Dr. Jabu Mtsweni é o gestor do Centro de Pesquisa de Informação e Cibersegurança no Conselho de Pesquisa Científica e Industrial (CSIR), em Pretória, África do Sul. Mtsweni falou à ADF sobre os tipos de ameaças cibernéticas que os países africanos enfrentam e como se preparar melhor para abordá-las. Os seus comentários foram editados para se adequarem a este formato.
ADF: Por favor, fale-nos um pouco sobre o seu historial em questões ligadas à cibersegurança, como a sua educação e formação profissional.
Mtsweni: O meu historial é em ciências de computação, a minha licenciatura assim como a minha pós-graduação, e o meu doutoramento inclui ciências de computação, mas não centrado inicialmente em cibersegurança. Comecei a envolver-me ou a especializar-me em cibersegurança por volta do ano de 2014. Mas trabalhei em vários aspectos de cibersegurança em pequenas formas desde 2003 ou por aí. Estive envolvido em várias iniciativas como liderar um grupo de investigadores — cerca de 15 deles — com enfoque forte em apoiar o exército em questões ligadas à guerra cibernética e capacitações. Agora apoio uma equipa muito mais grande — cerca de 70 pessoas — onde nos centramos no apoio ao Departamento de Defesa da África do Sul e em outros países, mas lidando com questões ligadas à cibersegurança em geral, no sector público assim como no sector privado.
ADF: Explique-nos em poucas palavras o que o CSIR faz e a sua função como gestor do Centro de Pesquisa de Informação e Cibersegurança, CSIR.
Mtsweni: O CSIR é uma empresa nacional do governo, que se centra simplesmente na pesquisa e desenvolvimento de vários domínios socioeconómicos — pode ser água, energia, meio ambiente, saúde, questões ligadas à segurança e bem-estar, questões logísticas, questões ligadas a locais inteligentes, TICs [tecnologias de informação e comunicação]. A minha área específica de enfoque é obviamente na defesa e segurança, onde lidero o Centro de Pesquisa de Informação e Cibersegurança, onde o nosso enfoque central está na pesquisa e inovação de novas formas de nos proteger a nós e a nossa organização militar, assim como criar algumas tecnologias em forma de protótipo e posteriormente comercializar parte da nossa PI [propriedade intelectual] local.
ADF: Qual é a maior e mais prevalecente ameaça de cibersegurança no continente africano e como os países devem combatê-la?
Mtsweni: Penso que a maior ameaça é, obviamente, o risco para a soberania dos países sob o ponto de vista de espaço digital. Em outras palavras, onde o espaço digital da soberania dos países estiver comprometido, quer através de violação de dados, através de questões de ransomware e através de roubo de PI, a propriedade intelectual, ou informação sensível dos países africanos. Esta ameaça é grande, porque na geopolítica também tem a ver com a influência, onde os vários países podem querer influenciar a política ou qualquer outra coisa em África. Por isso, a questão de dados e informação ser roubada ou ser comprometida torna-se a maior ameaça em África.
A principal actividade ou medida que os exércitos africanos precisam de tomar tem a ver com a criação de capacidades do espaço cibernético. E quando falamos sobre criação destas capacidades, não estamos apenas a falar sobre tecnologia; não estamos a falar apenas sobre dados. Mas estamos a falar sobre todo o espectro, onde as pessoas são capacitadas para compreenderem o domínio cibernético; é como formar pessoas para talvez guarnecerem um espaço aéreo ou guarnecerem a terra ou o mar. Precisamos de impulsionar a capacidade para capacitar as nossas forças para serem capazes de compreender o mundo cibernético.
Também precisamos de implementar processos do ponto de vista de políticas e ter estratégias cibernéticas que irão combater de forma proactiva algumas dessas ameaças. Precisamos de compreender os nossos dados. Os países precisam de compreender o que é que estão a proteger, porque é muito difícil proteger aquilo que você não compreende. Se comparar isso à terra ou ao ar e talvez ao mar, é muito fácil indicar os activos que se está a proteger, mas no mundo cibernético um pouco mais amplo, por isso, o âmbito é um pouco mais amplo. Por conseguinte, precisamos de mais consciencialização, mas também mais e mais formação. E, claro, precisamos de recursos e ferramentas que nos possam ajudar a sermos capazes de proteger a nós próprios e sermos capazes de deter ameaças quando elas estiverem a vir do ciberespaço.
ADF: De que formas, caso existam, o CSIR ou qualquer uma das suas divisões aconselha e presta assistência à Força Nacional de Defesa da África do Sul nestes tipos de questões de cibersegurança de que estamos a falar?
