PORTULAN/parlamento-pt huggingface dataset:
Sem prejuízo do acima mencionado, e do valioso papel da ENSC, aprovada pela Resolução do Conselho de Ministros n.o 36/2015, de 12 de junho, e do CSSC, importa realizar sistematicamente uma avaliação qualitativa do conjunto de políticas públicas na área da cibersegurança. Neste enquadramento o GNS/CNCS está a criar um Observatório de Cibersegurança que permitirá a recolha, organização, sistematização e divulgação de informação sobre as múltiplas dimensões da segurança do ciberespaço, constituindo-se como um instrumento externo e independente de observação da realidade e assim contribuir, designadamente, para realimentar a ENSC vigente. Concomitantemente, prevê-se que, no futuro e através deste Observatório, o país possa vir a ter um conjunto de dados agregados e sistematizados com uma referenciação temporal, e em consequência ter uma melhor perceção dos desafios que enfrenta, e quais deverão ser as ações prioritárias das políticas públicas de cibersegurança que decorrem da execução da ENSC. Em face do exposto, o GNS/CNCS vem, por este meio, apresentar o presente relatório propondo a sua divulgação por todas as entidades com responsabilidades no âmbito da ENSC para que da análise do mesmo possam ser retiradas conclusões para avaliação da resposta das instituições face à evolução digital da sociedade. Atendendo a que a ENSC foi objeto de revisão ordinária com redefinição dos seus objetivos estratégicos, das linhas de ação e da adequação dos mesmos à evolução das circunstâncias, pretende-se também que da avaliação realizada resulte um contributo útil para a elaboração do plano de ação da nova ENSC e para a respetiva implementação pelas entidades responsáveis. De referir ainda que o presente relatório anual de avaliação da execução da Estratégia Nacional de Segurança do Ciberespaço foi aprovado em reunião do Conselho Superior de Segurança do Ciberespaço que decorreu no dia 29 de março de 2019. Finalmente, cumpre mencionar que o presente relatório anual de avaliação da execução da Estratégia Nacional de Segurança do Ciberespaço deve ser enviado à Assembleia da República até ao dia 31 de março de 2019, nos termos do n.o 2 do artigo 6.o da Lei n.o 46/2018, de 13 de agosto, que estabelece o regime jurídico da segurança do ciberespaço. 5 DE ABRIL DE 2019______________________________________________________________________________________________________________109
RELATÓRIO: ASSUNTO: AVALIAÇÃO DA EXECUÇÃO DA ESTRATÉGIA NACIONAL DE SEGURANÇA DO CIBERESPAÇO. O presente documento visa efetuar uma avaliação da execução da Estratégia Nacional de Segurança do Ciberespaço (ENSC) aprovada pela Resolução do Conselho de Ministros n.o 36/2015, de 12 de junho, reportada a 31 de dezembro de 2018. Para tal o Gabinete Nacional de Segurança / Centro Nacional de Cibersegurança (GNS/CNCS) efetuou uma verificação dos objetivos estratégicos e das linhas de ação e adequação dos mesmos à evolução das circunstâncias tal como previstos na ENSC. Deste modo, pretende-se explanar de forma sistematizada todas as atividades que decorrem explicitamente da ENSC, alinhadas com as medidas que lhes são subjacentes. As medidas e atividades da ENSC são, por natureza, genéricas e de grande amplitude, podendo ser alcançadas de formas distintas. Decorre do exposto que todos os organismos do Estado deverão, de acordo com as suas atribuições, concorrer para a concretização dos objetivos da ENSC, através de atividades que já desenvolvem ou que se poderão propor a desenvolver, de forma isolada ou em cooperação com outras entidades, públicas e/ou privadas. A ENSC enunciou os seguintes objetivos estratégicos: a) Promover uma utilização consciente, livre, segura e eficiente do ciberespaço; b) Proteger os direitos fundamentais, a liberdade de expressão, os dados pessoais e a privacidade dos cidadãos; c) Fortalecer e garantir a segurança do ciberespaço, das infraestruturas críticas e dos serviços vitais nacionais; d) Afirmar o ciberespaço como um domínio de desenvolvimento económico e de inovação. II SÉRIE-E — NÚMERO 17______________________________________________________________________________________________________________110
O estabelecimento dos objetivos estratégicos acima referidos, permitiu definir uma orientação geral e específica, traduzida em seis eixos de intervenção, enformados em medidas concretas e respetivas linhas de ação: Eixo 1 — Estrutura de segurança do ciberespaço; Eixo 2 — Combate ao cibercrime; Eixo 3 — Proteção do ciberespaço e das infraestruturas; Eixo 4 — Educação, sensibilização e prevenção; Eixo 5 — Investigação e desenvolvimento; Eixo 6 — Cooperação. Deste modo, importa verificar cada uma das medidas que compõem a ENSC e efetuar a respetiva avaliação da sua execução bem como propor o que se afigurar pertinente para a respetiva prossecução. Para o efeito foi implementado um quadro resumo por atividade com a seguinte estrutura e indicadores: # Atividade Entidade responsável Prazo de execução Avaliação da execução     Executado.     Em execução.     Por iniciar.     Desconhecido. Considerando a natureza sistemática, complementar e integrada dos eixos de intervenção e das medidas e respetivas linhas de ação em determinadas situações, algumas atividades concorrem para mais do que uma medida, pelo que se optou por referenciar em itálico essa atividade nas várias medidas para a qual contribui, sem que tal resulte numa nova contabilização. 5 DE ABRIL DE 2019______________________________________________________________________________________________________________111
