Segurança Cibernética¶

Organização dos Estados Americanos (OEA / OAS)¶

Segundo conta Carolina Rossini, vice-presidente e coordenadora de política internacional da organização de acesso à informação Public Knowledge, o fortalecimento da segurança cibernética de seus países-membro é uma das prioridades da OEA:

Em resposta ao aumento das ameaças cibernéticas identificadas, a Organização dos Estados Americanos (OEA), através do Comitê Interamericano Contra o Terrorismo (CICTE), vem desenvolvendo um programa regional de segurança cibernética que busca fortalecer a segurança e melhorar a proteção da infraestrutura de informação crítica em todo o continente.

Assim, desde o começo da década da passada, a OEA investe na segurança cibernética por meio de uma série de atividades em parceria com especialistas, empresas e governos da região. Em 2004, a OEA publicou a “Declaração sobre o Fortalecimento da Segurança Cibernética nas Américas”, pedra fundamental para o desenvolvimento e a publicação do relatório “Estratégia Interamericana Integral para Combater as Ameaças à Segurança Cibernética”, em 2012.

A declaração de 2004 significou o reconhecimento por parte dos Estados Membros da OEA de que combater os crimes cibernéticos e fortalecer a resiliência cibernética eram questões imperativas para o desenvolvimento econômico e social, a governança democrática, a segurança nacional e dos cidadãos. [ROSSINI-OEA-2015]

Além de publicar relatórios sobre a situação da segurança cibernética no continente americano e guias de boas práticas, a OEA também articula atividades e eventos em parceira com organizações de segurança para promover a cultura de segurança e melhorar estruturas de resposta a incidentes.

O governo brasileiro, através do Gabinete de Segurança Institucional, dialoga com a OEA na área digital, participando inclusive de eventos estratégicos, como é relatado no Livro Verde: Segurança Cibernética no Brasil:

Uma iniciativa que vale frisar é a adoção, pela OEA, desde 2004, de uma “Estratégia Interamericana Integral para Combater as Ameaças à Segurança Cibernética”, visando a criação de uma cultura de segurança cibernética para lutar contra as ameaças aos cidadãos, à economia e aos serviços essenciais, que não possam ser enfrentadas por um único governo ou combatidas por meio de uma disciplina ou prática solitária. No ano de 2009, o “Workshop Hemisférico Conjunto da OEA sobre o Desenvolvimento de uma Estrutura Nacional para Segurança Cibernética” foi realizado de 16 a 20/Nov/2009, contando na organização, além do Governo brasileiro, anfitrião, por intermédio do GSIPR, da OEA representada pelos seguintes fóruns: Comitê Interamericano contra o Terrorismo Cibernético (CICTE), Comissão Interamericana de Telecomunicações (CITEL), e, Reunião de Ministros da Justiça ou Procuradores Gerais das Américas (REMJA), o que fortaleceu o papel do Brasil como um dos protagonistas no tema; [BRASIL-VERDE-2010]

Um dos últimos relatórios sobre segurança cibernética publicados pela OEA em parceria com o Banco Interamericano de Desenvolvimento (BID / IDB) é o “Cybersecurity: Are We Ready in Latin America and the Caribbean?”. Em um prefácio, o secretário geral da OEA, Luis Almagro, conta sobre o programa de segurança cibernética da OEA se origina de seu comitê antiterrorismo (tradução nossa):

O Programa de Segurança Cibernética [Cybersecurity Program] da Comitê Interamericano contra o Terrorismo (CICTE).teve um papel chave nesta frente. O programa ajudou os Estados Membros a desenvolver Estratégias Nacionais de Segurança Cibernética, providenciou treinamento para a Equipes de Resposta a Incidentes de Segurança de Computadores [Computer Security Incident Response Teams] (CSIRT), facilitou exercícios de gestão de crise com operadores da indústria nacional crítica e setores de resposta de emergência, se engajou com a sociedade civil e o setor privado, e ajudou a trazer visibilidade à ameaças relacionadas à segurança da informação e oportunidades dentro da nossa região. Dessas e outras maneiras, o CICTE tem diretamente contribuído para um domínio cibernético mais seguro e vigilante no Caribe e na América Latina. [OEAeBID-CIBERSEGLATAM-2016]

Perfil da segurança cibernética do Brasil em ampla análise da América latina e do Caribe feita pela OEA e o BID, a partir de contribuições do governo (ABIN, DSIC, CTIR-GOV, GSI/PR) e da sociedade civil (CTS/FGV, CGI.br, ITSRio) [OEAeBID-CIBERSEGLATAM-2016] (páginas 60 e 61).

