PT Jornal Oficial da União Europeia C 255/98

Parecer do Comité Económico e Social Europeu sobre a «Comunicação da Comissão ao Parlamento Europeu, ao Conselho, ao Comité Económico e Social Europeu e ao Comité das Regiões relativa à protecção das infra-estruturas críticas da informação – “Proteger a Europa contra os ciberataques e as perturbações em grande escala: melhorar a preparação, a segurança e a resiliência”»

[COM(2009) 149 final]

(2010/C 255/18)

Relator: Thomas McDONOGH

Em 30 de Março de 2009, a Comissão Europeia decidiu, nos termos do artigo 262.o do Tratado que institui a Comunidade Europeia, consultar o Comité Económico e Social Europeu sobre a

Comunicação da Comissão ao Parlamento Europeu, ao Conselho, ao Comité Económico e Social Europeu e ao Comité das Regiões relativa à protecção das infra-estruturas críticas da informação – «Proteger a Europa contra os ciberataques e as perturbações em grande escala: melhorar a preparação, a segurança e a resiliência»

COM(2009) 149 final.

Foi incumbida da preparação dos correspondentes trabalhos a Secção Especializada de Transportes, Energia, Infra-estruturas e Sociedade da Informação, que emitiu parecer em 12 de Novembro de 2009, sendo relator Thomas McDonogh.

Na 458.a reunião plenária de 16 e 17 de Dezembro de 2009 (sessão de 16 de Dezembro), o Comité Económico e Social Europeu adoptou, por 179 votos a favor e 4 abstenções, o seguinte parecer:

1. Conclusões e recomendações

1.1 O Comité saúda a comunicação da Comissão sobre o plano de acção para a protecção das infra-estruturas críticas da informação (ICI) na Europa. O CESE partilha a preocupação da Comissão quanto à vulnerabilidade da Europa a ciberataques em grande escala, a falhas técnicas, a ataques humanos e catástrofes naturais, bem como quanto aos danos avultados que isso pode acarretar para a economia e o bem-estar dos cidadãos. Concorda com a Comissão quanto à necessidade urgente de acções que aumentem a coordenação e cooperação na UE para lidar com este problema fulcral e reconhece, também, a necessidade de estabelecer rapidamente um quadro político abrangente para a protecção das ICI.

1.2 O Comité toma nota das conclusões da conferência ministerial da UE sobre a protecção das ICI e manifesta-se alarmado com o facto de a Europa estar mal preparada para lidar com ciberataques ou perturbações às ICI em grande escala, já que as iniciativas de protecção das ICI empreendidas pelos vários Estados-Membros são frequentemente desiguais e apresentam falhas de coordenação. Compreende-se que a evolução da Internet e a ausência de sistemas abrangentes dedicados à segurança e resiliência das infra-estruturas de informação tenha dado origem à grave situação em que nos encontramos. No entanto, agora que se reconhece a necessidade de agir, o Comité insta a Comissão a tomar medidas decisivas e céleres para fazer face ao problema.

1.3 O Comité apoia o plano de acção de alto nível, assente em cinco pilares, delineado na comunicação e aplaude o trabalho da Comissão. É extremamente difícil definir uma abordagem integrada, multilateral e a vários níveis para melhorar a segurança e resiliência das ICI, especialmente dado o conjunto muito desarticulado de intervenientes e a grande complexidade das infra-estruturas de informação europeias. O CESE reconhece também o papel da ENISA no que toca a apoiar e contribuir para a realização dos objectivos da comunicação em apreço.

1.4 O Comité assinala que os intervenientes não tomaram iniciativas suficientes para aplicar a Resolução do Conselho n.o 2007/C 68/01 no que diz respeito à segurança e resiliência das ICI (1). A dificuldade em desenvolver políticas eficazes para proteger as mais importantes infra-estruturas europeias de informação facilita a tarefa às pessoas interessadas em atacar as ICI por motivos políticos ou financeiros. Por isso, o Comité gostaria que a Comissão assumisse mais peremptoriamente o forte papel de liderança necessário para unir todos os intervenientes e pôr em prática medidas eficazes que protejam a Europa de potenciais ameaças às suas infra-estruturas críticas da informação. Mais, acredita que o plano de acção apresentado na comunicação só realizará os objectivos propostos se houver uma autoridade reguladora adequada que se responsabilize pela sua aplicação.