EIXO 1 — ESTRUTURA DE SEGURANÇA DO CIBERESPAÇO: 1) Estabelecer uma coordenação político-estratégica para a segurança e defesa do ciberespaço: # Atividade Entidade responsável Prazo de execução Avaliação da execução 1.1.1 Elaboração de proposta de Resolução do Conselho de Ministros para criação de entidade que assegure a coordenação político-estratégica da segurança do ciberespaço e seja responsável pelo controlo e revisão da ENSC, na dependência direta do Primeiro-Ministro, com representantes de todas as partes interessadas. GNS/CNCS. Até 31 de março de 2017. Executado. 2) Consolidar o papel do CNCS de coordenação operacional e de autoridade nacional em matéria de cibersegurança relativamente às entidades públicas e às infraestruturas críticas: a) Afirmar o exercício de poderes do CNCS, enquanto autoridade nacional competente em matéria de cibersegurança, relativamente às entidades públicas e às infraestruturas críticas nacionais. # Atividade Entidade responsável Prazo de execução Avaliação da execução 1.2.a.1 Elaboração de proposta de Lei de cibersegurança que assegure a transposição da Diretiva (UE) n.o 2016/1148, do Parlamento Europeu e do Conselho, de 6 de julho, relativa a GNS/CNCS. Até 31 de dezembro de 2017. Executado. II SÉRIE-E — NÚMERO 17______________________________________________________________________________________________________________112
medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação (Diretiva SRI). 1.2.a.2 Identificação dos operadores de serviços essenciais, nos termos definidos na Lei n.o 46/2018, de 13 de agosto, que estabelece o regime jurídico da segurança do ciberespaço. GNS/CNCS. Até 09 de novembro de 2018. Executado. 1.2.a.3 Elaboração de proposta de Resolução do Conselho de Ministros para aprovação de uma nova ENSC que dê cumprimento aos requisitos constantes da Diretiva SRI. GNS/CNCS. Até 31 de dezembro de 2018. Executado. b) A coordenação operacional é um fator essencial para o sucesso da execução das medidas previstas nesta estratégia. O CNCS assegura esta coordenação entre as várias partes responsáveis. # Atividade Entidade responsável Prazo de execução Avaliação da execução 1.2.b.1 Estabelecer Protocolos de procedimentos de operação com a Polícia Judiciária (PJ), o Serviço de Informações de Segurança (SIS) e o Centro de Ciberdefesa (CCD). GNS/CNCS. Até 31 de dezembro de 2017. Executado. 5 DE ABRIL DE 2019______________________________________________________________________________________________________________113
1.2.b.2 Reforço dos mecanismos de partilha de informação através de Information Sharing and Analisys Center (ISAC). GNS/CNCS. Até 31 de dezembro de 2018. Executado (atividade a desenvolver de forma contínua). c) A segurança do ciberespaço pressupõe o conhecimento das ameaças e das vulnerabilidades existentes. Este conhecimento é essencial para a realização de análise de risco, com vista a uma melhor aplicação dos meios e recursos disponíveis para o tratamento dos riscos, bem como para a identificação das lacunas a colmatar. # Atividade Entidade responsável Prazo de execução Avaliação da execução 1.2.c.1 Incrementar a capacidade de conhecimento situacional do ciberespaço de interesse, nomeadamente, através do Projeto “PANORAMA”. GNS/CNCS. Até 31 de dezembro de 2018. Em execução. 1.2.c.2 Fase 1 da implementação da solução SIEM para recolha de eventos em todos os servidores e serviços da RInG, bem como da ECCE para deteção e correlação de eventos e comportamentos anómalos, através do Projeto “PANORAMA”. CEGER. Até 31 de dezembro de 2018. Executado. II SÉRIE-E — NÚMERO 17______________________________________________________________________________________________________________114
1.2.d.1 Estabelecer Protocolos de cooperação com entidades da Administração Pública e das infraestruturas críticas para implementação de modelos de maturidade de reação e de deteção. GNS/CNCS. Até 31 de dezembro de 2018. Executado (foram celebrados 59 protocolos). e) Com vista à eficácia operacional e a uma melhor avaliação situacional, devem ser criados mecanismos de reporte de incidentes de cibersegurança para entidades públicas e para os operadores de infraestruturas críticas. A desejada avaliação situacional resulta na criação de condições para a identificação de um nível de alerta nacional em matéria de segurança do ciberespaço, partilhado entre todas as entidades envolvidas. # Atividade Entidade responsável Prazo de execução Avaliação da execução  Ver atividade 1.2.c.1. (Incrementar a capacidade de conhecimento situacional do ciberespaço de interesse, nomeadamente, através do Projeto “PANORAMA”.) f) Em articulação com as autoridades competentes e a comunidade nacional de segurança do ciberespaço, o CNCS deve criar uma base de conhecimento que reúna informação sobre ameaças e vulnerabilidades conhecidas, para servir as entidades públicas e os operadores de infraestruturas críticas. II SÉRIE-E — NÚMERO 17______________________________________________________________________________________________________________116
# Atividade Entidade responsável Prazo de execução Avaliação da execução  Ver atividade 1.2.c.1. (Incrementar a capacidade de conhecimento situacional do ciberespaço de interesse, nomeadamente, através do Projeto “PANORAMA”.) g) O CNCS deve produzir e apresentar um quadro integral e atual dos incidentes, ameaças e vulnerabilidades que pendem sobre o ciberespaço nacional. # Atividade Entidade responsável Prazo de execução Avaliação da execução  Ver atividade 1.2.c.1. (Incrementar a capacidade de conhecimento situacional do ciberespaço de interesse, nomeadamente, através do Projeto “PANORAMA”.) 3) Desenvolver a capacidade de Ciberdefesa: a) Concretizar a Orientação Política para a Ciberdefesa, aprovada pelo Despacho n.o 13692/2013, de 11 de outubro, publicado no Diário da República n.o 208, 2.a série, de 28 de outubro, edificando a estrutura de ciberdefesa nacional. # Atividade Entidade responsável Prazo de execução Avaliação da execução 1.3.a.1 Criar o CCD na estrutura orgânica do EMGFA. EMGFA. Dezembro de 2014. Executado. 