Arquivos secretos do Estado podem ser entregues a privados

Transcrição

1 5 Arquivos secretos do Estado podem ser entregues a privados Proposta. Bases de dados, mesmo com informação classificada, guardadas por Um estudo do Governo defende que as bases de dados de toda administração pública sejam centralizadas e guardadas por uma entidade privada, numa nuvem tecnológica (cloud), incluindo os arquivos das informações classificadas e os segredos de Estado. Com o objetivo de reduzir despesas, o plano está a ser desenvolvido pelo Grupo de Projeto para as Tecnologias de Informação e Comunicação, na tutela do ministro Miguel Relvas. Se o plano for aceite, dados da defesa, da segurança interna e do serviço de informações, acordos internacionais e registos de saúde ou da justiça passam a ficar guardados num único local, em cloud compwízngína lnternet) e geridos por uma empresa privada. A segurança deste modelo é contestada por instâncias internacionais e já gera alarme entre autoridades nacionais. PAÍS PÁGS. 14 E l entidade externa

2 Estudo do Governo entrega segredos de Estado a privados Nuvem. Para cortar despesas, todas as bases de dados do Estado podem ir parar a uma 'cloud computing' de uma empresa privada VALENTINA MARCELINO Um estudo do Governo defende solução tecnologicamente nova, a que as bases de dados com informações classificadas, como as que em nuvem), gerida por uma em- cloud computing (computação estão em segredo de Estado, sejam presa privada. centralizadas e guardadas por Estas estruturas são seriamente desaconselhadas pela Agência uma entidade privada. O documento - designado "Estratégia para a Racionalização dos Centos de formação (EuropeanNetworkand Europeia para a Segurança da In- Dados da Administração Pública" Information Security Agency - - chegou, há cerca de duas semanas, ao conhecimento dos respon- tipo de dados governamentais ENISA) para guardar qualquer sáveis dos serviços de sensíveis (ver riscos, ao lado). informações e da segurança nacional, te de Relvas confirma que, "no âm- Contactado pelo DN, o gabine- que não tinham sequer sido ouvidos. O estratégico de raciobito do plano global alarme disparou enquanto estes eram Gabinete de de custos nas Tecno- Dirigentes do nalização e redução pressionados para logias de Segurança e do Informação tentarem o plano. e SIRP estão alerta Comunicação O relatório, a que o (TIC), está prevista a DN teve acesso, foi racionalização dos desenvolvido no âmbito do Grupo centros de dados e o de Projeto para as Tecnologias de cloud computingna Informação e Comunicação AP". Porém, acrescenta que o estudo em causa é (GPTIC), nomeado pelo primeiro- -ministro e que está na tutela do ainda uma "versão de trabalho" e ministro dos Assuntos Parlamentares, Miguel Relvas. O rosto mais rá de ser ainda aprovado em Con- que "posteriormente o modelo te- conhecido deste grupo, coordenado pela assessora de Pedro Passos No entanto, fontes ao mais alto selho de Ministros". Coelho, Marta Sousa, é um dos nível ouvidas gurus nacionais das tecnologias de essa perceção. "O documento foi pelo DN não têm informação, o catedrático JoséTribolet (ver perfis, em baixo). modelo está decidido, bem como apresentado como definitivo e o O estudo apresenta três potenciais cenários para reduzir as des- de ter começado a haver pressão a escolha do local. Apenas o facto pesas com os centros de dados da por causa dos documentos classificados está a fazer que tentem Administração Pública (AP) e conclui que o mais "vantajoso" é uma dissimular os objetivos. Mas a opção está tomada. Tanto quejáfoi ordenado e está a decorrer um inventário de todas as bases de dados existentes", assegura um desses responsáveis. De facto, no relatório é dito que a Presidência do Conselho de Ministros (PCM) está a fazer esse levantamento em toda a AP e que, "numa primeira fase, já se encontra realizado ao nível da PCM e dos ministérios da Administração Interna (MAI), da Educação e da Saúde". Na PCM estão as bases de dados do Sistema de Informações da República Portuguesa (SIRP) e do Gabinete Nacional de Segurança, por onde passam, por exemplo, todos os documentos classificados da NATO e da União Europeia, cujas regras de segurança das informações não admitem que outra entidade que não o Estado proteja aqueles documentos. No MAI estão as bases de dados das forças e serviços de segurança, grande parte classificada e sensível. Neste estudo nem sequer estão excluídas as bases de dados de outros sectores que lidam com matérias sensíveis relacionadas com a soberania nacional. No Ministério da Defesa Nacional estão documentos classificados da NATO e nas Forças Armadas os centros de dados têm informação logística e operacional dos militares. No Ministério dos Negócios Estrangeiros estão guardados documentos classificados da UE. Na Justiça, onde a base de dados Citius alberga todos

