UNIVERSIDADE FEDERAL DO RIO GRANDE DO SUL

FACULDADE DE CIÊNCIAS ECONÔMICAS

PROGRAMA DE PÓS-GRADUAÇÃO EM ESTUDOS ESTRATÉGICOS
INTERNACIONAIS

HENRIQUES MANUEL MARCELINO

SEGURANÇA CIBERNÉTICA E CIBERDEFESA EM MOÇAMBIQUE:

FUNDAMENTOS, CARACTERÍSTICAS E DESAFIOS

MAPUTO
2021
 HENRIQUES MANUEL MARCELINO

SEGURANÇA CIBERNÉTICA E CIBERDEFESA EM MOÇAMBIQUE:

FUNDAMENTOS, CARACTERÍSTICAS E DESAFIOS

Tese submetida ao Programa de Pós-Graduação

em Estudos Estratégicos Internacionais, da
Faculdade de Ciências Económicas da UFRGS,
como requisito parcial para obtenção do título de
Doutor em Estudos Estratégicos Internacionais.
Curso realizado em Maputo, Moçambique.

Orientador: Prof. Dr. Marco Aurélio Chaves

Cepik.

MAPUTO
2021
 HENRIQUES MANUEL MARCELINO

SEGURANÇA CIBERNÉTICA E CIBERDEFESA EM MOÇAMBIQUE:

FUNDAMENTOS, CARACTERÍSTICAS E DESAFIOS

Tese submetida ao Programa de Pós-

graduação em Estudos Estratégicos
Internacionais da Faculdade de Ciências
Económicas da UFRGS, como requisito
parcial para obtenção do título de Doutor
em Estudos Estratégicos Internacionais.
Curso realizado em Maputo, Moçambique.

Aprovada em: Porto Alegre, 25 de fevereiro de 2021.

BANCA EXAMINADORA:

Prof. Dr. Marco Aurélio Chaves Cepik – Orientador

UFRGS

Prof. Dr. Érico Esteves Duarte

UFRGS

Prof. Dr. Júlio César Cossio Rodriguez

UFSM

Prof. Emílio Jovando Zeca

ISRI
Dedico a minha esposa, aos meus filhos e aos meus netinhos por sempre acompanharem os
desafios do “velhote” que sempre abraçou os livros e interessou-se pela pesquisa.
 AGRADECIMENTOS

Esta tese é o resultado da pesquisa sobre “Segurança Cibernética e Ciberdefesa em

Moçambique: Fundamentos, Características e Desafios”, no âmbito do Programa de Pós-
graduação de Estudos Estratégicos Internacionais da Universidade Federal do Rio Grande do Sul
(UFRGS) em parceria com a Universidade Joaquim Chissano (UJC). A conclusão deste trabalho,
em tempo recorde, seria difícil sem apoio da Reitoria da UJC, que apadrinhou o financiamento
conseguido através do concurso de apoio a pesquisa promovido pelo Fundo Nacional de
Investigação (FNI) de Moçambique. Gostaria de tecer elogio também à parceria inteligente entre
a UFRGS e UJC e agradecer à Reitoria da UJC pelo apadrinhamento do Projeto de Pesquisa e ao
FNI pelo suporte financeiro de pesquisa para esta tese.
O agradecimento especial vai para o meu orientador Prof. Doutor Marcos Cepik pela sua
paciência e rigor intelectual e por suas linhas orientadoras. Sem deixar de lado, agradeço todos os
professores do programa pelos seus ensinamentos. Também agradeço ao Prof. Doutor Carlos
Sotomane, da Universidade Politécnica de Moçambique, pelos seus comentários para a realização
deste trabalho. Os meus apreços vão para todos aqueles que grandemente contribuíram com
comentários e sugestões que enriqueceram, de certa maneira, esta tese doutoral. Agradeço
imensuravelmente aos colegas do Instituto Superior de Estudos da Defesa (ISEDEF),
particularmente os do Centro de Investigação e os colegas do Centro de Estudos Estratégicos
Internacionais (CEEI) da UJC pelos comentários e debates que tivemos sobre a matéria de
segurança e defesa no ciberespaço.
Os meus apreços aos colegas da turma especial que criaram o ambiente de amizade
inesquecível. Com toda humildade, digo muito obrigado a todas as instituições que forneceram a
documentação e aos funcionários que cederam o seu tempo para responder ao questionário de
pesquisa para elaboração desta tese. Direciono meus agradecimentos especiais a revisora do texto
da tese, senhorita Manuella da Costa Gadegast.
 RESUMO
O estudo procura apresentar os fundamentos, as características e os desafios na elaboração da
Estratégia de Segurança Cibernética e de Ciberdefesa de Moçambique. Os objetivos desta
investigação são de contribuir na identificação de parâmetros para a eficácia na formulação da
Estratégia de Moçambique sobre a Segurança do Espaço Cibernético, desenvolver perspetivas
sobre os desafios da Estratégia de Segurança Cibernética e Ciberdefesa de Moçambique, criando
Centros Cibernéticos de excelências na Defesa e Segurança do Estado para responder a ataques
cibernéticos externos e internos que podem fragilizar as Infraestruturas Criticas, a soberania e o
bem-estar dos cidadãos. O estudo baseia-se na fundamentação das boas práticas, da experiência
internacional de cibersegurança e da caracterização do ciberespaço moçambicano. Nesta tese se
utiliza a combinação de método quantitativo e qualitativo, largamente designado por mixed
methods research. Na abordagem de métodos mistos, o pesquisador tem como base o inquérito
sobre suposição de que a coleção de diversos tipos de informação providencia uma melhor e
maior compreensão do problema de pesquisa do que dados quantitativos e qualitativos isolados.
A triangulação concomitante de variáveis pode esclarecer o processo de criação da Estratégia de
Segurança Cibernética de Moçambique. A pesquisa é de carácter exploratório, ao averiguar o
contexto dos parâmetros para a formulação da Estratégia de Segurança e Defesa do Espaço
Cibernético Moçambicano e é descritiva, ao apresentar as características dos parâmetros. O
estudo utiliza espólio teórico de securitização do ciberespaço de Hansen e Nissenbaum com base
na Escola de Copenhague. Os dados são coletados concomitantemente, usando técnicas de
questionários. Para análise e validação dos resultados esperados, utilizam-se modelos de
maturidade de segurança e defesa cibernética e metodologia GUT. Quanto a técnica de
amostragem, usa-se a amostragem aleatória estratificada. A investigação tem como horizonte
temporal entre 2010 e 2020; em 2010, Moçambique começou a sofrer incidentes cibernéticos
com maior veemência; em 2020, tem-se o marco temporal de projeção para a submissão para
aprovação da estratégia de segurança cibernética na plenária da Assembleia da República.
Concluiu-se que as boas práticas e experiências internacionais e os processos de maturidade dos
desafios políticos, legais, tecnológicos e orçamentários podem aprimorar a formulação da
estratégia de cibersegurança.

Palavras-chave: Estratégia. Segurança cibernética. Ciberdefesa. Espaço cibernético.

 ABSTRACT
The study seeks to present the fundamentals, characteristics and challenges in the elaboration of
the Cybersecurity and Cyber Defense Strategy of Mozambique. The objectives of this
investigation are to contribute to the identification of parameters for effectiveness in formulating
the Mozambique Strategy on Cyber Space Security, to develop perspectives on the challenges of
the Mozambique Cyber Security and Cyber Defense Strategy, creating Cyber Centers of
excellence in Defense and State security to respond to external and internal cyber-attacks that can
weaken Critical Infrastructures, sovereignty and the well-being of citizens. The study is based on
the foundation of good practices, the international experience of cybersecurity and the
characterization of Mozambican cyberspace. In this thesis, the combination of quantitative and
qualitative methods is used, widely known as mixed methods research. In the mixed methods
approach, the researcher is based on the inquiry about the assumption that the collection of
different types of information provides a better and greater understanding of the research problem
than isolated quantitative and qualitative data. The concomitant triangulation of variables can
clarify the process of creating the Cybersecurity Strategy of Mozambique. The research is of an
exploratory nature, in ascertaining the context of the parameters for the formulation of the
Mozambican Cyber Space Security and Defense Strategy and is descriptive, in presenting the
characteristics of the parameters. The study uses a theoretical collection of cyberspace
securitization from Hansen and Nissenbaum based on the Copenhagen School. Data are collected
concurrently, using questionnaire techniques. For analysis and validation of expected results,
cybersecurity and security maturity models and GUT methodology are used. As for the sampling
technique, stratified random sampling is used. The research has a time horizon between 2010 and
2020; in 2010, Mozambique began to experience more intense cyber incidents; in 2020, there is
the projection timeframe for submission for approval of the cybersecurity strategy in the plenary
of the Assembly of the Republic. It was concluded that good international practices and
experiences and the maturity processes of political, legal, technological and budgetary challenges
could improve the formulation of the cybersecurity strategy.

Keywords: Strategy. Cyber security. Cyber defense. Cyber space.

 LISTA DE FIGURAS

Figura 1 - Diagrama de Vê de Gowin, projeção de pesquisa ..................................................... 21

Figura 2 - Ciber Armas e Ciber Ataques .................................................................................... 54
Figura 3 - Espaço Cibernético ................................................................................................... 64
Figura 4 - Níveis de tomada de decisões – Estratégico, Operacional e Tático ............................ 68
Figura 5 - Evolução do computador e da Internet em Moçambique ........................................... 92
Figura 6 - Evolução das Mídias Eletrônicas em Moçambique .................................................... 95
Figura 7 - Rede Nacional de Comunicação ................................................................................ 98
Figura 8 - Cabos Internacionais de Fibra Ótica .......................................................................... 99
Figura 9 - Rede Nacional de Energia ........................................................................................100
Figura 10 - Infraestruturas das Operadoras ...............................................................................101
Figura 11 - Zonas Estratégicas e Objetos Estratégicos ..............................................................107
Figura 12 - Sistema Nacional de Infraestrutura Cibernética ......................................................108
Figura 13 - Infraestruturas (sistemas) de redes de controle e monitoria de grande Maputo ........109
Figura 14 - Rede Eletrônica do Governo ..................................................................................111
Figura 15 - Arquitetura e Indicadores da MoRENet ..................................................................112
Figura 16 - Exemplo de hierarquização de CERTs ...................................................................124
Figura 17 - Grupo Inter - Institucional de Segurança Cibernética..............................................125
Figura 18 - Processo de Securitização do Ciberespaço Moçambicano.......................................128
Figura 19 - Níveis Doutrinários da Defesa e Segurança Cibernética .........................................129
Figura 20 - Modelo Estratégico da Cibernética nas FDS ...........................................................130
 LISTA DE GRÁFICOS

Gráfico 1 - Evolução das Comunicações ................................................................................... 94

Gráfico 2 - Subscritores de Telefonia Móvel e Fixa ..................................................................102
Gráfico 3 - Penetração da Internet em Moçambique .................................................................103
Gráfico 4 - Evolução da Banda Larga em Moçambique ............................................................104
Gráfico 5 - Itens de Criticidade de Energia ...............................................................................118
Gráfico 6 - Itens de Criticidade de Água ..................................................................................119
Gráfico 7 - Criticidade nas Unidades Militares .........................................................................120
Gráfico 8 - Indicadores de Incidentes/Ameaças Cibernéticos ....................................................123
 LISTAS DE QUADROS

Quadro 1 - Estratégias Globais e de Blocos ............................................................................... 36

Quadro 2 - Fases do Poder Relacional ....................................................................................... 52
Quadro 3 - Análise Comparativa das Doutrinas da Guerra Cibernética ...................................... 87
Quadro 4 - Mercado Digital Moçambicano ..............................................................................101
Quadro 5 - Capacidades das Ligações da Rede MoRENet ........................................................113
Quadro 6 - Serviços da MoRENet ............................................................................................114
Quadro 7 - CSIRT da MoRENet ..............................................................................................116
Quadro 8 - Ataques Cibernéticos em Moçambique ...................................................................121
Quadro 9 - Avaliação da Cibersegurança em Moçambique ................................................... 12152
 LISTAS DE ABREVIATURAS E SIGLAS

ANSSI Agência Nacional de Segurança de Sistemas de Informação

BAU Balcão de Atendimento Único
BRICS Brazil, Russia, India, China and South Africa
C2 Comando e Controle
C3I Comando, Controle, Comunicação e Informação
C4I Command, Control, Communications, Computers and
Intelligence
C4ISR Command, Control, Communications, Computers, Intelligence,
Surveillance and Reconnaissance
CEMGFA Chefe do Estado Maior General das Forças Armadas
CERT Computer Emergency Response Team
CERT - MU CERT Maurícias
CM Conselho de Ministros
CIS Controls Critical Security Controls
CNSC Conselho Nacional de Segurança Cibernética
CPD Centro de Processamento de Dados
CPLP Comunidade dos Países da Língua Portuguesa
CPLP Comunidade dos Países da Língua Portuguesa
CSIRT Council for Scientific and Industrial Research Team
CTT Correios, Telégrafos e Telefones
CTO Commonwealth Telecommunication Organization
DETECON GmbH Deutsche Telepost Consulting GmbH
DNS Domain Name System
EASSY Eastern Africa Submarine Cable System
e- Banking Banco eletrônico
e-Commerce Comércio eletrônico
ECTIM Estratégia de Ciência Tecnologia e Inovação de Moçambique
e-SISTAFE Sistema Eletrônico de Administração Financeira do Estado
EDM Eletricidade de Moçambique
e-Mola Dinheiro eletrônico
EMGFA Estado Maior General das Forças Armadas
SEM Energy Management System
ENSC Estratégia Nacional de Segurança Cibernética

ENISA European Network Information Security Agency

EP Empresa Pública
EUA Estados Unidos da América
EU European Union

FCCN Fundação para computação Cientifica Nacional

FDS Forças de Defesa e Segurança

GC Guerra Cibernética

GEANT Rede Pan Europeia de Ensino Superior e de Pesquisa

GOVNet Rede do Governo

GTT Gestores, Técnicos e Trabalhadores

GUT Grave, Urgência, Tendência

HIPSSA Harmonization of the ICT Policies in Sub-Saharan Africa
ICs Infraestruturas Críticas
ICI Infraestruturas Críticas de Informação
ICN Infraestrutura Crítica Nacional
INAGE Instituto Nacional do Governo Eletrônico
INCM Instituto Nacional de Comunicações de Moçambique
INTIC Instituto Nacional de Tecnologia de Informação e Comunicação
IP Internet Protocol
ISPs Internet Service Providers
ITU International Telecommunications Union
KdoCIR Kommando Cyber und Informationsraum
Mcel Moçambique Celular
MCT Ministério de Ciência e Tecnologia
MCTESTP Ministério de Ciência, Tecnologia, Ensino Superior e Técnico-
Profissional
MDN Ministério da Defesa Nacional
M-Kesh Dinheiro Móvel
MoRENet Missouri Research and Education Network
MOZCYBER Mozambique Cyber
Movitel Mozambique Viettel
M-Pesa Dinheiro Móvel
MZ Mozambique
NATO North Atlantic Traded Organization
NCPF National Ciber Police Framework
NSFnet National Science Foundation Network

NRENs National Research and Education Network

RM Rádio Moçambique
RNP Rede Nacional de Pesquisa

RTK Rádio Televisão Klint

SADC Southern African Develop Countries

SCADA Supervisory Control and Data Acquisition

SCNs Sistemas Críticos Nacionais
SEACOM Sea Communication
SSF Strategic Support Force
SILG State Information Leading Group
SIM Subscriber Identity Module Subscriber
SIP Sistema de Informação do Pessoal
SOICO Sociedade de Informação e Comunicação
STV Soico Televisão
TDM Telecomunicações de Moçambique
TICs Tecnologias de Informação e Comunicação

TIM Televisão Independente de Moçambique

Tmcel Telecomunicações de Moçambique Celular
TVE Televisão Experimental
TVM Televisão de Moçambique
UbuntuNet Alliance Rede Regional Africana e Ensino Superior e de Pesquisa
UEM Universidade Eduardo Mondlane
UA União Africana
VODACOM Velocidade, Originalidade, Das Ações, Com Modernidade
WEB World Wide Web
WEP Wired Equivalent Privacy
 SUMÁRIO

1 INTRODUÇÃO ........................................................................................................... 17
1.1 PROBLEMAS E HIPÓTESES DE PESQUISA ............................................................. 19
1.2 METODOLOGIA DE PESQUISA ................................................................................ 20
1.3 ORGANIZAÇÃO DA TESE ......................................................................................... 24
2 FUNDAMENTOS DE SEGURANÇA E DEFESA DO ESPAÇO CIBERNÉTICO .. 26
2.1 SEGURANÇA INTERNACIONAL DO CIBERESPAÇO............................................. 26
2.1.1 Epistemologia de cibersegurança e ciberdefesa .......................................................... 27
2.1.2 Ciberespaço: definição, ameaças e vulnerabilidades .................................................. 30
2.1.3 Ciberestratégias de segurança e defesa ....................................................................... 34
2.2 POLÍTICAS DE SECURITIZAÇÃO NO CIBERESPAÇO ........................................... 37
2.2.1 Políticas de cibersegurança e ciberdefesa ................................................................... 37
2.2.2 Fundamentos de securitização do ciberespaço ........................................................... 45
2.2.3 Cibersoberania e cooperação multilateral .................................................................. 47
2.2.4 Poder cibernético versus capacidades cibernéticas .................................................... 51
2.3 GUERRA CIBERNÉTICA E OPERAÇÕES NO CIBERESPAÇO ............................... 54
2.3.1 Teorias da guerra cibernética ..................................................................................... 56
2.3.2 Ciberataques e resiliência cibernética......................................................................... 59
2.3.3 Operações no ciberespaço (ou cibernético) e armas digitais ...................................... 61
2.3.4 Sistema de comando e controle nas operações do ciberespaço .................................. 66
2.4 SÍNTESE CONCLUSIVA ............................................................................................. 70
3 PARÂMETROS COMPARATIVOS EM DOUTRINA DE CIBERSEGURANÇA .. 72
3.1 PARÂMETROS ESTRATÉGICOS DE CIBERSEGURANÇA ..................................... 72
3.1.1 Parâmetros de cibersegurança .................................................................................... 72
3.1.2 Mapeamento e critérios de caracterização das IC ...................................................... 78
3.2 PARÂMETROS DOUTRINÁRIOS DE CIBERDEFESA ............................................. 79
3.2.1 Parâmetros de ciberdefesa .......................................................................................... 80
3.2.2 Doutrina da ciberguerra.............................................................................................. 82
3.2.3 Análise compreensiva e comparativa doutrinária ...................................................... 86
3.3 SÍNTESE CONCLUSIVA ............................................................................................. 89
4 CARACTERÍSTICAS DO CIBERESPAÇO MOÇAMBICANO .............................. 89
4.1 EVOLUÇÃO DIGITAL EM MOÇAMBIQUE .............................................................. 90
4.1.1 Evolução dos computadores e da internet .................................................................. 91
4.1.2 Evolução das comunicações e mídias digitais ............................................................. 93
4.2 ACERVOS DE INFRAESTRUTURAS CRÍTICAS NACIONAIS ................................ 96
4.2.1 Ativos de informação e comunicação .......................................................................... 97
4.2.2 Economia digital e securitização no ciberespaço .......................................................104
4.2.3 Sistema nacional de infraestruturas críticas..............................................................106
4.2.4 As Características dos sistemas de segurança industrial e militar ...........................117
4.3 VULNERABILIDADES E AMEAÇAS NO CIBERESPAÇO MOÇAMBICANO .......120
4.3.1 Tipos de vulnerabilidades e ameaças cibernéticas.....................................................121
4.3.2 Ciber resiliência a ciberataques .................................................................................123
4.4 INSTITUCIONALIZAÇÃO NA SECURITIZAÇÃO DO CIBERESPAÇO
MOÇAMBICANO .......................................................................................................126
4.4.1 Processos de securitização do ciberespaço nacional ..................................................127
4.4.2 Institucionalização da cibersegurança e ciberdefesa .................................................129
4.5 SÍNTESE CONCLUSIVA ............................................................................................131
5 DESAFIOS DE CIBERSEGURANÇA E CIBERDEFESA EM MOÇAMBIQUE ...133
5.1 PILAR 1: LEGISLAÇÃO DO CIBERESPAÇO MOÇAMBICANO.............................134
5.1.1 Legislação de cibercrime ............................................................................................134
5.1.2 Autoridade legal do governo ......................................................................................140
5.1.3 Decreto da estratégia nacional de cibersegurança de Moçambique .........................141
5.2 PILAR 2: TÉCNICO-OPERACIONAL ........................................................................144
5.3 PILAR 3: ORGANIZAÇÃO INSTITUCIONAL ..........................................................145
5.4 PILAR 4: CAPACIDADES CIBERNÉTICAS .............................................................146
5.5 PILAR 5: COOPERAÇÃO INTERNACIONAL NO ESPAÇO DIGITAL ....................148
5.6 AVALIAÇÃO DA MATURIDADE DOS DESAFIOS DA CIBERESTRATÉGIA ......149
5.7 RECOMENDAÇÕES ...................................................................................................155
5.8 SÍNTESE CONCLUSIVA ............................................................................................157
6 CONCLUSÃO ............................................................................................................161
REFERÊNCIAS .........................................................................................................167
APÊNDICE A - ENTREVISTA SEMI-ESTRUTURDA ..........................................186
APÊNDICE B - ESTRUTURDA INSTITUCIONAL DE CIBERSEGURANÇA ....189
ANEXO A - LEI DAS TRANSAÇÕES ELETRÔNICAS.........................................190
ANEXO B - PROPOSTA DA ESTRATÉGIA NACIONAL DE
CIBERSEGURANÇA DE MOÇAMBIQUE .............................................................221
 17

1 INTRODUÇÃO

A segurança de um Estado ou Nação por vezes se confunde com a defesa, é o sinônimo de

“conjunto de medidas e ações do Estado, com ênfase na expressão militar, para a defesa do
território, da soberania e dos interesses nacionais contra ameaças preponderantemente externas,
potenciais ou manifestas” (HOSANG, 2011, p. 13), citando a Política de Defesa Nacional de 2005.
É da responsabilidade do Estado de garantir a segurança e a defesa das infraestruturas críticas
nacionais, tais como redes de energia, abastecimento de água, comunicações, saúde, transportes e
sistemas de informações. Também é tarefa do Estado para além da defesa do território físico,
velar pela proteção e pela garantia da privacidade dos seus cidadãos no espectro cibernético,
assegurando o bem comum, a segurança do ciberespaço.
A Segurança está associada as vulnerabilidades são dois assuntos indissociáveis. As
Infraestruturas Críticas (ICs) vulneráveis são objetos afáveis de ameaças e ataques. Para diminuir
as vulnerabilidades precisa-se de alocação de recursos humanos e materiais; isso passa
necessariamente que Moçambique possua uma ciberestratégia de segurança e defesa avaliando as
ameaças e os riscos do ciberespaço. As ameaças no espaço cibernético são globais e holísticas
que compreendem todas as áreas do conhecimento. O espaço cibernético é vulnerável a todo tipo
de crimes digitais e subversivos. Para fazer frente a estes desafios, os países devem cooperar na
segurança internacional criando centros de excelências para monitorar e combater os crimes
cibernéticos.
Além das guerras convencionais e o narcotráfico que grassa o planeta terra, a ciberguerra
é uma batalha sem fronteiras que afeta todo o mundo e é usada para subsidiar outros crimes
hediondos como crimes financeiros, econômicos, além de alimentar também o terrorismo
internacional. Os crimes cibernéticos podem alterar o equilíbrio de poder dos Estados. Os Estados
sem estratégias de securitização cibernética e ciberproteção poderão reduzir-se a regimes de
Estados falhados (ROTBERG, 2016).
O surgimento do paradigma ciberespaço veio mudar profundamente as tradicionais teorias
de Relações Internacionais no objeto da segurança de informações das nações. O conceito sobre
cibersegurança não é o mesmo que a União Internacional das Telecomunicações (UIT) definiu há
décadas quando ia ao encontro a realidade de cada país. Hoje, as pequenas nações, bem
equipadas com meios cibernéticos podem invadir ou complicar a segurança das grandes nações.
 18

A cibersegurança tem uma dimensão holística e global. Um ataque cibernético de um grupo de

hackers anônimos pode afetar infraestruturas críticas de várias nações, pode pregar a soberania e
o bem-estar dos cidadãos.
Atendendo a vulnerabilidade do espaço cibernético e das ameaças globais, sem fronteiras,
urge a necessidade de criar rígidas leis e associar-se a convenções internacionais para proteger os
interesses dos Estados e dos seus cidadãos. A crescente interconectividade e interdependência dos
sistemas de comunicação e de informação exigem a caracterização dos parâmetros e controle do
espectro cibernético. É relevante exaltar que, no interesse da defesa das soberanias e dos seus
cidadãos, em novembro de 2012, no âmbito do projeto Harmonização de Políticas das
Tecnologias de Informação e Comunicação (TICs) na África Subsaariana (HIPSSA) da União
Internacional das Telecomunicações (UIT), os Ministros das TICs da SADC aprovaram três Leis
Modelo Harmonizadas para a Segurança Cibernética a nível da SADC (ITU, 2012).
Na região da SADC, apenas Maurícias e África do Sul concluíram o processo de criação
de um quadro legal para proteger o Espaço Cibernético. Moçambique precisa de uma Estratégia
Nacional de Segurança e Ciberdefesa eficiente para cooperar e discutir assunto do ciberespaço
nos fóruns doméstico e internacionais de ciberdefesa e segurança cibernética. O contexto global e
regional mostra também que Moçambique necessita de um quadro legal e estratégico sobre
cibersegurança e ciberdefesa para lidar com a dinâmica das tecnologias modernas no
cumprimento das missões da defesa e segurança da soberania e dos interesses nacionais. Mesmo
com a aprovação de leis das Transações Eletrônicas, das Comunicações e da revisão do Código
Penal contra os crimes informáticos, as exigências nacionais e internacionais ainda não foram
plenamente satisfeitas.
O País carece de uma Estratégia de Segurança Cibernética e Defesa Cibernética capaz de
coordenar todas as ações no espaço cibernético e a criação de um órgão para desenvolver
capacidade de resposta a ameaças e crimes cibernéticos. As ciberguerras ou os crimes
cibernéticos poderão criar danos e afetar o orgulho das Nações, atingindo as IC e a sua soberania.
Os objetivos desta investigação são de contribuir com parâmetros para a eficácia na formulação
da Estratégia de Moçambique sobre a Segurança do Espaço Cibernético e analisar os desafios da
Estratégia de Segurança Cibernética e Ciberdefesa de Moçambique.
Este estudo pode servir de suporte técnico-científico a Estratégia Cibernética Nacional e
criar mecanismos para cooperativismo e CERTs (Computer Emergency Response Teams) para
 19

resposta a incidentes ou ataques cibernéticos externos e internos que podem pregar a soberania e
o bem-estar dos cidadãos. Também o estudo é relevante para o Comando e Controlo das redes
cêntricas militares no Ciberespaço. A pesquisa contribui para o debate acadêmico que alimentam
os processos de formação de políticas e de estratégias de cibersegurança e ciberdefesa. Ela
apresenta benefícios e contribui para a ciência, academia e soluções na formulação de Estratégia
de Segurança Cibernética e Ciberdefesa de Moçambique.
A formulação da Estratégia de Segurança Cibernética e de Ciberdefesa permite uma
melhor gestão de recursos estratégicos para a segurança e defesa do espaço cibernético
Moçambicano e cria mecanismo de resiliência a ataques cibernéticos e de combate aos crimes
cibernéticos. Esta formulação da estratégia do espaço cibernético Moçambicano também
apresenta uma proposta do modelo institucional e de inovação para o país. O estudo faz uma
análise crítica da institucionalização da segurança cibernética no País, baseando a sua
fundamentação acadêmica em modelos de outros Países.

1.1 PROBLEMAS E HIPÓTESES DE PESQUISA

O problema do estudo procura examinar os fundamentos doutrinários, a identificação e

caracterização dos parâmetros estratégicos de eficácia, definição de políticas de segurança e
defesa cibernética para a proposta da Estratégia Nacional de Segurança Cibernética. Também
procura apresentar um modelo institucional de cibersegurança e ciberdefesa para as exigências
nacionais e internacional como são encarados os processos de maturidade dos principais desafios
na formulação da Estratégia de Segurança e Defesa do Espaço Cibernético (ESDEC)
Moçambicano. Para dar resposta a principal questão do problema indaga-se “Quais são os
fundamentos, as características e os desafios de uma Estratégia de Segurança e Defesa do Espaço
Cibernético Moçambicano? ”, que tem como hipótese principal os fundamentos doutrinários
defensivos da ESDEC e baseiam-se nas boas práticas e experiência internacionais sobre a
matéria. Os principais instrumentos da ESDEC são a institucionalidade de defesa e segurança do
estado moçambicano, bem como as políticas de segurança cibernética das empresas públicas e
privadas com atuação no país. Os seus principais desafios são políticos, legais, tecnológicos e
orçamentários.
 20

A partir da hipótese principal ou geral derivaram-se quatro hipóteses complementares. A

primeira aponta que as práticas e a experiência internacionais no Espaço Cibernético e da Guerra
Cibernética constitui uma condição sine qua non para o desenvolvimento da Estratégia de
Segurança Cibernética e Ciberdefesa; a segunda indica que quanto maior for a clareza sobre os
parâmetros estratégicos e doutrinários, maior poderá ser a probabilidade da eficácia na resolução
de conflitos e no combate a ataques cibernéticos; a terceira procura confirmar que as
características do Espaço Cibernético podem ajudar em eficácia na formulação da Estratégia
Nacional de Segurança e Defesa Cibernética; e a quarta hipótese complementar procura
confirmar se os processos de maturidade dos desafios políticos, legais, tecnológicos e
orçamentários influenciam no aprimoramento da Estratégia de Segurança Cibernética de
Moçambique.

1.2 METODOLOGIA DE PESQUISA

Esta pesquisa é metodicamente hipotético-dedutiva que estabelece testes das hipóteses

para encontrar as soluções do problema. “O método hipotético-dedutivo tem origem na percepção
de uma lacuna no conhecimento e sugere a elaboração de hipóteses que devem ser testadas na
tentativa de falseá-las e encontrar respostas o mais próximo possível da verdade” (CORREIA,
2012, p. 7). Um caminho que nos leva ao processo de verificação de um caso particular de
estratégia de segurança e defesa cibernética de Moçambique.
Esta pesquisa funda-se na combinação de métodos quantitativo e qualitativo, largamente
designado por mixed methods research (CRESWELL, 2014). O método qualitativo privilegia a
análise de processos e experiências sócio-políticas e humanas. Este método é útil
comparativamente ao método quantitativo, uma vez que este último, não capta as vivências sócio-
políticas, mas que serve bastante os propósitos de compreensão de tendências. Com efeito, o
método qualitativo é indispensável para perceber as trajetórias históricas e as experiências sobre
ameaças cibernéticas em Moçambique que não estão documentadas academicamente. Neste
contexto, a técnica de questionário ou entrevista semi-estruturada constitui uma ferramenta crucial
para coleta de dados.
O método quantitativo neste estudo apresenta medidas numéricas (LAKATOS;
MARCONI, 2001) e análises estatísticas das ações de ataques cibernéticos, vulnerabilidades e
 21

avaliação de fatores de criticidades cibernéticos. A abordagem de métodos mistos segundo

Creswell (2014) tem como base o inquérito sobre suposição de que a coleção de diversos tipos de
dados proporciona uma melhor e maior compreensão do problema de pesquisa do que dados
quantitativos e qualitativos isolados.
A pesquisa possui o mesmo peso numa combinação quantitativa e qualitativa de análise
de dados (SANTO et al., 2017); é usada a estratégia de desenho de pesquisa multinível que se
constrói numa única fase de coleta de dados (CRESWELL; PLANO, 2011). Para os resultados
esperados, se utiliza modelos de maturidade de segurança e defesa cibernética e, metodologia
GUT. As ferramentas SPSS e Excel avançado são usados para tratamento de dados.
O desenho de pesquisa representa as fases de um processo de produção científica e, a
seguir o autor apresenta o diagrama Vê de Gowin (1981) com respectivos domínios (Conceitual e
Metodológico) constituído por elementos estruturais para a projeção desta pesquisa, aquilo que
Carmo e Ferreira (2008) consideram de ferramenta metacognitiva, suporte do investigador no
início do mapeamento de um projeto para a produção de conhecimento científico.
 22

Figura 1 - Diagrama de Vê de Gowin, projeção de pesquisa

Fonte: Elaboração própria (2018).

Pela universalidade e a importância do tema deste projeto, possui interesse nacional e da

defesa e segurança da soberania, ao procurar dar suporte aos parâmetros que podem sustentar a
Estratégia da Segurança Cibernética e Ciberdefesa de Moçambique; a pesquisa é de natureza
aplicativa (GIL, 2002) que consiste em contribuir para o projeto de elaboração da Estratégia
Nacional de Segurança Cibernética. Esta pesquisa, quanto aos objetivos, tem carácter
exploratório e descritivo. Considera-se de caráter descritivo (SILVA; MENESES, 2005), porque
tem como objetivo de estabelecer relações entre variáveis e descreve o comportamento funcional
dos parâmetros propostos para a Estratégia Nacional da Ciberdefesa e Cibersegurança. É
exploratório, porque tem como objetivo de proporcionar uma “visão geral e de aproximação
ampla” (GIL, 2007) dos autores no Espaço Cibernético, uma vez que avalia os parâmetros
 23

técnico-científicos e legislativos para a definição dos objetivos e orientação na formulação das

hipóteses.
Quanto aos métodos de procedimento, a pesquisa considera-se qualitativa de natureza
interpretativa, onde são formuladas as hipóteses, testada a ocorrência de acontecimentos
cibernéticos a volta das hipóteses; pode-se associar a esta pesquisa o método auxiliar comparativo
de Taylor (1889) que estuda as semelhanças e diferenças de outras estratégias de segurança
cibernética de outras nações e organizações, para melhor compreensão do comportamento dos
seus atores. O método tipológico de Max Weber (1968) é aplicado no estudo de tipos de
parâmetros e incidentes ou conflitos cibernéticos. Seguindo o caminho weberiano, a identificação
e comparação das ameaças e vulnerabilidades das infraestruturas críticas, podem providenciar as
características específicas dos parâmetros para a Estratégia Nacional de Segurança Cibernética.
Na recolha de dados, são utilizados questionários. Para descrever o estado de arte baseou-
se numa análise bibliográfica de autores internacionais e, por escassez de bibliográfica nacional,
o pesquisador recorreu a documentação oficial das instituições nacionais como Ministério de
Ciência, Tecnologia e do Ensino Superior; Ministério de transporte e Comunicações, Ministério
de Energia, Ministério da Educação, Ministério do Interior, Ministério da Defesa e os Bancos.
Também se utiliza a técnica de amostragem, técnica de coleta de dados e a respectiva análise
estatística e, por fim, a técnica cartográfica que consiste no uso de mapas, gráficos, tabelas para
ilustrações. A pesquisa pode ser considerada analítica, no sentido de analisar, testar as hipóteses e
perceber porque razões ocorrem os acontecimentos (RUA, 2017). A pesquisa tem como
finalidade contribuir para fins práticos procurando soluções ao problema apresentado. Os dados
são coletados concomitantemente.
Para os resultados esperados, utilizam-se modelos de maturidade de segurança e defesa
cibernética onde são analisados os conflitos e guerras, as vulnerabilidades e parâmetros para a
formulação da Doutrina e Estratégia de Moçambique no Ciberespaço. Os benefícios e os custos
de incidentes e riscos nos conflitos cibernéticos são avaliados. Também é utilizada a metodologia
GUT1 para avaliar fatores de criticidades dos parâmetros estratégicos no ciberespaço. Neste
estudo, são usados os métodos de amostragem aleatória estratificada. Trabalhou-se com
especialistas nas áreas da ciberdefesa, cibersegurança e TICs em universidades, tomadores de

1
GUT - Grave, Urgência, Tendência (AZEVEDO, 2010, p. 86).
 24

decisões dos governos e as ONGs nacionais e internacionais que lidam com infraestruturas
críticas e cibersegurança no país.
Nesta pesquisa utiliza-se um espolio teórico com foco na securitização da Escola de
Copenhague e estudos estratégicos de segurança e defesa no ciberespaço e, tem como objetivo
principal “Examinar os fundamentos, as características e os desafios estratégicos para uma
Estratégia de Segurança e Defesa do Espaço Cibernético Moçambicano” e os objetivos
específicos são detalhados nos quatro capítulos desta tese. Para a realização desta tese doutoral
houve limitações de viagens de pesquisa ao exterior devido escassez orçamentários, o tempo no
cumprimento e entraves do COVID-19. O levantamento dos dados foi apenas a nível nacional e
recorrendo a revisão documental e questionários (entrevistas) aos funcionários da área, como
descrito acima nos procedimentos metodológicos.

1.3 ORGANIZAÇÃO DA TESE

Além da introdução que é desenvolvida a partir da problemática, objetivos, hipóteses e

variáveis, a tese baseia-se na metodologia de pesquisa, conclusão, apêndices e anexos, reúne na
forma de conteúdo central em duas partes. A primeira parte descreve os fundamentos
epistemológicos de segurança e defesa no ciberespaço e apresenta parâmetros estratégicos e
doutrinários de cibersegurança e ciberdefesa para a sustentabilidade na formulação da estratégia
de segurança cibernética e de ciberdefesa em Moçambique. A segunda parte apresenta a
caracterização situacional do ciberespaço Moçambicano e analisa os desafios de ciberestratégia
de segurança e defesa de Moçambique. O segundo capítulo procura fundamentar a ciberestratégia
de segurança e defesa com foco em segurança internacional do ciberespaço, políticas de
securitização no ciberespaço e paradigma da guerra cibernética ou ataques cibernéticos. Este
capítulo procura descrever as práticas e a experiência internacionais no espaço cibernético e da
guerra cibernética, termina com a síntese conclusiva.
O terceiro capítulo, seletivamente, examina os parâmetros estratégicos e doutrinários de
alguns países para a segurança e defesa cibernética na resolução de conflitos cibernéticos e no
combate a ataques cibernéticos como elementos chaves na formulação da estratégia de segurança
cibernética e a síntese conclusiva. No quarto capítulo, são apresentadas as características do
espaço cibernético moçambicano, as infraestruturas críticas nacionais, suas vulnerabilidades,
 25

ameaças e incidentes cibernéticos (militares, não militares e transversais), a interconectividade, o

quadro institucional do ciberespaço moçambicano e a síntese conclusiva. O quinto capítulo
aborda os processos de maturidade dos desafios políticos, legais, tecnológicos e orçamentários da
ciberestratégia de segurança e defesa de Moçambique. Também neste capítulo são utilizadas
metodologias de criticidade e GUT para validação dos parâmetros de cibersegurança e
ciberdefesa e a síntese conclusiva.
No sexto e último capítulo, apresenta as principais conclusões e hipóteses desta tese.
Concluiu-se que a segurança é abrangente a proteção, a defesa das unidades críticas; notou-se que
a similaridade das funcionalidades entre conceitos cibersegurança e ciberdefesa de vários autores
podem induzir a uma análise clássica de segurança. As boas práticas e experiências internacionais
e os processos de maturidade dos desafios políticos, legais, tecnológicos e orçamentários podem
aprimorar a formulação da estratégia de cibersegurança. Também o estudo deixa recomendações
a serem consideradas pelo governo e sector privado na formulação de políticas e estratégias de
segurança cibernética, na elaboração de legislação sobre ciberespaço, na revisão de certificação e
assinaturas digitais, em parceria técnico-institucional e na cooperação internacional no espaço
digital.
 26

2 FUNDAMENTOS DE SEGURANÇA E DEFESA DO ESPAÇO CIBERNÉTICO

Este capítulo descreve o contexto global e regional de segurança do ciberespaço 2. Aponta

os fundamentos epistemológicos de cibersegurança, define e caracteriza o ciberespaço, ameaças e
vulnerabilidades, conceitua e indica as dimensões de ciberestratégia de segurança e defesa,
debate as estratégias globais, regionais e de blocos. Na secção dois deste capítulo, discute-se a
problemática da política de securitização no ciberespaço, onde se elencam políticas de
cibersegurança e ciberdefesa, fundamentos de securitização do ciberespaço, também se
apresentam as questões de cibersoberania e a cooperação multilateral e descreve o poder
cibernético versus capacidades cibernéticas.
Na terceira e última secção são revisadas as teorias da guerra cibernética que preocupa as
nações e sufoca as economias digitais e a segurança no mundo, debate ciberataques e resiliência
às infraestruturas críticas. Nesta seção também são discutidas as operações defensiva, ofensiva e
de exploração e as armas digitais. No fim, se debate aspectos do comando controle de sistemas
táticos e operacionais (BARAM; MENASHRI, 2019, p. 93) no novo ambiente de guerra e defesa
cinética.

2.1 SEGURANÇA INTERNACIONAL DO CIBERESPAÇO

A nível internacional seguindo a abordagem clássica das relações internacionais sobre o

paradigma do complexo de segurança encontram-se duas dimensões de segurança internacional
do ciberespaço: a cibersegurança global e a regional. Segurança internacional ou global é uma
projeção das dimensões de segurança das nações. Segundo Peter Hough (2008, p.2), “os estudos
de segurança no contexto global é uma subdisciplina de um assunto vasto, usualmente referido
como Relações Internacionais”. Tradicionalmente, segurança significa ausência de ameaças e
guerras entre Estados e obediência ao sistema internacional. Segundo Olaf Palme (1982),
segurança internacional funda-se no compromisso de sobrevivência, não na tentativa de
destruição mútua.

2
“A consensual hallucination experienced daily by billions of legitimate operators, in every nation, by children
being taught mathematical concepts… A graphical representation of data abstracted from the banks of every
computers in the human system. Unthinkable complexity. Line of light ranged in the non-space in the mind,
clusters and constellations of data” (GIBSON, 1984).
 27

No século XXI com a omnipresença e a convergência digital do ciberespaço, a segurança

global passou a ter uma nova abordagem, baseando-se no compromisso de sobrevivência
conjunta e não na ameaça de destruição mútua. A ausência da territorialidade estatal do
ciberespaço obriga os países a cooperarem na segurança internacional. Assim, pelas
características do paradigma ciberespaço, pode-se considerar o trinômio de cooperação em
estratégias de cibersegurança: a cibersegurança global, a cibersegurança regional e a
cibersegurança de blocos ou coletiva de acordo os interesses dos atores. A dinâmica e a
complexidade do ciberespaço exigem adaptação contínua e envolvente operacional pública e
privada. Exige-se capacitação institucional, técnica e de definição de estratégia da segurança e
defesa cibernética das nações. A conectividade global da internet tornou mais complexa a questão
da (in) segurança ou vulnerabilidade no ciberespaço.

2.1.1 Epistemologia de cibersegurança e ciberdefesa

A segurança cibernética pode ser teorizada como um setor onde múltiplos discursos se
encontram (DEIBERT, 2012). Segurança cibernética é vista como segurança informática mais (+)
securitização. A cibersegurança em inglês, cybersecurity, é uma junção de duas palavras cyber e
security. Cyber é prefixo da cibernética 3 e security é uma notação com uma longa discussão nas
relações internacionais. O termo segurança 4 é um paradigma extremamente complexo na sua
conceituação.
Epistemologicamente, a notação cybersecurity aparece nos finais da década 80, com
objetivos de resolver um problema deixado pelas redes dos computadores. Na dinâmica evolutiva
da rede ARPANet não havia a preocupação de vulnerabilidades e nem de segurança da rede. A
globalização, o alargamento da rede e a comercialização da internet nos anos 90 incrementaram
as vulnerabilidades, as deficiências e a questão de (in) segurança na internet (CAVELTY, 2013)
tornou-se uma grande agenda a nível nacional e internacional.

3
Cibernética (WIENER, 1948): ciência da comunicação e do controle, seja dos seres vivos, ou seja, das máquinas.
A comunicação é que torna os sistemas integrados e coerentes e o controle é que regula o seu comportamento.
4
Segurança: segundo à Escola de Copenhague é uma questão essencialmente discursiva, sendo um conceito
central a Securitização. Securitização significa prevenção ou proteção de alguma ameaça, “reside no seu uso…”
(VIANA E SILVA, 2017, p. 4).
 28

A (in) segurança não se limita apenas a internet, como descrito acima, logo na introdução
desta subseção; ela possui dimensões global e regional no ciberespaço e que a internet é uma
parte do ciberespaço. Segundo Myriam Cavelty (2013, p. 401):

A cibersegurança refere-se à insegurança criada por e através deste novo local / espaço e
às práticas ou processos para torná-lo (mais) seguro. Refere-se a atividades e medidas
definidas, técnicas e não técnicas, destinadas a proteger o ambiente bioelétrico e os
dados que ele contém e transporta de todas ameaças possíveis (tradução nossa).

Pela complexidade da cibersegurança, assim como anteriormente na procura de conceito

generalista do ciberespaço, embora seja considerado “global commun space”, ainda não foi
encontrado uma definição única que pudesse satisfazer a todos os estudiosos e também existe
dificuldades de se ter um conceito ou definição aceite por todos desde a origem da notação
“cybersecurity”, cibersegurança ou segurança cibernética. Muitos atores, estados, organizações
internacionais divergem na definição do paradigma da cibersegurança. Por exemplo, a União
Internacional das Telecomunicações (ITU, 2008, p.76) define segurança cibernética como:

Coleção de ferramentas, políticas, diretrizes, abordagem de gestão de riscos, ações,

treinamento, boas práticas, garantias e tecnologias que podem ser usados para a proteção
da organização e do ambiente cibernético, bem como os ativos de utilizadora (tradução
nossa).

A União Europeia, de acordo com a obra de Silva (2016, p.9), refere a cyber segurança
como:

Salvaguardas e ações que podem ser usadas para proteger o domínio cibernético, ambos
nos campos civil e militar, daquelas ameaças que estão associadas ou que podem
prejudicar suas redes e infraestrutura de informação independente. A segurança
cibernética se esforça para preservar a disponibilidade, a integridade das redes,
infraestrutura e a confidencialidade das informações nelas contida (tradução nossa).

Segundo Reardon e Choucri (2012), no artigo apresentado na convenção anual de ISA5

em San Diego, questionou-se porque vários autores usam termos tais como “ciber conflito”,
“segurança cibernética” ou “guerra cibernética”. Essa divagação de conceitos significa que os
paradigmas que se associam ou que dinamizam o ciberespaço ainda não estão consolidados.
Precisa-se mais estudos sobre ciberespaço e cyber segurança; numa análise clássica, a segurança

5
ISA – International Studies Association
 29

abrange a proteção e a defesa das unidades críticas, quem falasse de conflito era unanime em
descrever as complexidades das guerras.
A cyber defesa ou defesa cibernética 6 é um conjunto de meios para alcançar e executar
medidas defensivas para combater os ataques cibernéticos e mitigar seus efeitos e, assim,
preservar e restaurar a segurança das infraestruturas estratégicas, da comunicação, informação ou
outro sistema eletrônico, assim como a informação que é armazenada, processada ou transmitida
nesses sistemas.
No contexto da ciberdefesa ativa é descrita como:

[...] uma abordagem para alcançar a segurança cibernética baseada na implantação de

medidas para detectar, analisar, identificar e mitigar ameaças de e para sistemas de
comunicação e redes em tempo real, combinada com a capacidade e recursos para tomar
ações proativas ou ofensivas contra ameaças e entidades ameaçadoras incluindo a ação
nas redes domésticas dessas entidades (DEWAR, 2014, p. 10, tradução nossa).

Como se nota, dependendo das circunstâncias e lugar de emprego da ação, muda a forma
interpretativa do conceito.
A Estratégia Brasileira de Defesa cibernética define a cyber defesa como:

[...] conjunto de ações defensivas, exploratórias e ofensivas, no contexto de um

planejamento militar, realizadas no espaço cibernético, com as finalidades de proteger os
nossos sistemas de informação, obter dados para a produção de conhecimento de
inteligência e causar prejuízos aos sistemas de informação do oponente (BRASIL MD,
2010, p.9).

Conongia e Mandarino Junior (2009), no artigo ”Segurança Cibernética: o desafio da

nova sociedade da informação”, entendem que o escopo de atuação da segurança cibernética
também compreende aspectos e atitudes tanto de prevenção quanto de repressão. É evidente, no
pensamento dos autores, a prevenção exige uma ação da defesa ou dissuasão, e a repressão para
além de atividade exploratória exige uma ação ofensiva como se vê plasmado no glossário das
Forças Armadas Brasileiras (MD35-G-01, 2007), defesa consiste num “conjunto de atos
realizados para obter, recompor a condição de segurança, uma reação contra qualquer agressão
real ou eminente”.

6
Para a NATO, Cyber Defense usa-se no contexto militar, também pode utilizar como a defesa contra ações
criminais e de espionagens.
 30

No entanto, a cyber defesa é um conceito ainda sem uma definição padronizada entre as
nações. Cada estado ou nação conceitua a cyber defesa de acordo os seus objetivos e interesses
nacionais. Por exemplo, a África do Sul define cyber defesa como prática que faz o ciberespaço
seguro das invasões, mantendo a confidencialidade, disponibilidade e integridade das
informações e efetuando a detecção de intrusões e incidentes nas redes (GOVERNO DA
ÁFRICA DO SUL, 2012); o Brasil entende que a cyber defesa é a comunicação e controle de
sistemas computacionais, redes de computadores e de comunicações e sua interação (BRASIL,
2014a).
Nesta análise comparativa de dois paradigmas “cibersegurança e ciberdefesa”, nota-se que
a similaridade da funcionalidade entre os conceitos de vários autores que vem estudando
epistemologicamente os termos “cybersecurity” e “cyber defence”. Embora se registre essa
similaridade funcional de ambos conceitos, a cibersegurança preocupa-se com a proteção contra
acesso, manipulação e destruição não autorizada de recursos críticos e bens (ITU, 2007), e a
ciberdefesa dedica-se a prevenção, detenção e a resposta aos ataques cibernéticos ou as ameaças
cibernéticas.
Quanto ao seu enquadramento doutrinário, a cyber defesa situa-se no nível estratégico
depois do nível político, sucede o nível operacional e tático, o domínio do teatro da guerra
cibernética/ataques cibernéticos. Ao nível operacional-tático planejam-se as operações defensiva,
ofensiva e exploratória de ações combativas cibernéticas para proteção dos nossos sistemas de
informação e de mitigação com finalidade de produzir dados de inteligência procurando obter
vantagens as redes cêntricas e do equipamento do inimigo.

2.1.2 Ciberespaço: definição, ameaças e vulnerabilidades

Ciberespaço é considerado por muitos estudiosos como um espaço sem fronteiras.