5 DE ABRIL DE 2019______________________________________________________________________________________________________________117
1.3.a.2 Incorporar requisitos de gestão de risco nas aquisições a realizar e na cadeia de abastecimento. EMGFA. Junho de 2015. Executado. (Dec. Reg. EMGFA) 1.3.a.3 Reforçar a proteção das redes, a monitorização e análise de padrões de tráfego, deteção precoce de ataques e resposta dos mesmos. EMGFA. Junho de 2016. Executado. 1.3.a.4 Desenvolver um sistema de partilha de informação aos vários níveis e patamares de decisão, procedimentos de alerta imediato. EMGFA. Junho de 2016. Executado. (CCD-CIRCs) 1.3.a.5 Incorporar no Processo de planeamento de Defesa Militar o desenvolvimento da capacidade de ciberdefesa nacional. EMGFA. Fevereiro de 2017. Executado. 1.3.a.6 Participar nos exercícios nacionais e internacionais de ciberdefesa, e manter atualizado o treino de ciberdefesa do pessoal. EMGFA. Não aplicável. Executado. 1.3.a.7 Implementar a capacidade militar para conduzir todo o espetro de operações no ciberespaço (defensivas, de exploração e ofensivas). EMGFA. Até 31 de dezembro de 2018. Em execução. II SÉRIE-E — NÚMERO 17______________________________________________________________________________________________________________118
1.3.a.8 Reforçar a capacidade de recolha e análise de informações no ciberespaço. EMGFA. Até 31 de dezembro de 2018. Em execução. 1.3.a.9 Desenvolver peritos em ameaças cibernéticas e na condução de operações em redes de computadores. EMGFA. Até 31 de dezembro de 2018. Em execução. 1.3.a.10 Adequar a gestão dos recursos humanos de modo a garantir a sua permanência em atividades relacionadas com esta temática por períodos não inferiores a cinco anos. EMGFA. Até 31 de dezembro de 2018, Executado. b) Estabelecer e consolidar uma estrutura de comando e controlo da ciberdefesa nacional, recaindo as atribuições de orientação estratégica -militar da ciberdefesa sobre o Conselho de Chefes de Estado-Maior (CCEM) e o planeamento e resposta imediata e efetiva a uma crise no ciberespaço ao Centro de Ciberdefesa (CCD) e às capacidades dos ramos das Forças Armadas. # Atividade Entidade responsável Prazo de execução Avaliação da execução 1.3.b.1 Estabelecer e consolidar uma estrutura de comando e controlo da ciberdefesa nacional. EMGFA. Junho de 2016. Executado. 1.3.b.2 Edificar uma Infraestrutura permanente de monitorização e análise de tráfego.  EMGFA. Junho de 2016. Executado. (Ao nível da Defesa) 5 DE ABRIL DE 2019______________________________________________________________________________________________________________119
c) Implementar, desenvolver e consolidar a capacidade de ciberdefesa, com vista a assegurar a condução de operações militares no ciberespaço, assegurando a liberdade de ação do país no ciberespaço e, quando necessário e determinado, a exploração proativa do ciberespaço para impedir ou dificultar o seu uso hostil contra o interesse nacional. # Atividade Entidade responsável Prazo de execução Avaliação da execução 1.3.c.1 Conduzir operações militares no ciberespaço. EMGFA. Não aplicável. Em execução. d) Constituir a ciberdefesa uma área onde é necessário promover sinergias e potenciar o emprego dual das suas capacidades, no âmbito das operações militares e da cibersegurança nacional, desenvolvendo e consolidando um sistema de partilha de informação aos vários níveis e patamares de decisão. # Atividade Entidade responsável Prazo de execução Avaliação da execução  Ver atividade 1.2.b.1. (Estabelecer Protocolos de procedimentos de operação com a Polícia Judiciária (PJ), o Serviço de Informações de Segurança (SIS) e o Centro de Ciberdefesa (CCD).) II SÉRIE-E — NÚMERO 17______________________________________________________________________________________________________________120
1.3.d.1 Estabelecer um MOU com entre Portugal e a NATO  para partilha de informação e de boas práticas. EMGFA. Julho de 2016. Executado. 1.3.d.2 Estabelecer Plataformas comuns de Partilha de Informação (MISP). EMGFA. Abril de 2017. Executado. 4) Desenvolver a capacidade nacional de resposta a incidentes: a) O papel das comunidades de Computer Security Incident Response Team (CSIRT) deve ser reforçado como plataforma de excelência para a partilha de boas práticas e de informação relativa a ciberincidentes, para serviços operacionais de resposta a incidentes em Portugal e em território estrangeiro, neste caso, se constituir uma ameaça à soberania nacional. # Atividade Entidade responsável Prazo de execução Avaliação da execução 1.4.a.1 Filiar o “CERT.PT” do CNCS no Forum of Incident Response and Security Teams (FIRST). GNS/CNCS. Até 31 de dezembro de 2017. Executado.  Ver atividade 1.2.b.1. (Estabelecer Protocolos de procedimentos de operação com a Polícia Judiciária (PJ), o Serviço de Informações de Segurança (SIS) e o Centro de Ciberdefesa (CCD).) 5 DE ABRIL DE 2019______________________________________________________________________________________________________________121
1.4.a.2 Reforçar a oferta formativa com um curso para apoio à criação de CSIRT. GNS/CNCS. Até 31 de dezembro de 2018. Executado. 1.4.a.3 Criar e dinamizar ISAC setoriais, em articulação com a atividade 1.2.b.2 (Reforço dos mecanismos de partilha de informação através de Information Sharing and Analisys Center (ISAC).) GNS/CNCS. Até 31 de dezembro de 2018. Em execução. b) Os diversos CSIRT devem usar uma taxonomia comum e mecanismos automáticos para partilha de informação operacional entre si e com as forças e serviços de segurança. # Atividade Entidade responsável Prazo de execução Avaliação da execução 1.4.b.1 Promover a taxonomia da Rede Nacional de CSIRT como a taxonomia oficial nacional, nomeadamente, através da inclusão da referência à taxonomia nacional na proposta de Lei de Cibersegurança. GNS/CNCS. Até 30 de junho de 2017. Executado.  Ver atividade 1.2.b.1. (Estabelecer Protocolos de procedimentos de operação com a Polícia Judiciária (PJ), o Serviço de Informações de Segurança (SIS) e o Centro de Ciberdefesa (CCD).) II SÉRIE-E — NÚMERO 17______________________________________________________________________________________________________________122
