1
Cibersegurança e Conhecimento Situacional Marítimo
Já é lugar-comum afirmar-se que as Tecnologias de Informação e Comunicação (TIC) nos rodeiam e condicionam a nossa vida de forma inexorável; a comunidade, cujas atividades estão ligadas ao mar, não é exceção. De facto, a atividade marítima depende cada vez mais deste tipo de tecnologias, uma vez que o seu contributo é determinante para a otimização dos processos do setor, contemplando tanto as áreas ligadas diretamente aos processos a bordo dos navios, como as associadas às entidades que, em terra, apoiam esta área da economia e que vão desde os sistemas de navegação aos que permitem o controlo da propulsão e produção de energia dos navios, controlo de tráfego, da carga e descarga, comunicações, etc. De igual modo, são estes sistemas que permitem que o pessoal embarcado mantenha o contato com terra através do ciberespaço, viabilizando um mais fácil acesso à informação relevante, quer para os assuntos de cariz privado, quer sobretudo para aqueles que estão associados à atividade profissional. No entanto, este contato incrementa a exposição aos perigos que existem no ciberespaço, e assim o risco associado a uma maior interação com aquele espaço, o qual aumentará progressivamente com o incremento da dependência das TIC e com a frequência da ligação ao ciberespaço. É, assim, fundamental desenvolver uma estratégia que, contribuindo para o desenvolvimento do conhecimento do que se passa no espaço marítimo de interesse nacional, mitigue os efeitos do extensivo recurso às TIC e da quase permanente ligação e dependência do ciberespaço.
Fig. 1 – Exemplos de sistemas baseados nas TIC utilizados na atividade marítima
Com este quadro em mente, o presente artigo pretende partilhar algumas reflexões relativas às especificidades dos assuntos relacionados com a cibersegurança no âmbito dos processos que nos permitem desenvolver conhecimento situacional marítimo, incluindo algumas recomendações que contribuirão para mitigar algumas das situações que hoje se verificam. Para isso, começaremos por referir os conceitos de Segurança da Informação, de Cibersegurança, e de Conhecimento Situacional Marítimo (CSM), o qual, devido à sua complexidade, será descrito com mais profundidade. De seguida, relacionaremos estes conceitos para enaltecer as características singulares e os desafios associados à cibersegurança no contexto dos sistemas que contribuem para o CSM. No mesmo sentido, serão referidos os resultados publicados pela
2
European Network and Information Security Agency (ENISA) em 19DEZ11 sobre este tema1, onde se faz uma interessante e pertinente análise da situação existente relativa à cibersegurança no contexto marítimo no universo da União Europeia (UE). No final, será apresentando um conjunto de recomendações que decorrem de um debate que tem sido feito sobre esta matéria.
De acordo com a ISO 27001, “Segurança da Informação” é um conjunto de medidas e procedimentos aplicados para proteger e preservar a Informação, nomeadamente a sua confidencialidade, integridade, autenticidade e fiabilidade. Por outro lado, e de acordo com a
International Telecommunication Union (ITU), “Cibersegurança” é o conjunto de ferramentas, de
políticas, de conceitos, de orientações, de processos de gestão de risco e atividades de treino que, com as tecnologias, podem ser utilizadas para proteger o ciberespaço da organização e respetivos meios2.
A Marinha tem vindo a desenvolver um quadro doutrinário onde se define que CSM é a criação de saber acerca do espaço marítimo de ação ou de envolvimento (de interesse nacional ou conjuntural), com o objetivo de prever, identificar e localizar situações de interesse e propiciar a tomada de decisões atempadas e mais informadas, que levem a que as ações subsequentes provoquem os efeitos desejados, no tempo e na medida dos interesses de quem as toma. O espaço marítimo é complexo e tem uma natureza multidimensional, consistindo em três dimensões, designadamente a física, a virtual e a humana. A física inclui o domínio terrestre, o marítimo, que contempla a superfície e a subsuperfície, o aéreo e o espacial. A dimensão virtual inclui o ciberespaço e a informação que lá circula. Finalmente, a dimensão humana, talvez a mais complexa, leva em linha de conta os aspetos sociais, morais e cognitivos de todos os atores envolvidos que fazem parte da comunidade de interesse específica, uma vez que, cada pessoa, dada uma mesma peça informacional, produz juízos diferenciados e assim percebe a realidade envolvente de maneira distinta, dependente do seu quadro de valores, do conhecimento tácito que já possui sobre o assunto e do conhecimento explicito que esteja disponível sobre o tema em apreço. Releva-se que este conceito difere do existente na NATO e denominado Maritime
Situational Awareness (MSA), uma vez que este não inclui a componente cognitiva e portanto a
dimensão humana que o CSM contém. Enquanto que o MSA tem o seu foco na partilha e fusão da informação, cuja interpretação se realizará à custa essencialmente de conhecimento tácito, e tem por finalidade a superioridade de informação, o CSM vai mais longe, abrangendo a criação de conhecimento (novo ou decorrente da transformação de conhecimento tácito em explícito), a partir da informação disponibilizada pelo MSA, cuja interpretação será reforçada substancialmente através da utilização das TIC. Estas permitirão a incorporação do conhecimento gerado no universo do saber existente, tendo por finalidade a superioridade de decisão, a qual será mais atempada e mais fundamentada, e em princípio com efeitos mais pertinentes. Enquanto que estar aware é estar ciente e informado e por isso pronto para reagir, ter conhecimento é mais do que isso pois permite prever e por isso antecipar a ocorrência de
1
Disponível em http://www.enisa.europa.eu/activities/Resilience-and-CIIP/critical-infrastructure-and-services/dependencies-of-maritime-transport-to-icts/cyber-security-aspects-in-the-maritime-sector-1 2
Tradução livre de “Collection of tools, policies, security concepts, security safeguards, guidelines, risk management
approaches, actions, training, best practices, assurance and technologies that can be used to protect the cyber environment and organization and user’s assets.”
3
determinados acontecimentos. Esta subtil diferença conceptual tem um impacto muito significativo na conceção dos sistemas que contribuem para o CSM, designadamente no seu âmbito e na sua arquitetura, pois as componentes de análise, de correlação e de fusão de informação deverão ser construídas levando em linha de conta uma base de conhecimento que deverá ser capaz de ser enriquecida com as múltiplas interações que a comunidade de utilizadores suscita. Se falarmos apenas de MSA esquecemos as relevantes componentes de análise e de aprendizagem que se consubstanciam em funções de mineração de dados (data
mining) e de machine learning.
Fig. 2 - Partilha de conhecimento em rede
Neste contexto, a questão fundamental que se coloca é a seguinte: Como se poderá tirar partido desta riqueza que são as diferentes perceções da realidade existentes numa comunidade de interesse (COI) e simultaneamente tornarmos o processo decisório efetivo? Uma das formas de atingir aquele desígnio é através da partilha da informação e do conhecimento existente na COI sobre todos os aspetos relevantes alusivos à área marítima de interesse, recorrendo à utilização intensiva mas controlada da rede. Por outras palavras, deverá utilizar-se a rede para partilha da informação e do conhecimento entre os múltiplos atores, a qual deverá ser enquadrada pelo princípio da necessidade de conhecer e da responsabilidade de partilhar: quem detém conhecimento sobre algo deve ser responsável pela sua partilha por quem, na COI, tem necessidade de saber. É neste processo que a partilha de conhecimento promove uma compreensão mais profunda do ambiente operacional ou da área de interesse, tendo como base a experiência e a intuição dos decisores nos diversos escalões e a forma como cada um deles perceciona a situação envolvente. Partilhar o conhecimento permite aos níveis inferiores de decisão compreender a forma como os escalões mais elevados estão a interpretar a situação, o que viabiliza melhores decisões e uma mais eficaz coordenação das ações subsequentes de todos os atores envolvidos. Em suma, partilhar o conhecimento por quem tem necessidade de conhecer permite introduzir melhorias na velocidade e na qualidade das decisões, pelo que a partilha deve ser fomentada, o que só acontecerá se alterarmos o paradigma vigente, i.e., se introduzirmos o princípio da responsabilidade de partilhar – pró-ativo, complementar ao princípio da necessidade de conhecer – reativo, no qual a disponibilização da informação carece de pedido prévio. Como posso pedir algo cuja existência desconheço?
4
A construção do CSM obedece a um processo no qual, de forma colaborativa, recorrente e tendo por base a confiança mútua entre os elementos da COI, se observa a situação no espaço envolvente segundo as dimensões física e virtual já mencionadas. A isto corresponde a fase de vigilância. A informação compilada é então analisada, correlacionada fundida e partilhada através da rede para os atores pertencentes às agências envolvidas e que constituem aquela comunidade, de modo a que, com base nas supracitadas caraterísticas da dimensão humana dos intervenientes, se crie o necessário conhecimento situacional para que se suceda o processo decisório. A partir desta fase estar-se-á em condições de se agir de forma coordenada, o que levará ao empenhamento articulado dos meios atinentes. Os efeitos da ação modificarão o espaço envolvente, reiniciando-se novo ciclo no processo.
Fig. 3 – A construção do CSM e a sua relação com o ciclo OODA
De uma forma geral, os sistemas baseados em TIC são multiplicadores de capacidade neste processo de criação de CSM. Seria, aliás, muito difícil (senão impossível) fazer-se tudo isto sem o recurso à tecnologia. Todavia, este ecossistema de múltiplos e complexos equipamentos ligados em rede, aumenta o risco de ataques oriundos do ciberespaço devendo, assim, suscitar o incremento dos requisitos de segurança desses sistemas. É neste contexto que de seguida passaremos à análise das conclusões mais relevantes contidas no já referido relatório da ENISA sobre este tema.
Os sistemas que a comunidade marítima utiliza diariamente, quer a bordo quer em terra, em apoio às atividades ou operações marítimas (aqui num sentido lato), são, de uma forma geral, altamente complexos, e utilizam uma ampla diversidade de tecnologias, provenientes de uma variedade de fabricantes de outras tantas nacionalidades.
O rápido desenvolvimento tecnológico, amiúde motivado pelo ímpeto de incrementar a eficiência de todos os processos através da automatização de um grande número de procedimentos, para diminuir custos operacionais e assim aumentar os proveitos, leva a que as questões associadas à segurança sejam, frequentemente, relegadas para segundo plano, incrementando, assim, os riscos potenciais, os quais devem ser geridos adequadamente, de modo a repor o imprescindível equilíbrio entre benefícios e vulnerabilidades.
Se a este aspeto coligarmos a possibilidade da quase permanente conectividade à Internet de quem anda no mar, sem que esse facto seja levado na devida consideração no que concerne a cibersegurança, podemos facilmente concluir que estão potencialmente criadas as condições que, se malevolamente exploradas, poderão provocar degradação ou negação do acesso a
5
serviços que hoje são essenciais para as atividades do setor, designadamente os já descritos nos processos de construção e gestão do CSM.
O relatório mencionado refere ainda que, no setor em apreço, não existe uma adequada padronização e identificação de boas práticas que, em conjunto, garantam que os assuntos relativos à cibersegurança são devidamente considerados neste ambiente específico. Quando existem, não são consentâneas com a complexidade dos sistemas existentes, não cobrindo tudo o que releva.
Se a estes aspetos adicionarmos a multiplicidade e multinacionalidade dos atores envolvidos, os quais, quando a bordo, raramente são da nacionalidade da bandeira do navio (podendo ter portanto motivações substancialmente diferentes), podemos facilmente deduzir que a envolvente, atenta a respetiva heterogeneidade, é particularmente e potencialmente vulnerável a ataques do ciberespaço, que poderão resultar em disrupções do serviço com implicações consideráveis em vários domínios.
A Maritime Security Review (www.marsecreview.com/tag/cyber-security/) documenta que o seguimento da carga e sua identificação estão a ser cada vez mais sujeitos a incidentes de cibersegurança, que resultam em perda de carga, falhas graves nos sistemas que efetuam o respetivo seguimento e identificação e no roubo de informação relevante, que depois é utilizada para fins ilícitos.
A produção de informação enganosa (information spoofing) é também uma realidade, havendo mesmo projetos de I&D financiados pela UE para resolver os problemas associados com o
spoofing do sinal de GPS, que pode originar uma perceção errada do ambiente marítimo de
interesse e assim ser utilizado com vantagens para quem o induz.
A ENISA relata igualmente a inexistência de regulamentos específicos alusivos aos assuntos respeitantes à cibersegurança, designadamente o que fazer e como agir legalmente se forem sujeitos a um ciberataque num determinado contexto marítimo. A maioria dos regulamentos contemplando o assunto da segurança refere a sua componente física, não havendo qualquer menção explícita à componente “ciber”. Este facto é compreensível porque se constata que há, nesta comunidade, uma fraca sensibilidade para estes assuntos, o que resulta num baixo ou inexistente sentido de urgência para os estudar, tendo em vista a respetiva resolução. Estes dois aspetos contribuem para o incremento do risco global.
A governação dos assuntos do mar no universo da UE é também difusa, desenvolvendo-se em múltiplos patamares ou níveis e lesando dois princípios fundamentais para uma ação efetiva: a unidade de comando ou de direção e a unidade de esforço. Este facto implica que, em caso de ataque, dificilmente se conseguirá uma coordenação eficaz da ação, para além de poder trazer discrepâncias significativas relativamente à forma como um mesmo assunto é tratado de uma zona marítima para outra.
Finalmente será fácil deduzir que atualmente não há uma abordagem holística a esta questão na UE em geral: os atores, que pertencem às diversas agências que constituem as comunidades de interesse nacionais e internacionais, quando lidam com os incidentes de cibersegurança, fazem-no de forma eminentemente ad hoc, com pouca ou nenhuma coordenação. Apenas parte dos riscos são levados em linha de conta, não se possuindo o conhecimento global da situação em que se encontram.
