Há um número no mais recente relatório do Tribunal de Contas Europeu sobre a resposta da União Europeia aos ciberataques que merece mais atenção do que provavelmente terá: em 2025, apenas 14 incidentes transfronteiriços foram formalmente comunicados por sete Estados-Membros, apesar de a ENISA ter identificado 322 incidentes que, no ano anterior, afetaram dois ou mais Estados-Membros. A diferença não significa que todos estes casos devessem necessariamente ter desencadeado os mesmos mecanismos europeus de resposta, mas expõe a realidade do fosso que continua a existir entre aquilo que acontece no terreno e aquilo que circula pelos mecanismos formais de cooperação.
A cibersegurança não diz respeito apenas à capacidade de proteger informação, é também a capacidade de saber que informação deve circular, para quem e com que rapidez.
Quando uma organização é vítima de um ciberataque, existe uma preocupação perfeitamente legítima com o impacto reputacional do incidente, com os clientes e parceiros, e com a possibilidade de uma informação mal contextualizada transformar um problema de segurança numa crise de confiança.
Efetivamente, há informação que não pode, nem deve, ser partilhada de forma indiscriminada. Um incidente pode envolver dados pessoais, vulnerabilidades ainda não corrigidas, informação sobre a arquitetura de sistemas ou elementos de uma investigação criminal. A questão, portanto, nunca deveria ser defender uma espécie de transparência absoluta em matéria de cibersegurança. A questão é outra, neste caso, o que podemos partilhar sem comprometer a investigação e que, ao mesmo tempo, possa impedir que outra organização seja atacada pela mesma campanha?
Um domínio malicioso, um indicador de compromisso, uma vulnerabilidade explorada, uma técnica utilizada pelo atacante ou uma infraestrutura associada a uma campanha podem ter pouco valor se permanecerem fechados dentro da organização que sofreu o ataque. Quando essa informação chega rapidamente a outras equipas de segurança, a um CSIRT, a um CERT, a um operador do mesmo setor ou a uma entidade pública com capacidade de correlação, pode ganhar um valor completamente diferente – deixa de ser apenas um registo do que correu mal e passa a ser antes uma ferramenta de prevenção para quem ainda não foi atingido.
O adversário vê um ecossistema. Nós continuamos, demasiadas vezes, a ver organizações isoladas. É também por isso que a discussão sobre partilha de informação não pode ficar limitada à relação entre Estados. A mesma lógica se aplica à cooperação entre empresas e, sobretudo, entre o setor privado e o setor público.
Uma empresa tem acesso àquilo que está a acontecer nos seus sistemas, aos seus utilizadores, às suas redes e à sua operação. Um SOC pode ter uma visão extremamente concreta do comportamento de uma ameaça. Um CSIRT nacional pode conseguir correlacionar esse incidente com outros casos. Uma entidade pública pode ter informação proveniente de outras organizações, de parceiros internacionais ou de estruturas de segurança e inteligência. Nenhuma destas perspetivas é, por si só, suficiente para compreender todo o cenário. O valor está precisamente na capacidade de as cruzar.
O relatório do Tribunal de Contas Europeu é particularmente relevante neste ponto, ao identificar atrasos, sobreposição de responsabilidades e constrangimentos na partilha de informação entre os diferentes mecanismos europeus. O problema não parece ser a ausência de instituições; em determinados casos, é precisamente a complexidade do ecossistema institucional que pode dificultar uma resposta simples e rápida.
É talvez essa uma das contradições mais interessantes da cibersegurança atual: passámos anos a ensinar organizações a construir muros cada vez mais fortes e estamos agora a perceber que, para combater alguns tipos de ameaça, a resiliência também depende das portas que conseguimos abrir e da intelligence que conseguimos partilhar em modo de cooperação global.
Login
