Setor portuário não está maduro na proteção de dados, aponta advogado

Com a pandemia e a maior integração entre os ambientes IT e OT, novos riscos foram criados na área de segurança virtual. Em 2022, observamos alguns ataques cibernéticos, onde hackers exigiam resgates para restabelecer a normalidade dos sistemas de controle da movimentação das cargas em portos do mundo inteiro, inclusive no Brasil. Para especialistas, a maturidade do setor portuário ainda é baixa e as empresas precisam investir em tecnologia para mudar esse cenário.

O Porto de Los Angeles vem sendo alvo de intensos ataques, desde o início da pandemia. De acordo com Gene Seroka, diretor executivo do porto, a instalação tem sido bombardeada com cerca de 40 milhões de ataques por mês. O Porto de Mumbai, o maior da Índia, também sofreu com um em fevereiro de 2022. Com a invasão, os navios precisaram fazer desvios para outros terminais do complexo, gerando atrasos e incontáveis prejuízos. Outro, em julho de 2021, provocou transtornos por várias semanas nos portos de Durban, Port Elizabeth, Ngqura e Cidade do Cabo, na África do Sul.

👉🏽 Clique aqui e Receba notícias no seu WhatsApp

No Brasil, no ano passado, o terminal de contêineres do porto de Mucuripe, em Fortaleza (CE), foi alvo de um ataque hacker que causou desordem no site da Companhia Docas do Ceará (CDC). Com isso, a companhia retornou a utilização de sistemas manuais de movimentação de cargas, provocando lentidão e gerando filas de navios para as operações.

De acordo com o especialista Marcelo Branquinho, fundador e CEO da empresa TI Safe, especializada em sistemas de proteção cibernética, a situação dos portos brasileiros não é das melhores. “Não temos visto uma demanda grande dos portos por proteção. Eles deveriam ter muito cuidado com seus sistemas, mas o fato é que o tema da cibersegurança ainda não despertou fortemente o interesse dos seus dirigentes”, alertou.

O especialista acredita que uma das razões para a baixa demanda portuária é que “as empresas enxergam a cibersegurança como custo, um dinheiro que elas vão gastar e não vão gerar payback”. "Essa avaliação é superficial e perigosa. Elas não percebem que aquilo que vão deixar de gastar em cibersegurança podem perder em horas de um ataque de hackers”, disse.

Rodrigo Milo, sócio de segurança cibernética da KPMG no Brasil, também acha que de uma forma geral, a maturidade para o mercado de Portos e Navios ainda é baixa, mas acredita que ela está em evolução. "Foram feitos investimentos nos últimos anos e a segurança cibernética vem aparecendo como um item crescente, comparado com alguns outros itens da indústria. O investimento vem acontecendo, também, em função do aumento de casos da indústria, uma vez que os hackers identificaram oportunidades de ataques com a baixa maturidade existente", comentou.

Segundo Milo é essencial garantir que a operação não seja impactada, ou que tenha o mínimo possível de sequelas, e que tenha condições de uma remediação rápida. Ele destaca a necessidade de ter a implementação de um programa bem estruturado com frameworks que permitem identificar riscos, estabelecer controles, mensurar os riscos residuais, bem como estabelecer planos de recuperação, de gestão de incidentes, de comunicação de incidentes e de treinamento de profissionais, possibilitando a definição de caminhos a serem seguidos pelas organizações para a sua proteção.

"Importante também comunicar-se com órgãos reguladores e parceiros para que seja possível minimizar o ataque em outras esferas. Para isso, é necessário um Programa de Segurança Cibernética bem implementado e testado", disse.

Com base no aumento crescente desses ataques a IAPH (The International Association of Ports and Harbors) criou um guia de Cibersegurança denominado “IAPH Cybersecurity Guidelines for Ports and Port Facilities” para servir de base para as Organizações identificarem os principais riscos de Cibersegurança e como mensurar e tratar os mesmos. O guia traz como referência, alguns frameworks de mercado que ajudam na implementação de estratégias e controles de segurança como o NIST e especificamente para o ambiente de OT/IOT, o ISA/IEC 62443.

Como dica final, Milo, relembra a importância em tratar a relação que as organizações possuem com seus parceiros e terceiros de forma que exista uma relação de gestão de segurança implementada entre eles. "É necessário garantir que os mesmos controles que existem internamente na sua organização, sejam aplicados pelos seus parceiros no tratamento da operação de segurança cibernética. Isso gera uma segurança maior e minimiza o risco de ataques cibernéticos na cadeia de produção como um todo", afirmou.

Fonte: Clipping | Foto: Divulgação