Estamos com Pedro Veiga, antigo coordenador do Centro Nacional de Cibersegurança, que nos vai falar sobre a importância da cibersegurança, assim como o ataque à Vodafone Portugal e outros ciberataques que têm acontecido no país. Senhor professor, muito obrigado por falar com a Rádio Observador. A primeira pergunta que tenho, no final desta semana que ficou muito marcada com este dia em que a Vodafone não foi capaz de prestar serviço aos clientes, é se ficou surpreendido quando soube do ataque à Vodafone.

Sim, fiquei surpreendido pela natureza do ataque e como ele aconteceu, mas os ataques de ciber são frequentes há muitos anos. O caso mais midiático aconteceu em 2007, quando, na sequência de uma movimentação de uma estátua em Tallinn, a Estónia foi alvo de imensos ataques, esteve cerca de um mês com uma disrupção enorme de serviços públicos, nomeadamente. E todos os dias há vários ataques a nível mundial que ocorrem e, portanto, os ciberataques pra mim são normais. Este teve umas características um bocado atípicas e eu não tenho muita informação técnica. Eu ouvi ontem o presidente da Vodafone Portugal falar, mas ele também não entrou em detalhes técnicos e eu não os tenho. Mas fiquei surpreendido com este tipo de ataque, se bem que eles já estejam na agenda política há muitos anos. Em 2016, foi aprovada a nível europeu a diretiva NIS, Network and Information Security, que depois acabou por ser transposta pra legislação portuguesa pela Lei de Segurança do Ciberespaço. E há uma série de setores do nosso dia a dia cuja dependência no digital é crescente e que estão elencados, estavam na diretiva e estão na legislação, como serviços essenciais na área da energia, das comunicações, da saúde, serviços financeiros, coisas como a água potável, que é uma coisa que as pessoas pensam: "Mas o que é que têm as tecnologias a ver com água potável?" Têm a ver porque grande parte dos sistemas são controlados hoje em dia por computadores, é feito tudo automaticamente, e se esses computadores forem invadidos, pode provocar disrupção no fornecimento de água potável. E depois há também as infraestruturas digitais. Portanto, a crescente dependência da nossa sociedade nas tecnologias digitais motiva uma preocupação de várias entidades e, como lhe disse, em 2016, foi aprovada no Parlamento Europeu essa diretiva.

2016, o ano em que começou a exercer as funções de coordenador do Centro Nacional de Cibersegurança, estou a dizer bem.

Sim, em 2016, início de 2016, eu fui convidado pela ministra da Presidência e Modernização Administrativa, a professora Maria Manuel Leitão Marques, pra coordenador do centro. Seria um mandato, em princípio, de três anos, mas eu pedi pra ser exonerado do cargo antecipadamente, porque as ideias que eu tinha relativamente a como o centro devia ser munido de recursos e ter autonomia não se verificaram, foi-me prometido, mas depois não se verificaram e eu achei que deveriam colocar no lugar uma pessoa que se alinhasse mais com as políticas que o governo pretendia prosseguir. Eu não pretendia estar alinhado com coisas que eu não acreditava, nomeadamente pela grande insuficiência de meios que eu considero necessários para uma boa cibersegurança no país.

Isto em 2018. Sente que desde esse ano que as críticas que apontou a esta estratégia nacional de cibersegurança, criticando esta falta de recursos, foram tiras em conta para melhorar a unidade ou que nada foi feito?

Na minha opinião, o que foi feito é nitidamente insuficiente. Já agora, as minhas críticas tinham a ver, por um lado, com o enquadramento do Centro Nacional de Cibersegurança, que eu entendia que devia ser autônomo, aliás, como tinha sido apontado por um relatório de uma comissão instaladora, mas depois quiseram manter o Centro de Cibersegurança dentro do Gabinete Nacional de Segurança, que é uma entidade dirigida sempre por um militar e nos últimos anos tem sido dirigida por um almirante da Marinha, e na dependência da Presidência do Conselho de Ministros. A dependência do Conselho de Ministros parece-me adequada pela transversalidade que tem, já estar ligado a uma tutela militar, eu não concordo minimamente. Acho que há uma grande confusão entre o que é a ciberdefesa e a cibersegurança. A ciberdefesa, que é muito importante, deve ser tratada pelos militares, é a proteção das nossas infraestruturas militares, que também têm uma crescente dependência no digital e que têm objetivos estratégicos e táticos de uma natureza. E depois há a proteção da sociedade civil naqueles setores que eu elenquei há pouco e que são os que estão na diretiva e que devem ser tratados pela sociedade civil e, portanto, devia haver um desligar completo. Mas também me apercebi que havia, e agora entre aspas, uma guerra de protagonismos dentro dos militares por esta área, que é uma área moderna. Numa cimeira da NATO, que até se realizou em Portugal, o ciberespaço foi entendido como uma nova dimensão de intervenção, a complementar as que já existiam da terra, mar, ar, espaço e criaram o ciberespaço. E houve uma grande apetência dentro, esta é a minha perspectiva, das Forças Armadas para agarrarem isto e também havia, entre os ramos, uma certa competição por esta nova área E isso tendia-se a tentar tutelar o que veio a ser vertido na lei dos sectores civis nestas áreas, o que eu não concordava e, portanto, não quis prosseguir a minha participação no Centro de Cibersegurança.

