreabilidade das medidas de segurança.
Os próximos meses mostrarão como evolui o debate sobre as competências alargadas e que efeitos concretos as novas regras terão no panorama da cibersegurança na Alemanha.
