Cibersegurança – A União Europeia é um agente securitário coerente?

A construção da actorness da União Europeia no field da Cibersegurança do Ciberespaço, tem sido um percurso desafiante, quer ao nível da capacidade de se defender quer ao nível institucional, fruto do incremento de novas formas de ameaça (conceito) e ao mesmo tempo da constante competição entre Instituições e Estados da União. Por muito neofuncionalistas, institucionalistas, liberais e construtivistas, que pretendem ser, também enquadram o seu realismo em defender os seus interesses. Ao mesmo tempo estão envoltos na mutação liberal do mundo global e o Ciberespaço revela-se infinito e imprevisível, para além de recente, tornando o fenómeno complexo de gerir quando interligamos informações entre vários Estados.

A orientação ao tema subordinado, tem o enquadramento tecnológico do seu boom em dois momentos importantes recentes para a história mundial e logicamente com elevado relevo para as Relações Internacionais. Refiro-me obviamente, ao inicio da década de 90 e concretamente, aos períodos do pós-Guerra Fria e mais tarde em 2001 com os atentados do 9/11 nos EUA, como maiores picos de suporte da evolução tecnológica até à atualidade e que estão intimamente conotados, embora por diferentes razões, à Europa e claro à União Europeia.

Durante este artigo, vou procurar delinear esse percurso de defesa e segurança do ciberespaço mais recente e se existe coerência na cooperação. Sublinhe-se que talvez seja a maior abertura de fronteiras de toda a história, embora virtual mas com reflexos reais, esta é a era da globalização do mundo liberal digital, que conta apenas com apenas 3 décadas de existência. Assim, aliada ao desenvolvimento e evolução meteórica das tecnologias de informação e comunicação (TIC) mescladas com a World Wide Web (WWW), foram sendo reconhecidas vulnerabilidades e que para as quais pouco ou nada se estava preparado, ficando a dúvida se alguma vez se estará integralmente.

As TIC são ferramentas versáteis e massivamente úteis à disposição de tudo e todos e estando, portanto, presentes no quotidiano da maioria da população mundial. Contudo, esse efeito transborda de utilidade para uma dependência direta, quando analisado do ponto de vista em que facilitam a vida, tornando-as indispensáveis seja para comunicar, seja para aceder a informação ou serviços. Assim, assumem também um papel de dependência indireta quando do outro lado estão as organizações, instituições e empresas ou corporações que promovem esse contacto digital através das suas plataformas. Depois de descrever estas dependências, a intenção foi a de criar o cenário de exposição do modo de vida “easy way”, desenhado para responder ao “fast-paced world” com soluções, representando ao mesmo tempo como consequência, a sua respetiva vulnerabilidade a qualquer tipo de influência, ataque ou ameaça, seja pessoal, profissional, nacional ou transnacional, estando tudo interligado na rede mundial do ciberespaço e que tem duas faces, ou seja, tanto pode ser usado positiva como negativamente.

Construtivamente falando, somos a Sociedade de Informação e se pessoas são Estados e Estados são pessoas, fica então percecionada a importante necessidade de criar defesas em prol da segurança e da estabilidade de modo a conter (des)informação que se pode revelar catastrófica, tóxica e perturbadora nesta ténue “linha” virtual.

Partindo do princípio, que quem pretende iniciar um ataque está em vantagem sobre quem o está a defender, ficam então as questões:

- Como podem os Estados ou Organizações responder em caso de invasão?

- E de que forma?

- Com que legitimidade?

- Como condenar responsavelmente?