Mtsweni: O CSIR é aquilo que chamamos de comprador inteligente independente, um conselheiro de utilizadores inteligentes de várias entidades governamentais, e no espaço do exército, particularmente na informação e guerra cibernética, desempenhamos um papel extremamente importante. Por exemplo, isso inclui a criação de protótipos para o exército para que possamos compreender melhor como algumas destas capacidades podem ser disponibilizadas para uso em ambientes da vida real. Fazemos muita pesquisa e desenvolvimento para eles, para que possam compreender o ambiente de ameaças. Também fazemos muito trabalho em termos de aconselhá-los em algumas das tecnologias que eles devem utilizar ou não utilizar, como se podem proteger de várias ameaças presentes no espaço cibernético e depois, obviamente, apoiá-los a fortalecer algumas destas capacidades de modo a proteger o país e seus cidadãos.
Existem vários exemplos, mas a maior parte do trabalho é sigiloso, por isso, não posso falar muito sobre os trabalhos ou projectos específicos em si, mas posso falar em termos gerais. Em termos de formação, temos apoiado o exército, e existem várias forças que foram formadas, capacitadas pelo CSIR para lidarem com questões do espaço cibernético. Prestamos assistência ao exército para também compreender a importância de montar as suas próprias infra-estruturas. E, por vezes, somos solicitados para aconselhá-los em vários assuntos ligados ao seu domínio.
ADF: Em termos mais amplos, o que os países africanos devem fazer para garantir que infra-estruturas nacionais de extrema importância, como as redes eléctricas e de fornecimento de água, estejam protegidas de ataques cibernéticos?
Mtsweni: Penso que uma das coisas fundamentais que fizemos no continente africano, mas claramente no espaço da defesa africana, é a questão da colaboração. Penso que quando se trata do espaço cibernético, o exército de um país para o outro geralmente não trabalharia em conjunto a menos que estivessem a lutar contra o mesmo inimigo. Mas no espaço cibernético, penso que a colaboração é muito, muito fundamental. Por que é importante? Porque as ameaças são quase as mesmas no espaço cibernético e, quando colaboramos, podemos então ser capazes de partilhar as ameaças.
A outra coisa que é fundamental é a questão da consciencialização situacional. É difícil proteger aquilo que não conhecemos ou reagir a incidentes que não podemos ver. Por isso, é importante que tenham esta consciencialização situacional, através de edifícios e estruturas, como o nosso centro nacional de resposta de incidentes cibernéticos ou equipas de resposta de segurança informática. Acima de tudo isso, ter políticas reais que atribuam mandato ou clarifiquem o que o exército precisa de fazer ou não fazer porque no domínio cibernético, encontramos o lado dos civis, o lado do Estado-nação e depois também o lado do sector privado.
Então, para resumir, no contexto africano: tem a ver com a colaboração, tem a ver com a consciencialização situacional e com a criação desta capacidade que tenho estado a falar e depois, acima de tudo isso, tem a ver com as estruturas dos países africanos, como a União Africana ter estas unidades de partilha de inteligência sobre ameaças assim como o que a Interpol faz. Penso que os exércitos africanos podem ter algo semelhante a isso, mas, acima de tudo, apenas a colaboração entre si, precisamos também de colaborar com outros países na Europa, nos EUA, porque penso que é importante que tenhamos aliados e parceiros.
ADF: Alguns países criaram comandos de cibersegurança ou enfatizaram a formação cibernética nos exércitos. Acha que a cibersegurança precisa de ser um grande ponto de ênfase nos exércitos africanos? O que mais, em termos específicos, os exércitos devem fazer para esse fim?
Mtsweni: Penso que a ênfase na cibersegurança é muito importante e penso que é enfatizada ou tornada importante pelo facto de que nós já vimos muitos ataques a nível nacional. É já vimos muitas violações em África que são consideradas como tendo sido alegadamente instituídas por países estrangeiros. Mesmo na África do Sul perdemos alguma propriedade intelectual — por exemplo, o projecto de uma aeronave militar através de um ataque cibernético. Por isso, é muito importante ter estas capacidades e não apenas em documentos, mas em termos operacionais, incluindo a formação do pessoal. Existem alguns países que possuem fortes defesas cibernéticas — e quando falo em defesa, quero referir-me à ofensiva e defensiva. Por isso, precisamos de chegar a este ponto, porque também tem a ver com a criação das nossas próprias ferramentas, porque, se olhar para os EUA, eles possuem o seu Comando Cibernético, mas estão constantemente a fazer P&D [pesquisa e desenvolvimento], criando as suas próprias ferramentas para defesa e para ataque quando necessário.
ADF: Falamos um pouco sobre a formação em termos gerais, mas existe também a formação a nível micro, falo a respeito de tropas individuais. Sobre este ponto, que formações ou princípios específicos devem ser incorporados na formação de todo o exército e das forças de segurança para garantir que tenham uma compreensão básica de práticas de cibersegurança significativas e eficazes?
