Qual é a estratégia de segurança cibernética de Trump para 2026?
As ações cibernéticas da administração Trump para março de 2026 incluem uma ordem executiva voltada para crimes cibernéticos e uma estratégia cibernética nacional baseada em seis pilares. Juntas, elas sinalizam uma mudança da doutrina cibernética abstrata para o realismo econômico e criminal. O fio condutor é simples: a política de segurança cibernética deve remover o atrito para os defensores e, ao mesmo tempo, aumentar o custo para os adversários.
Regulamentação baseada no bom senso
O pilar mais importante da estratégia (e talvez o mais difícil de implementar) é o compromisso de simplificar a regulamentação da cibersegurança, para que as empresas possam se concentrar na defesa, em vez de na burocracia da conformidade.
A lógica é simples:
- O ambiente atual de riscos cibernéticos evolui mais rapidamente do que os ciclos regulatórios.
- Regras sobrepostas (e, por vezes, contraditórias) entre agências criam fadiga de conformidade. Os prazos e definições precisam ser harmonizados o mais rápido possível.
- Quando as organizações gastam recursos para comprovar a conformidade, presumivelmente gastam menos na segurança propriamente dita.
A estratégia propõe a redução de requisitos redundantes e maior flexibilidade para as organizações na forma como protegem os seus sistemas. Para a indústria e os operadores:
- A conformidade baseada no risco pode começar a substituir a segurança baseada em listas de verificação.
As equipas de segurança podem priorizar a mitigação de ameaças em vez da documentação ritualística. - Convergência regulatória entre setores.
Espera-se um alinhamento entre o Departamento de Segurança Interna, o Departamento do Tesouro, o Departamento de Guerra e os reguladores setoriais. - Vantagem da inovação.
A remoção do atrito regulatório visa manter as empresas americanas competitivas em IA, criptografia e tecnologias emergentes.
Em essência, o governo está apostando que inovação + responsabilidade superam a regulamentação rígida na defesa cibernética.
Combater a cadeia de abastecimento criminosa
A Ordem Executiva de 6 de março concentra-se no cibercrime motivado financeiramente, enquadrando gangues de ransomware, redes de fraude e operações fraudulentas como organizações criminosas transnacionais. Essas redes operam:
- ransomware
- phishing
- sextorsão
- esquemas de falsificação de identidade e fraude financeira (abuso de idosos em particular, de acordo com os relatórios do IC3 do FBI nos últimos anos)
A ordem instrui as agências a coordenarem ferramentas técnicas, diplomáticas e de aplicação da lei para desmantelar essas redes globalmente. As principais ferramentas de aplicação da lei incluem:
- sanções contra países que abrigam operações de cibercrime
- restrições de visto e pressão diplomática
- perseguição prioritária de fraudes cibernéticas
- planos operacionais interagências para desmantelar sindicatos criminosos
Isso sinaliza uma mudança na política. Em vez de simplesmente fortalecer as redes, o governo pretende acabar com o modelo de negócios criminoso. Podemos esperar mais apreensões financeiras pelo FBI e pelo DOJ, melhores investigações transfronteiriças, bem como sanções às jurisdições de hospedagem. O crime cibernético passa a ser tratado menos como um incômodo inevitável e mais como crime organizado com consequências geopolíticas.
Os seis pilares da estratégia
A estratégia nacional organiza a política cibernética em torno de seis áreas:
- Moldar o comportamento do adversário (aumentar o custo para os atacantes)
- Promover uma regulamentação sensata (reduzir atritos e despesas gerais)
- Modernizar e proteger as redes federais (é hora de evoluir)
- Proteger infraestruturas críticas (o nosso calcanhar de Aquiles coletivo)
- Manter a superioridade em tecnologias emergentes (ir além dos limites)
- Desenvolver talentos cibernéticos e a capacidade da força de trabalho (qualificar todos)
O documento em si é intencionalmente curto, com cerca de 7 páginas. Os pilares refletem três temas principais: dissuasão, desregulamentação e execução público-privada. O último tema é muito importante para mim, pois trabalhei durante anos na construção da participação da CTI na ISACS, InfraGard, AFCEA e outras organizações. No final das contas, temos que reconhecer que pelo menos 85% dos ativos são propriedade do setor privado.
Como disse o general Michael V. Hayden, ex-diretor da NSA e da CIA, numa palestra que deu durante a digressão do seu livro de memórias «Playing to the Edge», há vários anos, o setor privado é «o corpo principal» no teatro de operações cibernéticas. Não é o governo. O governo existe para proteger o motor da economia: o setor privado. Se o governo alguma vez se confundir a ponto de pensar que é o principal órgão, então estaremos terrivelmente equivocados.
O que a estratégia de segurança cibernética de Trump significa para os CISOs
Do ponto de vista de um profissional de CISO, quatro resultados acionáveis são os mais importantes.
- A cibersegurança torna-se uma questão de aplicação da lei e segurança nacional, não apenas uma questão de TI.
- A reforma da conformidade irá remodelar a governança cibernética (se implementada corretamente), à medida que mais talentos forem aplicados à segurança real, em vez de escrever e atualizar documentos de políticas de conformidade. Afinal, os LLMs são perfeitamente adequados para reunir “todas as palavras certas”, não é mesmo?
- A cibernética ofensiva e a dissuasão irão expandir-se e a capacidade de executar segurança ofensiva já não é da exclusiva competência do governo. O setor privado está a ser explicitamente incentivado a moldar os resultados dos agentes de ameaças com técnicas de dissuasão e engano.
- A IA e as tecnologias emergentes são fundamentais para este próximo período de crescimento e inovação. Recursos em tempo real que operam em «velocidade de transmissão» entrarão em ação para mais organizações.
monitoramento contínuo o mantra que preguei enquanto ajudava a redigir orientações para o Fórum Económico Mundial de 2021 nas indústrias de petróleo e gás. Inserir a palavra “contínuo” antes da palavra “monitoramento” foi uma tarefa gigantesca nas atualizações da linguagem de governança. Trabalhamos durante meses para definir exatamente como elevar o padrão e adotar a cibersegurança como um facilitador estratégico, e não apenas um centro de custos.
Agora, com o surgimento de ferramentas agênicas e modelos de inferência para LLMs, temos um interesse e entusiasmo renovados pela automação e sistemas autónomos. A orquestração de agentes capazes de tomar decisões não é mais apenas tema de artigos científicos escritos em universidades.
E, por fim, não nos esqueçamos do próximo «Reese's Peanut Butter Cup» dos ciclos de hype: a aprendizagem automática quântica. O incrível potencial da criptografia pós-quântica e da tecnologia quântica em geral promete resolver problemas que a computação clássica não conseguiu abordar ou subjugar. Também promete trazer, sendo uma tecnologia necessariamente de dois gumes, novos riscos e perturbações à ordem mundial, se pensarmos em ataques quânticos contra a nossa abordagem atual aos algoritmos de encriptação para fornecer privacidade e comunicações secretas.
Reflexão final
A estratégia cibernética de 2026 e a EO, juntas, sinalizam uma mudança bem-vinda e pragmática. A doutrina é simples: defender menos através da burocracia, dissuadir mais através do poder. Se implementada corretamente (e isso é um grande «se»), a estratégia poderia afastar a política de segurança cibernética dos EUA das estruturas de conformidade reativas e levá-la para a perturbação económica dos ecossistemas do crime cibernético. É aí que reside a verdadeira influência. Esperemos que a levemos adiante e criemos uma infraestrutura adaptável, robusta e transformadora que se torne mais forte quanto mais for atacada, pois essa é a verdadeira natureza da resiliência.
