O ciberataque que afectou a UNITEL nas últimas semanas tornou visível, à escala de um país, a profundidade da dependência digital angolana. A tentação natural é responder com mais tecnologia, mais controlos, mais orçamento de segurança, mas a primeira decisão de uma liderança séria não deveria ser essa.

"Não sabemos o suficiente para julgar o ataque. Sabemos, contudo, o suficiente para melhorar a qualidade da decisão."

Não sabemos e é importante dizê-lo com honestidade, o que motivou o ataque, que técnicas foram utilizadas, nem que vulnerabilidades específicas foram exploradas. A própria UNITEL não excluiu a hipótese de existir alguma relação entre o momento do ataque e a sua entrada em bolsa, mas trata-se de uma hipótese levantada pela própria empresa, não de um facto estabelecido. Não é função deste artigo especular sobre causas, apontar falhas ou avaliar a maturidade de segurança de uma organização que continua, nesta fase, dentro de um processo de investigação. Não sabemos o suficiente para julgar o ataque. Sabemos, contudo, o suficiente para melhorar a qualidade da decisão que dele resulta.

Duas falácias simétricas

Há duas ideias erradas que costumam dominar a conversa sobre cibersegurança depois de um incidente relevante e que merecem ser desfeitas com clareza.

A primeira é confundir ausência de ataques com segurança. Uma organização que nunca sofreu um incidente conhecido não é, apenas por esse motivo, uma organização segura. Pode simplesmente não ter sido, até agora, um alvo suficientemente atractivo, ou pode ter tido simplesmente sorte.

A segunda falácia é o inverso, confundir a ocorrência de um ataque com total falta de segurança. Uma organização que sofre hoje um incidente não se torna, só por isso, incompetente ou mal preparada. As organizações mais sofisticadas do mundo, com investimentos de segurança muito superiores à média do seu sector, continuam a ser atacadas. A ocorrência de um ataque é um acontecimento, a segurança é uma capacidade organizacional, construída ao longo do tempo, testada sob pressão e sujeita a limites que nenhuma tecnologia elimina por completo. São conceitos diferentes e a confusão entre ambos é responsável por boa parte das decisões apressadas que se seguem a um incidente.

A ocorrência de um ataque é um acontecimento, a segurança é uma capacidade organizacional, construída ao longo do tempo, testada sob pressão e sujeita a limites que nenhuma tecnologia elimina por completo

Primeiro o risco, depois os controlos

Perante um ataque desta dimensão, a reacção instintiva de qualquer liderança é compreensível: reforçar de imediato a cibersegurança. Comprar mais ferramentas, mais monitorização, mais formação, mais capacidade. Algumas dessas medidas poderão vir a ser necessárias, mas não deveriam ser a primeira decisão.

A primeira decisão deveria ser regressar ao risco. Antes de decidir onde investir, uma liderança precisa de responder a perguntas mais antigas do que a cibersegurança: o que é realmente crítico para o negócio, de que sistemas e terceiros dependemos, que cenários poderiam interromper a nossa capacidade de operar, que impactos conseguimos absorver e quais são intoleráveis, quanto tempo aguentamos sem determinadas capacidades, onde faz sentido económico reduzir exposição. Investir em controlos sem responder primeiro a estas perguntas tende a produzir um padrão conhecido: protecção excessiva de activos pouco críticos, protecção insuficiente das dependências que realmente sustentam o negócio, complexidade que ninguém consegue gerir e uma falsa sensação de segurança que só é desmontada no momento errado.

Não existe um catálogo universal de controlos que torne uma organização segura, tal como não existe combinação de tecnologia que garanta que um novo ataque nunca voltará a acontecer. O título deste artigo é deliberadamente provocador e não defende menos investimento em cibersegurança, defende que esse investimento seja precedido e não substituído, por uma compreensão rigorosa do risco.

Não existe um catálogo universal de controlos que torne uma organização segura, tal como não existe combinação de tecnologia que garanta que um novo ataque nunca voltará a acontecer

Da segurança à resiliência

Vale a pena introduzir aqui uma segunda distinção. Segurança não significa invulnerabilidade. Uma organização madura não promete que o próximo incidente nunca vai acontecer, procura, isso sim, reduzir a probabilidade de ocorrência, detectar rapidamente quando algo falha, conter o impacto, manter as funções que são verdadeiramente críticas, recuperar em tempo útil e aprender com o que falhou. Este é o território da resiliência empresarial, mais amplo do que a resiliência puramente tecnológica e é aqui que a discussão deixa de pertencer apenas aos departamentos de tecnologia e passa a pertencer, de facto, ao conselho de administração.

A pergunta que os administradores e executivos deveriam colocar a si próprios não é "que solução de cibersegurança devemos comprar", mas antes "que risco estamos a tentar reduzir e porquê", seguida de uma pergunta ainda mais desconfortável: "quanto risco estamos dispostos a aceitar para perseguir os nossos objetivos". A cibersegurança entra depois, como uma das respostas possíveis, não como o ponto de partida. Trata-se de uma escolha económica e estratégica, tomada num contexto de recursos finitos e dependências crescentes e não de um exercício de maximização da protecção a qualquer custo.

O momento angolano

Este episódio importa para Angola por uma razão que ultrapassa a própria UNITEL. Tornou visível, à escala nacional, o quanto a vida económica e social angolana já depende de infra-estrutura digital, das comunicações pessoais ao pagamento de salários, das transacções empresariais aos serviços públicos. Este grau de dependência não é uma fragilidade em si mesmo, é a consequência natural de uma economia que está a modernizar o seu sistema financeiro, a expandir os pagamentos digitais e a transformar a sua Administração Pública, com telecomunicações a assumirem um papel cada vez mais central nesse processo.

Angola encontra-se, por isso, num momento particular. Pode beneficiar da experiência acumulada por economias que iniciaram a sua transformação digital há mais tempo e que aprenderam, muitas vezes da forma mais difícil, que segurança e resiliência não podem ser acrescentadas depois. Há aqui uma oportunidade real de construir confiança digital em paralelo com a expansão dos serviços, em vez de a tratar como um custo posterior. Quanto maior a dependência digital de uma economia, mais relevante se torna compreender com clareza onde reside a capacidade efectiva de operar, decidir e recuperar quando algo falha. Esta reflexão sobre soberania digital ganha particular relevância num país que está, precisamente agora, a consolidar essa dependência.

Quanto maior a dependência digital de uma economia, mais relevante se torna compreender com clareza onde reside a capacidade efectiva de operar, decidir e recuperar quando algo falha

A maturidade digital de Angola não será medida pelo número de organizações que nunca foram atacadas, será medida pela qualidade das decisões que as suas lideranças forem capazes de tomar antes, durante e depois de um incidente destes e isso começa, sempre, pelo risco.

*Bruno Horta Soares: Executive Advisor (na GOVaaS - Governance Advisors as a Service) e Docente Universitário (ISCTE Lisboa, Universidade Nova de Lisboa, Coimbra Business School)

*Gessildo Bengui: Especialista em Governança de TI e Transformação Digital e Partner & CTO na LinkT Business Solutions Angola