Uma breve introdução aos Colóquios de Relações Internacionais na Universidade do Minho

“Cibersegurança: problemas e paradoxos”

Professor Doutor André Barrinha (Universidade de Bath, Reino Unido)

XXXIX Colóquios de Relações Internacionais, Universidade do Minho

Professor Doutor André Barrinha, convidado para participar nos XXXIX Colóquios de Relações Internacionais no dia 9 de Maio, abordou o tema “Cibersegurança: problemas e paradoxos”. A sua abordagem consistiu em tentar perceber até que ponto a cibersegurança como política securitária é existente nas instituições e como lidam com a questão. O Doutor André Barrinha tem dúvidas quando à posição ética que deve adotar neste eixo. Em termos éticos e políticos a cibersegurança deve ser, segundo a opinião do Doutor, caracterizada como um pântano: quanto mais investimos, mais nos enterramos. O Professor Doutor definiu a sua apresentação em cinco pontos fundamentais para a cibersegurança. O primeiro centrava-se na “cibersegurança como conceito contestável”. A cibersegurança é vista de forma diferente pelos diversos atores. Por exemplo, a Rússia utiliza como conceito “information security” e não cibersegurança.

O ciberespaço pode ser dividido em três planos: a camada lógica, a económica e societal e a camada infraestruturas.

Conforme o Professor André Barrinha existe uma preocupação quando ao conceito de cibersegurança: Será que se deve seguir uma definição mais abrangente, que envolve a análise da cibersegurança no geral e que pode dar origem a economias de escala? Ou seguir uma definição limitada, que se centra na parte técnica das infraestruturas de cibersegurança?

O segundo ponto assentava no tema “o ciberespaço como um espaço por definição pouco seguro”. Quem queremos proteger? Será o estado, a economia, os indivíduos? Devemos incluir a cibersegurança na questão das informações dos indivíduos? Se sim, será que estamos a violar a privacidade? Se não, então quem estamos a proteger? Qual a definição ideal do ponto de vista normativo?

O ciberespaço é um verdadeiro pesadelo para os professores de cibersegurança, uma vez que a sua estrutura não foi criada para o que está a ser utilizada. O objetivo era utilizar o ciberespaço para o bem, contudo assiste-se a uma violação da segurança. Isto levanta questões reais e importantes.

A internet das coisas só veio acrescentar vulnerabilidade à rede, uma vez que não são estruturadas de forma correta (torradeiras, brinquedos). Porém, ao aceitarmos o uso da internet, aceitamos os seus riscos. Mas limitamos o acesso ao uso de informação? O Doutor André Barrinha afirma que não. Ou aceitamos os riscos? Sim, mas sendo que queremos responder não.

No terceiro ponto, “o ciberespaço como domínio do privado”, o Professor defende que são os atores privados que ajudam a importar a cibersegurança como política pública. A questão da cibersegurança pertence a instituições privadas que dependem do ciberespaço a funcionar.

O setor privado não tem interesse em divulgar que foi vitima de um ataque informático, pois reduz a viabilidade da empresa. Mas se não se divulgar, os ataques vão continuar a ocorrer. Esta questão constitui-se como um problema e como uma contradição para o setor público, uma vez que os cidadãos querem revelar os autores do ataque de forma a certificar a sua segurança no futuro.

“O ciberespaço e o problema da fronteira” foi o terceiro ponto estabelecido na apresentação.
Para os estados é o carácter internacional do ciberespaço que é importante. As fronteiras edificam-se como uma forma de segurança e bloqueios, mas que podem ser superados.
O último ponto centrava-se no “ciberespaço e as RI”. Para o Professor existem três problemas fundamentais: 1o a questão das ciberarmas; 2o a questão de atribuição; e o 3o a questão das normas.

As ciberarmas podem ser usadas para afetar o sistema. Por defeito só podem ser usadas uma vez, pois após o uso são imediatamente descobertas. A consequência da sua utilização é grande visto que vai atingir o ciberespaço como todo apesar de se ter apenas um alvo. Sendo muito difícil conter e prever os estragos destas armas. O exemplo dado pelo Professor foi o ataque a 48 unidades hospitalares do Reino Unido que não conseguiram aceder à informação durante três dias.

O problema central é a atribuição da cibersegurança nas RI. O principio da dissuasão não funciona no ciberespaço. É apresentado um dilema: será que se deve apostar em mais transparência de forma a que se consiga avaliar a questão ou menos transparência e não conseguimos avaliar e temos de confiar no que os agentes dizem? Daqui surge a questão: Até que ponto temos acesso à informação?

