31978 Diário da República, 2.ª série — N.º 208 — 28 de outubro de 2013 Muitos dos serviços de ciberdefesa baseiam-se funcionalmente nas capacidades técnicas, tradicionalmente associadas à cibersegurança, que passam pela prevenção, deteção e recuperação dos SIC face à ocorrência de ataques cibernéticos. As atividades de ciberdefesa, constituindo uma área ligada às operações militares, devem por essa razão também complementar a implementação dos requisitos destinados a proteger a confidencialidade, integridade e disponibilidade dos SIC (criptografia, segurança da informação, segurança física e do pessoal), devendo para esse efeito manter-se permanentemente atualizadas e em conformidade com esses requisitos. Uma capacidade operacional de ciberdefesa envolve o conhecimento e os recursos necessários para prever, influenciar ou bloquear as ações que potenciais adversários venham a desenvolver no ciberespaço, antes e durante as operações militares. Neste contexto, para avaliar o espectro da ameaça, identificar potenciais atacantes e as suas intenções, as Forças Armadas devem dispor de uma capacidade de recolha e análise de informações no ciberespaço, capaz de permitir, em tempo, uma resposta eficaz. Deverão ainda dispor de competências do foro jurídico, indispensáveis na condução de operações neste domínio. A informação relativa à ciberdefesa, como sejam os detalhes relativos a ataques cibernéticos específicos, as avaliações de ameaças e vulnerabilidades, deverá ser classificada, manuseada e acedida conforme as determinações de segurança em vigor. A dinâmica e complexidade do ciberespaço exigem uma adaptação contínua à envolvente operacional, colocando às Forças Armadas o desafio adicional de recrutar e reter o pessoal mais qualificado, capaz de integrar os requisitos inicialmente estabelecidos e, proativamente, promover a inovação e a evolução constante tanto do nível de conhecimento, competências e técnicas, como da própria doutrina de emprego operacional das capacidades. As técnicas utilizadas pelos atores ou agentes perpetrantes são muitas vezes semelhantes e procuram explorar vulnerabilidades genéricas, comuns à maior parte das redes e sistemas. Só uma aproximação conjunta e cooperativa permitirá enfrentar as ameaças cibernéticas de forma a melhorar a cibersegurança e garantir a ciberdefesa de forma sustentável. III. OBJETIVOS São objetivos da Política de Ciberdefesa: 1) Garantir a proteção, a resiliência e a segurança das redes e dos SIC da Defesa Nacional contra ciberataques; 2) Assegurar a liberdade de ação do País no ciberespaço e, quando necessário e determinado, a exploração proativa do ciberespaço para impedir ou dificultar o seu uso hostil contra o interesse Nacional; 3) Contribuir de forma cooperativa para a cibersegurança nacional. IV. LINHAS ORIENTADORAS ESTRUTURA DE CIBERDEFESA NACIONAL Estabelecer uma estrutura de comando e controlo da ciberdefesa nacional, a incluir no processo de revisão da LOBOFA e da lei orgânica do EMGFA atualmente em curso, contemplando a existência de um órgão com caráter de orientação estratégica-militar das atividades de ciberdefesa e uma capacidade militar de resposta operacional a ciberataques e a incidentes informáticos. As atribuições de orientação estratégica-militar da ciberdefesa deverão recair sobre o Conselho de Chefes de Estado-Maior. Para o efeito deverá o Conselho dispor de competência para deliberar sobre a doutrina conjunta de ciberdefesa, a submeter à confirmação do Ministro da Defesa Nacional. O Centro de Ciberdefesa, na dependência do CEMGFA, constitui o órgão responsável pela condução de operações no ciberespaço e pela resposta a incidentes informáticos e ciberataques, com responsabilidades de coordenação, operacionais e técnicas. PLANEAMENTO DE DEFESA MILITAR Implementar a capacidade de ciberdefesa com vista a integrar as operações no ciberespaço no âmbito das capacidades militares. Para o efeito, incorporar no Processo de Planeamento de Defesa Militar, em conjugação com o NATO Defence Planning Process (NDPP) e com o Capability Defence Plan (CDP) da UE, o desenvolvimento da capacidade nacional de ciberdefesa. O levantamento desta capacidade deve ter por base o Conceito Estratégico de Defesa Nacional, o preconizado na diretiva “Defesa 2020”, e todos os documentos relevantes para a mesma. De acordo com este enquadramento, identificar e hierarquizar através do Processo de Planeamento de Defesa os requisitos de ciberdefesa relevantes. A defesa contra as ameaças cibernéticas deve incluir o reforço da proteção das redes, a monitorização e análise dos padrões de tráfego, a deteção precoce de ataques e a resposta aos mesmos, envolvendo para esse efeito, sempre que