Um relatório do Ministério das Finanças relativo às contas gerais do Estado de 2014 - e publicado no mês passado -, dava conta de várias falhas nos sistemas informáticos da Administração Pública. O documento falava mesmo em situações que precisavam de atenção urgente e referia uma “falta de capacidade para proteger e reagir a ataques”.

Contactado, o Centro Nacional de Cibersegurança admite que há de facto entidades da Administração Pública que precisam de melhorar os mecanismos de defesa contra ciberincidentes, mas sem referir quais. “Existem entidades publicas que estão muito bem preparadas para reagir e mitigar estes ciberincidentes. Outras entidades têm ainda algum trabalho a fazer nesta matéria”, disse ao TeK em resposta por email o coordenador do Centro Nacional de Cibersegurança, José Carlos Martins.

“A reação a ataques informáticos depende em parte do nível de maturidade de cada entidade nas suas vertentes de proteção, deteção e reação a ciberincidentes. A segurança é um processo continuo e evolutivo, que requer constantes atualizações. As entidades que hoje possam estar mais bem preparadas para questões desta natureza devem  sempre continuar a rever os seus sistemas e processos”, alertou o responsável.

Mesmo tendo iniciado os serviços de reação e coordenação de ciberincidentes apenas em abril deste ano, o CNCS já registou “diversos ciberincidentes dos quais alguns afetaram endereços IP, associados a entidades da Administração Pública", não tendo referido números ou casos concretos. “No entanto nenhum dos ataques dirigidos ou observados nas entidades lesadas teve consequências que pudessem afetar serviços e ou sistemas da AP”, esclareceu José Carlos Martins.

O coordenador da entidade responsável pela segurança do ciberespaço português garante ainda que as entidades públicas, na generalidade, reconhecem e identificam as suas próprias fragilidades.

Numa perspetiva de melhorar as defesas das entidades da AP, o CNCS está a promover junto da entidades públicas “a aplicação de um modelo de maturidade de reação a ciberincidentes, com vista a criar competências próprias em cada entidade na reação e mitigação, numa ótica de continuidade e diminuição a fragilidades”.

Rui da Rocha Ferreira