Resiliência Operacional Digital, NIS2 e DORA

NIS2, legislação nacional de cibersegurança e obrigações setoriais em matéria de segurança digital

A implementação da NIS2 transformou, para muitas organizações, a cibersegurança de um domínio predominantemente técnico numa área expressa de governação e responsabilidade jurídica. Para a sua organização, uma gestão eficaz da conformidade deve, por conseguinte, começar por uma análise precisa do âmbito de aplicação. Deve ser determinado se a organização no seu conjunto, uma entidade jurídica específica, uma atividade concreta ou um determinado serviço se encontra abrangido por um setor regulado e qual a qualificação jurídica daí resultante. Esta avaliação pode tornar-se complexa quando grupos empresariais desenvolvem várias atividades, quando os serviços são prestados através de diferentes entidades jurídicas, quando as funções digitais de suporte se encontram centralizadas ou quando prestadores externos desempenham um papel essencial na prestação de serviços regulados. Uma análise excessivamente restritiva pode conduzir à não identificação de determinadas obrigações legais ou à sua identificação tardia. Por outro lado, uma abordagem excessivamente ampla pode gerar controlos ineficientes, obrigações de reporting desnecessárias e perda de foco ao nível da gestão. A sua organização deve, por isso, ser capaz de reconstruir que serviços presta, que qualificações jurídicas se aplicam, que sistemas e fornecedores suportam esses serviços e onde se encontram efetivamente atribuídas as responsabilidades relevantes dentro do sistema de governação. Este perímetro jurídico constitui posteriormente o ponto de partida para avaliação de riscos, registo, medidas de gestão de riscos, notificação de incidentes, supervisão pela gestão e interação com as autoridades competentes. O âmbito de aplicação não deve ser tratado como uma qualificação jurídica realizada uma única vez. Fusões, aquisições, novos serviços digitais, alterações nos critérios de dimensão ou volume de negócios, novos fornecedores, reorganizações internas e mudanças na regulamentação setorial podem alterar as obrigações aplicáveis. A sua organização beneficia, por isso, de um processo periódico de reavaliação no qual perímetro jurídico, atividades empresariais e dependências digitais sejam analisados em conjunto.

As obrigações de diligência e de gestão de riscos decorrentes do quadro NIS2 exigem igualmente medidas baseadas no risco e proporcionadas à natureza das suas atividades, à probabilidade das ameaças relevantes, às potenciais consequências sociais de uma perturbação e às características técnicas e organizacionais do seu ambiente digital. Uma política genérica de segurança da informação é, por conseguinte, insuficiente. A sua organização deve poder explicar por que motivo determinadas medidas de segurança são adequadas, em que avaliação de riscos se baseiam e de que forma é controlada a sua eficácia real. Entre as áreas de controlo relevantes podem incluir-se gestão de incidentes, continuidade de negócio, gestão de crise, segurança da cadeia de fornecimento, gestão de vulnerabilidades, controlos de acesso, criptografia, comunicações seguras, higiene cibernética, formação, autenticação multifator e avaliação do risco de fornecedores. A coerência entre estas medidas é mais importante do que a mera existência formal de documentos separados. Um sistema robusto de gestão de identidades, por exemplo, oferece proteção limitada se as contas de recuperação estiverem insuficientemente protegidas. Uma política detalhada de fornecedores oferece proteção insuficiente se os contratos não conferirem direitos efetivos de auditoria, informação, notificação de incidentes ou cessação. Um plano de resposta a incidentes é inadequado se os colaboradores não souberem quando um evento deve ser juridicamente tratado como sujeito a notificação. As medidas técnicas devem, portanto, ser continuamente ligadas a cenários operacionais concretos, obrigações jurídicas específicas e responsabilidades de governação claramente identificadas. Deste modo, o sistema de controlo torna-se verdadeiramente testável e evita-se que a conformidade se reduza a um exercício documental desligado da realidade operacional.

A dimensão de governação associada à NIS2 exige atenção particular porque os riscos digitais passam a integrar diretamente a supervisão e a responsabilidade dos órgãos de gestão. Os membros da gestão devem dispor de uma compreensão suficiente dos principais riscos cibernéticos, da eficácia das medidas implementadas e das consequências de deficiências estruturais. Isto exige mais do que dashboards periódicos com números relativos a vulnerabilidades, alertas de phishing ou incidentes de segurança. O órgão de gestão necessita de informação que permita compreender a exposição material dos serviços críticos, a rapidez com que vulnerabilidades graves são corrigidas, o grau de dependência relativamente a determinados fornecedores, a capacidade real de recuperação dos processos essenciais, a eficácia dos controlos de acesso, o estado das principais constatações de auditoria e o nível de preparação para cenários nos quais várias camadas de defesa falham simultaneamente. A formação da gestão deve igualmente refletir as responsabilidades inerentes à função. Os dirigentes não têm de se tornar especialistas operacionais em cibersegurança, mas devem ser capazes de identificar que riscos apresentam relevância estratégica ou material, que incertezas subsistem, que decisões exigem escalonamento e quando se tornam necessários investimentos adicionais. Se, posteriormente, uma autoridade de supervisão formular questões, a avaliação não se limitará à existência formal de políticas. Poderá abranger também a qualidade das avaliações de risco, a rapidez e adequação das medidas corretivas, a proporcionalidade das decisões e o grau em que deficiências conhecidas foram efetivamente tratadas. Uma posição sólida exige, por isso, uma trilha decisória verificável na qual aceitação de riscos, decisões de investimento, exceções, prioridades de remediação e escalonamentos estejam devidamente fundamentados e documentados.