5) Estabelecer um gabinete para gestão de crises no ciberespaço: a) A resposta a ciberincidentes de grande impacto requer instrumentos específicos e especializados. É essencial operacionalizar um gabinete de gestão de crises no ciberespaço, que se insira numa abordagem integrada na resposta às ameaças e riscos num efetivo sistema nacional de gestão de crises e que integre atores relevantes neste domínio. # Atividade Entidade responsável Prazo de execução Avaliação da execução 1.5.a.1 Equacionar a eventual criação de um gabinete de gestão de crises no ciberespaço através da inclusão na proposta de Lei de Cibersegurança ou num instrumento específico. GNS/CNCS. Até 30 de junho de 2017. Executado. Foi equacionada a eventual previsão de um gabinete de gestão de crises no ciberespaço na proposta de lei de transposição da Diretiva SRI, no entanto por razões de eficiência e eficácia a gestão de crises deve ser realizada no âmbito de 5 DE ABRIL DE 2019______________________________________________________________________________________________________________123
um gabinete de gestão de crises nacional não específico do ciberespaço. b) Devem ser organizados e realizados exercícios nacionais de gestão de crises no ciberespaço, que permitam avaliar o grau de preparação e a maturidade das diversas entidades para lidar com incidentes de grande dimensão, potenciando as sinergias decorrentes da integração, sempre que possível, com outros exercícios neste âmbito, organizados e conduzidos a nível nacional. # Atividade Entidade responsável Prazo de execução Avaliação da execução 1.5.b.1 Criar exercício nacional de cibersegurança com periodicidade anual. GNS/CNCS. Até 31 de dezembro de 2018. Executado. II SÉRIE-E — NÚMERO 17______________________________________________________________________________________________________________124
6) Definir e implementar processos de governação da segurança do ciberespaço: Deve ser elaborada uma proposta, considerando os vários domínios de atuação, contendo alterações legislativas e regulamentares, bem como mecanismos de autorregulação e de governação para a segurança do ciberespaço nacional. # Atividade Entidade responsável Prazo de execução Avaliação da execução  Ver atividade 1.1.1. (Elaboração de proposta de Resolução do Conselho de Ministros para criação de entidade que assegure a coordenação político-estratégica da segurança do ciberespaço e seja responsável pelo controlo e revisão da ENSC, na dependência direta do Primeiro-Ministro, com representantes de todas as partes interessadas.)  Ver atividade 1.2.a.1. (Elaboração de proposta de Lei de cibersegurança que assegure a transposição da Diretiva (UE) n.o 2016/1148, do Parlamento Europeu e do Conselho, de 6 de julho, relativa a medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação (Diretiva SRI).) 1.6.1 Equacionar a eventual elaboração proposta de alteração do Decreto-Lei n.o 3/2012, de 16 de janeiro, alterado pelo Decreto-Lei n.o 162/2013, de 4 de dezembro e alterado e republicado pelo Decreto-Lei n.o 69/2014, de 9 de maio, que aprovou a orgânica do GNS, estabelecendo os termos do funcionamento do CNCS. GNS/CNCS. Até 30 de junho de 2017. Executado. 5 DE ABRIL DE 2019______________________________________________________________________________________________________________125
EIXO 2 — COMBATE AO CIBERCRIME: 1) Revisão e atualização da legislação: As entidades competentes devem adotar as medidas necessárias para a elaboração e operacionalização de legislação com vista à criminalização dos novos tipos de delitos — contra ou tirando proveito do ciberespaço —, e intensificando a cooperação judicial nacional e internacional. No mesmo sentido, a legislação de suporte à investigação criminal deve ser objeto de constante atualização, tendo em vista uma eficaz aplicação no ciberespaço. # Atividade Entidade responsável Prazo de execução Avaliação da execução 2.1.1 As entidades competentes devem adotar as medidas necessárias para a elaboração e operacionalização de legislação com vista à criminalização dos novos tipos de delitos — contra ou tirando proveito do ciberespaço —, e intensificando a cooperação judicial nacional e internacional. No mesmo sentido, a legislação de suporte à investigação criminal deve ser objeto de constante atualização, tendo em vista uma eficaz aplicação no ciberespaço. Ministério da Justiça / MP. Até 31 de dezembro de 2018 Por iniciar. II SÉRIE-E — NÚMERO 17______________________________________________________________________________________________________________126
2) Agilizar as capacidades da Polícia Judiciária: A Polícia Judiciária deve robustecer as suas estruturas e as suas capacidades técnicas e humanas para o combate ao cibercrime, assim como devem ser reforçadas as competências técnicas e forenses para conduzir investigações no ciberespaço. # Atividade Entidade responsável Prazo de execução Avaliação da execução 2.2.1 Implementação de uma unidade operacional especializada de combate ao cibercrime na Polícia Judiciária (Ver Decreto-Lei n.o 81/2016, de 28 de novembro, que criou na estrutura orgânica da PJ a Unidade Nacional de Combate ao Cibercrime e à Criminalidade Tecnológica - UNC3T). Ministério da Justiça / PJ. Até 31 de dezembro de 2017. Executado. 5 DE ABRIL DE 2019______________________________________________________________________________________________________________127
