Como parte de uma série de três artigos para marcar o Dia da Privacidade de Dados de 2023 (veja os artigos complementares de Jakub Lewandowski e Thomas Bryant), Bill Mew argumenta que existe um problema real de fiscalização — é como se fosse o “Oeste Selvagem” por aí.
Políticas, diretrizes e regras só são úteis se forem cumpridas, assim como regulamentos e leis não fazem sentido sem fiscalização. O problema no âmbito da privacidade de dados e da segurança cibernética é que, nos casos em que as regras deveriam ser aplicadas, elas são frequentemente ignoradas; e, nos casos em que as leis foram aprovadas, é necessário haver mais fiscalização.
Os CISOs (Diretores de Segurança da Informação) têm uma tarefa ingrata. Os funcionários geralmente relutam em cumprir as medidas de higiene cibernética que um CISO busca impor, mas quando sua falta de disciplina resulta em uma violação, esses colegas são rápidos demais em atribuir a culpa ao CISO. Além disso, embora existam regulamentações caras e complexas a serem cumpridas e regras rígidas sobre a notificação de violações, as autoridades, longe de ajudar a lidar com qualquer incidente ou capturar os verdadeiros criminosos, simplesmente utilizam os relatórios para avaliar a aplicação de multas.
Incompatibilidade funcional e cultural
Se questionados, a maioria dos funcionários concordaria que as ameaças cibernéticas são uma questão significativa, mas, no dia a dia, eles se concentram em métricas de ROI (retorno sobre o investimento) voltadas para a receita ou o lucro. Essas são as métricas com base nas quais o desempenho individual e da unidade é avaliado e que servem de base para as políticas de incentivo em toda a empresa.
O CISO, por sua vez, concentra-se no retorno sobre o risco (ROR). Com base no orçamento alocado e na propensão ao risco da organização, o CISO se concentra em maximizar a segurança e minimizar o risco.
O descompasso entre a orientação do CISO para o ROR e a orientação de praticamente todos os demais para o ROI pode colocar o CISO em conflito com o restante da equipe de gestão. Ele pode não apenas ficar isolado (o que chamo de “CISOlation”), mas também servir de bode expiatório quando as coisas dão errado — mesmo quando os alertas são ignorados.
Incentivos regulatórios perversos
Em um artigo relacionado, Jakub Lewandowski [LINK] analisou a série de novas leis de privacidade e segurança cibernética que devem aumentar consideravelmente a carga regulatória. O problema é que uma regulamentação sem fiscalização não é apenas inútil, mas também contraproducente. Afinal, apenas as empresas responsáveis cumprirão essas regulamentações e, para elas, isso representa um custo ou um “imposto de conformidade”. Enquanto isso, as empresas irresponsáveis muitas vezes optam por não seguir as regras. Se acreditam que há pouco ou nenhum risco de fiscalização, isso se torna uma fonte de vantagem competitiva que economiza custos e não envolve riscos.
A falta de conformidade é generalizada e tem origem nas altas esferas, com notícias frequentes sobre as BigTech sofrendo incidentes envolvendo dados ou sendo multadas. Essas multas parecem não estar surtindo efeito dissuasório, mas, ao contrário, estão sendo vistas como um custo adicional dos negócios pelas empresas BigTech e por muitas outras que tiveram a infelicidade de sofrer um incidente envolvendo dados.
Mais uma vez, as empresas responsáveis que se empenharam ao máximo para adotar medidas razoáveis, mas que, infelizmente, não conseguiram evitar erros ou ataques, correm o risco de serem multadas assim que notificarem o órgão regulador local. Enquanto isso, as empresas irresponsáveis que optam por não cumprir as normas simplesmente evitarão relatar os incidentes e tentarão encobri-los para escapar das multas. As multas, portanto, tornaram-se mais um indicador tardio de infortúnio para as empresas responsáveis do que de má conduta por parte das irresponsáveis.
Histórico de inércia regulatória
A maioria das empresas da BigTech, atraídas por um regime tributário favorável, optou por estabelecer suas sedes europeias na Irlanda. O órgão regulador local, a DPC da Irlanda, é, portanto, responsável por garantir que elas cumpram o GDPR e outras regulamentações semelhantes. Seja por falta de recursos, relutância em causar polêmica ou simplesmente por estar em desvantagem e ser superada pelo lobby das empresas de BigTech, a DPC da Irlanda tem sido vista como ineficaz na hora de responsabilizá-las por suas ações.
Em um caso notável, as medidas que a agência deixou de tomar contra o Facebook foram, por fim, resolvidas pelo Tribunal de Justiça da União Europeia por meio das decisões Schrems I e Schrems II. Ao continuar a não tomar medidas e a não aplicar essas decisões, a DPC da Irlanda foi sancionada pelo Parlamento Europeu em uma votação de 451 a 1. Quando novas pressões por parte de órgãos reguladores de toda a Europa a forçaram a agir, após um atraso de dois anos, a multa que aplicou ao Facebook foi tão baixa que teve de ser aumentada (dez vezes) por insistência dos demais órgãos reguladores.