DORA, gestão do risco TIC no setor financeiro e supervisão regulatória

O DORA estabelece para as entidades financeiras um quadro europeu abrangente no qual o risco TIC deixa de poder ser tratado como uma especialidade tecnológica isolada e passa a ter de ser gerido como componente central da governação e do controlo dos serviços financeiros. Para a sua organização, isto significa que a gestão do risco TIC deve estar diretamente ligada à estratégia empresarial, à gestão do risco operacional, ao planeamento da continuidade, à gestão de fornecedores, à gestão de incidentes e à supervisão regulatória. O critério central consiste em saber se a sua organização é capaz de identificar, proteger, detetar, gerir, recuperar e avaliar sistematicamente os riscos relacionados com TIC. Tal exige um quadro coerente de gestão do risco TIC no qual as responsabilidades estejam claramente atribuídas, os ativos de informação e ativos TIC sejam identificáveis, as dependências críticas sejam conhecidas e sejam mantidas medidas adequadas de segurança e recuperação. Deve ser possível determinar que funções dependem de que aplicações, infraestruturas, fontes de dados e prestadores externos. Um produto financeiro, um serviço de pagamento, um processo de seguros, uma função de negociação ou um portal de clientes podem depender de dezenas de componentes técnicos distribuídos por múltiplos ambientes internos e externos. Quando essas dependências são conhecidas apenas por equipas de TI isoladas, surge um risco de governação material. O DORA exige, por isso, uma abordagem na qual a informação técnica seja traduzida em significado operacional e executivo. A gestão deve ser capaz de compreender que falhas TIC podem produzir impacto material, que sequência de recuperação é necessária e que riscos emergem quando um prestador externo se torna indisponível.

Uma característica essencial do DORA reside no facto de a eficácia da gestão do risco TIC não ser avaliada apenas com base na segurança preventiva, mas ao longo de todo o ciclo de vida de uma perturbação digital. Deteção, resposta, recuperação, aprendizagem e melhoria estrutural tornam-se, assim, tão importantes quanto a proteção. A sua organização deve ser capaz de identificar e classificar atempadamente incidentes TIC graves e de os notificar de acordo com os requisitos aplicáveis. Simultaneamente, deve poder demonstrar de que forma sinais técnicos são traduzidos em decisões relativas a obrigações jurídicas de notificação, impacto sobre clientes, consequências financeiras, perda de dados, exposição reputacional e potenciais efeitos sistémicos. Isto exige um processo integrado de escalonamento no qual cibersegurança, operações TIC, gestão de riscos, compliance, função jurídica, privacidade, comunicação e senior management conheçam antecipadamente o papel que lhes compete desempenhar. A mesma integração é necessária para os testes de resiliência operacional digital. Estes não podem limitar-se a scans técnicos de vulnerabilidades ou testes de intrusão periódicos. A sua organização deve avaliar se os processos críticos conseguem continuar a funcionar em cenários realistas de perturbação, se os procedimentos de recuperação são efetivamente executáveis, se as decisões de crise podem ser tomadas com rapidez suficiente e se as soluções alternativas estão realmente disponíveis. As conclusões resultantes dos testes devem depois ser traduzidas em medidas concretas de remediação, prioridades, responsáveis e prazos. Um programa de testes sem uma remediação efetivamente governada oferece apenas uma garantia limitada.

O DORA produz igualmente consequências significativas para a forma como a sua organização seleciona, contrata, regista, avalia e substitui prestadores externos de serviços TIC. Fornecedores de cloud, prestadores de serviços geridos, fornecedores de software, plataformas de dados, prestadores de serviços de segurança e outros terceiros podem estar profundamente integrados na prestação de serviços financeiros críticos. Um incidente operacional num fornecedor pode, por conseguinte, ter consequências diretas sobre as suas obrigações regulatórias, mesmo quando a causa técnica se encontre fora do seu próprio ambiente. O DORA deixa claro que externalizar tecnologia não equivale a externalizar responsabilidade. A sua organização deve, portanto, avaliar previamente que funções são suportadas por terceiros, que riscos de concentração surgem, que dados são tratados, que subcontratantes estão envolvidos, que localizações são relevantes, que riscos de cessação existem e se as estratégias de saída são realmente executáveis. As disposições contratuais devem assegurar direitos suficientes de informação, auditoria, cooperação, notificação de incidentes, continuidade e cessação. O registo dos acordos contratuais não deve ser tratado como um inventário administrativo, mas como um instrumento estratégico para identificar concentrações, dependências comuns e exposições materiais. Num processo de supervisão, a sua organização deve ser capaz de demonstrar rapidamente que fornecedor suporta que função crítica, que garantias contratuais se aplicam, que avaliação de risco foi realizada e que medidas estão disponíveis em caso de incumprimento ou deficiência estrutural do fornecedor.

Serviços empresariais críticos, análise de impacto no negócio e mapeamento das dependências operacionais

A resiliência operacional digital só pode ser organizada eficazmente quando a sua organização define primeiro quais os serviços empresariais verdadeiramente críticos para clientes, mercados, parceiros da cadeia de valor, interesses públicos ou para a própria continuidade da empresa. Uma abordagem tradicional de TI começa frequentemente pelos sistemas, aplicações ou infraestruturas. Uma abordagem baseada em resiliência operacional começa, pelo contrário, pelo serviço que deve continuar a funcionar e recua depois para identificar todas as pessoas, processos, tecnologias, dados, localizações e fornecedores externos necessários ao seu suporte. Esta distinção é essencial. Uma aplicação pode ser tecnicamente importante sem ser diretamente crítica para um serviço essencial. Em sentido inverso, uma aplicação relativamente simples pode constituir um ponto de falha inesperadamente relevante porque vários processos importantes dependem dela. A sua organização deve, por conseguinte, identificar os serviços empresariais críticos com base nas consequências da perturbação, na rapidez com que o dano pode materializar-se, na dependência de clientes ou parceiros, nas obrigações legais e na disponibilidade de alternativas. É igualmente importante evitar classificar todos os processos empresariais como críticos. Quando praticamente tudo é considerado crítico, desaparece a capacidade real de priorização e torna-se difícil tomar decisões eficazes de recuperação durante uma crise. A criticidade exige, portanto, diferenciação rigorosa.

