Em 2022, espera-se que milhares de milhões de aparelhos estejam conectados. De lâmpadas inteligentes a robôs aspiradores, o raro vai ser não ter um produto conectável em casa. Nas fábricas e escritórios, o mesmo. A pensar neste cenário, a Siemens está a priorizar a cibersegurança. O objetivo é o de acautelar todos os riscos digitais que este novo mundo vai trazer. À frente desta mudança está uma mulher, Natalia Oropeza, responsável esta área na empresa que tem como foco a eletrificação, automação e digitalização. Em entrevista ao Observador, defende que não é preciso ter medo das mudanças que vão surgir, mas é necessário estarmos conscientes de todas as alterações, boas e más, que vão trazer.

O percurso de Natalia até desempenhar um dos cargos de topo da Siemens ajuda a perceber como a cibersegurança tem crescido nas últimas décadas. A mexicana formada em engenharia eletrónica, também especializada em Finanças, trabalha há 27 anos com tecnologias de informação. Destes, 13 anos são a viver na Alemanha, mas tudo começou em 1990, no México, quando começou a trabalhar na Volskwagen. Nesta empresa de automóveis, que detém marcas como a Seat, a Skoda e a Lamborghini, Natalia trabalhou como técnica e chegou ao cargo de diretora de segurança tecnológica. Neste caminho, que a fez trabalhar também nos Estados Unidos, visitou a fábrica da AutoEuropa mais do que uma vez, em Palmela, e por isso veio “pelo menos três vezes por ano” a Portugal, em férias.

Desde janeiro de 2018 que Natalia é a escolhida da Siemens para mudar a abordagem da empresa à cibersegurança. Neste novo cargo veio pela primeira vez a Portugal, em março, e recebeu o Observador na sede em Alfragide. Natalia, que também é fundadora da Women4Cyber, uma iniciativa europeia para incentivar que mais mulheres invistam na cibersegurança, deixa uma mensagem sem género: “Há falta de talento em cibersegurança em todo o mundo. Não de empregos. As ofertas de emprego estão lá”. O investimento na “proteção, deteção e defesa” dos riscos digitais leva a Siemens a investir, também aqui em Portugal, em parcerias com universidades e Natalia a afirmar que vai alargar a equipa global nos próximos três anos.

É possível que alguns países interfiram na infraestrutura de eletricidade de outros, como acusou Nicolás Maduro na Venezuela? Vamos chegar ao dia em que teremos medo de acender as luzes porque um país como a Rússia ou a China podem estar a infetar-nos com um vírus informático?
Não recomendo ter-se medo. Digo sempre que o que é preciso é estar consciente do risco. Quanto mais digitalização e automação pusermos nos diferentes produtos — e não falo só das infraestruturas, é preciso pensarmos também noutras coisas — e maior acesso à rede tiverem as comunidades, haverá cada vez mais conectividade e um risco maior de essas coisas serem comprometidas. Só se pensa nestas solução para outras coisas, como os transportes públicos serem controlados por um sistema que planeia as rotas.

A consciencialização tem de aumentar e a cibersegurança tem de ser levada a sério. Começa por fazer isso. Sempre que se vê uma empresa como a Siemens a ter a cibersegurança como prioridade, está a fazer-se já a coisa certa. O mesmo aplica-se aos governos e a outras entidades. Por isso, temos de levar a sério o tópico do mundo digital. É uma das base da nossa Carta de Confiança. Caso contrário, é isso que vai acontecer: as pessoas a terem medo do que temos de fazer para desenvolver uma sociedade no mundo digital. Utilizar a digitalização é ter confiança no que se está a fazer. É essa a importância da cibersegurança. Essas coisas podem acontecer, não posso dizer que não à pergunta. Mas temos de estar conscientes disso e lidar com o risco da maneira correta.

Chegou praticamente ao topo nesta área, numa das maiores empresas de tecnologia de informação do mundo.
Estou muito contente por estar a fazer o trabalho que estou a fazer na Siemens. É um trabalho muito desafiante de uma maneira ultra moderna numa empresa que está a levar a cibersegurança muito a sério.

Isto num ano e dois meses.
Sim, juntei-me a 15 de janeiro de 2018.