3 os inquéritos judiciais e processos em segredo de justiça, correm também o risco de ser transferidos para a "nuvem" privada. PROTAGONISTAS MARTA SOUSA > É a coordenadora do Grupo de Projeto para as TecnoLogias de Informação e Comunicação (GPTIC), na dependência do ministro adjunto e dos Assuntos Parlamentares, MigueL ReLvas. Com apenas 34 anos, Marta tem deixado os mais altos dirigentes relacionados com a segurança nacional à beira de um ataque de nervos com as suas exigências. Pertence ao gabinete do primeiro-ministro, que conheceu durante a campanha eleitoral, quando era especialista de marketing e comunicação na agência que trabalhou para o PSD. Antes de Passos Coelho a levar para o Governo, era assessora do grupo parlamentar social-deomocrata. JOSÉTRIBOLET > Este catedrático do Instituto Superior Técnico é considerado um guru nas tecnologias de informação. Preside a ConseLho de Diretores e à Comissão Executiva do Instituto de Engenharia de Sistemas de Computadores (INESC), uma das mais prestigiadas entidades de investigação científica e consultoria tecnológica. TriboLet, o mais ativo membro e conhecido rosto do ConseLho Consultivo do GPTIC, foi autor do prefácio da estratégia nacional, para a racionalização das tecnologias de informação e comunicação desta comissão, relatório que prevê a adoção do cloud computing. Os oito riscos de segurança da computação em nuvem perigos. A Agência Europeia para a Segurança das Informações desaconselha os Governos a guardar dados sensíveis nas nuvens (clouds). "I Perda de governabilidade. Implica cedência _L de controlo da segurança para os fornecedores de serviço de cloud. Os acordos de nível de serviço muitas vezes são omissos no que respeita a segurança e não responsabilizam a empresa que fornece a "nuvem" O Bloqueio. Dependência do fornecedor da Á. cloud. Este é um dos problemas principais em matéria de documentos classificados. Dificilmente o Estado vai conseguir mudar de fornecedor e vai ficar sujeito aos preços que ele ditar. Deixa de existir mobilidade. O Partilha. Como alguns sistemas são partilha- Odos por vários clientes ou várias aplicações, os mecanismos de separação dos componentes da infraestrutura dos diversos clientes podem falhar e ficar-se sujeito a ataques. No entanto, mesmo assim, estes ataques são mais difíceis de efetuar do que os ataques tradicionais. / Certificação. Existem riscos de falta confor- H~midade e de certificação. Este é um dos grandes problemas. Não existem produtos certificados para usar na cloud, sendo difícil aos cloudprovidersmostiav a conformidade com os standards ou mesmo mostrá-los aos clientes, especialmente quando se usa uma cloudpública. Outro problema é a falta de entidade certificadora para a cloud. Estas tecnologias são muito recentes. [T Interface de acesso. Quando o acesso se faz <J através de um browserna Internet, muitos dos riscos são os inerentes aos da própria internet.

4 O Proteção de dados. O cliente não tem capa- LJ cidade de saber se os seus dados estão protegidos a todo o momento ou se o seu cloud provider está a manuseá-los corretamente, a infringir a lei, ou mesmo se eles não circulam através de federações de clouds, algures em qualquer parte do mundo. Na prática, existe falta de controlos dos cliente relativamente ao cloud provider. ~7 Destruição de dados insegura. Este risco ve- I rifica-se em todo o lado, mesmo no disco rígido do computador que temos em casa. Quando apagamos dados do disco, estes não são apagados na totalidade. Normalmente ficam lá guardados. O que é apagado são os endereços onde estão localizados, o que significa que os dados na cloud, no local onde ficarem armazenados, mesmo após apagados, continuam lá e podem ser utilizados. A agravar este risco está o facto de a infraestrutura poder ser partilhada por desconhecidos. Q Administrador 'malicioso'. Um elemento O pertencente ao cloud provider com acesso privilegiado é um dos maiores riscos á segurança. Num sistema de concentração de dados, como Aqui o risco é maior porque a concentração de dados num único local é elevadíssima. PT, Google Apple e Microsoft têm 'cloud' o presidente executivo da Portugal Telecom, Zeinal Bava, anunciou há uma semana a disponibilização de uma "oferta cloud" gratuita de 16 gigabytes a todos os portugueses. A operadora é atualmente a que oferece mais espaço gratuito a nível mundial, mesmo entre empresas como a Google, a Microsoft e a Apple. Computação em nuvem consiste no armazenamento de dados na Net, independentemente do local e equipamento a partir do qual é feito o acesso. Funciona como um disco rígido virtual portátil. O desenvolvimento deste tipo de estrutura é a grande aposta comercial da PT, a partir do mega centro de processamento de dados que está a construir na Covilhã. Numa entrevista à CNBC, Zeinal Bava, sublinhou que o investimento na "virtualização" dos dados e uma forma de ajustar os custos das empresas. Bava salientou que a transferências de muitos aspetos da vida de uma companhia para a "nuvem informatizada" conduz a poupanças entre os 30% e os 40% dos custos. 2 PERGUNTAS A... PAULO QUERIDO Consultor em tecnologias Um estudo do Governo defende a centralização das bases de dados do Estado numa cloud privada. É seguro este sistema? A computação em nuvem é provavelmente mais segura que os sistemas redundantes, mas depende da profundidade destes. No entanto, subscrevo as reservas da Agência Europeia em relação às bases de dados do Estado serem transferidas para clouds. Que opinião tem sobre esta possibilidade? Discordo frontalmente da transferência de informação do Estado para sistemas privados, independentemente da arquitetura. Professo a existência de um sistema tipo cloudpara o Estado. Não me chocará se esse sistema for elaborado por contrato com empresas privadas, mas penso que a infraestrutura deve ficar sempre e só debaixo da alçada do Estado. Mesmo que a grande maioria da informação a guardar seja pública. Aliás, essa é uma razão de peso para que a sua guarda não seja entregue a privados.

5