Requisitos para Equipamentos

Logo após a edição do Regulamento, a Agência deu mais um passo para promover a segurança cibernética do setor, em 5 de janeiro de 2021, com a aprovação dos Requisitos de Segurança Cibernética para Equipamentos para Telecomunicações por meio do Ato nº 77 da Superintendência de Outorga e Recursos à Prestação (SOR).

A proposta de Requisitos de Segurança Cibernética para Equipamentos para Telecomunicações passou por Consulta Pública por 60 dias e recebeu centenas de contribuições. Indústria, laboratórios de ensaio e especialistas também participaram da elaboração do texto. Ainda, foram utilizadas referências internacionais das seguintes organizações: Organização para a Cooperação e o Desenvolvimento Econômico (OCDE), Institute of Electrical and Electronic Engineers (IEEE) , Internet Engineering Task Force (IETF), European Union Agency for Cybersecurity (ENISA), Grupo de Operadores de Redes da América Latina e o Caribe (LACNOG) e Messaging, Malware and Mobile Anti-Abuse Working Group (M3AAWG); e GSM Association (GSMA).

À Agência compete realizar a certificação e homologação de equipamentos para telecomunicações, desde aqueles mais simples, como sensores com interfaces de comunicação sem fio, até aqueles mais complexos, como equipamentos de núcleo de rede de operadoras. Um dos princípios dessa atividade de homologação é a proteção e a segurança dos usuários desses produtos.

Historicamente essa avaliação quanto à segurança é focada na segurança elétrica, na compatibilidade eletromagnética e na medição de níveis seguros de radiação não ionizante. Contudo, nos últimos tempos, foi adicionado ao conceito de segurança dos produtos a dimensão da segurança cibernética.

Programa de Supervisão de Mercado

A Agência optou por acompanhar a segurança dos equipamentos de telecomunicações por meio de um Programa de Supervisão de Mercado no qual os produtos disponibilizados ao consumidor são constantemente monitorados pela Agência. Isso se deve ao conjunto de recomendações baseadas em boas práticas, considerando o contexto de novas ameaças cibernéticas, no qual novas vulnerabilidades em produtos são descobertas a cada dia.

Neste modelo de atuação, os requisitos não serão avaliados no ato de certificação e homologação dos equipamentos mas sim durante o período que estão disponíveis ao mercado consumidor.

Nesta supervisão do mercado, a Anatel pretende atuar de duas formas:

• contínua, na qual produtos homologados serão coletados no mercado e avaliados quanto a sua segurança; e
• respondendo aos casos em que chegue ao conhecimento da Agência que determinado produto possui falhas de segurança cibernética.

Caso identificada qualquer falha ou vulnerabilidade que coloque em risco a segurança dos usuários ou que ameacem a integridade das redes de telecomunicações, o produto terá sua homologação suspensa até que o problema seja sanado. É importante lembrar que a suspensão da homologação impede que o produto seja distribuído no mercado nacional.

O Ato da Agência contempla, também, recomendações aos fabricantes/fornecedores de produtos para telecomunicações, tais como:

• possuir uma política clara de suporte/atualização do produto;
• disponibilizar canal de para reportar vulnerabilidades de segurança identificadas; e
• possuir implementados processos de Divulgação Coordenada de Vulnerabilidades.

Por fim, o objetivo do estabelecimento dos requisitos em conjunto com a criação de um Programa de Supervisão de Mercado visa:

• estimular que fabricantes desenvolvam seus produtos pensando na segurança desde sua concepção (security by design);
• monitorar o mercado em busca de produtos inseguros;
• garantir que fabricantes implementem correções de falhas/vulnerabilidades identificadas; e
• impedir que equipamentos inseguros sejam comercializados.

Dessa forma, os requisitos e o Programa de Supervisão de Mercado contribuem para aumentar a segurança para os consumidores e as redes de telecomunicações.

O amadurecimento das discussões relacionadas à certificação de produtos no âmbito do Subgrupo Técnico de Equipamentos, Fornecedores e Requisitos do GT-Ciber resultou na aprovação do Ato nº 2.436, de 7 de março de 2023, da Superintendência de Outorga e Recursos à Prestação da Agência.

O Ato aprova os requisitos mínimos mandatórios de segurança cibernética para avaliação da conformidade de equipamentos CPE (Customer Premises Equipment), abrangendo os seguintes equipamentos CPE de uso do público em geral empregados para conectar assinantes à rede do provedor de serviços de Internet:

• Cable modem;
• Modem xDSL;
• ONU, ONT;
• Roteador ou modem destinados ao acesso fixo sem fio (FWA - Fixed Wireless Acess);
• Roteador ou modem destinados ao acesso fixo à banda larga via satélite; e
• Roteador ou ponto de acesso sem fio.

O Ato contempla requisitos para senhas providas de fábrica e senhas definidas pelo usuário; bem como outros requisitos de segurança cibernética do equipamento e requisitos que devem ser atendidos pelos fornecedores dos equipamentos.

O principal objetivo do Ato nº 2.436, de 7 de março de 2023, é endereçar vulnerabilidades já conhecidas em equipamentos CPEs, como o uso de senhas padrão (senhas de fábrica iguais entre todos os dispositivos fabricados) e a existência de portas e protocolos de comunicação ativados desnecessariamente, o que aumenta a superfície de ataque nesses equipamentos.

Auditoria da Política de Segurança Cibernética

O Ato nº 16417, de 22 de novembro de 2024, da SOR aprovou o Procedimento Operacional com diretrizes para auditoria da política de segurança cibernética de fornecedores de produtos e equipamentos de telecomunicações para prestadoras, após discussões realizadas no Subgrupo Técnico de Equipamentos, Fornecedores e Requisitos do GT-Ciber e a realização de Consulta Pública.O Procedimento viabiliza o cumprimento do art. 7º do R-Ciber, o qual exige que fornecedores de equipamentos das prestadoras de serviços de telecomunicações possuam uma política de segurança cibernética robusta, que deve ser objeto de auditorias periódicas. Para tanto, o procedimento traz orientações gerais da comprovação do atendimento pelo fornecedor, também abordando as evidências que devem ser apresentadas no procedimento de auditoria e que demonstrarão a observância dos princípios de security by default e by design; e privacy by design, bem como atendimento de política clara de suporte, de atualizações de segurança, de canal para notificações de vulnerabilidades; de processo de divulgação coordenada de vulnerabilidades (CVD); e de canal de suporte para informar vulnerabilidades identificadas e medidas de mitigação.