Japão pondera alargar a vigilância da defesa cibernética às comunicações nacionais

As comunicações nacionais tornam-se o próximo foco

O Japão está a ponderar alargar a legislação de defesa cibernética ativa para permitir que as autoridades recolham dados de comunicações que ocorram inteiramente no país, alargando um quadro que atualmente abrange comunicações entre locais estrangeiros e entre o Japão e o estrangeiro.

A primeira-ministra Sanae Takaichi instruiu os ministros, numa reunião sobre cibersegurança realizada a 6 de novembro, a examinarem alterações que reforcem a capacidade do Governo para recolher informações sobre ciberataques. Os partidos no poder recomendaram a inclusão das comunicações nacionais, e o Governo tenciona ter essa proposta em conta.

A proposta surge a par de um pacote de emergência de cibersegurança, financiado com 10 mil milhões de ienes, cerca de 63 milhões de dólares, provenientes das verbas de reserva do exercício orçamental de 2026. O pacote inclui inteligência artificial para detetar ameaças, equipas especializadas para responder a ataques e apoio às empresas afetadas.

A questão central é o alcance da recolha de informações pelo Governo. Uma comunicação entre dois locais no Japão não se enquadra nas categorias de monitorização de comunicações previstas no atual quadro de defesa cibernética ativa. Alterar esse limite incluiria uma nova categoria de comunicações no âmbito potencial do quadro.

Para as empresas, o sistema em desenvolvimento implica também obrigações práticas. A aplicação das medidas a 258 operadores de infraestruturas críticas, em 15 setores, exige informações sobre sistemas informáticos importantes e a comunicação de incidentes cibernéticos graves. Entre os setores abrangidos estão os serviços financeiros, a aviação, a eletricidade, as telecomunicações, os portos e os cartões de crédito.

O Japão está, assim, a avançar com várias mudanças em simultâneo: poderes legais mais amplos, capacidades técnicas reforçadas e uma cooperação mais estreita com as empresas que asseguram serviços essenciais. A proposta de alargamento às comunicações nacionais continua em análise, sem data indicada para a apresentação ou aprovação de uma alteração legislativa.

O que implica a defesa cibernética ativa

A defesa cibernética ativa, frequentemente abreviada como ACD, procura identificar e interromper ciberataques antes que causem danos graves. Vai além de esperar que uma organização descubra uma violação e depois ajudá-la a recuperar.

O quadro japonês inclui a recolha de informações sobre ameaças e, em determinadas condições legais, permite que a polícia ou as Forças de Autodefesa entrem em servidores utilizados por atacantes e neutralizem programas maliciosos. Um servidor é um computador que disponibiliza serviços ou dados a outros computadores. Os atacantes podem utilizá-lo para enviar instruções a software nocivo dentro da rede de uma vítima.

Interromper um programa deste tipo pode travar um ataque. No entanto, encontrar o servidor em causa exige informações sobre o modo de operação do ataque e os sistemas envolvidos. Isso ajuda a explicar por que razão o Governo está a analisar os seus poderes de recolha de informações, a par da sua capacidade para tomar medidas de interrupção.

A proposta relativa às comunicações nacionais diz respeito aos locais onde as autoridades podem recolher informações sobre comunicações. As disposições relativas à intervenção em servidores dizem respeito ao que as autoridades podem fazer contra infraestruturas utilizadas num ataque. Ambas fazem parte da defesa cibernética ativa, mas desempenham funções diferentes.

Porque é importante o limite nacional

O quadro atual distingue entre comunicações que ligam locais estrangeiros, comunicações que ligam o Japão a outro país e comunicações que ocorrem inteiramente no Japão. As duas primeiras categorias estão abrangidas; a terceira está excluída deste quadro de monitorização.

Os ciberataques podem envolver vários computadores, em vez de uma única ligação direta entre um atacante e uma vítima. Uma máquina comprometida pode retransmitir instruções ou tráfego malicioso. Para os investigadores, a localização dos computadores que transportam esse tráfego determina os poderes legais disponíveis.