A análise de impacto no negócio constitui a ligação entre serviços críticos e requisitos concretos de recuperação. A sua organização deve ser capaz de determinar que consequências operacionais, financeiras, jurídicas, sociais e reputacionais surgem quando um serviço permanece indisponível durante determinado período. O tempo é um fator decisivo. Uma interrupção de quinze minutos pode ter impacto limitado, enquanto a mesma perturbação após quatro horas, doze horas ou dois dias pode tornar-se extremamente grave. Os objetivos de recuperação não devem, por conseguinte, ser definidos apenas a partir de critérios técnicos, mas devem derivar da tolerância efetiva do serviço empresarial em causa. Para cada serviço crítico deve ser claro que nível mínimo de funcionalidade deve ser mantido, dentro de que prazo deve ocorrer a recuperação, que volume de perda de dados é aceitável, que alternativas manuais estão disponíveis e que dependências podem atrasar o restabelecimento. A análise deve igualmente considerar efeitos em cadeia. A falha de um único serviço de autenticação pode bloquear múltiplas aplicações. A indisponibilidade de um fornecedor de dados pode afetar a tomada de decisão mesmo quando a aplicação principal continua operacional. Uma perturbação das telecomunicações pode afetar simultaneamente as comunicações internas, o contacto com clientes e o acesso a ambientes cloud. Tornar visíveis estas interdependências permite obter uma compreensão significativamente mais realista da vulnerabilidade efetiva.

O mapeamento das dependências operacionais aprofunda esta análise ao identificar toda a cadeia que suporta um serviço crítico. A sua organização não deve limitar-se a registar os sistemas principais, devendo incluir também tecnologias de suporte, serviços de identidade, fontes de dados, API, ligações de rede, componentes cloud, localizações físicas, colaboradores-chave, fornecedores externos, subcontratantes e recursos de recuperação. As dependências indiretas exigem especial atenção. Um fornecedor que não esteja formalmente classificado como crítico pode fornecer um componente de software essencial utilizado por vários sistemas críticos. Um prestador externo pode depender de um subcontratante que utilize o mesmo fornecedor cloud que a sua organização, o que significa que uma aparente diversificação pode, na realidade, ocultar um único ponto concentrado de falha. A concentração geográfica também pode ser relevante quando vários centros de dados, equipas ou fornecedores operam na mesma área de risco. O objetivo do mapeamento das dependências não consiste, por conseguinte, em produzir um diagrama estático, mas em gerar informação de governação que permita determinar onde existem riscos de concentração, que dependências estão insuficientemente controladas e que sequência de recuperação deve ser seguida perante uma perturbação grave. Esta informação constitui ainda uma base essencial para gestão de fornecedores, programas de testes, análise de cenários, gestão de crise e interação com autoridades de supervisão.

Classificação de ciberincidentes, obrigações de notificação e reporting regulatório

Um ciberincidente adquire relevância jurídica e estratégica a partir do momento em que se torna evidente que pode produzir consequências materiais para a disponibilidade, integridade, confidencialidade, autenticidade ou continuidade dos serviços. A dificuldade operacional reside no facto de esta avaliação ter frequentemente de ser realizada quando os factos técnicos ainda são incompletos. Nas primeiras horas de um incidente podem existir incertezas quanto à causa, dimensão, duração, sistemas afetados, dados comprometidos e potenciais consequências. Simultaneamente, os prazos regulatórios de notificação podem já ter começado a correr e qualquer atraso pode gerar exposição perante a autoridade de supervisão. A sua organização necessita, por isso, de um processo de classificação que ligue diretamente a deteção técnica do incidente aos critérios jurídicos de avaliação. Devem ser previamente definidos os indicadores que desencadeiam escalonamento, as informações mínimas que devem estar disponíveis, quem dispõe de competência para classificar o evento e quem é responsável pela notificação externa. Os critérios devem ser suficientemente concretos para permanecerem operacionais sob pressão. Uma instrução genérica segundo a qual um “incidente grave” deve ser notificado não oferece orientação suficiente numa situação crítica. Entre os fatores relevantes podem incluir-se duração, extensão geográfica, número de utilizadores afetados, impacto económico, perda de dados, consequências para funções críticas, possíveis efeitos transfronteiriços e possibilidade de recuperação do serviço dentro dos prazos previstos.

O processo de notificação deve ainda ter em conta que um único incidente pode ativar simultaneamente vários regimes jurídicos. Um ciberataque pode, por exemplo, ser relevante ao abrigo da NIS2, do DORA, do Regulamento Geral sobre a Proteção de Dados, de requisitos setoriais de supervisão, de obrigações contratuais de notificação e de condições de seguros. Estes regimes não utilizam necessariamente as mesmas definições, os mesmos prazos ou os mesmos critérios de avaliação. Surge assim o risco de equipas diferentes chegarem, em paralelo, a conclusões divergentes ou de as notificações obrigatórias serem preparadas de forma incoerente. A sua organização beneficia, por conseguinte, de um processo central de governação de incidentes no qual cada evento seja analisado face a todos os quadros jurídicos potencialmente aplicáveis, respetivos prazos, informações já disponíveis e análises adicionais ainda necessárias. Este processo deve evitar que a urgência prejudique a precisão, mas também que uma procura excessiva de perfeição provoque atrasos. Uma primeira notificação não necessita necessariamente de estabelecer de forma definitiva todos os detalhes técnicos. Deve, contudo, indicar de forma fiável o que é conhecido, que incertezas subsistem, que medidas foram adotadas e como será organizada a investigação subsequente. Um controlo rigoroso das versões da informação relativa ao incidente é, portanto, essencial.

A qualidade do reporting regulatório depende em larga medida da qualidade do registo subjacente ao incidente. A sua organização deve poder reconstruir quando o incidente foi detetado, que sinais estavam disponíveis, que decisões foram tomadas, que pessoas participaram, quando ocorreu o escalonamento, que pressupostos foram utilizados e em que momento existia informação suficiente para tomar uma decisão sobre a notificação. Esta cronologia pode tornar-se decisiva se uma autoridade de supervisão vier posteriormente a avaliar se a notificação foi efetuada de forma atempada e suficientemente completa. A tomada de decisão, a classificação e as comunicações devem, por isso, ser documentadas desde o início. É igualmente necessária disciplina nas comunicações internas. Hipóteses técnicas não confirmadas, qualificações informais ou explicações contraditórias podem posteriormente gerar dificuldades de interpretação. Um processo robusto distingue, portanto, entre constatações factuais, hipóteses provisórias, avaliações de risco e decisões formais. As comunicações com clientes, parceiros da cadeia de valor e meios de comunicação devem igualmente estar alinhadas com uma mesma base factual controlada. Declarações externas contraditórias podem intensificar danos reputacionais e suscitar novas questões por parte das autoridades. A posição mais sólida verifica-se quando a resposta técnica ao incidente, a análise jurídica e a comunicação executiva operam a partir de um único registo factual controlado, sem ignorar as diferenças legítimas que possam existir entre notificações regulatórias e comunicação pública.

