A importância da resiliência no mundo digital é progressivamente mais relevante no dia-a-dia das sociedades e está constantemente na ordem do dia. As populações sentem um impacto significativamente maior sempre que existe uma falha de sistemas em cada vez mais sectores
Por Nuno Neves, Chief Security Officer, Associação Nacional das Farmácias . 12/10/2022
Esta dependência intensificou-se ainda mais na pandemia, em que a transformação digital foi impulsionada em todos os sectores, muitas vezes dando prioridade ao serviço sem considerações de segurança e continuidade do mesmo (algo que já era muito habitual também antes da pandemia), o que trouxe, obviamente, riscos acrescidos.
Uma das formas de tentar aumentar a resiliência e robustez dos sistemas é através da legislação, algo que a União Europeia tem vindo a fazer. Com a Diretiva (UE) 2016/1148 relativa à segurança das redes e da informação (Diretiva SRI), e subsequentes transposições nacionais (no caso português com a Lei 46/2018, que estabelece o regime jurídico da segurança no ciberespaço) os países da União Europeia têm vindo a determinar uma série de obrigações e recomendações neste domínio. Apesar de necessárias, úteis e fundamentais, estas legislações ainda têm algumas deficiências, muitas já identificadas na proposta de revisão da Diretiva SRI (SRI 2), que destaca, logo no contexto: “A avaliação da aplicação da Diretiva SRI, realizada para efeitos da avaliação de impacto, identificou as seguintes questões problemáticas: 1) o baixo nível de ciber-resiliência das empresas que operam na UE; 2) as diferenças em termos de resiliência entre Estados-Membros e setores; 3) o baixo nível de conhecimento situacional comum e a inexistência de mecanismos de resposta conjunta a situações de crise. Por exemplo, alguns dos principais hospitais num Estado-Membro não estão abrangidos pelo âmbito da Diretiva SRI e, como tal, não estão obrigados a aplicar as medidas de segurança nela previstas, ao passo que, noutro Estado-Membro, praticamente todos os prestadores de cuidados de saúde do país estão sujeitos aos requisitos de segurança estabelecidos nessa diretiva.”
Um outro tema que a Diretiva SRI vem robustecer é a cooperação formal em matéria de Cibersegurança, um tópico fundamental para a adoção de melhores práticas internacionais e/ou setoriais. Esta cooperação, que sempre foi adotada e reconhecida pelos profissionais, veio tomar uma outra dimensão, com a transformação da Agência da União Europeia para a Segurança das Redes e da Informação em Agência da União Europeia para a Cibersegurança (mantendo o acrónimo ENISA) que passa a ter um papel reforçado e um mandato permanente.
No entanto, apesar do mérito de toda esta legislação, ainda temos um longo caminho para garantir a Cibersegurança transversal. Realço aqui quatro fatores que podem e devem ser melhorados:
As diretivas focam-se, justificadamente, nas áreas e serviços considerados essenciais. No entanto, a dificuldade de elencar numa só definição realidades tão diferentes leva a que algumas definições sejam vagas, o que provoca incerteza nalgumas organizações sobre estarem ou não abrangidas. Idealmente, em caso de dúvida, deveriam adotar as medidas que oferecem mais segurança, mas, como sabemos, dada a dificuldade e os recursos necessários, muitas vezes a dúvida leva a optar pela solução (aparentemente) mais fácil. Além disso, com a capilaridade dos serviços digitais, a identificação de prestadores de serviços cujo desempenho pode comprometer também serviços críticos é um trabalho moroso, exaustivo e que muitas vezes não é feito.
Outro aspeto que não ajuda prende-se com a impunidade que muitas vezes se nota e que leva as empresas a considerar o risco de não investir na Cibersegurança como aceitável. É claro que nenhuma empresa, independentemente da dimensão e do grau de preparação, está livre de sofrer um ciberataque e não deve ser penalizada por isso. Mas há incidentes de segurança amplamente conhecidos que podiam (e deviam) ter sido evitados ou cujas consequências podiam ter sido mitigadas, mas cuja inação não tem consequências para lá da reação do mercado.