E tem uma missão específica na Siemens. Pode explicá-la? 
A Siemens é uma das primeiras empresas a olhar para cibersegurança com uma abordagem holística. Vou explicar o que quero dizer com “abordagem holística”. O que estamos a fazer é a incluir os vários aspetos da cibersegurança, a começar pela infraestrutura, passando pelos produtos e pelo desenvolvimento da oferta de cibersegurança para os departamentos ou empresas de operações. A 1 de abril chegou aos nossos clientes. Em três pontos, isto é o que chamamos uma perspetiva end-to-end (ponto a ponto, em português).

Mencionei a infraestrutura, o produto e a oferta, agora, deixe-me dizer que não estamos só a proteger as infraestruturas informáticas tradicionais, como também estamos a incluir as operações de tecnologia que podem ser encontradas em várias fábricas. Aqui, introduzimos a cibersegurança em inúmeros produtos. A Siemens tem imensos produtos diferentes, de turbinas a comboios, a equipamentos de saúde. Por isso é que a posição e o interesse neste cargo é tão desafiante e interessante, porque a Siemens é uma das primeiras empresas a olhar para este aspeto de forma vertical “end-to-end” [em toda a cadeia de produção].

Nas empresas tradicionais é normal encontrar este aspeto segmentado. Isto significa que os departamentos de cibersegurança e informática, as operações de tecnologia e os ambientes de produção e a segurança de produção estão normalmente em departamentos de pesquisa e desenvolvimento. Isto é estar segmentado e estamos convencidos de que se pusermos tudo junto podemos ganhar muita tração. Agora, estamos a medir o que desenvolvemos para os departamentos de tecnologias de informação [IT] num longo período de tempo, para o produto, para as operações e, mais importante, é possível perceber de um ponto de vista comercial quanto apetite existe para o risco. Depois, pode gerir-se este risco em cibersegurança porque sabemos que não podemos reduzir todos os riscos que temos.

Falou de riscos, qual é a maior armadilha de cibersegurança que enfrentam atualmente? 
A digitalização. Diria que o mundo digital inclui duas coisas que são muito relevantes para a cibersegurança. A primeira é que o mundo digital inclui software. Ou seja, há software em todo o lado e o mundo digital é também um mundo conectado. Temos tudo conectado. Presumo que já tenha visto alguns cálculos de quantos dispositivos vamos ter conectados no futuro e podemos estar a falar de 20 milhões ou 20 mil milhões, não interessa. A verdade é que estamos a ver cada vez mais dispositivos ligados que não estavam ligados antes. Exemplo? Os robôs numa linha de produção. Estavam praticamente isolados a fazer uma tarefa numa linha de produção. Contudo, agora, com a digitalização, têm de estar conectados a outros e partilhar informação. Isto faz com que a funcionalidade destes robôs seja mais eficiente para a digitalização e para a automação. O mesmo acontece com os controladores numa linha de montagem e o mesmo aplica-se também aos dispositivos móveis, e tantos outros. Isto tudo está a aumentar o risco de cibersegurança.

Todos os softwares têm aquilo a que chamamos de vulnerabilidades. A definição de vulnerabilidades para nós é: uso indevido de uma funcionalidade. Assim, se se tiver programado uma função num software, ou o que quer que seja para se prever a próxima manutenção, o uso indevido dessa funcionalidade é o que chamamos de vulnerabilidade. E sabemos que estes produtos estão sempre a ser atualizados ou melhorados. Por exemplo, de vez em quando, é preciso atualizar um smartphone. A razão para ter de o fazer é porque o software não é perfeito. Há sempre melhorias a fazer. Não é um produto perfeito. Não é como um produto fisicamente perfeito.

Há sempre riscos?
Há sempre riscos. É isto a que chamamos vulnerabilidade. Por isso, sempre que se utiliza software, as vulnerabilidades estão incluídas. Não há nada de errado com isso. É o que é. Agora, o facto de estes aparelhos conectados incluírem software alarga o risco por todo o lado, porque podem ser utilizados indevidamente. Isto é apenas um lado da moeda. O outro lado é que há grupos de pessoas, chamados hackers (piratas informáticos), que têm motivações diferentes para se aproveitarem destas vulnerabilidades. Estes motivações podem ser financeiras, se quiserem roubar dinheiro, ou se quiserem roubar informação, podem querer dar outras empresas que estão a precisar de desenvolvimento tecnológico. E há outros motivos, como motivações políticas, ativistas e também terroristas, que utilizam estas vulnerabilidades para fazer ataques. Há motivos diferentes e, em empresas como a Siemens, o que vemos normalmente é que somos atrativos por sermos uma empresa bem sucedida, o que é apelativo para tentarem roubar informação.

