O Ministério do Desenvolvimento Digital decidiu criar um registro de eventos inaceitáveis no campo da segurança da informação em um futuro próximo. O cadastro servirá como uma espécie de “livro de referência” para a gestão dos órgãos governamentais e da infraestrutura crítica de informações (CII), e a gestão das organizações será pessoalmente responsável por eliminar as consequências dos incidentes.
Fonte da imagem: Sigmund/unsplash.com
De acordo com Kommersant, citando fontes do setor e confirmação no Ministério do Desenvolvimento Digital, os dados sobre eventos inaceitáveis estarão disponíveis para todas as organizações, mas a liderança dos órgãos estatais, instituições estatais e instalações do CII serão pessoalmente responsáveis por identificar e eliminar incidentes de acordo com o decreto presidencial de 1º de maio que regulamenta medidas adicionais para garantir a segurança cibernética. Kommersant lembra que, de acordo com o decreto, a responsabilidade é dos vice-chefes das organizações. Estamos falando de cenários perigosos para a infraestrutura de TI, “inaceitáveis sob quaisquer condições”.
Segundo o Ministério do Desenvolvimento Digital, o decreto presidencial de maio previa uma análise de segurança com posterior relatório ao governo. Os relatos revelaram a necessidade de sistematizar a lista de eventos inaceitáveis. Prevê-se que o registo seja criado antes do final deste ano. Se agora, de acordo com as fontes da publicação, as empresas fornecem “formulações abstratas sobre riscos de segurança” ao Ministério do Desenvolvimento Digital, quando o registro aparecer, será necessário compilar uma lista precisa de eventos inaceitáveis, após o que a empresa ou organização determinará quais eventos podem ser típicos para ele (com um relatório ao governo) e será obrigado a “monitorar a ausência de ocorrência” de tais eventos. Segundo os especialistas, esse esquema mostrará claramente do que deve ser protegido.
Nesse caso, diferentes eventos podem ser considerados eventos inaceitáveis para cada esfera. Se é inaceitável que uma organização estatal invada a página oficial ou até envie dados em seu próprio nome, no caso de uma loja online, podemos falar em interromper o serviço de vendas.
As ameaças são bastante reais – desde o início dos eventos na Ucrânia, o número e a intensidade dos ataques a sistemas de informação públicos e privados de grande porte aumentaram rapidamente. De acordo com os resultados das verificações, 79% das empresas e organizações de todos os setores tinham vulnerabilidades em seus sistemas e 86% delas foram invadidas com sucesso. Segundo especialistas, é extremamente importante manter o cadastro atualizado, caso contrário corre-se o risco de “se transformar em uma espécie de cemitério de eventos inaceitáveis que não aconteciam há muito tempo”. Mais significativa, na opinião deles, é a experiência de lidar com as consequências de riscos já percebidos e a troca de informações sobre os mecanismos para sua prevenção.
O Ministério da Transformação Digital mantém um alto nível de atividade: no início de agosto, foi divulgada a notícia de que o ministério havia expurgado o registro de empresas russas de TI que poderiam se qualificar para benefícios, excluindo dele mais de 400 organizações.