Políticas nacionais de segurança cibernética : o regulador das telecomunicações : Brasil, Estados Unidos, União Internacional das Telecomunicações (UIT)

Abstract

Com a massificação do uso de tecnologias da informação e comunicação (TICs), em particular o acesso à Internet, a Sociedade da Informação passa a depender da segurança das infraestruturas críticas e da disponibilidade, integralidade e confiabilidade das informações que a sustentam. À medida que cresce essa dependência, ameaças ao ciberespaço se tornam ameaças à própria Sociedade da Informação. Nesse contexto, o mundo desperta para a “Segurança Cibernética”. Parte-se da premissa que o regulador de telecomunicações teria papel destacado nesses esforços, vez que o setor disponibiliza grande parte da infraestrutura e serviços subjacentes à Internet. Este trabalho buscou identificar o papel da Agência Nacional de Telecomunicações (Anatel) em uma política brasileira de segurança cibernética, utilizando como modelos (i) melhores práticas divulgadas pela União Internacional de Telecomunicações (UIT, agência especializada da ONU) e (ii) projetos da Federal Communications Commission (FCC, regulador estadunidense). Seguindo as respectivas políticas gerais de segurança cibernética enunciadas (i) pela Cúpula Mundial sobre a Sociedade da Informação (CMSI) e Conferência de Plenipotenciários 2010 (PP-10), para a UIT, e (ii) pela Casa Branca, para os EUA, ambas as instituições promovem a atuação significativa do regulador. Na UIT, várias soluções encontradas por outros reguladores indicam margem para sua atuação, mormente como assessor técnico no desenvolvimento das políticas nacionais de segurança cibernética, com foco na qualidade dos serviços prestados ao consumidor e cooperação com o setor privado, que pode desenvolver e adotar padrões seguros; nos EUA, as respostas às consultas públicas da FCC sobre (i) resiliência das redes de banda larga, (ii) impacto de um regime de certificação voluntária de segurança cibernética e (iii) eventual plano (roadmap) de segurança cibernética para a FCC, sugerem cautela na atuação do regulador, que deve analisar o impacto regulatório, evitar duplicação de esforços e promover parcerias público-privadas. No Brasil, nota-se a ausência formal de Ministério das Comunicações e Anatel na formulação da Política Nacional de Segurança Cibernética nascente, considerando discurso do Presidente da República, que, em 2009, clamou pela intensificação de atividades de segurança cibernética na UIT (foro sob competência da Anatel, conforme Lei Geral de Telecomunicações). Com mandato mais claro, seja como protagonista na atividade regulatória direta (na proteção de infraestrutura crítica e imposição de padrões técnicos) ou como contribuinte eventual (no combate ao crime cibernético e na formulação da estratégia nacional de segurança cibernética), recomenda-se a atuação da Anatel e a coordenação/cooperação com outros stakeholders nacionais, em particular, o Gabinete de Segurança Institucional da Presidência da República (GSI/PR) e o Grupo Técnico de Segurança Cibernética (GT SEG CIBER). Com isso, acredita-se que a Agência poderia promover o combate ao spam e botnets, proteção de infraestruturas críticas, resposta a incidentes de segurança, pesquisa e desenvolvimento, alinhamento de posições do País na UIT e demais foros internacionais de telecomunicações. ______________________________________________________________________________ ABSTRACT

With the widespread use of information and communication technologies (ICTs), particularly Internet access, the Information Society becomes dependent on the security of critical infrastructure and the availability, integrity and reliability of information that support it. As this dependency grows, threats to cyberspace become threats against the Information Society. In this context, the world awakens to the theme "Cybersecurity". The text assumes that the telecommunications regulator would have a prominent role in these efforts, since the sector provides much of the infrastructure and services underlying the Internet. This study sought to identify the role of the National Telecommunications Agency (Anatel) in a Brazilian policy on cybersecurity, using as models (i) best practices published by the International Telecommunication Union (ITU, a specialized UN agency) and (ii) projects by the Federal Communications Commission (FCC, the United States’ regulator). Following general policies for cybersecurity announced respectively by (i) the World Summit on the Information Society (WSIS) and the Plenipotentiary Conference 2010 (PP-10), to the ITU, and by (ii) the White House, to the USA, both institutions promote meaningful roles for the regulator. At ITU, a number of solutions found by other regulators indicate room for their attributions, particularly as technical advisors in the development of national cybersecurity policies, with focus on consumer-oriented quality of services and cooperation with the private sector, which can develop and adopt security standards; in the USA, responses to FCC’s public consultations on (i) the resilience of broadband networks, (ii) the impact of a voluntary cybersecurity certification program and (iii) a cybersecurity roadmap, suggest caution to the regulator, who shall consider regulatory impact analysis, avoid duplication of efforts and promote public-private partnerships. In Brazil, it was noticed the formal absence of the Ministry of Communications and Anatel in the formulation of the emerging National Cybersecurity Policy, considering the President Lula's speech, in 2009, when he called for the intensification of ITU’s cybersecurity activities (a forum under Anatel’s competence, according to the General Telecommunications Law). With a clearer mandate, whether as a protagonist for direct regulatory activity (in protecting critical infrastructure and determining the adoption of technical standards) or as a sporadic contributor (in combating cybercrime and formulating the national strategy for cybersecurity), it is recommended Anatel's action and coordination/cooperation with other national stakeholders, in particular, the Institutional Security Office of the Presidency of the Republic (GSI/PR) and the Working Group on Cybersecurity (GT SEG CIBER). Thus, the Agency could facilitate the combat against spam and botnets, the protection of critical infrastructures, the handling of computer security incident response, the promotion of research and development initiatives, the alignment of Brazil’s positioning before the ITU and other international telecommunications fora.