Por Paulo Spencer Uebel, sócio da EY Brasil para governo e setor público, e Demetrio Carrión, sócio-líder da EY Latam para cibersegurança
Novos tempos trazem novos desafios. Os ataques cibernéticos contra instituições públicas estão crescendo em todo o mundo, inclusive no Brasil. Em janeiro deste ano, o governo federal registrou o maior patamar desses ataques para o mês em quatro anos. Foram, em média, 32 ataques cibernéticos por dia contra órgãos do Executivo no primeiro mês de 2024, segundo dados do Gabinete de Segurança Institucional da Presidência da República (GSI). Os 989 casos registrados em janeiro revelam a importância de as instituições públicas fazerem uma lição de casa indispensável: a análise do nível de maturidade de suas plataformas em resistir a invasões.
De acordo com o estudo Global Cybersecurity Leadership Insight, elaborado pela EY, os executivos do setor público entrevistados identificam como principais ameaças o aumento da superfície de ataques (52% dos entrevistados) e a dificuldade de equilibrar inovação com cibersegurança (50% dos entrevistados). É notório que não há mais um perímetro definido entre o que é dentro e fora da organização em termos de tecnologia e informação. Isso se deve ao uso crescente de soluções em nuvem, internet das coisas e dispositivos móveis.
Os ataques cibernéticos contra os órgãos públicos causam atraso na prestação de serviços e, inclusive, aumentam o risco de cidadãos se tornarem vítimas de golpes financeiros, que podem ficar cada vez mais direcionados com o vazamento de dados pessoais, sem falar na violação da privacidade e da Lei Geral de Proteção de Dados (LGPD).
Os impactos podem, inclusive, interromper a prestação de serviços básicos, como saúde, luz, água e internet. Em 2021, por exemplo, um ataque cibernético levou ao desligamento do maior oleoduto dos Estados Unidos, causando uma emergência em 17 estados. Em 2023, a Irlanda passou por uma situação similar quando seu sistema de saúde foi invadido por ransomware, levando muitos computadores dos seus hospitais a serem bloqueados.
Mais da metade (55%) dos ataques cibernéticos aos órgãos do Executivo em janeiro não havia sido resolvida até 2 de fevereiro, quando o GSI fez a última atualização sobre o tema. Ao mesmo tempo, também foi sinalizado que “as notificações de caráter preventivo, com alertas sobre eventuais fragilidades dos sistemas, haviam levado à resolução do problema em apenas 28% dos casos”.
Cidadãos, órgãos públicos e governo não podem se tornar reféns daqueles que podem cometer crimes virtuais a qualquer momento. Como parte indispensável dessa ação para garantir a segurança cibernética, é necessário um treinamento rigoroso de servidores públicos e funcionários de estatais, uma gestão eficaz de riscos, análises preventivas para avaliar a maturidade dos sistemas e o potencial de resistência aos ataques. Além disso, o investimento em novas tecnologias e o desenvolvimento de planos sólidos de ação em resposta às invasões digitais são igualmente importantes.
Um exemplo é a implementação de protocolos que ajudem a detectar e combater os ataques cibernéticos a partir do momento em que os hackers invadem um sistema. Um plano preventivo robusto deve contar com serviço de proteção, detecção e interrupção de possíveis ataques, sendo baseado no conceito de visibilidade de ponta a ponta do ciclo de vida do ataque cibernético e redução do custo das operações. E, principalmente, na agilidade da retomada das operações em caso de invasões.
O estudo da EY aponta que 49% das empresas do setor público investem mais de 40% do seu orçamento de cibersegurança em suas capacidades de detecção e prevenção. Esse número supera a média das demais indústrias em 22 pontos percentuais.
Cada órgão público deve ser responsável por identificar as vulnerabilidades de segurança dos seus próprios sistemas. Sem esse trabalho prévio, não conseguirão fechar as brechas antes que os hackers consigam explorá-las. A base deve ser a descoberta e o gerenciamento de exposição a ameaças nos processos, em vez do mero gerenciamento tradicional de vulnerabilidades que se baseia em ativos.
A importância da cibersegurança para os governos está em proteger os seus sistemas de qualquer tipo de invasão cibernética, manter a privacidade das informações dos cidadãos e providenciar a continuidade dos serviços essenciais. Além disso, a cibersegurança tornou-se também uma questão de geopolítica e defesa nacional, um campo no qual a inteligência artificial está desempenhando um papel fundamental.
A IA traz novas oportunidades e riscos na luta contra ameaças cibernéticas. O seu poder em lidar com big data de maneira eficiente e em detectar padrões incomuns com mais precisão do que um ser humano se tornou de grande valia para aprimorar a detecção e prevenção de possíveis ataques. No entanto, o seu uso também traz novos riscos. Os hackers podem utilizar a mesma tecnologia para realizar ataques mais sofisticados, incluindo a elaboração de programas maliciosos que também são capazes de aprender e se adaptar.
A constante evolução dos desafios cibernéticos sinaliza que devemos aprender e aprimorar nossas defesas ao longo do tempo. Isso implica uma adaptação dinâmica, aprendizado contínuo e desenvolvimento de políticas de segurança flexíveis e resilientes capazes de enfrentar uma variedade de ameaças emergentes. A cibersegurança deve ser estruturada como uma estratégia de defesa nacional, envolvendo todas as camadas do governo e objetivando a segurança do Estado e dos cidadãos. Aliado a isso, é crucial adotar iniciativas de educação em segurança digital, tendo em vista que muitos ataques se aproveitam de falhas humanas.
A insatisfação com a falta de adoção de boas práticas de cibersegurança por profissionais de fora da área de TI é um desafio comum enfrentado pelo setor público. Cerca de 30% dos entrevistados desse setor indicam que essa é a principal questão que afeta a abordagem de suas organizações em relação à cibersegurança.
No passado, a segurança nacional era sinônimo de Forças Armadas e poderio militar, representado pelo número de fuzis, tanques de guerra, aviões de combate, fragatas e semelhantes. Hoje, além da segurança física e da integridade territorial, o governo e as Forças Armadas precisam garantir a segurança digital de seus cidadãos e dos sistemas estratégicos para o desenvolvimento econômico e social do país. Desconsiderar a importância desses dois elementos na sociedade atual é colocar em risco o bem-estar dos cidadãos e a estabilidade do Estado. Por isso, é fundamental que haja investimentos contínuos e planejados em tecnologia, inteligência e educação para proteger a integridade e a segurança de nossa sociedade.
*Este artigo foi publicado inicialmente no Valor Econômico.