O ponto acima também está relacionado com o papel do Chief Information Security Officer (CISO) nas empresas. Se o CISO for considerado apenas como um técnico (muitas vezes integrado na estrutura técnica de IT) e com um papel apenas operacional, vai ser muito difícil, para não dizer impossível, ter consciência dos riscos a que a organização se sujeita. O CISO deve ser visto como um elemento estratégico que deve ter voz ativa em todas as decisões empresariais, por exemplo como membro executivo do órgão de gestão. No mundo atual e com o impacto dos sistemas de informação nas empresas, a opinião do CISO deve estar ao mesmo nível de um CFO. É claro que esta responsabilidade exige também uma crescente profissionalização do CISO para acompanhar as decisões estratégicas e de gestão.
O último fator, talvez o mais difícil de mudar, é a mentalidade entranhada na sociedade e, por conseguinte, também na gestão das empresas. Pensamentos como “Não tenho nada a esconder, não preciso de ter passwords difíceis.”, “Ele é um pessimista, vê sempre o pior cenário, mas isso só acontece nos filmes.”, “Esse projeto de Cibersegurança é muito caro, não vale a pena”, “Não faz sentido envolver o CISO no projeto, porque não tem risco” e outras tantas constantemente ouvidas pelos CISO são resultado dessa mentalidade e exponenciam o risco. É meritório o trabalho, por exemplo, do Centro Nacional de Cibersegurança (CNCS) no sentido da sensibilização da sociedade, que deve ser fomentado e que, talvez, devesse passar a estar presente no currículo do sistema de ensino, para que seja apreendido e visto como natural.
Resumindo, a Framework de Cibersegurança da EU tem um papel fundamental na definição e articulação dos vários setores e das iniciativas necessárias em matéria de Cibersegurança, mas há ainda um longo trabalho a fazer para que, coletivamente, todos sejamos mais resilientes e a sociedade mais capaz de enfrentar os crescentes riscos e ameaças.
Nuno Neves
Chief Security Officer
Associação Nacional das Farmácias
É mestre em Segurança Informática pela FCUL e tem um MBA pelo LisbonMBA. Foi investigador na área de tolerância a faltas e segurança da informação e coordenador do Centro de Informática da FCUL. Passou por duas consultoras internacionais, na área de Sistemas de Informação e Risco. É desde 2016 CISO na Farminveste, holding da ANF, com a responsabilidade transversal dos temas de cibersegurança, segurança da informação e privacidade.
Outros artigos deste autor
Estado da nação na cibersegurança
Framework de Cibersegurança da UE
Expert Nuno Neves Framework Cibersegurança UE
REVISTA DIGITAL
IT SECURITY Nº8 Outubro 2022
EDIÇÕES ANTERIORES
NEWSLETTER
Receba todas as novidades na sua caixa de correio!
Subscrever
+ VISITADAS
18/11/2022
ANALYSIS
“Muitas vezes, não é sobre ‘hackear’ o sistema; é sobre ‘hackear’ o cérebro” das pessoas
15/11/2022
NEWS
Agência Europeia de Defesa reforça cooperação para proteção do ciberespaço
21/11/2022
THREATS
Segurança Social alvo de ciberataque
15/11/2022
BLUE TEAM
IT Security Conference: “a missão do The Rock é criar um ecossistema de cibersegurança a partir de Gouveia”
23/11/2022
X-RAY
Parlamento Europeu alvo de ciberataque
+ NOTÍCIAS
12/10/2022
EXPERT
Framework de Cibersegurança da UE
10/10/2022
EXPERT
Formação é mais do que uma simples sessão
04/10/2022
EXPERT
Será a informação a verdadeira rosa de Jericho
02/08/2022
EXPERT
Três práticas para colocar a Cibersegurança como um tema do negócio
27/07/2022
EXPERT
Os temas da segurança da informação, digital, informática, de computadores, e cibersegurança não são novos
Tweets de @ITInsight_news
Siga-nos:
Página linkedin
Página twitter
Página facebook
TÓPICOS
News
Expert
Analysis
X-ray
Blue team
iTech
Threats
Compliance
Opinion
INFORMAÇÕES
Subscrever
Conhecer
Privacidade
Utilização
Ficha Técnica
Estatuto Editorial
Contactar
Contact Us
ÚLTIMAS EDIÇÕES
IT SECURITY Nº9 Dezembro 2022
IT SECURITY Nº8 Outubro 2022
IT SECURITY Nº7 Agosto 2022
IT SECURITY Nº6 Junho 2022
IT SECURITY Nº5 Abril 2022
IT SECURITY Nº4 Fevereiro 2022
IT SECURITY Nº3 Dezembro 2021
IT SECURITY Nº2 Setembro 2021
Copyright © 2013 - 2021 Media Next . All Rights Reserved
×
REGISTO NA NEWSLETTER IT SECURITY
Lorem ipsum dolor.
