Legislação atual em matéria de cibersegurança
A evolução tecnológica tem obrigado os sistemas jurídicos a adaptarem-se continuamente. Um exemplo emblemático é o Regulamento Geral sobre a Proteção de Dados (RGPD) da União Europeia implementado em 2018 que estabeleceu um novo padrão na proteção de dados pessoais, impondo medidas de segurança rigorosas às empresas e exigindo a notificação imediata de violações de segurança.
1. O Regulamento Geral sobre a Proteção de Dados (RGPD) da União Europeia: Exige que as empresas implementem medidas técnicas e organizacionais adequadas para garantir um nível de segurança proporcional ao risco, incluindo a pseudonimização e a encriptação de dados pessoais. Obriga também as organizações a notificar as autoridades de proteção de dados e os titulares dos dados no prazo de 72 horas após a deteção de uma violação da segurança. As sanções por incumprimento podem atingir 4% do volume de negócios global anual da empresa.
2. Lei norte-americana sobre a partilha de informações em matéria de cibersegurança (CISA): promove a colaboração entre as empresas e o governo para a partilha de informações sobre ciberameaças, com vista a uma defesa conjunta mais sólida. As empresas que participam nesta partilha de informações estão protegidas contra determinadas responsabilidades legais e beneficiam de uma melhor proteção contra ciberataques. Esta lei tem sido crucial na criação de um ambiente de cooperação que permite uma resposta mais rápida e eficaz a incidentes de cibersegurança.
3. Lei de Cibersegurança da China: a Lei de Cibersegurança impõe requisitos rigorosos às empresas, tais como a obrigação de armazenar dados críticos no país e de se submeter a auditorias de segurança regulares. Além disso, a lei confere ao governo chinês um controlo significativo sobre a informação e as comunicações digitais, o que suscitou preocupações quanto à privacidade e à liberdade de expressão. Esta legislação reflecte uma abordagem mais centralizada do controlo, com implicações significativas para as empresas internacionais que operam no país, uma vez que têm de se adaptar a regulamentos que podem diferir significativamente dos dos seus países de origem.
Incidentes recentes de ciberataques e respostas jurídicas
Nos últimos anos, assistiu-se a vários ciberataques de grande visibilidade que puseram em causa a eficácia da regulamentação existente.
1. O ataque de ransomware da Colonial Pipeline (2021): Em maio de 2021, a Colonial Pipeline, uma das mais importantes redes de oleodutos dos Estados Unidos, foi afetada por um ataque de ransomware. Este incidente causou uma grande perturbação do abastecimento de combustível na Costa Leste. A empresa optou por pagar um resgate de 4,4 milhões de dólares em criptomoedas, embora o FBI tenha recuperado mais tarde uma parte desse dinheiro. Este ataque evidenciou a vulnerabilidade das infra-estruturas críticas e levou a um reforço das medidas de cibersegurança no sector da energia. Além disso, sublinhou a importância de dispor de planos de emergência e de resposta rápida para minimizar o impacto de tais incidentes.
2. O hacking da SolarWinds (2020): Outro caso notável é o hacking da SolarWinds (empresa nascida em 1999 em Oklahoma). Este ataque comprometeu o software de gestão de redes da SolarWinds, afectando numerosas agências governamentais e empresas privadas em todo o mundo (Microsoft, NASA, Cisco...). A dimensão do ataque sublinhou a necessidade urgente de melhorar as ciberdefesas e a cooperação internacional na luta contra as ciberameaças. A sofisticação do ataque, que passou despercebido durante meses, demonstrou a importância da aplicação de medidas de segurança proactivas e avançadas para detetar e atenuar as ameaças persistentes avançadas (APT).
Estes incidentes revelaram fragilidades nas medidas de segurança e suscitaram alterações legislativas e melhorias nas políticas de cibersegurança. Mostraram que, independentemente do sector, qualquer organização pode ser vulnerável a ciberataques e sublinharam a necessidade de uma preparação constante e de capacidades de resposta rápida.
Medidas legais para proteger as infra-estruturas críticas e as informações sensíveis
Para responder a estes desafios, são necessárias medidas preventivas e reactivas.
