Para quem é apreciador de ficção científica e suspense, a leitura do livro “Apagão”, de Marc Elsberg, aguçará, sem dúvida, o apetite dos mais destemidos. A história atravessa diversas cidades europeias e prolonga-se ao longo de vinte e três capítulos de puro frenesi. Um antigo hacker, de nome Manzano, descobre um pequeno bloco de programação instalado no dispo- sitivo de controlo de energia elétrica de sua casa. Depois de encontrar uma lacuna num pedaço desse código, o indivíduo tenta alertar os agentes da polícia para o possível efeito dominó resultante daquela falha de segurança. Infelizmente, como ninguém o leva a sério, inicia sozinho uma longa investigação que lhe permite vislumbrar um possível ataque em massa a toda a interligada rede de abastecimento elétrica europeia. Neste labiríntico argumento tor- na-se o principal suspeito, mas também o único homem capaz de encontrar os verdadeiros culpados.

No início da passada semana foram-nos apresentadas notícias, um pouco perturbadoras, sobre os sucessivos ataques à empresa Vodafone. Deparamo-nos com variadas menções a ciberataques e ciberterrorismo na área das comunicações. Curiosamente, foi também uma semana onde não só recordei o livro do antigo hacker, como também conheci o Kamil. Kamil é o meu recente colega de trabalho, arquiteto de tecnologias de informação e especialista nestas questões de segurança. Ligou-me na terça feira passada para discutirmos esta marcante notícia que atravessou fronteiras e chegou aos noticiários do seu país. Na sequência da conversa, propôs reunir-se comigo para debatermos a importância de certos requisitos não funcionais necessários à implementação de um novo software na nuvem. Na reunião abordamos diversos tópicos relevantes, entre eles a necessidade de seguirmos, meticulosamente, os princípios e padrões de segurança da organização.

Nos dias que se sucederam, elaboramos um pequeno plano de ação e distribuímos tarefas para as semanas que se avizinham. O primeiro passo desta semana será analisar toda a documentação existente para, posteriormente, iniciarmos uma complexa jornada de classificação dos diversos tipos de dados envolvidos na solução, nomeadamente o nível de sensibilidade e o grau de risco de cada entidade. Tal como o nome indica, o nível de sensibilidade e grau de risco dos dados são dois mecanismos que nos permitem compreender a criticidade, confidencialidade e ameaça dos mesmos. Consoante a matriz classificatória resultante, diferentes medidas de segurança deverão ser implementadas para os proteger devidamente e evitar desagradáveis ocorrências para a empresa.

Felizmente, a rápida resposta dos administradores de sistemas da operadora, permitiu a recuperação das comunicações no menor tempo possível. Dessa forma, garantiu-se a continuidade mínima dos serviços, sem aparentes desvios de dados dos seus clientes e perda de informação crítica relativa ao seu negócio. Leva-nos, no entanto, a repensar não só a forma como deveremos abordar as nossas empresas, cada vez mais digitais e sujeitas a ataques deste tipo, mas também a proteção das nossas casas, conectadas a todo o tipo de componentes inteligentes e redes nem sempre bem salvaguardadas.

Apesar de preocupado em antecipar uma possível catástrofe resultante da falta de eletricidade e em procurar os verdadeiros interessados em tamanha façanha, Manzano não foi ouvido, nem o seu alerta valorizado. Será necessário novo apagão para que governantes e gestores coloquem o tema segurança cibernética no topo das suas prioridades nos anos vindouros?
Durante a passada semana o assunto foram as telecomunicações. E se este fenómeno for perpetrado noutras áreas de negócio bem mais sensíveis? Imagino que amanhã seja tarde demais…
*com JMS