EIXO 3 — PROTEÇÃO DO CIBERESPAÇO E DAS INFRAESTRUTURAS: 1) Avaliar a maturidade e a capacidade das entidades públicas e privadas que administrem infraestruturas críticas ou serviços vitais de informação, no que respeita à segurança do ciberespaço; # Atividade Entidade responsável Prazo de execução Avaliação da execução 3.1.1 Implementação dos modelos de maturidade de reação. GNS/CNCS. Até 31 de dezembro de 2018. Executado. 3.1.2 Implementação de instrumento de visualização da avaliação das entidades, nomeadamente, através de um “diagrama radar” com base em eixos e métricas previamente definidas, em articulação com a atividade 1.2.c.1 (Incrementar a capacidade de conhecimento situacional do ciberespaço de interesse, nomeadamente, através do Projeto “PANORAMA”.) GNS/CNCS. Até 31 de dezembro de 2018. Em execução. II SÉRIE-E — NÚMERO 17______________________________________________________________________________________________________________128
2) Promover a adaptação e melhoria contínua da segurança dos sistemas de informação das entidades públicas, dos operadores das infraestruturas críticas e dos serviços vitais de informação, para assegurar uma maior resiliência (capacidade de sobrevivência) nacional, adaptando-os aos novos riscos e ameaças do ciberespaço; # Atividade Entidade responsável Prazo de execução Avaliação da execução  Ver atividade 1.2.b.2 (Reforço dos mecanismos de partilha de informação através de Information Sharing and Analisys Center (ISAC).) GNS/CNCS.    Ver atividade 3.1.1 (Implementação dos modelos de maturidade de reação e de deteção.) GNS/CNCS.   3) Analisar o ambiente de informação, para tentar antecipar eventuais ataques e tomar as decisões apropriadas, acompanhando os últimos desenvolvimentos tecnológicos e analisando e antecipando ameaças; # Atividade Entidade responsável Prazo de execução Avaliação da execução  Ver atividade 1.2.c.1 (Incrementar a capacidade de conhecimento situacional do ciberespaço de interesse, nomeadamente, através do Projeto “PANORAMA”.) 3.3.1 Implementação do modelo de maturidade de deteção. GNS/CNCS. Até 31 de dezembro de 2018. Em execução. 5 DE ABRIL DE 2019______________________________________________________________________________________________________________129
4) Desenvolver a capacidade de deteção de ataques aos sistemas de informação, especialmente os das entidades públicas e as infraestruturas críticas nacionais, a qual deve permitir alertar as entidades competentes, ajudar a entender a natureza dos ataques e criar as necessárias contramedidas; # Atividade Entidade responsável Prazo de execução Avaliação da execução  Ver atividade 3.3.2. (Implementação do modelo de maturidade de deteção.) 5) Promover a aplicação, por parte das entidades públicas, das medidas necessárias à continuidade das operações, de modo a responder às principais crises que afetem ou ameacem a segurança dos sistemas de informação ou os operadores de infraestruturas críticas; # Atividade Entidade responsável Prazo de execução Avaliação da execução 3.5.1 Desenvolver e implementar “framework nacional de cibersegurança”, em articulação com a atividade 3.1.1 (Implementação dos modelos de maturidade de reação e de deteção.) e com a atividade 1.1.1. (Elaboração de proposta de Resolução do Conselho de Ministros para criação de entidade que assegure a coordenação político-estratégica da segurança do ciberespaço e seja responsável pelo controlo e revisão da ENSC, na dependência direta do Primeiro-Ministro, com representantes de todas as partes interessadas.) GNS/CNCS. Até 31 de dezembro de 2018. Em execução (atividade executada no âmbito de programa de financiamento da UE – CEF TELECOM). II SÉRIE-E — NÚMERO 17______________________________________________________________________________________________________________130
6) Incluir medidas de segurança do ciberespaço nos planos de proteção de infraestruturas críticas nacionais, seguindo uma abordagem baseada na gestão de risco; # Atividade Entidade responsável Prazo de execução Avaliação da execução 3.6.1 Desenvolver metodologia nacional para a gestão do risco, em articulação com a atividade 3.5.1 (Desenvolver e implementar “framework nacional de cibersegurança”.). GNS/CNCS. Até 31 de dezembro de 2018. Em execução (atividade executada no âmbito de programa de financiamento da UE – CEF TELECOM). 7) Incluir medidas para fazer face a ameaças no ciberespaço nos planos de segurança dos operadores de infraestruturas críticas nacionais e europeias; # Atividade Entidade responsável Prazo de execução Avaliação da execução 3.7.1 Incluir medidas para fazer face a ameaças no ciberespaço nos planos de segurança das IC nacionais e europeias. SSI. Até 31 de dezembro de 2018. Executado. 3.7.2 Desenvolver referenciais de cibersegurança em cooperação com a Autoridade Nacional de Proteção Civil (ANPC) e com o Sistema de Segurança Interna (SSI). GNS/CNCS com ANPC e SSI. Até 31 de dezembro de 2018. Em execução. 5 DE ABRIL DE 2019______________________________________________________________________________________________________________131
