O que falhou (e está a falhar) no ataque informático à Câmara de Ovar?
Antes de tudo, há aqui uma questão fundamental: não devemos confundir a responsabilidade por ter sido vítima de um ataque com a responsabilidade pela preparação, prevenção e gestão da resposta ao incidente.
Nenhuma organização está imune a um ciberataque. O que distingue uma organização preparada de uma organização vulnerável é a capacidade de prevenir, detetar, conter e recuperar de um incidente, minimizando os prejuízos para quem depende dos seus serviços.
Por isso, há perguntas que não podem ficar sem resposta: existiam cópias de segurança isoladas e testadas? Existia um plano de continuidade de negócio e recuperação de desastre? Quando foi realizado o último teste? Os sistemas estavam atualizados? Existia monitorização de segurança? Foi realizada uma auditoria independente após o incidente?
Há ainda uma questão de transparência. Os cidadãos têm direito a saber que serviços e dados foram afetados, que medidas foram tomadas e que garantias existem de que a situação não se repete. Na última reunião do executivo, perante questões colocadas numa sessão transmitida em direto, o Presidente da Câmara ficou em silêncio (“Depois respondo por escrito”, respondeu a Flávio Costa, do CHEGA que ficou, assim como quem seguia a sessão, sem saber o que se passa. Grave).
Importa também distinguir os dois casos. Ovar foi atacada em 18 de outubro e Santa Maria da Feira em 5 de novembro. No caso de Ovar, a recuperação continua incompleta, embora o correio eletrónico tenha sido restabelecido em 4 de novembro. Na Feira, o ataque afetou os sistemas informáticos, o correio eletrónico e os telefones fixos.
Quanto às obrigações legais, a eventual violação de dados pessoais implica obrigações específicas de notificação à CNPD, nos termos do RGPD, e de comunicação aos titulares quando estejam reunidas as condições legais. As obrigações de notificação ao CNCS dependem igualmente do regime de cibersegurança aplicável.
Na minha perspectiva, a Assembleia Municipal de Ovar deve exigir informação documentada sobre o investimento em cibersegurança, os planos de contingência, as auditorias realizadas e os resultados da resposta aos incidentes. Prazos de licenciamento, projetos de construção, com implicações em licenças de habitabilidade, bancos, etc, implicam vidas suspensas.
O problema não é apenas saber quem atacou as câmaras municipais. É também saber se estas estavam preparadas para um ataque desta natureza e, sobretudo, se os cidadãos podem confiar na segurança e continuidade dos serviços públicos.
Autor devidamente identificado
