Regulamentação
O estudo sobre a regulamentação de segurança das redes de telecomunicações foi incluído como item 58 da Agenda Regulatória da Agência para biênio 2017 – 2018, cujo processo de elaboração da Análise de Impacto Regulatório (AIR) contou com tomada de subsídio de diversos atores. Também foi realizada a Consulta Pública nº 52, iniciada no final de 2018 e aberta por mais de 60 dias, para recebimento de contribuições da sociedade.
A Agenda Regulatória 2019 – 2020 manteve a prioridade do assunto, sendo contemplado no seu item 8, o que levou a aprovação do Regulamento de Segurança Cibernética Aplicada ao Setor de Telecomunicações, no final de 2020.
Embora o processo de construção do normativo tenha iniciado antes da elaboração e aprovação da Estratégia Nacional de Segurança Cibernética (E-Ciber), as previsões regulamentares já nasceram alinhadas à Estratégia. A proposta de regulamento ainda passou por revisão final do Conselho Diretor da Anatel, para garantir que estivesse de acordo com as políticas públicas estabelecidas.
Princípios e diretrizes
O Regulamento de Segurança Cibernética Aplicada ao Setor de Telecomunicações estabeleceu, em seu art. 4º,os seguintes princípios:
- autenticidade;
- confidencialidade;
- disponibilidade;
- diversidade;
- integridade;
- interoperabilidade;
- prioridade;
- responsabilidade; e
- transparência.
Já as diretrizes foram estabelecidas pelo art.5º, são elas:
- adoção de boas práticas e normal internacionais referentes à segurança cibernética;
- disseminação da cultura de segurança cibernética;
- a utilização segura e sustentável das redes e serviços de telecomunicações;
- identificação, proteção, diagnóstico, resposta e recuperação de incidentes de segurança cibernética;
- cooperação entre os diversos agentes envolvidos com fins de mitigação dos riscos cibernéticos;
- respeito e promoção dos direitos humanos e das garantias fundamentais, em especial a liberdade de expressão, a proteção de dados pessoais, a proteção da privacidade e o acesso à informação do usuário dos serviços de telecomunicações; e
- incentivo à adoção de conceitos de security by design e privacy by design no desenvolvimento e aquisição de produtos e serviços no setor de telecomunicações.
Os princípios e diretrizes aplicam-se a todas as prestadoras dos serviços de telecomunicações, de interesse coletivo ou restrito, independentemente do porte. Já as demais disposições aplicam-se a todas as prestadoras dos serviços de telecomunicações de interesse coletivo, ressalvadas as de Prestadoras de Serviços de Telecomunicações de Pequeno Porte (PPP).
Obrigações
O Regulamento traz, sem prejuízo da adoção outras medidas necessárias, as seguintes obrigações:
- a elaboração, manutenção e implementação de uma Política de Segurança Cibernética;
- a publicação pela prestadora na sua página na Internet, com linguagem compreensível, de extrato da sua Política de Segurança Cibernética;
- a apresentação à Anatel, anual ou sempre que solicitado, de relatório sobre o acompanhamento de execução da Política de Segurança Cibernética;
- a utilização, pelas prestadoras, de fornecedores que possuam política de segurança cibernética compatíveis com os princípios e diretrizes dispostos neste Regulamento e que realizem processos de auditoria independente periódicos, no âmbito de suas redes e serviços, produtos e equipamentos de telecomunicações;
- a alteração da configuração padrão de autenticação dos equipamentos fornecidos em regime de comodato aos seus usuários;
- a notificação da Agência e comunicação às demais prestadoras e aos usuários, conforme o caso e sem prejuízo de outras obrigações legais de comunicação, dos incidentes relevantes que afetem de maneira substancial a segurança das redes de telecomunicações e dos dados dos usuários;
- a adoção pelas prestadoras de procedimento de compartilhamento de informações sobre incidentes relevante;
- a realização de ciclos de avaliação de vulnerabilidades relacionadas à Segurança Cibernética; e
- o envio à Anatel de informações sobre suas Infraestruturas Críticas de Telecomunicações.