8) Promover a utilização de normas de segurança da informação nas infraestruturas e sistemas de informação e de comunicação das entidades públicas. A adoção de normas e boas práticas de segurança do ciberespaço funcionam, simultaneamente, como mecanismo de harmonização e de interoperabilidade e como instrumento de medida por referência; # Atividade Entidade responsável Prazo de execução Avaliação da execução  Ver atividade 3.5.1., em articulação com a atividade 1.2.a.1. (Elaboração de proposta de Lei de cibersegurança que assegure a transposição da Diretiva (UE) n.o 2016/1148, do Parlamento Europeu e do Conselho, de 6 de julho, relativa a medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação (Diretiva SRI).) 9) Promover uma política de segurança da informação para as entidades públicas e criar instâncias que garantam a segurança da informação em todas essas entidades que acedam a informação sensível, a dados pessoais ou prestem serviços em linha considerados críticos, devendo a identificação das medidas de aplicação da política de segurança seguir uma abordagem de gestão de risco, de acordo com as melhores práticas internacionais; # Atividade Entidade responsável Prazo de execução Avaliação da execução  Ver atividade 3.5.1, em articulação com a atividade 1.2.a.1. (Elaboração de proposta de Lei de cibersegurança que assegure a transposição II SÉRIE-E — NÚMERO 17______________________________________________________________________________________________________________132
da Diretiva (UE) n.o 2016/1148, do Parlamento Europeu e do Conselho, de 6 de julho, relativa a medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação (Diretiva SRI).) 10) Reforçar as capacidades de prevenção, deteção e reação a incidentes de segurança do ciberespaço. Os operadores de infraestruturas críticas têm o dever de reportar falhas e interferências de segurança do ciberespaço nos seus sistemas. Por outro lado, deve ser estabelecido, em cada um destes operadores, um conjunto de meios técnicos e humanos mínimos dedicados à função de segurança do ciberespaço. Estes meios devem funcionar em rede dentro e fora do setor de atividade; # Atividade Entidade responsável Prazo de execução Avaliação da execução  Ver atividade 1.2.a.1 (Elaboração de proposta de Lei de cibersegurança que assegure a transposição da Diretiva (UE) n.o 2016/1148, do Parlamento Europeu e do Conselho, de 6 de julho, relativa a medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação (Diretiva SRI).)  Ver atividade 1.2.d.2 (Estabelecer Protocolos de cooperação com entidades da Administração Pública e das infraestruturas críticas para implementação de modelos de maturidade de reação e de deteção.) 5 DE ABRIL DE 2019______________________________________________________________________________________________________________133
11) Avaliar e desenvolver os quadros regulamentares setoriais; # Atividade Entidade responsável Prazo de execução Avaliação da execução  Ver atividade 1.2.a.1 (Elaboração de proposta de Lei de cibersegurança que assegure a transposição da Diretiva (UE) n.o 2016/1148, do Parlamento Europeu e do Conselho, de 6 de julho, relativa a medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação (Diretiva SRI). 12) Adaptar a legislação nacional, de forma a incorporar a evolução tecnológica e as novas práticas; # Atividade Entidade responsável Prazo de execução Avaliação da execução 3.12.1 A lei que assegura a transposição da Diretiva (UE) n.o 2016/1148, do Parlamento Europeu e do Conselho, de 6 de julho, relativa a medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação (Diretiva SRI) salvaguarda que a legislação nacional deve ser neutra do ponto de vista tecnológico não exigindo GNS/CNCS. Até 31 de dezembro de 2018. Executado. II SÉRIE-E — NÚMERO 17______________________________________________________________________________________________________________134
EIXO 4 — EDUCAÇÃO, SENSIBILIZAÇÃO E PREVENÇÃO: O sucesso da segurança do ciberespaço passa pela promoção de uma cultura de segurança que proporcione a todos o conhecimento, a consciência e a confiança necessários para a utilização dos sistemas de informação, reduzindo a exposição aos riscos do ciberespaço. É fundamental informar, sensibilizar e consciencializar não só as entidades públicas e as infraestruturas críticas, mas também as empresas e a sociedade civil. Por outro lado, é fundamental que o país se dote de recursos humanos qualificados para lidar com os complexos desafios da segurança do ciberespaço. No âmbito da educação, sensibilização e capacitação devem ser adotadas as seguintes medidas: 1) Promover campanhas de informação e alerta, tendo como alvos principais os cidadãos e as empresas. # Atividade Entidade responsável Prazo de execução Avaliação da execução 4.1.1 Comemoração do Dia da Internet Mais Segura - Campanha Nacional SeguraNet dirigida às escolas durante o mês de fevereiro: lançamento de website de apoio onde as escolas georreferenciam as suas atividades; são enviados recursos e materiais de sensibilização para as comunidades educativas (Centro de Sensibilização SeguraNet). DGE. Até 31 de dezembro de 2018. Executado. 4.1.2 Sessões de sensibilização de cidadania digital nas escolas com a colaboração dos dez Centros de Competência TIC, embaixadores DGE e embaixadores SeguraNet das Regiões Autónomas da DGE. Até 31 de dezembro de 2018. Executado. II SÉRIE-E — NÚMERO 17______________________________________________________________________________________________________________136
Madeira e dos Açores (Centro de Sensibilização SeguraNet). 4.1.3 Participação no Dia da Defesa Nacional: sessão sobre segurança digital, compreendendo diversas temáticas, tais como: a proteção de dados, o cyberbullying, o copyright, a pegada digital, a reputação online, não ao discurso do ódio, a linha de apoio - Linha Internet Segura e a linha de denúncia de conteúdos ilegais (apologia ao racismo, apologia à violência e abuso sexual de crianças) - Linha Alerta, entre outras (Centro de Sensibilização SeguraNet). DGE. Até 31 de dezembro de 2018. Executado. 4.1.4 Concurso Desafios SeguraNet: atividades sobre a temática da cidadania digital destinadas a professores, pais e alunos (Projeto SeguraNet). DGE. Até 31 de dezembro de 2018. Executado. 4.1.5 Líderes Digitais: sessões de sensibilização para a cibersegurança dinamizadas por jovens junto da respetiva Comunidade Educativa (Centro de Sensibilização SeguraNet). • Atividades e ações de sensibilização de cidadania digital DGE. Até 31 de dezembro de 2018. Executado. 5 DE ABRIL DE 2019______________________________________________________________________________________________________________137