Na altura, o termo que utilizou foi a militarização da cibersegurança em Portugal.

Exatamente.

Mas perante as ameaças que hoje em dia enfrentamos, até já as que referiu, não faz sentido esta ser uma área com cunho forte das Forças Armadas, estar de braço dado à vertente militar do Estado?

Não. Na minha opinião, são áreas que têm objetivos estratégicos e táticos diferentes. Já agora, entenderíamos que em situações normais, tivéssemos militares a entrarem pelos operadores de telecomunicações e inspecionar as redes dos operadores de telecomunicações ou entrarem nos hospitais e verem se os sistemas estão devidamente geridos ou entrarem nas redes de distribuição de energia. Na minha opinião, não faz sentido. As pessoas nem têm capacidade para isso, têm objetivos especialmente táticos bastante diferentes e, portanto, era a minha opinião. Admito que haja muita gente que não concorde comigo, mas eu não estava disponível para continuar à frente de algo em que não acreditava.

Voltando aqui a este ataque à Vodafone Portugal, sente que o mesmo podia ter sido evitado?

Não estou em condições de dizer isso. Devo dizer que acho o ataque muito invulgar, até pelo que o presidente da Vodafone ontem disse, os elementos onde o ataque incidiu, que são bastante atípicos em relação ao que são os normais ataques de cibersegurança. Mas já agora, há um aspecto que não tem sido muito referido e que chama a atenção para a fragilidade das nossas infraestruturas da sociedade face às tecnologias, que neste momento são importantes para o funcionamento da nossa sociedade. Por exemplo, há dois anos, um ano, começou a ser muito discutida a existência no núcleo, no core das redes 5G, que estão agora a ser implantadas, de equipamentos que tinham origem num certo fabricante, num certo país. Acho que são preocupações legítimas, porque se num ambiente de um conflito futuro e com semelhanças ao que, por exemplo, agora está a haver na fronteira da Federação Russa com a Ucrânia. Esses atores estrangeiros atacarem as infraestruturas que têm equipamentos que eles ajudaram a conceber e onde eventualmente tenham existido fragilidades, a nossa sociedade está em sério perigo.

Neste caso que está a falar, se me permite interromper, da Huawei e da China, não estou em erro?

Da Huawei, é um exemplo. Neste caso concreto, é os equipamentos da Huawei e da China, mas há outros equipamentos de outros fabricantes que poderão ter fragilidades idênticas. Portanto, a discussão centrou-se efetivamente relativamente a esses equipamentos e esse país que referiu. Mas uma situação análoga pode verificar em relação a outros equipamentos. Aliás, o ataque a infraestruturas civis é frequente. Estamos agora muito centrados na colocação de dispositivos militares na fronteira da Federação Russa com a Ucrânia e da Bielorrússia, mas os ataques às infraestruturas da Ucrânia já são frequentes há muitos anos. Eu tenho conhecimento de pessoas na Ucrânia que dizem que ataques a centrais de produção de energia elétrica são frequentíssimas há muitos anos. E também podemos recordar que em meados do ano passado, um pipeline nos Estados Unidos, o Colonial Pipeline, foi alvo de um ataque também que esteve paralisado durante um tempo apreciável. Portanto, o ataque às infraestruturas da nossa sociedade, que são a maioria importantíssimos para a sobrevivência da nossa sociedade, não obedecem às regras do que existe noutras áreas, o que levou inclusive ao secretário-geral das Nações Unidas, o António Guterres, e também foi secundado pelo presidente da Microsoft, a dizer que estamos a precisar de uma Convenção de Genebra para o mundo digital, porque os ataques não têm fronteiras aqui, fazem disrupções sérias às infraestruturas das sociedades civis, não à parte militar, e portanto, temos de agir com rapidez.

Mas voltando à questão dos recursos que tinha falado em 2018 e já referiu. Para ataques futuros, tanto empresas como a Vodafone Portugal e os seus concorrentes, como as próprias infraestruturas do Estado estão igualmente preparadas, estão igualmente mal preparadas? As empresas podem estar, o Estado pode não estar. Que perspectiva é que tem sobre esta questão?