Mtsweni: Penso que a formação genérica é obviamente a compreensão de redes, porque se não compreende a tecnologia será muito difícil querer protegê-la ou atacá-la. E a segunda coisa tem a ver com formá-los apenas em consciencialização básica sobre cibersegurança. Porque, se alguém não sabe o que ameaça as ferramentas que eles estão a utilizar, isso poderá ser um problema. Então, apenas os princípios básicos, o uso das redes sociais pelas forças militares, o uso destas várias tecnologias e dispositivos móveis e por aí em diante, porque quando estiverem consciencializados, eles poderão então compreender as ameaças e a sua gravidade.
ADF: Ataques cibernéticos apoiados pelo Estado agora são uma realidade em África. Já vimos agências do governo serem atingidas por ransomware e empresas privadas serem atingidas por piratas informáticos apoiados pelo estrangeiro nestes últimos anos. Até que ponto isso o preocupa quanto à questão dos Estados utilizarem ataques cibernéticos como uma ferramenta de guerra e acha que esta situação continuará a ser vista em África nos próximos anos?
Mtsweni: Os ataques cibernéticos utilizados como uma ferramenta de guerra entre os países estão a aumentar. E, por vezes, também são utilizados apenas por um país individualmente, somente partidos políticos atacando uns aos outros, utilizando algumas dessas ferramentas. Definitivamente, estamos a ver mais disso em África. Estamos a ver isso particularmente agora com as redes sociais e com muito acesso à tecnologia.
Uma coisa que tem a ver com esta questão que eu queria mencionar é que a cibersegurança tem a ver com poder. Aqueles que possuem as ferramentas, aqueles que têm o pessoal, aqueles que têm as capacidades, são capazes, por conseguinte, de instituir alguns desses ataques. Depois, encontramos aqueles que não têm [capacidades] no ciberespaço, esses não têm poder; podem não ser capazes de responder. Por isso, é importante que os países africanos se preparem para uma capacidade de defesa cibernética holística e abrangente.
ADF: Os grupos extremistas têm utilizado a internet para recrutamento e propaganda durante anos, mais será que existe qualquer prova de que os mesmos estão a tentar utilizar capacidades cibernéticas para lançar ataques como ransomware ou outros tipos de ataques no continente africano? Será que isso é algo que deve preocupar os países?
Mtsweni: Penso que em África existe um uso limitado de ferramentas de guerra cibernética por grupos extremistas, mas existem incidências embora sejam raras ou poucas. Em termos de ransomware, não tenho muitas evidências, mas já vimos grupos extremistas … a terem como alvo os governos, e na África do Sul já vimos isso acontecer muitas vezes. Por exemplo, o Departamento de Justiça foi atacado e a Transnet também foi alvo de ataques de piratas informáticos. Esses ataques foram perpetrados através de ransomware e alguns deles podem não saber porque podem não necessariamente dizer, mas estamos a observar isso com atenção e já vimos acontecer.
ADF: Com relação aos grupos extremistas, como Boko Haram ou al-Shabab, consegue-se ver qualquer evidência de que estejam a fazer muito mais do que apenas recrutar na internet e realmente a armar as capacidades cibernéticas para o alcance de outros dos seus fins jihadistas, extremistas ou políticos?
Mtsweni: Penso que definitivamente existem evidências, embora limitadas. Mas tomemos apenas um exemplo típico das redes sociais, correcto? Se olharmos para as redes sociais como uma ferramenta cibernética … ela pode ser utilizada por estes grupos extremistas, por isso, os vemos utilizarem os deepfakes, utilizarem as redes sociais para propagarem notícias falsas. Porque, no nosso contexto, a questão de propagação de notícias falsas também constitui uma outra forma de operação psicológica se olharmos para o ponto de vista mental, porque tem a ver com influenciar as pessoas, tem a ver com transmitir propaganda, tem a ver com mudar a narrativa. Vemos que o uso das redes sociais como uma forma de ataque digital está a aumentar em África.
Em termos de uso de ferramentas cibernéticas pesadas, não existem muitas provas disso, mas em termos de ataques das comunicações e de operações psicológicas, vemos que são muito fortes, particularmente na promoção destas várias teorias de conspiração.
ADF: Existe alguma coisa que gostaria de mencionar que não tenhamos abordado?
Mtsweni: Definitivamente, o terrorismo cibernético possui um impacto sobre a segurança humana, e penso que o exército, incluindo as agências da lei, têm um elevado papel a desempenhar enquanto nos tornamos cada vez mais digitais. É importante que criemos capacidades e estejamos preparados. Porque não é uma questão de se, mas sim uma questão de quando.