Segundo Clarke (2010), o ciberespaço é um conjunto de redes de computadores do mundo e tudo
a elas conectado. Na academia, o termo ciberespaço embora tenha a sua origem epistemológica
com o aparecimento da rede ARPANet em 1968, passando pela divulgada obra de ficção
cientifica “Neuromancer” de Gibson (1984) e de variadíssimos conceitos das organizações e
pesquisas independentes, ainda não existe uma definição padrão aceitável por todos.
 31

Myriam Cavelty (2013), num dos subcapítulos sobre segurança cibernética da coletânea
de Alan Collins intitulada por “Contemporary Security Studies”, argumenta que o ciberespaço
não é apenas virtual também incorpora servidores, cabos, computadores, satélites etc; e o
ciberespaço não é o mesmo que a internet, esta é uma parte do ciberespaço. As redes de telégrafo,
rádio amador, telefonia fixa/móvel e televisão via satélite, os sistemas de controle de tráfego
aéreo e de navegação marítima configuram o ciberespaço desde muito antes da invenção da
Internet (CANABARRO; BORNE, 2013).
Daniel Kuehl (2009) descreveu o ciberespaço como um domínio operacional marcado
pelo uso da eletroeletrônica e do espectro eletromagnético para criação, armazenamento,
modificação, e troca de informações pelas redes interconectadas e independentes. Recentemente,
Jakeline Enríquez, et al. (2017), na sua publicação “Para uma Política de Informação no
Ciberespaço: Avanços Perspectivas e Desafios”, assume que o ciberespaço é um espaço imaterial
onde se emitem sinais, imagens e interagem cidadãos de todas as nações, com uma velocidade
instantânea que elimina qualquer noção de distância.
Rain Ottis e Peeter Lorents (2010) define o ciberespaço como um conjunto dependente de
tempo de sistemas de informação interconectados e usuários humanos que interagem com esses
sistemas. Este espaço virtual e imaginário onde navegam as mentes, com dispositivos eletrônicos
em redes transmitindo a informação em tempo real que Manuel Castells (1999) chamou de
“sociedade em redes”; além de ser um lugar de interação global e de inovação, é um espaço de
conflitos, sítio de projeção de poder político, tecnológico, econômico, diplomático e militar,
particularmente usado pelas potencias mundiais para consolidar as suas posições de arrogância e
prepotência. O quinto espectro de batalha, como apelidou o Cyber Comando dos EUA, é usado
pelos criminosos em incursões de ciberataques e cibercrimes.
Toda essa diferenciação de definições mostra que o ciberespaço embora seja um espaço
de interesse comum, conhecido por todos, carece de uma conceituação global. Também persiste o
debate: sendo ciberespaço um espaço virtual, desterritorial que aglutina a dimensão física
(MOREIRA, 2012) e de software como computadores, servidores, programas, equipamentos de
controle industriais e de telecomunicações, ele pode ser considerado espaço real? (COHN, 2007).
Também pode ser considerado um arcabouço de ciberguerras e ciberterrorismo? Estas questões
são complexas exigem respostas refinadas.
 32

Algumas das respostas a estas inquietações e outras sobre a conceituação do ciberespaço

poderão ser encontradas nas seguintes definições:

NORTH ATLANTIC COUNCIL (NATO):

O domínio global criado por comunicação de informação que é armazenado, processado
ou transmitido nestes sistemas (NATO COUNCIL, 2014, p.3, tradução nossa).

INTERNATIONAL TELECOMMUNICATION UNION (ITU):

Tecnologias, como redes sem fio e voz sobre IP (VoIP), ampliam o alcance e a escala da
Internet. Nesse sentido, o ambiente cibernético inclui usuários, a Internet, os dispositivos
de computação conectados a ele e todos os aplicativos, serviços e sistemas que podem
ser conectados direta ou indiretamente à Internet e ao ambiente de rede da próxima
geração, este último com público e encarnações privadas. Assim, com a tecnologia
VoIP, um telefone de mesa faz parte do ambiente cibernético. No entanto, até
dispositivos isolados também podem fazer parte do ambiente cibernético se eles
puderem compartilhar informações com dispositivos de computação conectados por
meio de mídia removível. O ambiente cibernético inclui o software executado em
dispositivos de computação, as informações armazenadas (também transmitidas) nesses
dispositivos ou as informações geradas por esses dispositivos. Instalações e edifícios que
abrigam os dispositivos também fazem parte do ambiente cibernético (ITU, 2008, p.6-7,
tradução nossa).

EUROPEAN UNION (EU):

[...] um domínio onde os adversários procuram obter vantagens assimétricas através de
ações encobertas sob a capa do anonimato (numa lógica de não atribuição), de modo a
obterem objetivos militares e, ultimamente, sobretudo com objetivos políticos. Resulta
assim o ciberespaço ser entendido como um domínio igualmente crítico para o
cumprimento das suas missões e sobrevivência dos estados membros, devendo ser
considerado como domínio operacional (UE, 2016; SANTOS; MATEUS, 2017, p. 23).

As três definições são semelhantes e não satisfatórias. Não etimologicamente idênticas ao

conceito Gibsoniana de 1984 da metáfora que descreve o ciberespaço “como uma rede de
computadores, contendo um ambiente composto por uma enorme quantidade de informação, no
qual os utilizadores poderiam vivenciar ambientes ficcionados com efeitos no mundo físico”. O
ciberespaço é o quinto domínio do poder do estado; é aqui onde está inserido o poder cibernético
ou a soberania cibernética de um país. “O ciberespaço pode ser considerado um domínio de
desenvolvimento econômico e de inovação”, Resolução no. 36/2015 de 12 de junho de 2015 do
Conselho de Ministros (CM, 2015), ponto 3, alínea d, anexo sobre Estratégia Nacional de
Segurança do Ciberespaço.
Leonard Shyles (2002), na sua obra “Deciphering Cyberspace”, analisa o ciberespaço nas
três vertentes: tecnológica, mercado financeiro e política; deixando de lado o capital humano e a
 33

legislação. Embora toque tangencialmente, o legal não vai na profundidade na sua análise.
Atualmente, verifica-se uma necessidade crescente do capital humano cibernético e da legislação
do ciberespaço para fazer frente às ameaças e aos ataques cibernéticos.
Sandra Balão (2010) aponta uma urgência na criação de estratégia global sobre
ciberespaço. O que não é um propósito fácil. O objeto considerado “global comum” está a se
tornar num espaço de miras ambiciosos e amavelmente perigoso as organizações e aos Estados
para estenderem as suas soberanias, tornando-se assim num lugar de ameaças e conflitos
cibernéticos. São conflitos que podem esgueirar-se do controle das nações e provocar guerras
severas neste novo domínio.
As ameaças no espaço digital são cada vez mais alarmantes. Os criminosos cibernéticos
intensificam as suas ações aproveitando as vulnerabilidades das Infraestruturas Criticas num
mundo de crescente conectividade da internet e de uso massivo dos celulares. Segundo Uri Tor
(2017), as ameaças cibernéticas podem ser caracterizadas na base de origem, alvo e grau do
perigo que elas representam. A classificação tipológica de ameaças tem sido complexa para
vários autores, devido a dinâmica de aparição de novas ameaças e intercalação de casos (CEPIK;
CANABARRO; BORNE, 2014).
Os criminosos cibernéticos usam geralmente as tecnologias digitais como a internet,
celulares, mídias digitais, drones, a robótica para realizar ataques cibernéticos com objetivos
psicológicos ou ações que favorecem a espionagem e a destruição física dos ativos de
informação. Alguns estudos como da Bruna Alcântara (2018) que procura as diferenças do uso da
internet por terroristas e o ciberterrorismo e Sameh Aboul-Enein (2017) que procura discernir o
cibercrime do ciberterrorismo, revelam que nem todos cibercrimes são considerados como atos
de ciberterrorismo; no entanto, os ataques terroristas no ciberespaço podem ser deduzidos a
crimes cibernéticos. As ações criminosas do extremismo terrorista cibernético que resultem em
ciberterrorismo hibrido e ciberterrorismo puro (ZERZRI, 2017).
Segundo Europol (2017, p.18) “qualquer crime que só pode ser cometido usando
computadores, redes de computadores ou outras formas de tecnologia de comunicação da
informação (TIC) ” é definido como cibercrime. A diferença entre o cibercrime e o
ciberterrorismo reside na valência das ações praticadas e os objetivos a atingir dos
cibercriminosos. “O ciberterrorismo é sempre mais grave do que outros comportamentos
praticados ‘no’ ou ‘através’ do ciberespaço” (LUX, 2018, p.12). O ciberterrorismo é definido
 34

como ataques ilegais e ameaças de ataques contra computadores, redes e as informações neles
armazenadas quando feitas para intimidar ou coagir um governo ou seu povo na promoção de
objetivos políticos ou sociais (DENNING, 2000, p.1).
Quanto as vulnerabilidades cibernéticas, essas são fraquezas dos ativos de informação. De
acordo com Kizza (2013), na sua “Guia para a Segurança de Rede de Computadores”, as
vulnerabilidades podem ser fraquezas em sistemas de hardware ou software; fraquezas de
políticas de procedimentos usados no sistema e fraquezas dos utilizadores de sistema em si.
Outras causas de crescentes vulnerabilidades em sistemas digitais é o aumento da conectividade
no ciberespaço com o advento da internet das coisas e de Big Data.

2.1.3 Ciberestratégias de segurança e defesa

A Estratégia é uma palavra que provém do grego “Strategia”, um conjunto de

estratagemas usados para alcançar objetivos específicos (MORAN, 2007). De acordo com Yarger
(2013), na obra “Strategic Theory For the 21st Century: The Little Book on Big Strategy”,
considera o conceito “a arte, e a ciência de desenvolver e utilizar os instrumentos de poder
político, econômico, psicológico e militar de acordo com as diretivas políticas para criar os
efeitos necessários à proteção dos interesses nacionais relativamente a outros estados, atores ou
circunstâncias”.
Como se refere no comunicado da conferência do Conselho da NATO realizada em junho
de 2016 em Warsaw, o ambiente estratégico com reconhecimento de ciberespaço como domínio
de guerra tem evoluindo rapidamente. Semelhante a cultura estratégica das armas nucleares, está
se desenvolvendo a cultura estratégica de ciberarmas ou de armas cibernéticas. Assim como, se
está diante de uma corrida de ciberarmas em pretexto da defesa de objetos estratégicos de
interesse das nações (NATO, 2016).
A cibernética, segundo Wiener (1948, p.2), é “o estudo do controle e da comunicação dos
seres vivos e das máquinas, sob o enfoque da transmissão da informação nesses ambientes”. A
cibernética pode se considerar um estudo de ecossistema de seres vivos e máquinas em redes de
comunicação obedecendo um comando, controle de entrada e de saída retroativamente positiva
ou negativa. Este estudo compreende diferentes conceitos e várias definições. A palavra
 35

cibernética tem origem grega, kibernetiké, que representa timoneiro ou o que governa o timão da
embarcação, também designa piloto (THEOPHILO, 2012).
A estratégia cibernética é definida como o desenvolvimento e o emprego de capacidades
para operar no ciberespaço, integradas e coordenadas com os outros domínios operacionais, para
alcançar ou apoiar a realização de objetivos em todos os elementos do poder nacional.
(KRAMER; STARR; WENTZ, 2009). A estratégia de cibersegurança e ciberdefesa são ações de
planejamento, monitoramento e defesa do ciberespaço.
A cibersegurança evoluiu rapidamente de um paradigma meramente técnico para um
conceito estratégico (GEERS, 2011). Agora se fala de ciberestratégia ou estratégia cibernética
das nações. Os países utilizam o poderio cibernético em batalhas no ciberespaço para minimizar
as tensões ou conflitos políticos, militares e econômicos. As estratégias que se desenham em
terra, ar espaço e mar virtualmente se planeiam e realizam-se no ciberespaço ao nível estratégico
da ciberdefesa. Segundo Lucas Portela (2016), a cibersegurança e a ciberdefesa surgem tanto para
debatê-las como também para distingui-las, uma vez que ambas por vezes se confundem.
Para Myriam Cavelty (2012), a cibersegurança e a ciberdefesa se distinguem em três
abordagens: atores, referências e ameaças. O engajamento estratégico sobre a cibersegurança tem
sido um assunto de debates contemporâneos em vários intervenientes estatais e não-estatais. A
procura de boas práticas na formulação de estratégias cibernéticas em segurança e defesa das
infraestruturas críticas e o combate contra ameaças transversais são enormes. Essas práticas têm
reunido esforços globais, regionais ou de blocos e estratégias nacionais de segurança e defesa
cibernética.
Práticas globais estratégicas de segurança e defesa no ciberespaço são ações estratégicas
de segurança e defesa em prol de um interesse “global comum”, universal ou coletivo. Esse é o
caso das estratégias de blocos como é o caso da estratégia de defesa cibernética da NATO e da
UE. Num passado recente, o bloco da NATO e da União Europeia apresentavam boas práticas de
padronização e cooperação em cibersegurança e ciberdefesa (ROHRING; SMEATON, 2014);
com a administração Trump e com a ocorrência do Brexit, a intensidade de cooperação está se
dispersando. As estratégias cibernéticas têm funções preponderantes na planificação e
coordenação do ciberespaço. Geralmente, as estratégias contêm prioridades, princípios, objetivos
estratégicos e linhas de ação. Em seguida é apresentado o quadro estratégico global das Nações
Unidas – ITU, UE e NATO.
 36

Quadro 1 - Estratégias Globais e de Blocos

Estratégias Organização Eixo Principal Ano/1ª. Publicação
Cibersegurança UN-ITU Políticas e Estratégias Nacionais de 2011
Cibersegurança
Cibersegurança UE Política da defesa comum e defesa 2013
cibernética para a segurança da Europa
Ciberdefesa NATO Proteção de sistemas de comunicação e 2010
informação dos aliados 7
Cibersegurança BRICS Cooperação em Cibersegurança 2013
Fonte: Elaborado pelo autor (2020) com base em dados da ITU, EU, NATO, BRICS (2014) e UNIDIR (2017).

As Nações Unidas adotaram várias resoluções sobre ciberespaço. Uma das mais rigorosas
resoluções foi contra o uso criminoso das tecnologias de informação, a resolução nº. 56/121 de
2002 (UN GA, 2002). Tanto a resolução de 1998 sobre o desenvolvimento no campo de
informação e telecomunicações no contexto de segurança internacional, assim como as
subsequentes resoluções de combate contra uso criminoso das TICs em 2002 e a resolução de
2003 de criação de uma cultura global de cibersegurança sejam bases normativas estratégicas.
Em 2004, surgiu unanimemente a resolução para a proteção das ICI, que sensibiliza os estados
membros das Nações Unidas, as organizações regionais e internacionais têm desenvolvido
estratégias de cibersegurança e de proteção das ICI para partilhar as boas práticas e medidas que
poderiam assistir os outros estados membros na matéria de cibersegurança (UN GA, 2004).
As estratégias cibernéticas das organizações regionais preocupam-se com a partilha de
informação das ciberameaças que podem unir as soberanias dos seus membros e dar garantias de
cibersegurança e ciberdefesa para as ICs regionais. Por exemplo, a ciberestratégia europeia
enfatiza que a cibersegurança é de igual importância como a segurança do espaço físico
(KOVACS, 2018). Para EU, a cibersegurança se esforça em preservar a disponibilidade, a
integridade das redes, infraestruturas e a confidencialidade da informação nelas contidas
(COMISSÃO EUROPEIA, 2013). A estratégia de cibersegurança da UA que tem como alicerce a
Convenção de Malabo, a qual descreve claramente a harmonização das leis dos Estados africanos
sobre o comércio eletrônico, proteção de dados, governança em cibersegurança e controle de
cibercrime (ORJI, 2018).
 37

Na sub-região austral de África, em novembro de 2012, no âmbito do projeto

Harmonização das Políticas de TIC na África Subsaariana (HIPSSA) da União Internacional das
Telecomunicações (UIT), os Ministros das Tecnologias de Informação e Comunicação (TICs) da
SADC aprovaram três Leis Modelo Harmonizadas para a Segurança Cibernética a nível da
SADC: Lei de Comércio Eletrônico, Proteção de Dados e Cibercriminalidade. Todos membros já
iniciaram a internalização das Leis Modeladas Harmonizadas da SADC e tem o compromisso de
concluírem o processo até dezembro de 2019 (GOVERNO DE MOÇAMBIQUE, 2017).
Na sub-região, apenas as Ilhas Maurício e a África do Sul concluíram o processo de
criação de um quadro legal para proteger o espaço cibernético. As Ilhas Maurícias possuem uma
Equipe de Resposta a Emergências Informáticas (CERT-MU), o CERT nacional, que coordena e
trata as questões de segurança da informação a nível nacional, desde 2008. Na África do Sul, foi
aprovado o Quadro Nacional de Política de Segurança Cibernética (NCPF), em 2012, com
objetivo de criar um ambiente cibernético seguro, confiável e que facilite a proteção de
infraestruturas críticas de informações, de segurança cibernética em apoio a imperativos de
Segurança Nacional e da Economia (GOVERNO DA ÁFRICA DO SUL, 2012).
A UA tem elaborado documentos estratégicos para apoiar os seus membros na
formulação das estratégias de segurança e defesa sub-regionais e nacionais no combate a ameaças
ou a ataques e espionagem cibernéticos. Mas estados membros não têm aproveitado esses
documentos para melhorar as suas estratégias nacionais. Nota-se também a lentidão dos estados
africanos em harmonizar as leis sobre o comércio eletrônico, a proteção dos dados pessoais, a
governança da cibersegurança e o controle do cibercrime (ORJI, 2018). A convenção de Malabo,
adotada pela Assembleia da UA na sua 23ª sessão ordinária de 27 de junho de 2014 sobre
cibersegurança e proteção de doados pessoais, veio clarificar as diretrizes e obrigar os estados
membros a desenvolver estratégias de cibersegurança e defesa contra ameaças e crimes
cibernéticos.

2.2 POLÍTICAS DE SECURITIZAÇÃO NO CIBERESPAÇO

A securitização aparece numa nova abordagem dos estudos de segurança da Escola de

Copenhague. Uma nova visão construtivista sobre a segurança na obra “Security: A new
framework for analysis” de Buzan et al. (1998) entende-se que a securitização é uma construção
 38

social, onde predomina o discurso político sobre uma ameaça existencial. De acordo com os
autores construtivistas, o objetivo é a procura de uma abordagem abrangente de segurança
baseada em construção social de ameaças e objetos de referência (PEREIRA; VIANA E SILVA,
2018).
A extensividade da teoria da securitização para a arena da segurança cibernética foi
sugerida pelos Hansen e Nissenbaum (2009), a securitização passou a faz parte das ações
discursivas de políticas de segurança e defesa do ciberespaço. “[...] (cyber) securitização é o
principal estimulador dos tomadores de decisões para o desenvolvimento de estratégias de
segurança e defesa cibernética” (DEIBERT, 2012). O processo de securitização obedece três
categorias operacionais (VIANA E SILVA; PEREIRA, 2019, p. 3):
a) objetos referentes;
b) agente securitizador;
c) atores funcionais.

O agente securitizador é o ator político capaz de demonstrar que determinado tema

precisa ser reconhecido pelo público como uma ameaça existencial.
O objeto referente pode ser o Estado, mas, também, organizações, indivíduos, grupos
transnacionais e grupos sociais. Por fim, os atores funcionais não são agentes
securitizadores, mas são importantes na teoria, pois afetam direta indiretamente a
dinâmica de segurança de um determinado setor (VILLA; SANTOS, 2011).

O estudo de segurança envolve a interação de forças internas e externas e dependem da

interação de cinco forças: grande poder político, tecnologia, eventos chaves, a dinâmica interna
das discussões acadêmicas e o institucionalíssimo (BUZAN; HANSEN, 2009). Segundo Silva e
Bandeira (2016, p.18) a “analise destas cinco forças internas e externas promove a evolução das
teorias de segurança”. Os estudos de Copenhague consideram que a segurança é objeto aplicável
a uma ampla gama de assuntos e, oferece um método operacional construtivista para distinguir
processos de securitização, processos de politização (BUZAN, WAEVER; WILDE, 1998).
Um assunto securitizado com sucesso, merece uma maior atenção na agenda
governamental e prioridade na alocação de recursos; efetivamente as políticas e a estratégia de
segurança cibernética poderão ter prioridade uma vez securitizadas. No processo de (cyber)
securitização os estados procuram a segurança e a proteção das suas soberanias e o
multilateralismo de cooperação global no ciberespaço. Alguns estados procuram criar o poderio
 39

cibernético para obterem vantagens em ambientes operações e em ações de dissuasão no

ciberespaço.
O poder cibernético pode ser usado como suporte para fins políticos nacionais. Para este
proposito precisa-se de uma boa orientação política de cibersegurança e ciberdefesa, uma clara
definição de ameaças ou de conflitos cibernéticos; exige-se um exercício pleno de cibersoberania
e o respeito de soberanias de outros estados no ciberespaço; boas relações de cooperação em
cibersegurança e ciberdefesa com os demais estados e organizações internacionais. A cooperação
no ciberespaço promove resiliência contra ameaças e riscos cibernéticos das IC e da soberania
dos estados. A resiliência à ataques cibernéticos é debatida profundamente na terceira seção, no
ponto dois deste capítulo.

2.2.1 Políticas de cibersegurança e ciberdefesa

As funções de segurança de um Estado ou Nação às vezes se confundem com as funções

da defesa. Defesa nacional é o sinônimo de “conjunto de medidas e ações do Estado, com ênfase
na expressão militar, para a defesa do território, da soberania e dos interesses nacionais contra
ameaças preponderantemente externas, potenciais ou manifestas” (BRASIL, 2012). É
responsabilidade do estado garantir a segurança e a defesa das infraestruturas críticas nacionais,
tais como redes de energia, abastecimento de água, comunicações, informação, transportes e
sistemas de informações. Para o cumprimento das missões a cima citadas, urge a necessidade de
elaboração de políticas claras a níveis estratégico e operacional da defesa e segurança de
informação cibernética. Para se elaborar políticas de segurança, o comitê de segurança toma
como base os padrões e normas de segurança. “A política de segurança é um documento que deve
descrever as recomendações, as regras, as responsabilidades e as práticas de segurança” (SILVA,
2011). Dizia Sêmola (2003, p. 27-32):

O comitê ou fórum de segurança é um grupo de experts que se reúne regularmente com

objetivo de analisar e aconselhar o Oficial Chefe de Segurança de Informação (Chief
Information Segurity Officer). Chief Information Segurity Officer (CSO) é responsável
pela segurança física assim como lógica da organização e também é da responsabilidade
do CSO a supervisão, a coordenação de todas áreas chaves que da organização que
necessitam uma ação forte de segurança como as áreas de tecnologias de informação,
recursos humanos, comunicação, jurídica, gestão de instalações e de outros grupos e a
identificação de iniciativas de segurança e padrões definidos para a organização.
 40

Segundo Alves et al. (2014), é preciso conhecer a definição da política para saber
desenhar as estratégias da cibersegurança e ciberdefesa. A política neste contexto não é “arte de
governar ou decidir os conflitos que caracterizam os argumentos sociais” (ALVES et al. 2014),
aqui entende-se a política como um conjunto de diretrizes que orientam a formulação de
estratégias, normas ou doutrinas para a segurança e defesa do ciberespaço. A política de
cibersegurança, em uma análise objetiva, estabelece regras, procedimentos e controle do
ciberespaço.
Nesta subseção, são analisados os melhores modelos e apresentadas as boas práticas para
o desenvolvimento de políticas de cibersegurança. O esforço da cibersegurança envolve também
a ciberdefesa (COMISSÃO EUROPEIA, 2013), essas duas dimensões funcionam associadas para
a proteção das infraestruturas cibernéticas de interesses nacionais e dos dados privados. Embora
se prevaleçam de princípios gerais para o desenvolvimento de política de cibersegurança, cada
região ou estado possui as suas especificidades em desenvolver políticas cibernéticas; e
dependem dos níveis externo (âmbito de parcerias) e interno (no âmbito de criação de processo
normativo), da fase delicada de distribuição das responsabilidades e do cumprimento das políticas
desenvolvidas sobre a cibersegurança e cibernética, sem ignorar a fase de implementação de
política.
Por exemplo, a UA já identificou prioridades na política de cibersegurança (AFRICAN
UNION, 2019) que são:
a) abordagem estratégica;
b) enquadramento nacional de cibersegurança;
c) combate de todo tipo de cibercrime ao nível continental;
d) proteção de dados pessoais;
e) capacitação e conscientização;
f) cooperação internacional e melhoria regional em cibersegurança.
A outra organização que coloca no topo das prioridades da política de cibersegurança é a
EU com matéria tratada ao nível de cinco pilares: diplomacia, uma ramificação forte da política
de defesa da EU, acordo político sobre o regulamento da cibersegurança no ciberespaço europeu,
a estratégia para a cibersegurança, considerada “a pedra angular da política da UE”. As outras
lições a considerar são da OEA (BARBAS; SANCHO, 2018), que consideram a segurança do
 41

ciberespaço como uma das principais prioridades para a consolidação cibersoberania dos estados
membros.
No entanto, a formulação ou o desenvolvimento de política de cibersegurança exige a
escolha ou a definição de modelo de política de segurança cibernética. Segundo Daniel Benoliel
(2015), o modelo de política de segurança compreende três categorias de definições:
a) um modelo político deve definir o leque de ameaças à cibersegurança: desde ataques
deliberados por vantagens militares ou politicas até as formas de crimes cibernéticos,
ciberguerra, contra terror cibernético civil e objetos militares;
b) um modelo político deve definir os tipos de riscos de cibersegurança: variando de
ocultação (cavalo de troia), vírus infecioso e outros;
c) um modelo político deve definir os tipos de práticas não designados como riscos de
cibersegurança: incluindo software de piadas, trotes, fraudes, spam e cookies de
internet. Na base da política (diretrizes) de cibersegurança pode-se elencar a
documentação denominando modelos de cibersegurança que completem os requisitos
e os elementos de governança com tópicos relacionados ao planejamento, estratégia e
processo decisório integrados que podem ajudar na mitigação dos riscos de
cibersegurança.
A política de defesa cibernética ou de ciberdefesa pode ter conceitos ou definições
diferentes de acordo com os objetivos e interesses de cada nação ou organização. O Brasil
(2014a) define a ciberdefesa como “conjunto de ações defensivas, exploratórias e ofensivas, no
contexto de um planejamento militar, realizadas no ciberespaço, com finalidades de proteger os
sistemas de informação, obter dados para produção de conhecimento de inteligência e causar
prejuízos aos sistemas de informação do oponente”. A política de ciberdefesa orienta as
atividades de ciberdefesa ao nível estratégico, em níveis operacional e tático (SOUZA JR;
STREIT, 2017). E é através da política de ciberdefesa onde se apresentam princípios que se
define os objetivos, desenvolvem e promovem as linhas de ações e realizam o levantamento da
capacidade de ciberdefesa.
Os propósitos da política de ciberdefesa se assemelham a estratégia de ciberdefesa
(BARBAS; SANCHO, 2018), uma vez que essa dá o suporte da ciberestratégia para o
ciberespaço. Neste contexto, são apresentadas algumas práticas da Comissão Europeia como
 42

exemplos neste estudo. A União Europeia considera os seguintes valores centrais, tanto no espaço
físico assim como no mundo digital (COMISSÃO EUROPEIA, 2013):
a) as mesmas leis e normas em outras áreas que são aplicáveis ao cotidiano, também se
aplicam no domínio cibernético;
b) proteção de direitos fundamentais, liberdade de expressão, privacidade e dados
pessoais;
c) acesso universal;
d) democracia e governança eficiente de várias partes interessadas;
e) uma responsabilidade partilhada para garantir a segurança.
Para sustentar os princípios descritos acima são apresentados as prioridades e ações
estratégicas de cibersegurança na União Europeia (COMISSÃO EUROPEIA, 2013) que são:
a) alcançar a resiliência cibernética:
Ações: 1. Elaboração da legislação que se concentre em requisitos para a criação de
CERTs e adoção de estratégias nacionais e plano nacional de cooperação; 2.
Sensibilização cibernética em segurança de usuários na internet.
b) reduzir drasticamente o cibercrime:
Ações: 1. Legislação forte e eficaz para transposição e implementação das diretrizes
relacionadas ao cibercrime, ratificação da convenção de Budapeste sobre
cibercrime; 2. Capacidade operacional aprimorada para combater o cibercrime; 3.
Melhorar a coordenação a nível da EU.
c) desenvolver políticas e capacidades de ciberdefesa relacionadas à política comum de
segurança e defesa:
Ações: 1. Avaliação de requisitos operacionais da ciberdefesa e promoção de
desenvolvimento das capacidades de ciberdefesa e tecnologias; 2. Enquadramento da
política de ciberdefesa para as redes dentro das missões e operações de CSDP; 3.
Promoção de diálogo e cooperação entre militares e civis na EU; 4. Garantia de
diálogo com parceiros internacionais incluindo a NATO, outras organizações e
centros multinacionais de excelências para o reforço de cooperação.
d) desenvolver os recursos industriais e tecnológicos para a cibersegurança:
Ações: 1. Promoção do mercado único para produtos de cibersegurança; 2. Fomento
de investimentos em pesquisa e inovação.
 43

e) estabelecer uma política internacional coerente do ciberespaço e promover valores

fundamentais da EU:
Ações: 1. Engajamento em assuntos de integração do ciberespaço nas relações
externas, política externa e de segurança comum da EU; 2. Desenvolvimento de
capacidades em cibersegurança e infraestruturas resilientes de informação nos
outros países.
Diferentemente da União Europeia que se estrutura em princípios, prioridades e ações
estratégicas, a União Internacional das Telecomunicações, contudo, se estrutura em princípios,
objetivos, prioridades e ações estratégicas.
Princípios:
a) proteger valores nacionais;
b) liderança nacional sistemática;
c) responsabilidade partilhada;
d) abordagem multi-stakeholder;
e) gerenciamento de risco.
A União Internacional das Telecomunicações definiu os seguintes objetivos estratégicos:
a) papel das TICs;
b) partes interessadas e o seu papel;
c) cooperação internacional.
De acordo com a sua visão e experiência ao nível do globo pela assistência que tem dado
aos diversos países na formulação das estratégias nacionais de segurança cibernética, a UIT
apresenta seguintes pilares (prioridades) e ações:
a) medidas legais:
Ações: 1. Estratégia de medidas legais; 2. Revisão de adequação da legislação; 3.
Autoridade Legal de Governação.
b) medidas técnicas e processuais:
Ações (Medidas Técnicas): 1. Implantação de Soluções Técnicas; 2. Aplicações
seguras; 3. Infraestrutura governamental segura.
Ações (Processuais): 1. Enquadramento Nacional de Cibersegurança (que
compreende a visão delineada na ciber estratégia de segurança); 2. Metas de
Cibersegurança (que compreende Gestão de Risco e Governança); 3. Ações de
 44

Medidas Processuais (que compreende prestação de contas de cibersegurança,

gestão de risco, políticas de segurança, conformidade e garantia).
c) estruturas organizacionais:
Ações: 1. Papel do Governo (integra o coordenador nacional de cibersegurança); 2.
Ponto focal nacional (Ex: ponto focal de cibersegurança); 3. CIRT Nacional (Ex:
CIRTs Nacionais).
d) capacitação:
Ações: 1. Habilidades e treinamento em cibersegurança (compreende suposições de
enquadramento de habilidades em cibersegurança); 2. Cultura de cibersegurança
(integra programa nacional de conscientização, cultura de cibersegurança no
governo, cibersegurança nas empresas comerciais, vulnerabilidades individuais e das
crianças); 3. Inovação em cibersegurança (compreende pesquisa em cibersegurança
e desenvolvimento).
e) cooperação internacional:
Ações: Estratégia internacional de cibersegurança, considera-se uma ação
coordenada com possível solução e resposta de todas as atividades em cinco áreas
prioritárias da estratégia de cibersegurança.
A fase de implementação do projeto de formulação de estratégia de cibersegurança
necessita de uma garantia e de um monitoramento. Este projeto ou programa de cibersegurança
requer prazos viáveis para cumprir ações prioritárias; a sua implementação também depende de
um conjunto prioridades e necessidades de cada pais. Assim, é usado o modelo PLAN-DO-
CHECK-ACT (PDCA) e métricas de desempenho (exemplo: medições ISSO/IEC27004) como
suporte de Agenda Global de cibersegurança na cooperação internacional (ITU, 2011).
No enquadramento político de defesa, são identificadas as áreas prioritárias como um
construto panorâmico. Por exemplo, de acordo com a prática da União Europeia (COMISSÃO
EUROPEIA, 2018) elas compreendem as três fases: primeira fase de enquadramento político que
é o desenvolvimento das capacidades de ciberdefesa; segunda fase é composta por treinamentos,
exercícios, pesquisa e tecnologia, cooperação civil-militar e cooperação internacional; a terceira e
a última fase é de melhoramento da cooperação com parceiros internacionais. A UA também
define como prioridades na sua orientação política cibernética a abordagem estratégica,
enquadramento nacional de cibersegurança, combate de todo tipo de cibercrime ao nível do
 45

continente, proteção de dados pessoais, capacitação e conscientização – melhoramento de

cooperação nacional e internacional.

2.2.2 Fundamentos de securitização do ciberespaço

O ciberespaço e a internet são campos vulneráveis a ameaças e a riscos cibernéticos. É no

ciberespaço onde os criminosos virtuais infetam as várias plataformas e aplicações comerciais,
industriais, sistemas operativos de redes dos computadores e de outras funcionalidades. O
ciberespaço é uma rede de linhas elétricas invisíveis por onde gravitam atividades digitais que se
associam a inovação tecnológica. Muitos países procuram estratégias de proteção e monitoria das
ameaças e vulnerabilidades dos seus ciberespaços com a finalidade de reduzir os riscos e
dinamizar as atividades digitais.
O conceito de securitização reside no seu uso e, por isso, não é algo que possa ser
definido analiticamente ou filosoficamente de acordo com o que seria melhor (VIANA E SILVA,
2017). Neste sentido, a securitização do ciberespaço é utilização das ferramentas digitais para a
defesa ou a proteção de um território virtual do Estado/governo (GovNet, e-Commerce, e-banking
ou mercado digital). Também pode se considerar como um ato de defesa de uma construção
social. Securitização é uma teoria construtivista.
Nos sistemas digitais em redes, as ameaças não aparecem por vias tradicionais dos
firewalls de perímetro onde poderiam ser detectadas; os ataques se tonaram mais sofisticados,
surgem disfarçados de tráfico legítimo através de smartphones, tablets usando diversificadas
aplicações como whatsapp, facebook, twitter, instagram, skype, badoo, snapchat, sarahah,
tumblr e outras plataforma, infectando toda a comunidade em redes. Para desencorajar essas
ações, os governos criam leis e cooperam nas políticas de cibersegurança com objetivo de
proteger as suas plataformas de governança eletrônica, a privacidade e a segurança dos seus
cidadãos, além de outras ICs.
Os conceitos cibersegurança, ciberdefesa e ciberespaço estão associados a uma variante
da teoria de Relações Internacionais, bem como da teoria de dilema de segurança e a teoria de
securitização da Escola Construtivista da Copenhague. Na visão construtivista, de acordo com os
estudos de Copenhague, anarquia é uma construção social. Os termos cibersegurança e
ciberdefesa, que em inglês são denominados como “cyber security” e “cyber defense”, tiveram
 46

origem na década 1990. O primeiro uso de segurança cibernética foi no conselho das
Telecomunicações e Informática (CSTB) no relatório de 1991, “Computer at Risk: Safe
Computing in The Infornation age” (HANSEN; NISSENBAUM, 2009).
A teoria de securitização aparece numa nova abordagem dos estudos de segurança da
Escola de Copenhague. Uma nova visão construtivista sobre a segurança na obra “Security: A
new framework for analysis” de Buzan et al lançada em 1998. De acordo com os autores
construtivistas, o objetivo é a procura de uma abordagem abrangente de segurança baseada na
construção social de ameaças e objetos de referência (PEREIRA; SILVA, 2018). A mudança de
segurança informática para segurança cibernética está ligada ao discurso de securitização
desenvolvida num campo especializado de segurança nacional (NISSENBAUM, 2005).
A extensão da teoria da securitização para a arena da segurança cibernética foi sugerida
pelos Hansen e Nissenbaum (2009). O processo de securitização faz parte das ações discursivas
de políticas de segurança e defesa do ciberespaço. Considera-se o espaço securitizado quando se
aceita a existência de uma ameaça ou previsão de um conflito cibernético. No entanto, esse
conflito pode exigir o uso da força ou uma resolução passiva à luz das teorias neorrealistas8 ou
construtivistas9. Ron Deibert (2012) explica que “o processo de securitização do ciberespaço é o
principal estimulador dos tomadores de decisões para o desenvolvimento de estratégias de
segurança e defesa cibernética”.
O estudo de segurança envolve a interação de forças internas e externas e dependem da
interação de cinco forças: grande poder político, tecnologia, eventos chaves, a dinâmica interna
das discussões acadêmicas e o institucionalíssimo (BUZAN; HANSEN, 2009). Segundo Silva e
Bandeira (2016), a “analise destas cinco forças internas e externas promove a evolução das
teorias de segurança”.
Os estudos de Copenhague também se opõem aos pensamentos dos realista e neorrealista
por limitar a questão de segurança apenas ao setor militar; a segurança é considerada um objeto
aplicável a uma ampla gama de assuntos e oferece um método operacional construtivista para

8
Os neorrealistas afirmam que os Estados, ao se comportarem de forma racional, devem levar em consideração o
comportamento dos outros Estados. Desse modo, a forma como os Estados se relacionam influencia no
comportamento de cada membro do sistema internacional. Disponível em:
[Link] Acesso em 26 fev. 2018.
9
A teoria constitutiva está interessada em analisar e explicar a natureza e caráter da política internacional e das
Relações Internacionais, bem como as melhores abordagens metodológicas para o seu estudo. Os construtivistas
salientam que os conceitos básicos que estruturam a nossa vida e a nossa ciência são construídos socialmente, não
existem no mundo como uma realidade dada e permanente.
 47

distinguir processos de securitização e processos de politização (BUZAN; WAEVER; WILDE,

1998). Os estudos construtivistas de Copenhague diferenciam questões de políticas das questões
de segurança nacional ou segurança internacional.
A conotação ciberespaço sempre existiu antes da era de internet e do conceito gibsoniano
(1984). Segundo Canabarro e Borne (2013a), “os telégrafos, telefones, televisão por satélite, GPS
e outros meios de troca de informação existem desde a metade do século XX e utilizam-se desse
espaço visualmente abstrato para efetivar sua finalidade”. Atualmente, este espaço é lugar de uma
complexa construção informacional, campo que exige realinhamento das estratégias tradicionais
e modernas na defesa de soberania cibernética; espaço de muscularidade do poder cibernético que
requer a politização no reforço de capacidades cibernéticas para a securitização.
A securitização que é o novo paradigma principal da Escola de Copenhague. Com a teoria
entende-se que um assunto não securitizado recebe uma atenção secundarizada
comparativamente ao assunto securitizado. Isto significa que uma vez um assunto securitizado
com sucesso, merece uma maior atenção na agenda governamental e uma maior prioridade na
alocação de recursos; ou seja, as políticas e a estratégia de segurança cibernética poderão ser
prioridade uma vez que sejam securitizadas.

2.2.3 Cibersoberania e cooperação multilateral

Soberania refere-se ao espaço onde um Estado exerce algum poder legítimo. Segundo
Carneiro (2012), existem vários tipos de soberania: Soberania Doméstica ou Soberania Interna,
onde o Estado controla os seus assuntos internos; Soberania “Westfaliana”, derivada dos tratados
de Paz de Westfalia de 1648, que consiste no respeito da soberania das outras Nações ou Estados;
Soberania Legal Internacional que consiste no respeito pelos limites dos outros estados, o que é
problemático quando abordado no ciberespaço; e, por último, a Soberania Interdependente ou
Krasneriana que refere-se a maneira que os Estados buscam regular o cruzamento das suas
fronteiras.
Então, o que se entende pela soberania cibernética? A soberania cibernética é a
capacidade que um Estado possui de controlar e ter o poder de decisão sobre ela nos “limites do
seu ciberespaço”. Max Huber (1928), na arbitragem “Ilhas Palmas”, afirmou esse princípio geral
da seguinte forma: “Soberania nas relações entre os Estados significa independência.
 48

Independência em relação a uma porção do globo é o direito de exercer nela à exclusividade de

quaisquer outros Estados, as funções de um Estado” (HUBER, 1928, P.838).
Porém, a soberania reside num espaço geográfico limitado. Nos tempos modernos,
existem aquilo que se chama defesa coletiva, com o intuito de defender os interesses comuns ou
uma organização de um grupo de estados que criam uma zona restrita de soberania, um fenômeno
que emerge no ciberespaço com o propósito de responder a aterritorialidade do ciberespaço e de
proteger sistemas das comunicações e da internet dos aliados, minimizando os conflitos
cibernéticos. No ciberespaço, não existe uma soberania absoluta, os espaços partilhados são
necessariamente monitorados por todos os usuários das redes.
O ciberespaço não é mero desejo como dizia Lewis (2010), onde alguém tenta impor a
sua soberania; ele é um lugar de confrontação, no qual são desenvolvidas estratégias para a
defesa coletiva da cibersoberania. Um exemplo prático é da EU, onde os conceitos da soberania e
do “global comum” evoluíram para os conceitos apontados por Maria G. Rabinad (2008), no seu
ensaio “La soberanía del Ciberespaço”, a co-soberania e o império do ciberespaço sem limites de
conexão. Muitos estudos divergem. Alguns estudos defendem que o ciberespaço é idêntico ao
mundo físico e que a soberania deve ser aplicada como um desejo nacional. Este contexto é de
difícil aplicação; a soberania no ciberespaço não possui o mesmo som e nem o mesmo brilho
como nas outras dimensões: terra, ar, mar e espaço. Vários países preocupam-se basicamente
com a soberania interna cibernética. É o caso do Brasil, no “Manual de Campanha Guerra
Cibernética” (BRASIL, MD, 2017, p. 36) que defende: “Cada país tem soberania sobre o
ciberespaço em sua delimitação geográfica. Portanto, o uso do ciberespaço de uma nação requer
coordenação e negociação formais. Essa coordenação busca desenvolver a capacidade de
interoperabilidade no ciberespaço.”.
Mesmo a Rússia, EUA e a China não podem se orgulhar de possuírem o controle da
soberania sobre o império global do ciberespaço. Eles apenas detêm capacidades cibernéticas,
assim como a NATO e a EU, procuram mecanismos legais e desenvolvimento de capacidades
operacionais de defesa dos seus interesses, e não do domínio global da internet e do ciberespaço.
A cibersoberania interna limita-se ao poder de controle das ICNs, dos usuários e dos lugares sob
a sua jurisdição. A soberania externa no ciberespaço é complexa e apenas funciona na base de
convenções e acordos entre estados ou organizações internacionais Se persiste na defesa de que a
soberania é exercida da mesma maneira tanto em arenas virtual e físicas. Dessa forma, novas
 49

bases teóricas sobre o ciberespaço são necessárias ou poderá ocorrer uma ambiguidade como
aquela criada pelo Nye (2010) sobre o poder duro e poder brando, isto é a similaridade implícita
de difícil aplicabilidade.
Segundo Castells (2007), “uma forma eficaz dos países se protegerem, combatendo, ou
melhor prevenindo as ameaças cibernéticas transnacionais, é a utilização de acordos multilaterais,
e instrumentos de cooperação internacionais, de forma a criar uma articulação em rede entre os
países”. A cooperação multilateral no ciberespaço é vista como a melhor estratégia de
sobrevivência de uma cibersoberania. A soberania no ciberespaço não é plena. Para os países
garantirem as suas cibersoberanias e assegurarem os seus interesses no ciberespaço, eles são
obrigados a cooperarem. Segundo Milton Santos (1996), as redes inscritas no território, ao se
mundializarem, apresentam características que favorecem a extrapolação dos seus limites físicos.
A extrapolação das redes em fronteiras nacionais pode trazer conflitos e a crise de soberania no
ciberespaço.
Na cooperação, o mais importante é a confiança entre os membros dos grupos ou estados.
É verdade que cada estado ou interveniente do grupo teme a perda de poder no seu espaço de
jurisdição ou sujeição da sua soberania digital; mas vale a pena gerir coletivamente este “global
comum” para enfrentar as diversidades das ameaças cibernéticas e os riscos que poderão pôr em
causa a soberania de cada estado membro. Todavia, a confiança é a chave para a cooperação no
ciberespaço. Como promover esta confiança na cooperação do ciberespaço? Para dar resposta a
pergunta colocada acima, se descreve a seguir o exemplo chileno sobre a cooperação
internacional e a promoção da transparência e a confiança entre estados:

Atendendo o caráter transfronteiriço do ciberespaço, uma das maiores formas de

enfrentar os riscos e ameaças que o seu uso intensivo é a procura em estabelecer relações
de cooperação em ciberdefesa com outros atores estatais, organismos internacionais e,
em particular, de maneira ativa em foros e discussões internacionais que pretende gerar
um ciberespaço seguro no âmbito da defesa (DIÁRIO OFICIAL DA REPÚBLICA DO
CHILE, 2018, p. 4).

É evidente que a cooperação no ciberespaço promove resiliência contra ameaças e riscos

cibernéticos das IC e segurança das pessoas, das organizações, dos objetos estratégicos e da
soberania dos estados. Aquilo que poderia ser exemplo entre UE e a NATO não está
acontecendo. Desde 2014, ambas organizações procuram corrigir em áreas de interesse comum
tais como padrões em cibersegurança e ciberdefesa (PERNIK, 2018). Mas aparecem boas
 50

iniciativas de cooperação multilateral em algumas regiões, como no continente africano, onde os

membros da UA promovem estratégias cibernéticas nacionais, regionais e desenvolvem
CERTs/CSIRTs.
A UA também está envolvida em programas conjuntos contra cibercrime com o conselho
europeu, discussão de cibersegurança pesando em instrumentos legais para cooperação entre
estado tais como a convenção de Malabo e a convenção sobre cibercrime de Budapeste (AU,
2019). A convenção de Malabo apresenta recomendação aos estados membros que, “encoraja o
estabelecimento de instituições que troca a informação sobre ameaças cibernéticas e avaliação de
vulnerabilidades tais como equipes de resposta a emergências de computadores (CERTs) ou
equipes de resposta a incidentes de segurança de computadores (CSIRTs)”.
O artigo 35 discute a base legal da convenção de cibersegurança em sistemas domésticos
legais de estados membros que providência: “estará aberto a todos membros da União, para
assinatura, ratificação ou adesão, em conformidade com os seus respetivos procedimentos
constitucionais”.
No âmbito da cooperação externa, a UA tem agendado declarações conjuntas com a
China para estreitamento de parcerias em cibersegurança e digitalização. Contudo, a melhor
cooperação no ciberespaço requere uma colaboração eficiente e segura entre as instituições do
estado, entidades públicas e privadas, a academia e a sociedade civil em geral. Exige-se um
esforço combinado na formulação de políticas, legislação e resposta a incidentes e troca de
informações para a segurança das ICs e pessoas através dos CERTs.
De acordo com o Diário Oficial da República do Chile (2018), a cooperação externa do
ciberespaço consiste na criação de “base de uma regulação democrática internacional que regula
a conduta dos estados a esta dimensão”. O Brasil com as suas multiplicidades de conexões com
as organizações da América Latina, OEA, BRICS e CPLP tem sido exemplo da forma como lida
com a cooperação internacional no ciberespaço. A cooperação em segurança no ciberespaço é
uma questão decisória e soberania de cada estado membro. É uma forma de integração de
esforços e compartilhamento de estratégias de ciberdefesa sem perder a soberania da jurisdição
do espaço dos ativos e recursos.
 51

2.2.4 Poder cibernético versus capacidades cibernéticas

O Poder Cibernético é a habilidade em usar o espaço cibernético para criar vantagens e

influenciar eventos em outros ambientes operacionais e através dos instrumentos de poder
(KUEHL, 2009). “Cyberpower is always a measure of the ability to use that cyberspace.
Cyberpower creates synergies across the other elements and instruments of power and connects
them in ways that improve all of them” (KUEHL, 2009). O poder cibernético se compara com
outras dimensões do poder: terra, mar, ar e espaço cósmico.
A Cibernética tem sido utilizado nas últimas duas décadas como um poder virtual pelos
países, particularmente os países desenvolvidos. Muitos países já criaram comandos cibernéticos
com finalidade de se proteger ou atacar ciberneticamente os outros ou aos interesses a que a eles
pertencem. Se antes se relacionava o poder brando com êxito de fazer a diplomacia e práticas de
cooperação internacional, hoje se desenvolve o poder cibernético na segurança, na diplomacia e
na cooperação do ciberespaço.
Segundo Kramer, Starr e Wents (2009), o poder cibernético e o ciberespaço são duas
dimensões do instrumento do poder informacional sob o modelo político, informacional, militar e
econômico. Denota-se que o ciberpoder pode ser usado como meio político, diplomático ou
militar. O ciberpoder reforça as capacidades militares, pode interferir e ajudar a diplomacia
procurando vantagens contra adversários. Ele cria condições para a elevação de capacidades na
defesa da soberania.
Robert Bebber (2017), no seu enquadramento analítico, acrescenta o potencial do poder
cibernético composto por estrutura doméstica e variáveis do sistema que subentende o ambiente
estratégico. Também neste enquadramento é apresentado o conceito eficiência cibernética como
habilidade de traduzir o poder cibernético para suporte de fins políticos nacionais, através do
ciberespaço. De acordo Nye (2012), a geografia do espaço cibernético é muito mais mutável que
outros ambientes. Hoje é mais barato e mais rápido mover elétrons pelo globo do que mover
grandes navios em longas distâncias.
Assim, o poder cibernético coerente, requere estratégias integradas, doutrinas e conceito
operacional (NYE, 2012). Os países com alto potencial de poder cibernético como a Rússia,
Estados Unidos da América, China, Israel já possuem capacidades cibernéticas operacionais no
ciberespaço, estratégias cibernéticas e doutrinas claras nas forças armadas. Os países acima
 52

citados criaram comandos cibernéticos. Outro exemplo é o bloco da NATO, que tem um
contingente dourado de cibersoldados, para operações cibernéticas.
Segundo Lima et al. (2017), tradicionalmente o poder compreende três componentes: a
posse de capacidades materiais, poder como influência e poder sobre resultados. No outro estudo
de categorização dos atores envolvidos na disputa pelo poder, apresenta quatro componentes:
governos, organizações, indivíduos e redes estruturadas. Nye (2010) classifica o poder no
ciberespaço em duas arenas: poder duro e poder brando, com as suas três fases do poder
relacional, segundo a tabela abaixo.

Quadro 2 - Fases do Poder Relacional

Fases Poder duro Poder brando
DoS ataques, inserção de vírus, Campanha de informação para
interrupções de SCADA, mudar as preferências iniciais dos
Primeira apreensão de bloggers hackers, recrutamento de
membros das organizações
terroristas
Firewalls, filtros e pressão sobre ISPs e monitor de auto-
campanhas para excluir algumas mecanismo, regras de ICANN
Segunda ideias sobre nome do domínio, padrões
de software amplamente aceites
Terceira Ameaças de punir os blogueiros Informação para criar
que divulgam material censurado preferências, desenvolver normas
de repulsão (revulsão)
Fonte: Adaptado de Nye (2010).

A cibernética aumenta as capacidades no campo de batalha, ajuda as ações de inteligência

na detecção e ataques ao comando, controle e as comunicações inimigas; por exemplo, a NATO
usa as capacidades cibernéticas ofensivas para reconhecimento, ganho e manutenção de
superioridade cibernética. Outro elemento chave é o interruptor de interdição cibernético que
destrói ou age de forma neutralizar as linhas eletrônicas de informação, de comunicação e
sistemas de suporte eletrônico de informação e comunicação usados pelo inimigo em terra, mar,
ar e forças do espaço (BONNER, 2014).
No entanto, para além do descrito acima como alternativa apontada no quadro 2 em duas
arenas: poder cibernético e poder brando, Joseph Nye (2010) enaltece três faces do poder: “a
primeira face do poder é a habilidade de um ator obrigar o outro a fazer algo contrário das suas
iniciativas preferenciais; poder duro pode ser incluso nos ataques DoS e poder brando é
 53

considerada uma ação onde um indivíduo ou organização pode persuadir outros a mudar o seu
comportamento”. A segunda face do poder é configuração de agenda ou enquadramento em que
um ator impede as escolhas de outro por exclusão de suas estratégias. A terceira face poder
envolver um ator em moldar preferencias iniciais de outra pessoa, para que algumas estratégias
nem sequer sejam consideradas.
A dimensão cibernética compreende ‘o espectro de usos industriais, educativos e
militares’ (MELLO, 2012). É neste espectro onde se desenvolve a genética da indústria militar,
treinamento e capacidades cibernéticas para as Forças Armadas atuarem em redes. Dizia Mao-
Tsetung, “o poder está no cano de uma espingarda” (BOOTH, 2001, p. 27). O poder não se
encontra apenas no cano de uma espingarda; o poder tem outras dimensões. Além do poder
político, diplomático, militar e econômico, encontramos o poder cibernético que molda aos
demais poderes. O poder cibernético desenha-se na base de vetores operacional-tático e políticos
estratégicos em detalhe no ponto 2.3.3 do segundo capítulo e no ponto 4.4.2 do quarto capítulo.
Como se denota, todas as atitudes revisitadas têm objetivos de incrementar as capacidades
cibernéticas operacionais para o suporte de poder cibernético como garantia de defesa da
soberania. As capacidades cibernéticas são ações cibernéticas para a proteção de ativos de
informação e ofensiva que permite a intrusão nos sistemas do adversário. De acordo com Lima et
al. (2017), as capacidades defensivas assim como ofensivas nas operações cibernéticas são
determinantes na batalha ou no conflito cibernético. Clarke e Knake (2010) escrevem
estrategicamente uma avaliação das capacidades ofensivas e defensivas, há que considerar as três
dimensões:
a) a capacidade ciberofensiva, entendida como a capacidade de efetuar ciberataques a
outros Estados;
b) a capacidade ciberdefensiva configurada como “a medida da capacidade de adotar
ações sob um ataque”, ações essas que “irão bloquear ou mitigar esse ataque”;
c) a ciberdependência medida como “a extensão em que um Estado está ligado e assente
sobre redes e sistemas que podem ser vulneráveis no caso de um ciberataque.
Essas dimensões das capacidades cibernéticas serão discutidas em detalhe na secção 2.3
da guerra cibernética e operações no ciberespaço, nos pontos 2.3.2 e 2.3.3 deste capítulo.
Também serão analisadas as ações de coerção e de dissuasão.
 54

2.3 GUERRA CIBERNÉTICA E OPERAÇÕES NO CIBERESPAÇO

No contexto mundial, as armas cibernéticas aparecem antes dos ataques de 11 de

setembro de 2001 sobre as torres de World Trade Center, nos Estados Unidos da América (EUA).
Os ciberataques começaram em 1982, com a conhecida Bomba Lógica, que causou a explosão de
um gasoduto soviético na Sibéria. Em 1998, foi a penetração dos hackers nos sistemas de
computação das Forças Armadas Estadunidenses, que tinha como alvos os mapas, os esquemas
militares e as configurações das tropas dos EUA (SILVA, 2014).
Em abril de 2007, aconteceram os ataques cibernéticos mais disseminados à Estônia
(PISSANIDIS; RÕIGAS; VEENENDAAL, 2016), considerado como marco de início da guerra
cibernética de grande envergadura. Os outros ataques cibernéticos ocorreram em 2008, na
Geórgia (BONNER, 2014), onde as infraestruturas foram limitadas para dar espaço a ofensiva
terrestre dos russos e, de ataque do vírus Stuxnet, em 2010, às instalações nucleares do Irã que
também se associam a história das grandes batalhas da guerra cibernética.

