Como parte de uma série de três artigos para marcar o Dia da Privacidade de Dados de 2023 (veja os artigos complementares deJakub LewandowskieThomas Bryant ), Bill Mew argues that there is a real enforcement problem – it’s like the ‘Wild West’ out there.
Políticas, diretrizes e regras só são úteis se forem cumpridas, assim como regulamentos e leis não têm sentido sem fiscalização. O problema no âmbito da privacidade de dados e da segurança cibernética é que, nos casos em que as regras deveriam ser aplicadas, elas são frequentemente ignoradas; e, nos casos em que as leis foram aprovadas, é necessário haver mais fiscalização.
Os CISOs (Diretores de Segurança da Informação) têm uma tarefa ingrata. Os funcionários geralmente relutam em cumprir as medidas de higiene cibernética que um CISO busca impor, mas quando sua falta de disciplina resulta em uma violação, esses colegas são rápidos demais em atribuir a culpa ao CISO. Além disso, embora existam regulamentações caras e complexas a serem cumpridas e regras rígidas sobre o relato de violações, as autoridades, longe de ajudar a lidar com qualquer incidente ou capturar os verdadeiros criminosos, simplesmente utilizam os relatórios para avaliar a aplicação de multas.
Incompatibilidade funcional e cultural
Se questionados, a maioria dos funcionários concordaria que as ameaças cibernéticas são uma questão significativa, mas, em seu dia a dia, eles se concentram em métricas de ROI (retorno sobre o investimento) voltadas para a receita ou o lucro. Essas são as métricas com base nas quais o desempenho individual e da unidade é avaliado e que servem de base para as políticas de incentivo em toda a empresa.
The CISO is instead focused on return on risk (ROR). Based on the allocated budget and the organisation’s risk appetite, the CISO focuses on maximising security and minimising risk.
The mismatch between the CISO’s ROR orientation and just about everyone else’s ROI orientation can put the CISO at odds with the rest of the management team. They may not only become isolated (what I term CISOlation) but can also be a scapegoat when things go wrong – even when warnings are ignored.
Incentivos regulatórios perversos
In an accompanying article, Jakub Lewandowski [LINK] has explored the raft of new privacy and cybersecurity laws expected to add to a considerable regulatory burden. The problem is that uma regulamentação sem fiscalização não é apenas inútil, mas também contraproducente. Afinal, apenas as empresas responsáveis cumprirão essas regulamentações e, para elas, isso representa um custo ou um “imposto de conformidade”. Já as empresas irresponsáveis, muitas vezes, optam por não respeitar as regras. Se acreditam que há pouco ou nenhum risco de fiscalização, essa se torna uma fonte de vantagem competitiva que economiza custos e não envolve riscos.
A falta de conformidade é generalizada e tem origem nas altas esferas, com notícias frequentes sobre as BigTech sofrendo incidentes envolvendo dados ou sendo multadas. Essas multas parecem não estar surtindo efeito dissuasório, mas, ao contrário, estão sendo vistas como um custo adicional dos negócios pelas empresas BigTech e por muitas outras que tiveram a infelicidade de sofrer um incidente envolvendo dados.
Again, responsible firms that did their best to take reasonable measures but were unfortunately unable to prevent mistakes or attacks run the risk of being fined once they notify the local regulator. Meanwhile, irresponsible ones who choose not to comply will simply avoid reporting incidents and attempt to cover them up instead to avoid fines. Fines have, therefore, become more of a indicador defasado de adversidades para empresas responsáveis rather than of misbehaviour by irresponsible ones.
Histórico de inércia regulatória
Most BigTech firms, attracted by a favourable tax regime, have opted to base their European headquarters in Ireland. The local regulator, DPC Ireland, is therefore responsible for ensuring that they comply with GDPR and other such regulations. Whether down to inadequate funding, reluctance to rock the boat, or simply out-gunned and out-lobbied by the BigTech firms, DPC Ireland has been seen as ineffective in holding them to account.
In one notable case, measures it failed to take against Facebook were eventually resolved in the European High Court under the Schrems I and Schrems II rulings. When it still failed to take action and apply these rulings, DPC Ireland was sanctioned by the European Parliament in a votação de 451 a 1. Quando novas pressões por parte de órgãos reguladores de toda a Europa a forçaram a agir, após um atraso de dois anos, a multa que aplicou ao Facebook foi tão baixa que teve de ser aumentada (dez vezes) por insistência dos demais órgãos reguladores.
