O futuro marco legal de cibersegurança deve preservar a proteção de quem reporta ataques e incidentes para não desestimular o compartilhamento de informações. O alerta foi feito por Demi Getschko, diretor-presidente do NIC.br, nesta terça-feira, 11, durante o evento TS Segurança Digital e Serviços Gerenciados, realizado pelo Tele.Síntese em São Paulo.

Para ele, a responsabilização inadequada das vítimas pode reduzir a visibilidade sobre as ameaças enfrentadas no Brasil. “Não podemos onerar o sujeito que está me contando que a casa dele foi invadida, dizendo: ‘Você pode ser parte do problema, você pode ser culpado por isso’. Senão, nós perdemos a visibilidade”, afirmou.

Getschko participou do painel “Marco Regulatório de Cibersegurança: coordenação nacional, infraestruturas críticas e responsabilidades”. O debate abordou o PL 4.752/2025, que institui o Marco Legal da Cibersegurança, e o anteprojeto elaborado pelo Comitê Nacional de Cibersegurança (CNCiber).

Na avaliação do presidente do NIC.br, a legislação precisa separar a coleta de informações sobre incidentes das medidas de responsabilização. O País depende dos relatos recebidos por estruturas como o CERT.br para conhecer o volume e as características dos ataques, identificar novas ameaças e produzir recomendações técnicas.

“A gente sabe que tem um monte de incidentes no Brasil porque nos reportam isso”, disse. “É muito bom saber o grau de problema que temos para poder agir adequadamente, colaborativamente.”

Atacante e vítima exigem tratamentos distintos

Getschko comparou os ataques cibernéticos à invasão de uma residência. Para ele, a prioridade deve ser identificar e punir o agente malicioso, sem transferir automaticamente a culpa a quem sofreu o incidente. “O governo vai dizer: ‘Você é culpado porque não trancou a casa’? Acho que o culpado é quem entrou na minha casa. Ele tem que ser punido”, afirmou.

Isso não significa, segundo ele, retirar a responsabilidade de organizações que expõem informações ou deixam de adotar medidas compatíveis com os riscos de sua atividade. O ponto é que a análise precisa considerar o perfil da vítima, os efeitos do incidente e as precauções que poderiam ser razoavelmente exigidas.

Uma infraestrutura crítica, por exemplo, deve cumprir requisitos mais elevados do que uma pequena empresa ou um cidadão. A interrupção de uma instalação essencial pode afetar serviços e parcelas amplas da população, enquanto outros incidentes têm alcance mais restrito.

“Não é a mesma coisa uma usina hidrelétrica e uma padaria. Evidentemente, todas têm algum tipo de responsabilidade no processo, que tem que ficar claro”, declarou.

Segurança é um “alvo móvel”

O diretor-presidente do NIC.br também afirmou que a regulação deve ser capaz de acompanhar mudanças tecnológicas e novas formas de ataque. Ele definiu a segurança cibernética como um “alvo móvel”, cujos riscos não podem ser resolvidos definitivamente por uma única norma. “Não há uma solução única para isso. Não tem um ‘one size fits all’, não tem algo que serve para todos”, disse.

Ele defendeu uma abordagem proporcional, com exigências diferentes para indivíduos, pequenos negócios, grandes empresas e operadores de infraestruturas críticas. Na sua avaliação, o marco deve estabelecer princípios comuns, mas permitir revisões diante do surgimento de novas ameaças. “Esse é um problema multifacetado, é um alvo móvel, e você tem que ter uma iniciativa conceitual que nos una em direção a esse objetivo e que seja revista sempre que necessário”, afirmou.

Cooperação deve ser preservada

Getschko citou a troca espontânea de informações entre equipes de resposta a incidentes de diferentes países como um componente que deve ser preservado. Entre os exemplos estão a cooperação do CERT.br com o Forum of Incident Response and Security Teams (FIRST) e com equipes de outros mercados.

O modelo permite que informações sobre atividades maliciosas circulem entre organizações técnicas e contribuam para a identificação de padrões de ataque. O marco legal deve ampliar essa colaboração sem comprometer mecanismos que já funcionam.

Ele dividiu a resposta aos incidentes em etapas distintas: conhecer o universo das ameaças, analisar tecnicamente suas causas e adotar as providências adequadas a cada vítima. Misturar essas funções poderia inibir notificações e prejudicar o diagnóstico do cenário nacional.

Para ele a expansão da internet brasileira também tornou o País mais exposto. Embora o Brasil tenha estruturas técnicas consolidadas, o aumento do número de cidadãos, empresas e serviços públicos conectados ampliou o conjunto de possíveis alvos. “A segurança na internet, como a própria internet, é algo em que você tem que entrar voluntariamente e cooperar com o sistema para se proteger e proteger o sistema”, concluiu.

O post Marco de Cibersegurança não pode punir quem reporta ataques, avisa Demi apareceu primeiro em TeleSíntese.