Figura 2 - Ciber Armas e Ciber Ataques

Bomba Lógica 1982: Sibéria US FA | penetração de hackers sist.

Comput.1998

Ciberataques 2007: Estónia Ciberataques 2008:

Fonte: o autor (2020). Geórgia
 55

Guerra Cibernética (GC) ou Ciberguerra corresponde ao uso ofensivo e defensivo de

informação e sistemas de informação para negar capacidades de C2 ao adversário, explorá-las,
corrompê-las, degradá-las ou destruí-las, no contexto de um planejamento militar de nível
operacional ou tático ou de uma operação militar. Compreende ações que envolvem as
ferramentas de TICs para desestabilizar ou tirar proveito dos sistemas de informação do oponente
e defender os próprios Sist Info (BRASIL, 2017). As Guerras Cibernéticas envolvem a utilização
de armas cibernéticas nas chamadas ciber operações. Seguindo a teoria da “Paralisia Estratégica”
de Sun Tsu, sem ter que enfrentar no terreno, pode-se enfraquecer o inimigo usando as armas
virtuais independentemente do seu poderio bélico 10.
Arquilla e Ronfeldt (1997, p. 30-31), no artigo “Cyberwar is Coming!” In: Athena’s
Camp: preparing for conflict in the information age, definem a ciberguerra como:

[...] conduzir e preparar para conduzir, operações militares de acordo com os princípios
da informação [...]. Esta forma de guerra pode envolver diversas tecnologias –
nomeadamente C3I; coleta de informação, posicionamento e identificação de amigos ou
inimigos (IFF); e sistemas de armas “inteligentes” – para dar apenas alguns exemplos.
Pode também envolver interferência eletrônica, falseamento, sobrecarga e intrusão nos
circuitos de informação e comunicação de um adversário. [...]. Pode também implicar o
desenvolvimento de novas doutrinas sobre o tipo de forças necessárias, onde e como
deslocá-las, e saber o quê e como atacar no lado do inimigo. Como e onde posicionar
determinados tipos de computadores e sensores relacionados, redes, bases de dados, etc.,
pode-se tornar tão importante como a questão que costumava ser efetuada sobre
deslocação de bombardeiros e as suas funções de suporte. A ciberguerra pode também
ter implicações para a integração dos aspectos políticos e psicológicos com os aspectos
militares de fazer a guerra.

Para Nye (2011, p. 21), a ciberguerra são ações hostis no ciberespaço que tem efeitos que
ampliam ou são equivalentes em uma maior violência cinética (tradução nossa). Também pode
ser considerada como uma guerra hibrida 11, ciber conjuncional onde se envolvem atores estatais e
não estatais com meios cibernéticos e tradicionais da guerra. A exemplo disso são conflitos do
Oriente Médio e, em particular, no norte de Moçambique, onde se combinam as operações do

10
Aqui não se pretende dar a mesma dimensão dos conflitos que ocorrem no ciberespaço ou das guerras
tradicionais com armas convencionais. Os atos da ciberguerra não são iguais aos atos do ciberterrorismo e nem
do cibercrime, no entanto as ciberguerras podem ser usadas para efeitos terroristas e de crimes no ciberespaço.
Por isso, precisa-se da securitização do ciberespaço.
11
A guerra híbrida do Estado envolve a plena integração dos meios militares e não-militares com o poder do Estado
para alcançar objetivos políticos, nos quais o uso da força ou o papel da força desempenham um papel central.
Estados com habilidades altamente centralizadas para coordenar e sincronizar seus instrumentos de poder
(governo, economia, mídia, etc.) podem criar efeitos multiplicadores de força sinérgica (KJENNERUD;
CULLEN, 2016, p.1).
 56

emprego de alta tecnologia como armas antissatélites, ataques cibernéticos (HOFFMAN, 2007),
drones de reconhecimento e de ataques mortíferos.

2.3.1 Teorias da guerra cibernética

Jan Kallberg (2016), no artigo “Strategic Cyberwar Theory - A Foundation for Designing
Decisive Strategic Cyber Operations”, define teoria como uma maneira abrangente de combinar
ideias, fenômenos e fatos, de forma generalizada, a fim de buscar uma explicação para resultados
específicos. Na teoria da guerra cibernética, procura-se explicar como os fatos ocorrem neste
novo paradigma de guerra num espaço virtual, aterritoral. As condições tradicionais da guerra
não são comuns na ciberguerra. A aplicabilidade das teorias tradicionais da guerra clássica para a
guerra moderna no ciberespaço está cada vez mais complexa; além disso, apenas alguns
pressupostos podem ser aplicáveis na ciberguerra, tais como surpresa, rapidez e oportunidade.
A Guerra Cibernética envolve a preparação de operações ofensivas, defensivas e
exploratórias em ambientes de redes de computadores, internet, comunicações móveis e fixas que
podem ser usadas para fornecer dados e causar dano as infraestruturas do adversário/inimigo. O
caso da propagada de espionagem da agência de segurança estadunidense reportada por seu ex-
agente Edward Snowden mostra claramente a quão perigosa é a guerra cibernética para a
segurança dos estados. A intrusão russa nas eleições estadunidense em 2016 e os ataques a
sistemas iranianos são exemplos claros de espionagem e guerra cibernética entre atores estatais.
Estes conflitos também podem se estender para atores não estatais a objetos estatais.
Para se entender melhor o paradigma guerra cibernética ou ciberguerra é necessário
compreender a essência dos termos cyber e guerra. Cyber é um prefixo e, até 1990, não tinha
nenhum significado (CYBER..., 1996). Com a evolução etimológica em conexão com outras
palavras como cyber espaço, cyber guerra, cyber poder ou cyber segurança, o termo cyber passou
a ser considerado como cibernética 12. Arquila e Ronfeld (1997) são mentores pela incorporação
do termo cyber no léxico de segurança e estudos estratégicos (CEPIK; CANABARRO;
FERREIRA, 2015). A essência da cibernética, desde sua origem grega, significou dirigir ou
governar; este termo se tornou mais expressivo quando Gibson (1984) associou ao espaço,

12
Cybernatics (n.) coined 1948 by U.S. mathematician Norbert Wiener (1894-1964) from Greek kybernetes
"steersman" (metaphorically "guide, governor") + -ics; perhaps based on 1830s French cybernétique "the art of
governing."
 57

chamando a de ciberespaço, o que hoje se considera de 5º domínio de batalha depois da terra,

mar, ar e espaço.
A guerra é uma ação que exige meios, organização e doutrina militar; quando se fala de
meios refere-se a recursos humanos e tecnológicos para criar capacidades (CEPIK;
CANABARRO; FERREIRA, 2015) que movem a guerra. Segundo Clausewitz (1976), a guerra é
um ato de força que obriga o inimigo a fazer a nossa vontade. Por ciberguerra, entende-se um
conjunto de capacidades humanas e tecnológicas (redes de computadores, satélites, ciber armas)
para dirigir ou comandar a guerra no ciberespaço. A ciberguerra não é apenas uma das categorias
de guerra de informação como a guerra de comando e controle, guerra de inteligência, guerra
eletrônica, guerra psicológica, guerra de hacker e guerra de informação e econômica (LIBICK,
2009); ela tem tomado outra dimensão operacional e tático no domínio do ciberespaço. Mas antes
de desenvolver com mais profundidade o propósito do objeto em debate nesta seção, são
apresentadas as premissas da guerra cibernética (CLARKE; KNAKE, 2010):
a) ela é real e os exemplos que temos hoje estão longe de ser indicativos do que pode ser
feito. Para eles, o que os EUA e outras nações são capazes de fazer em uma guerra
cibernética poderia devastar uma nação moderna;
b) ela acontece na velocidade da luz, uma vez que a informação flui por cabo de fibra
ótica, podendo interferir na eficácia da tomada de decisão;
c) ela é global, pelo fato de as estruturas estarem conectadas em rede;
d) ela ignora o campo de batalha, devido à existência e à abrangência do espaço
cibernético;
e) ela já começou, visto que segundo eles, as nações já estão "preparando seu campo de
batalha”, suas bombas lógicas para serem empregadas no momento oportuno,
acrescentando uma nova dimensão perigosa de instabilidade na atualidade.
O conceito e as premissas da guerra cibernética não se assemelham tanto com a “Paralisia
Estratégica” de Sun Tsu ou com a estratégia da guerra de Clausewitz. Porém, é menos verdade
que a guerra cibernética poderá substituir a guerra convencional ou física, onde poderia existir
uma destruição e ocupação do território do inimigo. Ainda persiste fortes divergências sobre
efeitos e impactos da guerra cibernética, alguns autores não acreditam na existência deste tipo de
guerra; é o caso de Howard Schmidt, conselheiro de cibersegurança na Casa Branca, durante a
administração Obama, na obra “While House Cyber Czar: There is no Cyberwar”; outro exemplo
 58

extremo é de comparar a guerra cibernética com a guerra convencional, na afirmação do

Secretário Geral da UIT que diz “assim como na guerra convencional, não há vencedores, apenas
destruição” (TOURÉ, 2013).
Neste propósito, discute-se a ciberguerra como um ato de suporte a guerra convencional
ou de espionagem tecnológica entre atores estatais e não estatais. Não se pode comparar a
ciberguerra com a guerra de destruição massiva. É verdade que a guerra cibernética pode ter uma
ação onerosa e dissuasora, não massivamente mortífera como as batalhas físicas realizadas no
teatro operacional terrestre, marítimo, aéreo e espacial. De todas as definições encontradas sobre
guerra, a que assemelha ao conceito ciberguerra é a definição de Cabral Couto (1998) que destaca
a existência de guerra sem a luta armada, uma guerra não declarada.
Sun Tzu, na sua obra “A Arte de Guerra” (2000), apresenta um pensamento semelhante
ao afirmar “a suprema arte de vencer o inimigo sem lutar” e acrescenta “em campanha as
operações devem ser rápidas como o vento”. As outras premissas que podem ser associadas ao
pensamento de Sun Tzu e Cabral Couto são de Carl Von Clausewitz (1976) de que a guerra é
travada por uma notável trindade: razão, oportunidade e paixão: (Razão) devido a essência dos
governos ou estados em promover a guerra; (oportunidade) por se basearem na existência de
condições humana e material de fazer a guerra; e a (paixão) do povo, isto é, a vontade popular
para a guerra.
Estrategicamente, a guerra cibernética apresenta uma posição dominante; a ação ofensiva
é mais fácil, rápida e menos onerosa que a ação defensiva. Entende-se também que a guerra
cibernética é assimétrica, um país pequeno ou um país com poucos recursos pode desencadear
uma ação ofensiva e reduzir a capacidades operativas e de suporte do adversário. Num conflito
cibernético, além dos pressupostos ou premissas já indicadas nos parágrafos acima, deve-se
considerar as características do ciberespaço, os objetivos básicos ao nível estratégico, operacional
e tático e as ações desempenhadas no ambiente cibernético (Ofensivas, Defensivas e de
Exploração) (SILVA, 2014).

A guerra cibernética está sendo usada para uma variedade de propósitos geopolíticos
pela Rússia e está sendo integrada às capacidades e operações de guerra pelos Estados
Unidos e China. (Todos os três poderes se envolvem em espionagem cibernética, mas
isso é uma questão diferente.) Esse estado de coisas nos pressiona a perguntar se a
dissuasão mútua subjacente à estabilidade estratégico-nuclear entre as Três Grandes
poderia ser enfraquecida pelo potencial ofensivo de guerra cibernética desses mesmos
poderes. (GOMPERT; LIBICK, 2019, p. 54).
 59

2.3.2 Ciberataques e resiliência cibernética

Como disse Liaropoulos (2014), na 13ª. Conferência Europeia sobre a Guerra Cibernética
e Segurança, “os ataques cibernéticos nem sempre são conduzidos por estados. Os criminosos,
mesmo os gangs de computadores podem estar por de traz dos ataques cibernéticos”. Os
ciberataques podem afetar as infraestruturas críticas ou objetos críticos públicos e privados, como
os sistemas de abastecimento de água, sistema de eletricidade, sistema bancário, sistema de
saúde, sistema de transporte, sistemas industriais e da defesa e segurança do estado, tornando-os
inoperacionais. Muitos autores apresentam vários conceitos e definições que convergem para o
mesmo sentido.
Clarke e Knake (2010, p.124) definem o ciberataque como:

[...] a penetração não autorizada, em nome ou em apoio de um governo de outra nação

computador ou rede, ou qualquer outra atividade que afeta um sistema de computador,
no qual o objetivo é adicionar, alterar ou falsificar dados ou causar o rompimento ou
danos a um computador, ou dispositivo de rede, ou os objetos de controles do sistema de
computador.

Moreira (2012, p. 32) define ciberataque como:

[...] um ataque lançado geralmente a partir de um computador recorrendo ao método de

intrusão e que tem como finalidade adquirir, explorar, perturbar, romper, negar, degradar
ou destruir informação constante em computadores ou em redes de computadores, em
sistemas e equipamentos eletrônicos ligados a outros equipamentos ou sistemas ou que
partilham a mesma estrutura de energia ou o mesmo espaço de emissão eletromagnética,
bem como os próprios computadores, redes de computadores, sistemas e equipamentos.

Para Kissel (2011, p. 57) o ciberataque é o sinônimo de:

[...] uso do ciberespaço por um empreendimento com o objetivo de interromper,

desativar, destruir ou controlar maliciosamente um ambiente/infraestrutura de
computação; ou destruindo a integridade dos dados ou roubando informações
controladas.

Embora alguns estudos tenham abordagens diferentes para ciberataques, como o contexto
cibernético aplicável nas Nações Unidas, ciberataques como uso da força, ciberataques como
confrontações armadas (HOLMBERG, 2015), as intenções são as mesmas de invadir,
 60

interromper, negar, degradar ou destruir informações residentes em computadores e redes de

computadores ou computadores e próprias redes. O ciberataque também pode ser considerado
como uma operação individual ou coletiva ou de um estado para outros estados que consiste na
transmissão de softwares maliciosos para danificar ou roubar informações de computadores,
celulares e outros dispositivos em redes.
De ponto de vista teórico, o ciberataque é descrito como o propósito de um atacante
procurar vantagem em objetos de sistemas de computadores, celulares e sistemas industriais. Na
teoria de ciberataque, primeiro se definem os ataques e a intenção do atacante nos termos de
parâmetros de informação (ZHUANG et al., 2015). Na ação do atacante é delimitado o objeto a
ser atacar e deve ser detalhadamente descrito. Neste cenário, os ataques são um aspecto chave na
teoria de como eles definem o efeito de uma interação do atacante com o sistema objeto atacado
(ZHUANG et al., 2015). Os ciberataques sofisticados compreendem vários estágios (SMEETS,
2018, p. 5).

O primeiro estágio é o reconhecimento. Isso inclui o invasor "farejar" (para escutar o

tráfego de dados existente), "pegar" (para obter conhecimento da rede ou postura de
segurança) e / ou "enumerar" (para identificar contas de usuário que podem ser
potencialmente exploradas). O segundo estágio diz respeito à intrusão, invasão de
usuário (com privilégios de usuário não administrativos) e invasão raiz (com privilégios
de usuário administrativo). O terceiro estágio de um ataque cibernético é a escalação de
privilégios, onde a vulnerabilidade é explorada em um sistema operacional (SO) ou em
um pacote de serviço / software específico. O quarto estágio revela o objetivo do
atacante. Pode ser Negação de Serviço (DoS), instalação de um backdoor, extrapolando
dados, espionagem ou corrupção (com o objetivo de causar danos).

Os métodos de modelagem de ataques de árvores, ataque gráficos, rede de ataque, e

outros não são suficientes para descrever comportamentos complexos de ataque em um ambiente
cibernético em larga escala e também impossível analisar quantitativamente o processo ou os
efeitos de defesa de ataques cibernéticos. A teoria de superfície de ataque é apropriada para
avaliar cientificamente as capacidades de ataque cibernético e de defesa (WU, 2020). Os
ciberataques além de afetar as ICs das instituições públicas e privadas, reduz drasticamente as
capacidades de poder militar dos estados. Eles possuem formas de atuação diferentes das
aplicadas em conflitos tradicionais.
Para minimizar ou dissuadir os efeitos dos ciberataques, os estados, as organizações
públicas e privadas procuram criar CIRSTs. É nos CIRSTs onde são planejadas as ações de
monitoria e resiliência das ICNs e dos objetos estratégicos do estado. Segundo Robert
 61

Buschbacher (2014), a resiliência é a capacidade de sistema manter suas características

essenciais de estrutura e função, mesmo depois de um colapso e reorganização. A
ciberresiliência13 em ataques a ICs pode ser a capacidade de resistência a invasão de vírus ou
armas digitais no ciberespaço. Os ciberataques são grandes ameaças a soberania do estado, das
organizações e da sociedade.
Para manter a resiliência ao ciberataque, é necessário o reforço de cooperação entre
CERTs na partilha de informação técnica, assim como as melhores práticas na prevenção,
detecção e resposta a incidentes cibernéticos (EUROPEAN UNION, 2016). Além do mais, os
fatores dissuasores das potencias cibernéticas ou da defesa coletiva de blocos também podem ser
elementos resilientes a intenções de atores estatais e não estatais de limitarem ou de abandonarem
os seus planos de ciberataques. A resiliência cibernética requere um alto nível de organização das
instituições em observância das políticas, das leis, capacidades tecnológicas e melhores
qualificações do pessoal. A resiliência previne, recupera os danos e pode ser elemento de
dissuasão pela negação 14 contra-atacantes.

2.3.3 Operações no ciberespaço (ou cibernético) e armas digitais

As operações cibernéticas compreendem as ações ofensivas, defensivas e de exploração

no domínio cibernético. As operações no ciberespaço diferem das operações realizadas no espaço
físico, onde o ambiente territorial favorece a ataques violentos, destruidores e mortais. As
dimensões das operações no ciberespaço dependem das capacidades cibernéticas 15 dos
envolvidos no conflito digital. A maioria das operações cibernéticas 16 são de espionagem,
intrusão política ou econômica entre atores estatais, não estatais e de apoio a ataques armados. As
operações cibernéticas entendem-se por recursos do ciberespaço aplicáveis com proposito de
alcançar os objetivos militares, de inteligência nacional e de negócios comuns (SCOTT, 2018).

13
Cyber resilience is the ability to prevent, detect and correct any impact that incidents have on the information
required to do business. In Cyber Resilience Best Practice
14
Persuadir o oponente de que seu ataque não atingirá os resultados desejados. Marcelo Malagutti, Alternativas de
Dissuasão para Nações não Agressivas. IV Simpósio de Ciência, Tecnologia e Inovação da Marinha Brasileira,
São Paulo, Outubro 2017.
15
Capacidades cibernéticas podem ser entendidas como ferramentas para ações estratégicas no ciberespaço. As
capacidades num conflito cibernético são medidas obedecendo os três vetores: ofensiva, defensiva e de
dependência (CLARKE; KNAKE, 2010).
16
Cyber operations are able to destroy, degrade, deny, and disrupt information technology-dependent
infrastructures and data. They can be used in espionage and manipulation (ORYE; MAENNEL, 2019).
 62

David Turns (2013) entende que as operações cibernéticas podem ser consideradas como
ato de violência, se as consequências pretendidas e as práticas serem compatíveis com as
consequências de um ataque com meios de guerra. Essa teoria de Turns traz uma complexidade
de compreensão ao querer igualar os atos operacionais cibernéticos com os atos das operações da
guerra convencional. Sabendo se que os ataques cibernéticos têm fins de distração para apoio as
batalhas convencionais, os efeitos das operações cibernéticas nunca serão iguais as da guerra
convencional, apenas servirão de suporte a batalha. Num conflito armado, os ataques cibernéticos
são usados para fins de distração possibilitando ataques armados convencionais
(DORNSBUSCH, 2014).
Na academia, assim como na literatura dos governos e dos militares, encontram-se
designações diferenciados sobre operações cibernéticas ou operações no ciberespaço. De acordo
com Alberts (2018), as operações no ciberespaço exigem uma abordagem C2 não tradicional e
nem todas as operações no ciberespaço são iguais; existem as operações defensivas do
ciberespaço que buscam defender e garantir o desempenho dos recursos e capacidades do
ciberespaço, e aquelas de natureza ofensiva.
Leite da Silva (2014), na obra “Guerra Cibernética: quinto domínio de batalha”,
princípios e conceitos, apresenta três tipos de operações no ciberespaço: Ofensivas, Defensivas e
de Exploração.
a) As operações ofensivas que procuram destruir, impedir e/ou dificultar a utilização de
informação pelo inimigo e de suas capacidades cibernética, tanto por meio de ataques
físicos como por ataques cibernéticos, pela rede, utilizando “armas cibernéticas”;
b) as operações defensivas que procuram evitar ou minimizar ataques cibernéticos
lançados pelo inimigo, protegendo a informação e restaurar rapidamente os danos e
limitações oriundas desses ataques, impingidas às capacidades cibernéticas,
garantindo a utilização do Espaço Cibernético;
c) as operações de exploração que procuram monitorar o inimigo na busca de
informações sigilosas, detectar suas atividades cibernéticas e conhecer suas
vulnerabilidades sistêmicas dentro da rede, buscando informações que proporcionem
vantagem tanto no ambiente cibernético quanto no ambiente cinético.
Os outros autores, particularmente os que escrevem documentos militares, criam
designações aglutinadas e muitas das vezes com uma linguagem própria, militarizada sobre
 63

operações cibernéticas. Alexander Crowther (2018) descreve quatro tipos de ações de operações
cibernéticas militares: operação de modelagem à cognição, vigilância cibernética e
reconhecimento, preparação operacional do meio ambiente e ataques do ciberespaço. E afirma
que as operações podem ser de natureza defensiva e ofensiva.
a) Operação de modelagem à cognição é usar informações para fazer as pessoas
pensarem de uma certa maneira. Isso pode ser benigno como o Facebook ou maligno
como crimes cibernéticos. Devido à natureza difundida das informações no século
XXI, todos os que se conectam à Internet podem moldar os pensamentos dos outros.
A radicalização por atores estatais e não estatais é um desafio significativo,
especialmente a radicalização de lobos solitários ou grupos de lobos. Outros atores
visam populações de outros países (para radicalizar), funcionários do governo (para
criar uma ameaça interna) e empresas (para coagir ou chantageá-los no
comportamento que o iniciador desejar). Os governos, consequentemente, lutam para
lidar com a formação generalizada de cognições;
b) vigilância cibernética e reconhecimento é a coleta de dados. Google reúne dados
todas vezes que alguém acessa a Internet. Os estados coletam dados de pessoas de
outros países ou de seus próprios cidadãos. Alguns estados coletam dados econômicos
e os transmitem para suas empresas estatais que os utilizam para obter uma vantagem
competitiva no mercado. Os criminosos coletam dados para executar melhor suas
atividades criminosas;
c) preparação operacional do meio ambiente é preparação específica do meio
ambiente para operações subsequentes instalando “portas traseiras” em sistemas de
computadores direcionados para que eles possam retornar mais tarde para executar um
ataque ou criar software especialmente projetado que lhes permita obter um efeito,
como abrir os portões de uma barragem. Entre os exemplos recentes, como observado,
estão os sete iranianos que foram indiciados por invadir bancos e uma represa em
Nova York;
d) ataques do ciberespaço são ações que criam efeitos visíveis de negação (ou seja,
degradação, interrupção ou destruição) no ciberespaço ou manipulação que leva a
efeitos de negação nos domínios físicos. Diferentemente das ações de exploração do
ciberespaço, que costumam permanecer clandestinas para serem eficazes, as ações de
 64

ataque do ciberespaço serão aparentes para os operadores ou usuários do sistema,

imediata ou eventualmente, uma vez que removem algumas funcionalidades do
usuário17.
Brett Williams (2014) aponta três categorias de operações no ciberespaço: operações de
informações na rede do Departamento de Defesa, operações defensivas e operações ofensivas no
ciberespaço. Para criar efeitos necessários em emprego de força no ciber domínio, Williams
indica quatro ações:
a) defesa do ciberespaço;
b) preparação operacional do ambiente do ciberespaço;
c) inteligência, vigilância e reconhecimento do ciberespaço;
d) ataque no ciberespaço.
e)
Figura 3 - Espaço Cibernético

Fonte: Brett T. Williams (2014, p. 14).

Todas as designações coexistem, embora com algumas especificidades de ações para a

defesa do ciberespaço que não é comum em Williams e Crowther. Da Silva descreve três tipos de
operações ofensivas, defensivas e de exploração; Williams limita-se em duas operações defensiva
e ofensiva. Nota-se nestas designações de operações no ciberespaço, há um paralelismo teórico

17
As ações de ataques do ciberespaço incluem negação (degradar, perturbar, destruir), manipular, contramedidas no
ciberespaço, atribuição de forças do ciberespaço à Operações Cibernéticas, atividades adversas no ciberespaço.
(SCOTT, 2018).
 65

entre Alberts e Williams em limitar-se apenas nas operações defensivas e ofensivas. Peter
Margulies (2013) considera três formas de operações cibernéticas usadas por atores estatais e
não-estatais: ataques de DDoS, ataques ao sistema de controle e ataques de colheita de
informação (espionagem).
Nas operações das guerras tradicionais, são usados instrumentos convencionais de
combate ou ataques. Os estados procuram aumentar as suas capacidades bélicas, adquirindo ou
comprando armas com objetivo de mostrar a estrutura militar para a proteção ou dissuasão de
possíveis ataques dos adversários. Em operações de ciberguerras, são usadas as chamadas armas
cibernéticas para coagir ou dissuadir quaisquer indícios de ataques no ciberespaço. Segundo Dóra
Dévai (2016), uma arma cibernética é a combinação de três elementos projetados para criar
efeitos físicos ou digitais destrutivos. Schmitt (2013, p. 141-142), no “Tallinn Manual on the
International Law Applicable to Cyber Warfare”, define armas cibernéticas como:

[...] meios cibernéticos de guerra que sejam por design, uso ou uso pretendido capazes
de causar (i) ferimentos ou morte de pessoas ou (ii) danos ou destruição de objetos, isto
é, causando as consequências necessárias para qualificar uma operação cibernética como
ataque (tradução nossa).

Robert Dewar (2017) afirma que existem três agrupamentos de ferramentas

cibernéticas utilizadas para operações cibernéticas de espionagem e de ataques destrutivas no
ciberespaço: Worms 18, software armado19 e redes bots. Catherine Theohary e Anne
Harrington agrupam em quatro tipos de ferramentas ou armas cibernéticas: Malware 20,
Botnets21, Distributed Denial of Service Attacks22, Automated Defense Systems 23. Nota-se

18
Worms are pieces of malware, which have the ability to replicate themselves and spread throughout a device or
network. That replicability is programmed into the worm’s coding. Worms can cause damage by targeting
specific data sets on a network and deleting or corrupting them (DEWAR, 2017).
19
Weaponized software is a separate set of malware to viruses and worms. They are programs and pieces of
software that have been specifically designed to cause damage to their intended target. They are not replicative:
they do not move through a network or infect other machines as that was not their purpose. Instead they carried
out pinpoint attacks on their target. (DEWAR, 2017).
20
Malware is a general term for malicious software. Bots, viruses, and worms are varieties of malware. Bots, as
described below, are used to establish communication channels among personal computers, linking them together
into botnets that can be controlled remotely.
21
Robotic networks, commonly known as botnets, are chains of home and business PCs linked together by a script
or program. That program (the bot) enables a single operator to command all of the linked machines. Botnets are
not necessarily malicious (Theohary; Harrington, 2015, p.3). Cyber Operations in DOD Policy and Plans: Issues
for Congress, Congressional Research Service Report. Botnets are the latter, more precisely; they are groups of
nodes (endpoints or network devices) on the Internet, which use resources of the infected nodes without any
knowledge or consent of their owners for illegal activities (BEDERNA; SZADECZKY, 2019, p. 3).
 66

nos dois autores acima que há uma forma diferente de classificação de ciberarmas. Dewar
descreve Worms com a capacidade de danificar, eliminar ou corromper dados.
Nos últimos anos, foram desenvolvidos fortes tipos de ciberataques que derrubaram
computadores e causaram prejuízos a várias empresas em milhões de dólares. Wannacry é a
epidemia que espalhou, para o mundo, ransomware e malware derrubando milhares de
computadores incluindo ICs de vários países; NotPetya 24 causou prejuízos as empresas em
biliões de dólares; Stuxnet é um ataque cibernético contra sistemas industriais; DDoS é um
sistema computacional estruturado em rede e que provoca perda de serviço por parte dos
usuários; e os Botnets são redes de bots controladas remotamente por um ou mais atores mal-
intencionados, comumente referidos como "botherders ou botmasters”.

2.3.4 Sistema de comando e controle nas operações do ciberespaço

O Comando e Controle (C2) são atividades militares de comandar e de controlar os

homens tanto no tempo de guerra assim como no tempo de paz. C2 é um espectro onde o
comandante ou o líder escalona o poder aos seus subordinados gerando ações operacionais no
campo de batalha ou nas missões que são atribuídas na manutenção de paz. No campo de gestão,
Fayol (1989) define C2 como ato de planejamento, organização, comando, coordenação e
controle. De acordo com Hallberg et al. (2018), C2 é um sistema 25 sócio técnico composto de
tecnologia, métodos de organizações, doutrina e pessoal. O exército brasileiro define sistema C2
cibernético como ciência e arte que trata do funcionamento de uma cadeia de comando e envolve
três componentes funcionais:

22
Distributed Denial of Service (DDoS) attacks flood their target with requests, consuming the target’s bandwidth
and/or overloading the capacity of the host server, resulting in service outages. These attacks are “distributed”
because effective attacks employ botnets, distributing the source of requests across an entire network of zombie
computers. (WASSON, 2015, p. 4).
23
Retaliatory hacking, a response to network breaches that has been used in the private sector, has gained traction
within DOD as a means to stage an “active defense.” These potentially offensive operations may occur when a
systems administrator sees an intrusion and in turn breaches the assumed point of origin, either to retrieve or
destroy information. (WASSON, 2015, p. 5).
24
Ransomware Petya é um vírus de resgate, que embaralha os arquivos do computador, impedindo seu
funcionamento normal. Para restaurar os arquivos e recuperar o sistema, a vítima precisa fazer um
pagamento.
25
An integrated set of interoperable elements or entities, each with specified and bounded capabilities, configured
in various combinations that enable specific behaviors to emerge for Command & Control, C2 by Users to
achieve performance-based mission outcomes in a prescribed operating environment with a probability of
success. (WASSON, 2015, p. 3).
 67

a) a autoridade investida de comando;

b) a sistemática do processo decisório;
c) a estrutura para acompanhar as operações militares.
Os sistemas de C2 cibernéticos são diferentes das tradicionais C2, principalmente nas
operações do comando militar no ciberespaço. Eles diferem-se nas condições de aplicabilidade
em operações no espaço e no tempo. Segundo Stone (2016, p. 11):

[...] ciberespaço é significativamente diferente no tempo e no espaço. O ciberespaço

apresenta um ambiente operacional muito mais dinâmico e complexo para as forças
armadas.... As diferenças temporais e espaciais apresentadas pelo ciberespaço exigem
que os militares examinem sua doutrina de longa data para C2 e tomada de decisão.

Nas últimas décadas, com advento de desenvolvimento tecnológico na automação,

inteligência artificial, computação em nuvem, internet das coisas, a necessidade de comunicação
em tempo real e rápido fluxo de informação para a tomada de decisões dos comandantes nas
guerras modernas, o C2 evoluiu passando a designar-se por comando, controle, computação,
comunicações, inteligência, vigilância e reconhecimento (C4ISR) (DAVIES; DAVIS, 2016). Os
sistemas de C2 cibernéticos podem ser considerados como um conjunto de sistemas distribuídos
hierarquicamente e também podem ser um conjunto de células heterogenias e interconectados
obedecendo o único comando central.
A combinação de sistemas modernos de C2 aumenta a eficiência e a superioridade no
campo da batalha contra o adversário. Alguns exemplos são as invasões das forças Russas à
Estônia (2007) e à Geórgia (2008), as guerras contra insurgentes e forças irregulares no
Afeganistão, Iraque, Sahel e outros países ou territórios. Essa abordagem pode ser analisada se
for possível aplicar contra as incursões dos insurgentes no norte de Moçambique. É evidente que
as operações podem ser complexas, mas o uso de uma ação hibrida é melhor método no combate
ao terrorismo.
Depois da teorização compacta sobre o C2 procura-se discutir os principais modelos e
suas eficiências nas organizações. Joseph Scherrer e William Grund, na sua obra “A Cyberspace
Command and Control Model” (2009), apresentam três principais modelos com as respectivas
variantes: 1) o modelo histórico tradicional que inclui atual abordagem do Departamento da
Defesa dos EUA para o C2 no ciberespaço; 2) o modelo de sistemas cibernéticos; e 3) o modelo
psicológico cognitivo. Esses modelos estão associados a características positivas e negativas das
 68

formas organizacionais hierárquica e hibrida (SCHERRER; GRUND, 2009). Segundo Levchuk

et al. (2003), o C2, numa organização hibrida, resolve o problema de não acoplamento por
comando de controle e apresenta uma boa eficiência no desempenho dos parâmetros.
Neste estudo, se interessa uma abordagem holística de um C2 de um modelo de forma
hibrida, proposta por Joseph e William (2009); um modelo que pode ajudar no combate ao
terrorismo e a insurgência no norte de Moçambique. Neste contexto, basicamente para uma
análise profunda das operações cibernéticas de C2, pode-se buscar o modelo de C2 do
ciberespaço de Alberts e Hayes (2006) com três dimensões: alocação de direitos de decisão,
padrões de interações entre entidades e distribuição de informações entre entidades. Também
pode se associar ao modelo de John Boyd (1987), desenvolvido em 1960, que é baseado em
observação, orientação, decisão e ato (OODA); o modelo mais usado para a doutrina do
departamento da defesa estadunidense, obedecendo os seguintes níveis de tomada de decisões –
estratégico, operacional e Tático.

Figura 4 - Níveis de tomada de decisões – Estratégico, Operacional e Tático

Fonte: Morgan e Stone (2019, p. 14).

A figura acima apresenta dois círculos. O círculo da direita acima cobre o Comando ou a
Direção Estratégica – Operacional composto por gestão de conflito e gestão situacional das
operações, e o círculo de baixo à esquerda cobre os níveis operacional e tático composto por
gestão de operações situacional e gestão de incidentes, evento, tarefa, rede. É no nível
Operacional – Tático do sistema de C2 onde se inserem as funções operativas (ofensivas e
defensivas). No entanto, para que as funções operativas de C2 se realizem com sucesso é
 69

necessário um atributo denominado agilidade 26 C2. O conceito de agilidade C2 foi testado

empiricamente em simulações e estudos de caso (NATO SCIENCE AND TECHNOLOGY
ORGANIZATION, 2014). A função operativa ofensiva no C2 do ciberespaço consiste em
limitar, degradar ou destruir as capacidades da informação (cibernética) do adversário
(RATTRAY; HEALEY, 2010).
As operações cibernéticas ofensivas são ações do C2 de degradar, romper, destruir ou
manipular alvos dos adversários produzindo os efeitos tático-operacional e o efeito estratégico de
alcançar os objetivos pretendidos. Segundo os Chefes de Estado-Maior Conjunto (US JOINT
CHIEFS OF STAFF, 2018), elas devem ser integradas no plano geral de um comando militar.
Constituem eventos de operações ofensivas cibernéticas alguns exemplos, como ataques de
Ransomware, ataques de DDoS e Stuxnet.
A função operativa defensiva no C2 do ciberespaço entende-se por um conjunto de ações
realizadas para detectar, conter e mitigar ameaças e vulnerabilidades cibernéticas, a fim de
conquistar e manter a liberdade de ação no ciberespaço (CARNEIRO, 2012). Também estão
associadas às ações defensivas, as operações contra ameaças cibernéticas defensivas que são
contramedidas defensivas realizadas para detectar, identificar, interceptar, destruir ou negar
atividades maliciosas de penetração ou ataque através do ciberespaço (CARNEIRO, 2012). A
operação defensiva no ciberespaço pode ser considerada como missão que trata especificamente
as questões de ameaças (WILLIAMS, 2014).

A Operação Defensiva no Ciberespaço (DCO) é executado para defender os próprios

recursos governamentais do ciberespaço ou outras forças de defesa do ciberespaço que
foram ordenadas a se defender de ameaças ativas no ciberespaço. Especificamente, eles
visam preservar a capacidade de utilizar recursos próprios do ciberespaço e proteger
dados, redes, dispositivos ativados pelo ciberespaço e outros sistemas designados,
derrotando a atividade ciberespaço maliciosa em andamento ou iminente (US JOINT
CHIEFS OF STAFF, 2018, p. 37, 11-3).

26
A agilidade é definida como a capacidade de efetivar, lidar e / ou explorar mudanças nas circunstâncias
(Organização da Ciência e Tecnologia da OTAN, 2014). A agilidade C2 descreve a capacidade de uma
organização ou ator (entidade) para realizar com êxito funções C2 em todas as circunstâncias em que a entidade
possa se encontrar. Um espaço de abordagem C2 é usado para ilustrar como diferentes abordagens C2 variam ao
longo das três dimensões: Alocação de direitos de decisão, Padrões de interações entre entidades e Distribuição
de informações entre entidades. A teoria da agilidade C2 prescreve que mais abordagens C2 habilitadas para rede
são mais ágeis do que abordagens baseadas em estruturas mais formais. Além disso, a agilidade do C2 consiste
em ser capaz de identificar a abordagem mais adequada em uma determinada situação, entender quando as
mudanças nas circunstâncias exigem outra abordagem e ser capaz de transferir entre uma abordagem insuficiente
para a abordagem mais apropriada (GRANASEN, 2019, p.10).
 70

As operações defensivas no ciberespaço se desdobram em medidas da defesa interna

(IDM), ações de resposta (RA) e ações de defesa do ciberespaço que não são do Departamento de
Defesa (CJCS, 2018). As operações de medidas da defesa interna são formas da missão de
operações defensivas cibernéticas, onde ocorre ações de defesa autorizadas na rede ou em parte
do ciberespaço; as ações de resposta são formas de operações defensivas cibernéticas onde
ocorrem eventos levados a cabo no exterior para a defesa da rede ou parte do ciberespaço sem a
permissão do agente do sistema afetado. Na doutrina estadunidense, o desdobramento das ações
de defesa no ciberespaço não é do Departamento da Defesa, basicamente foca sobre rede de
informações que inclui todo o ciberespaço militar e não militar.

2.4 SÍNTESE CONCLUSIVA

Neste capítulo resumiu-se em fundamentos epistemológicos de cibersegurança e de

ciberdefesa no ciberespaço, definiu e apresentou a caracterização do (global comum) ciberespaço
em todas as suas dimensões. A primeira seção começou com uma abordagem holística sobre o
paradigma da complexidade da segurança internacional em três vertentes: a cibersegurança
global, a cibersegurança regional e a cibersegurança de blocos ou coletiva que tiveram o suporte
teórico de autores como Olaf Palme (1982), Peter Hough (2008), Ron Deibert (2012) e Myriam
Cavelty (2013). Esta última considerou a cibersegurança como a insegurança neste novo “global
commun space” para todas as suas ações de proteção a possíveis ameaças em ambientes
bioelétrico, de armazenamento e de transporte de dados.
Durante o desenvolvimento deste esboço teórico, Reardon e Choucri (2012) questionavam
a divagação de conceitos que dinamizam o ciberespaço. Numa análise clássica, a segurança
abrangente a proteção, a defesa das unidades críticas, por sua vez, era entendida como conflitos
relacionados a dinâmica das complexidades das guerras. A similaridade das funcionalidades entre
conceitos cibersegurança e ciberdefesa de vários autores podem induzir a uma análise clássica de
segurança. O outro problema conceitual reside no paradigma ciberespaço. Embora seja um
espaço de interesse comum, cada nação define-o de forma diferente e carece de uma conceituação
global ou de um consenso. Também é nesta seção onde foram definidas a estratégia e as práticas
globais estratégicas de segurança e defesa cibernética das outras nações e organizações, onde se
 71

resume que a ciberestratégia de segurança e defesa são ações de planejamento, monitorização e

proteção do ciberespaço.
As ciberestratégias são acompanhadas pelas políticas de securitização do ciberespaço.
Não se pode elaborar estratégias para ciberespaço sem o suporte de políticas securitárias de
segurança e defesa. É na seção deste capítulo onde foram examinados os melhores modelos e
apresentadas as boas práticas para o desenvolvimento de políticas e estratégias de cibersegurança
e ciberdefesa. A última seção apresentou um quadro panorâmico da guerra cibernética e das
operações no ciberespaço; contextualizou a guerra cibernética: as teorias, as ciberguerras e a
resiliência cibernética, as operações cibernéticas e as armas digitais que terminou com a
teorização do sistema de comando e controle nas operações cibernéticas.
 72

3 PARÂMETROS COMPARATIVOS EM DOUTRINA DE CIBERSEGURANÇA

Este capítulo se preocupa com a identificação e descrição de parâmetros que podem

alimentar a estratégia de cibersegurança em Moçambique na defesa da soberania do estado no
ciberespaço. Além disso, descreve também as melhores práticas doutrinarias de alguns países que
devem orientar a ciberdefesa e a ciberguerra aprimorando os interesses nacionais da defesa da
soberania do estado no ciberespaço. Os parâmetros doutrinários internacionais legíveis podem
ajudar na criação de doutrinas robustas para a defesa no ciberespaço e da ciberguerra. Neste
capítulo são analisados tópicos chaves, parâmetros estratégicos de cibersegurança e parâmetros
doutrinários de ciberdefesa (ciberguerra).
Nas subseções deste capítulo, para além da abordagem de parâmetros de segurança
cibernética e defesa cibernética, se examina o Mapeamento e Critérios de Caracterização das IC.
Também é realizada uma análise crítica doutrinária de ciberdefesa no contexto global e regional
do ciberespaço. Na síntese conclusiva, procura-se resumir o capítulo indicando aqueles que
podem ser considerados melhores parâmetros estratégicos e doutrinários que podem adequar ao
objetivo principal desta pesquisa.

3.1 PARÂMETROS ESTRATÉGICOS DE CIBERSEGURANÇA

Parâmetros estratégicos podem ser considerados como componentes de uma estrutura ou

sistema bem pensado para a formulação de uma estratégia cibernética, um parâmetro construído
de um pensamento estratégico de cibersegurança. Aqui os parâmetros têm um ponto de vista de
valorização qualitativa que podem aprimorar os pilares da futura estratégia de cibersegurança em
Moçambique. Os parâmetros estratégicos que seguem referem-se aos valores qualitativos bem
pensados, valores de cibersegurança, medidas de ciber securitização no ciberespaço, incluindo o
mapeamento de critérios de caracterização das ICNs.

3.1.1 Parâmetros de cibersegurança

Um parâmetro de segurança é um parâmetro que possui pelo menos uma configuração

vulnerável para uma exploração específica (ODEEL, 2016). Um parâmetro é um dado que é
 73

considerado necessário para analisar ou valorizar uma situação. De uma forma holística, para a
formulação da estratégia de cibersegurança neste estudo são considerados os seguintes
componentes chaves: políticos, técnico-científicos e operacionais, legislativos e orçamentários.
Segundo Alexandre Hosang (2011), a política deve definir parâmetros para a atividade de
segurança cibernética; também se compreende que é através da política ou politizando as
ameaças do ciberespaço que os estados institucionalizam a cibersegurança.
Os outros elementos estratégicos importantes na formulação de uma estratégia de
cibersegurança são: conhecimento de segurança nas organizações, estrutura institucional, cultura
de cibersegurança, políticas públicas, resiliência e capacitação. Os parâmetros de segurança do
ciberespaço compreendem a proteção de todos os ativos de informação, inclusive a internet.
Politicamente, se considera o ciberespaço como um domínio onde se pode ter vantagens
assimétricas de modo a atingir objetivos políticos e militares (EUROPEAN COMMISSION,
2013) que necessitam de ações securitárias e de proteção.
A componente estrutura institucional de segurança do ciberespaço compreende a
cibersegurança e a ciberdefesa (a governança cibernética). A estrutura da cibersegurança
basicamente está centrada em assuntos de crimes cibernéticos, como fraudes, espionagem virtual,
ataques cibernéticos, terrorismo cibernético e outros tipos de atividades criminais no ciberespaço
e tem agentes internos e coletivos como responsáveis. A estrutura da ciberdefesa, que será
profundamente debatida na subseção seguinte, está estreitamente ligada a assuntos de conflitos
cibernéticos ou guerras cibernéticas e tem as forças militares como agentes responsáveis.
Na organização institucional de cibersegurança, não existe um modelo padrão de estrutura
para a coordenação das políticas e intervenções de segurança no ciberespaço. Cada estado adota a
sua própria estrutura harmonizando-a de acordo com as condições situacionais das suas IC e da
proteção da cibersoberania. A estrutura de modelo a nível político é constituída por Conselho
Nacional de Cibersegurança, Gabinete Nacional de Cibersegurança da Presidência, Centro
Nacional de Segurança Cibernética, onde pode-se alojar o CERT Nacional do governo. A nível
estratégico é composta pela Defesa Cibernética, onde assenta o Centro Nacional de Ciberdefesa.
E, a nível Operacional-Tático reside o Comando Cibernético, o qual desenvolve ações de
ciberguerra.
Depois da organização institucional seguem as políticas públicas em cibersegurança que
são conjunto de fatores políticos e normativos como a estratégia de segurança do ciberespaço,
 74

orientação política para a cibersegurança e a cultura de conscientização. A estratégia compreende

princípios e pilares com os seus objetivos estratégicos e eixo de intervenção. A política de
cibersegurança tem como objetivo operacionalizar ações do estado envolvendo academia, setores
públicos e privados e sociedade civil, preservando a liberdade de ação e garantindo a segurança
dos ativos de informação no ciberespaço.
A cultura de conscientização insere-se nas políticas de cibersecuritização do ciberespaço,
este elemento, não menos importante, tem a função de “sensibilizar os cidadãos, os profissionais
e as empresas sobre a importância da cibersegurança e o uso responsável das novas tecnologias e
serviços da sociedade de informação” (GOVERNMENT OF SPAIN, 2013, p. 40). A cultura de
cibersegurança exige a divulgação das ameaças e riscos cibernéticos, uma preparação e
conscientização de cibersegurança com estreito alinhamento com as doutrinas de cada estado.
Os parâmetros técnicos-científicos e operacional, como refere Alexandre Hosang (2011),
na sua abordagem sobre “Política Nacional de Segurança Cibernética: uma necessidade para o
Brasil”, são todas as pesquisas cientificas que versam sobre a segurança cibernética do
ciberespaço. Associa-se a capacidades técnicas de investigação e inovação, os intercâmbios
multilaterais internas e externas e todos os mecanismos de resiliência cibernética das IC. É
necessário pensar na transferência de alta tecnologia, apostar na inovação e criar CERTs robustos
de resposta a incidentes cibernéticos. As instituições devem procurar proteger não apenas os
sistemas de informação, mas também as tecnologias em que se baseiam para operar os seus
serviços essenciais conhecidos como os Cyber Physical Systems (CPS), Industrial Control
Systems (ICS) ou Operational Technology (OT).
O contexto global, regional e interno das nações necessita de um quadro legal e
estratégico sobre cibersegurança e ciberdefesa para lidar com a dinâmica das tecnologias
modernas no cumprimento das missões da defesa, segurança da soberania e dos interesses
nacionais e internacionais. Precisa-se um quadro legislativo interno robusto das nações para
suporte a legislação internacional no ciberespaço. A legislação no ciberespaço de acordo com
Agenda Global de Cibersegurança da UTI (2007) concentra-se em regulamentar atividades
criminosas ou a elas associadas no ciberespaço, sem entrar em conflito com legislações,
harmonizando as constituições, para que exista lugar de cooperação entre Estados
(SCHJOLBERG; GHERNAOUTI-HELIE, 2011).
 75

A elaboração e a implementação da legislação para muitas nações têm sido problemáticas,

por não incluírem parâmetros universais nos seus quadros legais para harmonização, dificultando
a monitoria e o combate contra os ataques e crimes cibernéticos. Em seguida são desenvolvidos
os instrumentos legais para a segurança e defesa coletiva dos Estados no ciberespaço. Em termos
de abordagem nesta matéria legislativa nesta tese apresenta-se o modelo up-down, começando
por extra-continental, continental, da região de SADC e de Moçambique.
Com todas divergências de pros e contras, a convenção de Budapeste é a ferramenta mais
global que regula o crime cibernético no mundo. Segundo Lewis Bande (2018), todas as regiões
ou quase todos os países harmonizam as suas legislações usando como referência a convenção
europeia de 2001. Por possuir mínimos requisitos de ser adaptável, os EUA, país líder na luta
contra crimes cibernéticos, associaram-se a este instrumento para padronização e harmonização
de vários países, com a exceção da Rússia e da China que procuram junto as Nações Unidas a
alteração de alguns artigos da convenção do Budapeste ou a elaboração de uma nova convenção
internacional sobre a cibersegurança e crime cibernético.
A Convenção da União Africana sobre Segurança Cibernética e Proteção de Dados
Pessoais tem como objetivo harmonizar as leis dos estados africanos sobre comércio eletrônico,
proteção de dados, a promoção de cibersegurança e controle de crimes cibernéticos. Essa
convenção que foi adaptada na 23a Assembleia da União Africana pelos seus membros, em
Malabo, em 2014, conhecida como “Convention on Cybersecurity and personal data protection
and sets broad guidelines for incrimination and repression of cybercrime and related issues”. A
convenção que possui três ramificações legais sub-regionais sobre crime cibernético para as três
organizações econômicas: ECOWAS - Directive C/DIR.1/06/11 on Fighting Cybercrme – Agosto
2011; COMESA – Model Cybercrime Bill – Outubro de 2011; e SADC adotou a Lei Modelo
sobre Crimes Informáticos e Cibercrime em Março de 2012 (SLIMANI, 2016).
A seguir são apresentados os instrumentos legais para a cibersegurança aprovados pela
Assembleia da República de Moçambique: a Lei de Transações Eletrônicas (Lei n.º 3/2017, de 9
de Janeiro); Lei das Comunicações (Lei n.º 4/2016, de 3 de Junho); Lei da revisão do Código
Penal (Lei n.º 35/2014, de 31 de dezembro); Regulamento de controle de Tráfego de
Telecomunicações (Decreto n.º 75/2014, de 12 de dezembro de 2014); Regulamento de Registo
de Cartões SIM (Decreto n.º 18/2015, de 9 de Julho); Regulamento de Quadro de
 76

Interoperabilidade do Governo Eletrónico (Decreto n.º 67/2017, de 1 de dezembro); Política para

Sociedade de Informação de Moçambique (Resolução n.º 17/2018, de 21 de junho).
Para além do quadro de instrumentos legais já aprovados, estão em curso as seguintes
ações (INTIC):
a) a Ratificação da Convenção da União Africana sobre Segurança Cibernética e
Proteção de Dados Pessoais a ser submetido na Assembleia da República;
b) em analise a Ratificação da União Europeia sobre Cibersegurança;
c) elaborado e em socialização o Regulamento da Certificação Digital de Moçambique;
d) elaborado e em socialização o Plano Estratégico para Sociedade de Informação;
e) em preparação a Política sobre Segurança Cibernética;
f) em preparação o regulamento do uso da Internet e do Regulamento do Domínio MZ.
Todos os instrumentos legais acima citados são de extrema importância para o suporte da
proposta da Estratégia Nacional de Segurança Cibernética com os seguintes cinco princípios
orientadores (GOVERNO DE MOÇAMBIQUE, 2017):
a) legalidade: a ENSC de Moçambique tem em conta as diversas leis em vigor em
Moçambique e promoverá a proteção dos direitos, liberdades e garantias fundamentais
dos moçambicanos;
b) abordagem baseada em risco: a ENSC adopta uma abordagem baseada em risco na
avaliação de respostas as ameaças e riscos cibernéticos, assegurando a segurança
cibernética em Moçambique;
c) cooperação e coordenação: esta estratégia promove a coordenação e a cooperação
entre as várias partes interessadas, tanto a nível nacional como internacional;
d) responsabilidade partilhada e crime cibernético: a ENSC reconhece a
responsabilidade individual e partilhada de todos os utilizadores das TIC (indivíduos,
setor privado e governo);
e) acesso universal ao espaço cibernético: a ENSC procura assegurar que todos os
cidadãos moçambicanos tenham acesso e possam utilizar o espaço cibernético de
forma segura, independentemente da localização, gênero, raça, situação econômica,
entre outros.
Os orçamentários sobre cibersegurança e ciberdefesa no continente africano são mais
complexos. Os investimentos em cibersegurança e defesa do ciberespaço na África têm sido
 77

negligenciados. Mas os prejuízos causados pelos ciberataques, cibercrimes e espionagem

cibernéticos crescem anualmente. Em 2017, a economia africana sofreu um déficit estimado em
$3.5 bilhões de dólares estadunidense (MATHE, 2019) motivado de ações dos criminosos.
Segundo Kshetri (2019) somente os crimes cibernéticos custaram em 2018 aos países africanos o
equivalente a 2,7 bilhões de dólares americanos, com destaque para Nigéria (649 milhões),
Quênia (210 milhões), África do Sul (157 milhões) e Tanzânia (99 milhões).
Os altos custos apresentados em vários documentos para crime cibernéticos na África
levantam muitas preocupações. Segundo o relatório da Orange Cyberdefense, publicado em
2018, "Investimento africano em segurança cibernética", previa que o mercado africano de
segurança cibernética passaria de 1,5 bilhão de euros em 2017 para mais de 2,2 bilhões de euros
em 2020 (ORANGE, 2020). Mas com a pandemia do COVID-19, esses valores de investimento
para a proteção das IC no continente poderão reduzir drasticamente e os prejuízos causados pelos
crimes cibernéticos na economia poderão ultrapassar aos 4 bilhões de euros.
Ao nível da SADC, onde Moçambique está inserido, o orçamento para medidas de
segurança cibernética ao combate de cibercrimes em 2019 foi apenas de US $220.600 dólares no
programa de harmonização de sistemas de TIC e avaliação de cibersegurança, particularmente na
avaliação de riscos de cibersegurança para a organização. A nível regional, somente dois países
demonstram investimentos em segurança cibernética como área digital prioritária: África do Sul e
as Ilhas Maurícias. A África do Sul investiu US $834,3 milhões de dólares em 2019, e em 2021
prevê-se o investimento de US $933,1 milhões de dólares para o setor de cibersegurança
(FROST & SULLIVAN, 2018) e as Maurícias prevê investir mais de US $1 milhão de dólares
em 2020.
As restrições orçamentárias em cibersegurança a favor de outras áreas consideradas
prioritárias que exigem maior financiamento do governo, como conter a propagação de AIDS,
combater a pobreza generalizada, promover a exploração sustentável dos recursos naturais (ORJI,
2018), e agora conter a COVID-19 e atender os deslocados de guerras impedem investimentos
em projetos de segurança cibernética em África. Moçambique é um dos países com graves
problemas orçamentários para suportar projetos na área de cibersegurança. Embora o país tente
produzir vários documentos relacionados a política e a legislação de cibersegurança, ainda
enfrenta desafios de custos para harmonização os instrumentos legais regionais e internacionais.
 78

3.1.2 Mapeamento e critérios de caracterização das IC

Alguns dos desafios de securitização são a Identificação e Definição das Infraestruturas27

Críticas ou SCNs (Sistemas Críticos Nacionais). Nem todos países possuem a mesma percepção
sobre ICs e ICI28. Segundo Luiijf et al. (2016), as diferentes nações têm diferentes entendimentos
do que é crítico para sua nação. Definir as IC e IIC com base nos conceitos de outras nações não
é um critério padronizado; cada nação possui a sua particularidade e entendimento sobre IC e
conceito de ICI. A SADC define Infraestruturas Críticas como:

A infraestrutura cibernética essencial aos serviços vitais de segurança pública,

estabilidade econômica, segurança nacional, estabilidade internacional e sustentabilidade
e restauração do ciberespaço crítico (AFRICAN UNION, 2014, p. 4).

