Segurança em aplicações essenciais ou de alto risco21: os sistemas dos quais dependemos
nas atividades quotidianas, dos automóveis aos equipamentos industriais, dos sistemas de
grande dimensão, como os aviões ou as centrais elétricas, aos mais diminutos, como os
dispositivos médicos, são cada vez mais digitais e interligados. Por conseguinte, os
componentes essenciais de TIC utilizados em tais produtos e sistemas exigirão uma
avaliação rigorosa em termos de segurança.
Cibersegurança de produtos, redes, sistemas e serviços digitais instalados em larga escala,
utilizados tanto pelo setor público como pelo privado para a defesa contra ataques e para a
aplicação de obrigações regulamentares22, tais como sistemas de cifragem de correio
eletrónico, barreiras de segurança (firewalls) e redes privadas virtuais; é fundamental que
o uso generalizado dessas ferramentas não conduza a novas fontes de risco ou a novas
vulnerabilidades.
Utilização de métodos de «segurança desde a conceção» em dispositivos digitais
interligados, de baixo custo, destinados ao grande consumo, que constituem a chamada
«Internet das coisas»: os sistemas ao abrigo do quadro poderão ser utilizados para indicar
que os produtos são fabricados seguindo os métodos de desenvolvimento mais modernos e
seguros, que foram sujeitos a testes de segurança adequados e que os vendedores se
comprometeram a atualizar os respetivos suportes lógicos (software) no caso de
descoberta de novas ameaças ou vulnerabilidades.
Estas prioridades devem ter em conta, em especial, a evolução do cenário de ameaças de
ciberataques, bem como a importância de serviços essenciais como os transportes, a energia, a
saúde, os serviços bancários, as infraestruturas do mercado financeiro, a água potável ou as
infraestruturas digitais23.
Embora nenhum produto, sistema ou serviço de TIC possa ser garantidamente seguro na sua
totalidade, existem vários defeitos bem conhecidos e documentados a nível da conceção dos
produtos de TIC que podem ser aproveitados para ataques. A adoção de uma abordagem de
«segurança desde a conceção» por parte dos produtores de dispositivos conectados, suportes
lógicos e equipamentos informáticos permitiria garantir que a cibersegurança é tida em conta
antes da comercialização de novos produtos. Este aspeto pode inserir-se no «dever de
diligência», a desenvolver de forma mais aprofundada juntamente com a indústria,
contribuindo para reduzir as vulnerabilidades de produtos ou suportes lógicos, mediante a
aplicação de um conjunto de métodos, desde a fase de conceção à fase de ensaios e
verificação, incluindo a verificação formal, se for caso disso, a manutenção a longo prazo e a
utilização de processos de desenvolvimento seguros com base no ciclo de vida útil, bem como
o desenvolvimento de atualizações e correções para dar resposta a vulnerabilidades não
detetadas previamente e permitir a sua rápida atualização e reparação24. Além disso,
contribuiria para aumentar a confiança dos consumidores nos produtos digitais.
21
22
23
24
Exceto nos casos em que a certificação obrigatória ou voluntária se rege por outros atos da União.
Por exemplo, a Diretiva (UE) 2016/1148, o Regulamento (UE) 2016/679, a Diretiva (UE) 2015/2366 e outras
propostas de atos legislativos, como o Código Europeu das Comunicações Eletrónicas, estipulam que as
organizações devem pôr em prática medidas de segurança adequadas para enfrentar riscos de cibersegurança
relevantes.
Os setores abrangidos pelo âmbito de aplicação da Diretiva (UE) 2016/1148 do Parlamento Europeu e do
Conselho, de 6 de julho de 2016, relativa a medidas destinadas a garantir um elevado nível comum de
segurança das redes e da informação em toda a União.
Cibersegurança no âmbito do mercado único digital europeu, Grupo de Alto Nível de Conselheiros
Científicos, março de 2017.
6