O que falhou (e está a falhar) no ataque informático à Câmara de Ovar?
Antes de tudo, há aqui uma questão fundamental: não devemos confundir a responsabilidade por ter sido vítima de um ataque com a responsabilidade pela preparação, prevenção e gestão da resposta ao incidente.
Nenhuma organização está imune a um ciberataque. O que distingue uma organização preparada de uma organização vulnerável é a capacidade de prevenir, detetar, conter e recuperar de um incidente, minimizando os prejuízos para quem depende dos seus serviços.
Por isso, há perguntas que não podem ficar sem resposta: existiam cópias de segurança isoladas e testadas? Existia um plano de continuidade de negócio e recuperação de desastre? Quando foi realizado o último teste? Os sistemas estavam atualizados? Existia monitorização de segurança? Foi realizada uma auditoria independente após o incidente?
Há ainda uma questão de transparência. Os cidadãos têm direito a saber que serviços e dados foram afetados, que medidas foram tomadas e que garantias existem de que a situação não se repete. Na última reunião do executivo, perante questões colocadas numa sessão transmitida em direto, o Presidente da Câmara ficou em silêncio (“Depois respondo por escrito”, respondeu a Flávio Costa, do CHEGA que ficou, assim como quem seguia a sessão, sem saber o que se passa. Grave).
Quais as conclusões do relatório técnico relativo ao ataque informático de que foi vítima?
Importa também distinguir os dois casos. Ovar foi atacada em 18 de outubro e Santa Maria da Feira em 5 de novembro. No caso de Ovar, a recuperação continua incompleta, embora o correio eletrónico tenha sido restabelecido em 4 de novembro. Na Feira, o ataque afetou os sistemas informáticos, o correio eletrónico e os telefones fixos.
Quanto às obrigações legais, a eventual violação de dados pessoais implica obrigações específicas de notificação à CNPD, nos termos do RGPD, e de comunicação aos titulares quando estejam reunidas as condições legais. As obrigações de notificação ao CNCS dependem igualmente do regime de cibersegurança aplicável.
Na minha perspectiva, a Assembleia Municipal de Ovar deve exigir informação documentada sobre o investimento em cibersegurança, os planos de contingência, as auditorias realizadas e os resultados da resposta aos incidentes. Prazos de licenciamento, projetos de construção, com implicações em licenças de habitabilidade, bancos, etc, implicam vidas suspensas.
O problema não é apenas saber quem atacou as câmaras municipais. É também saber se estas estavam preparadas para um ataque desta natureza e, sobretudo, se os cidadãos podem confiar na segurança e continuidade dos serviços públicos.
Autor devidamente identificado
