'Monopólio na web gera risco', diz especialista em direito digital

Para o especialistas, incidentes cibernéticos tendem a ter grande magnitude, em razão da maior dependência da sociedade por sistemas digitais - (crédito: Divulgação )

Nas últimas semanas, dois episódios deixaram governos e a sociedade alertas sobre a vulnerabilidade dos sistemas digitais. Na quinta-feira passada (25/7), um "incidente grave cibernético" levou o Ministério da Gestão e Inovação (MGI) a emitir um alerta. Várias ferramentas utilizadas pelo governo federal ficaram indisponíveis. O problema afetou nove ministérios e levou a Polícia Federal a abrir inquérito para averiguar um possível ataque hacker.

No dia 19, um apagão cibernético adquiriu escala global. A pane afetou sistemas operacionais em todo o mundo, com consequências nos meios de transportes, nos serviços bancários e em páginas de órgãos públicos. Mais de 100 mil passageiros foram impactados. Bancos, hospitais e comunicação também enfrentaram problemas. A CrowdStrike, empresa de cibersegurança, foi responsável pelo problema ocasionado no Windows, sistema operacional da Microsoft. A falha afetou 8,5 milhões de usuários do produto de propriedade de Bill Gates.

Leia também: Ministério da Gestão foi alvo de "incidente grave de segurança cibernética"

Na avaliação de Luiz Augusto D'Urso — advogado especialista em Direito Digital, professor de Direito Digital na Fundação Getulio Vargas e presidente da Comissão Nacional de Cibercrimes da Associação Brasileira dos Advogados Criminalistas (Abracrim), esses eventos revelam problemas na atual configuração do mercado de tecnologia. Para o especialistas, incidentes cibernéticos tendem a ter grande magnitude, em razão da maior dependência da sociedade por sistemas digitais. Leia, a seguir, os principais trechos da entrevista.

Leia também: PF e Abin irão investigar possível ação de hacker em sistema dos ministérios

O que os incidentes cibernéticos indicam em relação à segurança nacional?

Sem dúvida alguma, o apagão traz luz para o problema de como somos dependentes de poucas empresas; de como a internet pode ser gerida, derrubada e afetada por monopólio; e de como estamos sujeitos a empresas internacionais. Isso gera risco porque tanto a coleta quanto o tratamento de dados fazem parte da segurança nacional. O incidente deve deixar lições para que se tenha mais atenção. É necessário descentralizar poderes.

Além da iniciativa privada, o governo também deve investir em segurança cibernética?

As agências governamentais desempenham um papel crucial em relação à segurança cibernética. Elas lidam com dados sensíveis dos cidadãos, como emissão de documentos, passaportes e carteiras de motorista. A expectativa é de que essas agências garantam alta segurança em acontecimentos como um apagão. Portanto, o papel de instituições estatais relacionadas à tecnologia da informação, incluindo o Exército, que também cuida de questões de segurança cibernética, é cada vez mais essencial em nosso mundo digital.

Quais são as responsabilidades legais das empresas envolvidas na manutenção e segurança dos sistemas afetados?

O Congresso norte-americano já está envolvido numa investigação da CrowdStrike, com sede no Texas, para que se analise responsabilidades. Ao final das investigações, teremos relatórios que apontarão se a empresa foi responsável pela falha ou se agiu com negligência, imprudência ou até imperícia em suas atividades. Deve-se aguardar para saber se a empresa realmente teve culpa ou, na verdade, se foi tudo uma grande infelicidade.

As empresas prejudicadas falharam na prevenção ao incidente?

Considerando o problema ocorrido, é difícil avaliar retroativamente como as empresas deveriam ter agido. No caso em questão, elas optaram por um sistema operacional amplamente conhecido, o Windows da Microsoft, e também pela solução de segurança da empresa líder do mercado, a CrowdStrike. À primeira vista, as escolhas parecem alinhadas com as expectativas, buscando parceiros globais com reputação sólida. Vale ressaltar que, em geral, a internet funciona de maneira confiável e ininterrupta. No entanto, esse incidente foi uma exceção significativa. A partir do momento em que ocorreu a falha, surgiram oportunidades para aprimorar a resposta das empresas.

O apagão abre espaço para uma regulação?

Com exceção de questões como fake news e responsabilidade das plataformas, atualmente em debate em projetos de lei, é importante lembrar que a rede é bem regulada pelo Marco Civil da Internet. No entanto, se deve estar atento para evitar monopólios. Não se pode permitir que empresas gigantes, que já são extremamente ricas e valorizadas no ambiente on-line, adquiram suas concorrentes e se tornem as únicas detentoras de informações e decisões. Essa concentração de poder pode afetar o mundo inteiro, tanto nos acertos quanto nos erros dessas empresas. É fundamental buscar um equilíbrio entre inovação e regulação para garantir uma internet mais justa e diversificada.

Há diferença entre falhas no ambiente empresarial e em serviços governamentais?

Não. Muitas vezes, o sistema de segurança usado por órgãos do governo são de empresas privadas. A questão é: pouco importa se é uma empresa privada prestando serviço público, ou uma ferramenta elaborada pelo serviço público. Não pode haver risco de vulnerabilidade, de invasão ou de pane. Tudo depende de segurança cibernética para que não haja falhas.

Sistemas de segurança estão passando por mais problemas que o normal?

Não estamos vivendo uma época de mais falhas cibernéticas. Muito pelo contrário. Com o avanço da tecnologia, cada vez temos mais segurança. A questão é que o mundo está cada vez mais conectado. Estamos mais dependentes de sistemas digitais, e então situações como essas são sentidas com mais rigor. Os problemas sempre existiram, mas, hoje, impactam mais a vida das pessoas.

Como os clientes afetados podem buscar compensação pelos danos sofridos, tanto usuários Windows e empresas?

Os consumidores afetados devem buscar a justiça em seus respectivos locais de residência. Dado que o impacto foi global, as jurisdições variam por país ou, nos Estados Unidos, por estados específicos. A responsabilidade será avaliada conforme a localização do consumidor e a interpretação da justiça local. No entanto, é importante ressaltar que, dada a magnitude do incidente, não existe uma ação global que possa reverter a situação para todos os afetados. Cada caso será tratado individualmente.

*Estagiário sob a supervisão de Carlos Alexandre de Souza