Em março, a administração Biden lançou a Estratégia Nacional de Cibersegurança (NCS) “para garantir todos os benefícios de um ecossistema digital seguro e protegido para todos os americanos”. Na opinião da administração, o ciberespaço é uma ferramenta para alcançar uma gama de objetivos elevados, entre eles prosperidade económica, direitos humanos, liberdade, democracia e uma sociedade equitativa e diversificada. De acordo com a Casa Branca, é uma visão baseada em “alterações fundamentais na forma como os Estados Unidos alocam funções, responsabilidades e recursos no ciberespaço”.
A NCS estabelece cinco princípios ou pilares fundamentais sobre os quais construir a estratégia na prossecução dos seus objectivos:
- Defender infraestruturas críticas
- Interromper e desmontar os atores de ameaças
- Moldar as forças do mercado para impulsionar a segurança e a resiliência
- Investir num futuro resiliente
- Forjar parcerias internacionais para procurar objetivos partilhados
A Estratégia de Cibersegurança contempla ainda mais as alterações políticas que podem fazer avançar esses objetivos. Nomeadamente, a Casa Branca propôs mudar a responsabilidade pela cibersegurança melhorada para fornecedores do setor privado que desenvolvem hardware e software de TI. Muitos dos detalhes ainda não foram resolvidos.
No geral, a NCS é um passo forte e decisivo na direção da cibersegurança melhorada. O plano foca-se incansavelmente no “ciberciber” na cibersegurança. O documento está repleto de referências a ativos digitais, software, Internet e Internet das Coisas, recursos sem fios e ativos baseados no espaço. O NCS menciona “ciber” quase 300 vezes.
Necessidade de se concentrar na infraestrutura física
Menos proeminentes na NCS são certos componentes físicos indispensáveis das redes e do ciberespaço. Estou a referir-me a dispositivos eletrónicos - computadores portáteis, telemóveis, tablets, interruptores de rede, sensores - a infraestrutura física e terminais de redes, virtuais e outros. Esses dispositivos possibilitam o roteamento, o transporte e o armazenamento de dados. Fornecem interfaces que permitem aos utilizadores humanos trocar informações em redes globais. O termo “dispositivo” aparece no NCS seis vezes.
Isto não sugere que a Estratégia de Cibersegurança negligencie a infraestrutura física. Não. No entanto, a NCS apresenta uma visão das redes e da cibersegurança que está inclinada para o virtual, não incomum em discussões sobre cibersegurança, à exclusão de dispositivos e componentes eletrónicos e à importância de protegê-los.
Mencionamos o desequilíbrio através do incentivo ao esforço proporcional, enquanto preparamos o caminho para uma maior cibersegurança. Chegar lá vai haver um slog. Vamos lembrar-nos de que o ciberespaço e o “mundo virtual” não são tão virtuais como gostaríamos de acreditar. A nuvem é uma coleção de enormes explorações de servidores terrestres e os cabos no fundo dos oceanos do mundo transmitem mais de 95% dos dados internacionais. Esses cabos submersos estão fora da alçada do NCS, mas o ponto permanece: a comunicação digital é uma proposta altamente física e os dispositivos eletrónicos de todos os tipos devem ser protegidos.
Estabelecer um modelo de Confiança Zero
Embora a administração não tenha abordado diretamente o problema da infraestrutura física na NCS, tentou fazê-lo em documentos anteriores. Nomeadamente na Ordem Executiva (OE) 14028, "Melhorar a Cibersegurança da Nação", que apela às agências que eliminem os princípios de segurança do perímetro a favor da sofisticada arquitetura de cibersegurança de Confiança Zero. De acordo com o EO, a Agência de Segurança Cibersegurança e Infraestrutura (CISA) desenvolveu um Modelo de Maturidade de Confiança Zero, que compreende cinco princípios de cibersegurança moderna: identidade, dispositivos, rede, dados e aplicações e cargas de trabalho. O modelo de maturidade também está alinhado com a Estratégia de Confiança Zero do Gabinete de Gestão e Orçamento (Office of Management and Budget, OMB), um roteiro para implementar a Confiança Zero.
O desafio será implementar vários planos sobrepostos de forma sistemática, eficiente e abrangente.
Reforçar a cibersegurança do país é uma prioridade da administração, claramente. Igualmente evidente é a necessidade de proteger todos os aspetos das nossas redes, incluindo dispositivos eletrónicos, até ao último tablet, sensor e comutador de rede. À medida que avançamos juntos, agências governamentais e fornecedores de TI, temos de estar vigilantes e rigorosos.
Para sermos verdadeiramente seguros, não devemos deixar nenhum dispositivo fechado.
Quer saber mais? Veja como as principais agências federais dos EUA atualizam a sua infraestrutura física, impulsionam os esforços de cibersegurança e tiram partido de análises de ponta. Junte-se ao autor Brian Wright para um webcast exclusivo do GovExec.