dinamizadas por jovens junto da respetiva comunidade educativa. • Sessões síncronas dirigidas a crianças, jovens e professores com a equipa SeguraNet e jovens especialistas. • Encontros Regionais entre Escolas da iniciativa. • Representação em encontros nacionais, europeus e internacionais de jovens Líderes Digitais. 4.1.6 Formação de professores: Plano Nacional de Prevenção e Combate ao Bullying e Ciberbullying (Desenvolvimento do Plano Nacional "Não à Violência" com a colaboração de diversas Direções-Gerais de Educação). DGE. Até 31 de dezembro de 2018. Em execução. 4.1.7 Formação de professores: - MOOC - Segurança Digital. DGE. Até 31 de dezembro de 2018. Em execução. 4.1.8 Iniciativas previstas no Grant Agreement - 2015-PT-IA-0010, assinado com a Comissão Europeia, nomeadamente descriminadas nas atividades: Consórcio do Projeto Centro Internet Segura. Coordenação: FCT. Até 31 de dezembro de 2018. Executado. II SÉRIE-E — NÚMERO 17______________________________________________________________________________________________________________138
Atividade 6 – Campanhas de Informação e Ações de Sensibilização sobre os Tópicos Emergentes para os Grupos-Alvo do Projeto: Ações de Formação para a Proteção Civil de Lisboa, PSP e GNR; Trabalho colaborativo com os Centros de Competência TIC; Campanha de Comunicação Nacional; Campanha do Dia da Defesa Nacional; Nova Edição dos MOOC Seguranet; Campanha “Movimento Contra o Discurso de Ódio”; Assegurar a Participação Online do Projeto; Desenvolvimento de Campanhas associadas ao Naveg@s; Estratégia de Comunicação através da abordagem por Figuras Públicas; Organização e Desenvolvimento do Dia da Internet mais Segura; Eventos na Comunidade Educativa sobre Cidadania Digital; Formação de Professores; Conceção e Desenvolvimento da Peça de Teatro “ID 2.0 – A tua Marca na Net”. Atividade 7 – Operacionalização de uma linha de esclarecimento – Linha Internet Segura, com o objetivo de prestar apoio telefónico ou online, de forma anónima e confidencial, a crianças, jovens, pais e professores e 5 DE ABRIL DE 2019______________________________________________________________________________________________________________139
público em geral, relativo a questões de uso consciente e seguro das TIC, mais especificamente da Internet; Campanha “Número Gratuito da Linha Internet Segura”. Atividade 8 – Operacionalização de uma linha de denúncia de conteúdos Ilegais – Linha Alerta, com o objetivo bloquear conteúdos ilegais na Internet (Material com Conteúdos de Abuso e Exploração Sexual de Menores (SCAM), apologia da violência e apologia do racismo) e na perseguição e acusação criminal de quem publica este tipo de conteúdos. Campanha “Número Gratuito da Linha Alerta”. 2) Sensibilizar os operadores públicos e privados para a natureza crítica da segurança informática; # Atividade Entidade responsável Prazo de execução Avaliação da execução 4.2.1 Projeto SeguraNet: centro de sensibilização para as questões da segurança da internet nas comunidades educativas portuguesas, parte da rede de Centros Internet Segura europeia - a rede Insafe. DGE. Até 31 de dezembro de 2018. Executado. II SÉRIE-E — NÚMERO 17______________________________________________________________________________________________________________140
4.2.2 Iniciativa Selo de Segurança Digital - eSafety Label - para promoção e certificação de práticas de segurança digital.  • Promoção e certificação de escolas no que concerne às práticas de segurança digital. • Cerca de 400 escolas/Agrupamentos certificadas com selo de ouro, prata e bronze. DGE. Até 31 de dezembro de 2018. Executado. 4.2.3 Desenvolvimento de diversos recursos educativos digitais para promoção da Cidadania Digital nas Escolas ( Centro de Sensibilização SeguraNet). DGE. Até 31 de dezembro de 2018. Executado. 4.2.4 Recursos áudio para a rádio Zig Zag. DGE/FCT. Até 31 de dezembro de 2018. Executado. 4.2.5 Estórias e atividades (website e aplicação) dirigidos à educação Pré-escolar. DGE. Até 31 de dezembro de 2018. Executado. 4.2.6 Animação, tiras de banda desenhada e flyers e cartazes de sensibilização. DGE. Até 31 de dezembro de 2018. Executado. 4.2.7 Flyers sobre as notícias falsas, cartazes de sensibilização dirigidos ao 1.o ciclo e cartazes de sensibilização dirigidos ao 2.o DGE. Até 31 de dezembro de 2018. Executado. 5 DE ABRIL DE 2019______________________________________________________________________________________________________________141
ciclo que foram enviados para todas as escolas públicas. 4.2.8 Coleção de três livros dirigidos à educação pré-escolar enviados para todos os jardins de infância públicos. DGE. Até 31 de dezembro de 2018. Executado. 4.2.9 Desenvolvimento de jogos educativos dirigidos ao 1.o, 2.o e 3.o ciclos. DGE. Até 31 de dezembro de 2018. Em execução. 3) Promover uma cultura de segurança do ciberespaço, através da promoção de campanhas e iniciativas de sensibilização para a segurança do ciberespaço coordenadas e desenvolvidas dentro de uma abordagem comum e positiva, que chame a atenção para os perigos e as ameaças da Internet e, em simultâneo, aponte soluções e medidas para os mitigar. Neste contexto, devem ser criados instrumentos e reforçadas as medidas de sensibilização da sociedade civil para a temática do uso seguro e responsável das TIC; # Atividade Entidade responsável Prazo de execução Avaliação da execução 4.3.1 Realizar conferência internacional de cibersegurança – “C-Days”, com periodicidade anual. GNS/CNCS. Não aplicável. Executado. 4.3.2 Iniciativas previstas no Grant Agreement - 2015-PT-IA-0010, assinado com a Comissão Europeia, nomeadamente descriminadas nas atividades: Consórcio do Projeto Centro Internet Segura. Coordenação: FCT. Até 31 de dezembro de 2018. Executado. II SÉRIE-E — NÚMERO 17______________________________________________________________________________________________________________142