Essa atração existe porque a Siemens tem a acesso a muitos dados?
Tem bastante acesso. E tem informação que pode desenvolver e que outros querem desenvolver. Esta é a principal motivação. Mesmo assim, por mais bem sucedida que a Siemens seja, também é mais atrativa por outras motivações. Por isso, não podemos deixar de parte que provavelmente vamos ser utilizados para [os hackers] obterem informação para exercerem outro tipo de ações nos produtos e nas linhas de produção que temos. O risco que está incluído neste mundo digital está a aumentar o risco de cibersegurança.

Muitas empresas tecnológicas, tão grandes e mais pequenas do que a Siemens, estão também a investir em cibersegurança. Há um tema comum entre as empresas de tecnologia sobre a próxima grande guerra ser uma ciberguerra…
[Rapidamente, sem podermos terminar a pergunta] Eu concordo.

Partilha esta visão? Porquê?
Concordo plenamente. Há muitas coisas que podem ser utilizadas. Pode ser muito disruptivo para a sociedade. Se uma pessoa quiser atacar um país ou uma localização específica, ataca a produção de energia. Comprometer a entrega de energia pode fazer muitos danos a uma comunidade ou a um país e pode ser utilizado para atacar um país. Esta é uma razão específica pela qual acredito que a próxima guerra vai ser uma ciberguerra. A outra razão, e as pessoas estão a especular sobre isso, é que no futuro, como vamos ter tudo conectado e autónomo — se pensarmos por exemplo num ar condicionado ou nos diferentes eletrodomésticos, como uma máquina de lavar –, vai acontecer o que chamamos de “armamentização de eletrodomésticos”. Há pessoas que pensam que estes aparelhos podem ser utilizados como armas para perturbar a vida quotidiana da sociedade no futuro.

Mas, por exemplo, ninguém quer chegar a casa e perceber que a sua máquina de lavar parou e passou de repente a ser uma arma. Como podemos prevenir que isto aconteça?
Sim. É esse o nosso trabalho. Obviamente, não se pode reduzir os riscos. Mas é possível fazer-se uma boa mitigação dos diferentes riscos que temos neste mundo digital. Basicamente, o que criamos é medidas de proteção pró-ativas, como encriptação, como acesso a um gestor de identidades. No futuro, vamos ser mais inovadores ao utilizar a tecnologia de blockchain para dar alguma proteção, saber que medidas foram feitas e ter confiança nestas medidas.

Estas são as medidas preventivas e, obviamente, também temos a gestão de atualizações e de configuração dos dispositivos. Todas estas coisas são o que chamamos de proteção em medidas preventivas. Se utilizar uma máquina de lavar ou um iPhone damos-lhe a possibilidade de proteger os seus dispositivos. Agora, a boa notícia é que, quanto mais inovação utilizarmos, e isto é algo que estamos a fazer na Siemens, é algo que vai ser menos difícil de acionar. Dando um exemplo, ainda é preciso configurar o iPhone ao ativar algumas especificações que dão permissão à Siri para atuar ou não. No futuro, tudo isso vai ser mais autónomo para o utilizador não ter de pensar duas vezes no que tem de configurar e ser uma ferramenta base de segurança.

Isto porque a Siemens falou com as empresas antes para garantir que tudo vai funcionar para o consumidor final?
Certo. Inovamos em todos os campos em que trabalhamos e a cibersegurança não é uma exceção. A outra coisa em que estamos a trabalhar bastante é no garantir que o utilizador não seja responsável por ter de definir a palavra passe certa, controlando isso de uma forma muito mais automática. Não só o utilizador final, mas também os administradores de infraestruturas críticas.

Por exemplo, pessoas que trabalhem em infraestruturas elétricas aqui em Portugal podem ter acesso a esta tecnologia e mecanismos?
Sim. Isso é o que chamamos de gestão de contas com acesso privilegiado. Isso autonomiza a introdução de palavras passe para que seja necessário apenas inserir uma. E não é o utilizador a definir a password, é o dispositivo a definir a palavra passe por 24 horas. Isso vai automatizar as ferramentas e automatizar a segurança de que estávamos a falar. Falámos de proteção e prevenção e isto é o modelo de medidas que criamos em proteção de deteção. Temos também outros modelos de deteção. A deteção é descobrir que tipo de vulnerabilidades temos. O que é uma prioridade para mim e com o que tenho de lidar. Temos, por exemplo, white hacking (hacking ético para prevenção), pen testing (testes de segurança), temos red teams (equipas de hacking de teste), black box assessment (teste de software sem comprometer o sistema global).

