Diagnóstico público de cibersegurança apresentado no sábado
Portugal enfrenta dificuldades relevantes na disponibilidade de competências especializadas para responder a incidentes de cibersegurança, segundo avaliações apresentadas neste sábado, 7 de novembro de 2026, por Nelson Escravana, responsável da área de cibersegurança da INOV, e Pedro Veiga, antigo coordenador do Centro Nacional de Cibersegurança. Os especialistas participaram numa conversa radiofónica sobre riscos digitais e sobre uma sequência recente de ameaças recebidas em transportes e de perturbações em sistemas informáticos na Europa. A avaliação de que Portugal está mal preparado é uma opinião técnica atribuída a esses intervenientes; não constitui anúncio oficial de falha generalizada, nem demonstra que um ataque específico contra Portugal esteja em curso. O interesse público está na capacidade preventiva de instituições e empresas.
Não confundir ameaças de bomba com intrusões informáticas
Os comentadores distinguiram duas categorias que tendem a surgir associadas nos títulos da atualidade. Uma mensagem eletrónica contendo uma ameaça de bomba contra um avião não demonstra que o sistema de navegação, a infraestrutura aeroportuária ou a companhia aérea tenham sido tecnicamente comprometidos. Já uma intrusão informática envolve acesso indevido, manipulação de sistemas ou outros comportamentos dirigidos a recursos tecnológicos. Ambos os cenários podem causar perturbação e exigir resposta institucional, mas os mecanismos e as provas são diferentes. A aproximação genérica ao conceito de guerra híbrida é útil para enquadrar ameaças múltiplas, desde que não seja usada para atribuir uma autoria estatal sem investigação concluída.
A preocupação central com recursos humanos
Nelson Escravana sublinhou a falta de competências, sobretudo em pequenas e médias empresas e em parte da administração pública. O argumento do especialista é que a proteção dos sistemas exige pessoal habilitado, formação contínua e capacidade de decisão, recursos difíceis de assegurar em organismos sujeitos a limitações de contratação ou a restrições orçamentais. A declaração não fornece uma contagem certificada de técnicos em falta por município ou ministério. Para transformar esse diagnóstico em indicador nacional seria necessário conhecer mapas de pessoal, contratos, qualificações e funções de risco. Ainda assim, a questão é substantiva: dependências digitais exigem competências que não se obtêm apenas pela compra de ferramentas.
Administração local e serviços essenciais
Na conversa, foi defendido que diversos municípios enfrentam dificuldades em recrutar especialistas com formação atualizada. As autarquias administram serviços e informação relevantes para populações, razão pela qual a sua capacidade de gerir riscos digitais interessa à segurança pública. Mas não é correto extrapolar de observações gerais para anunciar que determinado município concreto está vulnerável ou desprotegido. A disponibilidade de competências depende de equipas, cooperação, fornecedores, procedimentos e investimento. Sem uma auditoria individual não há base para divulgar classificações de insegurança por concelho. A abordagem jornalística responsável é identificar o problema estrutural e solicitar dados institucionais que permitam avaliar a dimensão e a resposta.
O testemunho de um antigo coordenador nacional
Pedro Veiga afirmou considerar preocupante o nível de preparação português e relacionou o tema com a insuficiência de investimento e de cultura de segurança. O antigo responsável salientou que deixou de acompanhar tão de perto a atividade atual do Centro Nacional de Cibersegurança, circunstância que limita o alcance das conclusões sobre o seu funcionamento presente. Uma avaliação baseada em experiência profissional e conhecimento do setor merece atenção, mas não equivale a uma inspeção atual às infraestruturas do Estado. A comparação com a média europeia exigiria indicadores comparáveis e datas explícitas. O mais relevante é a convergência dos dois especialistas quanto à necessidade de formação e prevenção.
Engenharia social e manipulação de pessoas
Um dos pontos discutidos foi a utilização de mensagens e identidades aparentemente credíveis para induzir organizações ou cidadãos em erro. A engenharia social não depende necessariamente de falhas de programação: pode explorar confiança, urgência ou dificuldade em verificar a origem de uma comunicação. No contexto recente das ameaças enviadas à aviação, essa distinção evita a conclusão precipitada de que cada alerta prova um ataque a sistemas críticos. A proteção exige mecanismos de validação institucional e treino profissional, mas não há necessidade de divulgar técnicas de intrusão ou passos de exploração de vulnerabilidades. O objetivo é compreender o risco e a forma como ele se diferencia de um incidente técnico comprovado.
O que a inteligência artificial altera neste cenário
Os especialistas referiram a evolução das ferramentas de inteligência artificial e a sua capacidade de acelerar tarefas relacionadas com software, análise e exploração de fragilidades. A tecnologia pode apoiar também a identificação e correção de problemas de segurança, pelo que os efeitos não são unidirecionais. Um comentário radiofónico não permite quantificar o número de ataques efetivamente realizados com assistência de modelos de linguagem nem atribuir um incidente concreto a essa tecnologia. A questão para empresas e entidades públicas é adaptar procedimentos de proteção, formação e avaliação de riscos a uma evolução tecnológica rápida. A publicação de métodos operacionais de ataque não seria necessária para esse debate.