Alargar o quadro às comunicações nacionais aumentaria o leque de informações que as autoridades poderiam potencialmente analisar ao rastrearem um ataque através de sistemas no Japão. O alcance prático dependeria da redação da alteração legislativa e das regras de aplicação, incluindo os dados abrangidos, as condições de acesso e o tratamento das informações recolhidas.

As comunicações nacionais envolvem também pessoas e empresas que utilizam serviços no seu próprio país. As regras que regem a seleção, o acesso, a conservação e a supervisão serão, por isso, fundamentais para perceber como funcionaria um sistema alargado no quotidiano.

Um pacote de emergência após ataques a empresas

O Governo de Takaichi aprovou as medidas de emergência numa reunião por ela presidida, na sequência de várias violações graves de dados pessoais. Um ataque de ransomware contra o GMO Internet Group levou-a a ordenar a preparação do pacote na semana anterior.

O ransomware é um software malicioso utilizado para manter dados ou sistemas informáticos como reféns, geralmente acompanhado de um pedido de pagamento. Uma empresa afetada poderá ter de conter a intrusão, determinar que sistemas são seguros e restabelecer os serviços, ao mesmo tempo que investiga se houve exfiltração de informações.

O pacote de emergência abrange quatro áreas: melhorias de segurança com recurso a inteligência artificial, reforço da recolha de informações, respostas estratégicas a ataques e melhor apoio às vítimas. Uma parte dos 10 mil milhões de ienes será destinada ao reforço das capacidades de recolha de informações da polícia.

O Governo tenciona também criar uma equipa de especialistas em cibersegurança para combater os atacantes. Uma equipa de apoio distinta, composta por elementos dos setores público e privado, ajudará as empresas que tenham sido vítimas de ataques, enquanto outra unidade aconselhará as empresas que enfrentem potenciais ameaças.

Estas equipas intervêm em diferentes fases de um incidente. O aconselhamento pode ajudar uma empresa a agir quando surge uma ameaça; a intervenção especializada pode apoiar a resposta a um ataque em curso; e a assistência à recuperação pode ajudar uma empresa afetada a lidar com as consequências. A inteligência artificial será também utilizada para identificar vulnerabilidades nos sistemas informáticos.

Novas obrigações para os operadores de infraestruturas

O Gabinete Nacional de Cibersegurança, integrado no Secretariado do Gabinete, e o Gabinete do Governo publicaram, a 30 de setembro, documentos de aplicação que explicam a implementação da legislação relativa à resposta cibernética. A organização das estruturas e a cooperação com os operadores de infraestruturas críticas tiveram início a 1 de outubro.

O sistema abrange 258 operadores designados em 15 setores. Os seus serviços estão ligados ao quotidiano: uma interrupção pode afetar pagamentos, eletricidade, comunicações, transportes ou o movimento de mercadorias através dos portos.

Os operadores abrangidos têm de comunicar ao ministro responsável pelo respetivo setor os sistemas informáticos importantes designados, incluindo os nomes dos produtos. O calendário de aplicação fixa março do ano seguinte como prazo para os sistemas já em utilização. Os sistemas introduzidos posteriormente têm de ser comunicados no prazo de quatro meses.

O Governo tenciona comparar esses inventários com informações sobre vulnerabilidades que ainda não tenham sido divulgadas ao público. Uma vulnerabilidade é uma falha de software ou equipamento que um atacante pode explorar. Saber que operador utiliza um produto afetado permite às autoridades enviar um aviso direcionado à empresa que dele necessita.

Os incidentes graves têm de ser comunicados ao Governo

A partir de 1 de outubro, os operadores abrangidos têm de comunicar os incidentes cibernéticos graves que afetem os seus sistemas informáticos importantes designados tanto ao ministro responsável pelo respetivo setor como ao primeiro-ministro. Entre os incidentes incluem-se a execução de software malicioso e o acesso não autorizado.

Esta obrigação permite ao Governo tomar conhecimento de ataques graves em serviços essenciais. Os pormenores técnicos de um incidente podem depois ser partilhados com outros operadores, salvaguardando a privacidade da organização afetada, para que estes reforcem as suas defesas contra atividades semelhantes.