1.5 O CESE chama a atenção da Comissão para pareceres seus anteriores que comentaram a necessidade de se conseguir uma sociedade da informação segura e que manifestaram preocupações quanto à segurança da Internet e à protecção das infra-estruturas críticas.

2. Recomendações

2.1 A União Europeia deve atribuir a uma autoridade reguladora adequada, incluindo membros da Agência Europeia dos Direitos Fundamentais, a responsabilidade pela aplicação efectiva de medidas de protecção das infra-estruturas críticas da informação de toda a UE.

2.2 Todos os Estados-Membros devem desenvolver uma estratégia nacional, uma política e quadro regulamentar sólidos, processos nacionais integrados de gestão de riscos e medidas e mecanismos de preparação adequados. Assim sendo, todos os Estados-Membros devem formar uma equipa de resposta a emergências informáticas (CERT) e associá-la ao grupo das CERT governamentais europeias (CGE) (2).

2.3 A Comissão deve agilizar os trabalhos para a instituição de uma parceria público-privada destinada à resiliência (PPPER) e integrar esta parceria nos trabalhos da Agência Europeia para a Segurança das Redes e da Informação (ENISA) e do grupo das CERT governamentais europeias (CGE).

2.4 Todos os níveis da política para a protecção das ICI devem guiar-se pelas práticas de gestão de riscos. Importa especialmente quantificar e comunicar aos agentes responsáveis relevantes o potencial custo de falhas na segurança e na resiliência das infra-estruturas.

2.5 Devem também ser impostas sanções financeiras de outra natureza aos agentes que não cumpram as responsabilidades que lhes cabem ao abrigo da política de protecção das ICI, devendo essas sanções ser proporcionais aos riscos e prejuízos decorrentes das falhas do sistema que tenham ocorrido por sua negligência.

2.6 A responsabilidade pela segurança e resiliência das ICI deve recair maioritariamente sobre os agentes de maior relevo, – os governos e os fornecedores de infra-estruturas e de tecnologia – que não devem poder furtar-se às suas responsabilidade através da transferência de obrigações para consumidores empresariais ou privados.

A segurança e a resiliência devem obrigatoriamente fazer parte da concepção de todos os sistemas de tecnologias da informação e das comunicações (TIC) a implantar na UE. Assim, incitamos os agentes privados implicados na protecção das ICI a trabalharem constantemente para melhorar certas questões relacionadas com a resiliência – por exemplo, a gestão das redes e dos riscos e a continuidade operacional.

2.7.1 A definição de normas e de boas práticas e o zelo pelo seu cumprimento devem constituir uma parte fundamental de qualquer política destinada a prevenir falhas, a definir medidas de resposta às situações de emergência e a recuperar as ICI.

2.7.2 Deve dar-se prioridade à implantação das tecnologias do IPv6 (o mais recente Protocolo Internet) e dos Domain Name System Security Extensions (DNSSEC – uma série de melhorias à segurança do Sistema de Nomes de Domínio) na Internet de toda a UE, já que estas novas tecnologias aumentariam a segurança da Internet.

2.8 O Comité encoraja os intervenientes públicos e privados a trabalhar regularmente em conjunto para testar a sua preparação e as suas medidas de resposta através de exercícios de emergência. Apoia também sem reservas a sugestão da Comissão de organizar até 2010 o primeiro exercício para toda a Europa.

2.9 Importa fomentar na Europa um sector forte de segurança da informação, equiparável à competência do sector nos Estados Unidos, que é muito bem financiado. Assim, deve aumentar-se significativamente o investimento em I&D para as questões da protecção das ICI.

2.10 Deve aumentar-se também o financiamento a programas de sensibilização e de desenvolvimento de competências e de conhecimentos no domínio da cibersegurança.

2.11 Devem ser estabelecidas agências de informação e apoio em todos os Estados-Membros, para ajudar as PME e os cidadãos a compreender e a cumprir as responsabilidades que lhes são imputadas ao abrigo da política de protecção das ICI.