A Public Knowledge, no módulo Ciberseguridad y Derechos Humanos de seu curso Internet Libre y Abierto da P2PU, analisa a atuação da OEA na seção “segurança cibernética e relações internacionais” (tradução nossa):

Em 2004, os Estados Membros da OEA adotaram de forna unânime a Estratégia Interamericana Integral para Combater as Ameaças à Segurança Cibernética; como a maioria das estratégias sobre segurança cibernética, ela tem o foco principal no crime e on terrorismo cibernético, deixando de lado outros aspectos da segurança cibernética. O espírito da resolução revela uma tendência progressiva na América Latina para a aplicação não só da doutrina da justiça penal e da segurança pública, mas também da doutrina militar, nas estratégias de segurança cibernética, e assim destaca a Análise de referência de processos e eventos relativos às TIC: Implicências para a segurança internacional e regional.

A OEA vem dialogando com a sociedade civil em seus relatórios, eventos e treinamentos. No relatório Cybersecurity citado acima, há uma expert contribution escrita por pesquisadores(as) do Centro de Tecnologia e Sociedade da Fundação Getúlio Vargas (CTS/FGV): Cybersecurity, Privacy and Trust: Trends in Latin America and the Caribbean (“Segurança Cibernética, Privacidade e Confiança: Tendências na América Latina e no Caribe”).

Na contribuição, Marília Maciel, Nathalia Foditsch, Luca Belli e Nicolas Castellon aponta algumas características do campo na região: conscientização da importância de estratégias de segurança cibernética; o exército e agências de segurança nacional não foram amplamente estabelecidas como coordenadores das políticas; há alguma colaboração multissetorial notável pela presença e colaboração entre CSIRT’s (equipes de resposta a incidentes); muitos países vêm alterando leis de forma precipitada para o combate ao crime cibernético; há um aumento substancial na preocupação com a privacidade e a proteção dos dados pessoais – que, segundo o documento, é incompatível com a retenção de dados em massa [OEAeBID-CIBERSEGLATAM-2016].

Para o caminho à frente no campo da segurança cibernética, o grupo recomenda (traduções nossa):

• Definir e fazer valer marcos regulatórios coerentes de privacidade e proteção de dados: “é essencial balancear a provisão de segurança com a necessidade de proteger aprorpiadamente os direitos dos indivíduos. [...] Também é necessário balancear os custos e benefícios da existência de provisões de retenção de dados.”
• Criar plataformas nacionais multissetorial sustentáveis: “grupos da sociedade civil, as comunidades acadêmicas e técnicas, e representantes da indústria são capazes de prover expertise valiosos através de suas perspectivas, e ajudar a criar marcos regulatórios coerentes de uma maneira sustentável.”
• Fortalecer a cooperação internacional: “é importante criar canais para cooperação em vários níveis entre governos nacionais e organizações regionais ou globais trabalhando na área. [...] a natureza da Internet de não ter fronteiras aumenta a importância da cooperação internacional e da harmonização de dispositivos legais.”

Organização para Cooperação e Desenvolvimento Econônico (OECD / OCDE)¶

A OECD, fundada em 1961 para estimular o progresso econômico e o comércio global. Entre diversos tópicos como educação, ciência e tecnologia, agricultura e relações públicas, a organização também aborda a segurança digital.

