João Miguel Mesquita
O Governo de Donald Trump decidiu abrir às empresas privadas norte-americanas uma área que, até agora, permanecia essencialmente associada à atuação direta do Estado. Um memorando presidencial assinado a 12 de agosto estabelece um programa através do qual companhias selecionadas poderão participar em operações cibernéticas contra organizações criminosas transnacionais estrangeiras.
As empresas autorizadas poderão recolher informação e executar ações destinadas a alterar, interromper, degradar ou destruir sistemas utilizados por organizações criminosas estrangeiras, mas apenas sob direção e supervisão do Governo federal.
O programa envolve os Departamentos de Justiça e de Segurança Interna e pretende aumentar a capacidade dos Estados Unidos para responder a atividades como fraude digital, ransomware, phishing, extorsão sexual e outras formas de criminalidade realizada através da Internet.
A diferença mais relevante face a uma simples contratação de serviços de cibersegurança está na natureza das operações previstas. Não se trata apenas de proteger sistemas, investigar incidentes ou aconselhar entidades públicas. As empresas poderão participar diretamente em ações sobre infraestruturas utilizadas pelos grupos considerados alvo.
Essa possibilidade vem, contudo, acompanhada por uma cadeia de autorização destinada a manter as decisões operacionais dentro da esfera federal. Nenhuma empresa poderá selecionar autonomamente um alvo ou iniciar uma operação. Cada intervenção terá de ser analisada pelos responsáveis do programa e receber previamente instruções e autorização por escrito.
As operações serão realizadas exclusivamente em nome do Governo dos Estados Unidos e nenhuma empresa participante poderá atuar por iniciativa própria.
Esta separação é central para compreender o modelo. Washington está a recorrer a capacidades existentes no setor privado, mas procura manter no Estado a decisão sobre quem pode ser alvo, que tipo de operação pode ser realizada e em que condições essa intervenção deve decorrer.
O programa será limitado a organizações criminosas transnacionais estrangeiras que não integrem formalmente governos de outros países nem estejam totalmente subordinadas a estes. A delimitação procura estabelecer uma fronteira entre o combate ao cibercrime e operações dirigidas contra estruturas estatais estrangeiras.
Ainda assim, uma parte importante da arquitetura operacional permanece por definir. As regras concretas do programa deverão ser desenvolvidas nos próximos 60 dias, incluindo requisitos adicionais para as empresas candidatas e os mecanismos aplicáveis às diferentes operações.
A gestão ficará entregue ao National Coordination Center, responsável pela administração do programa e pela autorização da participação das companhias. A estrutura terá dois diretores executivos, um indicado pelo Departamento de Justiça e outro pelo Departamento de Segurança Interna, criando uma supervisão partilhada entre os dois organismos federais envolvidos.
Para as empresas de cibersegurança, a entrada neste mercado não será automática. As candidatas terão de demonstrar competência técnica, experiência em operações cibernéticas, segurança das suas instalações, qualificação das equipas e níveis considerados adequados de confiança e fiabilidade.
A administração norte-americana pretende admitir tanto grandes companhias, capazes de disponibilizar recursos e capacidade operacional em maior escala, como organizações mais pequenas especializadas em tarefas específicas. Esta opção poderá criar um ecossistema de fornecedores com diferentes competências, mas sujeito a critérios de seleção e controlo definidos pelo Estado.
As empresas participantes terão ainda de celebrar contratos com o Departamento de Justiça ou com o Departamento de Segurança Interna e poderão ser obrigadas a prestar uma garantia mínima de um milhão de dólares.
A caução poderá ser perdida caso sejam violadas as obrigações estabelecidas pelo Governo. Para além da capacidade tecnológica, o desenho do programa introduz assim um mecanismo financeiro destinado a reforçar o cumprimento contratual por parte das empresas envolvidas.
Para os responsáveis empresariais de tecnologia e cibersegurança, este é também um elemento relevante da iniciativa. A contratação pública deixa de estar limitada, neste domínio, ao fornecimento de produtos, plataformas ou serviços defensivos e passa a poder incluir capacidade operacional diretamente aplicada contra sistemas controlados por organizações criminosas.
O modelo prevê igualmente circulação de informação entre empresas e autoridades. Companhias privadas poderão transmitir dados sobre ameaças identificadas durante a sua atividade comercial, enquanto organismos federais, estaduais, locais, tribais e territoriais poderão encaminhar ameaças para o centro responsável pelo programa. A partir dessa informação, as empresas participantes poderão apresentar propostas de operação.
Uma das categorias previstas é a vigilância cibernética. Neste contexto, as empresas poderão obter informação de sistemas e redes sem autorização dos respetivos proprietários, ou além dos limites de acesso anteriormente concedidos, incluindo a recolha de dados destinados a preparar futuras intervenções.
A iniciativa representa, por isso, mais do que uma expansão convencional da contratação de serviços de cibersegurança. Introduz empresas privadas numa componente operacional da resposta federal ao cibercrime, embora procurando manter as decisões e a responsabilidade institucional sob controlo público.
O alcance efetivo deste novo modelo dependerá agora das regras operacionais que forem definidas e da forma como o Governo conseguir conciliar capacidade técnica privada, supervisão federal e controlo sobre cada operação autorizada.
