Nós do time de segurança cibernética do SiDi fazemos muitas avaliações de segurança de aplicativos/frameworks de plataformas móveis, aplicações/serviços web e dispositivos embarcados usando diversas bases de requisitos de segurança, tais como a OWASP Top 10 ou o OWASP Mobile Security Testing Guide.
A aprovação, no início deste ano, de uma regulamentação da Anatel (Ato 77/21) definindo requisitos de segurança cibernética para equipamentos de telecomunicações vendidos no país nos deixou bastante curiosos.
Este blog post contém uma visão geral e uma breve discussão sobre o Ato 77/21 e seus requisitos.
Estamos planejando para logo um outro blog post para compartilhamos nossa experiência com um ensaio de avaliação de segurança de um dispositivo IoT baseada nesses requisitos da Anatel.
Aprovado no começo de janeiro deste ano, o Ato nº 77 de 2021 da Agência Nacional de Telecomunicações (Anatel) estabelece requisitos de segurança cibernética para “equipamentos terminais com conexão à Internet e equipamentos de infraestrutura de redes de telecomunicações”.
Isso inclui não só equipamentos de rede tais como roteadores, gateways, firewalls e modems, mas também telefones celulares, computadores e dispositivos IoT tais como câmeras IP, babás eletrônicas, smart TVs, smart speakers e hubs IoT.
O objetivo principal do ato é induzir fornecedores desses equipamentos a “minimizar ou corrigir vulnerabilidades por meio de atualizações de software/firmware ou por meio de recomendações em configurações”, ajudando a proteger a segurança da infraestrutura de telecomunicações do país e seus usuários.
Pelo menos a princípio, o atendimento aos requisitos do Ato 77/21 não é mandatório.
A definição de quais requisitos do ato serão mandatórios para os diversos tipos de equipamentos homologados pela Anatel ainda depende de propostas de regulamentação adicional a serem feitas e submetidas ao Conselho Diretor da agência pelo recém-criado Grupo Técnico de Segurança Cibernética e Gestão de Riscos de Infraestrutura Crítica (GT-Ciber).
O GT-Ciber é coordenado pela Anatel e composto por representantes de operadoras de serviços de telecomunicações, fabricantes de equipamentos e várias outras organizações interessadas, incluindo o SiDi.
Uma das atribuições do GT-Ciber é elaborar estudos e propor “procedimentos de avaliação da conformidade e homologação de produtos para telecomunicações”, o que inclui procedimentos técnicos necessários para a avaliação de conformidade de produtos ao Ato 77/21.
O resultado desse trabalho do GT-Ciber da Anatel é essencial para que os fabricantes de equipamentos possam ter a clareza mínima necessária para atender efetivamente os requisitos regulamentados.
A partir do começo de julho, quando o ato entrou em vigor, a Anatel passou a exigir que pedidos de homologação de equipamentos para uso no Brasil incluam uma declaração sobre o atendimento, pelo equipamento e pelo fornecedor, aos requisitos de segurança do Ato 77/21.
O formulário oficial da Anatel para esta declaração, segundo a versão de 26/3/2021, acessada para a escrita deste artigo, oferece ao fornecedor apenas duas opções para cada um dos requisitos do ato:
Como estas declarações podem conter informações proprietárias e confidenciais dos fornecedores, elas não serão divulgadas pela Anatel junto com os certificados de homologação dos equipamentos.
Uma pena, pois estas declarações poderiam ser uma fonte de informação muito útil para os consumidores poderem saber, antes da compra, quais (e por quê) alguns dos requisitos de segurança da Anatel não se aplicam, segundo o fabricante, aos diversos produtos disponíveis no mercado.
De qualquer modo, uma divulgação voluntária dessas declarações pelo próprio fabricante poderia servir como um importante diferencial de marketing, demonstrando aos consumidores a transparência e o compromisso do fabricante em relação à segurança de seus produtos. Fica a dica!
Após a homologação de um equipamento, a Anatel passa a fiscalizar o cumprimento dos requisitos do ato através do seu Programa de Supervisão de Mercado, que inclui a coleta contínua no mercado de produtos homologados para avaliação de segurança, e também a atuação ao tomar conhecimento de vulnerabilidades pendentes em produtos no mercado.
Um produto que tenha uma vulnerabilidade que coloque em risco a segurança de serviços de telecomunicações e seus usuários poderá ter sua homologação suspensa pela Anatel até que a vulnerabilidade seja resolvida.
Isso significa que vulnerabilidades críticas com correção pendente poderão causar a suspenção da distribuição do produto no mercado brasileiro até a resolução da pendência pelo fornecedor.
O ato contém requisitos de segurança tanto para equipamentos quanto para fornecedores. Segue abaixo uma visão geral dos principais requisitos.
Os requisitos para equipamentos são divididos nas diversas categorias a seguir:
Atualização de software/firmware
Gerenciamento remoto
Instalação e operação
Acesso para configuração do equipamento
Serviços de comunicação de dados
Dados pessoais e dados pessoais sensíveis
Capacidade de mitigar ataques
O Ato 77/21 da Anatel também inclui requisitos de segurança para os fornecedores dos equipamentos:
Em termos de mercado, o atendimento aos requisitos de segurança cibernética do Ato 77/21 da Anatel pode representar um avanço bastante significativo no nível médio de segurança atualmente oferecido por muitos dos equipamentos disponíveis nos mercados não só nacional como internacional.
Por outro lado, muitos fabricantes, como por exemplo, os de dispositivos IoT para residências ou para pequenas empresas têm hoje como principal prioridade de mercado (no Brasil e no mundo) a produção de dispositivos de baixo custo, tratando segurança como algo secundário.
Fabricantes como esses teriam, pelo menos inicialmente, caso venham a ter a obrigação de atender aos requisitos do ato, muita dificuldade para manter os custos nos níveis atuais.
Uma eventual adoção de requisitos semelhantes por mercados de outros países poderia ajudar a tornar a segurança desses dispositivos uma prioridade para os fabricantes e suas cadeias de fornecedores, ajudando, pelo volume, a baixar o custo do atendimento aos requisitos.
O Ato 77/21 da Anatel pode representar um grande avanço para a segurança cibernética de equipamentos de telecomunicações e de equipamentos com acesso à Internet.
Porém, não é uma tarefa fácil definir um conjunto de requisitos de segurança cibernética para equipamentos tão diversos em termos de finalidades e capacidades, e que continue relevante ao longo do tempo em um cenário com ritmo bastante acelerado de mudanças tecnológicas e de constante evolução dos métodos de ataque e defesa cibernética.
Muitos aspectos práticos sobre a aplicação desses requisitos ainda estão por ser propostos especialmente pelo GT-Ciber/Anatel. Nós do SiDi pretendemos acompanhar e contribuir com esse esforço.
Para saber mais: Página da Anatel sobre Segurança Cibernética.