A cibersegurança nos Colóquios de Relações Internacionais

Nos passados dia 8 e 9 de Maio de 2018, teve lugar, na Universidade do Minho, a XXXIX edição dos Colóquios de Relações Internacionais, subordinados ao tópico “(In)Governabilidade no século XXI”. Um dos temas abordados nesta edição foi a cibersegurança, o objecto principal deste blogue, e contou com a presença de dois oradores especialistas no tema: André Barrinha e Henrique Dinis Santos.

Conforme já foi referido anteriormente, André Barrinha é Professor de Segurança Internacional na Universidade de Bath, no Reino Unido e os seus principais interesses de investigação são nas áreas dos Estudos Críticos de Segurança, Segurança Europeia, entre outros. O orador principiou a sua exposição ao afirmar que não iria fazer uma abordagem técnica nem era especialista em informática e que o seu principal foco é perceber como é que a cibersegurança, enquanto questão securitária, é contextualizada e como é que a laboram nas instituições, como a NATO, a União Europeia ou, mesmo, os Estados. Para além disso, declarou que tem muitas dúvidas sobre a posição ética a adoptar neste contexto. Nas palavras de Barrinha, “em termos éticos e políticos, a cibersegurança deve ser entendida como uma espécie de pântano”.  

O palestrante repartiu a sua explanação sobre cibersegurança em diversos paradoxos, que, segundo o próprio, tornam extremamente complicada uma acção eficaz em termos políticos nesta matéria. Assim, a sua estrutura contemplou cinco dilemas e, no final de uma breve explicação sobre cada um, o orador lançou algumas questões que reflectiam a própria complexidade do tema.

            Em primeiro lugar, André Barrinha afirmou que o conceito de cibersegurança é um conceito politicamente contestável e que existem diferentes autores focados em diferentes abordagens. Assim, o autor lança a questão se devemos seguir uma definição mais abrangente (que inclui noções como ciberterrorismo, ciberguerra, entre outros) ou algo mais limitado, que esteja mais concentrado na dimensão técnica do conceito. No entanto, admite que não sabe qual é a definição ideal. Adicionalmente, e relacionado com este paradoxo, o orador questiona qual é o objecto de referência da cibersegurança, ou seja, o que é que esta deve proteger, se os Estados, a economia ou os indivíduos (utilizadores). Para terminar, afirma que definir o conceito não é uma questão meramente técnica e que a forma como as entidades estatais e organizações internacionais definem cibersegurança é importante.

            O segundo ponto foca-se na ideia de que o ciberespaço é um espaço pouco seguro, um “pesadelo para os profissionais de segurança”. Desta forma, e tendo uma estrutura descentralizada e, por isso, difícil de destruir, o dilema apresentado é se devemos limitar o acesso às redes de informação, em que a resposta, segundo orador, é, nos dias de hoje, “não”, ou se aceitamos o risco da vulnerabilidade acrescida do seu uso massificado.

            Em terceiro lugar, Barrinha centrou-se na iniciativa privada e em como o ciberespaço é, sobretudo, uma área do privado. São os actores privados (por exemplo, a Microsoft) que têm uma parte do know-how, interesses económicos em jogo e ajudam a definir e a implementar a cibersegurança enquanto política pública. Baseando-se no facto de que o sector privado e o público têm interesses diferentes, o dilema apresentado é se as empresas têm responsabilidade social na cibersegurança ou, se não o têm, até que ponto devemos obrigar a ter? De acordo com o orador, estas questões não são só sobre cibersegurança – tem a ver com segurança em geral.

            O ponto quatro está um pouco relacionado com as relações internacionais e incide sobre o ciberespaço e o problema de fronteiras, já que este tem um carácter marcadamente transnacional. Há um grande controlo por parte dos Estados e, consequentemente, também uma grande censura, como é o caso do “The Great Firewall of China”. No entanto, estas barreiras artificiais não são mais do que, segundo o orador, “lombas na estrada”, que apenas fazem abrandar a circulação, não obrigam a parar. Portanto, a questão é se deve um Estado investir recursos significativos na tentativa de controlar os fluxos do ciberespaço ou se deve adoptar uma atitude liberal relativamente aos mesmos, ou seja, qual é o meio termo no controlo por parte das entidades estatais no acesso à informação.