2.12 A bem da segurança, a UE deve firmar a sua posição sobre o futuro do governo da Internet (3), que necessita de uma abordagem mais multilateral que respeite as prioridades nacionais dos EUA sem deixar de reflectir os interesses da União Europeia. A União Europeia deveria alicerçar a sua acção numa reflexão aprofundada acerca das interacções entre segurança cibernética e respeito pelas liberdades públicas e privadas.

3. Contexto

Ameaça de ciberataques em grande escala a infra-estruturas críticas da informação

3.1.1 As infra-estruturas críticas da informação abrangem as tecnologias da informação e das comunicações (TIC) que fornecem a informação e as plataformas de comunicação subjacentes à provisão de bens e serviços essenciais, incluindo funções sociais vitais como o fornecimento de energia e de água, os transportes e os serviços bancários, de saúde e de emergência.

3.1.2 As ICI caracterizam-se por uma elevada complexidade no que diz respeito à integração de sistemas, à interdependência com outras infra-estruturas (por exemplo, as da energia) e à interconectividade de redes transfronteiriças. Por isso, estas infra-estruturas complexas estão expostas a numerosos riscos, que podem dar origem a falhas sistémicas catastróficas, capazes de afectar serviços sociais fundamentais em vários Estados-Membros. Os riscos decorrem de erros humanos, falhas técnicas, ataques humanos (designadamente ataques com motivações criminosas e políticas) e catástrofes naturais. O estudo dos riscos evidencia as falhas destes sistemas e, ao mesmo tempo, revela como é possível controlá-los através de práticas, intencionais ou não, atentatórias das liberdades públicas e privadas. A Comissão tem a seu cargo velar pelo respeito dos direitos fundamentais na elaboração do direito comunitário.

3.1.3 Os governos e os fornecedores de serviços essenciais não divulgam falhas de segurança e de resiliência a não ser que a isso sejam obrigados. Apesar disso, temos assistido a inúmeros exemplos notórios de ameaças a infra-estruturas críticas, decorrentes de falhas na segurança e resiliência das ICI:

— em 2007 e 2008, ocorreram ciberataques em grande escala na Estónia, Lituânia e Geórgia;

— em 2008, rupturas em cabos submarinos transcontinentais situados no Mediterrâneo e no Golfo Pérsico afectaram o tráfego na Internet em vários países;

— em Abril de 2009, agentes responsáveis pela segurança nacional dos EUA advertiram para o facto de «ciberespiões» se terem infiltrado na rede eléctrica americana, deixando atrás de si programas de software que poderiam causar perturbações no sistema.

— Em Julho, os EUA e a Coreia do Sul tiveram de lidar com um notório ataque de recusa de serviço que envolveu entre 100 000 e 200 000 PC «zombie» e que afectou várias páginas Internet governamentais.

3.1.4 Este problema é largamente exacerbado pelas intenções maliciosas de bandos criminosos e pela utilização da ciberguerra para fins políticos.

— Tirando partido das fragilidades dos sistemas operativos dos computadores pessoais ligados à Internet, os bandos criminosos criaram botnets – computadores pessoais ligados em rede por malware (programas malignos) de forma a constituir um único computador virtual (como os «zombies» ou os «drones») comandado por criminosos. Estes botnets são utilizados para uma série de actividades criminosas, bem como para servir de base a ciberataques de grande escala levados a cabo por terroristas e por governos envolvidos na ciberguerra, que «alugam» a utilização dos botnets a criminosos. Crê-se que um destes botnets, denominado «Conficker» tem mais de cinco milhões de PC à sua disposição.

3.1.5 O custo económico de uma falha das ICI pode ser extremamente elevado. O Fórum Económico Mundial calculou que a probabilidade de ocorrer uma ruptura importante nas ICI nos próximos 10 anos é de 10 a 20 %, com um potencial custo global de 250 mil milhões de dólares americanos e de milhares de vidas.

A questão da prontidão de resposta, segurança e resiliência

3.2.1 A Internet é a principal plataforma de apoio de muitas das ICI europeias. A arquitectura da Internet baseia-se numa interconexão de milhões de computadores, estando o processamento, as comunicações e o controlo distribuídos globalmente. Esta arquitectura disseminada no espaço é essencial para manter a Internet estável e resiliente, com uma rápida capacidade de recuperação do fluxo de tráfego sempre que surja um problema. No entanto, significa também que qualquer desordeiro motivado e detentor de conhecimentos básicos pode lançar ciberataques em grande escala a partir das margens da rede, usando botnets, por exemplo.