Através de um processo multissetorial iniciado em 2012 pelo Working Party on Security and Privacy in the Digital Economy (“grupo de trabalho em segurança e privacidade na economia digital”), a OECD publicou o documento Recommendation on Digital Security Risk Management (“recomendações sobre gestão de riscos de segurança”), onde delineia os caminhos que os Estados devem trilhar para proteger suas infraestruturas e processos críticos de ataques digitais em harmonia com direitos fundamentais, em torno de 8 princípios (traduções nossas):

• Percepção, habilidades e empoderamento (awareness, skills and empowerment)
• Responsabilidade e prestação de contas (responsibility)
• Direitos humanos e valores fundamentais (human rights and fundamental values)
• Cooperação (co-operation)
• Reconhecimento de riscos e ciclos de tratamento (risk assessment and treatment cycle)
• Medidas de segurança (security measures)
• Inovação (innovation)
• Prestatividade e continuidade (preparedness and continuity) [OECD-RISK-2015]

A OECD prefere tratar o tema através do conceito de riscos de segurança digital, em vez da segurança cibernética, por sua maior clareza e por trazer a segurança de um tema meramente técnico para o econômico e social (tradução nossa):

Em vez de ser tratado como um problema técnico que pede soluções técnicas, o risco digital deve ser abordado como um risco econômico; ele deve então ser uma parte integral dos processos gerais de gestão de risco e tomada de decisão de uma organização. A noção de que riscos de segurança digital merecem uma resposta fundamentalmente diferente em sua natureza das outras categorias de riscos precisa ser combatida. Para este efeito, o termo “segurança cibernética” e de forma mais geral o prefixo “ciber” que ajudaram a transmitir este senso errôneo de especificidade não aparecem nas Recomendações de 2015.

Embora as recomendações não tenham efeito legal vinculante (“non-legally binding”), o peso da OECD como organização é claro. Os atos da organizção “na prática possuem grande força moral, pois representam a vontade política dos países membros”, segundo o documento anexo às Recomendações:

É importante destacar que as Recomendações, e de modo mais geral o trabalho da OECD na área [de segurança digital], é parte de um diálogo internacional envolvendo várias organizações, com fluxos complementares de trabalho refletindo seus mandatos. Por exemplo, o Conselho da Europa endereçou questões relacionadas ao crime cibernético (por exemplo, na Convenção de Budapeste sobre o Crime Cibernético); a Interpol facilita a cooperação operacional entre agentes da lei; as Nações Unidas e a Organização para Segurança e Cooperação na Europa (OSCE) discute o comportamento dos Estados no meio digital e medidas de construção de confiança para preservar a estabilidade nacional; padrões técnicos estão sendo desenvolvidos em uma variedade de ambientes como a International Organization for Standardization (ISO), a Internet Engineering Task force (IETF), a World Wide Web Consortium (W3C), a Organization for the Advancement of Structured Information Standards (OASIS), etc. Organizações regionais como a Asia-Pacific Economic Cooperation (APEC) também desepenham um papel-chave para estimular a implementação das melhores práticas e orientações. [OECD-RISK-2015]

Embora o Brasil não seja um país membro da OECD, em 2007 seu Conselho Ministerial estabeleceu um acordo de “engajamento aprimorado”, como um esforço originado em 2003 pelo Embaixador do Japão para a OECD Seiichiro Noboru para alargar a cooperação com países não-membros. Além do Brasil, também firmaram o acordo a China, Índia, Indonésia e África do Sul, selecionadas através de quatro critérios: “afinidade de pensamento” (like-mindedness), “ator relevante” (significant player), “benefício mútuo” (mutual benefit) e “considerações globais” (global considerations). [OECD-ENGAGEMENT-2015].

O Brasil assinou em 2014 um “tratado multilateral de autoridade competente” estabelecido em reuniões da OECD para combater a sonegação de impostos. O tratado prevê o compartilhamento de dados financeiros sobre impostos com os outros países participantes; o Brasil começará a incluir os seus a partir de 2018.

Mas talvez seja no campo da segurança cibernética que se dá a maior participação do Brasil na OECD.

Já em 2010, na publicação do Livro Verde: Segurança Cibernética no Brasil pelo GSI/PR, as recomendações da OECD (na prática, uma versão anterior da supracitada [OECD-RISK-2015]) eram citadas como ponto de partida para compreender as “competências essenciais da segurança cibernética”.

No mesmo documento, a participação do Brasil em um evento da OECD é citado como exemplo do Brasil sendo “um dos protagonistas em iniciativas e fóruns internacionais” e de sua “competência articuladora, de gestão e técnica” no tema:

A participação de representante do Brasil, do GSIPR, na categoria de observador ad hoc no “Working Party on Information Security and Privacy - WPISP”, e do “Comittee for Information, Computer and Communications - ICCP”, promovidos pela “Organização para Cooperação e Desenvolvimento Econômico - OCDE”, realizados em Paris/França, em 2009 e 2010, também merece destaque. Por ocasião da reunião de 2010, o Brasil apresentou proposta de realização de “Estudo comparativo das estratégias nacionais de segurança cibernética”; a qual foi plenamente aceita e, para tanto, foi criado Grupo com presença de países voluntários para tal finalidade. O Grupo é presidido pelo representante de Portugal na OCDE, e conta com a participação dos seguintes países: Portugal, EUA, Coréia, Austrália, Japão, Espanha, e Brasil. [BRASIL-VERDE-2010]

A sociedade civil brasileira também tem se aproximado da OECD no que tange políticas de segurança cibernética e gestão de riscos de segurança digital. Na organização, o diálogo com a sociedade civil se dá através do CSISAC, Civil Society Information Society Advisory Council, criado a partir de uma declaração feita na Conferência Ministerial sobre o Futuro da Economia da Internet, ocorrida em Seoul, Coréia do Sul, em junho de 2008.

Além do pedido de criação de um conselho da sociedade civil, a Declaração de Seoul também chama a atenção dos(as) Ministros(as) para diversos temas, trazendo recomendações específicas para cada um (tradução nossa):

• Liberdade de expressão
• Proteção da privacidade e transparência
• Proteção do(a) consumidor(a)
• Emprego, trabalho digno e habilidades
• Promoção do acesso ao conhecimento
• Governança da Internet
• Promoção de padrões abertos e neutralidade da rede
• Políticas de direitos autorais balanceadas
• Apoio a mídias pluralísticas
• Sociedade digital inclusiva
• Diversidade cultural [OECD-SEOUL-2008]

Em junho deste ano, a OECD realizará seu encontro Ministerial anual, reunindo os ministros da economia de todos os países membro. Com o foco principal na Economia Digital, o Ministerial será dividido em quatro tópicos, sendo um deles a Confiança na Economia Digital, com um painel intitulado Gerindo o Risco Digital (a OECD prefere esse termo à “segurança cibernética”, como já explicado). O Brasil será representado, através do CSISAC, por organizações sem fins lucrativos como a ARTIGO 19, Coding Rights, InternetLab, Instituto Beta para Internet e a Democracia e CTS/FGV, que constam como Grupos de Referência do CSISAC Forum, um encontro realizado junto com o Ministerial que reunirá a sociedade civil organizada para deliberar a atuação do CSISAC no evento principal.

International Telecommunication Union (ITU / UIT)¶

A União Internacional das Telecomunicações, sediada em Genebra, Suíça, possui a missão de orientar o crescimento e desenvolvimento sustentável das telecomunicações e redes de informação, e possui 192 Estados-membros, incluindo o Brasil.

Como vimos, a organização conduziu um estudo sobre segurança cibernética entre 2005 e 2008, materializado em sua Recommendation ITU-T X.1205, “Visão geral da segurança cibernética”, onde definem o conceito e analisam estratégias de proteção e técnicas de ataque. [ITU-CIBERSEG-2008]

A UIT também aborda o campo através de sua Global Cybersecurity Agenda (tradução nossa):

Lançada em 2007 pelo então Secretário-Geral da UIT, Dr. Hamadoun I. Touré (2007 - 2014), a ITU Global Cybersecurity Agenda (GCA) é um sistema para cooperação internacional destinado a aumentar a confiança e a segurança na sociedade da informação. A GCA foi projetada para a cooperação e a eficiência, encorajando a colaboração com e entre todos os parceiros relevantes e com base em iniciativas existentes para evitar a duplicação de esforços. [ITU-GCA]

Ilustração dos cinco pilares estratégicos, ou áreas de trabalho (work areas) da Global Cybersecurity Agenda: medidas legais, medidas técnicas e procedurais, estruturas organizacionais, capacitação e cooperação internacional.