Nova estratégia: da defesa passiva à ciberdefesa activa
O governo alemão prepara uma mudança profunda de estratégia na cibersegurança do país. Um projecto de lei aprovado em Conselho de Ministros pretende conferir ao Serviço Federal de Segurança da Tecnologia da Informação (BSI), à polícia federal e à Polícia Judiciária Federal (BKA) competências alargadas para uma "ciberdefesa activa". Estas medidas vão claramente além das abordagens preventivas anteriores e permitem, pela primeira vez, a intervenção directa nas estruturas dos atacantes.
O ministro federal do Interior, Alexander Dobrindt (CSU), descreve a nova abordagem como uma actuação proactiva: "Respondemos, desligamos a ameaça quando somos atacados, poderemos perturbar os atacantes e destruir a sua infra-estrutura." Este anúncio marca uma mudança de paradigma de uma ciberestratégia puramente defensiva para uma ofensiva.
Competências e medidas concretas em detalhe
O projecto de lei prevê várias ferramentas novas a disponibilizar às autoridades de segurança:
- Proibição do funcionamento de sistemas informáticos de que resulte um perigo
- Desvio de tráfego de dados para análise e interrupção de ataques
- Leitura, eliminação ou alteração de dados em sistemas alheios
- Actuação contra domínios de Internet maliciosos em constante mudança
O BSI passará a poder, a pedido de instituições, procurar nos seus sistemas informáticos medidas preparatórias de atacantes e identificá-las. Há aqui um foco especial no combate à distribuição de software malicioso através de domínios comprometidos.
Para a concretização das alterações previstas são necessários 37 trabalhadores adicionais, o que evidencia a carga de trabalho esperada para as novas áreas de actuação.
Justificação: a Alemanha na mira dos ciberataques internacionais
O governo federal justifica a alteração legislativa com o agravamento do panorama de ameaça. Enquanto principal economia da Europa, a Alemanha estaria cada vez mais no foco de ciberataques que podem ter grande impacto. Ganhariam importância sobretudo as ameaças híbridas.
Potências estrangeiras, actores estatais ou organizações a eles ligadas seriam cada vez mais os autores de ciberataques contra a Alemanha. Os ataques dirigem-se contra a economia, a indústria, entidades estatais e a política, com os objectivos de:
- Espionagem
- Sabotagem
- Extorsão
- Demonstração de poder no espaço digital
Segundo o projecto de lei, as "medidas preventivas nos próprios sistemas informáticos não oferecem, por si só, protecção suficiente" contra ciberataques de grande escala com elevado potencial de dano. Por isso, as autoridades teriam de receber possibilidades complementares para travar directamente tais ataques.
Distinção entre prevenção de perigos e investigação criminal
As competências adicionais da polícia federal destinam-se exclusivamente à prevenção de perigos, e não à investigação criminal. As medidas especiais de defesa só estão previstas em determinados casos, por exemplo quando o perigo se dirige contra "organismos ou instituições cujo funcionamento é essencial para a comunidade ou para a defesa".
Vozes críticas da economia
A associação da economia da Internet Bitkom saúda, em princípio, o maior empenho do governo federal na ciberdefesa, mas vê aspectos problemáticos. A Bitkom avalia de forma especialmente crítica as novas competências de intervenção da polícia federal e da BKA, que permitem contra-ataques a sistemas de atacantes.
O principal ponto de crítica: "Como os ciberataques muitas vezes não podem ser tecnicamente atribuídos sem dúvidas e os autores deixam pistas falsas, há o risco de atingir terceiros não envolvidos." Esta avaliação remete para a complexidade técnica da atribuição de ciberataques e para possíveis danos colaterais.
Também a Federação da Indústria Alemã (BDI) manifesta necessidade de melhorias. A crítica dirige-se à abordagem centrada no Estado: "O projecto aposta até agora demasiado na intervenção estatal e pouco na cooperação com a economia." Os deveres de colaboração das empresas teriam de ser formulados de forma mais precisa e proporcional.
Significado para o sector da segurança
As alterações legislativas previstas têm implicações de grande alcance para todo o sector da segurança. As empresas têm de se preparar para maiores possibilidades de intervenção das autoridades e adaptar em conformidade os seus conceitos de segurança informática. Isto afecta tanto a infra-estrutura técnica como os requisitos jurídicos de conformidade.
Para os fornecedores de tecnologia de segurança surgem novas áreas de negócio, uma vez que o aumento da actividade estatal exige também as correspondentes medidas de protecção para as empresas. A procura de soluções de segurança robustas deverá continuar a crescer.
Perspectivas: mudança de paradigma com questões em aberto
O projecto de lei marca uma alteração fundamental na estratégia alemã de cibersegurança. Pela primeira vez, as entidades estatais poderão não só agir defensivamente, mas intervir activamente em sistemas alheios. Isso traz, porém, desafios jurídicos e técnicos ainda não totalmente esclarecidos.
A crítica das associações empresariais mostra que o equilíbrio entre uma ciberdefesa eficaz e a protecção de terceiros não envolvidos constitui um desafio central. Como esta ciberdefesa activa se comportará na prática e se o enquadramento jurídico é suficientemente preciso só se verá na aplicação.
As empresas devem preparar-se desde já para o novo enquadramento jurídico e adaptar em conformidade os seus conceitos de segurança. A colaboração entre entidades estatais e economia privada será decisiva para o êxito da nova estratégia.