3.2.2 As redes globais de comunicações e as ICI baseiam-se num elevado nível de interconectividade transfronteiriça. Assim, se a rede de um país for pouco segura e resiliente, isso pode afectar negativamente a segurança e a resiliência das ICI em todos os outros países aos quais esse país está interligado. Esta interdependência internacional coloca sobre a UE o ónus de estabelecer uma política integrada para gerir a segurança e resiliência das ICI em toda a União.

3.2.3 A maior parte dos intervenientes em vários Estados-Membros está pouco informada e sensibilizada para os riscos das ICI. Muito poucos países têm uma política abrangente para gerir esses riscos.

3.2.4 As reformas propostas para o quadro regulamentar das redes e serviços de comunicações electrónicas reforçarão as obrigações dos operadores de assegurarem a adopção de medidas adequadas para identificar os riscos, assegurar a continuidade dos serviços e notificar os casos de violação da segurança (4).

3.2.5 A grande maioria das tecnologias de apoio às plataformas das ICI é fornecida pelo sector privado, pelo que são necessários elevados níveis de competência, confiança, transparência e comunicação entre todos os envolvidos – governos, empresas e consumidores – para se conseguir uma cooperação adequada que assegure a devida protecção das ICI.

3.2.6 É essencial uma abordagem multilateral, internacional e a vários níveis.

3.3 Plano de acção assente em cinco pilares

A Comissão propõe um plano de acção assente em cinco pilares para enfrentar estes desafios:

1. Preparação e prevenção: assegurar a preparação a todos os níveis;

2. Detecção e resposta: criar mecanismos adequados de alerta rápido;

3. Mitigação e recuperação: reforçar os mecanismos de defesa das ICI na UE;

4. Cooperação internacional: promover internacionalmente as prioridades da UE;

5. Critérios para o sector das TIC: apoiar a aplicação da directiva relativa à identificação e designação das infra-estruturas críticas europeias (5).

Cada um destes pilares dedica-se a desafios específicos, fixando datas para a realização dos objectivos que, nalguns casos, vão até ao fim de 2011.

4. Observações

4.1 Será muito difícil desenvolver e aplicar uma estratégia eficaz para a protecção das ICI através da abordagem delineada na comunicação, que requer muitas consultas e depende do voluntarismo e da cooperação dos intervenientes. Dada a gravidade e urgência do desafio, o Comité recomenda que a Comissão examine as políticas levadas a cabo no Reino Unido e nos Estados Unidos da América, que delegam numa autoridade reguladora adequada responsabilidade e poder.

4.2 O Comité concorda com a solicitação da Resolução 58/199 da Assembleia Geral da ONU a favor da criação de uma cultura mundial de cibersegurança e da protecção das infra-estruturas críticas da informação. Uma vez que a segurança e resiliência das ICI assenta na interdependência entre países («uma corrente é tão forte quanto o seu elo mais fraco»), é alarmante que apenas 9 Estados-Membros tenham, até ao momento, criado equipas de resposta a emergências informáticas (CERT) e aderido ao grupo das CERT governamentais europeias (CGE). Urge dar maior prioridade na agenda intergovernamental à formação destas equipas.

4.3 Todos os cidadãos cuja vida possa depender da prestação de serviços essenciais são parte interessada na cibersegurança da UE. Eles têm portanto a responsabilidade de proteger, da melhor forma possível, a sua ligação à Internet contra ataques. Mais responsáveis ainda são os fornecedores de tecnologia e de serviços das TIC que veiculam as ICI. É vital que todos os intervenientes estejam devidamente informados acerca da cibersegurança. É igualmente importante que a Europa disponha de um vasto grupo de peritos com competências na área da segurança e da resiliência das TIC.

4.4 O Comité recomenda que todos os Estados-Membros tenham um organismo encarregado de informar, educar e apoiar o sector das PME nas questões da cibersegurança. As empresas de grande dimensão podem facilmente adquirir os conhecimentos de que necessitam, mas as PME precisam de apoio.