A Provedora de Justiça da UE, Emily O’Reilly, acabou por abrir uma investigação sobre o acompanhamento feito pela Comissão Europeia quanto à aplicação das regras de proteção de dados na Irlanda. Oito meses depois, o Conselho Irlandês de Liberdades Civis (ICCL) criticou a UE por sua contínua falha em monitorar adequadamente a aplicação do RGPD na Irlanda, enquanto “os direitos fundamentais de todos os europeus estão em jogo”. Atualmente, há iniciativas em andamento para retirar da Irlanda a responsabilidade pela regulamentação das empresas de Big Tech e, em vez disso, centralizar essa fiscalização.
Fiscalização global ineficaz
Enquanto isso, o número e o grau de sofisticação dos ataques cibernéticos estão aumentando exponencialmente, assim como o custo das medidas corretivas. O Fórum Econômico Mundial (WEF) não só solicitou recentemente uma utilização mais generalizada de “simulados de segurança cibernética” para testar as capacidades de segurança cibernética e de resposta a incidentes, como também vem defendendo a necessidade de regras globais para combater o crime cibernético.
Estima-se que os prejuízos causados por todas as formas de crime cibernético, incluindo os custos de Recovery e reparação, tenham totalizado US$ 3 trilhões em 2015 e US$ 6 trilhões em 2021, podendo chegar a US$ 10,5 trilhões por ano até 2025.
O seguro cibernético não é a solução. O rápido aumento dos prêmios faz com que ele fique fora do alcance da maioria dos consumidores, mas mesmo aqueles que têm condições de pagá-lo muitas vezes percebem que não vale a pena. Ao mesmo tempo, não se pode esperar que o seguro cibernético cubra problemas sistêmicos e, de qualquer forma, ele tem o efeito perverso de, potencialmente, agravar ainda mais problemas graves.
Embora quase todos os países tenham assinado acordos das Nações Unidas para o combate ao crime, incluindo o crime cibernético, alguns deles fecham os olhos e, em vez disso, oferecem refúgios seguros para que os criminosos cibernéticos operem. Embora a maior parte do crime cibernético tenha origem em países como a Rússia, o Irã ou a Coreia do Norte, tais atividades não se limitam a essas nações rebeldes e continuam ocorrendo bem mais perto de nós. Além disso, países como a China realizam operações significativas de espionagem, e os Estados Unidos são responsáveis por grande parte da vigilância em massa global — o que, em sua totalidade, viola o GDPR e uma série de outras leis.
Precisamos começar pela obrigatoriedade de notificação de violações de dados e roubos cibernéticos. Isso já começou nos EUA com a Lei de Notificação de Incidentes Cibernéticos para Infraestruturas Críticas, de 2022, e na UE com a Diretiva sobre a Segurança das Redes e dos Sistemas de Informação, de 2018. No entanto, há também uma série de outras regulamentações que obrigam os serviços de pagamento por telecomunicações, os fabricantes de dispositivos médicos e os provedores de infraestruturas críticas a notificar essas violações.
Assim que dispusermos de dados mais precisos sobre o problema, poderemos nos concentrar em melhorar a eficiência e a eficácia das investigações, dos processos judiciais e das decisões judiciais no âmbito internacional. O Escritório das Nações Unidas sobre Drogas e Crime está promovendo um Programa de Crimes Cibernéticos que tem os seguintes objetivos:
- Maior eficiência e eficácia na investigação, no julgamento e na resolução de casos de crimes cibernéticos, especialmente a exploração sexual infantil e o abuso infantil online, dentro de um sólido quadro de direitos humanos.
- Resposta eficiente e eficaz a longo prazo de todo o governo ao crime cibernético, incluindo coordenação nacional, coleta de dados e marcos jurídicos eficazes, levando a uma resposta sustentável e a maior dissuasão.
- Fortalecimento da comunicação nacional e internacional entre o governo, as autoridades de segurança pública e o setor privado, acompanhado de uma maior conscientização do público sobre os riscos do crime cibernético.
Esses são objetivos louváveis. No entanto, ainda estamos muito longe de que as vítimas de crimes possam ligar para a polícia — seja em nível local, nacional ou internacional — com qualquer expectativa de obter assistência prática ou justiça. A realidade é que, quando se trata de crimes cibernéticos, com exceção dos especialistas em resposta a incidentes do setor privado, você está por conta própria.
- Os funcionários raramente seguem as normas de higiene cibernética de maneira adequada
- Os órgãos reguladores não agem de forma proativa na identificação e no combate às infrações
- Os criminosos estão se tornando cada vez mais ousados, agressivos e sofisticados
- A polícia não consegue agir contra criminosos que operam a partir de refúgios
- E os CISOs são sempre os bodes expiatórios quando as coisas dão errado
Nesse ambiente de “Oeste Selvagem”, não há nenhuma cavalaria vindo em seu socorro; portanto, espera-se que você esteja devidamente preparado e pronto para se defender. Siga as dicas do artigo de Thomas Bryant e aprenda a lidar com a situação da melhor maneira possível. Não há como substituir uma segurança cibernética e uma resposta a incidentes bem executadas.