Infelizmente, não é uma perspectiva muito positiva. Aliás, se olhar para o que tem vindo a público, e eu tenho informação além dessa, mas o que tem vindo a público, por exemplo, tem havido imensos ataques a hospitais no nosso país. Hospitais que têm tido paralisações mais ou menos graves da sua operação, nomeadamente por ataques de ransomware. Temos neste momento os Laboratórios Germano de Sousa, também com uma perturbação grave na sua operacionalidade. Portanto, os ataques de ransomware a hospitais têm sido frequentes há vários anos Há outros ataques que se têm verificado e que pura e simplesmente não têm sido divulgados junto do grande público, mas é um problema relativamente grave que se verifica. Depois, também a nível internacional, não há uma harmonização de mecanismos para tentar capturar os criminosos que protagonizam estes ataques. Também porque as jurisdições dos vários países e territórios não são uniformes. Aquilo que nós pensamos natural, que é, por exemplo, um ataque à rede do operador X, que originou no país africano Y ou no país asiático Z ou num país da América Latina, às vezes esse tipo de ataques, ao abrigo da legislação desse país, não é um crime, é perfeitamente possível. E portanto, quando depois as nossas autoridades de justiça tentam obter informações desses países, a informação não vem. Os meios de prova não existem, muitas vezes é extremamente difícil identificar a origem do crime, quem foi o criminoso ou a organização criminosa por detrás desse problema. Já agora, eu recordo-me em maio de 2017, eu fui a uma reunião em Bruxelas, que era presidida pelo vice-presidente da Comissão ENCIP, em que ele disse uma frase que me ficou na molha, que é: "O cibercrime, neste momento, é uma indústria". Indústria no sentido de que há muito dinheiro por detrás, como há por detrás de outras indústrias criminosas, como a droga, o tráfico de armas, etc. Portanto, há muito dinheiro por detrás e há verdadeiras organizações profissionais que fazem cibercrime e que tentam obter proveitos financeiros grandes através deste tipo de crimes. Aparentemente, no caso da Vodafone, pelo que eu sei, isso não aconteceu, nem se percebe muito, ou pelo menos eu não percebo neste momento qual a motivação, o mesmo tipo de ataque que incidiu no núcleo da rede de telemóveis. Mas portanto, isto é muito perigoso. E depois também começam a ver aquilo que eu costumo chamar os cibermercenários, que são mercenários que atuam no meio digital, que muitas vezes são postos a funcionar a mando de certos governos e que também introduzem uma nova dimensão na complexidade do problema.

Mas tanto seja deste cibermercenário, seja eventualmente negligência das empresas na proteção, não que seja esse o caso da Vodafone, outros casos dos seus sistemas, é uma inevitabilidade para o futuro que vejamos mais ataques semelhantes a estes?

Sim, o número de ataques é natural que aumente. Agora, deveria haver uma contrapartida na proteção das organizações. Já agora, por exemplo, automóvel. O número de acidentes de automóvel, especialmente a mortalidade, diminuiu muito quando se começaram a introduzir dispositivos de segurança, os cintos de segurança, os airbags. Infelizmente, no mundo digital, nas nossas organizações, não tem havido um paralelo no investimento em segurança, proteção digital nas organizações. As organizações muitas vezes olham para a cibersegurança, a proteção digital, como um gasto que deve ser evitado e não veem como um investimento que pode proteger a organização e evitar prejuízos muito maiores se a infraestrutura digital da organização for penalizada. Há um caso que também já aconteceu há uma série de anos, que pode ser relatado, foi a Target, que era um grande retailer no mundo online, que teve um ataque maciço, que roubaram imensa informação e fizeram uma disrupção enorme. E essa empresa teve prejuízo na bolsa descomunais porque não tinha investido o suficiente em cibersegurança. E é isso que me preocupa mais, que é os nossos gestores das organizações, e quando digo organizações, digo do setor privado, mas também do setor público, não investem devidamente em cibersegurança e deviam ter a visão de que o tipo de problemas e a intensidade dos problemas vai aumentar nos próximos anos. E a maneira de resolver isso é investir em cibersegurança.

Senhor professor, muito obrigado pelas declarações e pelas respostas às nossas perguntas. Iremos continuar a acompanhar este tema e provavelmente voltar-lhe a fazer mais perguntas, tendo em conta o papel que teve e que presumo que ainda tem de conhecimento na cibersegurança em Portugal.

Eu tenho todo o gosto, até do ponto de vista académico. Eu trabalhava nisto muito antes de ter ido para o Centro de Cibersegurança, há uns 30 e tal anos, e sinto sempre um certo gosto a tentar contribuir para que a nossa sociedade, nesta área em que eu trabalho, esteja mais protegida. E muito obrigado pelo vosso telefonema.

Obrigado.