Como parte de uma série de três artigos para marcar o Dia da Privacidade de Dados de 2023 (veja os artigos complementares deJakub LewandowskieThomas Bryant), Bill Mew argumenta que existe um problema real de fiscalização — é como se fosse o “Oeste Selvagem” por aí.
Políticas, diretrizes e regras só são úteis se forem cumpridas, assim como regulamentos e leis não têm sentido sem fiscalização. O problema no âmbito da privacidade de dados e da segurança cibernética é que, nos casos em que as regras deveriam ser aplicadas, elas são frequentemente ignoradas; e, nos casos em que as leis foram aprovadas, é necessário haver mais fiscalização.
Os CISOs (Diretores de Segurança da Informação) têm uma tarefa ingrata. Os funcionários geralmente relutam em cumprir as medidas de higiene cibernética que um CISO busca impor, mas quando sua falta de disciplina resulta em uma violação, esses colegas são rápidos demais em atribuir a culpa ao CISO. Além disso, embora existam regulamentações caras e complexas a serem cumpridas e regras rígidas sobre o relato de violações, as autoridades, longe de ajudar a lidar com qualquer incidente ou capturar os verdadeiros criminosos, simplesmente utilizam os relatórios para avaliar a aplicação de multas.
Incompatibilidade funcional e cultural
Se questionados, a maioria dos funcionários concordaria que as ameaças cibernéticas são uma questão significativa, mas, em seu dia a dia, eles se concentram em métricas de ROI (retorno sobre o investimento) voltadas para a receita ou o lucro. Essas são as métricas com base nas quais o desempenho individual e da unidade é avaliado e que servem de base para as políticas de incentivo em toda a empresa.
O CISO, por sua vez, concentra-se no retorno sobre o risco (ROR). Com base no orçamento alocado e na propensão ao risco da organização, o CISO se concentra em maximizar a segurança e minimizar o risco.
O descompasso entre a orientação do CISO para o ROR e a orientação de praticamente todos os demais para o ROI pode colocar o CISO em conflito com o restante da equipe de gestão. Ele pode não apenas ficar isolado (o que chamo de “CISOlation”), mas também servir de bode expiatório quando as coisas dão errado — mesmo quando os alertas são ignorados.
Incentivos regulatórios perversos
In an accompanying article, Jakub Lewandowski [LINK] has explored the raft of new privacy and cybersecurity laws expected to add to a considerable regulatory burden. The problem is thatuma regulamentação sem fiscalização não é apenas inútil, mas também contraproducente. Afinal, apenas as empresas responsáveis cumprirão essas regulamentações e, para elas, isso representa um custo ou um “imposto de conformidade”. Já as empresas irresponsáveis, muitas vezes, optam por não respeitar as regras. Se acreditam que há pouco ou nenhum risco de fiscalização, essa se torna uma fonte de vantagem competitiva que economiza custos e não envolve riscos.
A falta de conformidade é generalizada e tem origem nas altas esferas, com notícias frequentes sobre as BigTech sofrendo incidentes envolvendo dados ou sendo multadas. Essas multas parecem não estar surtindo efeito dissuasório, mas, ao contrário, estão sendo vistas como um custo adicional dos negócios pelas empresas BigTech e por muitas outras que tiveram a infelicidade de sofrer um incidente envolvendo dados.
Again, responsible firms that did their best to take reasonable measures but were unfortunately unable to prevent mistakes or attacks run the risk of being fined once they notify the local regulator. Meanwhile, irresponsible ones who choose not to comply will simply avoid reporting incidents and attempt to cover them up instead to avoid fines. Fines have, therefore, become more of aindicador defasado de adversidades para empresas responsáveisrather than of misbehaviour by irresponsible ones.
Histórico de inércia regulatória
A maioria das empresas de BigTech, atraídas por um regime tributário favorável, optou por estabelecer suas sedes europeias na Irlanda. O órgão regulador local, a DPC da Irlanda, é, portanto, responsável por garantir que elas cumpram o GDPR e outras regulamentações semelhantes. Seja por falta de recursos, relutância em causar controvérsia ou simplesmente por estar em desvantagem e ser superada pelo lobby das empresas de BigTech, a DPC da Irlanda tem sido vista como ineficaz na hora de responsabilizá-las por suas ações.
In one notable case, measures it failed to take against Facebook were eventually resolved in the European High Court under the Schrems I and Schrems II rulings. When it still failed to take action and apply these rulings, DPC Ireland was sanctioned by the European Parliament in avotação de 451 a 1. Quando novas pressões por parte de órgãos reguladores de toda a Europa a forçaram a agir, após um atraso de dois anos, a multa que aplicou ao Facebook foi tão baixa que teve de ser aumentada (dez vezes) por insistência dos demais órgãos reguladores.
