As autarquias francesas estão vulneráveis às ameaças cibernéticas?
A cibersegurança tornou-se uma questão que diz respeito a todos: empresas, associações, administrações, particulares e, claro, autarquias.
Para obter um panorama atualizado sobre o tema, a plataforma Cybermalveillance.gouv.fr encomendou à OpinionWay um estudo sobre o nível de maturidade das autarquias francesas em matéria de cibersegurança.
Os resultados deste estudo, realizado junto de 1710 representantes eleitos e funcionários de municípios com menos de 25 000 habitantes, foram apresentados por ocasião do Salão dos Presidentes de Câmara e das Autarquias, a 19 de novembro de 2024.
A sondagem revela que, apesar dos esforços notáveis, a vulnerabilidade das comunidades francesas continua a ser significativa num contexto de ameaças crescentes.
Os municípios de menor dimensão, em particular, ainda subestimam com demasiada frequência os riscos associados ao mundo digital e/ou não dispõem dos recursos humanos e financeiros necessários para lhes fazer face.
Autarquias locais e cibersegurança: panorama atual
Uma rede de municípios rurais muito pequenos
Antes de mais nada, é importante compreender bem o panorama das autarquias francesas abrangidas pelo estudo encomendado pelo Cybermalveillance.gouv.fr.
70% dos municípios franceses com menos de 25 000 habitantes (o público-alvo do inquérito) têm menos de 1 000 habitantes.
Esses municípios são, na sua maioria, rurais, empregam geralmente menos de 10 funcionários e dispõem, por isso, de menos de 10 computadores.
Por isso, é óbvio que não dispõem de pessoal dedicado à segurança dos seus sistemas de informação capaz de as orientar nesta área.
As ameaças cibernéticas subestimadas pelos pequenos municípios
Devido à sua dimensão e à sua estrutura organizacional, muitas autarquias continuam a subestimar a sua exposição às ameaças cibernéticas.
De acordo com o barómetro, quase metade dos municípios com menos de 300 habitantes consideram-se de baixo risco.
Paradoxalmente, muitas autarquias sentem-se vulneráveis face às ameaças cibernéticas. Apenas 14 % dos municípios consideram estar suficientemente preparados para o caso de um ataque.
Imagem:AvantdeCliquer.com
As autarquias são regularmente alvo de ciberataques
De facto, as autarquias locais estão entre os alvos preferidos dos cibercriminosos. De acordo com o estudo, 10 % dos municípios afirmam ter sido vítimas de pelo menos um ataque nos últimos 12 meses.
Entre os vetores de ataque contam-se o download de vírus, a visita a sites infetados e as falhas de segurança não corrigidas.
Mas é, sem surpresa, o phishing (ou «hameçonnage») que constitui o método mais utilizado para invadir os sistemas de informação, representando 30 % dos casos. Um número que esconde uma realidade ainda mais grave, uma vez que 45 % dos inquiridos desconhecem a causa do ataque sofrido.
Os representantes eleitos e os funcionários, muitas vezes pouco sensibilizados, tornam-se alvos fáceis. Uma formação insuficiente agrava a situação, deixando estes intervenientes vulneráveis perante as tentativas de phishing.
A AvantdeCliquer apoia as autarquias locais na luta contra o phishing. Clique aqui para saber mais.
As comunidades desproporcionalmente e insuficientemente protegidas
Generalizar os princípios básicos da cibersegurança
Perante estas constatações, a primeira linha de defesa consiste, evidentemente, em investir em sistemas de cibersegurança.
A grande maioria dos municípios dispõe de antivírus, firewalls e uma solução de cópia de segurança, os três pilares essenciais da cibersegurança.
Por outro lado, ainda são muito poucas as que aplicam uma política de senhas seguras e ainda menos as que utilizam a autenticação de dois fatores.
Separar as atividades pessoais das profissionais
O estudo salienta também que a utilização de equipamentos pessoais é muito comum, sobretudo por razões orçamentais.
Entre os equipamentos pessoais utilizados no âmbito municipal, destacam-se os telemóveis, os computadores, as pen drives e os serviços de correio eletrónico.
É evidente que a separação entre a esfera privada e a esfera profissional não é garantida no que diz respeito às ferramentas digitais.
