Os organismos da UE devem intensificar a sua preparação para a cibersegurança

O número de ciberataques a organismos da UE está a aumentar acentuadamente. O nível
de preparação para a cibersegurança nos órgãos da UE varia e, em geral, não é
compatível com as ameaças crescentes. Uma vez que os organismos da UE estão fortemente
interconectados, uma fraqueza em um pode expor outros a ameaças de segurança.
Esta é a conclusão de um relatório especial do Tribunal Europeu de
Auditores que examinam até que ponto as entidades governamentais da UE estão preparadas
contra ameaças cibernéticas. Os auditores recomendam que a segurança cibernética
regras devem ser introduzidas, e a quantidade de recursos disponíveis para o
A Equipa de Resposta a Emergências Informática (CERT-EU) deve ser aumentada. O
A Comissão Europeia deve também promover uma maior cooperação entre a UE
órgãos, dizem os auditores, enquanto o CERT-EU e a Agência da União Europeia para
A cibersegurança deve concentrar-se nos organismos da UE que têm menos
experiência em gerenciamento de segurança cibernética.*

Os incidentes significativos de cibersegurança em organismos da UE aumentaram mais de
dez vezes entre 2018 e 2021; o trabalho remoto aumentou consideravelmente
o número de pontos de acesso em potencial para invasores. Incidentes significativos
geralmente são causados ​​por ataques cibernéticos complexos que normalmente envolvem o uso
de novos métodos e tecnologias, e pode levar semanas, se não meses, para
investigar e recuperar. Um exemplo foi o ataque cibernético à
Agência Europeia de Medicamentos, onde dados confidenciais foram vazados e manipulados
para minar a confiança nas vacinas.

“*As instituições, órgãos e agências da UE são alvos atraentes para potenciais
atacantes, particularmente grupos capazes de executar
ataques furtivos para espionagem cibernética e outros propósitos nefastos*”, disse
Bettina Jakobsen, o membro do TCE que liderou a auditoria. “*Tais ataques podem ter
implicações políticas significativas, prejudicam a reputação geral da UE,
e minar a confiança em suas instituições. A UE deve intensificar os seus esforços para
proteger suas próprias organizações.*”

A principal constatação dos auditores foi que as instituições, órgãos e
as agências nem sempre estão bem protegidas contra ameaças cibernéticas. Eles não
abordar a segurança cibernética de forma consistente, controles essenciais e
As boas práticas de segurança cibernética nem sempre estão em vigor, e a segurança cibernética
formação não é sistematicamente fornecida. A alocação de recursos para
a cibersegurança varia muito e vários organismos da UE estão a gastar
consideravelmente menor do que os pares comparáveis. Embora diferenças de
níveis de segurança cibernética poderiam teoricamente ser justificados pelos diferentes riscos
perfis de cada organização e os diversos níveis de sensibilidade do
dados que eles lidam, os auditores enfatizam que as fraquezas de segurança cibernética em um
único organismo da UE pode expor várias outras organizações à cibersegurança
ameaças (os organismos da UE estão todos ligados uns aos outros, e muitas vezes ao público e
organizações privadas nos Estados-Membros).

O Computer Emergency Response Team (CERT-EU) e a União Europeia
Agência para a Cibersegurança (ENISA) são as duas principais entidades da UE encarregadas de
fornecendo suporte em segurança cibernética. No entanto, não conseguiram
fornecer aos organismos da UE todo o apoio de que necessitam, devido aos recursos
restrições ou prioridade a outras áreas. O compartilhamento de informações é
também uma lacuna, dizem os auditores: por exemplo, nem todos os organismos da UE têm
relatórios oportunos sobre vulnerabilidades e segurança cibernética significativa
incidentes que os impactaram e podem impactar outros.

Atualmente, não existe um marco legal para a segurança da informação e
cibersegurança nas instituições, agências e organismos da UE. Eles não estão sujeitos
à mais ampla legislação da UE sobre segurança cibernética, a diretiva NIS de 2016, ou
à sua proposta de revisão, a diretiva NIS2. Também não há
informações completas sobre o montante gasto pelos organismos da UE em
cíber segurança. As regras comuns em matéria de segurança da informação e de
cibersegurança para todos os organismos da UE estão incluídos na comunicação sobre a UE
Estratégia da União da Segurança para o período 2020-2025, publicada pela
Comissão em julho de 2020. Na Estratégia de Cibersegurança da UE para o
Década, publicada em dezembro de 2020, a Comissão comprometeu-se a propor uma
regulamento sobre regras comuns de cibersegurança para todos os organismos da UE. Isso também
propôs o estabelecimento de uma nova base jurídica para o CERT-EU para reforçar
seu mandato e financiamento.

e>

Anúncios

Compartilhe este artigo: