Cibersegurança gera grandes embates na Anatel

A adoção de medidas de cibersegurança nas redes de telecomunicações está gerando grandes embates nos grupos técnicos da Anatel, que não estão conseguindo concluir as discussões por consenso, como era o esperado, e deverão ainda obrigar a novas decisões solitárias por parte do agente regulador. Embora a última consulta pública sobre o tema tenha se encerrado no mês passado, e que definiu que caberá aos provedores regionais de internet apenas a troca dos aparelhos de seus clientes, o fato é que as grandes operadoras de telecomunicações alegam haver muitos riscos com essa decisão, e mantêm o debate e a proposta para que a posição da agência seja revisitada.

Antes mesmo do término da consulta pública, Claro, Vivo, Oi e TIM já ingressavam com recursos no Grupo Técnico de Segurança Cibernética e Gestão de Riscos de Infraestrutura Crítica (GT-Ciber),  com inúmeros argumentos para que as redes de telecomunicações dos ISPs também se adapatem às exigências de segurança máxima estabelecidas para elas pela agência.

O presidente do GT-Ciber, que é o superintendente de Controle de Obrigações, definiu três Infraestruturas Críticas de Telecomunicações (ICT), para as quais serão exigidos o máximo de regras de segurança: cabo submarino com destino internacional; prestadores do SMP que detenham rede própria;  detentores de rede de suporte para transporte de tráfego interestadual em mercado de atacado. ( backhaul e backbone).

Para as grandes teles, porém, isentar as redes dos ISPs de também terem cuidados maiores seria um grande risco, uma vez que um ataque eventual poderia “comprometer todos os atores”. A Claro, por exemplo, reivindicou que os operadores de pequeno porte fossem obrigados, pelo menos, a cumprir dois dos artigos do regulamento de cybersegurança: o 9º, que determina às teles a notificarem os incidentes e o 10º, que estabelece ciclos de avaliação de vulnerabilidades das redes.

A Vivo, por sua vez, aponta que o regulamento deveria ser exclusivamente técnico, sem considerar o porte ou a abrangência das operadoras. Isso porque, alegou, a segurança cibernética engloba também a infraestrutura de rede lógica, e não apenas a física. E, para a Vivo, as obrigações do regulamento de segurança deveria abranger todas as empresas que tiverem AS (Autonomous System); DNS (Domain Name System); ou possuir registro próprio de IP (Internet Protocol).

Para a Oi, do mesmo modo, todos os agentes deveriam ser abrangidos pelas regras do R-Ciber, em virtude da integração das redes em funcionamento. A Oi chega a reivindicar que os fornecedores dos equipamentos também tenham seus equipamentos submetidos a análises de vulnerabilidades constantemente. A TIM, por sua vez, argumenta que, se a LGPD (Lei Geral de Proteção de Dados) não discrimina o porte das empresas, o mesmo deveria ser feito pelo regulador de telecom.

ISPs

Telcomp e entidades dos ISPs, por sua vez, dizem que não deveria haver incidência indiscriminada do R-Ciber sobre as PPP (prestadoras de pequeno porte), tendo em vista que suas redes são mais limitadas geograficamente, fragmentadas, e possuem menor criticidade. Por isso,  apoiaram a proposta do coordenador da comissão.

O Conselho Diretor, em recente decisão manteve o entendimento da superintendência, de não acatar o pleito das grandes telcos, argumentando que  R-Ciber “exige que todos os agentes envolvidos na prestação dos serviços de telecomunicações atuem em atenção às boas práticas concernentes à Segurança Cibernética, adotando normas e padrões internacionais e identificando, protegendo, diagnosticando e recuperando os incidentes sob sua responsabilidade”. Mas o embate não terminou.

A seguir o resumo das obrigações dos pequenos e grandes operadores:

Artigos sugeridos

Anatel fará grandes refarmings das bandas A, B, D, E, usadas pelo 3G do celular

• 15 de fevereiro de 2023
• Regulação