A União Europeia considera Infraestruturas Críticas como:

Um ativo, sistema ou parte dele localizado em um estado-membro essencial para funções

sociais vitais, saúde, segurança, bem-estar econômico ou social das pessoas e cuja
interrupção ou destruição teria um impacto significativo no Estado membro como
resultado da falha em manter essas funções (EUROPEAN COMMISSION, 2008, p. 3).

União Internacional de Telecomunicações define de uma forma holística e complacente:

Os principais sistemas, serviços e funções cuja interrupção ou destruição teria um

impacto debilitante na saúde e segurança pública, comércio e segurança nacional, ou
qualquer combinação destes (ITU, 2008ª; WAMALA, 2011, p. 25).

A proposta da Estratégia Nacional de Cibersegurança elaborada pelo governo não define

o que são as ICNs. Nos workshops realizados por acadêmicos projetou-se os seguintes setores:
energia, finanças, saúde, água, ICT, defesa. Segundo García Zaballos e Inkyung Jeun (2016, p.
36), “entre os países em desenvolvimento, o conhecimento sobre localização, natureza, condição
e impacto de ameaças relacionadas à falha de um sistema, clima, mudança ou terrorismo é
imensamente limitado”.

27
The basic facilities, services, and installations needed for the functioning of a community or society, such as
transportation and communications systems, water and power lines, and public institutions including schools,
post offices, and prisons. (THE AMERICAN HERITAGE…, 2006).
28
Critical Information Infrastructure (CII): “Those interconnected information and communication infrastructures
which are essential for the maintenance of vital societal functions, (health, safety, security, economic or social
well-being of people) – the disruption or destruction of which would have serious consequence”, 2016.
 79

Os grandes desafios nacionais para definição e identificação das ICNs e ICIs são os
procedimentos metodológicos ou critérios utilizados para determinar se uma infraestrutura deve
ser ou não considerada crítica (MOTEFF; COPELAND; FISCHER, 2003). Há países sem
critérios claros na identificação das IC. Por exemplo, a Inglaterra categoriza os setores das IC
segundo valores de criticidade e impactos resultantes da sua vulnerabilidade e ameaças (UK,
2020), mas com processos metodológicos muito severos de identificação e caracterização das
ICNs. No entanto, quase todos os países não descartam os setores comuns, tais como energia,
telecomunicações e saúde que são vitais para as economias e as sociedades.
Metodologicamente, podem ser considerados quatro passos que providenciam uma
abordagem estruturada para o processo de identificação das IC e ICI (LUIIJF et al., 2016):
a) aplicação de critérios específicos do setor;
b) avaliação da criticidade;
c) avaliação das dependências;
d) aplicação de critérios transversais.
Mas, cada país possui suas especificidades de critérios segundo a importância, interesses
nacionais e impacto social e econômico das ICs.
De acordo as melhores práticas, a que considerar as metodologias sul africanas moldadas
na experiência da UTI no seu projeto de mapeamento e definição de IC29. Os avanços do Brasil
em metodologia para mapeamento e caracterização de IC apresentam critérios e práticas de
classificação dos setores das ICNs, inspirando-se em critérios de identificação e mapeamento
estadunidenses para ICs. Talvez o modelo de mapeamento e caracterização de IC mais simples e
prático seja o da União Europeia, o qual prioriza duas tipologias de critérios: setoriais - que
agrupam as IC por afinidades funcionais; e transversais - que identificam impactos se existirem
perturbação ou destruição de uma IC comum a todos os setores (FERREIRA, 2016).

3.2 PARÂMETROS DOUTRINÁRIOS DE CIBERDEFESA

Nesta subseção, são examinadas algumas referências doutrinarias para a ciberdefesa e os

princípios operacionais e táticos da guerra cibernética. Aqui se descrevem as melhores práticas

29
Significa sistemas e ativos, determinados e declarados como as categorias que fazem parte no sector militar,
polícia, saúde, água, TIC, transporte, energia, finanças. O Conselho determina se um local ou área se enquadra
nas categorias de infraestrutura crítica. (REPUBLIC OF SOUTH AFRICA, 2015, p. 8, 12).
 80

doutrinarias de alguns países que devem orientar a ciberdefesa e a ciberguerra aprimorando os

interesses nacionais da defesa da soberania do estado no ciberespaço. A estrutura da ciberdefesa
está estreitamente ligada a ciber conflitos ou ciberguerras e tem as forças militares como agente
responsável. Os parâmetros que alimentam a ciberdefesa também alimentam a estratégia de
segurança de cada estado e baseiam-se na política de ciberdefesa. Na terceira seção, realiza-se
uma análise crítica e uma comparação das doutrinas selecionadas.

3.2.1 Parâmetros de ciberdefesa

A defesa é uma forma de proteger territórios, bens e pessoas de um ataque (SOUSA,

2005, p. 60). A defesa cibernética ou a ciberdefesa é projetada para defender um sistema ou
sistemas contra-ataques cibernéticos (SPRING, 2017). A ciberdefesa cria capacidades defensivas,
ofensivas e de reconhecimento das forças armadas e desenvolve produtos para a cibersegurança
(hardware e software). (DEWAR, 2018). Os parâmetros da ciberdefesa são dimensões que
valorizam as operações cibernéticas. A classificação 30 de parâmetros depende das prioridades de
cada país ou organização. Como referências neste trabalho, são selecionados os parâmetros
referentes a doutrina, organização, infraestruturas, tecnológicos e orçamentários.
A doutrina é entendida como um corpo de princípios que forma um sistema de crenças, ou
regras pelas quais as sociedades independentes se governam, sejam políticos, legais ou militares
(COLARIK; JANCZEWSKI, 2012). Doutrina de Ciberdefesa pode ser entendida como um
conjunto de princípios que regulam a ciberdefesa e se comprime em três tipos de ações
operativas: defensiva, ofensiva e de exploração. Por exemplo, a doutrina brasileira para a
ciberdefesa estende-se em três tipos de ações cibernéticas: ataque cibernético, proteção
cibernética e exploração cibernética (MACHADO et al., [2017]). A ação de ataque cibernético é
mais detalhada na discussão da doutrina de ciberguerra.
O parâmetro referente a organização da ciberdefesa compreende o comando de defesa
cibernética, centro de defesa cibernética, destacamento conjunto de guerra cibernética, força
conjunta de guerra cibernética e escola nacional de defesa cibernética (SANTOS, 2012). A
organização da ciberdefesa depende dos objetivos e as condições de cada estado ou país.

30
O critério de classificação dos parâmetros da ciberdefesa do Departamento de Defesa Estadunidense são as
seguintes dimensões: Doctrine, Organization, Training, Materiel, Logistics, People, and Finance (KRAMER;
STARR; WENTZ, 2009) que difere dos outros países e organizações.
 81

Podemos encontrar países com uma estrutura organizacional de ciberdefesa alargada ou reduzida
de acordo as necessidades ou prioridades e capacidades técnicas, humanas e orçamentárias.
O Brasil, por exemplo, é um dos países com uma organização de ciberdefesa ampliada
desde a Presidência da República (Nível Político), Ministério da Defesa, o qual se ramifica (Nível
Estratégico) em Comando da Marinha, Comando da Força Aérea, Comando do Exército e
EMCFA; Comando Operacional (Nível Operacional) até aos componentes tácticos da força
Naval, Força Terrestre, Força Aérea e outros componentes.
Diferentemente da estrutura organizacional francesa de ciberdefesa que é centralizada
numa larga estrutura política de segurança cibernética e ciberdefesa gerida à nível nacional por
um colégio composto por Primeiro-Ministro, Ministros da Defesa, Ministro de Negócios
Estrangeiros e Ministro de Economia e Finanças. No nível operacional é constituído por um
Comando Cibernético comandado por um Brigadeiro-General; no nível mais inferior encontra-se
a seção de TI da Direção Geral de armamento responsável pela guerra eletrônica, sistemas de
informação, de telecomunicações e de segurança da informação (DEWAR, 2018).
Os parâmetros sobre infraestruturas da ciberdefesa inserem-se em meios físicos para a
proteção e seguranças de dados e dos setores críticos cibernéticos dos países. Seguindo as suas
prioridades e interesses nacionais, eles criam infraestruturas para a defesa cibernética. O Brasil,
por exemplo, possui centro de ciberdefesa na dependência do CEMGFA que tem como funções a
condução de operações no ciberespaço, a resposta a incidentes informáticos e a ataques, com
responsabilidades de coordenação operacionais e técnicas (Despacho MDN 13692/2013). Este
centro, além de possuir um CIRC no EMGFA, possui também infraestruturas cibernéticas nos
ramos que são responsáveis pela resposta a incidentes de ciberataques. Outro exemplo de
infraestruturas cibernéticas mais prático é da ANSSI francesa, que possui o Centro Operacional
de Segurança dos Sistemas de Informação responsável pela análise de ameaças, identificação de
vulnerabilidade e resposta a ataques cibernéticos e centro de defesa cibernética que funciona
juntamente com o centro de análise para operações defensivas cibernéticas no Ministério da
Defesa (VITEL; BLIDDAL, 2015).
O parâmetro tecnológico é característico de cada país, uma vez que esse, procura ao
máximo a tecnologia que pode satisfazer os seus interesses, para proteção dos seus ativos ou com
o objetivo de criar capacidades de superioridade tecnológico no ciberespaço. Encontramos vários
exemplos: os EUA e a China são países que sempre procuram a superioridade tecnológica nas
 82

capacidades cibernéticas, enquanto muitos procuram se proteger dos crimes cibernéticos,

selecionando ou inovando tecnologias cibernéticas para a ciberdefesa. As tecnologias digitais
chaves para a defesa da soberania como a criptografia das comunicações, tecnologia de detecção
de ciberguerras, rádios moveis, tecnologias de nuvem da 5G e outras são igualmente necessárias
(FRANÇA, 2018). Os países também devem apostar no desenvolvimento nacional de software
para monitoramento e rastreamento nacional de espectros.
O parâmetro orçamentário é crucial para um país ou uma organização que pretende ser
robusto ou ter superioridade no ciberespaço. Hoje, por exemplo, potências como EUA, Rússia,
China, França, Reino Unido e Israel anualmente esticam os seus orçamentos para a defesa
cibernética. A autoridade Orçamentária Fiscal dos EUA, no ano fiscal de 2019, atribuiu a
presidência para atividades de segurança cibernética equivalente a US$ 15 bilhões; deste
montante, o Departamento da Defesa investiu para ciberdefesa US$ 8,497 bilhões (EUA, 2019).
Em 2020, o Departamento da Defesa aumentou a sua contribuição para US$ 9,643 bilhões para o
reforço de cibersegurança (EUA, 2020). O investimento na segurança e defesa cibernética reforça
a proteção das infraestruturas cibernéticas e reduz os gastos causados pelos crimes cibernéticos.

3.2.2 Doutrina da ciberguerra

Os conceitos da guerra e de ciberguerra foram amplamente discutidos no primeiro

capítulo deste trabalho. Aqui é preciso buscar a definição e os objetivos da doutrina da guerra
cibernética e as boas práticas de ciber doutrinas que podem suportar a tese. Ao pesquisar,
encontra-se que a doutrina, em latim, define-se como “um código de crenças” ou “um corpo de
ensinamentos”. A doutrina da guerra cibernética é um conjunto de ensinamentos aplicáveis a
guerra cibernética. Segundo Andrew Colarik e Janczewski (2012), a doutrina da ciberguerra são
regras e padrões para governar uma guerra envolvendo o ciberespaço. Questiona-se quais são os
reais objetivos da doutrina cibernética na guerra do ciberespaço.
Antes da resposta da inquietação acima, é necessário compreender que a nova doutrina
sobre a ciberguerra não funciona isoladamente da doutrina tradicional da guerra. A tropa
tradicional deve ser cooperativa em operações cibernéticas para atingir os objetivos, a eficiência e
a eficácia em batalhas combinadas. Os principais objetivos da doutrina da ciberguerra são:
defensivas e ofensivas; alguns estados preferem abraçar objetivos defensivos onde estão
 83

integradas ações de desinformação e de ataques eletrônicos a equipamentos do inimigo. Outros

estados estendem esses objetivos doutrinários a ações de inteligência, de monitoramento e de
reconhecimento, como é o caso do Reino Unido (GRANASEN; JAITNER, 2019).
A seguir são analisadas algumas doutrinas cibernéticas do bloco dos BRICS com destaque
para países como Brasil, Rússia, Índia e China. E também de outras nações fora do BRICS:
França, Alemanha, Reino Unido, Israel e Estados Unidos da América.
Doutrina cibernética brasileira: Brasil já produziu um leque de documentos
doutrinários sobre ciberespaço. Alguns importantes documentos são o Manual da Doutrina de
Operações Conjuntas (BRASIL, 2020) e Doutrina Militar de Defesa Cibernética (BRASIL,
2014b) que orientam as ações no ciberespaço brasileiro. No sistema doutrinário cibernético
brasileiro, as operações cibernéticas a nível estratégico são extensivas a guerra cibernética do
nível tático operacional. A guerra cibernética possui as mesmas características da defesa
cibernética. A doutrina da guerra cibernética brasileira consiste em práticas ofensivas, defensivas
e exploratórias (BRASIL, 2017). O Brasil, na sua orientação ciber doutrinaria, inspirou-se na
doutrina estadunidense sobre o ciberespaço.
Doutrina cibernética russa: A Rússia não possui o mesmo conceito ocidental de
doutrina cibernética. Na doutrina russa de 2000 sobre a segurança de informação da Federação
Russa, há ênfase mais na natureza informacional das atividades militares russas do que na
natureza cibernética (RUSSIA, 2000). Diferentemente da Doutrina Militar Estadunidense, no seu
Plano de Capacitação do Conceito de Operações Cibernéticas, não analisa possíveis cenários de
conflito militar nos quais as ameaças cibernéticas terão papel dominante (FAYUTKIN, 2012); a
doutrina russa considera o ciberespaço como um instrumento psicológico e de guerra de
informação e a guerra cibernética como parte da guerra de informação (FAYUTKIN, 2012).
Doutrina cibernética indiana: A história doutrinaria cibernética da Índia data desde
1990, quando as forças armadas incorporaram a guerra eletrônica e as operações de informação
na sua doutrina. A modernização tecnológica e o estabelecimento do laboratório de
cibersegurança na Escola Militar de Engenharia das Comunicações, impulsionou a capacidade
cibernética do país (ARMY LAB, 2010). A Índia projeta-se para a defesa ativa e dissuasiva
cibernética, desenvolvendo processos e capacidades, aplicando poder cibernético em operações e
treinamento na liderança cibernética como prioridade (ÍNDIA, 2019). Embora haja vontade de
assimilar uma força cibernética para operações ofensivas e defensivas, a doutrina indiana da
 84

guerra cibernética ainda possui capacidades reduzidas. O país teve oficialmente a sua primeira
política nacional de segurança cibernética em 2013, na construção do documento inclusivo que
retrata melhor a cibersegurança (HOHMANN; PIRANG; BENNER, 2017).
Doutrina cibernética chinesa: nos anos 90, com avanço tecnológico e o domínio da
informação na guerra do Golfo em 1991 e com a combinação da guerra digital nas operações
tradicionais na guerra do Kosovo em 1999, essas ações inspiraram o exército Popular da China a
elaborar da Doutrina de Guerra da Informação (DUCHEINE; OSINGA; SOETERS, 2012)
equivalente ao termo ocidental da guerra cibernética. Foram graças a duas organizações SILG e o
gabinete da informação do Consulado do Estado no ano 2000 que disseminaram as ideias sobre a
política de cibersegurança, incluindo as ações defensivas do ciberespaço. A aposta pela
informatização e modernização do exército Popular da China ganhou mais impacto na liderança
de Xi Jinping. Em 2014, o SILG foi transformado em Cybersecurity and Informatization Leading
Group (BASS, 2020). A doutrina militar cibernética passou a priorizar a ofensiva e ataques
preventivos a nível operacional, e a nível político estratégico atribuiu-se a orientação defensiva.
A ambição chinesa de ser potência cibernética levou o governo de Pequim a criar as Forças de
Apoio Estratégicos (SSF) no exército de Libertação Popular da China com objetivo de pesquisar,
explorar informações para garantir a segurança nacional e o domínio global cibernético.
Doutrina cibernética francesa: a França elaborou o seu primeiro documento estratégico
sobre cibersegurança e ciberdefesa em 2011 através da Agencia Nacional para a Segurança de
Informação “ANSSI” (BAUMARD, 2017). Foi neste ano que o Ministério da Defesa da França
publicou o conceito para a defesa cibernética e em seguida elaborou a doutrina cibernética que
define a sua organização para a defesa cibernética (VITEL; BLIDDAL, 2015). A ambição
francesa de ser uma potência em ciberdefesa começa em 2015, quando reforça a postura
cibernética e a cooperação com parceiros e aliados (VITEL; BLIDDAL, 2015). A doutrina
cibernética francesa difere-se das outras doutrinas dos países anglófonos, onde as capacidades
cibernéticas se concentram dentro da comunidade de inteligência. A doutrina francesa separa as
capacidade e missões ofensivas das capacidades e missões defensivas (FRANÇA, 2018).
Doutrina cibernética alemã: Alemanha elaborou a sua primeira estratégia para
cibersegurança em 2011. A estratégia que estava mais virada para administração do que aspectos
da defesa cibernética militar (MARIE; SEAN, 2019). Até 2016, nos seus documentos
doutrinários reinava a falta de clareza sobre a formulação ou a direção que doutrina seguia sobre
 85

o ciberespaço. O país, depois de uma leitura dos acontecimentos no global comum, foi obrigado a
mudar a sua política cibernética, adotando uma abordagem literalmente correta em operações
cibernéticas em 2015: defensiva e ofensiva (PRAGER, 2019). A Alemanha, além de perceber o
valor das capacidades defensivas e ofensivas cibernéticas, viu a necessidade de as forças armadas
cooperarem com outros atores no ciberespaço, tais como instituições de investigação e indústria,
para desenvolver as capacidades cibernéticas e aumentar a robustez dos sistemas de armas
cibernéticas (SCHALLBRUCH; SKIERKA, 2018). Para responder as ameaças cibernéticas,
foram criadas duas organizações, o Departamento de Tecnologia de Informação e Cibernética do
Ministério da Defesa e a Inspetoria Espacial e a Cibernética Independente (WECHSLER, 2018).
Segundo o centro para estudos de segurança, com a criação de Comando de Espaço Cibernético e
de Informação (KdoCIR) em 2017, os aspectos militares da segurança cibernética foram reunidos
e centralizados.
Doutrina cibernética inglesa: a definição doutrinária inglesa data de 2011 e foi
atualizada na Nota da Doutrina Conjunta 3/13 de 2013 e Cyber Primier (BROCKIE, 2014), mas
mantendo-se a mesma. O ciberespaço é definido como um ambiente operacional que consiste na
rede interdependente de infraestruturas de tecnologia digital (incluindo plataformas, a internet,
redes de telecomunicações, sistemas de computador, bem como processadores e controladores
incorporados) e os dados contidos nos domínios físico, virtual e cognitivo (MINISTRY OF
DEFENCE, 2016). O Reino Unido teve a sua primeira estratégia cibernética a partir de 2009,
após começou a desenvolver a doutrina e política, melhorar governança e estruturas de tomada de
decisão, e aumentar as capacidades técnicas e humanas (UK, 2009). O país começou com duas
unidades cibernética: a primeira foi conhecida por ser uma unidade conjunta que fazia parte do
grupo das operações cibernéticas da defesa, composta por militares na ativa e reservistas. A outra
unidade cibernética conjunta incorporada dentro da GOSCEE (Global Operations and Security
Controle Centre) foi o epicentro para operações cibernéticas inaugurado em 2011 e que iniciou
com atividades ativas cibernéticas em 2015 (LEWIS; TIMLIN, 2011). O estabelecimento do
Comando das Forças Conjuntas 2016/17 produziu uma estratégia para as capacidades
cibernéticas e eletromagnéticas que resultou na elaboração da Nota de Doutrina Conjunta (UK
MINISTRY OF DEFENCE, 2018).
Doutrina cibernética israelita: desde 2014, o país sofre intensa agressão de ataques
cibernéticos nas infraestruturas de comunicações, ataques de DDoS e ataque a domínio de
 86

sistemas de redes dos atores estatais e não estatais. Em resposta a essas provocações, Israel
desenvolveu metodologias interdisciplinares que integram laboratórios de pesquisa, unidades de
inteligência militares, organizações de C4I e a comissão nacional de cibernética (RASKA, 2015).
Para fazer face a essas ações, o país criou uma estratégia de ciberdefesa (ISRAEL, 2015) de
multiníveis para dar suporte de capacidades cibernéticas defensiva e ofensiva no domínio militar
e civil. Segundo Lior Tabansky (2016), Israel já possui uma arquitetura de rede e sistema,
criptografia, amostras de malware, exército cibernético para ações ofensivas, defensivas e de
dissuasão. Uma das grandes contribuições doutrinarias é a defesa ativa cibernética que preconiza
as operações defensiva e ofensiva durante o conflito cibernético (HERPIG; MORGUS;
SHENIAK, 2020).
Doutrina cibernética estadunidense: Os EUA possuem um repositório documental rico
sobre a doutrina cibernética e sua primeira doutrina base para o ciberespaço foi publicada em
2006 (ANDRESS; WINTERFELD, 2014). Para reforçar as capacidades cibernéticas, o governo
estadunidense criou, em 2009, o US Army Command responsável pelas operações no
ciberespaço, desenvolvendo operações ofensivas, defensivas e operações de informação em Rede
(FERNANDES, 2020). O Comando Cibernético é constituído por Comando Cibernético do
Exército, Comando Cibernético da Unidade 24 da Força Aérea e Comando Cibernético e
Marinha de guerra (SUKUMAR; SHARMA, 2016). Em 2011, o Departamento de Defesa
divulgou um documento conhecido por “Estratégia do Departamento de Defesa para operar no
Ciberespaço” (BRUSTOLIN, 2019). A doutrina estadunidense identifica o ciberespaço como
outro campo de batalha e define a superioridade cibernética como condição para assegurar a ação
da liberdade operacional (FAYUTKIN, 2012).

3.2.3 Análise compreensiva e comparativa doutrinária

A doutrina são princípios ou regras que as organizações usam para operacionalizar as suas
atividades. Uma doutrina é um conjunto de normas sujeitos a mudanças periódicas. A doutrina da
guerra no ciberespaço está estreitamente dependente dos objetivos e as prioridades de cada estado
na segurança da soberania e da proteção das suas infraestruturas críticas. Todavia, esses objetivos
e prioridades não devem distanciar-se dos princípios e práticas globais do ciberespaço. Nesta
 87

abordagem, buscamos uma análise compreensiva e comparativa das doutrinas cibernéticas de

alguns estados que operacionalizam as suas doutrinas e o que diferencia particularmente uma
doutrina de outra, quando se discute doutrina de guerra cibernética.
Se antes, para obter ter vantagem sobre o inimigo, era fundamental destruir fisicamente
infraestruturas estratégicas como aeroportos, usinas de energia, sistemas de água, ferrovias,
oleodutos, gasodutos (GOMES; CORDEIRO; PINHEIRO, 2016), entre outras. Hoje, como rege
as doutrinas associadas a guerras no ciberespaço, avança-se com as operações cibernéticas
afetando as comunicações militares, sistema bancário, de energia e sistema do governo
eletrônico, deixando o inimigo imponente e facilitando a invasão militar física. Essas são algumas
estratégias utilizadas na guerra cibernética. Outra estratégia eminente é dissuasão cibernética. O
uso da superioridade cibernética, enviando recados aos adversários, demostrando a estrutura do
poder cibernético. E ratificando o que dizia Clausewitz, que o fim da guerra é obrigar o inimigo
a fazer as nossas vontades, e o que argumentava o estrategista chinês Sun Tzu, que a melhor
forma de fazer a guerra é vencer o inimigo sem lutar (SHARMA, 2018).

Quadro 3 - Análise Comparativa das Doutrinas da Guerra Cibernética

Países Doutrinas Perspectivas
Brasil Doutrina de Operações Conjuntas Consiste em operações ofensivas,
(2020) e Doutrina Militar de Defesa defensivas e de exploração.
Cibernética (2014)
Rússia Doutrina de Segurança de Doutrina de segurança de
Informação (2000) e Doutrina Militar informação apresenta uma postura
(2010) defensiva; no documento militar, a
doutrina ofensiva cibernética ainda
é ambígua.
Índia Doutrina das Forças Armadas Defesa ativa e dissuasiva
Indianas (2017), Doutrina de cibernética.
Treinamento Conjunto (2017) e
Doutrina Conjunta da Guerra de
Informação das Forças Armadas
Indianas (2019)
China Sem doutrina divulgada Prioriza ações ofensivas e ataques
preventivos ao nível operacional, e,
no nível político estratégico,
atribuiu-se a orientação defensiva.
França Doutrina cibernética (2011) Separa as capacidade e missões
ofensivas das capacidades e
missões defensivas (FRANÇA,
 88

Países Doutrinas Perspectivas

2018).
Alemanha Doutrina cibernética (2015) Adopta operações cibernéticas
defensiva e ofensiva (PRAGER,
2019).
Israel Doutrina cibernética (2015) Realiza ações ofensivas, defensivas
e de dissuasão.
Realizam operações ofensivas,
EUA Doutrina cibernética (2006) defensivas e operações de
informação em Rede.
Fonte: Marcelino (2020).

O quadro acima apresenta um conteúdo comparativo entre as doutrinas de ciberguerra dos

países. Para esta abordagem, são formados três grupos: primeiro grupo é constituído pelas
potências cibernéticas que são os EUA, a China e a Rússia; segundo grupo é formado pelos
países europeus como a França e Alemanha, Israel também faz parte. O último grupo é composto
por Brasil e Índia. Na análise doutrinária sobre ciberespaço, a China e a Rússia têm uma
abordagem diferente, embora as ações operativas cibernéticas sejam semelhantes. A China e
Rússia estão mais concentrados no conceito de guerra de informação ou segurança de
informação, enquanto o ocidente enfatiza o conceito de guerra cibernética. A China ainda não
divulgou oficialmente a sua doutrina cibernética, mas realiza ações ofensivas e ataques
preventivos a nível operacional, e no nível político estratégico, segue a orientação defensiva. A
Rússia, com a doutrina de segurança de informação, apresenta uma postura defensiva e, no
documento militar, a doutrina ofensiva cibernética ainda é ambígua.
Os EUA, devido vasto espólio de documentos doutrinário, tem sido a base para
formulação de doutrinas de vários países. Nota-se a semelhança doutrinaria com os EUA em
países como Brasil, Alemanha, Reino Unido e Israel. A doutrina cibernética estadunidense realça
a superioridade cibernética, que é o pré-requisito para ter sucessos nas operações do ciberespaço
(FRAYUTKI, 2012). Na doutrina estadunidense, as operações ofensivas e defensivas de
ciberguerra são paralelas, isto é, são inseparáveis e funcionam simultaneamente (PARKER,
2019); diferentemente da doutrina francesa, na qual as missões defensivas e ofensivas são
separadas. Também em operações cibernéticas estadunidense, se fala de defesa ativa e de
operações de informação em rede (SCOTT, 2018), uma abordagem semelhante à da NATO.
Alguns países, como Israel e Índia, apostam em ações ofensivas, defensivas e de dissuasão. O
 89

Brasil, uns dois países que tem uma vasta literatura sobre ciberespaço com doutrinas de
operações conjuntas e militar de defesa cibernética, aposta em operações ofensivas, defensivas e
de exploração.

3.3 SÍNTESE CONCLUSIVA

Neste capítulo, foram examinados os parâmetros estratégicos e doutrinários de alguns

países para a Segurança e Defesa Cibernética. A primeira seção apontou os parâmetros sobre
cibersegurança: políticos, técnico-cientifico e operacional, legislativos e orçamentários. Também
descreveu o contexto global, regional e interno da legislação de cibersegurança e ciberdefesa
focando as convenções de Budapeste, da União Africana e dos instrumentos legais de
Moçambique. A seção destacou a análise de investimento em segurança e defesa do ciberespaço
no continente africano antes e depois da COVID-19. Também foram apontados os critérios de
caracterização das IC.
Na seção 2, foram apresentados os parâmetros doutrinários de ciberdefesa ou ciberguerra
dos países selecionados, são casos do Brasil, Rússia, Índia, China, França, Alemanha, Reino
Unido, Israel e Estados Unidos da América. Também se fez uma análise compreensiva e
comparativa doutrinária. Uma definição afinada sobre a guerra no ciberespaço, a sua estreita
dependência em objetivos e em prioridades de cada estado-nação na segurança da sua soberania e
proteção das IC. Verificou-se que muitos países têm como base da formulação das suas doutrinas
os fundamentos da doutrina estadunidense. Os Estados Unidos da América, além de possuir uma
longa experiência sobre o ciberespaço, é o estado-nação com grande produção e divulgação da
documentação doutrinaria de operações cibernéticas.

4 CARACTERÍSTICAS DO CIBERESPAÇO MOÇAMBICANO

Neste capítulo procura-se caracterizar o ciberespaço moçambicano. De acordo com a

proposta da Estratégia Nacional de Segurança Cibernética, ciberespaço é considerado como
sistemas e serviços conectados, direta ou indiretamente à internet, as telecomunicações e as redes
de computadores. Também enaltece que o espaço cibernético continue a funcionar quando e
 90

como esperado mesmo sob ataque. A vida moderna depende do desempenho oportuno, adequado
e confidencial do ciberespaço.
A definição acima ainda não convence e não é abrangente. O ciberespaço está
intrinsicamente ligado ao poder e as ciber soberanias dos Estados. Não se pode confundir
ciberespaço com a internet. O ciberespaço sempre existiu e é anterior a internet; esta surgiu como
uma evolução das tecnologias e das comunicações e veio incorporar e revolucionar o
ciberespaço. Será o ciberespaço um conjunto de lugares virtuais, meios e políticas de ciber
securitização, onde os Estados ou atores não estatais exercem poder cibernético?
Para além das Infraestruturas Críticas, suas vulnerabilidades em relação a ciberataques, o
capítulo começa com breve historial da evolução das TICs em Moçambique, a descrição da
tecnologia digital (interconectividade e performance tecnológica), a legislação e
institucionalização na securitização como suporte de proteção ao espaço cibernético
moçambicano e as respectivas ICs e Sistemas Críticos de Informação. O capítulo termina com a
síntese conclusiva, onde procura resumir a caracterização do ciberespaço nacional.

4.1 EVOLUÇÃO DIGITAL EM MOÇAMBIQUE

Neste subcapítulo das características do ciberespaço moçambicano, se descreve a

evolução dos computadores e da internet, desde aparição do primeiro computador, em 1964, no
Centro dos Estudos Universitários de Moçambique, atualmente denominado por Universidade
Eduardo Mondlane. Um processo histórico que sofreu muitas mutações até a realização da
montagem ou fabrico do primeiro computador da marca DZOWO no País. O subcapítulo destaca
que Moçambique foi o terceiro país africano, depois da África do Sul e do Egito a aderir à
Internet. A Internet no país foi disponibilizada ao público a partir de 1993; no momento presente,
a Internet em Moçambique é uma ferramenta para governança, de gestão pública e privada,
facilitando a comunicação e transferência de dados entre as cidades e as zonas rurais.
A evolução histórica das comunicações e mídias eletrônicas no país é apresentada de uma
forma genérica. A história de mídias eletrônicas em Moçambique começa pela primeira emissão
da Rádio em 1933, depois seguida pela primeira emissão da Televisão Experimental de
Moçambique em 1981, dando continuidade aos jornais eletrônicos na internet até ao atual
processo de digitalização da Rádio e Televisão (MIGUEL, 2015). A história das comunicações
 91

no país foi o resultado da rescisão dos CTT que deram origem as TDM. Desde a sua criação em
1981 até 1992, a altura da reforma, as TDM eram as únicas empresas que ostentavam o
monopólio das comunicações em Moçambique. A partir de 1997, o governo deu aval para a
entrada de outras empresas de telefonia como as operadoras de telefonia móvel Mcel (1997),
Vodacom (2002) e a Movitel (2011) (INCM, 2016).

4.1.1. Evolução dos computadores e da internet

A entrada do primeiro computador em Moçambique ocorreu em 1964, no período

colonial. Segundo Kluzer (1993), a primeira máquina foi instalada numa fábrica de tabaco.
Depois funcionou nos Armazéns Gerais dos CFM, para elaboração da estatística Ferro-Portuária.
Mais tarde, os estudantes do centro dos estudos gerais universitários 31 de Moçambique
(CHAMANGO, 2012), hoje a Universidade Eduardo Mondlane (UEM), passaram a usar o
computador no Laboratório de cálculo numérico e máquinas matemáticas. Depois da
Independência Nacional, na década 1980, o governo importou computadores da Bulgária para
gestão administrativa e processamento de salários no CPD. Naquele período, utilizavam tambores
magnéticos e cartões perfurados para armazenagem de dados.
Em 1987, foi criada a Comissão Especial de Informática, através de decreto presidencial,
que permitiu o surgimento das primeiras empresas da área (MATUSSE, 2013). Esse instrumento
presidencial começou a vislumbrar a impotência de uso dos computadores no país. Os
computadores usados até 1989 possuíam a capacidade correspondente entre 20 a 100 MB, e mais
tarde começaram a aparecer no mercado computadores com capacidades de disco de 500 MB à 1
GB e mainframes.
Em 1992, o Centro de Informática do MDN recebeu computadores com capacidade de
armazenamento de 40 a 60 GB, que foram usados para gestão de sistema dos recursos humanos
na defesa, e depois, durante o acordo geral de Paz para o país, em Roma, o governo usou para
gestão dos desmobilizados da guerra dos 16 anos da Renamo e do Governo. Estas e outras ações
não só demonstraram a necessidade crescente do uso dos computadores no setor público e

31
CEGUM foi fundado no dia 21 de agosto de 1962, ascendeu à categoria de universidade em 1968, designada por
Universidade de Lourenço Marques e, no dia 1 de maio de 1976 passou a chamar-se de Universidade Eduardo
Mondlane.
 92

privado, mas também serviu para mostrar ao governo a necessidade de criar Política de
Informática (CM, 2000).
Em março de 2009, em Moçambique, foi realizada a montagem do primeiro computador
da marca DZOWO em parceria com a multinacional “Sahara”, com sede em Johanesburgo, na
África do Sul (MCT, 2009). O computador DZOWO foi o resultado do sonho dos engenheiros
Henriques Marcelino e Carlos Klint no projeto para desenvolver um sistema integrado de
computador e televisor. Depois do falecimento do engenheiro Klint, o engenheiro Marcelino
procurou um novo parceiro, que foi MCT, através do Ministro Venâncio Massingue, para o qual
apresentou a ideia de desenvolver um sistema integrado de computador e televisor. A baixo é
representado o road map do computador e da internet em Moçambique.

Figura 5 - Evolução do computador e da Internet em Moçambique

Fonte: Autor (2020).

A Internet surgiu nos meados dos anos 60, nos Estados Unidos da América, com fins de
comunicação militar. Em 1969, entrou em operação ARPAnet (Advanced Research Projects
Agency Network). Nos anos 1990, a ARPAnet 32 foi transformada em NSFnet (National Science
Foundation Network). Em 1995, a Internet foi transferida para a administração de instituições
não-governamentais estabelecendo padrões de infraestrutura, registo de domínios, como por
exemplo, a Internet Society (baseada nos Estados Unidos da América, atuando em todo o mundo)

32
A rede de computadores que foi desenvolvida pela empresa ARPA (Advanced Research Projects Agency) em
1969, tinha como objetivo transformar todas as bases militares norte-americanas em verdadeiro Big Brothers sob
a supervisão da chefia do Exército, Marinha e Aeronáutica do país. ARPAnet passou mais tarde para fins civis;
primeiramente a rede ligou 4 universidades e permitiu aos cientistas partilhar remotamente informação e
recursos. A História da Internet, Disponível: [Link] Acesso: 9.03.2019.
 93

e o Comité Gestor da Internet (que atua de uma forma restrita no nosso país) (INTERNET
SOCIETY, 2001).
Moçambique começou com o projeto da Internet na década 1990; o mentor da ideia de
instalação da Internet foi Venâncio Massingue, que se formou na Holanda. Moçambique foi o
terceiro país africano, depois da África do Sul e do Egito, a aderir a rede global. A Internet no
país foi disponibilizada ao público a partir de 1993; depois Moçambique passou a ajudar outros
países, como Tanzânia, na área de formação acadêmica e de assistência técnica (MUCHANGA,
2006). Agora, em Moçambique, a Internet é uma ferramenta para governança, de gestão pública e
privada, facilitando a comunicação e transferência de dados entre as cidades e as zonas rurais. O
maior acesso à Internet é via celular e através dos centros multimídias comunitários espalhados
pelo país.

4.1.2 Evolução das comunicações e mídias digitais

A evolução histórica das comunicações em Moçambique começa com a TDM como

empresa estatal criada em 1981 pelo decreto nº. 05/81 de 10 de junho, resultante da rescisão dos
correios, telégrafos, telefones (CTT) e órgão do governo. Dentro do programa de reforma do
Estado Moçambicano, a operadora nacional das telecomunicações foi transformada, pelo decreto
nº. 23/92 de 10 de setembro de 1992, em Telecomunicações de Moçambique (TDM). Assim, a
TDM passou de uma empresa de direito privado, SARL, para uma empresa constituída de 80%
de capital do Estado e 20% de capital dos GTT (gestores, técnicos e trabalhadores), através do
decreto nº. 47/2002, de 26 de dezembro de 2002. Em 2009, a TDM foi transformada em
Sociedade Anônima (TDM, SA), de acordo com o Relatório de Contas das Telecomunicações de
Moçambique (TDM, 2012).
A TDM foi sujeita a reforma do Estado em 1992, e no mesmo ano, foi formalizado o
Instituto Nacional das Comunicações de Moçambique (INCM) como regulador do setor das
comunicações, sob tutela do Ministério de Transporte e Comunicações (MTC). Desde a sua
criação, a TDM (1981) era a única empresa que ostentava o monopólio das comunicações em
Moçambique. O gráfico a seguir ilustra a evolução das comunicações no país, particularmente, a
evolução das telecomunicações subdivididas em telefonia fixa da Empresa TDM e as telefonias
móveis.
 94

Gráfico 1 - Evolução das Comunicações

EVOLUÇÃO DAS TELECOMUNICAÇÕES EM MOÇAMBIQUE

2030
2020

Linha do Tempo
2010 2011 2018
2002 2009 2002
2000 1997
1990 1992
1980 1981
1970
1960

Empresas de Telecomunicações

Fonte: Elaborado pelo autor com base nos dados da TDM e INCM.

No âmbito das parcerias entre a TDM e DETECON GmbH (Deutsche Telepost

Consulting GmbH), em 1997, foi estabelecida a empresa Mcel que funcionou também como
única operadora móvel até a autorização da segunda operadora, a Vodacom, em 2002, que
começou a operar em dezembro de 2003. A terceira operadora móvel, a Movitel, entrou no
mercado em 2011 reforçando a cobertura da rede móvel nacional. É necessário destacar que a
tecnologia trouxe vários benefícios, principalmente no uso da telefonia móvel para a transferência
de valores monetários entre os usuários são casos dos serviços M-Kesh da Mcel, M-Pesa da
Vodacom e e-Mola da Movitel (Ibidem).
Com a introdução das operadoras de telefonia móvel em Moçambique, a TDM começou a
perder espaço comercial; o público dos seus serviços passou a aderir aos serviços das operadoras
moveis que são mais confortáveis e práticos para qualquer lugar e a qualquer momento. Deste
modo, a empresa TDM começou a entrar em falência; para se manter no mercado, defendendo os
interesses públicos, suportando a concorrência foi forçado, em 2018, a juntar-se com a Mcel,
empresa também de telefonia estatal, fundindo ou transformando as duas empresas numa única,
designada Tmcel.
Quanto a história de mídias eletrônicas em Moçambique, esta começa pela primeira
emissão de Rádio, em 18 de março de 1933. A data considerada da radiodifusão em
Moçambique, a primeira designação da emissora foi de “Grêmio dos Rádio filos de
Moçambique”, que mais tarde passou a se chamar de Rádio Clube de Moçambique, até a criação
 95

da Rádio Moçambique33 (RM) em 2 de outubro de 1975. A RM transformou-se em empresa

pública em 16 de junho de 1994.
Na linha das mídias eletrônicas, a primeira televisão de Moçambique foi criada em 3 de
fevereiro de 1981, designada por Televisão Experimental de Moçambique (TVE). Uma televisão
que foi produto de projeto de cooperação entre o Ministério de Informação e o Governo Italiano,
destinado a apoiar as instituições ligadas ao Ministério (MATUSSE, 2013). A Televisão
Experimental de Moçambique mais tarde transformou-se na empresa pública Televisão de
Moçambique (TVM-EP) em 1991. Passou a transmitir para todo país, via satélite, em 1992
(TONETTI, 2007), agora a TVM transmite o seu sinal para alguns países da África, Ásia e a
Europa. Veja a seguir a evolução da Rádio e Televisão em Moçambique.

Figura 6 - Evolução das Mídias Eletrônicas em Moçambique

Fonte: Autor (2020).

Depois da TVM, surgiu um leque de televisões privados. Segundo Chichava e Pohlmann,

(2010) destacam-se:
a) a STV, pertencente à Sociedade Independente de Comunicação (SOICO), de
empresários moçambicanos e fundada em 2002. Esta televisão cobre oito das onze
províncias do país, nomeadamente Maputo (cidade e província), Gaza e Inhambane,
no Sul, Manica, Tete e Zambézia, no Centro, e Nampula, no Norte e transmite os seus
programas para países da África Austral e Europa;

33
Única estação de rádio no país cobertura nacional, depois do encerramento da Rádio Clube de Moçambique, da
Rádio Pax e do emissor Aeroclube da Beira.
 96

b) a Televisão Independente de Moçambique (TIM), criada em 2006 por empresários

moçambicanos, que emite, além de Maputo, para Tete, Cabo Delgado, Beira e
Quelimane;
c) TV Miramar, propriedade da Igreja Universal do Reino de Deus;
d) a SIRT-TV, criada em 2002 e com sede na cidade de Tete — portanto, a única com
sede fora da capital —, pertencente a António Marcelino de Mello;
e) KTV, descendente da antiga Rádio e Televisão Klint (RTK), a primeira estação
televisiva privada criada em Moçambique, por Carlos Klint, antigo militante da
FRELIMO. A KTV possui uma estação de rádio, a KFM, que também emite em FM;
f) a TV Maná, com sede em Maputo, de propriedade da Associação Maná Igreja Cristã.
A evolução das multimídias e a rápida expansão da internet criaram condições para o
surgimento da web-jornais. Hoje, apenas com um tablete, um computador portátil com modem ou
simplesmente um celular, as notícias podem chegar com rapidez à redação de um web-jornal que
a qualquer momento possam ser editadas e difundidas (ZAMITH, 1999). Em Moçambique, já
existem muitos web-jornais, e mesmo os jornais tradicionais são transformados em jornais
eletrônicos na internet. As emissões das rádios e televisões são emitidas em sistemas integrados
de celulares e de computadores.

4.2 ACERVOS DE INFRAESTRUTURAS CRÍTICAS NACIONAIS

Os acervos de infraestruturas críticas nacionais são constituídas por ativos de informação

e comunicação e sistema nacional de infraestruturas críticas. Os ativos de informação e
comunicação compreendem os meios de armazenamento, transmissão e processamento, os
sistemas de informação, os parques tecnológicos e as instituições onde-se localizam esses meios e
aos quais os usuários têm acesso; o sistema nacional de infraestruturas críticas constituem os
vastos sistemas de energia, água, transporte, gestão de terra, defesa, saúde e sistemas de
economia digital (e-commerce, e-banking, e-sistafe).
Neste subcapítulo, são apresentadas em detalhe as características dos ativos de informação
e comunicação, a sua interconectividade, a evolução tecnológica, aumento da banda larga, a
relação da economia digital e a securitização no ciberespaço. Está em destaque neste subcapítulo
a preocupação do governo perante as Infraestruturas Críticas Nacionais e os objetos estratégicos
 97

de interesse nacionais. Também, de uma forma resumida, é descrita e apresentada a importância e

o desenvolvimento do Governo Eletrônico, da Rede para Educação e da Pesquisa das Instituições
do Ensino Superior. No final, são apresentadas as características de sistemas de segurança
industriais e militares.

4.2.1 Ativos de informação e comunicação

Os ativos de Informação e Comunicação em Moçambique evoluíram consideravelmente

desde 2000. A Rede Nacional de Transmissão da TDM cobre todas as sedes de 128 distritos com
uma infraestrutura de banda larga, usando um cabo subterrâneo ou submarino de fibra óptica e
criando uma espinha dorsal. A tecnologia de banda larga via fibra óptica permite dar acesso
qualitativamente mais rápida à Internet. Moçambique foi um dos países na África Austral que, a
partir de 1994, apostou em infraestruturas das Tecnologias de Informação e Comunicação (TICs).
Nesta altura, com recursos escassos, o governo investiu em estudos de viabilidade com vista a
massificar o uso das TICs no ensino e na economia. Em 2000, Moçambique já dispunha a
Política de Informática com missões e prioridades que promoviam as TICs (GASTER et al.,
2009), tais como:

Missões: 1) Contribuir para o combate à pobreza e melhoramento das condições de vida

dos moçambicanos; 2) Assegurar o acesso dos cidadãos aos benefícios do conhecimento
mundial; 3) Melhorar a governança e administração pública; 4) Fazer de Moçambique
um produtor e não mero consumidor das tecnologias de informação e comunicação; 5)
Elevar Moçambique ao nível de parceiro relevante e competitivo na Sociedade Global de
Informação.