No final do dia, é importante testarmo-nos a nós próprios em perspetivas diferentes para sabermos como é que alguém nos pode atacar, mas este teste deve ser feito num ambiente fechado. Por fim, sabemos que, mesmo com medidas de proteção e de deteção, se vamos ser atacados temos de ter um serviço de defesa e a defesa tem de ser responsável pelos ataques que vemos todos os dias. Podem ser milhares por mês ou milhares por semana. Depende do quão interessados estão os motivados em atacar-nos e o interesse dos hackers na infraestrutura.

Quantos ataques sofre a Siemens em média?
Podem ser milhares por mês. Mas milhares por semana também. Mas as ferramentas e a experiência, algumas destas estão aqui em Portugal. Temos também o centro de processamento para poder tratar disso, como sistemas de gestão de crise, e outros.

“Acho que se se seguir as leis atuais, já se tem um bom nível de proteção, provavelmente 80%”

A Siemens está a investir em 5G?
O que é que chama de 5G?

A infraestrutura que vai permitir às operadoras disponibilizarem redes 5G às empresas para poderem ligar-se a esta rede.
Quase de certeza que sim, mas não sou a pessoa mais indicada sobre isso.

O que quero saber são as medidas de cibersegurança que podem ser aplicadas aqui. Na indústria, sinto que o 5G parece ser a próxima base da comunicação.
O que fazemos é praticamente a mesma coisa — é aplicar as mesmas medidas de que já falei: a proteção. Ou seja, qualquer tecnologia precisa do acesso e gestão de identidade e as encriptações que utilizamos noutras infraestruturas. E precisamos de fazer deteção. Pen testing e fazemos a defesa.

É mais fácil para os europeus confiarem na Siemens, mas não há tanta confiança noutras empresas, como as chinesas Huawei ou a ZTE ou outras americanas. Devemos confiar em todas?
Diria que todas as empresas devem fazer o que fazemos: a análise de risco necessária em tudo. Para nós, não há diferença entre ser uma empresa ou outra, estamos sempre a fazer a análise necessária de risco em diferentes tecnologias de fornecedores que utilizamos. Não posso simplesmente dizer, só porque agora isto é [pausa]… Parece ser o maior risco ou o maior país de risco, não vou utilizar a minha energia nisso. Se o fizer, perco o resto. Venham as tecnologias da China ou dos EUA ou da Alemanha, ou de onde for, temos de seguir os nossos processos: identificar o risco, fazer a deteção e o pen testing. Temos de fechar o que consideramos ser um risco. Se não fizermos isso e estivermo-nos a concentrar apenas num simples canto, isso é muito perigoso. Para nós e para todos.

Sente que as leis que estão implementadas atualmente, como as da União Europeia, são suficientes ou devia haver mais legislação?
Acho que se se seguirmos as leis atuais já temos um bom nível de proteção, provavelmente de 80%. No geral, sinto que a cibersegurança está a ser desenvolvida de todas as perspetivas — do ponto de vista das soluções e da regulação. O que vai acontecer é que precisamos e vamos precisar de mais regulação com a chegada do IoT (Internet of Things, em português Internet da Coisas, cada vez mais aparelhos conectados à rede para comunicarem entre si). Há pouca regulação no IoT e na padronização da cibersegurança para este tópico. Isto é algo que ainda precisa de ser desenvolvido.

Mas isso devia passar por um acordo global? Pode ser apenas europeu? O que precisa a Siemens do ponto de vista de regulação?
Temos mais ou menos, só para dar uma ideia, cerca de 70 legislações principais a nível mundial que nos afetam, tanto na infraestrutura como nos produtos. Não são apenas as europeias, alemãs ou as francesas, também é a lei de cibersegurança na China ou a segurança da Cloud (armazenamento em servidores remotos, “na nuvem”) na Califórnia. Basta dizer. Temos diferentes regulações que temos de cumprir. Seja de infraestrutura ou de produto. O que temos na Siemens é uma espécie de radar de legislação e, sempre que algum país ou localização está a emitir ou fazer uma lei, fazemos uma análise sobre como somos afetados e como é que a temos de cumprir. O Regulamento Geral Sobre a Proteção de Dados (RGPD) é uma lei muito importante, porque agora estamos obrigados a proteger os dados pessoais.