Continuidade de negócio, recuperação de desastre e gestão de crise

A continuidade de negócio constitui o núcleo operacional da resiliência digital, uma vez que nenhuma medida preventiva de segurança pode garantir proteção absoluta contra perturbações. A sua organização deve, por conseguinte, estar preparada para cenários nos quais os sistemas fiquem efetivamente indisponíveis, os dados deixem temporariamente de estar acessíveis, um fornecedor interrompa a prestação, as comunicações digitais sejam gravemente limitadas ou a recuperação exija substancialmente mais tempo do que o inicialmente previsto. A gestão da continuidade deve começar por determinar que serviços devem continuar a ser prestados, pelo menos a um nível mínimo, durante uma perturbação, e não por decidir que componente técnico pode ser recuperado em primeiro lugar. A prioridade deve ser determinada pela função social, contratual e económica do serviço em causa. Para cada serviço empresarial crítico deve, por conseguinte, ser definida a capacidade operacional mínima necessária, que pessoas e recursos devem permanecer disponíveis, que decisões devem poder ser tomadas em contexto de crise e que alternativas temporárias podem ser efetivamente utilizadas. Um processo manual pode, por exemplo, ser suficiente para manter temporariamente um serviço essencial, mas apenas se os dados necessários permanecerem acessíveis, se os colaboradores conseguirem efetivamente utilizar o procedimento e se a capacidade disponível tiver sido testada de forma realista. Os planos de continuidade devem, por isso, basear-se em cenários operacionalmente executáveis e não em procedimentos meramente teóricos.

A recuperação de desastre concentra-se mais especificamente no restabelecimento técnico de sistemas, infraestruturas, dados e conectividade, mas deve estar estreitamente alinhada com a continuidade de negócio. Os objetivos técnicos de recuperação devem derivar do impacto empresarial e não apenas de padrões históricos de TI. Se um serviço crítico tiver de ser restabelecido em duas horas, mas o procedimento completo de recuperação da infraestrutura que o suporta exigir oito horas, existe uma divergência fundamental. A sua organização deve identificar e resolver antecipadamente este tipo de incoerências através de redundância técnica, instalações alternativas, ambientes de recuperação separados, capacidade adicional de backup ou adaptação de processos empresariais. As cópias de segurança exigem atenção especial. A sua mera existência não demonstra que os dados possam ser recuperados de forma atempada, completa e fiável. Os backups devem estar protegidos contra os mesmos vetores de ataque que possam afetar os sistemas primários, ser testados regularmente e ser organizados com suficiente independência relativamente ao ambiente de produção. Configurações, certificados, dados de autenticação, informações relativas à gestão de chaves, versões de software e documentação técnica também podem ser essenciais para a recuperação. Uma organização que preserve ficheiros de dados, mas não disponha das configurações e dos elementos de acesso necessários, pode ainda assim sofrer uma indisponibilidade operacional prolongada.

A gestão de crise liga, finalmente, a resposta técnica e operacional à tomada de decisão executiva. Perturbações digitais graves evoluem frequentemente com rapidez e geram simultaneamente pressões jurídicas, comerciais, financeiras e reputacionais. A gestão de topo pode ter de tomar decisões em condições de elevada incerteza relativamente a prioridades de recuperação, comunicações, contratação de apoio externo, medidas dirigidas a clientes, escalonamento perante fornecedores, interação com autoridades, posicionamento jurídico e eventuais limitações temporárias na prestação de serviços. Deve, por isso, estar previamente definido quem participa na estrutura de crise, que competências cabem a cada função, como são organizadas as substituições, que informação deve estar disponível em cada fase e que decisões exigem aprovação formal. A gestão de crise não deve depender de relações informais nem da disponibilidade de indivíduos específicos. Também a relação entre equipas operacionais e gestão deve estar claramente definida. Os especialistas técnicos devem dispor de autonomia suficiente para agir rapidamente, enquanto decisões com consequências jurídicas, financeiras ou sociais relevantes devem ser escaladas sem demora para o nível adequado.

Neste quadro mais amplo, a Gestão Integrada dos Riscos de Criminalidade Financeira deve permanecer estreitamente ligada à resiliência operacional digital sempre que uma perturbação tecnológica possa enfraquecer os controlos destinados a prevenir, detetar ou gerir a criminalidade financeira. A indisponibilidade temporária de sistemas de monitorização de transações, filtragem de sanções, diligência devida de clientes, deteção de fraude, controlos de pagamentos ou verificação de identidades pode gerar riscos adicionais de criminalidade financeira precisamente no momento em que a atenção operacional se encontra concentrada noutras prioridades. O planeamento da continuidade deve, por conseguinte, identificar que controlos relacionados com criminalidade financeira devem permanecer operacionais como mínimo, que controlos compensatórios podem ser ativados quando os sistemas habituais não estejam disponíveis e como devem ser monitorizadas, durante a perturbação, transações, contrapartes ou fluxos de pagamento com perfil de risco mais elevado. A Gestão Integrada dos Riscos de Criminalidade Financeira permite, assim, ligar continuidade digital, integridade financeira, controlo de transações, cumprimento de sanções, prevenção da fraude e governação de incidentes dentro de um único sistema coerente de controlo. A resiliência digital deixa, deste modo, de ser uma disciplina meramente técnica de continuidade para se tornar uma capacidade institucional mais ampla, destinada a proteger simultaneamente a continuidade operacional, a conformidade regulatória, a integridade financeira e a capacidade da sua organização para tomar decisões juridicamente defensáveis sob pressão.