No entanto, isso pode ser uma falha explorada por piratas informáticos.
Formar os representantes eleitos e os funcionários locais em matéria de cibersegurança
A sensibilização é um aspeto fundamental para reforçar a resiliência das comunidades face às ameaças cibernéticas. Formar os representantes eleitos e os funcionários locais em boas práticas pode reduzir consideravelmente o risco de sucesso dos ciberataques.
A formação permite incutir uma cultura de segurança cibernética nos utilizadores. Estes ficarão assim aptos a identificar e-mails suspeitos e sinais de alerta (remetente desconhecido, erros ortográficos, links duvidosos) para se protegerem contra tentativas de phishing.
A sensibilização dos representantes eleitos e dos funcionários surge, aliás, como uma necessidade prioritária para 62 % dos inquiridos. Isto acontece apesar de 73 % já terem recebido formação sobre segurança informática pelo menos uma vez.
Isto sublinha bem a importância de uma sensibilização contínua, e não pontual, para combater eficazmente as ameaças cibernéticas.
A relutância das autarquias em relação à cibersegurança
Orçamentos demasiado apertados para investir em cibersegurança
A falta de orçamento destinado às tecnologias da informação explica, em parte, as lacunas das autarquias em matéria de cibersegurança.
De facto, 73 % dos municípios destinam menos de 5 000 € por ano a equipamentos informáticos e 77 % gastam menos de 2 000 € por ano na segurança desses sistemas.
Mais preocupante ainda é o facto de o aumento dos fundos destinados à cibersegurança não parecer estar na agenda da esmagadora maioria das autarquias.
De facto, apenas 10 % dos municípios prevêem um aumento das despesas nos próximos meses. Destes, 90 % pretendem investir em soluções materiais e apenas 31 % em ações de sensibilização.
É importante referir também que são os municípios com mais de 1 000 habitantes que pretendem investir em cibersegurança. A esmagadora maioria dos municípios muito pequenos não tenciona fazê-lo.
Uma falta de competências por parte dos representantes eleitos e do pessoal
No entanto, o orçamento não é a principal razão que impede as autarquias de protegerem melhor os seus sistemas de informação.
De facto, é a falta de conhecimento que se destaca em quase metade dos casos. Um dado corroborado pelo facto de 70 % das pessoas inquiridas não se sentirem capazes de avaliar a adequação das ofertas de cibersegurança.
É igualmente importante referir que, para 16 % dos inquiridos, a cibersegurança não é uma questão prioritária e que, para 9 %, o tema simplesmente não lhes diz respeito.
Como se pode ver, a tomada de consciência ainda é desigual, sobretudo nos municípios mais pequenos. É por isso que o acompanhamento e a sensibilização são fatores fundamentais.
A necessidade de apoio face às ameaças cibernéticas
Como vimos, a maioria dos municípios de pequena e média dimensão não se sente competente para lidar com questões de cibersegurança.
Recorrem então principalmente ao seu prestador de serviços informáticos e aos serviços territoriais do Estado (Gendarmerie, Polícia, Prefeitura) para obter aconselhamento.
O balcão único Cybermalveillance.gouv.fr é considerado um interlocutor privilegiado por apenas 13 % das autarquias. No entanto, trata-se de um interveniente essencial para as apoiar na proteção dos seus sistemas informáticos ou para as aconselhar em caso de ataque.
O site Cybermalveillance.gouv.fr pode, nomeadamente, colocar os requerentes em contacto com prestadores de serviços certificados.
Por fim, é de salientar que este serviço é utilizado sobretudo por municípios com mais de 10 000 habitantes, sendo muito pouco utilizado pelos municípios mais pequenos (9 %).
Conclusão: tornar a cibersegurança uma prioridade para as autarquias
As ameaças cibernéticas não são inevitáveis. Ao investir na sensibilização, nomeadamente em relação ao phishing, e ao mobilizar recursos adequados, as autarquias francesas podem melhorar a sua resiliência face a ataques informáticos.
No entanto, o desafio continua a ser considerável, especialmente para as pequenas comunidades, que continuam a subestimar a sua exposição e carecem de recursos financeiros e humanos para se protegerem eficazmente.