Prevê-se que um conselho de partilha de informações inclua cerca de 100 organizações, sobretudo operadores de infraestruturas críticas. O objetivo é ligar as informações governamentais sobre ameaças às empresas responsáveis pela proteção dos sistemas operacionais.

A abordagem do Governo combina dois tipos de informação: os produtos utilizados por um operador e as ameaças detetadas. Um inventário permite identificar quem precisa de receber um aviso, enquanto as informações sobre incidentes podem explicar o que o operador deve procurar nos seus próprios sistemas.

Como serão partilhados os avisos sensíveis

As informações governamentais sobre ameaças podem conter pormenores que revelem uma fonte de informação ou identifiquem uma empresa específica. Antes de as distribuírem aos operadores, as autoridades tencionam eliminar dados confidenciais ou anonimizar informações identificativas, num processo designado por sanitização.

Um aviso útil poderá manter os indicadores técnicos de um ataque, eliminando ao mesmo tempo os pormenores sobre a forma como as autoridades os obtiveram. O objetivo é fornecer rapidamente às empresas informações que lhes permitam agir, protegendo os dados sensíveis.

As informações mais sensíveis serão partilhadas através de mecanismos que envolvem informação classificada, empresas específicas ou grupos restritos conhecidos como Trusted Groups. Estes mecanismos criam canais distintos consoante a amplitude da distribuição possível.

Para os operadores, o valor prático está em receber um aviso suficientemente específico para permitir uma resposta. Os nomes dos produtos, os indicadores técnicos e o conhecimento dos sistemas de uma empresa podem transformar um alerta geral numa verificação ou reparação direcionada.

Implementação com várias etapas distintas

As alterações legislativas, os preparativos organizacionais e as operações técnicas do Japão seguem calendários diferentes. Algumas disposições da legislação entraram em vigor em outubro, enquanto o calendário de implementação prevê que a utilização operacional de informações sobre comunicações comece no outono do ano seguinte ou mais tarde.

As principais etapas descritas no plano de implementação do Governo e em anúncios posteriores são:

• 30 de setembro: O Gabinete Nacional de Cibersegurança e o Gabinete do Governo publicaram documentos de aplicação.
• 1 de outubro: Tiveram início a organização das estruturas e a cooperação com os operadores de infraestruturas designados, incluindo as obrigações de comunicação de incidentes graves.
• 6 de novembro: Takaichi instruiu os ministros a analisarem alterações legislativas para reforçar a recolha de informações no âmbito da defesa cibernética ativa.
• Março do ano seguinte: Os sistemas informáticos designados já existentes têm de ser comunicados, de acordo com o calendário de aplicação.
• No prazo de quatro meses após a introdução: Os operadores têm de comunicar os novos sistemas designados.
• Outono do ano seguinte ou mais tarde: Está previsto o início da utilização operacional de informações sobre comunicações.

A implementação faseada significa que as empresas terão de cumprir requisitos de comunicação e preparação antes de todos os elementos da recolha de informações sobre comunicações estarem operacionais. A inclusão proposta das comunicações nacionais exigiria uma nova alteração legislativa, a par desta implementação.

Em resumo

• O Japão está a ponderar incluir as comunicações inteiramente nacionais no quadro de recolha de informações da sua defesa cibernética ativa.
• Takaichi ordenou a análise de alterações legislativas numa reunião ministerial de 6 de novembro, na sequência de uma recomendação do partido no poder.
• Um pacote de emergência destina 10 mil milhões de ienes das verbas de reserva do exercício orçamental de 2026 a medidas de cibersegurança, incluindo o reforço das capacidades de recolha de informações da polícia.
• O pacote inclui equipas especializadas de resposta, apoio à recuperação das empresas e inteligência artificial.
• A implementação relativa às infraestruturas abrange 258 operadores em 15 setores, com obrigações de inventariação dos sistemas e de comunicação de incidentes graves.
• As operações com informações sobre comunicações têm um calendário posterior ao das medidas iniciais de organização e comunicação.