Iniciativa cidadã quer “pôr ordem” na cibersegurança e proibir pagamentos de ransomware

Rui Martins já não é estreante nas iniciativas de mobilização com base na cidadania. Nos últimos anos já levou duas petições a plenário, a mais participada das quais para bloquear a cobrança de taxas de Multibanco. Agora tem mais duas apresentadas, ambas focadas na cibersegurança, e criou a iniciativa Cidadãos pela Cibersegurança.

“Não há muitas formas de chegar aos decisores”, explica em entrevista ao SAPO TEK, adiantando que já tentou o contacto direto com os deputados eleitos mas que “é muito difícil chegar lá”.

A primeira petição foi publicada em fevereiro deste ano, numa altura em que o Parlamento estava suspenso a aguardar novas eleições e aponta algumas linhas de ação a desenvolver para aumentar o nível de segurança em Portugal, depois de incidentes como os ataques à Impresa e à Vodafone.

Entre as propostas refere-se a necessidade de os órgãos do Governo e as autarquias locais passarem para uma arquitetura de “Zero Trust” e usarem sistemas de autenticação multi fator, determinando regras mínimas no desenvolvimento de software seguro e a criação de um Gabinete de revisão de Cibersegurança, ligado ao Centro Nacional de Cibersegurança (CNCS).

Até agora a petição não teve qualquer efeito prático. “Do Parlamento nada de resposta. Continuo insistindo e assim farei nos próximos tempos”, explica Rui Martins, admitindo que esta é “uma área muito técnica e os políticos tendem a descartar estas sugestões porque não as compreendem totalmente”.

Mesmo assim defende que “um dos esforços urgentes que todos os especialistas em cibersegurança devem fazer é precisamente este: devem procurar simplificar, popularizar e tornar acessível a sua mensagem. Se não fizeram nada será feito – ao nível político – e continuaremos a ver o crescimento deste fenómeno sem um travão à vista”, afirma. É mesmo este travão que o responsável pela iniciativa acredita que deve ser imposto pela política, pela via legislativa e, possivelmente é para ser mais eficaz, a nível Europeu.

[related-post id=”299713″ post_type=”post” /]Depois da primeira petição sobre o tema, a iniciativa Cidadãos pela Cibersegurança não ficou por aqui, e ainda em março avançou com um Guia de Cibersegurança Municipal: Conselhos Genéricos e uma Visão Global da Situação. Em Abril foi lançada outra petição, desta vez para proibir as entidades públicas de pagar por ransomware, que também não teve ainda qualquer resposta.

“As autarquias locais devem seguir as melhores práticas de cibersegurança tornando Portugal mais resiliente num contexto cada vez mais perigoso como a vaga actual de ataques a empresas e organizações portuguesas demonstra”, explica o documento. No texto alerta-se que “as autarquias são alvos dos gangues de cibercrime e das suas operações e ransomware porque é plausível a estes criminosos que paguem resgates para recuperarem o acesso aos seus ficheiros”.

A petição pede que a Assembleia da República “legisle no sentido de proibir que todas organizações do Estado central, as empresas públicas e as autarquias locais sejam proibidas de pagarem resgates em incidentes de ransomware”, adicionando a ideia de que, perante esta obrigação, os cibercriminosos deixarão de ter interesse em organizarem campanhas especialmente dedicadas em atacarem os sistemas de informação públicos.

Também os guias não têm tido muita recetividade, como admite Rui Martins ao SAPO TEK. “No concreto o guia para uso pelas autarquias, embora tivesse sido lido e recebido em todas, não produziu nenhum efeito/resposta”.

A análise do técnico é clara. “Penso que isso pode ter acontecido porque – tal como sucede – em causas de cidadania local desligadas da actividade partidária convencional – as pessoas não sabem o que fazer com estas sugestões e propostas porque, dada a condição de imensa fraqueza da sociedade civil portuguesa, as encaram sempre como uma forma de “vender um serviço/empresa” e que não sabem enquadrar ações de cidadania digital como aquelas que movem o CpC – Cidadãos pela Cibersegurança”.

[related-post id=”296153″ post_type=”post” /]Rui Martins alerta ainda que “sendo o tema tão árduo e hiperespecializado isso tende a afastar todos os não especialistas e a fazer com que estes remetam para as áreas internas de IT ou para empresas contratadas este tipo de sugestões e propostas: como efeito, estas não são respondidas nem têm eco, porque acabam caindo em áreas sem poder político para imporem as decisões que se devem tomar”, explicou ao SAPO TEK.

Ativismo cidadão aliado à cibersegurança

A vertente de intervenção cívica decorre em paralelo com a atividade profissional, mas foi o seu dia-a-dia de suporte a operações de Tecnologias de Informação numa empresa cujo nome prefere não revelar que deu o mote para avançar com a ideia mais recente. “Chefio uma equipa de suporte de operações de IT e tenho valências de segurança […] comecei a desviar cada vez mais do tempo para esta área e já é mais de metade”, explica. “Todas as empresas são atacadas todos os dias, várias vezes e por várias contas […] Este já não é um problema de informática, é um problema de todos”.

“Sinto-me sozinho. O quadro legal não é suficiente e as entidades e associações não são reativas, não dão às pessoas um quadro de suporte”, lamenta Rui Martins

A iniciativa transformou-se num movimento, os Cidadão pela Cibersegurança, com o objetivo de trazer o tema para a atenção de todos. “É um ponto de partida, para uma coisa mais ampla, que quer dar resposta a algo que as associações não respondem”, sublinha, adiantando que cruza cidadania, cibersegurança e boas práticas de TI.

Rui Martins admite que esta não é uma tentativa de intromissão na lei, mas que é uma sugestão. “Quem faz a lei é que tem de tomar a opção de passar à prática”, avisa.

Perante a falta de resposta a nível nacional, quer nas autarquias quer no Parlamento, Rui Martins decidiu avançar junto do Parlamento Europeu e da Comissão Europeia. Ainda ontem teve uma reunião com o eurodeputado Carlos Zorrinho, que classificou como “muito produtiva”, onde foram apresentadas as principais propostas da Iniciativa dos Cidadãos pela Cibersegurança e a aplicação da petição que pretende proibir os pagamento de ransomware pelas autarquias e empresas públicas ao nível europeu, o que sublinha que é uma “forma de afastar a Europa da mira dos grupos de ransomware”.