Criminalidade financeira e ação de natureza política
Foi destacada a diferença entre atividades maliciosas movidas por vantagens financeiras e operações orientadas para perturbar instituições ou influenciar perceções públicas. Ambas podem coexistir, mas a intenção de um autor não pode ser estabelecida apenas pelo impacto causado. A divulgação de rumores de autoria russa, iraniana ou de qualquer outro Estado exige evidência atribuída a uma autoridade competente. Na informação consultada não existe prova pública que ligue todos os incidentes europeus recentes a um mesmo ator ou comando. Uma leitura de contrainteligência séria exige explicitar as hipóteses, as fontes e o grau de confiança, em vez de converter suspeitas em factos.
Diferenças entre resiliência e ausência de incidentes
Uma instituição resiliente não é necessariamente aquela que nunca sofre incidentes, mas a que consegue detetar problemas, limitar consequências, preservar serviços e recuperar de forma adequada. Para avaliar essa capacidade devem ser considerados planos de continuidade, testes, qualificações, responsabilidades e comunicação. Não foram apresentados nesta conversa dados para classificar nominalmente hospitais, aeroportos, autarquias ou bancos portugueses. Um quadro nacional de resiliência precisa de informação oficial e de metodologias transparentes, bem como de respeito pela segurança e confidencialidade de informações sensíveis. O papel do jornal não é publicar fragilidades técnicas exploráveis, mas exigir compromissos de preparação e prestação de contas.
O enquadramento europeu e as obrigações setoriais
A diretiva europeia NIS2 e a sua implementação nacional integram uma evolução de exigências de gestão de riscos e de responsabilidade para entidades abrangidas. O universo concreto, os prazos e os mecanismos de fiscalização devem ser confirmados nos instrumentos legais aplicáveis, não presumidos a partir de uma entrevista. A existência de obrigações regulatórias não significa que cada entidade cumpra integralmente o quadro ou que o seu incumprimento esteja comprovado. O debate em Portugal deve olhar para os recursos disponíveis para execução, especialmente onde os serviços digitais são essenciais à população. As organizações necessitam de responsabilidades claras e apoio técnico proporcional ao nível de risco que enfrentam.
Quem responde a um incidente
A gestão de uma ocorrência pode exigir colaboração entre equipas internas, prestadores de serviços, entidades setoriais e autoridades públicas competentes. A divisão de funções depende da natureza do sistema e do tipo de incidente. Um alerta de bomba, uma tentativa de fraude e um acesso indevido a bases de dados não têm necessariamente o mesmo circuito operacional. A comunicação pública deve ser prudente ao indicar ameaças sem confirmação e, simultaneamente, transparente quanto aos efeitos concretos de interrupções de serviços. Não existe neste momento base para afirmar que Portugal adotou medidas extraordinárias generalizadas de emergência digital em resposta à conversa dos especialistas. O que foi divulgado é um diagnóstico e um apelo ao reforço de capacidades.
A responsabilidade de gestão nas empresas
A cibersegurança é também uma questão de governação. Decisões sobre orçamento, pessoal, manutenção e dependência de fornecedores podem influenciar a exposição de uma organização. O antigo coordenador do CNCS chamou atenção para a falta de representação especializada em alguns níveis de decisão empresarial. O comentário deve ser lido como avaliação de experiência profissional e não como prova contra uma empresa identificada. Uma resposta eficaz exige que administradores compreendam riscos, mantenham políticas claras e verifiquem resultados, em vez de atribuírem toda a responsabilidade a uma única equipa técnica. A transparência sobre investimentos e governação pode melhorar a compreensão pública sem revelar segredos de segurança.
O que Portugal pode medir objetivamente
Uma avaliação nacional útil poderia acompanhar formação de profissionais, capacidade de resposta a incidentes, continuidade de serviços, tempo de recuperação e adesão a normas aplicáveis. Esses indicadores teriam de distinguir entidades públicas de empresas privadas e considerar dimensões e funções diferentes. Também seria necessário verificar a evolução ao longo do tempo para saber se políticas estão a produzir melhorias. Não seria rigoroso usar declarações radiofónicas para determinar uma percentagem nacional de sistemas inseguros ou custos de cibercrime. O ponto de partida é a pergunta sobre que dados existem e como serão comunicados de forma agregada, preservando informação que poderia prejudicar a proteção efetiva.
O lugar da segurança informativa
A exposição pública de incidentes pode gerar medo e difusão de rumores, sobretudo quando mensagens falsas circulam ao mesmo tempo que notícias de ciberataques reais. Uma redação responsável deve distinguir alertas recebidos, verificações em curso, incidentes confirmados, impactos e atribuição de autoria. Não se deve anunciar que sistemas foram sabotados apenas porque a operação de um serviço foi interrompida, nem associar uma ameaça por email a intrusão digital sem provas. A abordagem de segurança que interessa à sociedade é precisamente aquela que resiste à manipulação de perceções. Isso inclui corrigir informação errada e manter visível o nível de confiança de cada afirmação.
Conclusão e perguntas em aberto
O desenvolvimento confirmado neste sábado é a avaliação pública de dois especialistas sobre as carências portuguesas de recursos humanos e cultura de cibersegurança. A conversa contextualizou ameaças recentes contra serviços europeus, mas não identificou provas de uma campanha única nem apresentou auditoria técnica ao Estado português. Faltam indicadores nacionais atualizados de pessoal, investimento e resiliência, bem como respostas institucionais específicas às questões colocadas. A relevância para Portugal reside na necessidade de proteger serviços essenciais num ambiente de crescente dependência digital. O escrutínio futuro deverá basear-se em dados oficiais, decisões orçamentais e avaliação concreta das medidas, sem cenários alarmistas ou instruções que possam facilitar ataques.
