Fabio Maia: Soberania digital não significa produzir tudo

Brasil tem o desafio de garantir segurança e continuidade nas camadas estratégicas da infraestrutura digital sem abrir mão das vantagens do mercado global

Comprar de terceiros aquilo que eles produzem melhor e mais barato é, pode-se argumentar, boa teoria econômica e prática de negócios. Aplicada à tecnologia da informação, a recomendação para uma potência média como o Brasil parece simples — e reúne quase unanimidade entre os economistas: semicondutores, infraestrutura de nuvem, software de sistema, equipamentos de computação e telecomunicações são hoje bens industriais produzidos em escala continental, com enorme intensidade de capital, por um pequeno número de empresas que operam com margens estreitas de diferenciação e curvas de aprendizado gigantescas.

Tentar reproduzi-los internamente seria a velha substituição de importações com etapas adicionais. A escolha racional seria adquirir esses componentes pelo menor preço que o mercado mundial permitir e competir onde a indústria ainda não se industrializou: nas camadas superiores, ainda feitas sob medida, ainda pouco compreendidas, nas quais o conhecimento de domínio e a proximidade com o cliente valem mais do que capacidade fabril.

Essa é a lógica econômica e, dentro de seus limites, ela está correta. O problema é que seus limites são estreitos demais, porque economia é apenas uma das lentes necessárias para navegar um mundo cada vez mais complexo. Isso se revela de forma flagrante quando consideramos aspectos de segurança nacional e soberania e suas repercussões no domínio cibernético. Se limitar à economia nesse caso é tratar a segurança como uma propriedade dos bens adquiridos, e não como uma propriedade do arranjo institucional e produtivo que os torna possíveis.

Confiança não é uma camada

Segurança digital não é uma funcionalidade que se possa simplesmente contratar. Ela é uma cadeia de confiança que atravessa toda a pilha tecnológica — e uma cadeia, por definição, é tão resistente quanto seu elo mais fraco. As garantias oferecidas por uma aplicação dependem da correção do ambiente de execução que a sustenta; as garantias desse ambiente dependem do sistema operacional; as do sistema operacional, do firmware; as do firmware, do silício; e as do silício, das ferramentas, das pessoas e dos processos usados para projetá-lo, fabricá-lo, encapsulá-lo e entregá-lo. Thompson (1984) formulou esse problema de maneira definitiva há quarenta anos, e desde então ele apenas se tornou mais incômodo: em algum ponto, deixamos de verificar e passamos a confiar. E a posição exata desse ponto é uma decisão política disfarçada de decisão técnica.

A cadeia termina no hardware, e o hardware termina nas instituições. É isso que torna a confiança categoricamente diferente das demais coisas que compramos. Ao comprar um servidor, recebemos o artefato propriamente dito e podemos inspecioná-lo. Ao comprar confiança, recebemos uma alegação sobre a disciplina de engenharia do fornecedor, seus critérios de seleção de pessoal, a integridade de sua cadeia de suprimentos e sua exposição jurídica. Como auditar uma alegação sobre a fábrica de outra empresa, operada por funcionários que não são os nossos, submetida a uma jurisdição que não controlamos, durante uma crise que não escolhemos?

O problema dos pontos de estrangulamento

A consequência dessa estrutura é assimétrica de uma forma muito específica e perigosa. Quem controla uma camada de base possui, na prática, o poder de neutralizar quase todos os controles de segurança implementados acima dela. Uma atualização de firmware devidamente assinada pode contornar silenciosamente um controle no nível da aplicação — e fazê-lo exatamente como previsto pelo projeto. O acesso administrativo ao plano de controle de uma nuvem pode superar todas as proteções que um cliente acredita ter configurado. Isso não é uma vulnerabilidade que possa ser corrigida por uma atualização. É a própria semântica da arquitetura em camadas.

