Não é preciso roubar um único dado para provocar uma crise. Imagine que a energia começa a falhar, as telecomunicações são afetadas, hospitais deixam de conseguir aceder à informação de que precisam, os pagamentos enfrentam perturbações e os serviços de emergência tentam perceber até onde chega o problema. E, quando chega o momento de recuperar, descobre-se que sistemas que deveriam ser redundantes dependem afinal da mesma infraestrutura ou do mesmo fornecedor.

É neste cenário que Sérgio Silva, especialista em cibersegurança, Inteligência Artificial e segurança quântica, coloca à prova a preparação de Portugal para um grande ciberataque. E, numa avaliação assumidamente pessoal, dá ao país seis valores numa escala de zero a dez.

“Temos bons profissionais e organizações com capacidade, mas a preparação é desigual”, explica à ‘Executive Digest’.

O problema, avisa, pode não estar apenas na tecnologia. Pode estar nas pessoas que nunca foram preparadas para reconhecer uma ameaça, nos responsáveis que não conseguem avaliar aquilo que estão a comprar, nos fornecedores que prometem mais do que conseguem entregar ou nos planos de contingência que existem — mas nunca foram verdadeiramente postos à prova.

E é precisamente aí que surge uma das advertências mais fortes do especialista: “Um backup que nunca foi restaurado é uma promessa, e numa crise precisamos de um serviço a funcionar, não de uma promessa muito bem guardada numa pasta.”

Portugal merece seis em dez. Porque não mais?

Sérgio Silva faz desde logo uma ressalva. A classificação não resulta de uma auditoria à preparação nacional e, por isso, seria “pouco sério fingir uma precisão que não temos”. Mas o seis permite identificar aquilo que considera estar a impedir Portugal de subir vários degraus.

“Temos bons profissionais e organizações com capacidade, mas a preparação é desigual, e o que mais me impede de dar uma nota superior é a falta de uma aposta consistente na educação das pessoas para estas matérias, desde os cidadãos até a quem dirige empresas e organismos públicos.”

O problema chega também ao momento em que uma organização decide comprar proteção.

“Há organizações que compram cibersegurança sem terem capacidade para avaliar os fornecedores, perceber o que estão realmente a contratar ou verificar se o serviço foi bem executado.”

E há, para o especialista, uma contradição de base: pede-se às pessoas que identifiquem perigos que ninguém lhes ensinou verdadeiramente a reconhecer.

“Continuamos a esperar que as pessoas reconheçam riscos para os quais muitas vezes nunca foram preparadas, como se a capacidade de identificar uma fraude viesse incluída na compra do telemóvel.”

O plano existe. Mas funciona quando tudo começa a correr mal?

É provavelmente nos primeiros minutos de uma crise que se descobre a distância entre aquilo que estava previsto e aquilo que uma organização consegue realmente fazer.

Quem tem autoridade para desligar um sistema? Que serviços devem ser recuperados primeiro? Como se contactam as equipas se o email deixou de funcionar? E aquelas cópias de segurança que foram religiosamente feitas conseguem efetivamente devolver a operação?

“É relativamente fácil escrever que existe um plano de contingência, o difícil é executá-lo sob pressão, com informação incompleta e pessoas que podem nunca ter treinado aquele cenário.”

É também nesse momento, acrescenta Sérgio Silva, que se percebe se a capacidade prometida por quem foi contratado existe realmente “ou se essa capacidade existia sobretudo na proposta comercial”.

Por isso, mais do que a existência de planos, interessa-lhe a capacidade de recuperação que possa ser demonstrada através de exercícios e testes com resultados medidos.

“Um backup que nunca foi restaurado é uma promessa.”

“Um email a dizer ‘tenham cuidado’ não chega”

Quando lhe perguntamos qual considera ser o elo mais fraco da cibersegurança portuguesa, Sérgio Silva regressa às pessoas.

Não para as responsabilizar pelos ataques, mas para questionar a forma como são preparadas para enfrentá-los.

“Uma apresentação por ano e um email a dizer ‘tenham cuidado’ não chegam, tal como ninguém aprende a conduzir por assistir a um PowerPoint, mesmo que no fim receba um certificado bastante bonito.”

A formação, defende, deveria começar na escola e acompanhar a vida profissional. Reconhecer uma tentativa de manipulação, proteger uma conta ou saber o que fazer quando alguma coisa corre mal não deveriam ser conhecimentos reservados a especialistas.

E a responsabilidade não termina no trabalhador que carrega num link.

“Isto aplica-se também a quem dirige organizações, aprova orçamentos e escolhe fornecedores, porque a educação em cibersegurança não pode terminar na pessoa que recebe um email suspeito.”

A imagem que utiliza resume o problema: “Podemos estar a construir uma fortaleza com portas laterais abertas, mas a resposta não pode ser culpar quem abriu a porta, tem de passar por preparar essa pessoa e por criar sistemas que limitem as consequências de um erro.”

“Ter ‘cyber’ no nome e um hacker de capuz no site não é garantia de qualidade”

Mas Sérgio Silva também aponta o dedo ao próprio mercado da cibersegurança.

“Vemos empresas de cibersegurança a aparecer como cogumelos, enquanto muitos compradores não têm critérios para distinguir competência de uma boa apresentação comercial.”

E deixa uma frase particularmente mordaz: “Ter ‘cyber’ no nome e um hacker de capuz no site não é propriamente uma garantia de qualidade.”

Isso não significa, ressalva, que uma empresa nova não possa ter excelentes profissionais. O problema está na capacidade de distinguir quem tem competência para prestar determinado serviço de quem simplesmente consegue vendê-lo bem.

Por isso, considera “urgente reforçar a regulamentação aplicável e os mecanismos de certificação dos serviços e das competências, com critérios claros, avaliação independente e fiscalização efetiva”.

Até porque uma certificação também pode transmitir uma falsa sensação de segurança. “Se servir apenas para decorar a parede, acrescentámos papel à organização, mas não necessariamente segurança.”

Se tivesse de escolher um alvo, escolheria a energia

Quando a pergunta deixa de ser sobre uma empresa e passa para um ataque contra o país, a resposta de Sérgio Silva é clara.

“Se tiver de escolher pelo potencial de consequências em cadeia, diria a energia, com as telecomunicações muito próximas, porque praticamente todos os outros serviços dependem delas.”

Não significa que sejam necessariamente os alvos mais fáceis. Significa que as consequências podem propagar-se.

“Uma interrupção prolongada pode criar dificuldades em muitos outros pontos, dos hospitais aos pagamentos, passando pelo abastecimento de água e pela coordenação da emergência.”

Os hospitais preocupam-no pela consequência humana imediata. Os cabos submarinos são relevantes para a conectividade internacional. Mas nenhum destes riscos deve ser visto isoladamente.

“O cenário mais preocupante seria a combinação de falhas, com serviços a precisarem uns dos outros para recuperar.”

É aí, sublinha, que um incidente deixa de ser apenas um problema informático de uma organização. “O problema deixa rapidamente de caber dentro da equipa técnica de uma única organização e passa a exigir uma resposta coordenada à escala do país.”

E se o plano B depender exatamente daquilo que falhou?

Quanto tempo Portugal conseguiria manter os serviços essenciais perante um ataque dessa dimensão?

Sérgio Silva recusa avançar um número de horas ou dias. Dependeria dos setores atingidos, da autonomia existente, das alternativas disponíveis e, crucialmente, da possibilidade de confiar nos sistemas e nos dados utilizados para recuperar.

Mas identifica um risco que só poderá tornar-se evidente quando for tarde demais. “O que mais me preocupa é descobrirmos, durante a crise, que várias alternativas dependem afinal da mesma infraestrutura ou do mesmo fornecedor, e que a redundância em que confiávamos não era tão independente como parecia.”

Numa crise de grande escala, lembra, a coordenação cabe no novo regime ao secretário-geral do Sistema de Segurança Interna, enquanto o Centro Nacional de Cibersegurança (CNCS) e o CERT.PT assumem funções centrais na resposta técnica, em articulação com as restantes entidades competentes.

Mas existe outro elemento que nenhuma arquitetura tecnológica resolve sozinha: pessoas capazes de decidir e comunicar enquanto a pressão aumenta.

“Podemos ter excelentes ferramentas, mas precisamos de saber quem decide, quem executa e quem informa a população, antes que os rumores façam esse trabalho por nós.”

O ataque que acontece hoje para produzir efeitos daqui a anos

E existe uma ameaça que não exige sequer que o atacante consiga ler hoje aquilo que roubou.

A computação quântica poderá, no futuro, colocar em causa mecanismos criptográficos atualmente utilizados para proteger informação. Não existe uma data certa para que máquinas suficientemente poderosas consigam fazê-lo em escala relevante, mas isso não significa, segundo Sérgio Silva, que seja sensato esperar.

“Há informação que precisa de continuar confidencial durante muitos anos, como determinados dados de saúde, segredos industriais ou informação de Estado, pelo que alguém pode ter interesse em recolhê-la hoje e esperar que a tecnologia permita decifrá-la mais tarde.”

Já existem normas de criptografia pós-quântica publicadas pelo National Institute of Standards and Technology (NIST), dos EUA. Para Sérgio Silva, isso significa que a preparação pode começar antes de a ameaça atingir plenamente a capacidade técnica necessária.

“Há trabalho concreto que pode começar, sem precisarmos de esperar por uma data anunciada para o fim do mundo digital.”

Não afirma que Portugal esteja parado. Diz não existir informação pública suficiente para garantir que a transição está a acontecer de forma consistente nos sistemas críticos — mas também não considera correto concluir daí que não exista trabalho em curso.

Se pudesse impor uma única mudança amanhã, contudo, já sabe qual escolheria.

“Iniciaria uma migração planeada para criptografia pós-quântica, começando por identificar onde usamos mecanismos vulneráveis, que informação protegemos e durante quanto tempo ela precisa de permanecer confidencial.”

É uma ameaça futura. Mas a lógica é a mesma que atravessa toda a avaliação que faz da preparação portuguesa: não descobrir se o plano funciona no momento em que já não há tempo para o corrigir.

Porque um país pode ter profissionais, tecnologia, planos, fornecedores, backups e sistemas redundantes. A verdadeira preparação só começa quando consegue demonstrar que tudo isso funciona quando deixa de ser teoria.