necessário, a condução de operações no ciberespaço. CAPACIDADE PARA CONDUZIR OPERAÇÕES MILITARES EM REDES DE COMPUTADORES Vários países estão em processo avançado de desenvolvimento ou possuem já hoje à sua disposição capacidades cibernéticas de natureza ofensiva para utilização militar. Atores não-Estado podem também constituir uma ameaça, nomeadamente, através da disrupção dos sistemas de Comando e Controlo (C2) das Forças Armadas e dos seus sistemas de gestão da informação. Implementar a capacidade militar para conduzir todo o espetro de operações no ciberespaço (defensivas, de exploração e ofensivas), desenvolvendo e mantendo atualizada a doutrina de emprego das capacidades associadas à ciberdefesa, e definindo os princípios básicos que orientam a criação de legislação e normas específicas de apoio às atividades da Defesa Nacional no ciberespaço, constitui a única forma credível de promover uma ciberdefesa eficaz, capaz de constituir um fator de dissuasão a potenciais atacantes. REFORÇO DA CAPACIDADE DE INFORMAÇÕES NO CIBERESPAÇO A capacidade para avaliar a dinâmica das ameaças e perceber as possibilidades e intenções de potenciais atacantes constitui uma precondição para a proteção das infraestruturas de informação e para a condução de operações no ciberespaço. Um desafio complexo, que se coloca no contexto cibernético, é a atribuição da origem e a identificação dos atores responsáveis pelos ataques ou tentativas de ataque. Os atores envolvidos na Defesa Nacional necessitam assim de reforçar a sua capacidade de recolha e análise de informações no ciberespaço e de integrar, em tempo oportuno, a informação obtida na condução das operações de ciberdefesa, devendo ainda ter a capacidade para bloquear e anular as atividades de informações conduzidas por terceiros. Neste âmbito, devem ser capazes de avaliar a evolução das ameaças cibernéticas, através da realização periódica de avaliações de ameaças à ciberdefesa e de outros relatórios especializados. Deste modo, devem os atores da Defesa Nacional contribuir para a produção de conhecimento situacional do ciberespaço e para a recolha de informações de interesse para a Defesa Nacional. PARTILHA DA INFORMAÇÃO DE ClBERDEFESA A prevenção e minimização dos efeitos causados por ataques cibernéticos resultam da partilha atempada de informação, da existência de um sistema de alerta imediato e da atualização permanente do panorama sobre as atividades maliciosas a decorrer no ciberespaço. Constituindo a ciberdefesa uma área onde se torna necessário promover sinergias e potenciar o seu emprego dual (civil-militar), deverá desenvolver-se um sistema de partilha de informação aos vários níveis e patamares de decisão, procedimentos de alerta imediato em apoio aos objetivos definidos e de colaboração com a rede nacional de serviços de resposta a incidentes de segurança informática (CSIRT), instituições privadas, universidades e organizações internacionais como a OTAN e a UE. De igual forma, deverá ser definida uma estratégia de ciência e tecnologia no domínio da ciberdefesa, sendo para esse efeito implementadas linhas de investigação, envolvendo estruturas de Investigação e Desenvolvimento (I&D) militares e civis, orientadas para o desenvolvimento de capacidades nesta área. De modo a tornar toda esta estrutura mais robusta, deverão ser exploradas sinergias nacionais e a cooperação internacional de forma a melhorar a capacidade de Ciberdefesa do País. SENSIBILIZAÇÃO, FORMAÇÃO E EXERCÍCIOS Adequar a gestão dos recursos humanos de modo a garantir a sua permanência em atividades relacionadas com esta temática por períodos não inferiores a cinco anos. Aumentar a sensibilização para as necessidades da ciberdefesa ao nível dos utilizadores dos SIC, desenvolver peritos em ameaças cibernéticas e na condução de operações em redes de computadores, treinar os procedimentos para operação em ambientes degradados pela realização de ataques cibernéticos, participar nos exercícios nacionais e internacionais de ciberdefesa, e manter atualizado o treino de ciberdefesa do pessoal. Centralizar a formação e o treino em ciberdefesa e constituir um polo de excelência neste domínio, evitando duplicações e aproveitando as competências e os recursos já existentes nas Forças Armadas, tendo presente a ligação à Escola de Comunicações e Sistemas de Informação da OTAN, a implementar no nosso país, e a possibilidade de Portugal vir a liderar um projeto de “smart defence” no âmbito da “education and training for cyberdefence”. AQUISIÇÕES E CADEIA DE REABASTECIMENTO — GESTÃO DE RISCO Promover uma cultura de gestão do risco através da incorporação de requisitos de gestão de risco nas aquisições a realizar e na cadeia