“Não existem tempos de guerra ou paz no ciberespaço. Há sempre algo a acontecer”

A Web Summit trouxe a Portugal várias personalidades distintas nas suas áreas. Uma dessas personalidades foi David van Weel, Assistant Secretary General da NATO e principal conselheiro para o secretário-geral da aliança em desafios de segurança emergentes e suas implicações para a segurança da NATO.

Quando a NATO foi criada – em 1949 – a cibersegurança não era um tema em cima da mesa de nenhum país. Na verdade, foram precisos mais de 50 anos para que a aliança começasse a olhar para o tema e a sua implicação com os países que fazem parte da aliança.

David van Weel lembra que o panorama de cibersegurança está sempre a mudar. A NATO monitoriza o ciberespaço desde os anos 2000, mas só em 2014 é que tomou o “big step” de tornar o ‘ciber’ num domínio real, tal como reconhece a terra, o mar e o ar. “Reconhecemos que o ‘ciber’ tem um impacto enorme em tudo o que fazemos em operações e desde então que tem evoluído à medida que o panorama de ciberameaças evolui”, explica van Weel, acrescentando que “vemos o cibercrime a crescer, vemos atores não estatais a utilizar o ‘ciber’ como arma, vemos atores estatais a utilizar o ‘ciber’ para espionagem e sabotagem… isso significa que continuamos a ter de mudar as nossas políticas para se ajustarem à realidade”.

O Assistant Secretary General indica que a NATO reconhece cada vez mais que o ciberespaço é diferente dos outros domínios e é um espaço “permanentemente contestado”, até porque “não há tempos de paz ou guerra no ciberespaço. O ciberespaço está sempre ligado e há sempre algo a acontecer; os atores estão ativos quer nós pensemos que estamos em guerra com eles ou não”. Para David van Weel, a questão passa por como se protege contra essa realidade. A resposta, pela resiliência “o tempo todo”; ser proativo e ser mais responsivo às atividades cibernéticas.

Artigo 5.º

O Artigo 5.º do Tratado do Atlântico Norte afirma que ‘as partes concordam em que um ataque armado contra uma ou várias delas na Europa ou na América do Norte será considerado um ataque a todas, e, consequentemente, concordam em que, se um tal ataque armado se verificar, cada uma, no exercício do direito de legítima defesa, individual ou coletiva, reconhecido pelo artigo 51.° da Carta das Nações Unidas, prestará assistência à Parte ou Partes assim atacadas, praticando sem demora, individualmente e de acordo com as restantes Partes, a ação que considerar necessária, inclusive o emprego da força armada, para restaurar e garantir a segurança na região do Atlântico Norte’.

Recentemente, os líderes determinaram que uma cibercampanha maliciosa pode ter o mesmo impacto que um ataque armado, o que pode ativar o Artigo 5.º dentro da NATO e, assim, ativar o mecanismo defensivo coletivo da NATO. A decisão de definir que um ciberataque pode ser um ataque contra o país foi tomada porque uma campanha de larga escala “podem ter um efeito muito prejudicial na nossa segurança”.

David van Weel no palco do Web Summit (fotografia por Stephen McCarthy/Web Summit via Sportsfile)

No entanto, “há versões mais leves”. Van Weel dá o exemplo dos recentes ciberataques à Albânia, que o governo local atribuiu ao Irão e onde a NATO “coletivamente emitiu uma declaração depois de ter acontecido em suporte ao governo da Albânia”.

A invasão à Ucrânia

É inegável que 2022 fica marcado pela invasão da Rússia a territórios ucranianos. O ciberespaço tem, também, sido utilizado para levar a cabo ciberataques e causar disrupção, tanto de um lado como do outro.

“Muitas pessoas dizem que este é um conflito clássico, com tanques, armas, aviões e mísseis”, diz o Assistant Secretary General da NATO, “mas respondemos que não é; o ciberespaço faz parte desta guerra e fez parte da preparação para esta guerra”.

Van Weel especifica que a Rússia levou a cabo atividades antes de invadir a Ucrânia “para testar as suas defesas, para assustar a população ao ‘hackear’ os sites governamentais. [A tática] tem sido utilizada à medida que atacam a Ucrânia”.

Em conjunto com a invasão terrestre, a NATO vê ataques massivos a infraestruturas críticas e às redes de comunicação que suportam as operações militares. “Vemos o ‘ciber’ a ser utilizado para causar disrupção nas redes de energia e no mundo real, por assim dizer. O ‘ciber’ está a ser utilizado pela Rússia como uma arma integrada na sua ‘toolbox’”, explica.

A defesa está, diz, “a ser um trabalho fantástico” num trabalho conjunto entre o Estado ucraniano e o setor privado para “tentar manter a infraestrutura cibernética ucraniana ‘up and running’ e elogiamo-los por isso”.

A NATO está a ajudar a Ucrânia na sua ciberdefesa desde 2014. “Tivemos programas de treino, ajudámos a preparar os seus centros de cibersegurança. Temos ajudado a aumentar a sua ciber-resiliência e têm feito parte dos nossos exercícios, muito antes da guerra começar”. Ao mesmo tempo, explica van Weel, a NATO está a olhar para o que a Ucrânia está a fazer no ciberespaço para “melhorar a nossa própria resiliência”.

A defesa comum

David van Weel relembra que “a cibersegurança é crucial para tudo o que fazemos” e que “a maioria da nossa vida normal está dependente de cibersegurança”, até porque “pouco vale ter militares se os hospitais foram ‘hackeados’, se os supermercados estão fechados, se os centros de logística não funcionam”.

Isto é, também, o que a Rússia está a tentar fazer diariamente na Ucrânia: parar o país não através do ataque às forças militares, mas sim contra as infraestruturas civis. “Não é diferente no ciberespaço, por isso [as organizações] precisam de estar preparadas”, diz o Assistant Secretary General. As organizações nas mais variadas áreas podem tornar-se “vítimas de ataques direcionados para causar disrupção nas suas operações e é mais fácil pensar antes de acontecer”.

Para as empresas de IT, van Weel afirma que “a Ucrânia nos ensinou que [o setor privado] é crucial para a nossa defesa comum. Vemos o setor privado a ter um papel enorme. Na cibersegurança da Ucrânia – e sinto que não seria diferente se fossemos atacados em Portugal ou em qualquer outro país – iríamos precisar dessa interação com o setor privado para ficarmos seguros. É um esforço comum”, conclui.