Testes de resiliência operacional digital, exercícios baseados em cenários e testes orientados por ameaças

A resiliência operacional digital não pode ser demonstrada apenas através da verificação da existência formal de políticas, procedimentos, planos de recuperação e medidas técnicas de segurança. Para a sua organização, uma garantia efetiva só existe quando pode ser demonstrado, em condições realistas, que os serviços empresariais críticos conseguem resistir a perturbações digitais graves e que os mecanismos de recuperação funcionam efetivamente quando as medidas preventivas se revelam insuficientes. Os testes de resiliência operacional digital devem, por conseguinte, ir muito além dos testes de intrusão convencionais, das análises de vulnerabilidades e das verificações periódicas de sistemas isolados. A questão central consiste em determinar se a sua organização consegue continuar a funcionar como um conjunto coerente sob pressão quando múltiplas dependências técnicas, organizacionais e externas são simultaneamente afetadas. Um programa de testes eficaz deve, portanto, ligar vulnerabilidades técnicas a impactos empresariais concretos. Podem ser desenvolvidos cenários nos quais, por exemplo, uma plataforma cloud se torna subitamente indisponível, os serviços de autenticação deixam de funcionar, um ataque de ransomware afeta várias unidades de negócio, determinados dados essenciais deixam temporariamente de ser fiáveis, um prestador externo de serviços TIC revela capacidade de recuperação insuficiente ou se descobre que vários fornecedores dependem da mesma infraestrutura subjacente. Não deve ser a complexidade técnica do cenário a determinar o âmbito do exercício, mas sim o potencial impacto sobre a continuidade dos serviços críticos. A sua organização deve definir previamente que serviços empresariais, processos, sistemas, dados, localizações, colaboradores e fornecedores integram o âmbito do teste, que níveis de tolerância à perturbação se aplicam e que indicadores de desempenho devem ser medidos durante e após o exercício. Desta forma, o programa de testes permite avaliar não apenas se os controlos técnicos são capazes de resistir a uma perturbação, mas também se a tomada de decisão, o escalonamento, as comunicações, os procedimentos de continuidade e as capacidades de recuperação correspondem efetivamente às necessidades operacionais.

Os exercícios baseados em cenários são igualmente essenciais para testar a dimensão de governação da resiliência digital. Durante uma crise real, os órgãos de gestão, a função jurídica, os profissionais de compliance, as equipas de segurança e os responsáveis operacionais raramente dispõem, desde o primeiro momento, de informação completa. Os primeiros sinais podem ser ambíguos ou contraditórios, ao mesmo tempo que devem ser tomadas decisões relativas à continuidade dos serviços, às prioridades de recuperação, às obrigações regulatórias de notificação, às comunicações com clientes, ao envolvimento de especialistas externos e ao escalonamento perante autoridades de supervisão. Um exercício bem concebido deve reproduzir deliberadamente essa incerteza. A sua organização pode, por exemplo, ser inicialmente confrontada com aquilo que aparenta ser uma interrupção limitada do serviço, vindo posteriormente a descobrir que o evento está relacionado com acesso não autorizado, possível manipulação de dados e compromissão de um fornecedor. Numa fase posterior, pode verificar-se que o mesmo fornecedor suporta também outro serviço empresarial crítico, ampliando significativamente o impacto operacional. A introdução gradual deste tipo de desenvolvimentos permite avaliar se a informação é partilhada atempadamente, se as responsabilidades são compreendidas, se as decisões são tomadas ao nível adequado e se as obrigações jurídicas são corretamente identificadas. Permite também determinar se as equipas conhecem efetivamente os canais alternativos de comunicação, as soluções de recuperação e as vias de escalonamento disponíveis. O valor destes exercícios não reside, portanto, na confirmação de que os procedimentos existentes são conhecidos, mas na identificação das diferenças entre os planos formais e o comportamento efetivo. A sua organização obtém, assim, informação concreta sobre velocidade de decisão, qualidade da informação, capacidade de coordenação, recuperabilidade dos processos e dependências organizacionais que uma revisão documental convencional poderá não revelar.

Para as entidades financeiras, o DORA pode ainda exigir, dependendo da natureza, dimensão e perfil de risco da organização, a realização de testes de penetração avançados baseados em ameaças. Estes testes analisam a organização a partir da perspetiva de adversários realistas e avaliam se funções críticas podem ser comprometidas através de técnicas, táticas e procedimentos coerentes com a informação disponível sobre ameaças. Esta abordagem exige uma delimitação rigorosa dos objetivos do teste, dos sistemas incluídos no respetivo âmbito, dos fornecedores externos envolvidos, dos limites de segurança, das considerações relativas à proteção de dados e da forma como as vulnerabilidades identificadas serão tratadas. Um teste de penetração orientado por ameaças não constitui uma competição entre equipas ofensivas e defensivas, mas um método controlado para avaliar o funcionamento das medidas existentes quando é simulada uma cadeia coordenada de ataque. As conclusões não devem, por conseguinte, ser classificadas exclusivamente em termos técnicos. A sua organização deve determinar que vulnerabilidades podem afetar a prestação de serviços críticos, que causas estruturais estão na origem das deficiências identificadas e que medidas de remediação devem receber prioridade. Esta abordagem liga-se diretamente à Gestão Integrada dos Riscos de Criminalidade Financeira, uma vez que as mesmas vias digitais de acesso que ameaçam a continuidade operacional podem ser exploradas para fraude em pagamentos, abuso ou apropriação de identidades, manipulação de dados, evasão a sanções ou outras formas de criminalidade financeira. A ligação dos resultados técnicos dos testes aos riscos operacionais, jurídicos e de integridade permite obter uma visão significativamente mais completa da exposição real da sua organização. O resultado de cada programa de testes deve, por conseguinte, ser traduzido em ações de remediação demonstráveis, responsáveis claramente identificados, prazos concretos, novos testes periódicos e reporting à gestão, de forma a garantir que os testes contribuem diretamente para o reforço estrutural da resiliência digital.