As prioridades na promoção e no estímulo do desenvolvimento e democracia (GASTER

et al., 2009): Educação; Desenvolvimento de recursos humanos; Saúde; Acesso universal;
Infraestrutura; Governança. Outras áreas que precisa de maior suporte das TICs são: comércio
eletrônico e proteção de negócios; Agricultura e os recursos naturais; Meio ambiente e o turismo;
Proteção pública; Rede de instituições acadêmicas e de pesquisa; Mulher e juventude; Cultura e
arte; e Comunicação social.
A Estratégia de Implementação da Política de Informática foi aprovada em 2002
definindo sete áreas de programação: Capacidade Humana; Infraestrutura; Conteúdo e
Aplicações; Governação; Políticas e Regulamentação; Empresariado; Desenvolvimento nas
 98

Províncias. Desde 2000, as Infraestruturas para as TICs vivenciam uma evolução considerável. A
Rede de Transmissão da TDM cobre todas as capitais provinciais, estendendo-se até as sedes
distritais. Já foi desenvolvida uma espinha dorsal através de cabo subterrâneo ou submarino de
fibra ótica (MOÇAMBIQUE, MCTESP, 2016).
Figura 7 - Rede Nacional de Comunicação

Fibra Ótica

8.000 Km

Fonte: Moçambique. Cybermoz (2018).

A tecnologia de banda larga via fibra ótica permite dar acesso qualitativamente mais
rápida a internet, com maior confiança e a um preço bem inferior às opções atuais. Os cabos
submarinos, SEACOM e EASSY, foram lançados para trazer tráfego digital dentro e fora do país
dando acesso a internet mais rápida e barata. Encontramos também as redes regionais e
internacionais de ensino superior e pesquisa habilitadas por cabos internacionais de fibra ótica:
 99

UbuntuNet Alliance – Rede Regional Africana e Ensino Superior e de Pesquisa e, a GEANT –

Rede Pan Europeia de Ensino Superior e de Pesquisa (CHEMANE, 2014).
Figura 8 - Cabos Internacionais de Fibra Ótica

Fonte: MCTESTP (2017).

O acesso à infraestrutura de telecomunicações depende da existência de energia. O plano

de eletrificação do país está sendo implementando quase em todos os distritos. O Fundo de
Energia instala fontes alternativas à Rede Nacional em locais de difícil acesso e que usam painéis
solares e outras tecnologias. O governo e parceiros de cooperação estão trabalhando para estender
a rede elétrica para todo o país, oferecendo mais oportunidades de acesso para a maioria da
população (EDM, 2015).
 100

Figura 9 - Rede Nacional de Energia

Fonte: Adaptado de EDM (2015).

O País possui três redes de telefonia móvel (Mcel, Vodacom e Movitel) que, embora
apresentem cortes constantes por insuficiência de banda larga e por terem equipamento obsoleto e
tecnologias atrasadas, estendem-se a nível nacional proporcionando aos clientes acesso a serviços
de dados, voz e-mail e internet. A conectividade e a comunicação de dados são lentas, deficientes
e não confiáveis, provocando frustrações para os usuários que fazem uso das TICs (MCTESTP,
2016).
 101

Figura 10 - Infraestruturas das Operadoras

Número Total (BTS) : 2,042

2G BTS : 1,573

3G BTS: 469

Mcel TDM

Fonte: Adaptado de MCTESTP (2016).

A Mcel juntou-se à TDM formando uma única empresa pública. As empresas Movitel e a
Vodacom são empresas privadas. Ambas ressentem a falta da inovação tecnológica, necessitam
de emigrar para gerações mais recentes (4G ou 5G) para a compatibilidade as comunicações a
nível nacional e internacional. Essa migração também tem como finalidade de aumentar a banda
larga para satisfazer o mercado digital. O mercado digital é um espaço de troca e de transações
eletrônicas, onde o campo de atividades é o ciberespaço. O mercado digital Moçambicano tem
evoluído nos últimos dez anos; encontramos no ciberespaço moçambicano diversificados
serviços, desde serviços de telefonia fixa, de telefonia móvel celular, serviço de telefonia móvel
global, serviços de transmissão de dados e internet, serviços de banda larga para acesso nacional
e internacional, serviços de televisão digital por cabo e por satélite. O quadro a seguir apresenta
os operadores autorizados e os respetivos serviços.

Quadro 4 - Mercado Digital Moçambicano

No. Serviços Porcentagem
Operadores
1 Serviço de telefonia fixa 20%
3 Serviço de telefonia móvel celular 40%
1 Serviço de telefonia móvel global 10%
3 Serviço de banda larga para acesso interno 30%
 102

No. Serviços Porcentagem

Operadores
2 Serviço de banda larga para acesso internacional 15%
28 Serviço de transmissão de dados e internet 8%
4 Serviço digital por cabo 13%
5 Serviço digital por satélite 6%
Fonte: Elaborado pelo autor com base nos dados de INCM (2017).

No âmbito da competição no mercado digital, o serviço de telefonia móvel cresceu de

610.475 usuários, em 2004, para 9.872.054 usuários, em 2013; e o número de usuários vem
crescendo, em 2015, passou para 17.912.147 usuários e, em 2016, passou para 19.161.770
usuários. O uso de telefonia fixa decresceu significativamente para 79.888 usuários (INCM,
2016). Em 2015, com a entrada da terceira operadora (a Movitel), o custo mensal de serviços da
internet reduziu, 3 Gigabites passa de 100 meticais em 2012 e para 500 meticais em 2015. A
teledensidade passou de 27%, em 2010, para aproximadamente 69,7%, em 2015 (INCM, 2017).
O gráfico abaixo ilustra a evolução numérica de usuários nas telecomunicações.

Gráfico 2 - Subscritores de Telefonia Móvel e Fixa

Subscritores de Telefonia em Moçambique

TDM Total movel Movitel Vodacom Mcel

5.819.147 6.159.992 5.817.605 5.636.427

4.375.828 5.214.336
4.164.382 5.049.424 4.898.124 5.542.138
2.894.144
3.479.517 5.900.291 7.234.803 7.196.418 7.983.205
4.700.000

7.855.345 15.883.820 18.444.219 17.912.147 19.161.770

8.108.480

88.120 82.140 77.568 76.888 79.888 78.750

2011 2012 2013 2014 2015 2016

Fonte: Elaborado pelo autor com base nos dados de INCM (2017).

No país, o mercado digital evoluiu consideravelmente, as empresas que usam a internet

são mais produtivas em comparação com aquelas que marginalizaram as ferramentas digitais para
dinamizar o mercado cada vez mais exigente. Como dizia Tapscott (1997), “a nova tecnologia de
redes habilita as pequenas e médias empresas a dominarem as principais vantagens das empresas
 103

de grande porte econômicas de escala e acesso a recursos”. A aderência à internet criou

condições para o comércio eletrônico no país que vem evoluindo nos últimos tempos a nível
nacional e timidamente o nível internacional. A penetração da internet foi de aproximadamente
8% dos usuários, de acordo com os dados apresentados no gráfico 3 (MCTESTP, 2017).

Gráfico 3 - Penetração da Internet em Moçambique

Gráfico 2: Penetração da Internet em Moçambique (%)

10
Percentagem (%)

8 8
7.4 7.5
6
4.9 5 5
4 4.2 4.2 4 [Link]
2.8 3
2 2 [Link]
1.8
1 1
0
2006 2008 2010 2012 2014 2016 2018
Período (anos)

Fonte: Elaborado pelo autor com base nos dados de MCTESTP (2017).

O aumento de banda larga e a melhoria da conectividade das telecomunicações nos

últimos três anos, principalmente o uso massivo dos telefones celulares, faz crescer a demanda
dos serviços da internet. A telefonia móvel com acesso a internet veio aumentar mais o apetite de
uso das redes sociais em Moçambique. Os indicadores da banda larga e a conectividade das
telecomunicações (CYBERMOZ, 2018) também traduzem a outra dinâmica na utilização da
banca móvel, facilitando deste modo, as transações eletrônicas, mudando a vida das populações e
acrescendo valor na economia. O gráfico a baixo ilustra a necessidade crescente da banda larga
nas operadoras de telefonia tanto fixa quanto móvel.
 104

Gráfico 4 - Evolução da Banda Larga em Moçambique

Evolução da Banda Larga (Mbps)
14 000 14000
12 000 12000
10 000 10000
8 000 8000
6 000 6000
4 000 4000
2 000 2000
0 0
2009 2010 2011 2012 2013 2014 2015 2016 2017 2018

Telkom Eassy SEACOM TDM MCEL

Fonte: Cybermoz (2018).

4.2.2 Economia digital e securitização no ciberespaço

O ciberespaço e a internet são campos vulneráveis a ameaças e a riscos cibernéticos. É no

ciberespaço onde os predadores virtuam infetando as várias plataformas e aplicações comerciais,
industriais, sistemas operativos de redes dos computadores e de outras funcionalidades. O
ciberespaço é uma aranha de linhas elétricas invisíveis por onde gravitam atividades da nova
economia digital que se associam a inovação tecnológica. A economia digital ou a economia em
redes é a mais vulnerável a ciberameaças e sujeito a altos riscos econômicos para os países.
Muitos países procuram estratégias de proteção e monitoria das ameaças e vulnerabilidades dos
seus ciberespaços com a finalidade de reduzir os riscos e dinamizar os mercados digitais. Daí
aparece a relação entre a economia digital e a cibersegurança, a qual se alicerça na teoria da
securitização do ciberespaço.
O conceito de securitização reside no seu uso e, por isso, não é algo que possa ser
definido analiticamente ou filosoficamente de acordo com o que seria melhor (VIANA E SILVA,
2017). Neste sentido, a securitização do ciberespaço é a utilização das ferramentas digitais para a
defesa ou a proteção de um território virtual do Estado/governo (GovNet, e-Commerce, e-banking
ou mercado digital). Também pode-se considerar como um ato de defesa de uma construção
social. Securitização é uma teoria construtivista. Na economia de redes, as ameaças não aparecem
por vias tradicionais dos firewalls de perímetro, onde poderiam ser detectadas; os ataques
 105

sofisticaram-se, aparecem disfarçados de tráfego legítimo através de smartphones, tablets

utilizando diversificadas aplicativos como whatsapp, facebook, twitter, instagram, skype, badoo,
snapchat, sarahah, tumblr, entre outros, atingindo toda a comunidade conectada nas redes.
Para desencorajar essas ações, os governos criam leis e cooperam na criação de políticas
de cibersegurança com objetivo de proteger as suas plataformas de governança eletrônica, de
privacidade e segurança dos seus cidadãos. Nesse contexto, através de inovações com o intuito de
garantir e proteger a nova economia digital que o país proporciona um considerável crescimento
na sua economia. Contudo, os riscos e as vulnerabilidades nas plataformas das aplicações usadas
nos celulares, tablets e computadores forçam os países, as organizações e as empresas “ a realizar
ações na direção da criação, da manutenção e do fortalecimento da cultura de segurança
(CAVALCANTI, 2017). Todos países estão apreensivos com a problemática de segurança e as
suas privacidades no ciberespaço. Os comerciantes de aparelhos eletrônicos e os usuários da
internet nos smartphones também estão preocupados com a vulnerabilidade do espaço
cibernético.
Segundo Castells (2007, p. 205):

[...]uma forma eficaz dos países se protegerem, combatendo, ou melhor prevenindo as

ameaças cibernéticas transnacionais, é a utilização de acordos multilaterais e
instrumentos de cooperação internacionais, de forma a criar uma articulação em rede
entre os países.

Moçambique está elaborando algumas legislações sobre a cibersegurança e securitização

do seu espaço cibernético, tais como: a Lei n.º 3/2017, Lei de Transações Eletrônicas de 9 de
Janeiro de 2017; Lei n.º 4/2016, Lei das Comunicações de 3 de Junho de 2016; Decreto n.º
75/2014, Regulamentos de controle de Tráfego de Telecomunicações, de 12 de Dezembro de
2014; Decreto 18/2015, Lei de Registo de Cartões SIM de 9 de Julho de 2015; Lei n.º 35/2014,
Lei da Revisão do Código Penal de 31 de Dezembro de 2014, que cobre os crimes informáticos
nos seus artigos 317, 318, 323, 324 e 326. A nível internacional e regional, o país já aderiu à
convenção de Budapeste sobre crimes cibernéticos e trabalha assiduamente junto a SADC na
construção dos instrumentos de cooperação para ajustamento da estratégia regional de
cibersegurança (GOVERNO DE MOÇAMBIQUE, 2017). Moçambique precisa urgentemente de
uma Estratégia de Cibersegurança e Ciberdefesa capaz de coordenar todas as ações no espaço
 106

cibernético e a criação de um órgão para desenvolver capacidade de resposta a ameaças e crimes

cibernéticos, criando assim a confiança nos usuários do ciberespaço.

4.2.3 Sistema nacional de infraestruturas críticas

O Sistema de Infraestruturas Críticas é um ecossistema mais complexo, engloba

cibersistemas e objetos estratégicos e que sem eles impede o funcionamento parcial ou total de
uma sociedade. O conceito literal de Infraestruturas Críticas (IC) não está definido na academia e
nem entre estados; muitos estudiosos e estados divergem na conceituação e definição das
infraestruturas vitais nas sociedades contemporâneas virtuais e de interesses perversos.
Moçambique não é exceção, nota-se na proposta de Estratégia Nacional da Segurança Cibernética
em elaboração um incipiente conceito das IC no país.
Em Moçambique, ainda não estão caracterizadas as Infraestruturas Críticas Nacionais e
nem existe, na atual proposta da estratégia cibernética, a definição padrão das Infraestruturas
Críticas de Informação. Neste estudo, segundo o pesquisador, a situação real do ciberespaço
nacional apresenta dois tipos de IC: o primeiro tipo é composto por os sistemas cibernéticos que
compreendem os sistemas de informação industriais e a robótica; e segundo tipo é composto
pelos sistemas cibernéticos da defesa e de proteção civil que compreendem os sistemas de
informação de saúde, sistemas de informação de terra e água, sistemas de gestão de transporte,
governo eletrônico, economia digital e objetos estratégicos associadas as zonas estratégicas. O
mapa a seguir mostra os objetos estratégicos em zonas estratégicas indicadas pelo governo.
 107

Figura 11 - Zonas Estratégicas e Objetos Estratégicos

a) b)

Fonte: Adaptado de Marcelino (2020).

De acordo com a estratégia do governo moçambicano, foram definidos zonas estratégicas:

Região de Grande Maputo; Baía da Beira até a fronteira com Zimbabwé; Região do Rovuma até
Nacala; Região do Lago Niassa; e toda área de Moatize até Cahora Bassa; figura 10 – Zonas
Estratégicas e Objetos Estratégicos, na figura 10 a) tem-se fronteiras, corredores, portos,
aeroportos, jazigos de minerais, poços de petróleo e gás, agência de energia atômica, barragens,
cidades e vilas, áreas com potencial industrial e agrícola”; figura 10 b) tem-se os elementos de
potencial valor socioeconômico e estratégico do estado ilustrado nos mapas acima. Para fazer
face a ações de operações cibernéticas para a segurança e monitoramento, o pesquisador
apresenta um cibersistema nacional de infraestrutura. Um sistema de rede dorsal que liga a região
de grande Maputo ao Rovuma por nós em Inhambane, Beira, Quelimane, Nacala e Pemba como é
possível visualizar na figura 11. A figura 11 apresenta o desenho de infraestrutura tecnológica
(cibernética) que poderá ser implementada na região de grande Maputo (MARCELINO, 2014).
 108

Figura 12 - Sistema Nacional de Infraestrutura Cibernética

a) b) c)

Fonte: Adaptado pelo autor (2014).

Na figura 11 b), acima, apresenta como a plataforma de sistema cibernético para a região
de Maputo será redesenhada para ser implementada na região de exploração petrolífera do
Rovuma, mapa ao lado figura c). O sistema será interligado a redes sem fio com nove nós ao
longo da costa, extensiva a todas ilhas sob jurisdição das autoridades moçambicanas. Junto aos
“nós” estarão conectados access points interligado com os sensores. Para consolidar este estudo,
o autor apresenta a proposta de infraestruturas para sistemas de redes de controle e monitoria de
grande Maputo. Uma plataforma offset de vigilância para objetos estratégicos civis-militares na
baía e em toda região do grande Maputo, figura 12 que poderá ser implementado para as regiões
centro e norte (nas zonas de potencial econômico e estratégico de Nacala e baía do Rovuma).
 109

Figura 13 - Infraestruturas (sistemas) de redes de controle e monitoria de grande Maputo

Fonte: Elaborado pelo autor (2010).

Por razões de segmentação das zonas do interior do país que contém montanhas e
planaltos, cheios de rochas de difícil acesso e que não facilitam a ligação de fibra ótica será
escolhido um cibersistema de comunicação com a tecnologia híbrida conhecida por full-optical-
wireless. Essa opção vai suportar onze nós de fibra numa conexão integrada de redes sem fio
extensivas para as cidades e vilas em todo território nacional, adaptando o modelo de sistema de
comunicação com base na tecnologia 4G (MARCELINO, 2010).
O cibersistema de governo eletrônico foi o resultado da dinâmica global da economia e da
administração pública dos governos. Embora o governo eletrônico tenha origem na década 1990,
esse foi anunciado em 1999, no I Fórum Global sobre Reinvenção do Governo, pelo então
presidente estadunidense Bill Clinton. Em Moçambique, começa-se a falar do governo eletrônico
nos anos 2003. Segundo Langner e Zuliani (2015), governo eletrônico é considerado como a
“transformação das relações internas e externas por meio da tecnologia, da internet e dos novos
meios de comunicação”. O governo eletrônico (SANTOS; REINHARD, 2012) é caraterizado
pela prestação eletrônica de informações e serviços, redes de informação, prestação de contas
públicas, ensino à distância, difusão cultural e aquisição de bens e serviços por meio da internet.
O governo eletrônico aparece com a necessidade de aliar a segurança com os
investimentos, o rápido fluxo de informação nas redes para boa governança ou boas práticas na
administração pública, para os interesses privados e dos cidadãos. O governo eletrônico de
 110

Moçambique forma um conjunto de ecossistema de GovNet, SIP, Sistema de Identificação, e-

SISTAFE, Cadastro Digital de Terras, BAU, Portal do País Observatório de ICTs das Instituições
Públicas e Sistema de Gestão de Processos Eleitorais. Neste conjunto de ecossistema, procura-se
a robustez, segurança e confiabilidade na governança. Por gestão do espaço e tempo neste
ecossistema, será descrito apenas a Rede Eletrônica do Governo (GovNet). A GovNet é uma
plataforma física de comunicação e de troca de dados entre os órgãos e instituições do Governo.
Segundo Matusse citando Chamango (2012), essa rede consiste em três fases:
a) Fase Piloto, entre 2004 e 2005: tinha como objetivo testar o conceito de
disponibilização de serviços básicos tais como email e internet;
b) Fase Provincial, entre 2007 e 2009: tinha como enfoque o alargamento dos serviços
da rede às províncias e a disponibilização de conteúdos e aplicações para funcionários
e agentes do Estado bem como para cidadãos em geral, através do Portal do Governo;
c) Fase Distrital, entre 2010 e 2014: tinha em vista expandir os serviços do GovNet aos
distritos.
A rede de GovNet (figura 13) cobre todos os distritos, a aposta é de estender até as outras
localidades. A GovNet é a rede baseada na infraestrutura da empresa TDM em parceria com
outros setores do governo. Também existem outras parcerias internacionais que incluem a
componente de segurança. A GovNet permite a troca de dados e de informação com segurança e
confiabilidade; os custos são muito reduzidos relativamente, se as instituições fossem suportar
unilateralmente. A GovNet é a solução otimizada, sem duplicação de gastos e está interligada a
310 Instituições do Estado e cobre todos os distritos do país. A meta do governo é de estender a
rede a todas as localidades.
 111

Figura 14 - Rede Eletrônica do Governo

Fonte: INTIC (2013).

Depois da resumida descrição da Rede Eletrônica do Governo, em seguida, passa-se a

apresentar o conceito e as características da Rede para Educação e Pesquisa das Instituições
Superiores de Ensino (MoRENet), uma rede de comunicação de dados de alta velocidade que
visa:
a) facilitar a troca e disseminação de conhecimento, promovendo a investigação
científica e a inovação, reduzindo a distância entre docentes, investigadores,
estudantes e outros profissionais;
b) aproximar as instituições científicas ao cidadão, ao setor privado e ao setor público.
A MoRENet é um dos projetos da Estratégia de Implementação da Política de
Informática, aprovada pelo Governo em 2002. Esta rede foi lançada pelo então Ministério da
Ciência e Tecnologia, em 2005, e visa contribuir para o alcance dos objetivos das seguintes
estratégias do Governo de Moçambique:
a) Estratégia de Ciência Tecnologia e Inovação de Moçambique (ECTIM);
b) Estratégia de Ensino Superior;
c) Estratégia de Ensino Técnico Profissional.
O objetivo da primeira fase foi de providenciar às diversas instituições de ensino o acesso
à Internet permitindo a sua interligação. Para fase posterior, o objetivo foi de providenciar
 112

conjunto de recursos digitais úteis ao desenvolvimento de pesquisa e outras atividades

relacionadas, tais como bibliotecas digitais. Na fase inicial, o MCTESTP financiou a
interconectividade entre as instituições de ensino superior e de pesquisa e adquiriu 310 Mbps de
banda larga da Internet (MATUSSE, 2013).

Figura 15 - Arquitetura e Indicadores da MoRENet

Fonte: Adaptado de MCTESTP (2018).

A MoRENet já possui 6 pontos de presença distribuídos de Sul a Norte, com números de

ligações correspondendo a 105 instituições de ensino e pesquisa. As 45 ligações pertencentes ao
1º ponto de presença possuem 1500 Mbps de Banda Larga; 2º ponto de presença com 28 ligações
contém 1500 Mbps de Banda Larga; 3º ponto de presença, no centro do país, contempla 1150
Mbps de Banda Larga; o 4º ponto de presença, também no centro do país, possui apenas 1000
Mbps; no 5º ponto de presença, no norte do país, conta com as instituições e contêm 2000 Banda
Larga; e o 6º ponto de presença, o último, mais para o norte de Moçambique, possui 1000 Mbps.
A MoRENet é membro da UbuntuNet e colabora com outras redes (NRENs) da região
como a KENET, a TENET, ZAMREN, SANRENet e outras. Também estão em preparação
memorandos de colaboração com a MoRENet dos EUA e com FCCN (Fundação para
Computação Cientifica Nacional) de Portugal, membro da Rede Géant.
A MoRENet, dentro das parcerias e cooperação internacional, assinou memorando de
colaboração com a Rede Nacional de Pesquisa do Brasil – membro da Rede Clara, onde se
definiu ações conjuntas como:
 113

a) implementação de Eduroam na MoRENet;

b) implementação de Federação de Identidade Acadêmica (CAF-Moz – Comunidade
Acadêmica Federada de Moçambique);
c) criação de CSIRT da MoRENet;
d) capacitação dos técnicos da MoRENet em diversas áreas.
A MoRENet está interconectada com várias instituições de ensino superior, instituições
de investigação, de ensino técnico, com pontos de presença (PoPs), WIOCC (Eassy) e
UbuntuNet/Seacom, com as ligações em última Milha (Acesso) possuindo 100 Mbps, 60 Mbps e
20 Mbps respectivamente; o backbone da MoRENet possui 500 Mbps de pontos de presença; a
Ligação Internacional possui 3,12 Gbps distribuídos para WIOCC (Eassy) com 1,25 Gbps e
UbuntuNet/Seacom com 1,87 Gbps de largura de banda larga.

Quadro 5 - Capacidades das Ligações da Rede MoRENet

Fonte: Adaptado de MCTESTP (2018).

A MoRENet possui vários serviços agrupados em serviços correntes e serviços

planejados, como mostra o quadro 6 abaixo:
 114

Quadro 6 - Serviços da MoRENet

Serviços Correntes Serviços Planeados
Conectividade incluindo acesso a Bibliotecas Virtuais
Internet
Hospedagem de Páginas Web e VoIP
aplicativos
Colocação Conferências de Vídeo e Web
E-Mail File Sender
Eduroam Serviços na nuvem
Federação de Identidade (CAF-MOZ)
Formação (Capacitação)
Fonte: Adaptado de MCTESTP (2018).

O Ministério de Ciência, Tecnologia, Ensino Superior e Técnico Profissional

(MCTESTP) definiu ações estratégicos de segurança da Rede MoRENet para 2018-2025, com
foco estratégico nos serviços de segurança de dados, informação e rede MoRENet que tem como
objetivo estratégico de estabelecer diretrizes que garantam a segurança de dados, informação de
recursos da MoRENet. Nas ações estratégias tem-se como objetivo os seguintes resultados:
a) elaboração da Política Segurança de Dados sustentável e baseada em padrões
internacionais de segurança de informação (ISO/IEC 27000);
b) conscientização dos usuários da rede quanto as questões de segurança;
c) infraestrutura de rede resiliente e segura, capaz de proporcionar maior
disponibilidade, integridade, confiabilidade e autenticidade da informação;
d) estabelecimento do CSIRT da MoRENet;
e) criação de parcerias e colaboração com CSIRTs de instituições governamentais e do
setor privado para uma resposta coordenada a incidentes de segurança.
A MoRENet já possui CSIRT que torna credível o seu negócio e o processo de segurança
das informações que transitam na rede. O CSIRT é o resultado de várias consultas documentais,
fóruns e parcerias com a Rede Nacional de Pesquisa de Brasil-RNP. O CSIRT da MoRENet tem
como objetivos:
a) responder positivo e diretamente em casos de ameaças detectadas na rede;
 115

b) sensibilizar todas instituições ligadas à MoRENet sobre os riscos e ameaças na rede;

c) identificar ameaças e vulnerabilidades da rede e reportar situações anômalas a
comunidade acadêmica ligada a MoRENet;
d) providenciar suporte a entidades para a resolução de problemas de segurança;
e) ajudar as entidades na implementação de medidas de segurança;
f) colaborar com outras entidades CSIRTs de outras redes similares de forma a divulgar
e a resolver ameaças de informática;
g) identificar e controlar os incidentes, notificando as instituições clientes em caso de
uso não racional de recursos da rede e produzir relatórios de resultados;
h) determinar a causa, fonte, natureza e extensão das ameaças e vulnerabilidades da
rede.
Com estabelecimento do CSIRT, já foram identificadas ferramentas de segurança para
MoRENet: Nessus; CIS Controls (Critical Security Controls); Security Risk Review; Security
Webinars; Roadshows; ZhenEdge; EagleEye; Blackhole DNS; Wireshark; NMAP; Metasploit;
Fluke Networks; Opt View XG; Wi-Fi Analyzer; e Chrome Book Recommendation. Atualmente,
na espinha dorsal e na infraestrutura de servidores, foram encontradas soluções de segurança para
bloqueio de portas, endereços de IPs e fluxo de tráfego malicioso, mecanismos de segurança e
firewall de rede.
A MoRENet definiu como atividades para o tratamento de incidentes de segurança os
seguintes pontos:
a) análise de artefatos maliciosos na rede;
b) análise de vulnerabilidades;
c) emissão de alertas e advertências em caso de intrusão na rede;
d) prospecção ou monitoramento de novas tecnologias de segurança na rede;
e) avaliação da segurança;
f) desenvolvimento e implementação de ferramentas de segurança;
g) detecção e correção de intrusão;
h) disseminação de informações relacionadas com a segurança.
O CSIRT da MoRENet foi atribuído as seguintes missões:
a) registrar, acompanhar e responder os incidentes de segurança envolvendo toda
infraestrutura da rede e de instituições ligadas a MoRENet;
 116

b) apoiar as unidades/órgãos da universidade nas questões relacionadas à segurança dos

recursos computacionais;
c) avaliar as condições de segurança dos computadores conectados da rede da
universidade;
d) orientar na identificação de comprometimento de computadores conectados na rede
da universidade;
e) orientar na reparação de danos causados por ataques na rede;
f) disseminar informações sobre ações preventivas relativas à segurança dos recursos
tecnológicos;
g) promover capacitação na área de segurança de redes e servidores.
E foram traçadas as duas fronteiras: CSIRT Interno (consiste no atendimento das ligações
internas) e CSIRT Externo (consiste das ligações externas).

Quadro 7 - CSIRT da MoRENet

CSIRT interno CSIRT externo
Backbone (Espinha Dorsal) Ligações da última milha
Pontos de Presenças Instituições de Ensino
Superior
Centros de Controle de Operações Instituições de Investigação
Escola Técnicas Profissionais
Fonte: Adaptado de MCTESTP (2018).

Os serviços de CSIRT da MoRENet são agrupados em três categorias: serviços reativos,

serviços pró-ativos e serviços de qualidade. Os reativos compreendem tratamento de incidentes
de segurança, análise forense, envio de notificações, ações de ferramentas. Os pró-ativos
compreendem distribuição de alertas, recomendações e estatística, monitoramento e prevenção de
atividades maliciosas, gestão de vulnerabilidade, auditoria de sistemas de informação e
desenvolvimento de ferramentas. Os serviços de qualidade compreendem cooperação de equipes
de segurança de informação, gestão de riscos de segurança de informação, disseminação da
cultura de segurança, definição e escrita de normas e política da segurança de informação.
 117

4.2.4 As Características dos sistemas de segurança industrial e militar

O arsenal de sistemas industriais em Moçambique é complexo, mas sujeito a muita

insegurança. Nesta seção, são apresentadas as características de algumas infraestruturas
industriais que funcionam como sistemas de informação; é o caso da Rede Nacional de Energia,
onde encontramos o comando energético equipado por sistemas SCADA/SEM, rede de
comunicação de voz e dados para apoio do sistema e exploração da rede, sistemas de
automatização de subestação.
Os sistemas SCADA/EMS usados para a produção de energia são obsoletos e estão
sujeito a elevados custos para a sua manutenção, além de apresentarem problemas de segurança.
Esses tipos de sistemas SCADA são substituídos por novos sistemas de controle integrados a
sistemas corporativos que modernizam os processos de transmissão e distribuição de energia aos
consumidores e reduz os custos. A nova arquitetura de SCADA/EMS conta com zonas
desmilitarizadas (DMZ). Os novos sistemas de controle industriais integrados fornecem uma rede
integrada SCADA/SEM, para monitorar e controlar o sistema de potência de forma segura,
confiável e econômica, se regenerar e reorganizar rapidamente em casos de perturbações ou
surgimento de apagões. Os sistemas de controle estão munidos de sistema de deteção e prevenção
de intrusos, assim como a conexão da rede corporativa conta com barreiras de firewall rígidas.
Antes da inovação, por causa de dissonância dos sistemas de controle, detectavam-se pontos
críticos que poderiam afetar a segurança, conforme ilustrado no gráfico a seguir.
 118

Gráfico 5 - Itens de Criticidade de Energia

Fonte: Elaboração pelo autor com base dos dados de EDM (2014).

Outro exemplo de sistemas de controle industrial, é o sistema de tratamento e distribuição

de água. Estes serviços usam Telemetria de Reservatórios e Elevatórias de água. A Telemetria
consiste no processo de transmissão de dados via radio frequência, ou seja, os dados são lidos e
transferidos via frequência para um centro de leitura. Nessa leitura, é utilizado o Rádio Motorola,
UHF e VHF para transmissão dos dados dos níveis de reservatórios dos centros distribuidores.
Não se usam sistemas SCADA como medidas de segurança no processo de tratamento e
distribuição de água. Projeta-se a migração para ZAP, um software que poderá ajudar na
segurança. As redes de distribuição de água possuem muitos riscos de segurança e os pontos
críticos, que podem fragilizar a segurança nas estações, estão ilustrados graficamente a seguir.
 119

Gráfico 6 - Itens de Criticidade de Água

Fonte: Elaboração pelo autor com base dos dados de EDM (2014).

Os sistemas de C2 nas FDS são complexos, exigem um comando eficiente, permanente e

uma monitoria constante das vulnerabilidades e ameaças cibernéticas. O levantamento realizado
pelo pesquisador mostra vários fatores críticos que afetam a segurança cibernética dos sistemas
de informação. As categorias mais críticas encontradas foram os modelos de políticas de
segurança, defesa e prevenção contra-ataques cibernéticos com elevado índice de criticidade de
125 e as vulnerabilidades cibernéticas com 80 e a política de segurança cibernética com nível de
60. Todas essas características estão representadas no gráfico a abaixo.
 120

Gráfico 7 - Criticidade nas Unidades Militares

Fonte: Elaboração pelo autor com base dos dados de Marcelino (2014).

“Os sistemas militares, especialmente de armamentos, de C3I e de sensores são

vulneráveis a ataques cibernéticos, e o domínio soberano dos sistemas tecnológicos militares é
essencial à efetividade da ação militar de combate” (FERNANDES, 2015, p. 424). Moçambique
precisa de um instrumento robusto para defender a sua soberania cibernética. A automação
cibernética pode mudar os cenários nas batalhas, e os sistemas controlados por computadores e
redes de C2 podem mudar a ordem doutrinária militar tradicional.

4.3 VULNERABILIDADES E AMEAÇAS NO CIBERESPAÇO MOÇAMBICANO

“Vulnerabilidades são deficiências de diversas origens, as quais, muitas vezes, não são
identificadas a tempo ou, mesmo quando isso ocorre, não são devidamente tratadas de modo a
evitar um ataque” (NAKAMURA, 2002). No ciberespaço, existem um leque de vulnerabilidades,
desde físicas, naturais, de hardwares e softwares, dos meios de armazenamento, de comunicação
até vulnerabilidades humanas. Essas vulnerabilidades das ICs são responsáveis por afetar
diretamente as áreas sensíveis da vida política, econômica e social das nações.
 121

Em Moçambique, as vulnerabilidades versus riscos nos ativos da informação e das ICs

resultam no aumento da conectividade no ciberespaço, mas também resultam no não
cumprimento de normas de limpeza nos dispositivos cibernéticos e na obsolescência tecnológica;
Além disso, demonstra a falta de competências e conhecimentos sobre a segurança cibernética
nos vários setores públicos e privados e a falta de coordenação no monitoramento e no combate a
incidentes cibernéticos entre governo, corporações e setor privado.

4.3.1 Tipos de vulnerabilidades e ameaças cibernéticas

A ocorrência que representa uma ameaça ou um ataque cibernético pode ser considerado
um incidente cibernético que pode escalar para um conflito no espaço cibernético. Nos últimos
anos, foram registrados no país ataques a várias páginas do governo que se caracterizaram ou são
designados como “Web Dafacing 34”. De acordo as informações recolhidas no INAGE,
registaram-se casos de ataques por “Web Defacing”, o qual solicitava o pagamento de resgate
para a devolução da página ou site.
Desde 2015 a 2017, Moçambique sofreu ataques do tipo brute-force, Compromised,
Malware Dissemination, Scanner, Defacements, Redefacements e outros. Segundo Marcelino
(2014), são frequentes as ameaças cibernéticas, tais como malwares (Vírus maliciosos), Spam,
worm, phishing e spyware, quebras de chave WEP: ativa e DDoS e, Quebras chave WEP: passiva
e analisador de rede. A tabela a seguir indica alguns incidentes no domínio de Moçambique,
notificados pela [Link]. (ZONE – H, 2017).

Quadro 8 - Ataques Cibernéticos em Moçambique

Período Notificador Tipo ataque IP Address Domínio OS
Location

21.08.2017 ZoRRoKiN Homepage Moçambique [Link]..mz Linux

Defacement
19.08.2017 KingScrupellos Redefacement Moçambique [Link]..mz Unknow

23.01.2017 PaYwand_Defacer Moçambique [Link]..mz Linux

31.12.2016 Wonka Homepage Moçambique [Link]..mz Linux

Defacement

34
Web Defacing é um ataque a um site, no qual os invasores alteram a aparência visual do site ou da página da web
(WEBSITE..., 2021).
 122

Período Notificador Tipo ataque IP Address Domínio OS

Location

Redefacement

27.10.2016 Brazilian Homepage Moçambique [Link] Linux

Cyber Army Defacement
17.09.2016 Xinox Crew Homepage Estados [Link]..mz Linux
Defacement Unidos
Redefacement
04.09.2016 Spy Unknow Homepage Moçambique [Link]..mz Linux
Defacement
Redefacement
09.07.2016 [Link] Redefacement Moçambique [Link]..mz Linux

09.01.2016 Zerox Dot ID Redefacement Moçambique [Link]..mz Linux

21.08.2015 Moroccan Hassan Homepage Moçambique [Link]..mz Linux

Defacement |
Redefacement
01.08.2015 Expl0d3r_ma Homepage Moçambique [Link]..mz Linux
Defacement
01.08.2015 Expl0d3r_ma Homepage Moçambique [Link]..mz Linux
Defacement
01.08.2015 Expl0d3r_ma Homepage Moçambique [Link]..mz Linux
Defacement
01.08.2015 Expl0d3r_ma Homepage Moçambique [Link]..mz Linux
Defacement
Fonte: Elaborado pelo autor com base nos dados de [Link] (2017).

Os estudos, que iniciaram em 2014, revelam que as fragilidades dos ativos de informação,
as vulnerabilidades das ICNs, a obsolescência tecnológica associada a fraca capacidade técnica e
ao fraco conhecimento do ciberespaço aumentaram os indicadores de incidentes cibernéticos.
Com aumento da conectividade e a massificação da internet, os índices de vulnerabilidade no país
sem centros de monitoria dos incidentes cresceram consideravelmente.
Essas fragilidades criam insegurança nacional na administração pública e nas empresas
privadas, afetando tanto a economia, quanto a privacidade dos cidadãos. Para contrariar estes
cenários de vulnerabilidade e falta de controle de incidentes e de combate contra os crimes
cibernéticos, o governo está criando o Centro Nacional de Resposta a incidentes e CERTs em
todos os setores públicos e privados. A seguir, são apresentados os indicadores de incidentes
cibernéticos que ocorrem com frequência no ciberespaço Moçambicano e as respectivas variáveis
de vulnerabilidades.
 123

Gráfico 8 - Indicadores de Incidentes/Ameaças Cibernéticos

Fonte: Dados da pesquisa 2014-2017.

4.3.2 Ciber resiliência a ciberataques

A ciber resiliência é o nível mais alto de resistência a ciberameaças ou ataques

cibernéticos. A ciber resiliência é composta por três paradigmas: percepção, resistência e reação.
A capacidade de reagir a mudança num cenário de ameaças exige inteligência de travar as
ciberameaças, gerir as ciberameaças, os softwares, as respectivas consultorias e a implementação
de novas ferramentas (KESSEL, 2016). A ciber resiliência não se limita apenas em novas
ferramentas tecnológicas, é necessário um quadro institucional e legal que crie capacidade de
segurança nacional robusta.
Em Moçambique, está sendo desenvolvida a direção de segurança cibernética, onde se
encontra o departamento responsável pela resposta de incidentes cibernéticos. Neste contexto,
estão em curso o estabelecimento de CERT Nacional, CERTs setoriais e a elaboração da
Estratégia Nacional de Segurança Cibernética. No âmbito do seu estatuto de membro da União
Internacional das Telecomunicações, o Governo Moçambicano pediu consultoria a esta
organização internacional para a implementação do CERT no país.
 124

Também dentro do esforço de cooperação internacional, o país vem estabelecendo

parcerias com a RNP do Brasil na área de formação técnica em cibersegurança e assessoramento
na criação do CERT do Governo e da MoRENet. O governo moçambicano assinou um
memorando de entendimento com o CSIRT da África do Sul, onde se destacam as atividades de
organização de workshop sobre cibersegurança, partilha de legislação relevantes e boas práticas
desenvolvidas pelo governo Sul Africano no domínio da cibersegurança. O propósito é o
desenvolvimento de esforços conjuntos para promoção de formações técnicas na cibersegurança,
com particular destaque para os cursos desenvolvidos pelo centro de excelência em
Cibersegurança da Universidade de Johanesburgo.

Figura 16 - Exemplo de hierarquização de CERTs

Fonte: MOOI (2018).

O estabelecimento de CERTs traz muitas vantagens, tais como a criação de uma equipe de
segurança de tecnologias de informação, para ajudar a mitigar e prevenir grandes incidentes
cibernéticos, além de auxiliar a proteger as suas ICs e seus ativos mais importantes de
informação. Outros possíveis benefícios são: uma coordenação centralizada para assuntos de
segurança da tecnologia de informação, tratamento especializado, centralizado e resposta a
incidentes, proporcionar conhecimento necessário para apoiar e ajudar os usuários a se
recuperarem rapidamente de incidentes de segurança, lidar com questões legais e preservar
 125

provas em caso de ação judicial, acompanhar os desenvolvimentos no campo da segurança,

estimular a cooperação sobre segurança de IT.
Existem diferentes formas de estruturar os CSIRTs. A Agencia da União Europeia de
Rede e Segurança de Informação (ENISA) menciona quatro formas diferentes de estruturação:
como uma organização independente com a seu próprio staff; como parte de uma organização
existente; como modelo de campus ou distribuído; como modelo voluntário, onde pessoas ou
grupos com interesses compartilhados se reúnem, trocam conhecimento uns com os outros.
O Instituto de Engenharia de Software e a Universidade de Carnegie Mellon classifica em
seis diferentes categorias de CSIRTs: CSIRTs Internos, CSIRTs Nacionais, Centros de
Coordenação, Centros de Análises, Grupos de Fornecedores, Provedores de Resposta a
Incidentes. Também se agrupam em tipos (Centro de Coordenação Internacional, Corporação e
Técnico) com as respectivas missões e os círculos onde eles podem servir.
O país já possui um Grupo Inter-Instuticional de Segurança Cibernética, que tem como
objetivo facilitar a criação de um ecossistema que permita a partilha de informação sobre
incidentes cibernéticos, através de CIRTs setoriais e CIRT Nacional.

Figura 17 - Grupo Inter - Institucional de Segurança Cibernética

Fonte: I CNSC MOZCYBER (2018).

O Instituto de Engenharia de Software e a Universidade de Carnegie Mellon classifica em

seis diferentes categorias de CSIRTs: CSIRTs Internos, CSIRTs Nacionais, Centros de
 126

Coordenação, Centros de Análises, Grupos de Fornecedores, Provedores de Resposta a

Incidentes. Também se agrupam em tipos (Centro de Coordenação Internacional, Corporação e
Técnico) com as respectivas missões e os círculos onde eles podem servir. O país já possui um
Grupo Inter-Instuticional de Segurança Cibernética (Figura 16), que tem como objetivo facilitar a
criação de um ecossistema que permita a partilha de informação sobre incidentes cibernéticos,
através de CIRTs setoriais e CIRT Nacional.

4.4 INSTITUCIONALIZAÇÃO NA SECURITIZAÇÃO DO CIBERESPAÇO

MOÇAMBICANO

A segurança cibernética e a ciberdefesa são uma preocupação que importuna vários

países, desde grandes potencias até aos mais fracos. Em todos blocos ou organizações, a questão
de ataques cibernéticos é tratada com seriedade, procuram por estratégias e doutrinas para
proteger o ciberespaço e garantir a ciber soberania dos estados. A nível da NATO, dos BRICS e
dos CPLP já se produziu vários documentos relacionada a Estratégia de Segurança Cibernética e
Defesa Cibernética para a securitização do espaço cibernético.
Este subcapítulo tem como foco a descrição do processo de securitização do ciberespaço
nacional, com base na teorização da Escola de Copenhague sobre a securitização moldando com
o panorama securitário regional da SADC. Também será discutida a institucionalização da
segurança cibernética e ciberdefesa, níveis e modelos estratégicos cibernéticos que poderão
auxiliar no aprimoramento de estratégia e políticas de segurança e defesa do ciberespaço.
Na primeira seção, se enfatizam as ameaças e ataques que afetaram vários setores da
economia, instituições públicas e privadas. Na segunda seção, para além da descrição dos níveis
doutrinários da defesa e segurança cibernética, é apresentado o exemplo de Modelo Estratégico
Cibernética das FDS constituído com três dimensões dentro do conselho nacional de defesa e
segurança, com os seus dois polos externos: segurança e cooperação civil (multissetorial,
público-privado) e cooperação internacional.
 127

4.4.1 Processos de securitização do ciberespaço nacional

A crescente evolução do ciberespaço, particularmente com o uso massivo de celulares, de

computadores e da internet, tornou-se um lugar de forte atração para os cibercriminosos
praticarem as suas ações maliciosos e criminais. A rápida conectividade das redes de
comunicações, o aumento dos espaços digitais no mundo tem proporcionado grandes ameaças
cibernéticas, fragilizando assim a integridade e a segurança das IC e da soberania dos Estados.
Esta insegurança obriga aos Estados a incorporar os novos paradigmas e processos de
securitização nas suas agendas de segurança e defesa nacionais.
O processo de securitização é um ato de discurso (BUZAN; WAEVER; WILDE, 1998) da
Escola de Copenhague. Neste contexto, é um ato discursivo de ameaça cibernética que deve ser
politizado para ser securitizado. Uma ação de ameaça que ocorre no ciberespaço e que ainda não
foi politizado e nem securitizada necessita de um ato discursivo para alertar a política da ameaça
cibernética existencial no ciberespaço para o processo de securitização. Foram Hansen e
Nissenbaum (2009) que tramitaram a questão de securitização para o ciberespaço. Um processo
que começa na Europa e estende-se para todos quadrantes do globo, onde as nações transformam
o objeto referente em politizado para a defesa de suas soberanias.
Os processos de securitização do ciberespaço em países do Sul de Sahara tem sido
bastante lento. Até 2009, nos encontros dos membros da SADC, a problemática de securitização
do ciberespaço era de menor importância para a discussão. A preocupação veio dos parceiros de
cooperação da EU e da ITU, os quais começaram a falar da politização das ameaças cibernéticas
na África Austral. Devido a essas organizações ocidentais que a SADC despertou sobre o perigo
das ameaças e ataques cibernéticos; quase todos os países da região têm adotado as políticas de
cibersegurança, formulação de estratégias de segurança cibernética, ciberdefesa e a respectiva
securitização do ciberespaço.
A nível nacional, os processos de securitização do ciberespaço começaram em 2017,
depois da avaliação do espectro cibernético pela UIT. Foi neste contexto que o país iniciou a
produção de documentos que descrevem procedimentos para a proteção do espaço digital e dos
objetos estratégicos nacionais. Entretanto, as ameaças e ataques cibernéticos iniciaram com maior
intensidade, principalmente os ataques de DDoS e de espionagem de Fishing, Spam, Worm,
 128

Malwares, Quebra Chaves e analisadores de redes, Web Defacing, Scanner Defacements,

Redefacements.
O país ainda não possui política de defesa cibernética e nem estratégia de defesa
cibernética para a proteção do ciberespaço e criação de capacidades de dissuasão cibernética.
Porém, seguindo a agenda regional e de boas práticas internacionais, Moçambique vem
produzindo documentos orientadores para proteção do ciberespaço nacional, tais como a
elaboração da política de proteção de dados do governo e pessoais, legislação contra crimes de
transições eletrônicas e a proposta da Estratégia Nacional de Segurança Cibernética. A definição
de políticas de proteção de dados e de IC, a estratégia nacional de segurança e outros documentos
em produção poderão contribuir para o processo de securitização.
A figura abaixo representa as etapas do processo de securitização do ciberespaço
moçambicano. Até 2015, pouco se falava das ameaças cibernéticas como uma preocupação da
segurança nacional; foi uma fase de não politização do ciberespaço nacional. A politização
começou a partir de 2015 e teve o seu ponto mais alto em 2017, onde os grupos da sociedade
civil e governo se juntaram para discutir mecanismos e processos de securitização, cujo
procedimentos terminaram com a aprovação da estratégia nacional de segurança e outros
documentos sobre a defesa do ciberespaço.

Figura 18 - Processo de Securitização do Ciberespaço Moçambicano

Fonte: Dados da pesquisa (2019).

 129

4.4.2 Institucionalização da cibersegurança e ciberdefesa

A institucionalização da cibersegurança e ciberdefesa é retratada em níveis e representada

num modelo institucional. Em Moçambique, esse processo exige uma definição clara das
políticas de segurança cibernética e boa eficiência na formulação da estratégia de cibersegurança
e ciberdefesa. Do mesmo modo, prevalecem iniciativas de enquadramento institucional na
proposta da estratégia em discussão, e alguns modelos já elaborados carecem de aprimoramento.
Até agora, por exemplo, não é visível o papel das forças de segurança e policiais no combate a
cibercrimes e hacktivismo e a função dos serviços informáticos em monitoria das ações de
espionagem e terrorismo cibernético.
De acordo com Ducheine (2014), existem três níveis na institucionalização da
securitização cibernética, e Moçambique tem adotado esses níveis doutrinários da defesa e
segurança cibernética. Abaixo está ilustrado detalhadamente o mapa com níveis doutrinários:
nível político ligado estritamente a sistemas de informação e comunicação e segurança
cibernética, que pode estar conectado com a coordenação do gabinete da Presidência da
República ou com o gabinete do Primeiro Ministro; nível estratégico que trata questões da defesa
cibernética, coordenado pelo Ministério da Defesa Nacional; e o nível operacional e tático que
trata da guerra cibernética, uma atividade que é da alçada das forças armadas.

Figura 19 - Níveis Doutrinários da Defesa e Segurança Cibernética

Fonte: Ducheine, Osinga; Soeters (2012).

 130

O mapa acima apresenta que o país pretende atingir ao alinhar estratégia de

cibersegurança e ciberdefesa com a estratégia de defesa cibernética nacional. O mapa também
descreve o nível operacional e tático das operações na guerra cibernética demonstrando que a
operação defensiva assegura a defesa de infraestruturas críticas e ações de bloqueio ou mitigação
de ataques do inimigo; a operação ofensiva está orientada para realização de ataques a alvos
específicos ou meios de dissuasão (pode incluir o desenvolvimento de ciberarmas); e a operação
de exploração ou a ciber dependência, segundo a avaliação de Clarke e Knake (2010, p. 100), é
“a extensão em que um Estado está ligado e assente sobre redes e sistemas que podem ser
vulneráveis no caso de um ciberataque”.
Os níveis doutrinários acima descritos devem ser acompanhados por um modelo ou uma
estrutura estratégica cibernética detalhada que não foi aprovada oficialmente, embora existam
projetos de modelos avançados desenvolvidos por alguns pesquisadores na área da
ciberestratégia. Em seguida, como exemplo, é apresentado o modelo estratégico da cibernética da
dissertação sobre “Dimensão Estratégica Cibernética nas Forças de Defesa e Segurança” no
Instituto Superior de Estudos da Defesa, em Setembro de 2014. Segundo Marcelino (2014), o
Modelo Estratégico da Cibernética pode ser uma contribuição para a Política e Estratégia
Nacional de Defesa e Segurança Cibernética.

Figura 20 - Modelo Estratégico da Cibernética nas FDS

Fonte: Adaptado pelo autor (2014)

 131

O Modelo Estratégico da Cibernética proposto compreende três dimensões estratégicas:

Estrutura (Organização das FDS versus Recursos Humanos), Genética (Indústria Militar) e
Operação (Guerra e Defesa Cibernética). Os três ambientes estarão sob coordenação de um
Comitê Nacional de Defesa e Segurança Cibernética, que será dirigida pelo Conselho Nacional
de Defesa e Segurança. Todavia, este modelo apresenta a ausência da interoperabilidade setorial,
ou seja, a falta de cooperativismo de segurança cibernética. Deve-se promover a
consciencialização dos riscos no ciberespaço, apostar-se na formação e investimento no setor
digital, procurar-se tecnologia apropriada para o combate a crime digital e forense e a cooperação
multissetorial.
O modelo possui o seu dimensionamento externo baseado em dois elementos: segurança e
Cooperação Civil e Cooperação Internacional, os quais poderão apoiar-se na implementação,
visto que a Cibernética é um sistema aberto exige muitas parcerias para a sua consistência. No
interior do modelo de sistema, em baixo da dimensão Genética, encontra-se o componente de
formação ou capacitação humana que é o centro de todas as atenções. A dimensão Genética é a
fonte de toda produção militar que sustentará a logística no ambiente operacional (guerra e defesa
cibernética).

