Maturidade da Ciber-resiliência das instituições públicas

A ciber-resiliência do setor público lê-se em vários textos que se cruzam: a diretiva NIS 2, que inclui as administrações públicas entre as entidades abrangidas, os referenciais da ANSSI sobre a homologação e a segurança dos sistemas de informação do Estado, os princípios de continuidade de atividade da ISO 22301, e as obrigações próprias dos dados dos utentes. O objeto aqui avaliado não é apenas a proteção técnica: é a capacidade de uma autarquia, de um hospital, de um ministério ou de um operador público de manter os seus serviços essenciais durante um incidente, de o declarar dentro dos prazos e de regressar a um estado de funcionamento controlado.

Na prática, este acompanhamento é difícil por razões estruturais. O sistema de informação é muitas vezes herdado, repartido entre direções de área autónomas e prestadores de longa data. Algumas questões concretas: sabe quais os serviços ao utente que devem reiniciar prioritariamente, e por que ordem. As suas cópias de segurança foram efetivamente restauradas, num cenário completo, ou apenas testadas isoladamente. Quem decide desligar uma aplicação de área num domingo, e essa pessoa foi contactada no último exercício.

Vale a pena assinalar um ponto de contexto: a transposição da NIS 2 alarga claramente o perímetro das entidades públicas abrangidas e introduz uma cadeia de notificação de incidentes em várias etapas, com responsabilidade do órgão de direção. Muitas instituições começaram por mapear as suas obrigações sem terem tratado a questão operacional que se segue: o seu dispositivo de crise funciona num dia de férias escolares, quando o serviço informático está reduzido e o eleito ou o diretor-geral tem de comunicar.

Convém desfazer uma confusão frequente: a auditoria de conformidade conclui por conforme ou não conforme, exigência a exigência. O diagnóstico de maturidade responde a outra questão: em que nível de domínio se situa cada prática, e que ação concreta permite passar ao nível seguinte. Uma instituição pode estar em regra no papel e incapaz de restaurar o seu registo civil em 48 horas. A escala de maturidade torna este desvio visível e converte-o num plano de ação quantificado, com custo, prazo e efeito esperado na pontuação.

No Datamensio, o referencial está pronto a usar e continua a ser seu. Ajusta os domínios, as perguntas e as formulações dos níveis de acordo com o seu estatuto, a sua dimensão e os seus serviços essenciais. A IA afina os níveis segundo o método CMMI, ou constrói uma variante a partir dos seus próprios documentos: plano de continuidade, análise de riscos, relatórios de exercícios.