Risco TIC de terceiros, registos de externalização e dependências de fornecedores críticos

A continuidade digital da sua organização depende cada vez mais de entidades que operam fora dos seus próprios limites jurídicos e operacionais. Fornecedores de cloud, fornecedores de software, prestadores de serviços geridos, centros de dados, processadores de pagamentos, operadores de telecomunicações, prestadores de serviços de cibersegurança, fornecedores de identidade e fornecedores especializados de dados podem constituir individualmente componentes essenciais de serviços empresariais críticos. Esta situação cria uma questão fundamental de governação: a sua organização pode externalizar a execução técnica, mas continua responsável pela gestão dos riscos decorrentes dessa dependência. Uma gestão eficaz do risco TIC de terceiros deve, por isso, começar muito antes da assinatura do contrato. Deve ser possível determinar que serviço é externalizado, que função empresarial passa a depender desse serviço, que dados serão tratados, que localizações e subcontratantes estarão envolvidos, que riscos de continuidade existem e quais seriam as consequências caso o fornecedor se tornasse subitamente indisponível. Devem igualmente ser consideradas a solidez financeira, operacional e jurídica do fornecedor. Um fornecedor tecnologicamente sofisticado pode, ainda assim, criar um risco significativo de continuidade se a prestação estiver altamente concentrada, se o conhecimento crítico estiver detido por um número reduzido de pessoas ou se componentes essenciais dependerem, por sua vez, de outras entidades externas. A diligência devida sobre fornecedores deve, por conseguinte, abranger dependências diretas e indiretas e ser proporcional à criticidade do serviço empresarial suportado.

O controlo contratual assume neste domínio especial importância. Um contrato de prestação de serviços exaustivo oferece proteção limitada se, durante um incidente, a sua organização não conseguir obter atempadamente a informação necessária, não dispuser de direitos efetivos de auditoria ou não possuir competências contratuais suficientes para impor medidas de remediação. As disposições contratuais devem, por isso, corresponder diretamente aos riscos operacionais e regulatórios envolvidos. Entre os elementos relevantes incluem-se obrigações de informação, requisitos de cibersegurança, notificação de incidentes, direitos de auditoria e acesso, localização de dados, recurso a subcontratantes, medidas de continuidade, objetivos de recuperação, obrigações de teste, proteção de dados, direitos de cessação e apoio à saída. Para funções críticas ou importantes, estas disposições devem ser suficientemente específicas para permanecerem efetivamente utilizáveis durante uma crise. A sua organização deve, por exemplo, poder determinar dentro de que prazo um fornecedor é obrigado a comunicar um incidente grave, que informação mínima deve fornecer, de que forma pode ser conduzida uma investigação e que assistência deve ser prestada para a recuperação. As alterações ocorridas durante a relação contratual também devem ser controladas. Um fornecedor pode introduzir novos subcontratantes, migrar infraestruturas ou substituir componentes técnicos durante a vigência do contrato. Se estas mudanças não forem identificadas atempadamente, o perfil de risco do serviço pode alterar-se substancialmente sem que a sua organização tenha atualizado a respetiva avaliação. A gestão contratual deve, portanto, estar diretamente ligada à gestão de riscos e não ser tratada apenas como uma função comercial de gestão de fornecedores.

Os registos de acordos contratuais TIC assumem particular relevância ao abrigo do DORA porque devem proporcionar visibilidade sobre a extensão e a natureza das dependências relativamente a prestadores externos de serviços TIC. Um registo desta natureza só possui verdadeiro valor de governação quando a informação é correta, completa, atualizada e pode ser associada a funções críticas, entidades jurídicas, localizações, categorias de dados e subcontratantes. A sua organização deve conseguir utilizar este quadro para determinar se vários serviços empresariais críticos dependem do mesmo fornecedor, do mesmo ambiente cloud, do mesmo componente de software ou da mesma infraestrutura geográfica. Estes riscos de concentração podem multiplicar o impacto de um incidente. Uma diversificação aparentemente adequada pode igualmente ser enganadora quando diferentes contrapartes contratuais dependem, em última instância, do mesmo hyperscaler, do mesmo operador de centro de dados ou do mesmo fornecedor tecnológico. O risco de concentração deve, por conseguinte, ser analisado para além dos limites de contratos individuais. A mesma metodologia pode ser utilizada no âmbito da Gestão Integrada dos Riscos de Criminalidade Financeira para avaliar se terceiros têm acesso a dados financeiros sensíveis, fluxos de transações, identidades de clientes ou mecanismos de controlo relevantes para prevenir e detetar criminalidade financeira. O risco de fornecedores torna-se, assim, uma componente integrada da resiliência digital, da continuidade operacional e da gestão de riscos de integridade. Um quadro robusto de gestão do risco de terceiros permite à sua organização saber antes de um incidente que fornecedores são materialmente relevantes, exercer de forma direcionada os respetivos direitos contratuais durante o incidente e demonstrar posteriormente que medidas de controlo se encontravam implementadas.

Responsabilidade dos órgãos de gestão, apetência ao risco TIC e supervisão pela gestão de topo

A resiliência operacional digital exige uma responsabilidade dos órgãos de gestão que vá muito além da aprovação formal de políticas. O conselho de administração e a gestão de topo devem ser capazes de compreender que dependências digitais são materialmente relevantes para a continuidade da organização, que riscos são conscientemente aceites, que deficiências exigem intervenção imediata e que investimentos são necessários para proteger de forma sustentável os serviços empresariais críticos. Isto exige uma apetência ao risco TIC claramente definida e traduzida em limiares concretos e critérios de decisão. Declarações genéricas segundo as quais a sua organização dispõe de baixa tolerância ao risco cibernético oferecem orientação limitada. É muito mais relevante determinar quanto tempo de indisponibilidade não planeada de um serviço crítico pode ser aceite, que períodos máximos de recuperação são toleráveis, quantas vulnerabilidades críticas não resolvidas podem ser admitidas, que níveis de concentração de fornecedores excedem os limites de tolerância e em que circunstâncias os investimentos destinados a reduzir riscos devem obrigatoriamente ser escalados para decisão da gestão. Um quadro eficaz permite, assim, distinguir os riscos que podem ser geridos no âmbito da atividade corrente das situações que exigem uma decisão expressa dos órgãos de gestão. Isto evita que exceções técnicas inicialmente temporárias se transformem progressivamente em riscos estruturais de governação sem o devido escrutínio e supervisão.

