5G: Comissão Europeia diz que Huawei e ZTE são riscos elevados

A Comissão Europeia (CE) publicou nesta quinta-feira, 15, uma segunda versão do “Toolbox on 5G cybersecurity” – conjunto de medidas de atenuação dos riscos de cibersegurança associados ao 5G recomendadas aos países da União Europeia. Junto ao documento, assinou nota na qual aprova a decisão dos Estados-Membros que excluíram a Huawei e a ZTE das redes 5G como cumprimento das recomendações de segurança.

“A Comissão considera que a Huawei e a ZTE representam, de fato, riscos significativamente mais elevados do que outros fornecedores de 5G”, consta no comunicado.

A nova versão do toolbox cita, entre outras recomendações, avaliar “a probabilidade dos fornecedores serem influenciados por países terceiros específicos que possuem leis de segurança e governação corporativa que constituem um risco potencial para a segurança da UE” (saiba mais abaixo).

Levantamento realizado pela CE identificou que 24 Estados-Membros adotaram ou estão preparando medidas legislativas que conferem às autoridades nacionais poderes para seguir as recomendações de segurança. Entre eles, três implementaram restrições às empresas.

Primeira versão

Relatório da comissão ressalta que as recomendações específicas para o 5G parte do princípio de que as redes da nova tecnologia oferecem mais pontos de entrada em potencial para invasores “devido a uma arquitetura menos centralizada, à capacidade computacional inteligente de proximidade, à necessidade de um maior número de antenas e à maior dependência do software”.

A primeira versão foi publicada em janeiro de 2020, com atenção voltada principalmente para a análise de fornecedores e mecanismos de evitar a dependência daqueles considerados de alto risco.

A avaliação de risco envolve diversos critérios, entre eles, a má configuração das redes, falta de controle de acesso, qualidade dos produtos, diversidade de oferta, possibilidade de falha por interrupção do fornecimento de energia, entre outros pontos.

As principais recomendações da primeira versão aos Estados-Membro foram:

reforçar os requisitos de segurança para os operadores de redes móveis;
avaliar o perfil de risco dos fornecedores, aplicando restrições adequadas àqueles considerados de alto risco, respeitando ativos essenciais;
assegurar que cada operador disponha de uma estratégia de diversificação de fornecedores adequada para evitar ou limitar qualquer dependência significativa de um único fornecedor e evitar a dependência de fornecedores considerados de alto risco.

Já à Comissão Europeia, as orientações foram:

manter uma cadeia de abastecimento 5G diversificada e sustentável, a fim de evitar a dependência a longo prazo
utilizar plenamente os instrumentos e as ferramentas da UE existentes (análise de investimentos diretos estrangeiros, instrumentos de defesa comercial, regras de concorrência);
reforçar as capacidades da UE nas tecnologias 5G e pós-5G, recorrendo a programas e financiamentos adequados; e
facilitar a coordenação entre os Estados-Membros no que diz respeito à normalização, a fim de alcançar objetivos de segurança específicos, e desenvolver sistemas de certificação pertinentes ao nível da UE.

Novas recomendações

O novo relatório complementa com as seguintes recomendações:

Certificar de que os fornecedores tenham informações abrangentes e detalhadas das operadoras sobre os equipamentos 5G atualmente implantados e sobre seus planos de implantação ou aquisição de novos equipamentos.
Ao avaliar o perfil de risco dos fornecedores , os Estados-Membros devem considerar a probabilidade dos fornecedores serem influenciados por países terceiros específicos que possuem leis de segurança e governação corporativa que constituem um risco potencial para a segurança da União. Além disso, devem ser tidas em conta as designações feitas por outros Estados-Membros relativas a fornecedores de alto risco, a fim de promover a coerência e um elevado nível de segurança em toda a UE.
Com base na avaliação dos fornecedores, os Estados-Membros devem impor restrições aos fornecedores de alto risco sem demora, ou seja, considerando que a perda de tempo pode aumentar a vulnerabilidade das redes na União e a dependência da União de fornecedores de alto risco, especialmente para os Estados-Membros com uma alta presença de potenciais fornecedores de alto risco.
Para mitigar os riscos de forma eficaz, os Estados-Membros devem assegurar que as restrições abrangem ativos críticos e altamente sensíveis identificados na avaliação coordenada da UE, incluindo a rede de acesso por rádio.
Os operadores não devem ser autorizados a instalar novos equipamentos abrangidos pelas restrições. Se forem permitidos períodos de transição para a remoção de equipamentos existentes, os prazos devem ser definidos para garantir a remoção de equipamentos no local o mais rápido possível, levando em consideração o risco de segurança de manter equipamentos de fornecedores de alto risco no local.
Os Estados devem implementar restrições para Provedores de Serviços Gerenciados (MSPs) e, caso as funções sejam terceirizadas, reforce a segurança.
Discutir a aplicabilidade de medidas relacionadas à diversificação de fornecedores e como garantir que qualquer diversificação potencial não resulte em riscos de segurança novos ou aumentados, mas contribua para a segurança e a resiliência.
Aplicar medidas técnicas e garantir um forte nível de supervisão, com atenção principalmente a requisitos básicos de segurança, seguindo padrões recomendados e por meio de condições robustas de aquisição, gerenciamento e monitoramento das redes 5G.

Acesse a íntegra do novo relatório neste link.