1. Regulamentos mais rigorosos: É fundamental que a legislação seja continuamente actualizada para acompanhar as novas ameaças e as tecnologias emergentes. É essencial impor requisitos mais rigorosos em matéria de cibersegurança às empresas que gerem infra-estruturas críticas. Isto inclui a realização de auditorias regulares, a adoção de certificações de segurança e a aplicação de políticas de gestão de riscos.
lém disso, é necessário estabelecer normas mínimas de segurança que todas as organizações devem cumprir, independentemente da sua dimensão ou sector.
2. Colaboração internacional: As ciberameaças não conhecem fronteiras, pelo que a cooperação internacional é vital. Acordos como a Convenção de Budapeste sobre o Cibercrime estabelecem quadros para a colaboração transfronteiras na luta contra o cibercrime. A partilha de informações sobre ameaças e de melhores práticas entre países e organizações internacionais pode melhorar significativamente a resposta global aos ciberataques. Além disso, é importante promover a criação de grupos de trabalho e fóruns internacionais onde os peritos em cibersegurança possam colaborar e partilhar conhecimentos.
3. Incentivos ao investimento em cibersegurança: Os governos podem oferecer incentivos fiscais e outros benefícios para encorajar as empresas a investirem em medidas mais sólidas de cibersegurança. A criação de fundos e subvenções para apoiar a investigação e o desenvolvimento de tecnologias avançadas de cibersegurança pode ser uma estratégia eficaz. Além disso, o fornecimento de assistência técnica e de recursos às pequenas e médias empresas (PME) pode ajudá-las a melhorar a sua cibersegurança.
4. Programas de sensibilização e formação: A educação e a sensibilização para a cibersegurança são fundamentais para reduzir o risco de ataques. Os programas de formação contínua para os trabalhadores e as campanhas de sensibilização para o público em geral podem ser muito eficazes. É fundamental que tanto os trabalhadores como os cidadãos sejam informados sobre as melhores práticas de cibersegurança, incluindo o reconhecimento de tentativas de phishing, a importância de utilizar palavras-passe fortes e a necessidade de manter o software atualizado. Além disso, a realização de simulacros e exercícios de cibersegurança pode preparar as organizações e os seus empregados para responderem eficazmente a incidentes reais.
5. Desenvolver capacidades de resposta rápida: Equipas de resposta a incidentes cibernéticos (CERT) bem treinadas e equipadas podem fazer a diferença entre um incidente controlável e uma crise catastrófica. Estas equipas devem estar preparadas para agir rapidamente em caso de ataque, identificar, conter e atenuar os efeitos de um ciberataque. A colaboração entre os sectores público e privado na resposta a incidentes é também essencial para partilhar eficazmente informações e recursos. Além disso, é importante estabelecer protocolos claros de comunicação e coordenação durante e após um incidente para garantir uma resposta unificada e eficiente.
Conclusão
Num mundo cada vez mais digitalizado, a cibersegurança e a legislação devem evoluir em conjunto para fazer face às ameaças emergentes. Embora tenham sido dados passos importantes, a natureza em constante mudança das ciberameaças exige uma vigilância constante e a adaptação dos regulamentos e práticas de segurança. Só através de uma abordagem abrangente e colaborativa poderemos garantir a proteção das nossas infra-estruturas críticas e das informações sensíveis nesta era digital.
Os desafios da cibersegurança são imensos e multifacetados, mas com um empenho contínuo e uma colaboração efectiva, podemos construir um ambiente digital mais seguro e resistente. A cibersegurança não é apenas uma questão técnica, mas também um imperativo jurídico e social que exige a nossa atenção e ação constantes.
Na Belzuz Abogados contamos com uma equipa de especialistas nestas materias que apoia aos seus clientes na prevenção e em situações de crise provocadas por incidentes de segurança.
Adrián Fraguas García
Departamento Direito Comercial e Societário | Madrid (Espanha)
Belzuz Advogados SLP
A presente Nota Informativa destina-se a ser distribuída entre Clientes e Colegas e a informaçăo nela contida é prestada de forma geral e abstracta, năo devendo servir de base para qualquer tomada de decisăo sem assistęncia profissional qualificada e dirigida ao caso concreto. O conteúdo desta Nota Informativa năo pode ser utilizada, ainda que parcialmente, para outros fins, nem difundida a terceiros sem a autorizaçăo prévia desta Sociedade. O objectivo desta advertęncia é evitar a incorrecta ou desleal utilizaçăo deste documento e da informaçăo, questőes e conclusőes nele contidas.