A qualidade da supervisão pela gestão depende em larga medida da qualidade da informação em que as decisões se baseiam. Muitas organizações dispõem de dashboards extensos com múltiplos indicadores técnicos, mas nem todos apresentam o mesmo significado do ponto de vista da governação. A gestão necessita sobretudo de informação que permita identificar que vulnerabilidades podem comprometer a prestação de serviços críticos, quanto tempo poderá exigir a recuperação, que dependências permanecem insuficientemente controladas e que ações de remediação apresentam atrasos. Os indicadores podem referir-se, por exemplo, à percentagem de serviços críticos cujas capacidades de recuperação foram efetivamente testadas, à antiguidade das principais constatações de auditoria, à disponibilidade de fornecedores alternativos, ao nível de concentração de funções críticas num único prestador, ao tempo médio entre a deteção de um incidente e o respetivo escalonamento, à fiabilidade da restauração de backups e ao número de exceções materiais às políticas de segurança. A informação sobre tendências é igualmente relevante. Uma única divergência pode ser tolerável, enquanto uma deterioração persistente do mesmo indicador pode revelar uma fraqueza estrutural no sistema de controlo. A informação de gestão deve, por conseguinte, fornecer contexto e não limitar-se à apresentação de números. O órgão de gestão deve conseguir compreender que riscos estão a aumentar, que causas explicam essa evolução, que medidas já foram adotadas e que incertezas residuais permanecem.

A responsabilidade dos órgãos de gestão manifesta-se igualmente na forma como são equilibrados interesses concorrentes. Os investimentos em resiliência digital competem frequentemente com prioridades comerciais, iniciativas de redução de custos, programas de inovação e outros objetivos estratégicos. A decisão de continuar a utilizar um sistema legado, adiar uma migração ou manter uma determinada relação com um fornecedor pode ser economicamente compreensível e, simultaneamente, aumentar a exposição operacional e jurídica. A sua organização deve tornar estes compromissos explícitos e verificáveis. Os riscos relevantes, as alternativas disponíveis, as consequências financeiras e os controlos compensatórios devem ser documentados antes da decisão ser tomada. A gestão de topo deve ainda receber um nível suficiente de escrutínio independente por parte das funções de gestão de riscos, compliance, jurídica, segurança da informação e auditoria interna. A ligação à Gestão Integrada dos Riscos de Criminalidade Financeira assume aqui especial relevância. Uma deficiência nos controlos digitais pode comprometer não apenas a continuidade operacional, mas também a monitorização de transações, a filtragem de sanções, a diligência devida de clientes ou a deteção de fraude. Os riscos operacionais e os riscos de criminalidade financeira podem, por isso, reforçar-se mutuamente. O reporting à gestão deve tornar visível essa interação, de modo a evitar que decisões sobre riscos sejam tomadas isoladamente por funções separadas. Uma governação eficaz significa, neste contexto, que a sua organização consiga demonstrar que riscos digitais assume, por que motivo determinados riscos são aceites e como é verificado que essa aceitação permanece dentro de limites jurídicos, regulatórios e sociais sustentáveis.

Investigações de supervisão, exposição a medidas de enforcement e defesa processual

A supervisão da resiliência operacional digital está a evoluir de uma avaliação predominantemente baseada em políticas para uma apreciação cada vez mais factual da eficácia demonstrável dos sistemas de controlo. Quando uma autoridade de supervisão coloca questões relativas ao cumprimento da NIS2, da legislação nacional de cibersegurança, do DORA ou de obrigações setoriais conexas, a análise dificilmente se limitará à documentação de políticas. Pode abranger configurações técnicas, registos de incidentes, decisões dos órgãos de gestão, contratos com fornecedores, resultados de testes, constatações de auditoria, planos de recuperação, aceitações de risco e a forma como deficiências conhecidas foram corrigidas. Para a sua organização, torna-se essencial tratar uma investigação de supervisão, desde o primeiro contacto, como um processo simultaneamente jurídico e factual. Que informação é solicitada, com base em que fundamento jurídico, relativamente a que período, em relação a que entidade jurídica e com que finalidade de supervisão? Uma divulgação excessivamente ampla ou insuficientemente controlada pode abrir involuntariamente novas linhas de investigação ou misturar factos que deveriam permanecer separados. Uma postura excessivamente defensiva pode, pelo contrário, comprometer a relação com o supervisor e criar a impressão de que informação relevante está a ser retida. A abordagem mais sólida combina cooperação transparente, controlo rigoroso dos factos, delimitação jurídica precisa e comunicações coerentes.

A reconstrução dos acontecimentos assume especial importância quando a revisão regulatória ocorre na sequência de um incidente concreto. Um ciberincidente grave não significa automaticamente que a sua organização tenha violado as respetivas obrigações legais de diligência. Sistemas digitais podem ser afetados, apesar da existência de medidas adequadas, por ataques sofisticados, vulnerabilidades anteriormente desconhecidas, erros de fornecedores ou combinações excecionais de circunstâncias. A análise jurídica deve, por conseguinte, examinar que medidas estavam implementadas antes do incidente, que riscos eram razoavelmente previsíveis, que sinais estavam disponíveis, com que rapidez a organização reagiu e que melhorias foram introduzidas posteriormente. Simultaneamente, a ausência de incidentes anteriores não demonstra que o sistema de controlo era eficaz. A sua organização deve conseguir demonstrar como as decisões foram tomadas e que informação estava disponível no momento relevante. Cronologias, registos de incidentes, atas do conselho de administração, avaliações de risco, resultados de testes e decisões de remediação podem revelar-se determinantes. Deve ser prestada particular atenção à distinção entre o conhecimento disponível no momento da decisão e o conhecimento adquirido apenas após o incidente. Caso contrário, a análise pode ser influenciada por viés retrospetivo, fazendo com que um risco pareça muito mais previsível do que era razoavelmente antes do acontecimento. Uma defesa processual sólida deve, por conseguinte, demonstrar que factos eram conhecidos em cada momento decisório, que incertezas permaneciam e por que razão determinadas decisões eram defensáveis nas circunstâncias concretas.