4.5 SÍNTESE CONCLUSIVA

Este capítulo teve como objetivo descrever as características do ciberespaço

moçambicano. O ciberespaço não compreende apenas a internet ou a cibernética, o ciberespaço
compreende todo um conjunto de infraestruturas críticas incluindo satélites, celulares, televisão,
radiodifusão, computadores, programas, usuários e os lugares que ocupam, sejam eles virtuais,
moveis ou fixos. Também os meios e as políticas de securitização, onde o Estado e os não estatais
exercem o seu poder cibernético são considerados arcabouço cibernético.
A descrição do ciberespaço neste capitulo, começou pelo breve historial da evolução
digital em Moçambique, que destacou a evolução dos computadores e da internet, a evolução das
telecomunicações e das mídias digitais. No ponto dois do capítulo apresentou-se detalhadamente
as características dos acervos de infraestruturas críticas nacionais que compreendem os ativos de
informação e comunicação; a economia digital; sistemas nacionais de infraestruturas críticas e as
características dos sistemas de segurança industriais e militares.
 132

No ponto três foram apontadas as vulnerabilidades e as ameaças no ciberespaço, onde

estão indicadas as suas causas. Aqui são descritos profundamente os tipos de ataques versus
ameaças frequentes em Moçambique; mecanismos de resiliência a ataques; a institucionalização
de CERTs para fazer frente a incidentes ou ataques cibernéticos. Notou-se na subsecção três que,
ainda persiste grande défice no uso e aproveitamento das novas tecnologias nos principais
vectores estratégicos do País. As matrizes de análise e os parâmetros dos vectores estratégicos
foram avaliados para se ver a severidade e a criticidade do ciberespaço.
No fim do capítulo, fez-se a dissertação dos processos de securitização do ciberespaço
nacional e a institucionalização da cibersegurança e ciberdefesa. Embora Moçambique não seja
considerado um estado cibersecuritizado, está dando passos largos para a política de securitização
do seu ciberespaço. O destaque foi da politização das ameaças cibernéticas na SADC e a maior
intensidade de ataques cibernéticos em Moçambique em particular. Também se apresentou o
timing com as respectivas fases do processo de ciber-securitização no país.
No quadro institucional da cibersegurança e ciberdefesa, ainda não há maturidade. Não
existe uma definição clara das políticas de segurança e uma boa argumentação na formulação da
estratégia de segurança e defesa cibernética; os modelos institucionais cibernéticos carecem de
aprimoramento. Nesta subseção projetou-se o mapa sobre níveis doutrinários de segurança e
defesa cibernética. Aquilo que se considera de cubo da grande estratégia de cibersegurança e
ciberdefesa acompanhado por modelo estratégico da cibernética.
 133

5 DESAFIOS DE CIBERSEGURANÇA E CIBERDEFESA EM MOÇAMBIQUE

Neste capítulo, são descritos os desafios sobre segurança e ciberdefesa em Moçambique.

Esses desafios são apresentados em pilares e ações. O primeiro pilar trata da legislação sobre
ciberespaço, as suas ações e desafios possíveis. O segundo pilar apresenta os desafios técnico-
cientifico e operacional. O terceiro pilar debate a questão da organização institucional e os
respectivos desafios. O quarto pilar discute as capacidades cibernéticas consideradas holísticas a
todas dimensões de outros pilares, e no quinto e último pilar são abordados os desafios de
Moçambique na cooperação internacional neste espaço digital, além de focar as parcerias
multilaterais e cooperação para o combate dos crimes cibernéticos. Também se faz uma análise
de gastos orçamentários e de investimento para a segurança e defesa no ciberespaço. A penúltima
parte deste capítulo apresenta a avaliação da maturidade dos cinco pilares acima descrita. Por
último, realiza-se a síntese conclusiva do capítulo.
Antes de descrever os pilares e os respectivos desafios, é necessário fazer uma
contextualização da proposta da Estratégia Nacional de Cibersegurança. A estratégia proposta
pelo governo aponta os princípios orientadores como a legalidade, a abordagem baseada em
risco, a cooperação e coordenação, a responsabilidade partilhada e o crime cibernético. Também
foca num referencial estratégico constituído com a visão de “uma nação com um espaço
cibernético seguro, resiliente e uma sociedade consciencializada” e de “desenvolver a capacidade
necessária e o ambiente de segurança cibernética que garanta um espaço cibernético seguro”. A
estratégia tem como referencial a indicação de cinco objetivos estratégicos, objetivos específicos
e ações. Os outros dois pontos chaves referem-se aos mecanismos de implementação e aos fatores
críticos de sucesso.
Os desafios atuais de segurança cibernética em Moçambique podem ser sintetizados
utilizando-se os cinco pilares do Global Cybersecurity Index (GCI). Como se sabe, os 25
indicadores, a partir dos quais é calculado o índice, são classificados em cinco categorias: legal,
técnico, organizacional, desenvolvimento de capacidades e cooperação (ITU, 2018). Essas
categorias moldam os blocos de construção inerentes a uma cultura nacional de segurança
cibernética (ITU, 2018). Isto é, esses pilares devem ser moldados de acordo com as necessidades
e os desafios do país que estão dependentes das ações e de acordo com a vontade de cooperar em
ambiente de segurança cibernética que garanta um espaço cibernético seguro.
 134

5.1 PILAR 1: LEGISLAÇÃO DO CIBERESPAÇO MOÇAMBICANO

No âmbito legal, o país vem adotando instrumentos relevantes para a segurança

cibernética (GOVERNO DE MOÇAMBIQUE, 2020). Vale citar, como exemplos, a Lei de
Transações Eletrônicas (03/2017), a nova Lei das Telecomunicações (04/2016), a Lei da Revisão
do Código Penal (35/2014) que incluiu o título III sobre os crimes informáticos e fraudes
eletrônicas, o Decreto do Registo de Cartões SIM (18/2015), além do Decreto sobre a
Interoperabilidade do Governo Eletrônico (67/2017). Destaca-se também, a Política para a
Sociedade da Informação (Resolução 17 do Conselho de Ministros, 2018). Em 2019, a política
foi desdobrada em um Plano Estratégico (2019-2028) e um Plano Operacional (2019-2023) para
a construção da sociedade da informação em Moçambique.

5.1.1 Legislação de cibercrime

Os instrumentos legais contra crimes cibernéticos estão aprovados na Lei de Transações

Eletrônicas, a Lei n.º 3/2017 de 9 de janeiro, que trata de todo tipo de crime transacional
eletrônico sejam transações bancárias, comerciais ou outras onde se utiliza o meio eletrônico.
Esta Lei estabelece os princípios, as normas gerais e o regime jurídico das transações eletrônicas
em geral, do comércio eletrônico e do governo eletrônico em particular, visando garantir a
proteção e a utilização das TICs; a Lei da Revisão do Código Penal, a Lei n.º 35/2014 de 31 de
dezembro, abrange o regime específico dos meios de investigação e de obtenção de prova
eletrônica digital; o Regulamento de Registo de Cartões SIM, do Decreto n.º 18/2015 de 9 de
Julho, estabelece o regime jurídico aplicável ao processo de registo e ativação dos Módulos de
Identificação do Subscritor e da nova Lei das Telecomunicações (04/2016). Esses instrumentos
legais já estão em vigor e são fundamentais para garantir o controle e o combate a crimes
cibernéticos.
O País avançou na elaboração de uma Política para a Sociedade da Informação
(Resolução 17 do Conselho de Ministros, 2018). Em 2019, a política foi desdobrada em um Plano
Estratégico (2019-2028) e um Plano Operacional (2019-2023) para a construção da Sociedade da
Informação em Moçambique. O governo aprovou também a Resolução nº 5/2019 de 20 de junho
 135

sobre cibersegurança e proteção de dados pessoais. Está em desenvolvimento também ações de

análise para elaborar a política de ciber segurança, regulamento de uso da internet e regulamento
do domínio. mz (INTIC, 2018), como a Lei da Revisão do Código Penal (35/2014), que incluiu o
título III sobre os crimes informáticos e fraudes eletrônicas, e o Decreto sobre a
Interoperabilidade do Governo Eletrônico, nº 67/2017 de 01 de dezembro.
A Lei da Revisão do Código Penal n.º 35/2014 cobre os crimes informáticos nos seus
artigos 316, 317, 318, 323, 324 e 326. Os crimes de Intromissão através da informática em dados
alheios de forma ilícita, sem autorização é punível com pena de prisão de dois a oito anos e multa
de até um ano (artigo 316); a Incitação de menores por meios informáticos, práticas de atos
ilícitos no ponto 1 é punível com pena de prisão; se a incitação resultar na prática de um crime
consumado, no ponto 2 é punível com a pena prevista para o tipo legal de crime cometido,
especialmente agravado (artigo317); o Furto informático de moedas ou valores sem autorização e
com recurso de meios informáticos, com o intuito de obter valores patrimoniais para si ou para
terceiros, é punido com pena aplicável ao furto (artigo 318); a Burla por meios informáticos e nas
comunicações com intenção de obter para si ou para terceiros o enriquecimento ilícito, causar a
outra pessoa prejuízo patrimonial, interferindo no resultado de tratamento de dados ou mediante
estruturação incorreta de programa informático, utilização incorreta ou incompleta de dados,
utilização de dados sem autorização ou intervenção por qualquer outro modo não autorizada no
processamento (artigo 319) é punido com pena de prisão jamais inferior a um ano e multa
correspondente; se o prejuízo patrimonial for inferior ou igual a dez salários mínimos, isto no
ponto 1 e no ponto 2 deste artigo, é aplicável a mesma pena a quem, com intenção de obter para
si ou para terceiros um benefício ilegítimo, causar a outrem prejuízo patrimonial, usando
programas, dispositivos eletrônicos ou outros meios. Se tratar de prejuízos patrimoniais que
excedem a dez salários mínimos no ponto 3, aplicar-se-ão as regras previstas no artigo 270; para
o ponto 4 é aplicável às infrações previstas neste artigo e disposto nos artigos 73 e 74
relativamente ao furto.
A Lei da Revisão do Código Penal n.º 35/2014 também cobre no artigo 320 sobre a
Violação de direitos de autor com recurso a meios informáticos, no seu ponto 1, a quem se fazer
passar como dono, copiando ou armazenando por meios informáticos para fins comerciais, ou
concorrer para o prejuízo dos titulares de obra intelectual ou projetos, literários, artísticos,
técnicos, científicos, de marca e patentes, incorre na pena de prisão; no ponto 2, se a violação
 136

consistir na reprodução, por qualquer meio, com intuito de lucro, de obra intelectual ou projetos
referidos no número anterior, no todo ou em parte ou consistir na reprodução de maquete,
fonograma ou videofonograma sem autorização expressa do autor ou de um produtor ou de um
representante é punido com pena de prisão e multa correspondente até cem salários mínimos; no
ponto 3, quem vende, expõe à venda, aluga, introduz no país, adquire, oculta, empresta, troca ou
tem em depósito, com intuito de lucro, original ou cópia de obra intelectual ou projeto, maquete,
fonograma ou videofonograma produzidos ou reproduzidos com violação de direito autoral e com
o intuito de lucro terá, em caso de condenação, a mesma pena do ponto 2; ponto 4, o juiz
determinará na sentença a destruição da produção ou reprodução criminosa. No artigo 321 sobre
escuta não autorizada de mensagens, no ponto 1, quem efetuar escuta não autorizada por um
tribunal competente de mensagens estabelecidas entre um emissor e um receptor ou mais, incorre
na pena de prisão maior de dois a oito anos, se a pena maior não couber pelos prejuízos causados;
no ponto 2, excetuando de casos de escuta acidental ou fortuita, derivada de avarias dos sistemas
informáticos ou de comunicação, sempre que a mensagem não seja utilizada pelo agente para fins
criminosos ou que prejudiquem a outrem.
No artigo 322 sobre a Violação de segredo do Estado por meios informáticos destaca os
seguintes pontos:
a) quem, por meios informáticos, pôr em perigo os interesses do Estado Moçambicano
relativos à independência nacional, à unidade e à integridade do Estado ou à sua
segurança interna e externa, transmitir, tornar acessível a pessoa não autorizada ou
tornar público fato ou documento, plano ou objeto que devem, em nome daqueles
interesses, manter-se secretos será punido com pena de prisão de dois a oito anos;
b) quem, por meios informáticos, destruir, obter ou falsificar documentos, plano ou
objeto referentes ao número anterior, pondo em perigo os interesses indicados no
mesmo número, será punido com pena de prisão de dois a oito anos;
c) se o agente praticar o fato descrito nos números anteriores, violando especificamente
o que lhe é imposto pelo estatuto da sua função ou serviço ou da missão que lhe foi
conferida por autoridade competente, será punido com pena de prisão de oito a doze
anos;
d) se o agente, por negligência, facilitar a prática dos fatos referidos nos n.º 1 e 2 deste
artigo, tendo acesso aos objetos ou segredos de Estado em razão da sua função ou
 137

serviço ou da missão que lhe foi conferida por autoridade competente, será punido
com pena de prisão.
A instigação pública a um crime com uso de meios informáticos (artigo 323) no ponto 1
diz que quem, através de meio informáticos ou eletrônicos, por divulgação de escrito ou outro
meio de reprodução técnica, provocar ou incitar ao motim, à pratica de um crime tipificado será
punido com pena de prisão, se a pena mais grave lhe não couber por força de outra disposição
legal; para completar, no ponto 2 diz que a pena não pode ser superior à prevista para o fato
criminal típico praticado.
Por último, o artigo 326 sobre fraudes relativas aos instrumentos e canais de pagamento
eletrônico descreve o seguinte:
a) aquele que com intenção de praticar atos fraudulentos será punido com pena de prisão
de dois a oito anos:
- contrafizer ou falsificar um instrumento ou canal de pagamento eletrônico,
- aceder ilegalmente a um sistema de pagamento eletrônico, mediante a violação
indevida dos mecanismos de segurança,
- instalar objetos que afetem o funcionamento do canal ou sistema de pagamento
eletrônico, visando obter, adulterar ou destruir dados ou informações,
- furtar, roubar ou por outra forma ilícita apropriar-se de um instrumento de
pagamento eletrônico de outro, incluindo o correspondente código secreto,
- possuir, deter, importar, exportar, receber, transportar, vender ou transferir para
terceiros instrumentos de pagamento eletrônico obtidos indevidamente ou que
tenha sido objeto de uso indevido de marca ou falsificação,
- criar programas informáticos, instrumentos, objetos e outros meios preparados
deliberadamente para a prática de infracções relacionadas com instrumentos de
pagamento eletrônico;
b) considera-se instrumento de pagamento eletrônico o dispositivo ou registo eletrônico
que permite ao utilizador transferir fundos ou pagar ao um beneficiário.
O outro instrumento legal de destaque neste pilar é a Lei de Transações Eletrônicas, Lei
n.º 3/2017 de 9 de janeiro, que tem como objetivo regular, isto é, disciplinar e proteger os meios,
os utilizadores e o ambiente cibernético particularmente, as transações eletrônicas, comércio
eletrônico e governo eletrônico. No capítulo de disposições gerais, apresenta a definição e os
 138

objetivos; no segundo capítulo, fala de norma e registro de domínios; no terceiro capítulo, faz
uma abordagem das atividades, dos provedores de serviços e ad função da entidade reguladora. O
capítulo 5 trata basicamente das questões relacionadas com comércio eletrônico, descrevendo em
seus artigos os procedimentos legais na prática do comércio eletrônico, e, no capítulo seguinte,
destaca a proteção do consumidor.
Nos artigos do capítulo 7, desde artigo 47 até artigo 53, descrevem as funções ou tarefas
do governo eletrônico, e, no capitulo 8, delibera-se o sistema de certificação digital e criptografia.
O capítulo 1, descreve as ações de fiscalização, as contravenções e as sanções do artigo 67 e 68.
É essa parte do documento que aborda as ilegalidades ou os crimes cibernéticos e as respectivas
sanções.
As contravenções, de artigo 67 – constituem contravenções à presente Lei as seguintes
alíneas:
a) acesso ilegal, a todo ou parte de um sistema de computador ou redes de computadores
através da violação das medidas de segurança, com intenção de obter dados ou outra
intenção desonesta.
b) a interceptação ilegal, aquela que é efetuada por meios técnicos, de transações
privadas de dados de ou dentro de um sistema de computador ou rede de
computadores, incluindo emissões eletromagnéticas de um sistema de computador ou
rede de computadores que contenha os referidos dados;
c) a interferência com dados, consistindo na danificação, eliminação, deterioração,
alteração ou supressão indevida e intencional de dados;
d) a interferência intencional com sistemas de informação, afetando o funcionamento de
um sistema de computador ou rede de computadores através da introdução,
transmissão, danificação, eliminação, deterioração, alteração ou supressão de dados;
e) a má utilização de aparelhos, quando cometida intencionalmente e sem permissão, e
que cause a perca de propriedade de outros através de qualquer introdução, alteração,
eliminação ou supressão de dados e qualquer interferência com o funcionamento de
um sistema de computador ou rede de computador;
f) a violação de nome de domínio, o uso indevido de um nome de domínio, um nome de
uma pessoa, singular ou coletiva ou um nome que seja protegido como um direito de
 139

propriedade intelectual ou substancialmente semelhante a outro que seja suscetível de

criar confusão, com o fim de se beneficiar;
g) a violação de segurança do instrumento de pagamento eletrônico, a produção,
aquisição, transferência, armazenamento ou se oferecer a disponibilizar
equipamentos, programas de computador ou quaisquer dados concebidos ou
especialmente adaptados de forma a violar o sistema de segurança relacionado com
um instrumento de pagamento eletrônico;
h) a violação da responsabilidade do emissor, o fornecimento ao público de um
instrumento de pagamento eletrônico, sem autorização do Banco de Moçambique;
i) a violação de comunicações eletrônicas comerciais não solicitadas, o envio de
comunicações comerciais não solicitadas a uma pessoa que tenha informado ao
remetente que as referidas comunicações são indesejáveis;
j) a recusa em colaborar ou obstruir a investigação das autoridades competentes;
k) a violação de obrigação de acreditação, a provisão de serviços de certificação e
entrega de certificados qualificados, sem acreditação dos serviços competentes;
l) a violação de criptografia, a violação do dever de declaração na utilização e provisão
de serviços de criptografia previstas na presente Lei;
m) a violação do dever de proteção de dados, a violação das obrigações do processador
de dados previstas na presente Lei.
As Sanções, artigo 68 - sem prejuízo de aplicação da pena mais grave no âmbito da
legislação penal as infracções previstas no presente artigo são puníveis:
a) a violação do disposto em alíneas a); b); c); d); e e) do artigo 67 é punível com a
multa de 40 salários mínimos até ao valor máximo de 90 salários mínimos da função
pública;
b) a violação da alínea g) e h) do artigo 67 é punível com a multa 90 salários mínimos
até ao valor máximo de 160 salários mínimos da função pública;
c) a violação da alínea f); i); j); k), l); m) do artigo 67 é punível com a multa de 30
salários mínimos até ao valor máximo de 90 salários mínimos da função pública, se
outra pena mais grave não couber, nos termos da legislação penal.
Nestes instrumentos legais ainda prevalecem desafios. A Lei da revisão do Código Penal,
Lei n.º 35/2014 de 31 de dezembro, ainda carece de reajustamento para responder
 140

especificamente a problemática das ameaças do ciberespaço, tais como o ciber terrorismo e a

ciberguerra. Os artigos citados na lei apenas enaltecem os crimes informáticos, não aglutinam
todos os crimes cibernéticos. Nota-se que o Código Penal moçambicano não dispõe de condutas
específicas relacionadas a tipos penais exclusivos para os crimes cibernéticos, deixando
criminalmente impunes situações tais como acesso ilegítimo, interceção ilegítima, interferência
em dados, danos relativos a programas e dados informáticos e sabotagem informática35 e outros.
O governo deve harmonizar o Código Processual Penal para prever um regime específico dos
meios de investigação e de obtenção da prova eletrônica/digital.
A Lei de Transações Eletrônicas (LTE), além de regular, disciplinar e proteger o ambiente
cibernético, cria um regime sancionatório aos praticantes de crimes cibernéticos como rege o
artigo 68 sobre as infrações cometidas no espaço digital. Também persistem desafios de
certificação e assinaturas digitais, desafios em criptografia e forense, desafio na regulamentação
do uso da Internet e desafios da harmonização da legislação internacional para crimes
cibernéticos com instrumentos legais nacionais. A LTE tem impacto nas redes sociais, tem
influência na redução de abuso excessivo de ataques em mensagens de ofensas a figuras públicas,
intromissão na privacidade das pessoas e reduziu drasticamente as violações de segredo do
estado. As operadoras das telecomunicações e os provedores da internet passaram a ser mais
responsáveis e mais atentos sobre os utilizadores dos seus serviços. A “lei coloca Moçambique
em conformidade com os protocolos internacionais, como a Convenção de Budapeste sobre
Crimes Cibernéticos, adotada em 2001. Alinha também com a Lei-modelo da SADC sobre
Crimes de Informática e Cibernéticos de 2013, que estabelece um quadro de cooperação
internacional no combate aos complexos crimes cometidos virtualmente no espaço cibernético” 36.

5.1.2 Autoridade legal do governo

A regulação do ciberespaço moçambicano é dividida entre dois órgãos principais. O

Instituto Nacional das Comunicações de Moçambique (INCM), vinculado ao Ministério dos
Transportes e Comunicações (MTC), é a autoridade reguladora do setor. Dentre outras
atribuições, o INCM regula o acesso, a interligação e a interoperabilidade das redes de diferentes

35
Crimes Cibernéticos, 1ª. conferencia de Segurança Cibernética - Ministério Público, Procuradoria da República,
2018
36
Assembleia da República de Moçambique, 2017
 141

operadores. Por sua vez, o Instituto Nacional de Tecnologias de Informação e Comunicação

(INTIC), subordinado ao Ministério da Ciência e Tecnologia, Ensino Superior e Técnico-
Profissional (MCTESTP), é responsável, dentre outras atribuições, pela regulação do regime
jurídico das transações eletrônicas e do comércio digital. As tarefas executivas de implementação
da Rede Eletrônica do Governo (GovNET) e prestação de serviços digitais, anteriormente sob a
responsabilidade do INTIC, passaram para a alçada do Instituto Nacional de Governo Eletrônico
(INAGE), criado em dezembro de 2017. O INAGE também subordina ao MCTESTP. Dentre as
atribuições do órgão, se inclui justamente a de garantir a segurança cibernética dos recursos de TI
partilhados pelo governo central e pelos governos provinciais.
No panorama apresentado acima fica uma incógnita que é realmente a autoridade
responsável pela segurança cibernética em Moçambique. Ainda não há clareza sobre as
responsabilidades de cada setor a respeito do controle do espaço cibernético no país. Na
entrevista37 dada pelo diretor nacional adjunto do INAGE dizia que a segurança cibernética em
Moçambique é da responsabilidade do INAGE. Porém, em muitos países as questões de
segurança cibernética e ciberdefesa são da responsabilidade do setor da defesa e da administração
interna. Embora o governo não tenha apresentado oficialmente a estrutura da cibersegurança, na
proposta da estratégia da segurança cibernética, o setor da defesa e da administração interna
encontram-se distante das suas responsabilidades de garantir a segurança e a defesa do
ciberespaço. O governo também pode criar uma autoridade de seguro cibernética, com o
propósito de regulamentar as atividades das seguradoras em seguro cibernético, e uma autoridade
da segurança das comunicações com o propósito de regular as comunicações seguras.
5.1.3 Decreto da estratégia nacional de cibersegurança de Moçambique
Pelo Decreto do Conselho de Ministros, em 2015, o MCT procurou parceiros para a
elaboração da Estratégia Nacional de Cibersegurança e a criação do CERT nacional. A CTO se
disponibilizou em fornecer assistência técnica e a UIT se predispôs a apoiar na implementação do
CERT. Em junho de 2016, o CM orientou que houvesse ações concretas para o melhoramento da
segurança cibernética; em agosto do mesmo ano, começaram os trabalhos onde foram convidadas
instituições públicas, privadas e sociedade civil que resultou na proposta da Estratégia Nacional
Cibernética que foi submetida ao Conselho de Ministros, em fevereiro de 2017. A proposta,
devido a sua perenidade, foi devolvida ao proponente para reajuste das lacunas e para revisão,

37
Entrevista com Diretor Nacional Adjunto do INAGE, 2019
 142

com objetivo de garantir que correspondesse os desafios das ameaças a cibersoberania. De acordo
com a apresentação do INTIC na 3ª Conferência se Segurança Cibernética 2020 e seguindo a
orientação do governo, a estratégia de implementação deve ser acompanhada pela política de
cibersegurança.
O documento apresentado não reflete todos princípios e boas práticas recomendados pela
União Internacional das Telecomunicações ou CTO que vem apoiando na elaboração da
estratégia cibernética em Moçambique e em outros países. O documento não indica a base ou
diretrizes utilizadas na formulação dessa estratégia nacional de segurança e defesa do
ciberespaço. Não são notáveis, na estratégia, as questões de desenvolvimento das capacidades
cibernéticas; há falta de definição sobre infraestruturas críticas, conceitos básicos como
segurança cibernética, crime cibernético, ataque cibernético, guerra cibernética, defesa
cibernética, economia digital, nuvem (cloud), 5G e outros. Também não se verifica neste
documento, a abordagem sobre o roubo intelectual e a espionagem industrial e falta clarificar os
recursos financeiros para implementação da estratégia. Não basta dizer “uma visão geral das
diferentes fontes de financiamento e mecanismos possíveis que podem ser adoptados por
Moçambique para financiar a implementação do ENSC” (GOVERNO DE MOÇAMBIQUE,
2016), é necessário definir suas diretrizes.
A Estratégia Nacional de Cibersegurança deve incentivar as parcerias interinstitucionais
para harmonização de esforços em cibersegurança, reforçar a cooperação e assegurar a ratificação
de acordos internacionais na área de segurança do ciberespaço. Enfim, a proposta da estratégia
apresentada ao Conselho de Ministros não seguiu rigorosamente as boas práticas recomendadas
na elaboração de uma estratégia nacional de segurança cibernética. Para mostrar as boas maneiras
de elaboração de uma estratégia, apresentam-se alguns elementos chaves na elaboração da
estratégia de Cibersegurança (ITU, 2008).
Fase 1 – Iniciação: essa fase é fundamental na elaboração de uma Estratégia Nacional de
Cibersegurança. Nesta fase, se preocupa com os processos, com os prazos e com a identificação
das principais partes que devem participar na elaboração da estratégia e termina com a elaboração
de um plano de preparação da estratégia.
Fase 2 – Levantamento e análise: essa é a fase de coleta de dados para avaliar o
panorama nacional de cibersegurança e a situação do presente e do futuro dos riscos no campo da
cibersegurança, a fim de obter informações para fins de redação e elaboração da estratégia
 143

nacional de cibersegurança. O resultado deste exercício deverá ser um relatório para o Comitê
Diretor, descrevendo a posição da estratégica nacional em matéria de cibersegurança e a situação
em relação aos riscos. Antes de começar a escrever o texto da estratégia, a autoridade responsável
pelo projeto deve analisar e avaliar cuidadosamente as informações coletadas. A análise deve
culminar em uma avaliação da extensão em que os ambientes políticos, regulatórios e
operacionais existentes atendam aos objetivos estipulados na estratégia, indicando inclusive as
suas deficiências.
Fase 3 – Elaboração da estratégia para cibersegurança: é a fase desenvolvimento do
texto da estratégia com a participação dos principais interessados do setor público, do setor
privado e da sociedade civil por meio de uma série de consultas públicas e grupos de trabalho.
Aqui se define a visão geral e o escopo da estratégia, estabelecendo objetivos de alto nível,
fazendo um inventário da situação atual (detalhado na fase 2), priorizando os objetivos de acordo
com seu impacto na sociedade, no cidadão e na economia e garantindo os recursos financeiros
necessários. Nesta fase, todos os princípios transversais e boas práticas detalhadas neste guia
devem ser levados em consideração.
Fase 4 – Implementação: a fase de implementação é considerara a mais importante de
uma estratégia de cibersegurança nacional. Para o sucesso da estratégia, é fundamental focar a
sua execução de forma estruturada, com recursos humanos e financeiros adequados e com uma
abordagem que deve ser considerada como parte integrante do seu desenvolvimento. A fase de
implementação é geralmente baseada em um Plano de Ação que orienta as várias atividades
planejadas.
Fase 5 – Monitoria e Avaliação: nesta fase, a autoridade competente deve conceber um
processo formal de acompanhamento e avaliação da estratégia. Na fase de monitoramento, o
governo deve garantir que a estratégia seja implementada de acordo com seu Plano de Ação. Na
fase de avaliação, o governo e sua autoridade competente devem determinar se a estratégia
permanece relevante à luz dos riscos em evolução, se continua a atender aos objetivos do governo
e quais ajustes são necessários.
 144

5.2 PILAR 2: TÉCNICO-OPERACIONAL

Dentre as seis medidas técnicas avaliadas periodicamente pela ITU, consideramos duas
prioridades no caso de Moçambique. A primeira seria a criação de um Centro Nacional de
Governança Cibernética, responsável pela coordenação estratégica dos esforços de estabilização e
expansão do ciberespaço moçambicano. Tal centro teria também a missão de coordenar os
esforços do CERT-MZ na construção da rede moçambicana de Computer Security Incident
Response Teams (CSIRTs), existentes em organizações públicas e privadas. Uma segunda
prioridade técnica seria a definição e implementação de padrões e procedimentos para a proteção
de acervos informacionais, conexões remotas às redes via proxy, soluções seguras de cloud
computing, proteção contra software malicioso e medidas para melhorar a capacidade de
atribuição de responsabilidades (técnicas e políticas) pelos ataques (ROMANOSKY;
BOUDREAUX, 2020). A minuta de estratégia divulgada em 2016 não especifica métricas,
critérios, indicadores, periodicidade e procedimentos de monitoramento e avaliação para o
seguimento das diretrizes de cibersegurança.
Conforme García Zaballos e Inkyung Jeun (2016), nos países em desenvolvimento os
prejuízos causados pelos incidentes cibernéticos são de difícil estimação por falta de mapeamento
e proteção das infraestruturas críticas (IC). A proposta inicial de Estratégia Nacional de
Cibersegurança, apresentada ao governo moçambicano em 2017, mesmo definindo como um dos
seus objetivos a proteção da infraestrutura informacional, não apresentava critérios para a
classificação das infraestruturas em termos de sua criticidade e vulnerabilidade diante de
incidentes, crimes e ataques militares.
Para o caso de Moçambique, poderiam ser adaptadas as metodologias já desenvolvidas
pela União Europeia e África do Sul, as quais, por sua vez, foram moldadas segundo as diretrizes
da ITU. No caso da metodologia europeia, por exemplo, as infraestruturas são agrupadas por
afinidades funcionais e a criticidade é avaliada conforme os impactos sofridos afetem um ou mais
setores simultaneamente (FERREIRA, 2016). No caso sul-africano, sistemas e ativos
informacionais dos setores militar, policial, saúde, água, comunicações, transporte, energia e
finanças são considerados críticos (SOUTH AFRICA, 2019). Ou seja, o adensamento digital do
espaço cibernético em Moçambique demanda, como uma das condições, o mapeamento das
infraestruturas críticas e a avaliação de suas respectivas vulnerabilidades.
 145

5.3 PILAR 3: ORGANIZAÇÃO INSTITUCIONAL

Os três indicadores organizacionais de segurança cibernética utilizados pela ITU são

conectados aos desafios técnicos. No caso de Moçambique, o mais crítico deles é a adoção oficial
de uma Estratégia Nacional de Cibersegurança. Mais do que uma formalidade, um documento de
estratégia sinaliza objetivos, compromissos e meios para garantir o funcionamento adequado do
ciberespaço moçambicano. O governo divulgou uma minuta de documento de estratégia em
2016, mas o documento mencionava diversos órgãos relevantes para a segurança cibernética do
país. Segundo o guia da ITU para a elaboração de documentos nacionais de cibersegurança, seria
necessário indicar ou criar uma agência única responsável pelo tema (ITU, 2018). Dada a
amplitude do conceito de ciberespaço, atualmente em Moçambique, sua governança é partilhada
entre diferentes órgãos, como o INCM, o INTIC, o INAGE, o Ministério da Defesa Nacional
(MDN) e o Ministério da Educação e Desenvolvimento Humano (MINED). Do ponto de vista da
segurança e da defesa cibernética, os poderes da República precisam avaliar a pertinência e
viabilidade de centralizar os esforços e a autoridade em um Centro Nacional de Governança
Cibernética.
Os processos de institucionalização da segurança cibernética ocorrem em três níveis
simultaneamente (DUCHEINE, 2014; VEDDER et al., 2019). O primeiro seria o nível político,
onde os desafios legais, orçamentários e de cooperação encontram o locus mais adequado para
serem resolvidos. Este nível precisaria ser coordenado diretamente pela Presidência da República
ou pelo gabinete do Primeiro Ministro. O segundo nível seria o estratégico, no qual seriam
enfrentados os desafios organizacionais e técnicos. A oficialização da Estratégia de Segurança
Cibernética e a criação de um Centro Nacional de Governança Cibernética seriam um marco
crucial de institucionalização neste plano. O terceiro nível, onde se ramifica a capacidade
institucional a ser construída, seria o tático e o operacional. Aqui se desdobram tarefas mais
especializadas, tais como as políticas de e-governo, sob a responsabilidade do INAGE, ou a
defesa cibernética, sob a responsabilidade do MDN e das forças armadas. A institucionalização
da governança segura do ciberespaço em Moçambique precisa ser avaliada periodicamente.
 146

5.4 PILAR 4: CAPACIDADES CIBERNÉTICAS

No caso do quarto pilar, para Moçambique a construção de capacidades humanas tem se

concentrado mais em campanhas de conscientização dos agentes públicos e cursos sobre
segurança cibernética como parte da formação acadêmica de áreas como Ciência da Computação
e Engenharia. Segundo o relatório Cyber Security Skills Gap, publicado pela empresa Serianu,
em 2018 havia 1.700 profissionais habilitados em segurança cibernética atuando no Quênia, o
país com o segundo GCI mais elevado da África (SERIANU, 2018). Um desafio para
Moçambique é aumentar o número de profissionais certificados em áreas como cloud security,
análise forense, prevenção de perdas, manejo de incidentes, avaliação de risco e outras áreas
correlacionadas.
Embora o governo de Moçambique tenha iniciativas de conscientização e formação básica
em cibersegurança, as capacidades cibernéticas são holísticas e abrangem todos os pilares. O país
deve continuar a elaborar a documentação necessária como a política nacional de cibersegurança,
a doutrina sobre a defesa cibernética, o regulamento sobre a lei das transações e outros. No pilar
técnico-operacional, o governo deve expandir os CERTs até as províncias e capitalizar os CERTs
nos setores chaves como a Defesa, Interior (administração interna) e a Procuradoria da República.
Deve-se começar com certificação e acreditação de profissionais de cibersegurança, procurar por
soluções internas para a produção de um software próprio para a segurança das IC e da soberania
do estado. No pilar organizacional, deve-se rever a estrutura organizacional de implementação
apresentada na proposta da estratégia nacional de cibersegurança, e no pilar da cooperação – que
é horizontal a outros pilares e que cobre todas as dimensões – deve-se reforçar as parcerias entre
o governo e setor privado e a parceria internacional em segurança do ciberespaço. Para melhor
esclarecimento, passa-se a descrever os pilares de cibersegurança com as suas dimensões e os
respectivos indicadores (ITU, 2019, pp.4-5) ou fatores.
Legal: medidas legais (incluindo legislação, regulamentação e contenção de spam)
autorizam um Estado-nação a estabelecer mecanismos básicos de resposta através de investigação
e acusação de crimes e a imposição de sanções pelo não cumprimento ou violação da lei. Uma
estrutura legislativa estabelece a base mínima de comportamento sobre a qual podem ser
construídas mais capacidades de segurança cibernética. Fundamentalmente, o objetivo é ter
legislação suficiente, a fim de harmonizar as práticas em nível regional/internacional e simplificar
 147

o combate internacional contra o crime cibernético. O contexto jurídico é avaliado com base no
número de instituições e estruturas jurídicas que lidam com a cibersegurança e o crime
cibernético. (tradução nossa). (ITU, 2019)
Tecnologia: a tecnologia é a principal fronteira de defesa contra ameaças cibernéticas
(incluindo o uso de equipes de resposta a emergências ou incidentes informáticos, estrutura de
implementação de normas, mecanismos e capacidades técnicas implantadas para tratar de spam,
proteção online de crianças, etc.). Sem habilidades técnicas adequadas para detectar e responder a
ataques cibernéticos, os países permanecem vulneráveis. O desenvolvimento e uso eficiente das
TICs só podem prosperar verdadeiramente em um ambiente de confiança e segurança. Portanto,
os países precisam construir e instalar critérios de segurança mínima aceitos e esquemas de
credenciamento para aplicações e sistemas de software. Estes esforços precisam ser
complementados pela criação de um órgão nacional com o objetivo de lidar com incidentes
cibernéticos, uma entidade governamental autorizada e uma estrutura nacional para observar,
advertir e responder a incidentes. Os elementos técnicos são avaliados com base no número de
mecanismos práticos para lidar com a cibersegurança. (tradução nossa). (ITU, 2019)
Organizacional: medidas organizacionais (incluindo estratégias nacionais, agências
responsáveis, métricas de cibersegurança) são indispensáveis para a implementação adequada de
qualquer iniciativa nacional. Metas e objetivos estratégicos amplos precisam ser estabelecidos
pelo estado nacional, juntamente com um plano completo de implementação, entrega e medição.
As agências nacionais devem estar presentes para implementar a estratégia e avaliar o resultado.
Sem uma estratégia nacional, modelo de governança e órgão supervisor, os esforços em
diferentes setores entram em conflito, impedindo os esforços para obter uma harmonização
efetiva no desenvolvimento da cibersegurança. As estruturas organizacionais são avaliadas com
base na presença de instituições e estratégias que envolvem o desenvolvimento da cibersegurança
em nível nacional. (tradução nossa). (ITU, 2019)
Capacitação: a capacitação (incluindo campanhas de conscientização pública, estrutura
para certificação e credenciamento de profissionais de cibersegurança, cursos de treinamento
profissional em cibersegurança, programas educacionais ou currículos acadêmicos, etc.) é
intrínseca aos três primeiros pilares (jurídico, técnico e organizacional). A ciber segurança é
abordada com mais frequência a partir de uma perspectiva tecnológica, embora haja numerosas
implicações sócio econômicas e políticas. A capacitação humana e institucional é essencial para
 148

aumentar a conscientização, o conhecimento e o know-how entre setores, para soluções

sistemáticas e apropriadas, e para promover o desenvolvimento de profissionais qualificados. A
capacitação é avaliada com base no número de programas de pesquisa e desenvolvimento,
educação e treinamento, e profissionais certificados e órgãos do setor público. (tradução nossa).
(ITU, 2019)
Cooperação: o cibercrime é um problema global e não se restringe a fronteiras nacionais
ou distinções setoriais. Como tal, o combate ao crime cibernético requer uma abordagem multi-
stakeholder com contribuições de todos os setores e disciplinas (incluindo acordos bilaterais e
multilaterais, participação de fóruns/associações internacionais, parcerias público-privadas,
parcerias entre agências, melhores práticas, etc.). Uma maior cooperação pode permitir o
desenvolvimento de capacidades muito mais fortes de cibersegurança, ajudando a dissuadir
ameaças on-line repetidas e persistentes e permitindo uma melhor investigação, apreensão e
perseguição de agentes maliciosos. A cooperação nacional e internacional é avaliada com base no
número de parcerias, estruturas de cooperação e redes de compartilhamento de informações
(tradução nossa). (ITU, 2019).

5.5 PILAR 5: COOPERAÇÃO INTERNACIONAL NO ESPAÇO DIGITAL

Além de cooperar com os diversos atores interessados do país, o governo de Moçambique

precisa ainda atender a dimensão internacional da cooperação, especialmente no âmbito da
SADC e da União Africana. Há custos elevados e interesses empresariais e políticos envolvidos
em quaisquer esforços de cooperação. Ainda mais em áreas caracterizadas por incerteza e
assimetria informacional. Por outro lado, é necessário cooperar para proteger os dados dos
usuários e dos provedores (públicos e privados) de serviços digitais, a integridade das transações
online, bem como a segurança da infraestrutura para garantir a estabilidade do ciberespaço.
Ademais, os custos da cooperação e das ações de segurança também precisam ser
ponderados em relação aos prejuízos gerados pela falta de cooperação. Em 2017, os prejuízos
causados por incidentes, crimes e ataques cibernético foram estimados em 3,5 bilhões de dólares
estadunidense no continente africano (Mathe, 2019). Segundo Kshetri (2019), somente os crimes
cibernéticos custaram, em 2018, aos países africanos o equivalente a 2,7 bilhões de dólares
estadunidense, com destaque para Nigéria (649 milhões), Quênia (210 milhões), África do Sul
 149

(157 milhões) e Tanzânia (99 milhões). Segundo uma estimativa, em resposta os investimentos
em cibersegurança na África subiriam de 1,5 bilhão de euros em 2017 para mais de 2,2 bilhões de
euros em 2020 (ORANGE, 2020). Seja como for, valores agregados incluem grandes
discrepâncias. Segundo uma projeção, em 2020, a África do Sul investiria 933 milhões de dólares
em cibersegurança, enquanto no mesmo ano as Ilhas Maurício investiriam um milhão (FROST &
SULLIVAN, 2018). Para efeito de comparação, o orçamento da SADC para a avaliação de riscos
e a harmonização de regras de cibersegurança foi de 220,6 mil dólares em 2018.
A crise da Covid-19 também está alterando as prioridades e os orçamentos das empresas e
dos governos na área de cibersegurança. Segundo um relatório da consultoria McKinsey, de julho
de 2020, os cerca de 250 Chief Information Security Officers (CISOs) que responderam a um
questionário da empresa relataram reorientação de esforços para a resposta a ataques de tipo
spear-phishing e manipulação de engenharia social para espalhar pânico e desinformação entre a
força de trabalho. Outras áreas que passaram a demandar mais esforços foram as de autenticação
multifatores (MFA), redes privativas virtuais (VPN) e aplicações seguras para trabalho remoto
(Anant et al, 2020).
Como se indica nesta tese, os incidentes aumentaram consistentemente em Moçambique
ao longo da década de 2010, conforme avançam as tecnologias digitais e o uso do espectro
eletromagnético no país. A partir de 2015, também cresceu a percepção, por parte do governo, de
empresas e da sociedade civil, a respeito das vulnerabilidades e ameaças ao funcionamento
estável do ciberespaço. Tal percepção, combinada com a participação em fóruns como a SADC e
a AU, pode propiciar melhorias na institucionalização da governança do ciberespaço no país.

5.6 AVALIAÇÃO DA MATURIDADE DOS DESAFIOS DA CIBERESTRATÉGIA

Modelos de maturidade podem ser definidos como conjuntos de características, atributos,

indicadores ou padrões que permitem monitorar a progressão das capacidades em diferentes áreas
e disciplinas (USA, 2014). Além do monitoramento, um modelo de maturidade também serve
como guia orientador para a implementação e avaliação dos processos e políticas de melhoria em
uma organização (ROCHA, 2000).
Na área de segurança cibernética, destacam-se dois modelos de maturidade. O primeiro é
o Modelo de Maturidade de Capacidade de Cibersegurança para Nações (Cybersecurity Capacity
 150

Maturity Model for Nations – CMM), desenvolvido pelo Centro Global de Capacidades de
Segurança Cibernética (Global Cyber Security Capability Centre – GCSCC) da Universidade de
Oxford (GCSCC, 2016). O segundo é o Modelo de Maturidade de Capacidade de Cibersegurança
(Cybersecurity Capability Maturity Model - C2M2), desenvolvido pelos Departamentos de
Energia (DOE) e de Segurança Interna (DHS) dos Estados Unidos da América (USA, 2014).
Começamos pelo CMM, desenvolvido para orientar o desenvolvimento da segurança
cibernética em âmbito nacional. Na edição revisada de 2016, o modelo de Oxford trabalha com
cinco dimensões: D1 - Política e estratégia (Cybersecurity Policy and Strategy). D2 - Cultura e
Sociedade (Cyber Culture and Society). D3 - Educação, treinamento e habilidades (Cybersecurity
Education, Training and Skills). D4 - Modelos regulatórios e legais (Legal and Regulatory
Frameworks). D5 - Padrões, organizações e tecnologias (Standards, Organisations, and
Technology).
Cada dimensão é subdividida em fatores. Assim, por exemplo, a primeira dimensão
Política e Estratégia de Segurança Cibernética (Cybersecurity Policy and Strategy) divide-se em
seis fatores: D1.1 – Estratégia Nacional de Segurança (National Security Strategy). D1.2 –
Resposta a Incidentes (Incident Response). D1.3 – Proteção de Infraestrutura Crítica (Critical
Infrastructure Protection). D1.4 – Gerenciamento de Crises (Crisis Management). D1.5 –
Considerações de Defesa Cibernética (Cyber Defence Consideration). D1.6 – Redundância de
Comunicações (Communications Redundancy). As outras quatro dimensões também são
subdivididas em fatores, gerando um total de 52 linhas na matriz.
O modelo de Oxford representa a ideia de amadurecimento dividindo cada "linha" em
cinco colunas, representando os estágios de amadurecimento. Tais estágios são classificados em
ordem crescente, como start-up (inicial) , formative (formativo), established (estabelecido),
strategic (estratégico) e dynamic (dinâmico). Com uma matriz 52x5, o modelo de maturidade de
Oxford já seria bastante complexo, supondo o preenchimento de 260 células com informações
qualitativas. Mas o CMM prevê ainda que se observe indicadores distintos (entre um e cinco)
para cada fator em cada estágio. Com isso, sobe para 600 o número total de células na matriz
(GCSCC, 2016).
No caso do C2M2, o modelo estadunidense foi desenvolvido para acompanhar e guiar o
processo de institucionalização das práticas e capacidades de segurança cibernéticas em
organizações de diferentes tamanhos e graus de complexidade, não de países como um todo. O
 151

modelo C2M2 foi desenvolvido em conjunto pela Carnegie Mellon University e pelo
Departamento de Energia (DOE) com a participação de especialistas do governo e da iniciativa
privada. Assim como no caso do CMM, o modelo C2M2 considera dimensões, chamadas de
domínios.
A arquitetura do modelo C2M2 considera dez domínios: D1 - Gerenciamento de risco
(Risk Management). D2 - Ativos, mudança e configuração do gerenciamento (Asset, Change, and
Configuration Management). D3 - Identidade e gerenciamento de acessos (Identity and Access
Management). D4 - Ameaças e gerenciamento de vulnerabilidades (Threat and Vulnerability
Management). D5 - Consciência Situacional (Situational Awareness). D6 - Compartilhamento de
informações e comunicações (Information Sharing and Communications). D7 - Eventos e
resposta a incidentes, continuidade das operações (Event and Incident Response, Continuity of
Operations). D8 - Cadeia de suprimentos e gerenciamento da dependência externa (Supply Chain
and External Dependencies Management). D9 - Gerenciamento da força de trabalho (Workforce
Management). D10 - Gerenciamento do programa de segurança cibernética (Cybersecurity
Program Management).
Para cada dimensão, o C2M2 considera um ou mais objetivos substantivos (próprios
daquela dimensão) e um objetivo gerencial que é similar e se repete em todos os domínios. Por
exemplo, no caso do sétimo domínio (D7 - Eventos e resposta a incidentes, continuidade das
operações), o modelo prevê cinco objetivos: 1 - Detectar eventos de cibersegurança (Detect
Cybersecurity Events). 2 - Escalar eventos de cibersegurança e declarar incidentes (Escalate
Cybersecurity Events and Declare Incidents). 3 - Responder a incidentes e eventos de
cibersegurança escalados (Respond to Incidents and Escalated Cybersecurity Events). 4 -
Planejar a continuidade das operações (Plan for Continuity). 5 - Atividades de gerenciamento
(Management Activities). Para cada dimensão, o modelo considera três níveis de maturidade dos
indicadores (maturity indicator levels - MILs). Para cada objetivo, observam-se as práticas que
seriam indicadoras do nível de maturidade no atingimento daquele objetivo. Assim, por exemplo,
no caso do objetivo D7.1 (Detectar eventos de Cibersegurança), três práticas seriam indicadoras
do MIL 1: a existência de uma pessoa ou ponto de contato para que se possa relatar um evento, o
relato do evento detectado propriamente dito, e o registro e acompanhamento do relatório. Já no
nível de maturidade MIL 3, práticas mais complexas deveriam ser observadas, tais como a
análise de correlações entre diferentes eventos para a identificação de padrões e tendências. Ao
 152

cabo, resulta que o C2M2 demanda a observação e catalogação de 312 práticas para a avaliação
da maturidade da cibersegurança de uma organização (USA, 2014).
Considerando a situação de Moçambique, tanto o CMM quanto o C2M2 seriam de difícil
operacionalização. É mais adequado iniciar por uma matriz simplificada, que considera três
níveis de maturidade (baixo, médio e alto) e os cinco pilares da ITU (legal, técnico,
organizacional, capacidades e cooperação). Para cada uma das quinze células resultantes, foi
selecionado apenas um indicador agregado, conforme a análise dos desafios principais que o país
enfrenta. Cada indicador, por sua vez, foi classificado segundo o grau de criticidade para a
avaliação global da segurança cibernética de Moçambique. A escala de criticidade (A como mais
crítico e C como menos crítico) foi aplicada a cada indicador, o que permitirá, posteriormente, a
ponderação dos esforços a serem alocados em diferentes pilares e entre diferentes estágios de
maturidade.

Quadro 9 - Avaliação da Cibersegurança em Moçambique

BAIXA MÉDIA ALTA

PILAR
MATURIDADE MATURIDADE MATURIDADE

Lei de Crimes Atualização da

Decreto oficializando a
Cibernéticos e Legislação para os
Legal Estratégia Nacional de
Proteção de Dados parâmetros da Segunda
Cibersegurança (A)
(B) Era Digital (C)

Mapeamento das Especificação de

Normas Técnicas Formalização de normas, padrões e
necessárias e da padrões técnicos procedimentos em áreas
Técnico Infraestrutura Crítica gerais para a proteção emergentes (5G, IoT,
(IC) do ponto de vista de redes e acervos cloud computing,
da Segurança informacionais (C) análise forense, etc.)
Cibernética (B) (A)

Fórum permanente de
Ampliação da rede atores interessados
Implantação de um
CERT/CSIRT governamentais,
Centro Nacional de
Organizacional governamental em empresariais e da
Segurança Cibernética
todas as províncias sociedade civil para a
(A)
(C) governança cibernética
(B)

Capacidades Programa Nacional de Certificar Programa nacional de

 153

BAIXA MÉDIA ALTA

PILAR
MATURIDADE MATURIDADE MATURIDADE

Conscientização e tecnicamente os formação de mestres e

Treinamento Básico em profissionais que doutores em
Cibersegurança (C) atuam nos governança cibernética,
CERT/CSIRT de sendo a segurança e
Moçambique (A) defesa uma das áreas de
especialização. (B)

Harmonizar a
legislação
Ratificar a Convenção moçambicana com as
Implementar Programa
da União Africana diretrizes do já
ITU-AU-SADC para a
Cooperação sobre Segurança encerrado projeto
melhoria do GCI de
Cibernética e Proteção HIPSSA da AU e a
Moçambique (A)
de Dados Pessoais (B) Lei Modelo da
SADC para crimes
cibernéticos (C)
Fonte: Autor e Cepik (2020).

