PT Jornal Oficial da União Europeia CE 84/766

(2004/C 84 E/0862)

PERGUNTA ESCRITA E-0183/04

apresentada por Charlotte Cederschiöld (PPE-DE) à Comissão

(29 de Janeiro de 2004)

Objecto: Segurança das redes e da informação

A segurança das tecnologias da informação continua a ser um domínio em relação ao qual a Comissão e outros organismos da UE devem continuar a se preocupar por forma a protegerem os seus sistemas internos. Considera a Comissão que os «critérios comuns» proporcionam normas aceites internacionalmente para avaliar a segurança dos produtos TIC? Em caso afirmativo, como pode a Agência Europeia de Segurança das Redes e da Informação utilizar os critérios comuns no momento de adquirir os seus próprios produtos e ao recomendar os organismos da UE e os Estados-Membros na aquisição de produtos?

Resposta comum

às perguntas escritas E-0181/04, E-0182/04 e E-0183/04

dada pelo Comissário Erkki Liikanen em nome da Comissão

(10 de Março de 2004)

No que respeita às normas de segurança das redes e da informação e aos Critérios Comuns em particular, a Comissão participou em todo o processo de elaboração dos Critérios Comuns, desde os primeiros trabalhos com os seus predecessores, os ITSEC, em 1991. A Comissão também trabalhou com os Estados-Membros na definição do acordo de reconhecimento mútuo da norma ISO/IEC 15408 dos Critérios Comuns.

A Agência Europeia para a Segurança das Redes e da Informação (ENISA), também mencionada pela Sr a Deputada enquanto eventual veículo de promoção desta norma na Europa, iniciará as suas funções dentro dos próximos meses. A Comissão participa neste momento na elaboração do programa de trabalho da ENISA. A Comissão pode apontar algumas tarefas da ENISA no domínio da normalização, mas, nesta fase, é-lhe impossível dar respostas definitivas sobre os contornos exactos do próximo programa de trabalho da agência.

Na perspectiva da Comissão, a utilização de normas reconhecidas para a avaliação e a certificação de produtos TIC tem sido uma componente importante da política de segurança das redes e da informação. A Recomendação (95/144/CE) do Conselho de 7 de Abril de 1995 (1) encorajava a utilização dessas normas nas aquisições. Na sua comunicação «Segurança das redes e da informação: Proposta de abordagem de uma política europeia» (2), a Comissão sublinhou a importância da certificação de segurança dos produtos como elemento essencial para incutir confiança nos consumidores. Nesta matéria, a norma dos Critérios Comuns representa um quadro sólido e internacionalmente reconhecido para a certificação da segurança dos produtos. Enquanto tal, é largamente utilizada nas aquisições.

No entanto, tem sido difícil (inclusivamente nos Estados Unidos) despertar o interesse e o empenho do sector comercial (e em particular do sector financeiro) em aceitar a norma ISO/IEC 15408. Esta dificuldade foi sublinhada na Conferência Internacional sobre os Critérios Comuns realizada em Estocolmo, em Setembro de 2003. Para ultrapassar esta situação, a ENISA poderá promover a aceitação de tal norma envolvendo os interessados na segurança das redes na discussão das questões, dos problemas e das oportunidades que a utilização dos Critérios Comuns apresenta.

No que respeita à normalização da segurança das redes e da informação, a Comissão está a avaliar as implicações do recente relatório conjunto CEN-ETSI (3), que aborda as questões da normalização da segurança das redes e da informação pertinentes para as Organizações Europeias de Normalização (ESO). Com base nessa avaliação, serão elaboradas as futuras acções e iniciativas políticas.

A nível técnico, a Comissão atribuiu, no programa IST, a mais alta prioridade ao desenvolvimento de produtos e sistemas seguros, o que certamente contribuirá para melhorar as práticas de desenvolvimento de produtos TIC na Europa. A ENISA poderá complementar esta actividade ajudando os Estados-Membros a elaborar curricula educativos apropriados em matéria de segurança, partilhar experiências e cooperar em campanhas de sensibilização destinadas sobretudo às pequenas e médias empresas (PME).

Atendendo a que as normas dos Critérios Comuns fornecem um quadro para a segurança e a certificação dos produtos, a Comissão considera ser, de momento, uma boa prática a adopção dessa norma nas aquisições em todos os casos em que é necessária uma segurança rigorosa e passível de auditoria. Assim, se a ENISA revelar tais necessidades, será aconselhável tomar como referência, se for o caso, os Critérios Comuns ao adquirir os seus próprios produtos ou aconselhar a Comissão e os governos dos Estados-Membros a utilizarem os Critérios Comuns nas suas aquisições. A Comissão não esquecerá, no entanto, que a segurança certificada tem os seus custos.

Por último, convém salientar que a norma técnica ISO/IEC 15408 não será suficiente para garantir um nível de segurança adequado numa organização. Na verdade, qualquer organização ou empresa deverá igualmente escolher ou aderir a uma norma de segurança da gestão (como a norma ISO/IEC 17799) para constituir e gerir os processos e práticas de segurança necessários.

(1) JO L 93 de 26.4.1995.

(2) COM(2001) 298 final.

(3) ETSI SR 002 298.