The EU Ombudsman Emily O’Reilly eventually abrir uma investigação into the European Commission’s monitoring of how data protection rules are applied in Ireland. Eight months later, the Conselho Irlandês de Liberdades Civis (ICCL) criticou a UE for its continued failure to properly monitor Ireland’s GDPR enforcement while “the fundamental rights of all Europeans hang in the balance.” There are now moves afoot to strip Ireland of its responsibility for regulating the BigTech firms and centralise such enforcement instead.
Policiamento global ineficaz
Meanwhile, the number and sophistication of cyber-attacks are increasing exponentially, as is the cost of remediation. The World Economic Forum (WEF) has recently not only called for more widespread use of “simulados de segurança cibernética” to test cybersecurity and incident response capabilities but is also championing the necessidade de regras globais to crack down on cybercrime.
Estima-se que os prejuízos causados por todas as formas de crime cibernético, incluindo os custos de Recovery e reparação, tenham totalizado US$ 3 trilhões em 2015 e US$ 6 trilhões em 2021, podendo chegar a US$ 10,5 trilhões por ano até 2025.
Cyber insurance isn’t the answer. Rapidly increasing premiums mean that it is out of reach to most buyers, but even those who can afford it often find it’s não vale a pena. At the same time, cyber insurance cannot be expected to cover systemic problems, and in any case, it has the perverse effect of o que pode agravar ainda mais problemas já graves.
While almost all nations have signed up for United Nations agreements on combatting crime, including o crime cibernético, some nations turn a blind eye and instead provide safe havens for cybercriminals to operate from. While most o crime cibernético originates from countries like Russia, Iran, or North Korea, such activities are not confined to these rogue nations and continue closer to home. In addition, countries like China have significant espionage operations, and the United States is responsible for a great deal of global mass surveillance – all of which contravenes GDPR and a host of other laws.
We need to start with mandatory data breaches and cyber theft reporting. This has begun in the US with 2022’s a Lei de Notificação de Incidentes Cibernéticos para Infraestruturas Críticas, and in the EU with 2018’s a Diretiva sobre a Segurança das Redes e dos Sistemas de Informação. Still, there are also a série de outras regulamentações that mandate telecom payment services, medical device manufacturers, and critical infrastructure providers to report breaches.
Once we have better data on the problem, we can focus on improving international investigation, prosecution, and adjudication efficiency and effectiveness. The Escritório das Nações Unidas sobre Drogas e Crime is promoting a Cybercrime Programme which has the following aims:
- Maior eficiência e eficácia na investigação, no julgamento e na resolução de casos de crimes cibernéticos, especialmente a exploração sexual infantil e o abuso infantil online, dentro de um sólido quadro de direitos humanos.
- Resposta eficiente e eficaz a longo prazo de todo o governo ao crime cibernético, incluindo coordenação nacional, coleta de dados e marcos jurídicos eficazes, levando a uma resposta sustentável e a maior dissuasão.
- Fortalecimento da comunicação nacional e internacional entre o governo, as autoridades de segurança pública e o setor privado, acompanhado de uma maior conscientização do público sobre os riscos do crime cibernético.
These are laudable goals. However, we are a long way from victims of crime being able to pick up the phone to police at the local, national, or international level with any expectation of getting either practical assistance or justice. The reality is that when it comes to cybercrime, aside from private sector incident response specialists, you’re on your own.
- Os funcionários raramente seguem as normas de higiene cibernética de maneira adequada
- Os órgãos reguladores não agem de forma proativa na identificação e no combate às infrações
- Os criminosos estão se tornando cada vez mais ousados, agressivos e sofisticados
- A polícia não consegue agir contra criminosos que operam a partir de refúgios
- E os CISOs são sempre os bodes expiatórios quando as coisas dão errado
In this ‘Wild West’ environment, there isn’t any cavalry going to the rescue, so you are expected to be adequately armed and ready to defend yourself. Take hints from Thomas Bryant’s article and learn how to deal with it best. There is nada substitui o fato de você garantir sua segurança cibernética and incident response right.