“Em parte, o caráter abrangente do impacto da cibersegurança em sociedade – envolve simultaneamente Estados, cidadãos e empresas, com a existência de espaços de sobreposição de intervenção dos atores/players e outros de alguma autonomia. Nas sociedades modernas, as áreas de sobreposição de conflito, de sinergias, de dependência e interdependência, necessitam de ser convenientemente identificadas e geridas. O ciberespaço como meio de integração, e sinónimo de sociedades em desenvolvimento, expõe a relevância dos players acima identificados e as consequências das suas ações. Parece-nos pertinente a necessidade dos planeadores nacionais de segurança prepararem as ciberdefesas, quer a nível tático quer estratégico, sem deixar de “exigir” que cidadãos, organizações/empresas e o próprio Estado (a coisa pública) assumam responsabilidades (componente operativa). Por exemplo, a ameaça de ciberataques às infraestruturas críticas, públicas e privadas, é uma questão de índole estratégica e requer respostas de igual nível, designadamente: consciencialização do público, investimento em formação, investigação científica, adequada legislação ao ambiente ciber e cooperação internacional. A nível da framework para enfrentar esta nova realidade, novas entidades – ou talvez apenas algumas mutações nas atribuições das existentes – e coordenação de setores têm de ser equacionadas. No caso da proteção das Infraestruturas de Informação Críticas (IIC) não poderão ser só pessoas individuais ou organizações a serem responsabilizadas. Como sugere o Plano para Proteção de IIC nos EUA (PCCIP) estas são dispositivos coletivos que o governo e o setor privado têm de gerir juntos.” (Transcrição: WorkingPaper arquivado no site: Institudo deDefesa Nacional (IDN)

- Assim, no decorrer dos últimos 30 anos (aprox.) e falando concretamente sobre a União Europeia e a sua posição de reconhecimento enquanto Agente Securitário, será que há de facto união ou há alguma divisão mesmo quando o interesse é supra-estatal?

- O que tem sido promovido politicamente, de forma a que na realidade, sejam desenvolvidos setores especializados que procurem prevenir, conter ou combater este tipo de ameaças no seio da União Europeia?  E as suas Instituições e Estados-Membro como cooperam?

Segundo o comunicado de imprensa do Conselho da União Europeia, em 20 de Dezembro de 2017 as Instituições da UE celebraram um acordo, que entrou em vigor e que reforça a cooperação entre  si e entre Estados na luta contra os ciberataques. Como resultado desse acordo, nasce a reformulação do Computer Emergency Response Team - CERT-EU, uma Equipa de Resposta a Emergências Informáticas que abrange todas as Instituições e Agências da UE. Este mecanismo de defesa e segurança foi sendo desenvolvido a partir de um acordo em 2010, conforme se pode confirmar na página da ENISA, sendo agora substituído pelo supracitado. Esta equipa trabalha de forma permanente e é responsável por monitorizar e assegurar uma resposta coordenada contra os ciberataques à União Europeia e ao mesmo tempo trocando informações com os seus homólogos da OTAN (NATO) sendo os seus recursos disponibilizados pelas instituições e agências da UE, sendo o CERT-EU supervisionado sob o comando estratégico de um Comité Diretor Interinstitucional. Este novo acordo, é mais um degrau escalado referente à partilha de soberania dentro da UE e o tecido do seu intergovernamentalismo fundido na matriz da União. Concluindo-se assim, que está patente o nível de preocupação com a Cibersegurança e o que representa na agenda da UE ao longo dos últimos anos.

- A União Europeia é ou não um ator securitário coerente de defesa na área da Cibersegurança?

Depois de assinalar os efforts mais recentes do novo acordo e do que me foi possível investigar, sobre o que a UE tem vindo a desenvolver nos últimos anos e para responder à pergunta de partida, irei utilizar como referência um artigo de um dos oradores que irá estar presente nos - XXXIX Colóquios de Relações Internacionais na Universidade do Minho no painel referente à Cibersegurança no dia 9 de Maio de 2018 organizado pelo Centro de Estudos do Curso de Relações Internacionais (CECRI).