            O último ponto aborda directamente a questão do ciberespaço nas Relações Internacionais e, para além de referir o aspecto das ciberarmas e a confiança que nós, indivíduos, devemos ter nos agentes estatais, a temática abordada pelo orador que está mais relacionada com a disciplina de Teoria das Relações Internacionais e, por isso, que me pareceu mais natural abordar é a questão da atribuição de normas na cena internacional. Barrinha começa por afirmar que o ciberespaço é um produto da hegemonia ocidental, é uma criação do Ocidente e, desta forma, resultado de um equilíbrio de poder. No entanto, este equilíbrio está a mudar, como é visível na cena internacional, estando a China e a Rússia a tentar interferir com esse equilíbrio. Contrariamente à visão do Ocidente, a visão destes dois países de cibersegurança assenta na ideia de cibersoberania e no facto de que o país deve ter controlo absoluto no que se passa no ciberespaço desse mesmo país, o que, obviamente, resultaria em controlo e censura. Desta forma, a visão chinesa e russa vai inteiramente contra a lógica de ciberespaço ocidental, particularmente em termos de governação da internet, em que não há uma autoridade única no controlo do ciberespaço. Assim, o paradoxo exposto pelo orador é se mantemos uma confrontação aberta entre os dois sistemas, que pode contribuir para a vulnerabilização do mesmo, ou acomodamos a visão dos regimes não-democráticos, com todas as consequências que isso tem em termos de controlo e censura do ciberespaço.

Em conclusão, André Barrinha reafirma a sua declaração inicial de que a cibersegurança é um pântano ético e político e que são inúmeros os problemas e dilemas políticos. Ademais, garante que o poder para definir regras e prioridades vai ser a chave, tanto a nível interno como internacional e que o futuro do ciberespaço está totalmente em aberto.

Henrique Dinis Santos, graduado em Engenharia Eléctrica e Electrónica pela Universidade de Coimbra e actual professor do Departamento de Sistemas de Informação da Universidade do Minho, teve uma abordagem mais prática e técnica sobre a cibersegurança. O professor inaugura a sua intervenção com uma definição de segurança de informação, afirmando que esta tem o propósito de “proteger a informação e os sistemas de informação do que não é autorizado”.

O professor centrou a sua apresentação numa componente mais prática, em que abordou as vulnerabilidades e as ameaças do ciberespaço. Começou por reconhecer que ninguém no planeta compreende globalmente o sistema informático, já que este abrange um elevado grau de complexidade. Aliás, num tom divertido, afirma que “a engenharia informática é a engenharia menos rigorosa.” Em termos de ameaças, Henrique Dinis Santos forneceu alguns exemplos do que poderão ser ameaças cibernéticas, afirmando que estas se alteram permanentemente: erros e falhas humanas, erros e falhas técnicas, várias formas de ludibriação, fraude, entre outros. Ao fornecer dados, percebemos que 75% das ameaças actuais exploram a fraqueza humana e 48% erros do utilizador.

Mais precisamente, e interagindo com a actuação do professor Barrinha sobre os actores privados, o orador afirma que “as empresas privadas fizeram-se para ganhar dinheiro, não para proteger”, declarando que isto não é uma crítica, mas sim a realidade. Estas podem proteger, mas o mais importante é o dinheiro. Para além disso, o orador distingue as ameaças geopolíticas, que se tornaram realidade com a Administração Obama, através do acrescento de mais uma área ao Pentágono – a cibersegurança –, tendo como missão “defender o país, atacar os outros”. Numa clara referência à teoria construtivista, é dito que, no entender dos Estados Unidos, estes usam a cibersegurança para o bem, no entanto, há outros países que usam para o “mal”, fazendo lembrar a teoria do “amigo vs inimigo”, ou seja, a nossa concepção de ameaça, seja em termos de armas nucleares, seja em termos de cibersegurança, depende de quem a profere.

Seguidamente, o orador afirma que, percentualmente, o ciberespaço é asiático – os países ocidentais já são a minoria. No entanto, ninguém o controla. Em termos de ataques, o palestrante afirma que o custo dos ataques está a favor dos atacantes, ou seja, o benefício precedido a um ataque é muito maior do que o prejuízo precedido e que as vítimas não acreditam que as agências governamentais tenham capacidade de resposta – e muito menos de forma coordenada, a nível mundial.

Em suma, o professor afirma que a cibersegurança é um processo holístico e que a educação e treino são a chave! Igualmente, é necessário haver uma legislação mais forte, e não “legislação de brincar”, como o professor declara. Para além disso, há uma falta de implementação de normas porque estas custam dinheiro, por outras palavras, não é algo rentável para as empresas. Assim como o professor Barrinha, o professor Henrique Dinis Santos assegura que ainda está tudo por fazer, existem muitos problemas e poucas soluções.

Exposta a intervenção dos professores André Barrinha e Henrique Dinis Santos, naturalmente, uma comparação deverá ser feita com o meu primeiro artigo publicado neste blogue. Assim, destaco como ideias chave de ambas as apresentações a cooperação, a educação, a regulamentação e a incerteza do futuro, ideias essas mencionadas na primeira parte deste trabalho. Ademais, constate-se que a cooperação internacional foi referida, seja através dos discursos de António Guterres ou da criação de uma Agência Europeia para a Cibersegurança.

A cibersegurança tem um futuro incerto e, certamente, levanta muitas questões:

            Terá a cibersegurança impacto no sistema internacional e alguma vez haverá uma ciberguerra?

            Estarão os Estados preparados para proteger os seus cidadãos dos perigos cibernéticos?

            Que papel caberá aos actores não-estatais no tema cibersegurança?