4.5 Uma vez que as ICI são fornecidas maioritariamente pelo sector privado, é importante fomentar níveis elevados de confiança e de cooperação com todas as empresas responsáveis por estas infra-estruturas críticas da informação. A iniciativa da PPPER lançada pela Comissão em Junho é louvável e deve ser encorajada. No entanto, o Comité considera que ela deve ser apoiada por legislação que torne obrigatória a cooperação dos intervenientes que não participem de forma responsável.

4.6 A disciplina da gestão de riscos existe para ajudar a resolver o tipo de problemas focados no presente documento. A Comissão deve insistir para que se sigam, sempre que necessário, as melhores práticas em matéria de gestão de riscos, no âmbito do seu plano de acção. É particularmente meritória a prática de quantificar os riscos e os custos de uma falha a todos os níveis das ICI. Se se conhecer a probabilidade e custo provável de uma falha, será mais fácil motivar os interessados a agir, para além de que será mais fácil também responsabilizá-los financeiramente por incumprimento das obrigações que lhes incumbem.

4.7 As partes envolvidas de maior relevo tendem a tentar limitar a sua responsabilidade, aproveitando o seu poder de mercado para forçar os clientes ou fornecedores a aceitar condições que isentam a grande empresa das suas devidas responsabilidades, através, por exemplo, de acordos de licenciamento de software ou de conexão com fornecedores de serviços de Internet que limitam a responsabilidade da empresa em questões de segurança. Estes acordos deverão ser considerados ilegais e a responsabilidade deve ser imputada ao principal agente.

4.8 A segurança e resiliência podem, e devem, fazer parte da concepção de todas as redes de TIC. É prioritário estudar a topologia das arquitecturas de rede existentes nos Estados-Membros e globalmente na UE, de forma a identificar concentrações inaceitáveis de tráfego de comunicações e pontos que representam um risco elevado de avarias na rede. Em particular, a elevada concentração, nalguns Estados-Membros, de tráfego de Internet num número muito limitado de nós de interconexão de Internet (Internet Exchange Points – IXP) representa um risco inaceitável.

4.9 O Comité chama também a atenção da Comissão para os comentários que teceu a propósito do documento COM(2008) 313 final, Fazer Progredir a Internet – Plano de acção para a implantação da versão 6 do Protocolo Internet (IPv6) na Europa (6), que destacavam as vantagens, em termos de segurança, da adopção do IPv6 para a Internet de toda a UE. Recomenda-se ainda a instalação, sempre que possível, das tecnologias DNSSEC para aumentar a segurança da Internet.

4.10 Ao lançar a sua política para a segurança no ciberespaço, o Governo dos EUA atribuiu à cibersegurança 40 mil milhões de dólares do seu orçamento para 2009 e 2010. Trata-se de uma enorme injecção de fundos no sector da segurança, que levará muitas empresas dedicadas à segurança das tecnologias da informação, incluindo empresas europeias, a concentrar os seus esforços nos Estados Unidos. Para além disso, estimulará as empresas de segurança americanas a assumir a liderança mundial. É altamente recomendável que a Europa desenvolva também um sector de vanguarda, ao nível das empresas americanas, e que o sector da segurança dedique atenção e esforço suficientes às necessidades infra-estruturais europeias. O Comité solicita, portanto, à Comissão que pondere formas de contrabalançar o enorme estímulo financeiro dado pelos Estados Unidos.

4.11 O Comité apoia a recente Comunicação da Comissão sobre o «Governo da Internet: as próximas etapas» (3) e crê que a UE deve exercer uma influência mais directa nas políticas e práticas da ICANN (Sociedade Internet para os Nomes e Números Atribuídos) e da IANA (Internet Assigned Numbers Authority [Autoridade Internet para os Números Atribuídos]), para além de que a actual vigilância unilateral levada a cabo pelos EUA deve ser substituída por acordos que estabeleçam uma responsabilidade multilateral e internacional.

Bruxelas, 16 de Dezembro de 2009 O Presidente do Comité Económico e Social Europeu Mario SEPI

(1) COM(2006) 251.

(2) http://www.egc-group.org.

(3) COM(2009) 277 final.

(4) Artigos 13.o-A e 13.o-B do COM(2007) 697 (final) referentes às propostas de alteração da Directiva 2002/21/CE.

(5) Directiva 2008/114/CE do Conselho.

(6) JO C 175 de 28.7.2009, p. 92.