Dado o patamar de segurança cibernética do qual Moçambique parte, segundo o GCI de

2018, estima-se que algumas medidas que correspondem a um baixo grau de maturidade em
modelos como o CMM e o C2M2 teriam grande impacto, dado o risco de que a sua não
implementação comprometa as iniciativas correspondentes a outros estágios de maturidade. Em
outros pilares, entretanto, as medidas de maior criticidade correspondem aos estágios médio e
alto da maturidade em cibersegurança. Trata-se, pois, de uma primeira aproximação, que visa a
estimular a reflexão sobre a adaptação de práticas internacionais à realidade de Moçambique.
A maturidade cibernética em Moçambique precisa avançar, principalmente, em
capacidades técnicas, coordenação política e cooperação institucional. Existe fraca
Conscientização e Treinamento Básico em Cibersegurança. Agentes governamentais, empresas e
a sociedade como um todo precisam conhecer mais sobre as ameaças e vulnerabilidades
cibernéticas de modo a extrair o melhor dos avanços tecnológicos das TICs. Para tanto, há que se
aumentar a certificação de profissionais para os CERTs, criar programas de formação e
especializações na área da segurança e defesa cibernética. É urgente também a formulação de
normas, padrões técnicos necessários para o mapeamento das ICs. Em áreas emergentes como
 154

5G, IoT, e cloud computing, por exemplo, é preciso estabelecer especificações técnicas e
procedimentos de acompanhamento.
Para atingir um nível considerável da maturidade cibernética, precisa-se também de uma
boa coordenação na governança cibernética entre atores interessados (stakeholders) nas agências
governamentais, empresas e na sociedade civil. A elaboração de políticas de cibersegurança
permitirá a criação de CERTs robustos nas empresas, nos ministérios e nas províncias. O país não
possui ainda, para mencionar um caso crítico, de um CERT para as Forças de Defesa e
Segurança, assim como não existe um CERT oficial do governo. Existem apenas algumas
iniciativas isoladas como a MoRENet, uma rede para gestão do ensino superior administrada pelo
Ministério de Ciência Tecnologia e Ensino Superior (MCTES), bem como uma iniciativa de
associação dos bancos que já criou o seu próprio CERT. Tais políticas e desenvolvimentos
organizacionais precisam de recursos orçamentários, mas também de esforços políticos e
administrativos específicos.
De modo geral, porém, consideramos que Moçambique já não se encontra nos estágios
mais iniciais de maturação da segurança cibernética. Vale lembrar que o modelo CMM de Oxford
trabalha com cinco estágios de maturidade. Em seguida, de acordo com a pesquisa do Centro
Global de Capacidade de Segurança Cibernética (GCSCC) de Oxford no seu relatório de análise
da capacidade de segurança cibernética do Brasil (ORGANIZAÇÃO DOS ESTADOS
AMERICANOS, 2020) são descritas as características de cada um dos cinco estágios:
a) início: nesse estágio não existe maturidade cibernética, ou ela é de natureza
embrionária. Talvez haja discussões iniciais sobre a construção de capacidade de
segurança cibernética, mas nenhuma ação concreta foi tomada. Não há evidência
observável de capacidade de segurança cibernética nesse estágio;
b) formativo: alguns aspectos começaram a crescer e a ser formulados, mas podem ser
ad hoc, desorganizados, mal definidos — ou simplesmente novos. No entanto,
evidências desses aspectos podem ser claramente demonstradas;
c) estabelecido: os indicadores do aspecto foram implantados e funcionam. Entretanto,
falta uma consideração bem pensada sobre a relativa alocação de recursos. Poucas
decisões compensatórias foram tomadas sobre o investimento relativo a esse aspecto,
mas o aspecto é funcional e definido;
 155

d) estratégico: nesse estágio, houve escolhas sobre que indicadores do aspecto são
importantes, e quais são menos importantes para a organização ou Estado em
particular. O aspecto estratégico reflete o fato de que essas escolhas foram
condicionadas às circunstâncias particulares do Estado ou organização;
e) dinâmico: nesse estágio, existem mecanismos claros em vigor para alterar a
estratégia, dependendo das circunstâncias predominantes, tais como a sofisticação
tecnológica do ambiente de ameaça, um conflito global ou uma mudança significativa
em uma área de preocupação (por exemplo, crime cibernético ou privacidade). As
organizações dinâmicas desenvolveram métodos para mudar estratégias em
andamento. A rápida tomada de decisões, a realocação de recursos e o monitoramento
constante do ambiente em mudança são características desse estágio.
Como se nota na discussão realizada até aqui, nossa avaliação da maturidade cibernética
em Moçambique considera apenas os três estágios mais avançados da maturidade da capacidade
de segurança cibernética, que fizemos corresponder ao que chamamos de baixo (estabelecido),
médio (estratégico) e alto (dinâmico). Os primeiros estágios, inicial e formativo, já foram
resolvidos. Moçambique já deu passos significativos em direção à maturidade cibernética. Já se
fizeram debates iniciais sobre a construção de capacidades de cibersegurança e, de modo geral,
avançou-se bastante naquilo que se pretende que seja a segurança cibernética em Moçambique.

5.7 RECOMENDAÇÕES

Depois de apresentação de desafios e feita a avaliação de segurança cibernética, vale

sintetizamos as seguintes recomendações (policy recommendations) à consideração do governo e
do setor privado.
As recomendações têm como objetivos indicar as boas práticas para os desafios e
aprimorar respectivamente a capacidade da segurança cibernética e ciberdefesa em Moçambique:
a) recomenda-se a elaboração da política de segurança cibernética para o suporte de
implementação da estratégia nacional de segurança cibernética, elaboração do
regulamento do uso da internet e do domínio;
b) rever e reajustar a Lei da Revisão do Código Penal para responder cabalmente a
problemática das ameaças no ciberespaço como o ciberterrorismo e a guerra
 156

cibernética. Estabelecer uma conduta relacionada a tipos penais exclusivos aos crimes
cibernéticos;
c) elaborar a Estratégia da Defesa Cibernética e criar um órgão de gestão de crises
cibernéticos;
d) resolver as questões de certificação e assinaturas digitais. Implementar a criptografia e
forense; implementar normas de uso da internet e harmonização da legislação
internacional para crimes cibernéticos com os instrumentos legais nacionais;
e) criar uma autoridade que pode regular as atividades das seguradoras em matéria de
seguro cibernético e da segurança das comunicações;
f) rever a estratégia de cibersegurança e adequá-la aos princípios e boas práticas
estabelecidos pela União Internacional das Comunicações e da Organização das
Telecomunicações da Commonwealth;
g) adequar a legislação vigente ao quadro legal da SADC e ratificar as convenções
internacionais contra crimes cibernéticos;
h) providenciar recursos para garantir o pleno cumprimento das leis de segurança
cibernética existentes e novas, e monitorar sua implementação;
i) criar mecanismos legais para intercambio de provas eletrônicas internacionais.
Técnico-Operacional:
a) criar um Centro Nacional de Governança Cibernética responsável pela coordenação
estratégica dos esforços para estabilização e monitoramento do ciberespaço;
b) criar CERT-MZ nacional, expandir CERTs institucionais até ao nível provincial e no
setor privado;
c) definir e implementar padrões e procedimentos para a proteção de acervos
informacionais, mapear as infraestruturas críticas e avaliar as respectivas
vulnerabilidades;
d) estabelecer a estrutura para avaliar a eficácia das normas para aquisição e
desenvolvimento de software;
e) promover as melhores práticas em segurança cibernética para os usuários.
Organização Institucional:
a) criar uma agencia única nacional responsável pela coordenação da cibersegurança;
b) avaliar a institucionalização da governança segura do ciberespaço moçambicano.
 157

Capacidades Cibernéticas:
a) aumentar o número de profissionais certificados em áreas como Cloud Security,
analise forense, prevenção de perdas manejo de incidentes, avaliação de risco e outras;
b) continuar com a conscientização e formação em cibersegurança, criar programas de
ensino e pesquisa de cibersegurança nas universidades;
c) firmar parcerias para o desenvolvimento de interfaces de pesquisa, inovação e
interação entre as universidades e o setor privado;
d) capitalizar os CERTs nos setores chaves como a defesa e interior (administração
interna) e a Procuradoria da República;
e) procurar soluções internas para produção de software próprio para a segurança das IC
e da soberania do estado;
f) criar iniciativas para desenvolver uma abordagem rápida para a construção de
capacidade cibernética.
Cooperação Internacional no Espaço Digital:
a) incentivar a cooperação internacional no espaço cibernético;
b) cooperar para a proteger os dados dos usuários e dos provedores de serviços digitais;
c) aumentar o orçamento para a segurança cibernética.

5.8 SÍNTESE CONCLUSIVA

Neste capítulo foram apresentados os desafios e fez-se uma avaliação dos processos de
maturidade da cibersegurança em Moçambique. No pilar da legislação, permanecem dois
desafios. O primeiro é adequar a legislação vigente ao quadro acordado na SADC e internalizar,
por meio de ratificação pela Assembleia Nacional, as convenções da União Africana e demais
instrumentos internacionais contra crimes cibernéticos. O segundo desafio na área legal é
responder à rápida evolução das tecnologias e do contexto geopolítico internacional. Tecnologias
emergentes associadas ao 5G e Inteligência Artificial, por exemplo, tendem a modificar
rapidamente o mercado e o contexto político na área de cibersegurança.
O outro problema que não é menos importante é a questão da Autoridade legal do
governo sobre a regulação do ciberespaço; concluiu-se que ainda não há clareza de quem é a
responsabilidade de controle e regulamentação do ciberespaço no País. Nem a proposta da
 158

estratégia da cibersegurança ao conselho de ministros apresenta com clareza a estrutura da

cibersegurança nacional e as responsabilidades institucionais. Também procurou-se compreender
o decreto que orienta a elaboração da proposta da estratégia; não foram encontradas diretrizes
utilizadas na formulação da estratégia nacional de cibersegurança. O pesquisador sugeriu que na
elaboração da estratégia poder-se-ia seguir as boas práticas recomendadas pela ITU, reajustando-
as com as necessidades do País.
No pilar técnico-operacional foram apontados dois desafios. O primeiro desafio senta na
criação de um Centro Nacional de Governança Cibernética, responsável pela coordenação
estratégica dos esforços de estabilização e expansão do ciberespaço moçambicano; com a missão
de coordenar os esforços do CERT-MZ na construção da rede moçambicana de Computer
Security Incident Response Teams (CSIRTs) existentes em organizações públicas e privadas. o
segundo desafio senta na base técnica em definir e implementar padrões e procedimentos para a
proteção de acervos informacionais.
No pilar da organização institucional observou-se que o desafio mais crítico é a adoção
oficial de uma Estratégia Nacional de Cibersegurança. Mais do que uma formalidade, um
documento de estratégia sinaliza objetivos, compromissos e meios para garantir o funcionamento
adequado do ciberespaço moçambicano. O outro desafio mais crítico é dispersão de
responsabilidades da segurança cibernética para vários órgãos; poder-se-ia criar uma agência
única responsável pela segurança cibernética. Assim torna difícil avaliar a pertinência e
viabilidade de centralizar os esforços e a autoridade numa Governança Cibernética.
Os processos de institucionalização da segurança cibernética poderiam ocorrer primeiro
ao nível político, onde os desafios legais, orçamentários e de cooperação encontram o locus mais
adequado para serem resolvidos. Este nível teria uma coordenação direta da Presidência da
República ou pelo gabinete do Primeiro Ministro. O segundo nível seria o estratégico, no qual
seriam enfrentados os desafios organizacionais e técnicos. O terceiro nível, onde se ramifica a
capacidade institucional a ser construída, seria o tático e operacional. Aqui se desdobram tarefas
mais especializadas, tais como as políticas de e-governo, sob a responsabilidade do INAGE, ou a
defesa cibernética, sob a responsabilidade do MDN e das forças armadas.
No pilar das capacidades cibernéticas, verificou-se que um dos desafios para Moçambique
é aumentar o número de profissionais certificados em áreas como cloud security, análise forense,
prevenção de perdas, manejo de incidentes, avaliação de risco e outras. Atendendo que as
 159

capacidades cibernéticas são holísticas e abrange todos os pilares, os outros desafios identificados
são o atraso na elaboração da política de segurança cibernética, a doutrina sobre a defesa
cibernética, regulamento sobre a lei das transações, criação de CERTs, certificação e acreditação
de profissionais de cibersegurança, procura-se soluções internas para a produção de um software
nacional para a segurança das IC e da soberania do estado.
No pilar de cooperação internacional no espaço digital, notou-se que ainda prevalece o
desafio de adequação da legislação internacional e sua internalização, por meio de ratificação
pela Assembleia Nacional, das convenções internacionais contra crimes cibernéticos. O segundo
desafio na área legal é responder à rápida evolução das tecnologias e do contexto geopolítico
internacional. A crise da Covid-19 é outro desafio que condicionou os parceiros internacionais a
reduzirem o orçamento na área digital.
Na avaliação dos desafios da maturidade foram identificados dois modelos de maturidade.
O Modelo de Maturidade de Capacidade de Cibersegurança para Nações (Cybersecurity Capacity
Maturity Model for Nations – CMM), desenvolvido pelo Centro Global de Capacidades de
Segurança Cibernética (Global Cyber Security Capability Centre – GCSCC) da Universidade de
Oxford (GCSCC, 2016). O segundo é o Modelo de Maturidade de Capacidade de Cibersegurança
(Cybersecurity Capability Maturity Model - C2M2), desenvolvido pelos Departamentos de
Energia (DOE) e de Segurança Interna (DHS) dos Estados Unidos da América (USA, 2014).
Verificou-se que os dois modelos trazem seriam de difícil operacionalização. Pensou-se numa
matriz simplificada, que considera três níveis de maturidade (baixo, médio e alto) e os cinco
pilares da ITU (legal, técnico, organizacional, capacidades e cooperação).
Verificou-se que a maturidade cibernética em Moçambique se torna lenta por desconforto
do pilar das capacidades cibernética, falta o treinamento básico em Cibersegurança, as
populações necessitam de uma literacia cibernética para lidar-se com a evolução das TICs,
certificação dos profissionais dos CERTs, criação de programas de formação em especializações
na área da segurança e defesa cibernética. Também se sugeriu a formulação de normas, padrões
técnicos necessários para o mapeamento das IC.
Conclui-se, portanto, que para atingir os níveis mais avançados de maturidade cibernética
em Moçambique, precisa e pode melhorar a coordenação na governança cibernética entre atores
interessados governamentais, empresariais e da sociedade civil. Finalizamos com algumas
recomendações à consideração do governo e do setor privado que têm como objetivo indicar as
 160

boas práticas para os desafios e aprimorar respectivamente a capacidade da segurança cibernética

e ciberdefesa em Moçambique.
 161

6 CONCLUSÃO

Os conflitos cibernéticos como os ciberataques ou ciberguerras, ciberterrorismo e crimes

cibernéticos vem aumentando no mundo. Os estados obrigados a reforçar a segurança no espaço
cibernético e institucionalização da segurança e ciberdefesa. É obvio que para a melhor
formulação da melhor estratégia de cibersegurança seriam necessárias a existência de políticas e
doutrinas cibernéticas e a institucionalidade de defesa e segurança cibernéticas. Esta pesquisa
procurou através da formulação dos conceitos de segurança e defesa trazer anotações de
similaridades funcionais no ciberespaço, examinou os parâmetros ou dimensões e identificou as
características que ajudaram na avaliação dos desafios da maturidade da ciber estratégia em
Moçambique.
A tese reúne na forma de conteúdo central duas partes. Cada parte é composta por dois
capítulos. O primeiro capítulo se resumiu em fundamentos epistemológicos de cibersegurança e
de ciberdefesa no ciberespaço, definiu e apresentou a caracterização do (global comum)
ciberespaço em todas as suas dimensões. Fez-se uma abordagem holística sobre o paradigma
complexo da segurança internacional em três vertentes: a cibersegurança global, regional e a
cibersegurança de blocos ou coletiva. Neste esboço teórico, viu-se que a segurança é abrangente a
proteção, a defesa das unidades críticas; notou-se que a similaridade das funcionalidades entre
conceitos cibersegurança e ciberdefesa de vários autores podem induzir a uma análise clássica de
segurança. O outro problema conceitual reside no paradigma ciberespaço. Embora seja um
espaço de interesse comum, cada nação define-o de forma diferente e carece de uma conceituação
global ou de consenso.
Também foram definidas a estratégia e práticas globais estratégicas de segurança e defesa
cibernética das outras nações e organizações, onde se resumiu que a ciber estratégia de segurança
e defesa são ações de planejamento, monitorização e proteção do ciberespaço. As ciberestratégias
são acompanhadas pelas políticas de securitização do ciberespaço. Não se pode elaborar
estratégias para ciberespaço sem suporte de políticas securitárias de segurança e defesa. Neste
capítulo foram examinados os melhores modelos e apresentadas as boas práticas para o
desenvolvimento de políticas e estratégias de cibersegurança e ciberdefesa. A aqui contextualizou
a guerra cibernética: as teorias, as ciberguerras e a resiliência cibernética, as operações
 162

cibernéticas e as armas digitais, finalizando com a teorização do sistema de comando e controle

nas operações cibernéticas.
O segundo capítulo, examinou os parâmetros estratégicos e doutrinários de alguns países
para a segurança e defesa cibernética. Foram identificados os parâmetros sobre cibersegurança:
políticos, técnico-cientifico e operacional, legislativos e orçamentários. Os parâmetros
doutrinários internacionais legíveis podem ajudar na criação de doutrinas robustas para a defesa
no ciberespaço e da ciberguerra. Neste capítulo, se discutiu o contexto global, regional e interno
da legislação de cibersegurança e ciberdefesa focando as convenções de Budapeste, da União
Africana e dos instrumentos legais de Moçambique. Também se destacou a análise de
investimento em segurança e defesa do ciberespaço no continente africano antes e depois da
COVID-19. Além do mais, foram apontados os critérios de caracterização das IC.
No fim deste capítulo, se fez uma análise compreensiva e comparativa doutrinaria. Foram
selecionados para essa análise comparativa países como Brasil, Rússia, Índia, China, França,
Alemanha, Reino Unido, Israel e Estados Unidos da América. Uma definição afinada sobre a
guerra no ciberespaço, a sua estreita dependência em objetivos e em prioridades de cada estado-
nação na segurança da sua soberania e proteção das IC. Verificou-se que muitos países têm como
base da formulação das suas doutrinas nos fundamentos da doutrina estadunidense. Os Estados
Unidos da América, além de possuir uma longa experiência sobre o ciberespaço, é o estado-nação
com grande produção e divulgação da documentação doutrinaria de operações cibernéticas.
Na parte dois desta tese, foram descritas as características do ciberespaço moçambicano e
os desafios sobre segurança e ciberdefesa em Moçambique. No terceiro capítulo, descreveu-se as
características do ciberespaço moçambicano. Definiu-se o ciberespaço como um conjunto de
infraestruturas críticas incluindo satélites, celulares, televisão, radiodifusão, computadores,
programas, usuários e os lugares que ocupam, sejam eles virtuais, móveis ou fixos. Descreveu-se
também os meios e as políticas de securitização, onde o Estado e os atores não-estatais exercem o
seu poder cibernético foram considerados como arcabouço cibernético.
O capítulo apresenta o histórico da evolução digital em Moçambique, destacando a
evolução dos computadores e da internet, a evolução das telecomunicações e das mídias digitais.
Este capítulo se destacou as características dos acervos de infraestruturas críticas nacionais, e
foram apontadas as vulnerabilidades e as ameaças no ciberespaço.
 163

No fim do capítulo, fez-se a dissertação dos processos de securitização do ciberespaço

nacional e a institucionalização da cibersegurança e ciberdefesa. Embora Moçambique não seja
considerado um estado cibersecuritizado, está dando passos largos para a política de securitização
do seu ciberespaço. O destaque foi da politização das ameaças cibernéticas na SADC e a maior
intensidade de ataques cibernéticos em Moçambique em particular. Também se apresentou o
timing com as respectivas fases do processo de cibersecuritização no país.
No quadro institucional da cibersegurança e ciberdefesa, verificou-se que ainda não há
maturidade. Não foi encontrada uma definição clara das políticas de segurança e uma boa
argumentação na formulação da estratégia de segurança e defesa cibernética; os modelos
institucionais cibernéticos carecem de aprimoramento. Projetou-se o mapa sobre níveis
doutrinários de segurança e defesa cibernética. Aquilo que se considerou essencial da grande
estratégia de cibersegurança e ciberdefesa acompanhado por modelo estratégico da cibernética.
No capítulo sobre desafios de segurança e ciberdefesa em Moçambique, fez-se uma
avaliação dos processos de maturidade da cibersegurança em Moçambique. No pilar da
legislação, permanecem os desafios de adequar a legislação vigente ao quadro acordado na
SADC e internalizar, por meio de ratificação pela Assembleia Nacional, as convenções da União
Africana e demais instrumentos internacionais contra crimes cibernéticos. O segundo desafio na
área legal é responder à rápida evolução das tecnologias e do contexto geopolítico internacional.
O outro problema identificado, não menos importante, foi a questão da autoridade legal
do governo sobre a regulação do ciberespaço; concluiu-se que ainda não há clareza de quem é a
responsabilidade de controle e regulamentação do ciberespaço no país. Nem a proposta da
estratégia da cibersegurança ao conselho de ministros apresentou com clareza a estrutura da
cibersegurança nacional e as responsabilidades institucionais. Também procurou-se compreender
o decreto que orienta a elaboração da proposta da estratégia; não foram encontradas diretrizes
utilizadas na formulação da estratégia nacional de cibersegurança. O pesquisador sugeriu que, na
elaboração da estratégia, se poderia seguir as boas práticas recomendadas pela ITU, reajustando-
as com as necessidades do país.
No pilar técnico-operacional, foram apontados dois desafios. O primeiro desafio reside na
criação de um Centro Nacional de Governança Cibernética, responsável pela coordenação
estratégica dos esforços de estabilização e expansão do ciberespaço moçambicano. Tendo como
missão coordenar os esforços do CERT-MZ na construção da rede moçambicana de Computer
 164

Security Incident Response Teams (CSIRTs) existentes em organizações públicas e privadas. O

segundo desafio reside na base técnica em definir e implementar padrões e procedimentos para a
proteção de acervos informacionais.
No pilar da organização institucional, observou-se que o desafio mais crítico é a adoção
oficial de uma Estratégia Nacional de Cibersegurança. Mais do que uma formalidade, um
documento de estratégia sinaliza objetivos, compromissos e meios para garantir o funcionamento
adequado do ciberespaço moçambicano. O outro desafio mais crítico é dispersão de
responsabilidades da segurança cibernética para vários órgãos, onde poder-se-ia criar uma
agência única responsável pela segurança cibernética. Assim, torna-se difícil avaliar a pertinência
e viabilidade de centralizar os esforços e a autoridade numa governança cibernética.
Os processos de institucionalização da segurança cibernética poderiam ocorrer primeiro
ao nível político, onde os desafios legais, orçamentários e de cooperação encontram o locus mais
adequado para serem resolvidos. Este nível teria uma coordenação direta da Presidência da
República ou pelo gabinete do Primeiro Ministro. O segundo nível seria o estratégico, no qual
seriam enfrentados os desafios organizacionais e técnicos. O terceiro nível, onde se ramifica a
capacidade institucional a ser construída, seria o tático e operacional. Aqui se desdobram tarefas
mais especializadas, tais como as políticas de e-governo, sob a responsabilidade do INAGE, ou a
defesa cibernética, sob a responsabilidade do MDN e das forças armadas.
No pilar das capacidades cibernéticas, verificou-se que um dos desafios para Moçambique
é aumentar o número de profissionais certificados em áreas como cloud security, análise forense,
prevenção de perdas, manejo de incidentes, avaliação de risco e outras áreas. Compreendendo
que as capacidades cibernéticas são holísticas e abrangem todos os pilares, os outros desafios
identificados são o atraso na elaboração da política de segurança cibernética, a doutrina sobre a
defesa cibernética, a regulamentação sobre a lei das transações, a criação de CERTs, a
certificação e acreditação de profissionais de cibersegurança. Dessa forma, procura-se soluções
internas para a produção de um software nacional para a segurança das IC e da soberania do
estado.
No pilar de cooperação internacional no espaço digital, notou-se que ainda prevalece o
desafio de adequação da legislação internacional e sua internalização por meio de ratificação pela
Assembleia Nacional e das convenções internacionais contra crimes cibernéticos. O segundo
desafio na área legal é responder à rápida evolução das tecnologias e do contexto geopolítico
 165

internacional. A crise da Covid-19 desde dezembro de 2019 é outro desafio que condicionou os
parceiros internacionais a reduzirem o orçamento na área digital.
Na avaliação dos desafios da maturidade foram identificados dois modelos de maturidade.
O Modelo de Maturidade de Capacidade de Cibersegurança para Nações (Cybersecurity Capacity
Maturity Model for Nations – CMM), desenvolvido pelo Centro Global de Capacidades de
Segurança Cibernética (Global Cyber Security Capability Centre – GCSCC) da Universidade de
Oxford (GCSCC, 2016). O segundo é o Modelo de Maturidade de Capacidade de Cibersegurança
(Cybersecurity Capability Maturity Model - C2M2), desenvolvido pelos Departamentos de
Energia (DOE) e de Segurança Interna (DHS) dos Estados Unidos da América (USA, 2014).
Verificou-se que os dois modelos trazem o difícil desafio da operacionalização. Pensou-se numa
matriz simplificada, que considera três níveis de maturidade (baixo, médio e alto) e os cinco
pilares da ITU (legal, técnico, organizacional, capacidades e cooperação).
Verificou-se que a maturidade cibernética em Moçambique se torna lenta pelo
desconforto do pilar das capacidades cibernéticas, pela falta de treinamento básico em
cibersegurança. As populações necessitam de uma literatura cibernética para lidar com a
evolução das TICs, de uma certificação dos profissionais dos CERTs, da criação de programas de
formação em especializações na área da segurança e defesa cibernética. Também se sugeriu a
formulação de normas, padrões técnicos necessários para o mapeamento das IC.
Conclui-se que para atingir um nível considerável da maturidade cibernética, precisa-se
também de uma boa coordenação na governança cibernética entre os interessados atores do
governo, do setor empresarial e da sociedade civil. Em seguida, de acordo com a pesquisa do
Centro Global de Capacidade de Segurança Cibernética (GCSCC) de Oxford, no seu relatório de
análise da capacidade de segurança cibernética do Brasil (ORGANIZAÇÃO DOS ESTADOS
AMERICANOS, 2020), foram descritos cinco estágios de maturidade. O capítulo terminou com
algumas recomendações à consideração do governo e do setor privado que têm como objetivos
indicar as boas práticas para os desafios e aprimorar respectivamente a capacidade da segurança
cibernética e ciberdefesa em Moçambique.
Nesta conclusão, a questão central “Quais são os fundamentos, as características e os
desafios de uma Estratégia de Segurança e Defesa do Espaço Cibernético Moçambicano” foi
respondida. A hipótese principal foi confirmada. Verificou-se que os fundamentos doutrinários
para a formulação da Estratégia Nacional de Cibersegurança baseiam-se nas boas práticas e
 166

experiência internacionais sobre a matéria. Também se notou a vontade de institucionalização de

defesa e segurança cibernética do estado moçambicano, bem como as políticas de segurança
cibernética das empresas públicas e privadas com atuação no país.
A primeira hipótese derivada da principal confirma que as práticas e a experiência
internacionais no espaço cibernético e da guerra cibernética constitui uma condição sine qua non
para o desenvolvimento da estratégia de segurança cibernética e ciberdefesa; a segunda hipótese
derivada também indica que, quanto maior for a clareza sobre os parâmetros estratégicos e
doutrinários, maior poderá ser a probabilidade da eficácia na resolução de conflitos e no combate
a ataques cibernéticos; e a terceira hipótese já foi confirmada, as características do espaço
cibernético podem ajudar em eficácia na formulação da estratégia nacional de segurança e defesa
cibernética; a quarta hipótese confirma que os processos de maturidade dos desafios políticos,
legais, tecnológicos e orçamentários podem influenciar no aprimoramento da Estratégia de
Segurança Cibernética de Moçambique.
 167

REFERÊNCIAS

ABOUL-ENEIN, S. Cybersecurity challenges in the Middle East. Geneva: Geneva Centre for
Security Policy, 2017. (Geneva Papers Research Series 22/17).

AFRICAN UNION. African Union Convention on Cyber Security and Personal Data
Protection. Malabo, 2014.

AFRICAN UNION. A global approach on cybersecurity and cybercrime in Africa: African

Ministers in charge of Communications and Information and Communication Technologies,
Cyber Policy Portal. [S.l.]: UNIDIR, 2019.

ALBERTS, D. Cyberspace operations: is a non-traditional C2 approach required? In:

INTERNATIONAL COMMAND AND CONTROL RESEARCH AND TECHNOLOGY
SYMPOSIUM (ICCRTS), 23., 2018, Pensacola. Proceedings […]. Pensacola, 2018.

ALCANTARA, B. T. Internet, terror e ciberterrorism: uma análise comparativa. 2018.

Dissertação (Mestrado em Estudos Estratégicos Internacionais) - Faculdade de Ciências
Econômicas, Universidade Federal do Rio Grande do Sul, Porto Alegre, 2018. Disponível em:
[Link] Acesso em: 2 mar. 2020.

ALVES et al. Segurança cibernética e políticas públicas no Brasil. Gestão do Conhecimento

para a Sociedade, XI Simpósio de Excelência em Gestão e Tecnologia, Brasil, 2014.

AMERICAN HERITAGE dictionary of the English language, The. 4th ed. New York, 2006.

ANDRESS, J.; WINTERFELD, S. Cyber warfare: techniques, tactics and tools for security
practitioners. 2. ed. Amsterdam: Elsevier, 2014.

ARMY LAB. Army sets up cyber security lab. Governance Now, India, 6 Apr. 2010. Disponível
em: [Link] Acesso
em: 25 fev. 2021.

ARQUILLA, J; RONFELDT, D. Cyberwar is coming! In: Athena’s Camp: preparing for

conflict in the information age. Santa Monica: Rand, 1997.

BALÃO, S. Geopolítica e geoestratégia do ciberespaço: para uma estratégia da informação

nacional. Lisboa: Proelium, 2010.

BANDE, L. C. Legislating against cyber crime in Southern African development community:

balancing international standards with country-specific specificities. International Journal of
Cyber Criminology, [s.l.], v. 12, n. 1, p. 9-26, Jan./June 2018. Disponível em:
[Link] Acesso em: 23 jul. 2020.

BARBAS, J.; SANCHO, C. Cibersegurança e políticas públicas: análise comparada dos casos
chileno e português. Lisboa: Instituto da Defesa Nacional e Academia Nacional de Estudios
Políticos y Estratégicos de Chile, 2018.
 168

BARAM, G; MENASHRI, H. Why can’t ew be friends? Challenges to International Cyber

Warfare cooperation efforts and the way ahead. Comparative Strategy, [s.l.], v. 38, n. 2, p 89-
97, 2019. Disponível em: [Link] Acesso em: 18 maio
2019.

BASS, M. Cybersecurity and information security: force structure modernizations in the Chinese
People’s Liberation Army. The Cyber, Intelligence, and Security Journal, Institute for
National Security Studies, Amos Yadlin, 2020.

BAUMARD, P. Cybersecurity in France. Springer Briefs in Cybersecurity, Paris, 2017.

BEBBER, R. Cyber power and cyber effectiveness: an analytic framework. Comparative

Strategy, U.S. Cyber Command, Norfolk, v. 36, n. 5, p. 426-436, 2017. Disponível em:
[Link] Acesso em: 17 out. 2019

BEDERNA, Z.; SZADECZKY, T. Cyber espionage through Botnets. Security Journal,

Hungary, 2019.

BENOLIEL, D. Toward a cybersecurity policy model: Israel National Cyber Bureau Case
Study. [S.l.]: N.C. J.L. & Tech, 2015. Disponível em:
[Link] Acesso em: 17 out. 2019.

BONNER, E. Cyber power in 21st century joint warfare. Colorado: Director of Operations at
the Space Operations Squadron Aerospace Data Facility, 2014.

BOOTH, K. Teorias e práticas da segurança no Século XX: sequência histórica e mudança

radical. Intervenção proferida no âmbito da Conferência “Segurança para o Século XXI”,
novembro de 2000. Lisboa: Instituto da Defesa Nacional, 2001. p. 19-50. (Nº 99 – 2.ª Série).

BOYD, J. Organic design for command and control. [S.l.], 1987. Disponível em:
[Link] Design [Link]. Acesso em: 25 fev. 2021.

BRASIL. Decreto Nº 10.222, de 5 de fevereiro de 2020. Aprova a Estratégia Nacional de

Segurança Cibernética. Brasília, 2020.

BRASIL MD ESTADO-MAIOR DO EXÉRCITO. Defesa cibernética. Brasília, 2010.

Disponível em: [Link] Acesso em: 19 ago. 2019.

BRASIL, MD. Manual de campanha-guerra cibernética. Comando de Operações Terrestre -

EB70-MC-10.23. Brasília: Exército brasileiro, 2017.

BRASIL, MD. Política Nacional de Defesa e Estratégia Nacional da Defesa. Brasília, 2012.

BRASIL. Doutrina militar de defesa cibernética. Brasília, 2014a. Disponível em:

[Link]
cibernetica_1_2014.pdf. Acesso em: 25 dez. 2019.

BRASIL. Doutrina militar de defesa cibernética. MD31-M-07. Brasília: EMCFA, 2014b.

 169

BRASIL. Manual de campanha guerra cibernética. EB70-MC-10.232. Brasília: COTER,

2017. Disponível em: [Link] Acesso em: 24 fev. 2018.

BRASIL. Despacho MDN 13692/2013. Brasília, 2013.

BROCKIE, Wg. Cdr. M. G. Cyber: buzzword or instrument of national power? [S.l.], 2014.
(Defence Research Paper, Joint Services and Command Staff College).

BRUSTOLIN, V. Comparative analysis of regulations for cybersecurity and cyber defence in the
United States and Brazil. Rev. Bras. Est. Def., [s.l.], v. 6, n. 2, p. 93-123, jul. /dez. 2019.
Disponível em: http//. doi: 10.26792/RBED.v6n2.2019.75149. Acesso em: 24 ago. 2020.

BUSCHBACHER, J. A Teoria da resiliência e os sistemas sócio-ecológicos: como se preparar

para um futuro imprevisível? Boletim Regional, Urbano e Ambiental, IPEA, Brasília, p. 14,
2014.

BUZAN, B.; HANSEN, L. The evolution of international security studies. New York:
Cambridge University Press, 2009.

BUZAN, B.; WAEVER, O.; WILDE, J. Security: a new framework for analysis. London: Lynne
Rienner, 1998.

CANABARRO, D. R.; BORNE, T. Ciberespaço e internet: implicações conceituais para os

estudos de segurança. Mundorama, [s.l.], v. 69, 2013.

CANONGIA, C.; MANDARINO JR, R. Segurança cibernética: o desafio da nova Sociedade de

Informação. Parc. Estrat., Brasília, v.14, n. 29, 2009.

CARMO, H.; FERREIRA, M. Metodologia de investigação: guia para autoaprendizagem. 2. ed.

Portugal: Universidade Aberta, 2008.

CARNEIRO, J. M. K. A guerra cibernética: uma proposta de elementos para formulação

doutrinária no Exército Brasileiro. 2012. Tese (Doutorado) - Escola de Comando e Estado-Maior
do Exército, Brasil, 2012.

CASTELLS, M. A sociedade em rede. São Paulo: Paz e Terra, 1999.

CASTELLS, M. Fim do milênio. 4. ed. São Paulo: Paz e Terra, 2007.

CAVALCANTI, C. Cibersegurança: desafios e legislação comparada entre Brasil e Portugal.

Lisboa: Faculdade de Direito, Universidade Nova de Lisboa, 2017. (CEDIS working papers n.
53).

CAVELTY, M. D. Contemporary security studies: cyber security. Allan Collins: Oxford

University Press, Textbook Entry, 2012. Disponível em: [Link]
Acesso em: 14 fev. 2020.

CAVELTY, M. D. Contemporary security studies: cyber security. 3rd ed., Alan Collins: Oxford
University Press, 2013.
 170

CEPIK, M.; CANABARRO, D.; BORNE, T. A securitização do ciberespaço e o terrorismo: uma

abordagem crítica. In: CEPIK, Marco (Org.). Do 11 de setembro de 2001 à 'Guerra Contra o
Terror': reflexões sobre o terrorismo no século XXI. Brasília: IPEA, 2014.

CHAMANGO, F. Assessing ICT policy development and the implementation process: the
case of Mozambique. Final report. [S.l.], 2012.

CHEMANE, L. Infraestruturas internacionais digitais: cabos submarinos e centros de dados,

5º Fórum Lusófono das Comunicações, Painel 4. Maputo: MCT, 2014.

CHICHAVA, S.; POHLMANN, J. Uma breve análise da imprensa moçambicana: desafios

para Moçambique. [S.l.]: IESE, Imprensa Moçambicana, 2010.

CLARKE, R.; KNAKE, R. Cyber war: the next threat to national security and what to do about
it. New York: Harper Collins, 2010.

CLAUSEWITZ, C. V. On war. Princeton: Princeton University Press, 1976.

COHN, G. A forma da sociedade da informação. In: DOWBOR, Ladislau et al. (Org.). Desafios
da comunicação. Petrópolis: Vozes, 2007.

COLARIK, A. M.; JANCZEWSKI, L. Establishing cyber warfare doctrine. Journal of Strategic

Security, [s.l.], v. 5, n. 1, p. 31-48, 2012. DOI: [Link] 0472.5.1.3.
Disponível em: [Link] Acesso em: 10 ago. 2019.

COMISSÃO EUROPEIA. Estratégia da União Europeia para a cibersegurança: um

ciberespaço aberto, seguro e protegido. Comunicação Conjunta ao Parlamento Europeu, ao
conselho, ao Comitê Econômico e Social Europeu e ao comité das regiões. Bruxelas, 2013.

COUTO, A. C. Elementos de estratégia. Lisboa: Instituto de Altos Estudos Militares, 1988.

CROWTHER, G. A. National defense and the cyber domain. US: The Heritage Foundation,
2018. Disponível em: https:// [Link]/Military. Acesso em: 25 fev. 2021.

CONSELHO DE MINISTROS – CM. Resolução n. 28/2000, de 12 de dezembro. Política de

informática. Maputo, 2000.

CONSELHO DE MINISTROS – CM. Resolução n. 36/2015. Estratégia Nacional de Segurança

do Ciberespaço. Diário da República, Maputo, I Série, n. 113, 12 jun. 2015.

CORREIA, R. Orientações para a produção da dissertação do mestrado: Mestrado em

Desenvolvimento e Meio Ambiente, UNAMA. Belém, 2012.

CRESWELL, J. W. Research design: qualitative, quantitative, and mixed methods approaches.

4th ed. US: University of Nebraska-Lincoln, SAGE, 2014.

CRESWELL, J. W; PLANO, CLARK, V. L. Designing and conducting mixed methods

research. 2nd ed. Los Angeles: SAGE, 2011.
 171

CYBER is such a perfect prefix. New York Magazine, New York, 1996.

DAVIES, A.; DAVIS, M. ADF Capability Snapshot 2016: C4ISR - winning in the networked
battlespace. [S.l.]: Australian Strategic Policy Institute, 2016.

DEIBERT, R. Distributed security as cyber strategy: outlining a comprehensive approach for

Canada in cyberspace. Canada: Canadian Defence & Affairs Institute. Despacho MDN
13692/2013. Conceito Estratégico de Defesa Nacional. Diário da República, Portugal, 2ª série,
n. 208, 28 out. 2012.

DENNING, D. Cyberterrorism, Monterry: Calhoun. [S.l.]: The NPS Institutional Archive,

2000. Disponível em:
[Link]
df?sequence=1. Acesso em: 15 fev. 2021.

DÉVAI, D. Proliferation of offensive cyber weapons: strategic implications and non-proliferation

assumptions. AARMS, [s.l.], v. 15, n. 1, 2016.

DEWAR, R. S. Cyberweapons: capability, intent and context in cyberdefense. Trend analysis 2:

cyberweapons. Risk and Resilience Team. Zürich: Center for Security Studies (CSS), 2017.

DEWAR, R.S. National cybersecurity and cyberdefense policy snapshots: collection 1.

Zürich: Center for Security Studies (CSS), 2018.

DEWAR, R. The triptych of cyber security: classification of active Cyber Defense. 6th
International Conference on Cyber Confl ict [Link], M. Maybaum, J. Stinissen. Tallinn:
NATO CCD COE Publications, 2014.

DIÁRIO OFICIAL DA REPÚBLICA DO CHILE. Normas gerais. Santiago, n. 42.003, mar.

2018.

DORNSBUSCH, J. Operações cibernéticas militares e as implicações perante a lei internacional.

Cadernos Adenauer, [s.l.],v. 15, n. 4, 2014.

DUCHEINE, P.A.L.; OSINGA, F.; SOETERS, J. Towards a legal framework for military cyber
operations. NL ARMS Netherlands Annual Review of Military Studies 2012. Cyber Warfare:
Critical Perspectives,The Hague: T.M.C. Asser Press, 2012. p. 101-128.

DUCHEINE, P. Legal framework for (military) cyber operations. Amsterdam: Netherlands

Defence Academy and University of Amsterdam (ACIL), 2014.

EDM. Plano de Desenvolvimento na Área da Energia em Moçambique. [S.l.]: Rede Nacional

de Energia, 2015.

EMI, I. Cybercrime costs africa billions of dollars per year. [S.l.], 2020. Disponível em:
[Link] Acesso em: 8 fev.
2021.
 172

ENRÍQUEZ, J. et al. Para uma política de informação no ciberespaço: avanços, perspectivas e

desafios. RDBCI: Rev. Digit. Bibliotecon. Cienc. Inf., Campinas, v. 15, n. 3, p. 736-757, 2017.

ESTADO-MAIOR DO EXÉRCITO – EME. Defesa cibernética. Brasília, 2010. Disponível em:

[Link] Acesso em: 19 ago. 2019.

EUA. Cybersecurity funding: analytical perspectives. [Washinton], 2019.

EUA. Cybersecurity funding: analytical perspectives. [Washinton], 2020.

EUROPEAN COMMISSION. Council directive 2008/114/EC. [S.l.], 2008. Disponível em:

[Link] Acesso em: 8 fev. 2021.

EUROPEAN COMMISSION. Cybersecurity strategy of the European Union: an open, safe

and secure cyberspace, joint communication to the European Parliament, the Council, the
European Economic and Social Committee and the Committee of Regions. Brussels, 2013.

EUROPEAN UNION. EU cyber defence policy framework. Council of the European Union.
Brussels, 2018.

EUROPOL. Internet organised crime threads assessment. [S.l.]: European Union Agency for
Law Enforcement Cooperation (Europol), 2017. Disponível em:
[Link] Acesso em: 14 fev.
2021.

FAYOL, H. Administração industrial e geral: previsão, organização, comando, coordenação e

controle. 10. ed. São Paulo: Atlas, 1989.

FAYUTKIN, D. The American and Russian approaches to cyber challenges. Journal of Defense
Management, [s.l.], v. 2, n. 110, 2012. Disponível: http//.doi: 10.4172/2167-0374.1000110.
Acesso em: 14 fev. 2021.

FERNANDES, J. D. G. Levantamento da estrutura orgânica de guerra eletrônica e de

ciberdefesa para o nível tático no Exército Português. Trabalho de Investigação Individual do
CEMC 2019/2020. Portugal: Instituto Universitário Militar, Departamento de Estudos Pós-
Graduados, 2020.

FERNANDES, J. H. C. Um sistema de soberania cibernética para a projeção de poder do Brasil

em seu entorno estratégico. In: GHELLER, G. F.; GONZALES, S. L.; MELLO, L. P. (Org.).
Amazônia e Atlântico Sul: desafios e perspectivas para a defesa no Brasil, Brasília: IPEA;
SEA– NEP, 2015.

FERREIRA, H. J. D. Identificação e caracterização de infraestruturas críticas: uma

metodologia. CEM-C 2015/2016. Portugal: Instituto Universitário Militar, Departamento de
Estudos Pós-Graduados, 2016.

FRANÇA. Strategic Review of Cyber Defense, [s.l.], p. 5-9, 2018.

 173

FROST & SULLIVAN. Digital market overview: South Africa. Governo do Reino Unido,
2018.

GASTER, P. et al. Inclusão digital em Moçambique: um desafio para todos. Maputo:

Universidade Eduardo Modlane, Sangonet, 2009.

GEERS, K. NATO cooperative cyber defence centre of excellence. Tallinn, 2011.

GIBSON, W. Neuromancer. New York: Berkley, 1984.

GIL, A.C. Como elaborar projetos de pesquisa. 4. ed. São Paulo: Atlas, 2002.

GIL, A.C. Métodos e técnicas de pesquisa social. 5. ed. São Paulo: Atlas, 2007.

GLOBAL CYBER SECURITY CAPABILITY CENTRE - GCSCC. Cyber Security Capacity

Maturity Model for Nations (CMM). Oxford: University of Oxford, 2016. Disponível em:
[Link]
edition/. Acesso em: 21 set. 2020.

GOMES, M. G. F. M.; CORDEIROS, S.; PINHEIRO, W. A. A guerra cibernética: exploração,

ataque e proteção cibernética no contexto dos sistemas de Comando e Controle (C2). Revista
Militar de Ciência e Tecnologia: RMCT, [s.l.], v. 33, n. 2, 2016.

GOMPERT, M.; LIBICKI, M. Cyber war and nuclear peace, global politics and strategy.
Survival, 2019. Disponível em: [Link]
journalCode=tsur20. Acesso em: 24 jul. 2020.

GOVERNMENT OF SPAIN. National Cyber Security Strategy. Presidency of Government.

[S.l.], 2013.

GOVERNO DA ÁFRICA DO SUL. National Cybersecurity Policy Framework for South

Africa. Ministro da Segurança do Estado. [S.l.], 2012. Disponível em:
[Link] Acesso em: 20
jul. 2020.

GOVERNO DE MOÇAMBIQUE. Esboço da Estratégia Nacional de Segurança Cibernética

de Moçambique. Maputo: Ministério de Transporte e Comunicações, 2016. Disponível em:
[Link]
Mozambique_EN_10022016.docx. Acesso em: 3 ago. 2020.

GOVERNO DE MOÇAMBIQUE. Centro de Estudos para Resposta e Tratamento de

Incidentes em Computadores de Moçambique (CERT-MZ). Maputo, 2020. Disponível em:
[Link] Acesso em: 26 set. 2020.

GOVERNO DE MOÇAMBIQUE. Proposta de Estratégia Nacional de Segurança Cibernética

de Moçambique: versão 2. Maputo: Ministério de Transporte e Comunicações, 2017.
Disponível_em:
 174

[Link]
Mozambique_PT_GT_24052017FINAL.pdf. Acesso em: 20 jul. 2020.

GOWIN, D. B. Educating. Ithaca: Cornell University Press, 1981.

GRANASEN, M. Exploring C2 capability and effectiveness in challenging situations: inter-

organizational crisis management, military operations and cyber defence. Department of
Computer and Information Science Linköping University SE-581 83. Linköping, 2019.

GRANASEN, D., JAITNET, M. The offensive cyber operations playbook. 18th European
Conference on Cyber Warfare and Security (ECCWA 2019). Coimbra, p. 194, 2019.

HALLBERG, N. et al. Framework for C2 development: exploring design logic and systems
engineering. In: INTERNATIONAL COMMAND AND CONTROL RESEARCH AND
TECHNOLOGY SYMPOSIUM (ICCRTS), 23., 2018, Pensacola. Proceedings […]. Pensacola,
2018.

HANSEN, L.; NISSENBAUM, H. Digital disaster, cyber security and the Copanhan School.
[S.l.]: International Studies Association, 2009.

HERPIG, S.; MORGUS, R.; SHENIAK, A. Cyber active defense: a comparative study on US,
Israeli and German approaches - What is Active Cyber Defense? [S.l.]: Konrad-Adenauer-
Stiftung, 2020.

HOFFMAN, F. G. Conflict in the 21 century: the rise of hybrid wars. Arlington: Potomac
Institute for Policy Studies, 2007.

HOHMANN, M., PIRANG, A., BENNER, T. Advancing cybersecurity capacity building.

[S.l.]: Global Public Policy Institute (GPPI), 2017. Disponível em:
[Link]
principle-based-approach. Acesso em: 30 nov. 2020.

HOLMBERG, E. J. Army attack in cyberspace, do they exist and can they trigger the right
to self-defence? Thesis, Faculty of Law, University of Stockholm, Stockholm, 2015.

HONORATO, M. C.; SANTOS, L. F. C. D.; MATEUS, R. M. J. R. O ciberespaço como 5.º

domínio operacional: impacto estratégico na política de Defesa Nacional. Trabalho de
Investigação de Grupo da Área de Ensino de Estratégia CPOG 2016/2017. Portugal:
Departamento de Estudos Pós-Graduados, Instituto Universitário Militar, 2017.

HOSANG, A. Política Nacional de Segurança Cibernética: uma necessidade para o Brasil. Rio
de Janeiro, 2011.

HOUGH, P. Understanding global security. 2nd. ed. [S.l.]: Routledge, 2008.

HUBER, M. Reports of International Arbitral Awards: Islands of Palmas case. [S.l.]:

Organização das Nações Unidas, Corte Permanente de Arbitragem, 1928. Disponível em:
[Link] Acesso 10 abr. 2018.
 175

INCM. Relatório de regulação das comunicações. Autoridade Reguladora dos Sectores Postal e
de Telecomunicações. Moçambique, 2016.

INCM. Relatório de regulação das comunicações. Autoridade Reguladora dos Sectores Postal e
de Telecomunicações. Moçambique, 2017.

INDIA. Credible cyber deterrence in Armed Forces of India. VIF Task Force Report. New
Delhi: Vivekananda International Foundation (VIF), Design and production, 2019. Disponível
em: [Link] Acesso em: 22 nov. 2020.

INTERNATIONAL TELECOMMUNICATION UNION – ITU. Global cybersecurity agenda:

framework for international cooperation in cybersecurity. Geneva, 2007.

INTERNATIONAL TELECOMMUNICATION UNION – ITU. Report on best practices for a

national approach to cybersecurity: a management framework for organizing national
cybersecurity efforts. Study Group. Q.22/1. Secretariado. Geneva, 2008a.

INTERNATIONAL TELECOMMUNICATION UNION – ITU. Global cybersecurity agenda:

high-level experts group. Global Strategic Report. Place des Nations. Geneva, 2008b.

INTERNATIONAL TELECOMMUNICATION UNION – ITU. Methodological criteria for

the selection of ICT indicators for country and regional factsheets. HIPSSA – Harmonization
of ICT Policies in Sub-Sahara Africa. Geneva, 2012.

INTERNATIONAL TELECOMMUNICATION UNION – ITU. Guide to developing a

national cyber security strategy: strategic engagement in cybersecurity. Geneva, 2018.

INTERNATIONAL TELECOMMUNICATION UNION – ITU. GCI scope and framework.

Geneva, 2019. Disponível em:
[Link]
V2_.pdf. Acesso em: 25 fev. 2021.

INTERNET SOCIETY. Africa internet history: highlights. Adopted in Zambia, 2001.

Disponível em: [Link] Acesso em: 10 fev. 2019.

INTIC. Rede eletrônica do Governo: GovNet. Moçambique, 2013.

INTIC. Segurança cibernética em Moçambique e seu enquadramento legal. I Conferência

Nacional de Segurança Cibernética, MOZCYBER, Maputo, nov. 2018.

ISRAEL. Advancing the National Preparedness for Cyber Security. Resolution n. 2444. [Tel
Aviv], 2015.

KALLBERG, J. Strategic cyberwar theory: a foundation for designing decisive strategic cyber
operations. The Cyber Defense Review, United States Military Academy, US, 2016.

KESSEL, P. O caminho para ciber-resiliência: perceção, resistência, reação. 19ª Pesquisa

Global de Segurança da Informação da EY 2016-17. [S.l.], 2016.
 176

KISSEL, R. Glossary of key information security terms. [S.l.]: Diane Publishing, National
Institute of Standards and Technology (NIST), 2011.

KIZZA, J. Guide to computer network security. [S.l.]: Springer Science & Business Media,
2013.

KLUZER, S. The political economy of IT in Susaharian Africa: the diffusion of computers in

Mozambique. (PhD Thesis) - LSE, [s.l.],1993.

KOVACS, L. Cybersecurity policy and strategy in the European Union and NATO. Land Force
Academy Review, v. 23, n.1 (89), Hungary, 2018.

KSHETRI, N. Cybercrime and cybersecurity in Africa. South African Banking Risk

Information Centre (SABRIC). [S.l.], 2019. Disponível em:
[Link] Acesso em: 6 fev. 2021.

KRAMER, F.; STARR, S.; WENTZ, L. Cyberpower and national security. USA: Center for
Technology and National Security Policy, National Defense University, 2009.

KUEHL, D. Cybepower and national security. In: KRAMER, F.; STARR, S.; WENTZ, L.
Cyberpower and national security. USA: Center for Technology and National Security Policy,
National Defense University, 2009.

LAKATOS, E. M.; MARCONI, M. A. Metodologia do trabalho científico: procedimentos

básicos, pesquisa bibliográfica, projetos e relatórios. São Paulo: Atlas, 2001.