Quando uma autoridade considera a adoção de medidas de enforcement, proporcionalidade, imputabilidade, prova, causalidade e correção processual tornam-se questões centrais. A sua organização deve conseguir distinguir entre uma violação jurídica específica, uma melhoria de controlo que poderia ser desejável mas não era juridicamente obrigatória, uma falha operacional isolada e uma deficiência estrutural situada dentro da esfera de controlo da organização. O papel dos fornecedores externos pode igualmente ser relevante. Embora a externalização não elimine a responsabilidade, a causa efetiva do incidente pode influenciar a apreciação do grau de censurabilidade e da proporcionalidade de eventuais medidas. As investigações internas devem, por isso, ser estruturadas cuidadosamente, com questões de investigação claramente definidas, apuramento controlado dos factos, proteção adequada das comunicações juridicamente sensíveis e clara separação entre análise técnica, avaliação jurídica e responsabilidade de gestão. A mesma abordagem aplica-se quando o incidente apresenta ligações com fraude, manipulação de dados, abuso de pagamentos ou outras formas de criminalidade financeira. A Gestão Integrada dos Riscos de Criminalidade Financeira pode contribuir, nestas situações, para ligar ciberincidentes, controlos internos, riscos transacionais e potenciais padrões de abuso dentro de um único quadro probatório. Isto permite à sua organização não apenas responder às questões colocadas pelo supervisor, mas também demonstrar que a remediação foi estruturalmente incorporada e que os riscos subjacentes foram efetivamente reduzidos.

Governação integrada da resiliência digital, remediação e continuidade institucional

A resiliência operacional digital atinge a sua maior eficácia quando cibersegurança, gestão da continuidade, gestão do risco TIC, gestão de fornecedores, compliance jurídico, privacidade, controlo da criminalidade financeira e gestão de crise não funcionam como disciplinas separadas, mas são ligadas dentro de um sistema coerente de governação. Isto não significa que todos os regimes jurídicos ou todas as funções especializadas devam ser fundidos num único processo uniforme. A NIS2, a legislação nacional de cibersegurança, o DORA, o direito da proteção de dados, os requisitos setoriais de supervisão e as obrigações contratuais mantêm cada um o seu próprio âmbito de aplicação e as respetivas exigências jurídicas específicas. O desafio de governação consiste em respeitar essas diferenças e, simultaneamente, criar uma visão única e fiável dos serviços críticos, das dependências materiais, dos riscos significativos, dos incidentes, das medidas de remediação e dos responsáveis identificados. A sua organização deve conseguir, através de um quadro integrado de governação, determinar que riscos possuem relevância à escala empresarial e, posteriormente, identificar para cada regime jurídico que obrigações concretas são aplicáveis. Esta abordagem evita tanto a fragmentação como uma simplificação jurídica excessiva.

A governação da remediação constitui uma componente fundamental deste sistema. Constatações de auditoria, análises posteriores a incidentes, resultados de testes, observações de supervisores, revisões de fornecedores e avaliações internas de risco geram continuamente ações de melhoria. Quando estas constatações são geridas através de sistemas, comités e funções diferentes, pode perder-se a visão global e deficiências semelhantes podem ser registadas várias vezes sem que a respetiva causa subjacente seja efetivamente tratada. A sua organização necessita, por isso, de um processo integrado de remediação no qual as constatações sejam classificadas de acordo com a respetiva gravidade, o serviço empresarial crítico afetado, a relevância jurídica, a causa raiz e as relações com outros problemas. Devem posteriormente ser definidos responsáveis, prazos, dependências e critérios de aceitação. Uma ação de remediação não deve ser considerada concluída apenas porque uma alteração foi administrativamente implementada, mas apenas quando tenha sido demonstrado que a medida funciona efetivamente. Para deficiências críticas, poderá ser necessária validação independente. As medidas compensatórias temporárias também devem ser monitorizadas expressamente, a fim de evitar que soluções de emergência se tornem, sem decisão consciente, mecanismos permanentes. Uma governação centralizada da remediação permite ainda à gestão compreender melhor padrões estruturais, causas recorrentes e áreas nas quais a redução do risco progride demasiado lentamente.

A continuidade institucional vai, por fim, muito além da recuperação de um sistema ou processo individual. A sua organização deve ser capaz de resistir a situações nas quais tecnologia, fornecedores, colaboradores, localizações físicas e capacidade de decisão estejam simultaneamente sob pressão. Isto exige redundância suficiente em conhecimento, competências, dados, canais de comunicação e capacidade de tomada de decisões críticas. As funções-chave devem ser substituíveis, a informação essencial deve continuar acessível durante perturbações graves e as decisões de crise devem poder ser tomadas mesmo quando os sistemas habituais ou os locais normais de trabalho não estejam disponíveis. A Gestão Integrada dos Riscos de Criminalidade Financeira deve formar parte integrante deste mesmo modelo de continuidade. A indisponibilidade da monitorização de transações, da diligência devida de clientes, da filtragem de sanções, dos controlos de pagamentos ou da deteção de fraude pode gerar riscos adicionais de criminalidade financeira precisamente no momento em que a atenção operacional está concentrada noutras prioridades. Os planos de continuidade devem, por conseguinte, estabelecer expressamente que controlos de integridade devem permanecer disponíveis como mínimo e que atividades reforçadas de monitorização devem ser ativadas quando os controlos habituais estejam temporariamente degradados. O objetivo final consiste em assegurar que a sua organização não seja apenas capaz de resistir a uma perturbação digital, mas consiga demonstrar que mantém, mesmo sob pressão, controlo sobre os serviços críticos, as obrigações jurídicas, a integridade financeira e a tomada de decisões. A resiliência operacional digital torna-se, assim, uma capacidade institucional permanente: não apenas um instrumento para prevenir incidentes, mas um meio para proteger continuidade, segurança jurídica, confiança e fiabilidade institucional quando o ambiente digital é gravemente perturbado.