Anatel publica requisitos mínimos de segurança cibernética de equipamentos CPE

A Agência Nacional de Telecomunicações (Anatel) publicou, por meio do Ato nº 2.436, de 7 de março de 2023, os requisitos mínimos mandatórios de segurança cibernética para avaliação da conformidade de equipamentos CPE (Customer Premises Equipment) empregados para conexão de assinantes à rede do provedor de serviços de internet.

Os requisitos serão mandatórios para a homologação dos equipamentos CPE a partir de 10 de março de 2024. Este prazo para entrada em vigor é necessário para que fabricantes adequem seus processos produtivos e para que importadores tenham prazo apropriado para ajustarem seus processos de aquisição de equipamentos.

Este instrumento visa tratar vulnerabilidades comuns nesta categoria de equipamentos, tais como as senhas padrão (iguais entre todas as unidades fabricadas) e a presença de portas/serviços de comunicação habilitados desnecessariamente, o que aumenta a superfície de ataque que pode ser explorada por agentes maliciosos.

Tais vulnerabilidades permitem que os equipamentos sejam acessados por agentes maliciosos via internet, possibilitando sua configuração ou a instalação de malwares que transformam os CPEs em vetores de ataque de negação de serviço (DDoS) ou expõem os dados pessoais e padrões de comportamento do usuário da internet.

A avaliação da conformidade dos equipamentos CPEs quanto aos requisitos do Ato nº 2.436/2023, visa mitigar tais vulnerabilidades, aumentando a segurança dos usuários da internet e das redes de telecomunicações.

Os requisitos exigem, ainda, que os fabricantes e fornecedores de CPEs tenham políticas claras de suporte ao produto, disponibilizem gratuitamente atualizações de segurança para os softwares dos equipamentos e possuam canais para notificação de vulnerabilidades descobertas por usuários ou especialistas.

Por ser a porta de acesso dos usuários ao ambiente da internet, considera-se essencial que os equipamentos CPE atendam requisitos mínimos de segurança e não exponham os usuários a riscos que, na maioria dos casos, não têm consciência de sua existência.