O ciberespaço é resultado da hegemonia do espaço ocidental. Resultado de um equilíbrio de poder que está a mudar. A visão do ciberespaço da Rússia e da China é diferente da visão ocidental. Estes dois países defendem a cibersoberania. Este conceito vai contra a lógica base de ciberespaço. Da cibersoberania surge a questão “que país

deve governar?”, na cibersegurança ocidental não existe uma autoridade única de controlo. Mantemos um confronto aberto entre o ocidente e o oriente? E será que traz benefícios? A ideia de cibersegurança é vista por diferentes atores de diferentes formas. Cibersegurança é um conceito idealizado pelos ocidentais, mas que não se reflete da mesma forma no oriente. A soberania revela-se num elemento central na Rússia e na China, consistindo-se como uma fonte de poder. Contrariamente, os países ocidentais defendem uma cooperação internacional, onde cada ator tem um papel relevante na realização da cibersegurança.

A abordagem construtivista é assim importante para compreender as diferentes visões. A ideia socialmente construída de cibersegurança é diferente nas diferentes partes do mundo. A narrativa política do conceito é construída de acordo com os padrões da sociedade em questão.

Os ataques informáticos estão a acontecer a toda a hora em todo o mundo. São inúmeros os dilemas e problemas que o ciberespaço e a cibersegurança propõem (pântano).
O futuro do ciberespaço está totalmente aberto e “julgo que cabe aos futuros licenciados em Relações Internacionais que construam o futuro.” (Professor Doutor André Barrinha)

Relativamente à União Europeia, o Doutor André Barrinha, defende que a ENISA (Agência Europeia para a Segurança das Redes e da Informação) não teve um papel fundamental na regulamentação. A questão da privacidade não está inserida na questão da cibersegurança da União Europeia. A forma como o conceito de cibersegurança foi elaborado excluía a privacidade.

Em 2017 a União Europeia afirmou que vai aumentar as intervenções na questão a nível horizontal, ou seja, vai-se proceder à criação de mais uma organização. A nível vertical, dos estados, não se vai efetuar nenhuma modificação.

A União Europeia está cada vez mais a investir neste tema. Evidencia-se interesse numa maior integração de forma a que se tenha acesso a novos fundos. Todavia, não se sabe qual será o resulto disto. Deste modo, é possível averiguar que na União Europeia, a questão da cibersegurança ainda se constitui como uma “norm emergence”, visto que ainda não atingiu os objetivos adequados para que seja possível uma melhor prevenção dos crimes e promover a segurança.

• A União Europeia conseguirá desenvolver mecanismos efetivos que protejam os cidadãos e as informações confidencias? Ou não valorizará a questão da privacidade de modo eficaz e não conseguirá estabelecer a segurança prevista?

• A Cibersegurança será finalmente estruturada de forma a que todos os atores a definam e estruturem os seus objetivos de igual modo para que seja capaz de promover a segurança? 

 A ENISA é a Agência da União Europeia que pretende assegurar a segurança nas redes de informação. Nos Colóquios referiu que esta agência não engloba a questão da privacidade, mas que em 2017 apresentou uma reformulação que iria investir a nível horizontal nesta questão. Assim sendo, na opinião do Professor, qual seria a melhor forma da União Europeia investir nesta questão?

“A ENISA foi criada com o mandato de contribuir para a proteção das infraestruturas críticas de informação da UE. Por isso não aborda nem questões de privacidade diretamente, nem sequer questões relativas a cibercrime. Essa é uma dimensão que a nível da UE está mais diretamente ligada à EC3 que pertence à Europol. No contexto das várias iniciativas que a Comissão apresentou em Setembro passado, uma delas passa pelo 'upgrade' da ENISA, alargando as suas funções e competências. Não é claro ainda que tal venha a acontecer pois parece haver alguma renitência por parte dos estados...
A questão relativa à privacidade tem a ver com a forma como entendemos cibersegurança. O que eu disse foi que a UE não incluía questões de privacidade como sendo uma competência do âmbito da cibersegurança, mas medidas como o recente GDPR (em inglês) mostram que a UE preocupa-se bastante com a questão.” (Professor Doutor André Barrinha)


   Mencionou também que tinha dúvidas quanto à posição ética a adotar neste eixo. Mas qual pensa que deveria ser a definição ideal de cibersegurança do ponto de vista normativo e do ponto de vista ético?

“Essa é a questão para a qual não tenho resposta, justamente pelas minhas dúvidas...” (Professor Doutor André Barrinha)

   Por último, considera que deveria existir um mecanismo mais efetivo de proteção das redes de informação na União Europeia? Se sim, qual?

“A UE tem vindo a desenvolver uma série de medidas a esse respeito, como disse em cima. Tendo estado em Bruxelas na última semana, posso confirmar que a cibersegurança é uma preocupação central para a UE. No entanto, é preciso perceber três coisas. Primeiro, que esta é uma área relativamente recente para a UE. Segundo, que em termos práticos a esmagadora maioria destas redes está na posse do setor privado. Terceiro, que os estados membros têm a responsabilidade última por esta área (por enquanto). Dito isto, entrou este mês em vigor uma diretiva europeia para proteção de redes de informação (NIS directive) que vem tentar dar resposta a muitos destes problemas. Não resolve tudo, mas é um bom passo...” 

(Professor Doutor André Barrinha)

Filipa Pereira

A76968