The EU Ombudsman Emily O’Reilly eventuallyabrir uma investigaçãointo the European Commission’s monitoring of how data protection rules are applied in Ireland. Eight months later, theConselho Irlandês de Liberdades Civis (ICCL) criticou a UEfor its continued failure to properly monitor Ireland’s GDPR enforcement while “the fundamental rights of all Europeans hang in the balance.” There are now moves afoot to strip Ireland of its responsibility for regulating the BigTech firms and centralise such enforcement instead.
Policiamento global ineficaz
Meanwhile, the number and sophistication of cyber-attacks are increasing exponentially, as is the cost of remediation. The World Economic Forum (WEF) has recently not only called for more widespread use of“simulados de segurança cibernética”to test cybersecurity and incident response capabilities but is also championing thenecessidade de regras globaisto crack down on cybercrime.
Estima-se que os prejuízos causados por todas as formas de crime cibernético, incluindo os custos de Recovery e reparação, tenham totalizado US$ 3 trilhões em 2015 e US$ 6 trilhões em 2021, podendo chegar a US$ 10,5 trilhões por ano até 2025.
Cyber insurancenão é a resposta. Rapidly increasing premiums mean that it is out of reach to most buyers, but even those who can afford it often find it’snão vale a pena.At the same time, cyber insurance cannot be expected to cover systemic problems, and in any case, it has the perverse effect ofo que pode agravar ainda mais problemas já graves.
While almost all nations have signed up for United Nations agreements on combatting crime, includingo crime cibernético, alguns deles fecham os olhos e, em vez disso, oferecem refúgios seguros para que os criminosos cibernéticos operem. Embora a maior parte do crime cibernético tenha origem em países como a Rússia, o Irã ou a Coreia do Norte, tais atividades não se limitam a essas nações rebeldes e continuam ocorrendo bem mais perto de nós. Além disso, países como a China realizam operações significativas de espionagem, e os Estados Unidos são responsáveis por grande parte da vigilância em massa global — o que, em sua totalidade, viola o GDPR e uma série de outras leis.
We need to start with mandatory data breaches and cyber theft reporting. This has begun in the US with 2022’sa Lei de Notificação de Incidentes Cibernéticos para Infraestruturas Críticas,and in the EU with 2018’sa Diretiva sobre a Segurança das Redes e dos Sistemas de Informação. Still, there are also asérie de outras regulamentaçõesthat mandate telecom payment services, medical device manufacturers, and critical infrastructure providers to report breaches.
Once we have better data on the problem, we can focus on improving international investigation, prosecution, and adjudication efficiency and effectiveness. TheEscritório das Nações Unidas sobre Drogas e Crimeis promoting a Cybercrime Programme which has the following aims:
- Maior eficiência e eficácia na investigação, no julgamento e na resolução de casos de crimes cibernéticos, especialmente a exploração sexual infantil e o abuso infantil online, dentro de um sólido quadro de direitos humanos.
- Resposta eficiente e eficaz a longo prazo de todo o governo ao crime cibernético, incluindo coordenação nacional, coleta de dados e marcos jurídicos eficazes, levando a uma resposta sustentável e a maior dissuasão.
- Fortalecimento da comunicação nacional e internacional entre o governo, as autoridades de segurança pública e o setor privado, acompanhado de uma maior conscientização do público sobre os riscos do crime cibernético.
Esses são objetivos louváveis. No entanto, ainda estamos muito longe de que as vítimas de crimes possam ligar para a polícia — seja em nível local, nacional ou internacional — com qualquer expectativa de obter assistência prática ou justiça. A realidade é que, quando se trata de crimes cibernéticos, com exceção dos especialistas em resposta a incidentes do setor privado, você está por conta própria.
- Os funcionários raramente seguem as normas de higiene cibernética de maneira adequada
- Os órgãos reguladores não agem de forma proativa na identificação e no combate às infrações
- Os criminosos estão se tornando cada vez mais ousados, agressivos e sofisticados
- A polícia não consegue agir contra criminosos que operam a partir de esconderijos
- E os CISOs são sempre os bodes expiatórios quando as coisas dão errado
Nesse ambiente do “Oeste Selvagem”, não há cavalaria vindo em seu socorro, então espera-se que você esteja devidamente armado e pronto para se defender. Siga as dicas de ReadinessThomas Bryant’s article and learn how to deal with it best. There isnada substitui o fato de você garantir sua segurança cibernéticaand incident response right.