Tente de novo por favor.
* Campos de preenchimento obrigatório.
Dados para receber a sua Revista Digital Interativa e a Newsletter bissemanal:
Nome *
Email *
Empresa/Instituição *
Cargo * --- IT Management: CSO, CISO IT Management: CIO, CTO IT Management: Diretor IT Management: Supervisor IT Management: Segurança IT Management: Systems Integrator IT Management: Consultor IT Management: IT Staff / Outro Business Management: CEO, Presidente Business Management: Administrador / Gerente Business Management: C-level, Diretor Executivo Business Management: Gestor de negócio Business Management: Responsável departamental Business Management: Quadro intermédio Business Management: Consultor (não IT)
Setor de atividade * --- Administração Pública e Defesa Administração Pública Regional e Local Agricultura, Floresta e Pesca Banca, Seguros, outros financeiros Comércio e Distribuição Construção Civil / Arquitetura / Engenharia Educação Eletricidade, Gás, Água e Resíduos Entretenimento / Desporto Indústria Imobiliário Media, Publicidade e MKT Saúde / Farmacêutico / Bio-Tech Serviços (outros) Serviços de consultoria Transportes e armazenagem Turismo e Restauração Outro Tech: Consultores Tech: E-commerce / Internet Tech: Fabricante - Hardware/Software Tech: Distribuidor / Retalhista Tech: Service Provider (MSP, BSP, ASP, ESP, Web Hosting) Tech: Telecom &amp; ISP Tech: VAR / VAD / OEM / Integrador
Nº colaboradores da organização * --- > 1.000 500 a 1.000 100 a 500 10 a 100 < 10
Digite o código ao lado: *
Não consegue ler a imagem? Escolha outra aqui
SUBMETER
Concordo com as condições de subscrição
NÃO ACEITO
ACEITO
O seu registo para a subscrição da Newsletter Editorial da IT Security foi realizado com sucesso.
Foi enviada uma confirmação para o endereço de email por si indicado.
Poderá cancelar esta subscrição em qualquer altura, clicando no link disponibilizado no rodapé da nossa newsletter editorial.
Não foi possível fazer a subscrição porque o endereço de e-mail indicado já se encontra registado na base de dados da IT Security.
Poderá tambem atualizar os seus dados clicando no link respetivo no rodapé da nossa newsletter editorial, ou então, contacte-nos em privacidade@medianext.pt
FECHAR
×
Tente de novo por favor.
Para Um Mundo Digital Mais Seguro
Ainda não tem acesso privilegiado à informação mais relevante sobre cibersegurança?
Subscreva agora e gratuitamente a IT Security
Newsletter exclusiva com as principais notícias
Edição digital para download para todos os dispositivos
Informação em primeira mão sobre cibersegurança
Por favor, digite o seu endereço de e-mail para se registar.
Nome *
Email *
Digite o código ao lado: *
Não consegue ler a imagem? Escolha outra aqui
JÁ SOU SUBSCRITOR
SUBMETER AGORA
Politica de privacidade de acordo com o RGPD
Concordo com as condições de subscrição
NÃO ACEITO
ACEITO
O seu registo para a subscrição da Newsletter Editorial da IT Security foi realizado com sucesso.
Foi enviada uma confirmação para o endereço de email por si indicado.
Poderá cancelar esta subscrição em qualquer altura, clicando no link disponibilizado no rodapé da nossa newsletter editorial.
Não foi possível fazer a subscrição porque o endereço de e-mail indicado já se encontra registado na base de dados da IT Security.
Poderá tambem atualizar os seus dados clicando no link respetivo no rodapé da nossa newsletter editorial, ou então, contacte-nos em privacidade@medianext.pt