       André Barrinha

- Professor de Segurança Internacional na Universidade de Bath, no Reino Unido e Investigador do Centro de Estudos Sociais da Universidade de Coimbra. É doutorado nessa mesma área pela Universidade de Kent, Reino Unido. Esteve entre 2004 e 2006 ligado ao Instituto de Estudos Estratégicos e Internacionais, em Lisboa. Os seus principais interesses de investigação são nas áreas dos Estudos Críticos de Segurança, Segurança Europeia, Política Externa da Turquia e Teoria das Relações Internacionais. (Fonte: http://ces.uc.pt/pt/ces/pessoas/investigadoras-es/andre-barrinha)

- Servindo de base o artigo para análise: “The EU as a Coherent (Cyber)Security Actor?”  - publicado no Journal of Common Market Studies (JCMS).

Conforme se pode ler, o autor começa por afirmar que a “União Europeia (UE) é um intrincado ator de segurança cobrindo um número crescente de áreas e políticas, variando do meio ambiente ao ciberespaço.” Assim, em consonância com a Estratégia Global da UE, refere que há uma maior necessidade de haver uma integração total entre a segurança interna e externa em termos de segurança e defesa uma vez que o terrorismo, as ameaças hibridas e o crime organizado não conhecem fronteiras e só através de ligações institucionais como por exemplo o CERT-EU que protejam permanentemente o espaço interno de liberdade, segurança e justiça, considerando e reconhecendo as tecnologias de informação como espinha dorsal das sociedades europeias, então a cibersegurança torna-se como uma das suas principais prioridades de segurança.

Esta priorização questiona uma série de dicotomias importantes relativas à sua esfera de ação, seja interna, externa, pública, privada, civil ou militar contrastando com a condição geográfica entre o nível nacional, europeu e global. Desta forma, a UE como área de segurança, proporciona condições ideais para avaliar a coerência de atuação.

Essa coerência deve ser entendida como a coordenação institucional entre políticas, instrumentos e atores alinhados, promovendo o melhor procedimento de execução para enfrentar as ameaças à segurança que não estão vinculadas a fronteiras nacionais como o Ciberespaço.

Contudo, o artigo descreve a evolução e o foco de importância que aos longos dos anos, a partir da década de 90 até aos desenvolvimentos recentes, as movimentações e mecanismos de defesa que foram sendo criados.

Tendo em conta a data do artigo, que é anterior à data da celebração do acordo sublinhado no inicio do texto, a conclusão sobre a coerência da UE enquanto ator securitário, na opinião do autor divide-se em dois eixos, sendo um horizontal e outro vertical, encontrando divergências no eixo vertical conforme se pode ler na transcrição abaixo mencionada:

“No geral, poderíamos argumentar que existe uma contradição no eixo vertical de cibersegurança da UE: por um lado, destaca claramente os limites das abordagens nacionais, tanto devido ao caráter transnacional das ameaças como à abordagem heterogênea do campo, e, por outro lado, promove, na sua estratégia, "uma organização descentralizada, onde a governança da cibersegurança permanece nos Estados-Membros, enquanto a UE apoia o reforço das capacidades, assegura a coerência entre os Estados-Membros e facilita a coordenação e a sensibilização"

Concluindo o artigo e enaltecendo particularmente que no campo da cibersegurança, a tomada de decisão é caracterizada pela falta de transparência e de responsabilização e que será fundamental que um ator coerente deve ser coerente com os valores que defende.

Desta forma, fica para depois dos colóquios e do esclarecimento do respetivo painel, uma aproximação final subordinada ao tema da coerência, dos seus eixos e se atualmente a opinião se modificou e se o acordo que entrou em Dezembro de 2017, acima referido, foi capaz de limar as arestas que se intrometem e nos remete para as teorias em confronto das Relações Internacionais, sendo capaz de superar o ator racional competitivo entre Instituições e Estados, que impõe limites e defende interesses ao modelo liberal e que impede que esta defesa neofuncionalista, interinstitucionalista, intergovernamental e construtivista de caracter supranacional, opere sem barreiras num espaço com poucas barreiras, de forma cooperativa e normativa para que especialmente a cibersegurança esteja devidamente implementada e regulada explicitamente no quadro de uma real União Europeia.