E as mesmas posições que permitem sobrepor controles também permitem negar acesso. Revogação de licenças, suspensão de atualizações, desligamentos regionais, restrições de exportação e aplicação de sanções ocorrem precisamente nos pontos em que a pilha tecnológica se estreita e passa a depender de poucos fornecedores. Farrell e Newman (2019) deram a esse fenômeno o nome de weaponized interdependence (interdependência “armada”): redes construídas em nome da eficiência revelam possuir pontos de estrangulamento, e os Estados que ocupam esses pontos podem convertê-los em instrumentos de coerção.

Portanto, um país que importa integralmente suas camadas de base não está apenas adquirindo componentes pelo melhor preço disponível. Está concedendo a Estados e empresas estrangeiras uma opção permanente sobre a continuidade e a segurança de seus próprios serviços essenciais.

O dilema

Ficamos, assim, com duas proposições, ambas verdadeiras e aparentemente contraditórias. Depender integralmente de camadas de base estrangeiras é uma postura de segurança que nenhum Estado sério deveria aceitar. Reconstruir essas camadas internamente está fora do alcance de uma potência média — e, na medida em que alguma reconstrução seja possível, será em grande parte um desperdício, pois cada recurso empregado na duplicação de capacidades comoditizadas deixa de ser aplicado em capacidades realmente escassas.

A saída está em perceber que a questão nunca foi se devemos depender. A questão é: de quem, em quais condições e com qual possibilidade de saída.

Soberania Mínima Viável

Eu uso o termo soberania mínima viável para designar o menor conjunto de capacidades que uma potência média precisa possuir, controlar ou ser capaz de substituir de forma crível para preservar sua cadeia de confiança e manter seus serviços essenciais em funcionamento e seguros, adquirindo todo o restante no mercado mundial. Em uma frase: competir nas camadas superiores, assegurando o acesso às inferiores.

Assegurar o acesso não significa necessariamente produzir. Significa projetar deliberadamente cada dependência das camadas inferiores de modo que ela apresente pelo menos uma das propriedades a seguir, listadas aproximadamente em ordem crescente de custo:

• Aberta — seu funcionamento interno pode ser inspecionado, e sua evolução não depende do roteiro tecnológico de um único fornecedor
• Diversificada — nenhum fornecedor isolado, nem uma única jurisdição, pode interrompê-la unilateralmente
• Aliada — sua jurisdição de controle pertence a um país cujos interesses dificilmente se afastariam dos nossos em situações de crise
• Auditável — seu comportamento pode ser verificado de forma independente, em vez de aceito apenas com base em um certificado
• Substituível — existe uma alternativa testada, com custo e tempo de migração conhecidos
• Soberana — é projetada, construída e/ou administrada no país, porque nenhuma proteção mais fraca seria suficiente

A disciplina de engenharia consiste em aplicar, a cada dependência, a propriedade menos onerosa que seja suficiente — reservando a última para os poucos casos em que ela seja genuinamente irredutível.

Em síntese, o Brasil não deve tentar dominar toda a pilha de tecnologias da informação e comunicação. Mas deve buscar possuir ou controlar as âncoras de confiança e os planos de controle — a infraestrutura de chaves públicas do governo, os módulos criptográficos de hardware e os planos administrativos das infraestruturas críticas de nuvem e telecomunicações. Deve preservar competência em fundamentos estrategicamente sensíveis — o projeto de hardware seguro e a manutenção de software livre de base. Deve diversificar, geopoliticamente, os insumos industriais comuns — servidores, equipamentos de rede, provedores de nuvem e conectividade internacional. E deve competir de forma agressiva em capacidades superiores selecionadas — segurança cibernética de infraestruturas críticas, identidade digital, prevenção a fraudes e inteligência de ameaças para o Brasil e a América Latina.

Soberania Mínima Viável. Mínima, porque tudo o que estiver abaixo dessa linha será mero “teatro de soberania”. Viável porque exequível para uma economia do nosso porte. Voltaremos a abordar essa estratégia e seus desdobramentos, em maiores detalhes, em textos futuros.