No entanto, é urgente considerar a cibersegurança como um aspeto essencial e prioritário, inclusive para os municípios de menor dimensão. Os representantes eleitos, os funcionários e os prestadores de serviços têm um papel a desempenhar na antecipação, deteção e resposta às ameaças.
As comunidades não podem dar-se ao luxo de permanecer vulneráveis num mundo cada vez mais digital. A sensibilização, aliada a medidas concretas, é a chave para um futuro mais seguro.
Fonte: Estudo realizado pela OpinionWay para o Cybermalveillance.gouv.fr, entre 26 de agosto e 4 de outubro de 2024
Descarregue os guias gratuitos sobre cibersegurança para autarquias locais clicando aqui.
Perguntas frequentes: Cibersegurança das autarquias locais
1. Por que razão as autarquias locais são alvo de ciberataques?
As autarquias locais lidam com dados sensíveis e, muitas vezes, estão mal protegidas devido a orçamentos limitados e à falta de pessoal qualificado em cibersegurança. Estas vulnerabilidades tornam-nas alvos privilegiados para os cibercriminosos, nomeadamente através de ataques como o phishing ou o ransomware.
2. Quais são as principais consequências de um ciberataque para os municípios?
As principais consequências dos ciberataques são:
- A destruição ou o roubo de dados confidenciais
- A interrupção dos serviços informáticos
- Uma perda financeira
- Um dano à reputação da comunidade
3. Como podem os pequenos municípios proteger-se com um orçamento limitado?
Mesmo com recursos limitados, é possível reforçar a cibersegurança:
- Instale um antivírus e um firewall.
- Formar regularmente os representantes eleitos e os funcionários locais sobre as boas práticas (nomeadamente a sensibilização para o phishing, a principal via de acesso dos hackers).
- Implementar a autenticação de dois fatores para aceder a sistemas sensíveis.
- Recorra ao balcão único Cybermalveillance.gouv.fr.
- Entre em contacto com Antes de clicarpara realizar uma auditoria de vulnerabilidades (Phishing Pentest)
4. Por que é importante formar os representantes eleitos e os funcionários públicos em matéria de cibersegurança?
Os representantes eleitos e os funcionários públicos são frequentemente a primeira linha de defesa contra os ciberataques. Uma formação adequada permite-lhes:
- Identificar e-mails fraudulentos e links suspeitos.
- Reagir rapidamente em caso de suspeita de ataque.
- Adotar práticas seguras no dia a dia.
5. Quais são as primeiras medidas a tomar em caso de ciberataque?
Em caso de ataque:
- Desligue imediatamente os sistemas afetados da rede para limitar os danos.
- Informe o seu prestador de serviços informáticos e as autoridades competentes (Gendarmerie, Cybermalveillance.gouv.fr).
- Nunca pague um resgate em caso de ransomware.
6. Existem apoios ou ferramentas para ajudar os municípios?
Sim, existem vários recursos disponíveis:
- O site Cybermalveillance.gouv.fr disponibiliza ferramentas, guias e apoio em caso de incidente.
- Os prestadores de serviços certificadospodemfornecer soluções adequadas.
- Algumas regiões ou o Estado oferecem subsídios para melhorar a cibersegurança das comunidades.
7. Quais são as ferramentas e as boas práticas essenciais para garantir a segurança dos sistemas informáticos municipais?
As ferramentas básicas incluem:
- Um antivírus atualizado regularmente.
- Um firewall para proteger a rede.
- Uma solução para o backup regular dos dados.
- A autenticação de dois fatores para limitar o acesso não autorizado.
- Uma política de senhas seguras
- Sensibilização contínua para o phishing
- Utilizar equipamentos exclusivamente destinados ao uso coletivo (computadores, telefones, pen drives, endereços de e-mail, etc.).
Contacte-nos e descubra como a AvantdeCliquer pode proteger o seu município contra as ameaças cibernéticas.
Diretores de Sistemas de Informação (DSI), Diretores de Segurança de Sistemas de Informação (RSSI) e Responsáveis pela Proteção de Dados (DPO), solicitem uma demonstração gratuita da solução totalmente automatizada de sensibilização para o phishing:
