Brasil não tem plano B na crise de cibersegurança

Se alguém tinha dúvidas de que a inocência em cibersegurança acabou, os últimos dias deixaram isso claro. Várias infraestruturas críticas do Brasil foram atacadas ou paralisadas por falhas: o Porto de Santos com sistemas fora do ar, vazamento de dados na Caixa Econômica Federal, ataques ao Tesouro Nacional e Petrobras, tentativas de derrubar o Gov.br, além de paralisia do Poder Judiciário por causa da queda dos serviços da Microsoft.

Enquanto tudo isso acontecia, a paralisação dos vôos nos EUA acabou servindo para desviar a atenção do fato de que o problema não está lá fora, mas aqui e agora no Brasil.

O caso do Porto de Santos é emblemático. Os sistemas caíram dia 6 de novembro uma semana depois ainda operavam de forma reduzida. Nesse período, navios e acessos terrestres precisaram seguir com procedimentos manuais.

Há relatos de pedidos de resgate e de que o ataque teria sido iniciado no exterior.

A crise atual é agravada pelo fato de que a inteligência artificial acelerou a descoberta de vulnerabilidades. Com isso, barateou e automatizou ataques, que se multiplicaram.

Por exemplo, um ataque revelado em novembro e feito com IA afetou ao menos 40 instituições financeiras e órgãos no país, conforme mapeado pela empresa de cibersegurança brasileira ZenoX.

Nesse contexto, estamos despreparados para lidar com esse "novo normal". O Brasil não tem uma lei específica de cibersegurança, ao contrário de vários outros países que já fizeram seu dever de casa nessa área como a Alemanha, Canadá, Chile, China, Gana, Japão, Senegal e Vietnã.

Temos alguns anteprojetos e um projeto de lei em cibersegurança em tramitação. O problema é que todos foram redigidos antes da onda atual da IA e são incompletos, ineficazes ou obsoletos, especialmente quando comparados às leis mais recentes de outros países.

A lei inglesa, que está em discussão e acaba de ser aprovada em primeira votação, chama-se "Lei de Cibersegurança e Resiliência.

Vale enfatizar a palavra "resiliência". Cibersegurança hoje significa não depender de nenhum fornecedor digital único. Centralização é um dos principais riscos sistêmicos atuais.

É preciso ter sempre um plano B (e até C e D). A França e a Alemanha, por exemplo, estão trocando serviços digitais de fornecedores únicos por alternativas em código aberto e assumindo o controle da operação dos seus sistemas.