Vários artigos recentes (nomeadamente na Wired e no Washington Post) destacaram um novo conjunto de preocupações provenientes do ciberespaço. Hackers localizados em qualquer lugar do mundo podem obter controle remoto do veículo de qualquer pessoa, colocando todos os motoristas em risco de vida e integridade física. Pior ainda, o problema poderá persistir durante décadas, não só porque os fabricantes de automóveis não estão familiarizados com a criação de software seguro, mas porque levaria muito tempo para aposentar todos os veículos vulneráveis. Algo sobre essa última afirmação parecia um pouco estranho. Leia os dois artigos e você não verá a palavra “recordar”.
No final do mês passado, esta omissão foi corrigida quando a Fiat Chrysler, sob pressão da Administração Nacional de Segurança no Tráfego Rodoviário dos EUA (NHTSA), fez recall de 1,4 milhão de carros para consertar um defeito que permitia que hackers colocassem motoristas em perigo à distância. Em essência, o que era considerado uma enorme ameaça foi convertido num problema resolvido ou pelo menos solucionável. A NHTSA possuía duas ferramentas essenciais que geralmente faltam em todo o debate sobre segurança cibernética: um paradigma para compreender o problema e a autoridade legal para fazer algo a respeito. Entendido como um problema de segurança discreto, a NHTSA conseguiu usar a ferramenta existente de recall obrigatório para resolvê-lo. E embora nem todos tirem partido de uma recolha, o custo da manutenção de uma recolha pode persuadir os fabricantes de automóveis a minimizar os seus riscos, prestando atenção à segurança cibernética.
A importância do que aconteceu não deve ser subestimada. Como se não houvesse problemas suficientes de cibersegurança com que nos preocupar, a Internet das Coisas entrou agora na lista de preocupações. O hack automobilístico foi apenas a ponta afiada dessa cunha. Felizmente, os Estados Unidos têm muitas ferramentas para lidar com a maioria das ameaças mais importantes da Internet das Coisas. Os recalls de veículos, conforme observado, são um deles. A Comissão de Segurança de Produtos de Consumo também tem poderes de recall. A Food and Drug Administration tem autoridade semelhante sobre dispositivos médicos. Os códigos de construção podem ser aplicados a alguns problemas habitacionais. A Administração de Segurança e Saúde Ocupacional tem o poder de tornar o local de trabalho menos perigoso (por exemplo, tornando as máquinas industriais mais seguras). Na verdade, a segurança é algo com que os Estados Unidos têm lidado há mais de 100 anos, com sucesso crescente ao longo do tempo. Qualquer problema de segurança cibernética que possa ser conceituado como um problema de segurança está pronto para uma solução governamental.
Problema resolvido? Não inteiramente, infelizmente. Sim, estas agências têm de fazer o seu trabalho corretamente, muitas vezes face à resistência do Congresso. Mas mesmo que o fizessem, há aspectos do problema da cibersegurança que não podem ser enquadrados como problemas de segurança. Uma delas é que a invasão de muitos dispositivos pode permitir a vigilância de indivíduos (por exemplo, para onde seu carro vai, quando você está em casa, sua condição médica). Embora prejudicar a segurança seja sempre uma coisa má, politicamente, os Estados Unidos não estão tão preparados para declarar que a vigilância (por exemplo, pela aplicação da lei) é sempre uma coisa má. Portanto, a autoridade para forçar recalls porque os dispositivos podem ser induzidos a vazar informações está muito menos estabelecida do que por questões de segurança. Outra é que, embora exista uma estrutura legal para garantir a segurança do software se ele estiver incorporado em um dispositivo, não existe tal estrutura legal para garantir a segurança do software baixado de terceiros ou residente na nuvem. No entanto, uma grande parte do problema pode ser resolvida.
E é por isso que a Internet das Coisas não é a próxima nuvem negra no horizonte.
Martin Libicki é cientista sênior de gestão da organização sem fins lucrativos e apartidária RAND Corporation.
Os comentários oferecem aos pesquisadores da RAND uma plataforma para transmitir ideias com base em sua experiência profissional e, muitas vezes, em pesquisas e análises revisadas por pares.