As instituições públicas do Estado uruguaio, e alguns atores relevantes do setor privado, nunca receberam tantos ataques cibernéticos como em 2016. No total, o Centro de Resposta a Incidentes de Segurança Informática (CERT) do Uruguai contou 21 casos - seis de altíssima gravidade e 15 de alta gravidade - nos quais um agente externo penetrou em uma dependência considerada como "infra-estrutura crítica" para fornecer um serviço maciço e indispensável.
Esses cerca de vinte casos de extrema importância são parte de uma realidade mais ampla: 768 casos de "incidentes" de segurança informática detectados pela CERT em 2016, o que implica 33% dos incidentes atendidos pela CERT em 2015. Entretanto, esses números são apenas os casos que o Centro de Resposta foi capaz de detectar, mas não constituem a totalidade dos casos, disse Santiago Paz, diretor da área de Segurança da Informação da Agesic (agência de governo eletrônico), ao El Observador. É por isso que o governo está planejando criar um Centro Nacional de Operações em 2017 para melhorar a capacidade operacional de cibersegurança. Paz explicou que este centro dará a possibilidade de análise e monitoramento em tempo real, 24 horas por dia, sete dias por semana. "Poderemos ver o problema, detectá-lo e trabalhar nele em tempo real", disse o especialista. Isto se traduz, de fato, em uma capacidade preventiva que hoje depende exclusivamente das boas práticas dos usuários. "Seremos capazes de bloquear antes que ocorra um ataque cibernético, pois detectaremos sutilezas". Por exemplo, se virmos que a cada mês, em determinado momento, alguém tenta atacar a página de uma instituição, seremos capazes de agir preventivamente", disse Paz.
O risco
O nível de exposição e as ameaças são as duas variáveis a serem medidas ao tentar calcular o nível de risco de qualquer entidade. Por mais importante que seja monitorar as possíveis áreas que tornam um Estado vulnerável, não é investir energia em ameaças que não existem, explicou Paz.
Países como os Estados Unidos, Rússia ou China recebem um número infinito de ataques e, portanto, exigem uma alta capacidade operacional. "Dentro de alguns anos, será muito pior para eles e nós estaremos onde eles estão", disse Paz. A CERT conhece exatamente o nível de tecnologia em todas as agências estatais e a exposição potencial que vem com ela. No entanto, há perguntas constantes sobre possíveis flancos descobertos.
A maioria dos ataques cibernéticos no Uruguai atualmente são "randoms" - não são definidos por uma estratégia definida - exceto por um tipo particular: aqueles que se concentram no setor bancário.
Em uma recente reunião com o especialista israelense Rami Efrati, Agesic conseguiu reunir todos os chefes de segurança dos bancos na mesma mesa, o que surpreendeu o especialista. "Temos que trabalhar em colaboração", disse Paz, que acrescentou que um dos grandes desafios é poder formar um ecossistema de cibersegurança no Uruguai. "Devemos integrar nossos esforços com as dez ou 20 empresas de cibersegurança que operam no Uruguai", disse ele.
Preparado
Este fenômeno que persegue o país não é exclusivo do Uruguai, mas é parte de uma ameaça global que está se tornando cada vez mais importante. Mas longe de encontrá-lo adormecido, o Uruguai vem se preparando para estes eventos há mais de uma década.
Antes da criação da Agesic em 2007, existiam oito grupos de componentes acadêmicos. Uma delas foi estritamente dedicada ao estudo das questões de segurança cibernética. "Desde o início da consideração de uma intensa estratégia de desenvolvimento digital, a questão da ciber-segurança foi levada em consideração", disse Paz. Isso facilitou as coisas porque nesta questão, como em tantas outras, é mais difícil trabalhar de trás para frente "remendando" situações que não foram bem resolvidas.
Com a criação da Agesic, foi formado um conselho consultivo que reuniu representantes de diferentes agências estatais para discutir com uma "abordagem aberta" onde a ênfase deveria ser colocada. Estes primeiros passos institucionais não só prepararam o país para o futuro, mas também o posicionaram na vanguarda da América Latina nesta questão. "Na época em que éramos muito inovadores, não havia muitos países na região trabalhando na questão", disse Paz. Isso levou Estados como Panamá, El Salvador, Colômbia e Equador a recorrer à experiência uruguaia para seu desenvolvimento estratégico e a contratar especialistas uruguaios para se tornarem operacionais.
Estudos do Banco Interamericano de Desenvolvimento (BID), da Organização dos Estados Americanos (OEA) e da Universidade de Oxford no Reino Unido, que procuraram avaliar o "estado de maturidade" da ciber-segurança na América Latina, colocaram o Brasil e o Uruguai no topo da região.
Apesar desta perspectiva positiva, alguns desafios permanecem. A primeira é criar uma "maior conscientização" entre os cidadãos. "Somos muito tecnológicos no Uruguai e há um acesso massivo, mas temos que criar uma cultura de segurança cibernética", disse Paz. Agesic lançou a campanha "Conectate seguro" em novembro do ano passado, que visa aumentar a conscientização, e Paz disse que o segundo desafio é que todos aqueles que escolhem carreiras relacionadas à tecnologia devem fazer um curso de cibersegurança.
Fonte: O Observador
Conecta