Brasil não tem plano B na crise de cibersegurança

Se alguém tinha dúvidas de que a inocência em cibersegurança acabou, os últimos dias deixaram isso claro. Várias infraestruturas críticas do Brasil foram atacadas ou paralisadas por falhas: o Porto de Santos com sistemas fora do ar, vazamento de dados na Caixa Econômica Federal, ataques ao Tesouro Nacional e Petrobras, tentativas de derrubar o Gov.br, além de paralisia do Poder Judiciário por causa da queda dos serviços da Microsoft.

Enquanto tudo isso acontecia, a paralisação dos vôos nos EUA acabou servindo para desviar a atenção do fato de que o problema não está lá fora, mas aqui e agora no Brasil.

O caso do Porto de Santos é emblemático. Os sistemas caíram dia 6 de novembro uma semana depois ainda operavam de forma reduzida. Nesse período, navios e acessos terrestres precisaram seguir com procedimentos manuais. Há relatos de pedidos de resgate e de que o ataque teria sido iniciado no exterior.

A crise atual é agravada pelo fato de que a inteligência artificial acelerou a descoberta de vulnerabilidades. Com isso, barateou e automatizou ataques, que se multiplicaram. Por exemplo, um ataque revelado em novembro e feito com IA afetou ao menos 40 instituições financeiras e órgãos no país, conforme mapeado pela empresa de cibersegurança brasileira ZenoX.

Nesse contexto, estamos despreparados para lidar com esse "novo normal". O Brasil não tem uma lei específica de cibersegurança, ao contrário de vários outros países que já fizeram seu dever de casa nessa área como a Alemanha, Canadá, Chile, China, Gana, Japão, Senegal e Vietnã.

Temos alguns anteprojetos e um projeto de lei em cibersegurança em tramitação. O problema é que todos foram redigidos antes da onda atual da IA e são incompletos, ineficazes ou obsoletos, especialmente quando comparados às leis mais recentes de outros países. A lei inglesa, que está em discussão e acaba de ser aprovada em primeira votação, chama-se "Lei de Cibersegurança e Resiliência".

Vale enfatizar a palavra "resiliência". Cibersegurança hoje significa não depender de nenhum fornecedor digital único. Centralização é um dos principais riscos sistêmicos atuais. É preciso ter sempre um plano B (e até C e D). A França e a Alemanha, por exemplo, estão trocando serviços digitais de fornecedores únicos por alternativas em código aberto e assumindo o controle da operação dos seus sistemas.

Além disso, a lei inglesa quer regular especialmente as empresas que geram dependência. Se uma empresa fornece serviços a órgãos públicos ou a setores da economia críticos que dependem deles, a empresa passa a ter obrigações e responsabilidades muito maiores, sujeitando-se a um regime severo de continuidade e multas.

É angustiante ver que órgãos como o KE-Cirt do Quênia ou iniciativas como o Yata-Shield do Japão conseguem articular governo, sociedade e setor privado melhor do que o Brasil (que tem o Cert-Br, que é ótimo, mas insuficiente). Considerando o quanto nossos sistemas digitais são vulneráveis, especialmente no setor público, cibersegurança precisa figurar no topo das prioridades no país.

Já era – "Vibe" só como gíria

Já é – Vibe coding

Já vem – Vibe manufacturing