6
Fig. 4 - Os problemas da cibersegurança no setor marítimo
É, por isso, crucial que uma abordagem holística seja efetuada, numa lógica de Cibersecurity
Capability for the Maritime Community, contemplando todas as componentes da edificação
dessa capacidade (DOTPMLII)3. Se assim não se fizer, o risco existente é demasiado grande para um setor que é determinante para a economia da Europa em geral e do nosso país em particular. Do que foi escrito atrás, facilmente se conclui que a capacidade que hoje em dia existe no setor marítimo para fazer face a incidentes de cibersegurança é escassa, quer no âmbito dos sistemas relacionados com os processos a bordo dos navios, quer nos existentes em terra para gestão da carga, descarga, ou construção do CSM, quer mesmo naqueles que envolvem processos conjuntos navio-terra.
Todos sabemos que o setor marítimo é vital para o Mundo, para a Europa e para Portugal: 90% do comércio mundial utiliza as SLOCS, a maioria dos bens trocados na Europa utilizam o transporte marítimo e mais de 75% das exportações e importações em Portugal usam os 5 maiores portos nacionais, que recorrem ao sistema Janela Única Portuária (JUP), que é crítico para um eficiente processamento dos navios e respetiva carga, e contribui para que os portos nacionais sejam mais eficientes e assim mais competitivos.
Deixa-se à imaginação dos leitores o que poderá acontecer se um conjunto de pessoas mal-intencionadas atacar a JUP naqueles portos e se entretanto nada for feito com carácter de urgência para mitigar aquela situação.
O relatório da ENISA é bastante exaustivo no que diz respeito às recomendações para minimizar a situação ora caracterizada, recomendando-se a respetiva leitura para aprofundamento do assunto.
Não podemos combater o facto da multiplicidade de sistemas, de nacionalidades, a sua complexidade, e de tudo o que escapa ao nosso controlo e que torna este “ecossistema” tão potencialmente adverso e cada vem mais complexo. Neste contexto, o que podemos preconizar é a tentativa de encapsular essa complexidade em algo que, criando um “escudo”, proteja o consumidor de informação de índole marítima da “anarquia” descrita. Como? Recorrendo ao conceito de “nuvem computacional” e promovendo a criação de uma Maritime Services Cloud, a
7
qual poderia disponibilizar vários serviços à comunidade de utilizadores, incluindo o
Cybersecurity as a Service, para além de outros, intrinsecamente relacionados com o CSM, como
sejam a vigilância, a correlação, fusão e partilha da informação, o controlo da partilha, planeamento, a JUP, etc.
Fig. 5 - Provimento de uma Capacidade como um serviço
Estes são desafios para empresas nacionais do setor tecnológico, para a academia e entidades governamentais. Vemos esta aproximação como muito promissora para o futuro.
Para que, ao nível nacional resolvêssemos ou reduzíssemos o impacto da governação difusa relativamente aos assuntos da cibersegurança, deveriam ser criados Computer Emergency
Response Teams (CERT) nos portos que operam a JUP, os quais deveriam envolver todos os
atores relevantes do setor marítimo e fariam parte integrante da rede de CERTS nacional já existente. Com esta medida, seria possível que um ataque pudesse ser rapidamente combatido ou isolado, limitando os seus efeitos perniciosos.
Finalmente, e no âmbito da implementação da Estratégia Nacional para o Mar recentemente aprovada, e em conjugação com a estratégia nacional de cibersegurança e com o futuro Centro Nacional de Cibersegurança, deveriam ser identificadas iniciativas tendentes a endereçar este assunto, atenta a sua especificidade e importância para Portugal. Desta forma, estariam criadas as condições que permitirão incrementar a sensibilidade dos decisores para esta situação e assim viabilizar a sua resolução de forma global, propiciando uma maior resistência à falha que poderá ser provocada por incidentes desta natureza neste importante setor, imprescindível para o desenvolvimento científico, tecnológico e económico nacional.
Ter conhecimento sobre o que se passa no espaço marítimo de interesse nacional é uma forma de exercício da soberania. Fazê-lo com recurso a doutrina, métodos, procedimentos e tecnologias desenvolvidas nacionalmente, é um contributo para o desenvolvimento nacional. Fazê-lo, identificando os problemas que advêm da exposição do setor marítimo em geral ao ciberespaço e propondo medidas para os mitigar é mais uma forma de afirmação de Portugal no Mar da nossa identidade.