Considera que o RGPD foi um bom avanço, tanto para a lei como para a inovação?
Sim, claro. Absolutamente. E depois estamos muito conscientes de coisas que estão agora a aparecer. As nossas equipas estão a ver o que se passa no mundo, porque somos globais. Não é apenas na Europa ou Alemanha. Temos de saber se a infraestrutura e os produtos cumprem com o necessário. Somos muito ativos nisso. E fazemos o necessário.

“Há falta de talento em cibersegurança em todo o mundo. Não de empregos. As ofertas de emprego estão lá”

Não a primeira vez que vem a Portugal, certo?
Sim. Estou apaixonada por este país por isso venho aqui muito. Venho por motivos pessoais, como férias, e negócios. Por isso, já estive em todo o lado em Portugal. Porto, Lisboa, Ágora, Algarve (em vários sítios, como Lagos). É um país muito bonito.

Mas já veio a Portugal em negócios no passado. É a primeira vez que vem com a Siemens em negócios a Portugal? 
Com a Siemens é a primeira vez, mas no passado era responsável de tecnologia de informação na Volkswagen e, por isso, visitei a localização de produção em Palmela [a AutoEuropa]. Vim também a Portugal muitas vezes por motivos pessoais, como disse. Três vezes por ano, provavelmente. Venho com o meu marido e passamos aqui um fim-de-semana.

Estava a ver o pin, com a bandeira do México e da Alemanha, e é uma das perguntas que tenho para fazer…
Gosto muito. É da Hannover Messe (feira da indústria da tecnologia) do ano passado, porque o México foi o pais patrocinador no ano passado. Por isso, a Siemens fez isto com a bandeira mexicana e alemã. Gosto muito porque representa o que está no meu coração, sou uma mexicana a viver na Alemanha, muito feliz.

Há quanto tempo está a viver na Alemanha?
13 anos.

Foi com a Volskwagen?
De 1997 a 2001 foi com a Volskwagen. Depois foi com Deutsche Telekom, de 2009 a 2011. Depois de 2011 a 2018, com a Volskwagen novamente. E, nesse ano, mudei-me para a Siemens.

E o que veio fazer a Portugal?
Tenho falado com a equipa. Garantir que está tudo a correr bem e têm tudo o que é preciso para levar a cabo os trabalhos que fazem. Obviamente, estou também a falar com os diferentes responsáveis, como o presidente executivo, e a garantir que estou a acompanhá-los devidamente e responder às questões que têm.

Vamos ver mais investimento da Siemens em cibersegurança aqui em Portugal?
Sim. Acho que no geral todas as empresas estão a crescer no investimento e gastos que fazem em cibersegurança. É um tema em que as empresas estão todas interessadas e isso significa que vamos crescer globalmente. Incluindo Portugal, claro.

Podemos ter alguma estimativa? Isto porque houve uma entrevista à Bloomberg em que falou que há falta de trabalhadores em cibersegurança…
Há falta de talento em cibersegurança em todo o mundo. Não de empregos. As ofertas de emprego estão lá. Por isso, estamos a contar aumentar as equipas, significativamente, nos próximos um a três anos. Assim que tivermos os números, dizemos. Mas é um aumento significativo que vamos fazer.

Aqui em Portugal, também?
Sim, claro. Estamos muito contentes com a equipa em Portugal e são parte da equipa global. Estamos a fazer muitas coisas aqui e muito progresso em cibersegurança.

Vão investir de que forma? Parcerias com universidades? Outros modelos?
Sim. Temos já algumas parcerias com universidades, especificamente aqui em Portugal. Desta forma, podemos ter não só alguns estudantes, mas estamos também a tentar influenciar os programas para saberem o que precisamos para termos o mais cedo possível a experiência de que precisamos. Acho que é uma empresa muito boa. Fizemos crescer a equipa em Portugal de forma muito rápida. Quando falo em crescimento falo em ser produtiva nos diferentes campos de cibersegurança. Estão normalmente a trabalhar nos vários pontos que já referi: proteção, deteção e defesa. Depois estamos a planear expandir isso em Portugal.

E para outras empresas em Portugal? Para ajudar na defesa em cibersegurança?
Sim, faz parte da nossa agenda a participação de Portugal nos serviços globais neste três pontos.