Atividade 5 – Desenvolvimento e Produção de instrumentos, metodologias e recursos de sensibilização: Aplicação “Conteúdo Online Positivo”; Animações de Cartoons; Webinars DGE; Álbum Digital; Recursos digitais e offline para a Comunidade Educativa; Programa de Voluntariado da FPT; Programa de Voluntariado da Microsoft; Programa de Voluntariado Naveg@s; Tradução de Recursos Insafe para a Comunidade Educativa; Competição “Desafios SeguraNet”; Tiras de BD Seguranet; Campanha de Pacotes de Açúcar SeguraNet; Adaptação e Tradução dos Manuais “Bookmarks” e “We can!” do Conselho da Europa. 4.3.3 Estratégia Nacional de Educação para os média e Plano Nacional de leitura que reúne diversas iniciativas, com diversos parceiros, que promovem a Educação para os média. DGE/Redes das Bibliotecas Escolares. Até 31 de dezembro de 2018. Em execução. 5 DE ABRIL DE 2019______________________________________________________________________________________________________________143
4.3.4 Campanha de Pacotes de Açúcar SeguraNet. DGE. Até 31 de dezembro de 2018. Executado. 4.3.5 Tradução dos recursos Enable, da responsabilidade da European School Net sobre a prevenção e combate ao bullying e ao cyberbullying. DGE. Até 31 de dezembro de 2018. Executado. 4.3.6 Produção de webinares com especialistas, no âmbito da iniciativa Webinares DGE. DGE. Até 31 de dezembro de 2018. Executado. 4) Reforçar a oferta de formação em segurança do ciberespaço. Reforçar a educação e formação de forma ampla e alargada, com o objetivo de, na estrutura curricular do ensino básico, secundário e superior, se criarem competências e conhecimentos para uma utilização segura das TIC; # Atividade Entidade responsável Prazo de execução Avaliação da execução 4.4.1 Realizar “Curso Geral de Cibersegurança”, com periodicidade semestral. GNS/CNCS. Não aplicável. Executado. 4.4.2 Desenvolver conteúdos de cibersegurança para inclusão em plataforma de e-learning. GNS/CNCS. Até 31 de dezembro de 2018. Executado. II SÉRIE-E — NÚMERO 17______________________________________________________________________________________________________________144
4.4.3 Iniciativas previstas no Grant Agreement - 2015-PT-IA-0010, assinado com a Comissão Europeia, nomeadamente descriminadas nas atividades:  Atividade 5 - participação no desenvolvimento do programa curricular das TIC do 7o e 8o ano do ensino básico; produção de webinares com recurso a especialistas em segurança digital dirigidos a professores e pais;  Atividade 6 - participar em iniciativas referentes ao Projeto “Iniciação de Programação no 1.o Ciclo do Ensino Básico”, lançado pela Direção-Geral de Educação. Consórcio do Projeto Centro Internet Segura Coordenação: FCT. Execução: DGE. Até 31 de dezembro de 2018. Executado. 4.4.4 Integração curricular das TIC  (Centro de Sensibilização SeguraNet) - Integração das orientações curriculares TIC para o primeiro ciclo e das aprendizagens essenciais na escolaridade obrigatória. DGE. Até 31 de dezembro de 2018. Executado. 4.4.5 Implementação dos domínios da Estratégia Nacional de Educação para a Cidadania – Media, Segurança, DGE. Até 31 de dezembro de 2018. Executado. 5 DE ABRIL DE 2019______________________________________________________________________________________________________________145
Defesa e Paz, Saúde, Sexualidade e Direitos Humanos. 4.4.6 Campanha Cibersegurança nas Escolas (Centro de Sensibilização SeguraNet) - Campanha Nacional SeguraNet dirigida às escolas durante o mês de outubro com o apoio do Centro Nacional de Cibersegurança: lançamento de website de apoio onde as escolas georreferenciam as suas atividades; são enviados recursos e materiais de sensibilização para as comunidades educativas. . DGE. Até 31 de dezembro de 2018. Executado. 4.4.7 Participação em iniciativas referentes ao projeto de programação e robótica “Probótica”, ao projeto eTwinning e ao projeto Ambientes Inovadores de Aprendizagem. DGE. Até 31 de dezembro de 2018. Executado. II SÉRIE-E — NÚMERO 17______________________________________________________________________________________________________________146
5) Promover a utilização segura das TIC e do ciberespaço, dando particular importância à capacitação e conhecimento obtidos por adolescentes e pessoas idosas e outros grupos de risco; # Atividade Entidade responsável Prazo de execução Avaliação da execução 4.5.1 Realizar ações de sensibilização em parceria com o Instituto do Emprego e Formação Profissional (IEFP). GNS/CNCS e IEFP. Até 31 de dezembro de 2017. Executado. 4.5.2 Iniciativas previstas no Grant Agreement - 2015-PT-IA-0010, assinado com a Comissão Europeia, nomeadamente descriminadas nas atividades: Atividade 4 – Plataforma e Participação Jovem: Implementação do Painel de Jovens/Iniciativa Líderes Digitais; Planeamento e Execução das Atividades da Campanha do Movimento “Contra o Discurso de Ódio” por Jovens ativistas; Promoção do Projeto CIS junto das Associações Juvenis; Participação Jovem em Eventos Europeus; Programa de Voluntariado Jovem; Consórcio do Projeto Centro Internet Segura Coordenação: FCT. Até 31 de dezembro de 2018. Executado. 5 DE ABRIL DE 2019______________________________________________________________________________________________________________147