LANGNER, A.; ZULIANI, C. Os desafios para o desenvolvimento do governo eletrônico e a

necessidade da segurança da informação. XII Seminário Internacional de Demandas Sociais e
Políticas Públicas na Sociedade Contemporânea, VIII Mostra de Trabalhos Jurídicos Científicos,
2015.

LEVCHUK, G. M. et al. Networks of decision-making and communicating agents: a new

methodology for design and evaluation of organizational strategies and hierarchical structures.
Office of Naval Research contract, internal research and development project at Aptima. [S.l.],
2003.

LEWIS, J. A. Sovereignty and the role of government in cyberspace. Brown Journal of World
Affairs, [s.l.], v. 16, n. 2, p. 55-65, 2010.

LEWIS, J. A. The role of offensive cyber operations in NATO’s collective defence. Tallin:
NATO Cooperative Cyber Defence Centre of Excellence (CCDCOE), 2015. (Tallin papers, 8).

LEWIS, J. A; TIMLIN, K. Cybersecurity and cyberwarfare: preliminary assessment of

national doctrine and organization. [S.l.]: Center for Strategic and International Studies, UNIDIR
Resources – Ideas for Peace and Security, 2011.

LIAROPOULOS, A. Cyber conflict and theoretical paradigms: current trends and future
challenges in the literature. In: EUROPEAN CONFERENCE ON CYBER WARFARE AND
 177

SECURITY, 13., 2014, Greece. Proceedings […]. Greece: The University of Piraeus Greece,
2014.

LIBICKI, M. C. Cyberdeterrence and cyberwar. [S.l.]: RAND Corporation, 2009. Disponível

em: [Link] Acesso em: 25 fev. 2021.

LIMA, M. R. S. et al. Atlas da política brasileira de defesa. Brasil: Conselho Latino-

Americano de Ciências Sociais, 2017. (Clacso 50 anos: latitude sul).

LUIIJF, E. et al. The GFCE-MERIDIAN good practice guide on critical information

infrastructure protection for governmental policy-makers. [S.l.]: MERIDIAN Connecting
and Protecting, 2016.

MACHADO, A. et al. Defesa cibernética comparada: um estudo do Brasil e da África do Sul.

[Rio de Janeiro: Unilasalle, 2017]. Disponível em: [Link]
br/arquivos/ensino_e_pesquisa/defesa_academia/cadn/artigos/xiv_cadn/defesaa_ciberneticaa_co
mparadaa_uma_estudoa_doa_brasila_ea_daa_africaa_doa_sul.pdf. Acesso em: 30 nov. 2020.

MARCELINO, H. Dimensão estratégica de defesa e segurança cibernética: caso de

Moçambique. 2014. Dissertação (Mestrado) - Instituto Superior da Defesa Armando Emílio
Guebuza, Maputo, 2014.

MARCELINO, H.; ZENG, H. Maputo Bay wireless network cost analysis. International
Journal of Information and Electronics Engineering, IACSIT, [s.l.], v. 2, n. 5, 2012.

MARGULIES, P. Sovereignty and cyber attacks: technology’s challenge to the Law of State
Responsibility. Melbourne, 2013. (Legal Studies Research paper series, Roger Williams School,
14). Disponível em: [Link] Acesso em: 30 nov. 2020.

MARIE, B.; SEAN, C. National cybersecurity strategies in comparison: challenges for

Switzerland. Zürich: Center for Security Studies (CSS), Mar. 2019.

MATHE, A. The misunderstood world of cybersecurity in Africa, Police Centre for the New
South. [S.l.]: Think Simulate Bridge, 2019.

MATUSSE, R. História da informática. Maputo, 2013.

MD35-G-01. Glossário das Forças Armadas. 4. ed. [S.l.]: Estado-Maior de Defesa, 2007.
(Boletim MD, 009).

MELLO, M. A. G. A estratégia militar brasileira e o Exército: uma análise da política

declaratória de Defesa. 2012. Dissertação (Mestrado) - Escola Brasileira de Administração
Pública e de Empresas, Fundação Getúlio Vargas, Centro de Formação Acadêmica e Pesquisa,
2012.

MIGUEL, J. Digitalização da televisão em Moçambique: estratégias, políticas e reconfigurações.

Revista UNINTER de Comunicação, [s.l.], v. 3, n. 4, p. 84-105, 2015. Disponível em: https:
[Link]. Acesso em: 9 fev. 2019.
 178

MOÇAMBIQUE. MCT. Montagem do primeiro computador da marca DZOWO. Maputo,

2009.

MOÇAMBIQUE. MCTESP. Infraestruturas críticas. Rede Moçambicana de Ensino Superior

(MoRENet). Maputo, 2016.

MOÇAMBIQUE. MCTESP. Infraestruturas internacionais digitais: cabos submarinos e

centros de dados. Mozambique eGovernment and Communication Infrastruture Project
(MEGCIP). Maputo, 2017.

MOÇAMBIQUE. MCTESP. MoRENet: conceito, grau de implementação, e desafio de

segurança de informação. Apresentação no Workshop sobre Cibersegurança. Maputo, 2018.

MOÇAMBIQUE; CYBERMOZ. I Conferência Nacional de Segurança Cibernética. Maputo:

Instituto Nacional de Governo Eletrônico (INAGE), 2018.

MOOI, R. National CSIRT: CSIRT da África do Sul. Workshop sobre cibersegurança. Maputo,
2018.

MOREIRA, J. M. O impacto do ciberespaço como nova dimensão nos conflitos. Boletim de

Ensino, [s.l.], v. 13, p. 27–50, 2012. Disponível em:
[Link] Acesso em: 30 nov. 2020.

MORAN, D. Geography and strategy. In: BAYLIS, J. et al. Strategy in the contemporary
world. 2. ed. Oxford: Oxford University Press, 2007. p. 122-140.

MORGAN, A. S.; STONE, S. W. Command and control for cyberspace operations: a call for
research. Military Cyber Affairs, [s.l.], v. 4, n. 1, 2019. Disponível em:
[Link] Acesso em: 5 jan. 2020.

MOTEFF, J.; COPELAND, C.; FISCHER, J. Critical infrastructures: what makes an

infrastructure critical? Washington: The Library of Congress, 2003.

MUCHANGA, J. Internet em Moçambique. Maputo: CIUEM, 2006.

NAKAMURA, E. T.; GEUS, P. L. Segurança de redes em ambientes cooperativos. [S.l.]:

Novatec, 2002.

NATO. NATO cyber defence. [S.l.]: Public Diplomacy Division (PDD), Press & Media
Section, 2016.

NATO ALLIED JOINT DOCTRINE FOR CYBERSPACE OPERATIONS. Allied joint

publication-3.20. [S.l.]: NATO Standardization Office (NSO), 2020.

NATO SCIENCE AND TECHNOLOGY ORGANIZATION. Command and control (C2)

agility (Agilité du commandement et du contrôle (C2)). [S.l.] : Science and Technology
Organization, 2014. (Task Group SAS-085 final report).
 179

NISSENBAUM, H. Where computer security meets national security. Ethics and Information
Technology, [s.l.], v. 7, n. 2, p. 61-73, 2005.

NYE, J. O futuro do poder. Lisboa: Benvirá, 2012. (Temas e debates).

NYE, J. Nuclear lessons for cyber security? Strategic Studies Quarterly, [s.l.], v. 5, n. 4, Winter
2011. Disponível em: [Link] Acesso em: 20 fev. 2021.

NYE, J. Cyber power. [S.l.]: Harvard Kennedy School, Belfer Center for Science and
International Affairs, 2010.

ODELL, C. A. Using genetic algorithms to detect security related software parameter

chains. 2016. Thesis (Computer Science) - Wake Forest University Graduate School of Arts and
Sciences, Winston-Salem, North Carolina, 2016.

ORANGE. Signal in the noise: a cybersecurity data odyssey. Nanterre: Orange Cyberdefense,
2020.

ORGANIZAÇÃO DOS ESTADOS AMERICANOS. Revisão da capacidade de

cibersegurança: República Federativa do Brasil. Oxford: Global Cyber Security Capacity
Centre, Departamento de Informática, Universidade de Oxford, 2020.

ORJI, U. J. The African Union Convention on Cybersecurity: a regional response towards cyber
stability? Masaryk University Journal of Law and Technology, Nigeria, v. 12, n. 2, 2018.

ORYE, E; MAENNEL, O. M. Recommendations for enhancing the results of cyber effects.

11th International Conference on Cyber Conflict: Silent Battle. Tallinn: NATO CCD COE
Publications, 2019.

OTTIS, R.; LORENTS, P. Cyberspace: definition and implications. Tallinn: Cooperative Cyber
Defence Centre of Excellence, 2010.

PALME, O. Common security: a blueprint for survival. London: The Independent Commission
on Disarmament and Security Issues, 1982.

PARKER, T.; PARKER, W. Cyber warfare doctrine already exists. Proceedings Cyber
Warfare, Get Read for [Link]. 145/2/1,392. US: Naval Institute, 2019.

PEREIRA, A. E.; VIANA E SILVA, C. C. V. Processo de securitização: uma análise sistêmica

da aplicação do conceito de securitização em artigos internacionais. 11º EABCP. Curitiba, 2018.

PERNIK, P. Preparing for cyber conflict: case studies of cyber command. Report. Tallinn:
International Centre for Defence and Security, 2018.

PISSANIDIS, N.; RÕIGAS, H.; VEENENDAAL, M. 8th International Conference on Cyber

Conflict: cyber power. Estónia: NATO CCD COE Publications, 2016.

PRAGER, A. Germany’s cyber defense strategy discussed behind closed doors. [S.l.], 2019.
 180

RABINAD, M. G. La soberanía del ciberespacio: algunas reflexiones sobre el concepto de

Estado, soberanía y jurisdicción frente a la problemática que presenta. [S.l.], 2008. (Internet,
lecciones y ensayos, 85).

RASKA, M. Confronting cybersecurity challenges: Israel’s evolving cyber defence strategy.

Policy report. S. Rajaratnam School of International Studies. Nanyang Technological University.
Israel, 2015.

RATTRAY, G; HEALEY, J. Categorizing and understanding offensive cyber capabilities

and their use. National Academy of Sciences, Proceedings of a Workshop on Deterring
CyberAttacks: Informing Strategies and Developing Options for U.S. Policy, 2010. Disponível
em: [Link] Acesso em: 17 fev. 2020.

REARDON, R.; CHOUCRI, N. The role of cyberspace in international relations: a view of

the literature. ISA Annual Convention. San Diogo, 2012.

ROTBERG, R. I. Failed states, collapsed states, weak states: causes and indicators. [S.l.],
2016. Disponível em: [Link]
content/uploads/2016/07/statefailureandstateweaknessinatimeofterror_chapter.pdf. Acesso em: 7
fev. 2021.

ROCHA, A. Influência da maturidade da função sistema de informação na abordagem à

engenharia de requisitos. 2000. Tese (Doutorado) - Universidade do Minho, Braga, 2000.

ROHRIG, W.; SMEATON, R. Cyber security and cyber defense in European Union:
opportunities, synergies and challenges. Cyber Security Review, European Defense Agency,
[s.l.], Summer 2014.

ROMANOSKY, S.; BOUDREAUX, B. Private-sector attribution of cyber incidents: benefits and

risks to the U.S. government. International Journal of Intelligence and Counter Intelligence,
London, 2020. Disponível em: [Link] 10.1080/08850607.2020.1783877. Acesso em: 12 fev.
2021.

RUA, J. Manual de metodologias de investigação: como fazer propostas de investigação,

monografias, dissertações e teses. Maputo: Escolar Editora, Editores e Livreiros, 2017.

RUSSIA. Information security doctrine of the Russian Federation. [Moscow]: Security

Council of the Russian Federation, 2000. Disponível em:
[Link] Acesso em: 23 fev. 2021.

REPUBLIC OF SOUTH AFRICA. Protection of critical infrastruture bill. Government Gazette,

[s.l.], n. 39147, p. 8-12, 2015.

SANTO, J. et al. Integração entre dados quantitativos e qualitativos em uma pesquisa de métodos
mistos. Texto e Contexto: enfermagem, Florianópolis, v. 26, n. 3, 2017. Disponível em:
[Link] Acesso em: 23 jul. 2020.
 181

SANTOS, M. A natureza do espaço: técnica e tempo, razão e emoção. São Paulo: Hucitec,
1996.

SANTOS, E.; REINHARD, N. Disponibilização e uso dos serviços de governo eletrônico no

Brasil: a visão dos usuários. In: PINHO, José Antônio Gomes de (Org.). Estado, sociedade e
interações digitais: expectativas democráticas. Salvador: EDUFBA, 2012.

SCHALLBRUCH, M; SKIERKA, I. Cybersecurity in Germany. Berlin: Digital Society

Institute, ESMT, 2018.

SCHELLING, T. Arms and influence. New Haven: Yale University Press, 1961.

SCHERRER, J.; GRUND, W. A cyberspace command and control model. [S.l.], 2009.
(Maxwell paper, 47).

SCHMITT, M. N. Tallinn manual on the international law applicable to cyber warfare. UK:
Cambridge University, 2013. Disponível em: [Link]
Acesso em: 28 mar. 2020.

SCHJOLBERG, S.; GHERNAOUTI-HELIE, S. A global treaty on cybersecurity and

cybercrime. 2. ed. [S.l.], 2011.

SCOTT, K. Cyberspace operations. US, 2018. (Joint publications, 3-12).

SÊMOLA, M. Gestão da segurança da informação: uma visão executiva. Rio de Janeiro:

Campus, 2003.

SERIANU. African cyber security report. Kenya, 2018.

SHARMA, M. K. Cyber wars: a paradigm shift from means to ends. [New Delhi]: Institute for
System Studies and Analysis (I.S.S.A), Defence Research and Development Organization
(D.R.D.O), Ministry of Defence, 2018.

SHYLES, L. Deciphering cyberspace: making the most of digital communication technology.

USA: Villanova University, 2002.

SILVA, A. R. V. Segurança cibernética no mundo corporativo: uma proposta de panejamento

estratégico de segurança cibernética corporativa. Edição XXXVI Cobra-se-Prémio ABSEG.
Brasil, 2014.

SILVA, C. C. V.; BANDEIRA, K. P. Defesa cibernética no Brasil. Revista de Análise

Internacional, Curitiba, v. 1, n. 1, p. 13-27, ago./dez. 2016.

SILVA, J. Guerra cibernética: a guerra no quinto domínio, conceituação e princípios. R. Esc

Guerra Naval, Rio de Janeiro, v. 20, n. 1, p. 193-211, 2014.

SILVA, K. A parceria estratégica entre o Brasil e a União Europeia: convergências e

divergências da agenda bilateral. In: ENCONTRO NACIONAL ABRI, 3., 2011, São Paulo.
Anais [...]. São Paulo, 2011.
 182

SILVA, M. F. Cyber security vs cyber defence. Revista Cientifica sobre Cyber Law, CIJIC,
[s.l.], n. 1, 2016.

SLIMANI, M. Enhancing cyber security in Africa: new challenges for regional organizations?
ITU-ATU Workshop on Cybersecurity Strategy in African Countries Khartoum, Republic of
Sudan, July 2016.

SMEETS, M. Integrating offensive cyber capabilities: meaning, dilemmas, and assessment,

defence studies. Stanford: Stanford University Center for International Security and Cooperation,
2018. Disponível em: [Link] 10.1080/14702436.2018.1508349. Acesso em: 22 jun. 2020.

SNYDER, G. Deterrence and defense, toward a theory of national security. Princeton:

Princeton University Press, 1961.

SOUSA, F. Dicionário de relações internacionais. [S.l.]: Afrontamento, 2005. (CEPESE, 954).

SPRINGER, P. J. Encyclopedia of cyber warfare. Santa Barbara: ABC-CLIO, 2017.

SUKUMAR, A. M.; SHARMA, R. K. The cyber command: upgrading India’s National

Security Architecture. [S.l.]: Observer Research Foundation (ORF), 2016. (ORF special report, #
9).

TABANSKY, L. Towards a theory of cyber power: the Israeli experience with innovation and
strategy. In: INTERNATIONAL CONFERENCE ON CYBER CONFLICT, 8., 2016, Tallin.
Anais […]. Tallin: NATO CCDCOE, 2016.

TAPSCOTT, D. Economia digital. São Paulo: Makron Books, 1997.

TAYLOR, E. B. On a method of investigating the development of institutions; applied to laws of

marriage and descent. The Journal of Royal Anthropological Institute of Great Britain and
Ireland, [S.l.], v. 18, p. 245-272, 1889.

TELECOMUNICAÇÕES DE MOÇAMBIQUE - TDM. Relatório de contas. Maputo, 2012.

THEOPHILO, R. A história da cibernética.[S.l.], 2012. Disponível em:

http.//[Link]/internacional/[Link]. Acesso em: 8 jul. 2017.

TONETTI, C. A mídia televisiva em Moçambique e os espaços de discussão sobre desporto.

Motrivivencia, [s.l.], v. 19, n. 28, p. 154-163, 2007.

TOURÉ, H. Telecom chief warns in Geneva of 'cyberwar’. The Local Magazine, [s.l.], 2013.
Disponível em: [Link]
cyberwar. Acesso em: 18 dez. 2019.

TURNS, D. Cyber warfare and the concept of attack under international humanitarian law. In:
SAXON, D. (Ed.). International humanitarian law and the changing technology of war.
[S.l.], 2013. (International humanitarian law series, 41).

TZU, S. A arte da guerra. Lisboa: Europa-América, 2000.

 183

UE. EU concept on cyber defence for EU-led military operations and missions. Brussels: EU
Military Staff, 2016.

UK. Cyber security strategy of the United Kingdom: safety, security and resilience in cyber
space. UK: Cabinet Office of Prime Minister, 2009.

UK. The national infrastructure. UK: 2020. Disponível em: [Link]

Acesso em: 7 fev. 2020.

UK. Ministry of Defence. Cyber primer. 2nd ed. UK: Development, Concepts and Doctrine
Centre, Ministry of Defence’s cyber good practice guide to protecting yourself in cyberspace,
2016.

UK. Ministry of Defence. Joint doctrine note 1/18 cyber and electromagnetic activities. UK:
Development, Concepts and Doctrine Centre, 2018. Disponível em:
[Link] Acesso em: 8 fev. 2021.

UN GA. Combating the criminal misuse of information technologies. General Assembly:

56/121. [S.l.], 2002. Disponível em:
[Link] Acesso em: 19 jan.
2020.

UN GA. Creation of a global culture of cybersecurity and the protection of critical

information infrastructures. General Assembly: 58/199. [S.l.], 2004. Disponível em:
[Link] Acesso em: 19
jan. 2020.

UNIDIR. The United Nations, cyberspace and international peace and security: responding
the complexity in the 21st century. [S.l.], 2017. p. 29.

US. Cybersecurity capability maturity model (C2M2). Version 1.1 February 2014. US:
Department of Energy (DOE) and Department of Homeland Security (DHS), 2014. Disponível
em: [Link] infrastructure/energy-
sector-cybersecurity-0-0. Acesso em: 22 set. 2020.

US JOINT CHIEFS OF SATAFF. Cyberspace operations. [S.l.], 2018. (Joint publication, 3-

12).

VIANA E SILVA, C. C. Escola de Copenhangue: um avanço teórico. In: EUNABRI, 6., 2017,
Belo Horizonte. Anais […]. Belo Horizonte: UFP-UNINTER, 2017.

VIANA E SILVA, C. C.; PEREIRA, A. E. A Teoria de securitização e a sua aplicação em artigos

publicados em periódicos científicos. Revista de Sociologia e Política, [s.l.], v. 27, n. 69(007),
2019.

VILLA, R. D.; SANTOS, N. B. Buzan, Wæver e a Escola de Copenhague: tensões entre o

realismo e a abordagem sociológica nos estudos de segurança internacional. In: LIMA, M. C. et
al. (Ed.). Clássicos das relações internacionais. São Paulo: Hucitec, 2011.
 184

VITEL, F.; BLIDDAL, H. French cyber security and defence: an overview. Information &
Security: an international journal, [s.l.], v. 32, 2015. Disponível em:
[Link] Acesso em: 7 fev. 2020.

YARGER, H. R. Strategic theory for the 21st century: the little book on big strategy. USA:
Instituto de Estudos Estratégicos, 2013.

WAMALA, F. The ITU national cybersecurity strategy guide. Geneva, 2011.

WASSON, C. [Link] engineering analysis, design, and development: concepts, principles,

and practices. 2nd. ed. Hoboken: John Wiley & Sons, 2015. p. 3. (Wiley series in systems
engineering).

WEBER, M. M. Economy and society. New York: Bedminster: New York, 1968.

WEBSITE defacement. Trend Micro, USA, 2021. Disponível em:

[Link] Acesso em: 9 fev.
2021.

WECHSLER, O. Germany’s cyber strategy: government and military preparations for facing
cyber threats. Cyber, Intelligence, and Security, [s.l.], v. 2, n.1, 2018.

WIENER, N. Cybernetics or control and communication in the animal and the machine. 2.
ed. Cambridge: The MIT Press, 1948.

WILLIAMS, B. T. The joint force commander’s guide to cyberspace operations. [S.l.]: Brett
T. Williams, 2014.

WU, J. Formal description of cyber attacks. In: WU, J. Cyberspace mimic defense. Cahm:
Springer, 2020. p. 39-65. (Wireless networks). Disponível em:
[Link] Acesso em: 9 fev. 2021.

ZABALLOS, A. G.; JEUN, I. Best practices for critical information infrastructure

protection (CIIP): experiences from Latin America and the Caribbean and selected countries.
Washington: Inter-American Development Bank (IDB) and the Korea Internet & Security
Agency (KISA), 2016.

ZAMITH, F. Dos jornais-fax de Moçambique aos web-jornais. III Lusocom-Encontro

Lusófono de Ciências de Comunicação, Universidade do Minho, Portugal, 1999. Disponível em:
[Link] Acesso em: 9
fev. 2019.

ZERZRI, M. The threat of cyber terrorism and recommendations for countermeasures.

[S.l.]: Center for Applied Policy Research; Policy Advice and Strategy Development, 2017.
(C·A· perspectives on Tunisia, 04).

ZHUANG, R. et al. A theory of cyber attacks: a step towards analyzing MTD systems. Denver:
ACM, 2015.
 185

ZONE–H. Number of cyber attacks in Mozambique. [S.l.], 2017. Disponível em:

[Link] Acesso em: 21 ago. 2017.
 186

APÊNDICE A - ENTREVISTA SEMI-ESTRUTURADA

A: Guião
Problema de estudo: Quais são os fundamentos, as características e os desafios de uma
Estratégia de Segurança e Defesa do Espaço Cibernético “ESDEC” Moçambicano?
Objetivo: responder as questões de investigação
1. Os fundamentos do espaço cibernético internacional e as melhores práticas de Segurança
cibernética podem servir de referência para formulação da ESDEC em Moçambique?
a) Quais são as bases epistemológicas da Segurança Cibernética?
b) Porque os fundamentos doutrinários da ESDEC se consideram defensivos?
c) Quais são as melhores práticas internacionais de Segurança Cibernética e
Ciberdefesa?
d) Quais são os grandes desafios na securitização do espaço cibernético?
e) Que tipologias de conflitos ou ameaças no espaço cibernético?
f) Qual é a diferença entre a guerra eletrônica e a guerra cibernética?
g) Quais são as tecnologias e armas digitais usadas para ataques cibernéticos?
h) Como é vista a cooperação na Segurança Cibernética e Ciberdefesa?
i) Quais são os benefícios da securitização global do espaço cibernético?
2. Quais são as características do espaço cibernético Moçambicano?
a) Quais são os critérios de identificação das Infraestruturas Críticas e de Sistemas
Críticos Nacionais?
b) Indique as vulnerabilidades cibernéticos de grande risco nas ICNs.
c) Quais são os incidentes cibernéticos frequentes no espaço cibernético nacional nos
últimos três anos?
d) Que mecanismos de resiliência a contra-ataques cibernéticos?
e) Quais são as políticas de securitização do governo Moçambicano sobre securitização
do espaço cibernético?
f) Como está a legislação e a institucionalização da Segurança Cibernética em
Moçambique?
3. Quais são os parâmetros estratégicos e doutrinários para a Segurança e Defesa Cibernética
para a resolução de conflitos cibernéticos e combate a ataques cibernéticos?
a) Que tipos de conflitos as ameaças cibernéticas ocorrem em Moçambique?
 187

b) Que doutrina da ciberguerra na ciberdefesa?

c) Como os parâmetros de cibersegurança e ciberdefesa podem contribuir na formulação
da Estratégia de Moçambique sobre Segurança e Defesa do ciberespaço?
d) Em Moçambique pode-se falar da soberania do Estado no Espaço Cibernético?
4. Como são geridos os processos de maturidade dos desafios políticos, legais, tecnológicos
e orçamentários da ENSDEC?

a) Moçambique possui políticas de segurança do ciberespaço?

b) Quais são os processos de maturidade do espaço cibernético nacional?

c) Que enquadramento técnico – cientifico e operacional no espaço cibernético nacional?

d) Nos programas de ensino e pesquisa está incorporada a problemática de

cibersegurança?

e) Quais são os desafios orçamentários para ESCD de Moçambique?

Abrangência local: (MCTESTP, MTC, ME, MIE, MOPH, AR, IES, FDS)

B: Guião
1. O uso crescente das novas tecnologias como a big data, a computação em nuvem e com
massificação da Internet, surgem novas ameaças no ciberespaço. A dinâmica e a
complexidade do ciberespaço exigem melhores práticas de proteção e mitigação dos
ciberataques/ameaças cibernéticas das infraestruturas estratégicas e dos sistemas de
comunicação e informação das forças de defesa e segurança. Exige-se a capacitação
institucional, técnica e de definição de estratégia da defesa cibernética. Que estratégias as
forças de Defesa e Segurança de Moçambique desenvolvem para a defesa do ciberespaço?
2. São evidentes as vulnerabilidades das comunicações e as subsequentes desvantagem das
forças armadas no campo de batalha. Quais são as soluções a curto prazo?
3. O comando cibernético dentro das suas responsabilidades pode ajudar a resolver a
problemática das vulnerabilidades das comunicações, sistemas de comando e controle,
sistemas de vigilância marítima e aérea, combate a drones e sistemas eletrônicos do
inimigo. Até quando se pensa a criação de comandos cibernéticos nas forças armadas?
 188

4. A política de ciberdefesa poderia ajudar na formulação de conceitos doutrinários da

guerra cibernética em Moçambique. Quais são as dificuldades que a cúpula militar tem na
criação de política e doutrina militar cibernéticas?
5. Quando se fala da guerra cibernética é o mesmo que a guerra eletrônica?
Abrangência local: (MCTESTP, IESM, FDS)
Guião C
A problemática de cibersegurança e as ações de ciberdefesa nas universidades
1) Infraestruturas críticas e vulnerabilidades;
2) Tipologias de ciberameaças;
3) Técnicas de ciberataques;
4) Ações e mecanismos de ciberdefesa;
5) Modelos estratégicos e políticas de cibersegurança;
6) Programas de cursos sobre cibersegurança e ciberdefesa.
Questões:
1. Como uma instituição acadêmica, quais são as grandes preocupações na área de segurança
e defesa cibernética?
2. A instituição possui modelo de política de cibersegurança?
3. Quais são os critérios de identificação das Infraestruturas Críticas e de Sistemas Críticos?
4. Quais são os incidentes de ataques cibernéticos frequentes de grande vulto na instituição?
5. Quais são os mecanismos de resiliência a ataques cibernéticos?
6. Nos programas de ensino e pesquisa está incorporada a problemática de cibersegurança?
7. Quais são os desafios da securitização do ciberespaço na academia?
8. A instituição tem parcerias com outras entidades ou academias na área de segurança e
defesa cibernética?
Abrangência local: (MCTESTP, Universidades)
 189

APÊNDICE B - ESTRUTURA INSTITUCIONAL DE CIBERSEGURANÇA

LEGENDA
CNSC MCTES INAGE CCS MD MINT MTC
CONSELHO NACIONAL MINISTERIO DE INSTITUTO CENTRO DE MINISTERIO DA MINISTERIO DO MINISTERIO DE
DE SEGURANÇA
CIENCIA, NACIONAL DE CIBERSEGURANÇA DEFESA INTERIOR TRANSPORTE E
CIBERNETICA
TECNOLOGIA E GOVERNO COMUNICAÇOES
ENSINO ELECTRONICO
SUPERIOR
MJ MRE MS ONG EMG CGP INCM

MINISTERIO DA MINISTERIO DE MINISTERIO DA ORGANIZAÇÕES NÃO ESTADO MAIOR COMANDO INSTITUTO NACIONAL DAS
JUVENTUDE RECURSOS E SAUDE GOVERNAMENTAIS GENERAL GERAL DA COMUNICAÇÕES DE
ENERGIA POLICIA MOÇAMBIQUE
 190

ANEXO A - LEI DAS TRANSAÇÕES ELETRÔNICAS

CAPÍTULO I - Disposições Gerais

Artigo 1 - (Objeto): A presente Lei estabelece os princípios, normas gerais e o regime jurídico
das Transações electrónicas em geral, do comércio electrónico e do governo electrónico em
particular, visando garantir a proteção e utilização das tecnologias de informação e comunicação.
Artigo 2 - (Âmbito): A presente Lei aplica-se às pessoas singulares, coletivas públicas ou
privadas que apliquem tecnologias de informação e comunicação, nas suas atividades,
nomeadamente, transações electrónicas ou comerciais e governo electrónico.
Artigo 3 - (Definições): Para efeitos da presente Lei, as definições dos termos e os acrónimos
constam do glossário em anexo, o qual é parte integrante da mesma.
Artigo 4 - (Objetivos):
1. São objetivos da presente Lei:
a) regular e disciplinar as atividades no âmbito das transações electrónicas;
b) estabelecer um ordenamento jurídico em que o comércio electrónico, as mensagens de
dados, comunicações electrónicas e serviços do governo electrónico se processem com a
necessária celeridade e segurança jurídica;
c) estabelecer o regime sancionatório das infracções cibernéticas garantindo a proteção
do consumidor;
d) aumentar a confiança do cidadão na utilização das transações electrónicas como meio
de comunicação, de prestação de serviços e de consumo em massa;
e) promover e disponibilizar as redes e serviços de tecnologias de informação e
comunicação;
f) proteger os interesses dos diferentes intervenientes do setor, em particular dos
consumidores;
g) promover o investimento público e privado no setor das tecnologias de informação e
comunicação e Internet;
h) promover o acesso ao serviço do governo electrónico;
i) garantir a interoperabilidade e interligação dos serviços de governo Electrónico;
j) promover a inovação e o desenvolvimento tecnológico.
 191

2. Os objetivos referidos no número anterior são prosseguidos pelas entidades que, nos termos da
legislação aplicável, têm responsabilidades sobre cada um dos domínios identificados.
CAPÍTULO II - Nome e Registo de Domínio
Artigo 5 - (Atribuição e gestão de nomes de domínio)
1. Compete a Entidade Reguladora de Tecnologias de Informação e Comunicação a atribuição
e a gestão de nomes de domínios.
2. A responsabilidade pelo domínio “.mz” e qualquer subdomínio com ele relacionado é da
Entidade Reguladora de Tecnologias de Informação e Comunicação.
3. A Entidade Reguladora de Tecnologias de Informação e Comunicação pode delegar, com
reservas, mediante fundamentação, os aspectos técnicos do processo de registo e de gestão do
domínio “.mz” a outras entidades, de comprovada e reconhecida capacidade técnico-científica no
registo e gestão de domínios.
Artigo 6 - (Registo de nome no domínio “.mz”)
1. O domínio reconhecido de espaço Internet tutelado pela República de Moçambique é o
domínio “.mz”.
2. Todas as pessoas singulares ou coletivas com domicílio na República Moçambique podem
solicitar, a entidade reguladora competente, o registo de um nome no domínio “.mz”.
3. A atribuição do nome no domínio é processada por ordem cronológica da recepção do
pedido.
Artigo 7 - (Registo de domínio “ .mz”)
1. Todo o interessado em registar um nome de domínio é livre de escolher o termo ou termos a
adoptar, exceto se o termo escolhido tiver sido reservado.
2. O requerente do nome de domínio deve respeitar, as regras estabelecidas pela Entidade
Reguladora de Tecnologias de Informação e Comunicação.
3. A atribuição e a manutenção do nome de um domínio estão sujeitas ao pagamento de taxas
estabelecidas pela Entidade Reguladora de Tecnologias de Informação e Comunicação.
4. A Entidade Reguladora de Tecnologias de Informação e Comunicação ou a quem este
delegar, pode, oficiosamente, bloquear ou retirar um nome de domínio “.mz” nos termos a
regulamentar.
Artigo 8 - (Taxas regulatórias)
 192

São aplicáveis às entidades licenciadas ao abrigo da presente Lei, as seguintes taxas

regulatórias:
a) taxa de licenciamento do uso do domínio ".mz";
b) taxa anual de utilização do domínio “.mz”;
c) outras taxas a serem fixadas pelo Conselho de Ministros.
Artigo 9 - (Uso fraudulento do nome de domínio)
1. O uso fraudulento do nome de domínio ou de nome de domínio semelhante, ou outro
susceptível de criar confusão ou equívocos, com a intenção de tirar benefício ou beneficiar a
terceiros, é punido nos termos da lei que regula o direito de propriedade intelectual ou dos
direitos do autor e demais legislação aplicável.
2. É responsável pelo uso indevido, aquele que utilizar como nome de domínio, nome de uma
pessoa singular ou coletiva, ou um nome que seja protegido como um direito de propriedade
intelectual.
CAPÍTULO III - Provedor de Serviços
SECÇÃO I - Provedor primário de serviços
Artigo 10 - (Provedor primário de serviços)
1. São provedores primários de serviços, as instituições públicas governamentais ou delegadas
pela Entidade Reguladora das Tecnologias de Informação e Comunicação que enviam, recebem
ou armazenam dados institucionais, coletivos ou individuais.
2. Os provedores primários de serviços podem delegar as suas competências a terceiros,
concessionar as suas atribuições e competências a provedores intermediários de serviços desde
que:
a) a atividade da entidade delegada obedeça a lei e as regras fixadas pela entidade
delegante;
b) a entidade delegada preste os seus serviços em nome próprio e responde, nos termos
da lei.
Artigo 11 - (Entidade Reguladora)
1. A Entidade Reguladora é uma instituição pública dotada de personalidade jurídica, autonomia
administrativa e desempenha as suas funções em conformidade com a presente Lei, respectivo
estatuto orgânico e demais legislação aplicável.
 193

2. O Instituto Nacional de Tecnologias de Informação e Comunicação (INTIC) é a Entidade

Reguladora no âmbito da presente Lei.
3. A organização e funcionamento do Instituto Nacional de Tecnologias de Informação e
Comunicação são regulados pelo Estatuto Orgânico aprovado pelo Conselho de Ministros.
Artigo 12 - (Competências da entidade reguladora)
1. Compete a Entidade Reguladora:
a) garantir o respeito e cumprimento da lei e os respectivos regulamentos;
b) apresentar proposta de regulamentos e outros diplomas de implementação da presente
Lei, dentro dos limites da lei;
c) desempenhar as funções de regulação, supervisão e fiscalização;
d) assegurar a implementação do quadro de interoperabilidade do governo electrónico;
e) aplicar sanções decorrentes do incumprimento da presente Lei e demais legislação
aplicável;
f) divulgar e promover a aplicação das transações electrónicas, do comércio electrónico e
do governo electrónico;
g) licenciar os provedores intermediários de serviço;
h) emitir, modificar, renovar, suspender ou cancelar as licenças e registos estabelecidos
na presente Lei;
i) assegurar a gestão do domínio “.mz”;
j) assegurar a implementação e funcionamento do sistema de certificação electrónica do
Estado;
k) proteger o consumidor no âmbito das transações electrónicas, do comércio electrónico
e do governo electrónico;
l) criar mecanismos de proteção da indústria e serviços nacionais de tecnologias de
informação e comunicação;
m) emitir parecer sobre o licenciamento comercial das organizações comerciais na área
das tecnologias de informação e comunicação;
n) proceder à cobrança das taxas e multas;
o) propor ao Conselho de Ministros a atualização das taxas.
2. Exercer outras atribuições definidas no Estatuto Orgânico.
 194

SECÇÃO II - Provedor intermediário de serviços

Artigo 13 - (Provedor intermediário de serviços)
1. O provedor intermediário de serviços exerce as suas atividades mediante atribuição de uma
licença.
2. O licenciamento para o exercício das atividades de provedor intermediário de serviços é da
competência da entidade reguladora.
Artigo 14 - (Responsabilidade do provedor intermediário como emissor de serviços)
1. O provedor intermediário de serviços é responsável por garantir o acesso e assegurar a
comunicação de informação transmitida pelos utilizadores a ele vinculados, através de uma rede
ou sistema de comunicação.
2. O fornecimento do acesso e de transmissão da informação emitida pelos utilizadores referidos
no número 1 do presente artigo, incluem o armazenamento automático, intermediário e
passageiro de informação transmitida numa rede de comunicação de dados, até ao termo do
período definido para a sua transmissão.
3. Sem prejuízo do acima disposto, o provedor intermediário deve manter em sigilo e confidência
todas as comunicações de informação transmitidas pelos utilizadores a si vinculados, não
podendo divulgar, fornecer ou utilizar em prejuízo dos utilizadores.
4. O provedor intermédio pode, mediante decisão judicial ou decisão administrativa, devidamente
fundamentada, fornece comunicações de informações que tenham conteúdo criminoso ou que
atentem contra a segurança do Estado.
Artigo 15 - (Responsabilidade do provedor intermediário como receptor de serviços)
O provedor intermediário de serviços é responsável por garantir o acesso e assegurar a
comunicação de informação recebida, destinada aos utilizadores a ele vinculados, através de uma
rede ou sistema de comunicação de dados.
Artigo 16 - (Recepção e emissão de informação)
O provedor intermediário de serviços deve:
a) manter a integridade da informação que recebe e transmitir na sua qualidade de provedor
intermediário;
b) abster-se de utilizar ou passar para terceiros dados ou informação enviada ou destinada
aos utilizadores a ele vinculados, salvo por decisão judicial;
c) evitar a remoção ou desativação do acesso à informação armazenada;
 195

d) responder pelos danos e prejuízos causados aos utilizadores, no âmbito do dever de sigilo
e proteção de dados e informações destes.
Artigo 17 - (Armazenamento de informação)
1. O provedor intermediário de serviços é responsável pelo armazenamento de informação para
os utilizadores ou destes para outros a ele vinculados, sem prejuízo do dever de proteção e sigilo
a que está adstrito.
2. O disposto no número anterior não se aplica aos casos em que o receptor do serviço age sob
ordem legal da autoridade competente do provedor.
3. O disposto no presente artigo não afeta as decisões judiciais ou de autoridade administrativa
competente.
Artigo 18 - (Monitoria de informação)
1. O provedor intermediário de serviços não está sujeito à obrigação geral de monitorar a
informação que transmita ou armazene, nem de procurar fatos ou circunstâncias indicativas de
atividade ilegal.
2. Sem prejuízo do disposto no número 1, o provedor intermediário de serviços deve colaborar,
no sentido de:
a) informar às autoridades públicas competentes das atividades ilegais detectadas;
b) apresentar às autoridades competentes, a pedido destas, informação que permita a
identificação de receptores de serviços que tenham contratos de armazenagem;
c) obter e manter dados que permitam a identificação dos provedores de serviço que
contribuíram para a criação de conteúdos integrados em serviços por si prestados a
terceiros;
d) identificar os utilizadores que transmitem ou armazenem dados com conteúdo
ofensivo, usando o serviço de comunicação com remetente não identificado;
e) agir de imediato, sem quaisquer outras formalidades, perante denúncia, queixa ou
informação de furto, roubo, perda ou desaparecimento de meios eletrônicos feitos pelo
utilizador com o objetivo de recuperar ou impedir ou seu uso ilícito.
3. Para efeitos do disposto na alínea e) do número anterior, o utilizador é obrigado a informar o
provedor intermediário de serviço sobre furto, o roubo, a perda ou desaparecimento de meios
eletrônicos na sua posse e uso.
Artigo 19 - (Registo de identificação do utilizador)
 196

Os provedores intermediários devem registar e identificar os seus utilizadores, nos termos a

regulamentar.
CAPÍTULO IV - Mensagens de Dados e Comunicações Electrónicas
SECÇÃO I - Aplicação de requisitos legais às mensagens de dados
Artigo 20 - (Reconhecimento legal de mensagens de dados)
A mensagem de dados ou informação no formato electrónico tem o mesmo efeito jurídico que o
da mensagem de dados ou informação no formato físico, desde que satisfaça os requisitos e
formalidades legais estabelecidos para documentos em formato físico.
Artigo 21 - (Mensagem escrita)
Sempre que a lei exigir que seja apresentada uma informação, esta pode ser apresentada no
formato eletrônico, desde que seja transitada imediatamente para o formato físico.
Artigo 22 - (Assinatura eletrônica)
1. Sempre que a lei exigir um documento assinado, este pode ser apresentado no formato físico,
ou em formato eletrônico.
2. Se no documento em formato electrónico faltar a assinatura, esta pode ser aposta obedecendo
cumulativamente os seguintes requisitos:
a) quando a assinatura identificar a pessoa que emitiu o referido documento e indicar sua a
aprovação para a informação contida na mensagem eletrônica;
b) quando o método seja fiável e apropriado para o fim para o qual a mensagem foi gerada
ou comunicada, tomando em consideração todas as circunstâncias do caso, incluindo
acordo das partes a respeito.
3. As assinaturas electrónicas são objeto de certificação de autenticidade pela autoridade
competente, de modo a garantir segurança e certeza nas transações.
Artigo 23 - (Original)
1. Sempre que a lei exigir que uma certa informação seja apresentada ou conservada na sua forma
original, esta deve conter:
a) garantia fidedigna de que se preservou a integridade da informação desde o momento da
sua geração em sua forma final, como uma mensagem electrónica ou de outra forma;
b) informação acessível para a pessoa a quem deve ser apresentada, caso se requeira a sua
apresentação.
 197

2. Aplica-se o disposto no número 1 do presente artigo, se o requisito nele mencionado estiver

expresso na forma de uma obrigação ou se a lei prever consequências para o caso em que a
informação não seja apresentada ou conservada em sua forma original.
3. Para o efeito do disposto na alínea a), do número 1 do presente artigo:
a) presume-se íntegra a informação que houver permanecido completa e inalterada, salvo a
adição de qualquer endosso das partes ou outra mudança que ocorra no curso normal da
comunicação, armazenamento e exposição;
b) o grau de confiabilidade requerido é determinado à luz dos fins para os quais a
informação foi gerada, assim como de todas as circunstâncias do caso.
Artigo 24 - (Admissibilidade e força probatória das mensagens de dados)
1. As mensagens de dados fazem prova em juízo, não podendo ser recusadas nas seguintes
circunstâncias:
a) com fundamento no fato de ser uma mensagem eletrônica;
b) pela simples razão de não terem sido apresentadas na sua forma original;
c) sempre que tais mensagens sejam a melhor prova que se possa esperar da pessoa que as
apresente.
2. Toda a informação apresentada sob a forma de mensagem electrónica goza de força probatória.
3. Na avaliação da força probatória de uma mensagem eletrônica, a sua fiabilidade afere-se:
a) pela forma como foi gerada, armazenada, emitida, transmitida e recebida;
b) pela forma como foi conservada a integridade da informação;
c) pela identificação do remetente e qualquer outro fator pertinente.
Artigo 25 - (Conservação de mensagens de dados)
1. Sempre que a lei exigir que determinado documento, registo ou informação seja conservado,
este deve obedecer as seguintes condições:
a) que a informação contida na mensagem eletrônica seja acessível para consulta posterior;
b) que a informação contida na mensagem eletrônica seja conservada no formato no qual
tenha sido gerada, emitida, transmitida e recebida, ou num formato que se possa
demonstrar que representa exatamente a informação gerada, emitida, transmitida e
recebida;
c) que toda a informação permita determinar a origem, o destino, a data e a hora em que as
mensagens foram enviadas ou recebidas.
 198

2. A obrigação de conservar documentos, registos ou informações, previstas no número 1 do

presente artigo, não é aplicável àqueles dados que tenham por única finalidade facilitar o envio
ou a recepção da mensagem.
3. Qualquer pessoa pode recorrer aos serviços de terceiros para responder aos requisitos
mencionados no número 1 do presente artigo, desde que obedeçam às condições enunciadas nas
alíneas a), b) e c) do número 1 do presente artigo.
SECCÃO II - Comunicação de mensagens de dados
Artigo 26 - (Formação e validade de contratos)
1. Salvo disposição em contrário, das partes, na formação de um contrato, a oferta e sua aceitação
podem ser expressas por mensagens electrónicas, sendo para todos efeitos válido e eficaz.
2. O disposto no número 1 do presente artigo não se aplica quando a lei exija assinatura
electrónica das partes e intervenção notarial ou outro mecanismo para a validade e eficácia do
contrato.
Artigo 27 - (Presunção do reconhecimento da mensagem de dados)
Nas relações entre o remetente e o destinatário de uma mensagem eletrônica, não se nega
validade ou eficácia a uma declaração de vontade ou outra declaração pelo fato da declaração ter
sido feita por uma mensagem electrónica.
Artigo 28 - (Autoria da mensagem de dados)
1. Uma mensagem eletrônica provém do remetente quando tenha sido enviada pelo próprio
remetente.
2. Nas relações entre o remetente e o destinatário, uma mensagem eletrônica considera-se
proveniente do remetente se ela foi enviada:
a) por uma pessoa autorizada a agir em nome do remetente no tocante àquela mensagem
eletrônica;
b) por um sistema de informação programado por, ou em nome do remetente, para operar
automaticamente.
3. Nas relações entre o remetente e o destinatário, presume-se que a mensagem eletrônica
pertence ao remetente em qualquer das seguintes condições:
a) se o destinatário houver aplicado corretamente um procedimento previamente aceite pelo
remetente a fim de verificar se a mensagem eletrônica provém do remetente;
 199

b) se a mensagem electrónica recebida pelo destinatário houver resultado de atos de uma

pessoa cujas relações com o remetente ou com qualquer agente do remetente pelo
remetente para identificar a mensagem electrónica como sendo sua.
4. O previsto no número anterior, não se aplica:
a) a partir do momento em que o destinatário recebe a notificação do autor indicando que a
mensagem de dados não lhe pertence, caso tenha um período de tempo definido para agir
nesses termos;
b) em qualquer altura em que o destinatário sabia ou deveria ter sabido, se tivesse tido
cuidado ou utilizado um procedimento acordado, que a mensagem de dados não era do
autor.
5. Sempre que uma mensagem eletrônica provenha do remetente ou se considere proveniente do
remetente, ou sempre que o destinatário tenha direito a agir com base nessa presunção, o
destinatário pode, em suas relações com o remetente, considerar que a mensagem eletrônica
recebida corresponde àquela que o remetente pretendeu enviar, e a agir de acordo.
6. O destinatário não goza deste direito quando souber ou devesse saber, e tiver agido com a
devida diligência ou empregado o procedimento pactuado, que a transmissão causou algum erro
na mensagem eletrônica recebida.
7. O destinatário pode considerar cada mensagem eletrônica recebida como distinta e a agir de
acordo, salvo na medida em que ela duplique uma outra mensagem eletrônica e o destinatário
saiba ou devesse saber, e tivesse agido com a devida diligência ou empregado o procedimento
pactuado da mensagem duplicada.
Artigo 29 - (Domicílio das partes)
1. O domicílio das partes deve ser o indicado no ato do registo junto da entidade reguladora.
2. No caso de existência de diversos domicílios, a parte deve indicar o que considera domicílio
principal ou habitual.
3. Na falta de indicação do domicílio principal ou habitual, nos termos do número 2, considera-se
como domicílio principal ou habitual, o local de atividade comercial ou o local que tiver relação
mais próxima com o contrato ou transação, tendo em consideração as circunstâncias conhecidas
ou contempladas, antes ou no momento da conclusão do contrato ou transação.
4. No caso em que uma pessoa singular não tenha um local onde exerça a sua atividade
comercial, deve ser feita referência à residência habitual da mesma.
 200

5. Não é considerado domicílio de atividade comercial o lugar onde:

a) se localiza o equipamento e a tecnologia de apoio a um sistema de informação utilizado
por uma pessoa relativamente à formação de um contrato; ou
b) as partes podem aceder ao sistema de informação.
6. O fato de uma pessoa fazer uso de um nome de um domínio ou endereço de correio eletrônico
ligado a um país específico não cria a presunção de que o seu domicílio se encontra localizado
nesse país.
Artigo 30 - (Requisitos de informação)
O disposto na presente Lei não prejudica a legislação aplicável que requer que as partes
divulguem a sua identidade, endereço físico e/ou eletrônico ou outra informação, nem exime de
responsabilidade qualquer pessoa das consequências legais resultantes da prestação de
declarações imprecisas, incompletas ou falsas.
Artigo 31 - (Aviso de recepção)
1. Salvo acordo em contrário, das partes, no contrato que não envolve consumidores, ou se os
serviços forem entregues eletronicamente e sem atraso, o destinatário deve acusar a recepção das
mensagens de dados que lhe foram enviadas dentro de um prazo definido.
2. Sempre que o autor da mensagem estiver em desacordo com o destinatário na forma como
deve ser feito o aviso de recepção, esta pode ser efetuada através de uma comunicação eletrônica
pelo destinatário, de forma automatizada ou outra.
3. Quando o aviso de recepção não for recebido pelo autor dentro do período especificado ou
acordado, ou quando não houver um prazo expresso, pode o autor notificar o destinatário
declarando não ter sido acusada a recepção, especificando um período definido para que a mesma
seja recebida.
4. Quando o aviso de recepção não for recebido dentro do período especificado no número
anterior, após notificação ao destinatário, deve considerar o registo eletrônico.
5. Sempre que o autor da mensagem receber o aviso de recepção, significa que o registo
eletrônico foi recebido pelo destinatário, não implicando que o conteúdo do registo eletrônico
corresponda ao conteúdo do registo recebido.
6. Quando do aviso de recepção constar que o registo eletrônico relacionado cumpriu com os
requisitos técnicos, acordados ou estipulados por padrões aplicáveis, presume-se que os requisitos
foram cumpridos.
 201

[Link] no que se refira ao envio ou recepção de mensagens eletrônicas, o presente artigo não
tem por fim reger as consequências jurídicas que possam resultar tanto da própria mensagem
quanto do aviso de seu recebimento.
Artigo 32 - (Tempo, local de emissão e recepção de mensagens de dados)
1. Salvo convenção em contrário, entre o remetente e o destinatário, o envio de uma mensagem
eletrônica ocorre quando esta entra num sistema de informação alheio ao controle do remetente
ou da pessoa que enviou a mensagem eletrônica em nome do remetente.
2. Salvo convenção em contrário, entre o remetente e o destinatário, o momento de recepção de
uma mensagem eletrônica é determinado:
a) se o destinatário houver designado um sistema de informação para o propósito de
recebimento das mensagens eletrônicas, o mesmo ocorre:
a. no momento em que a mensagem eletrônica entra no sistema de informação
designado;
b. se a mensagem eletrônica é enviada para um sistema de informação do
destinatário que não seja o sistema de informação designado, no momento em que
a mensagem eletrônica é recuperada pelo destinatário.
b) se o destinatário não houver designado um sistema de informação, o recebimento ocorre
quando a mensagem eletrônica entra no sistema de informação do destinatário.
3. Aplica-se o disposto no número anterior, ainda que o sistema de informação esteja situado num
lugar distinto de onde a mensagem eletrônica se considere recebida de acordo com o número 4 do
presente artigo.
4. Uma mensagem eletrônica considera-se expedida no local onde o remetente e o destinatário
tenham seu estabelecimento, salvo convenção em contrário, entre as partes.
5. Se o remetente ou o destinatário têm mais de que um estabelecimento, considera-se que o seu
estabelecimento é aquele que guarda a relação mais estreita com a transação subjacente ou, caso
não exista uma transação subjacente, o seu estabelecimento principal.
6. Se o remetente ou o destinatário não possuam estabelecimento, levar-se-á em conta a sua
residência habitual.
CAPÍTULO V - Comércio Eletrônico
SECÇÃO I - Contratos
Artigo 33 - (Formação e execução do contrato)
 202

1. Quem negocia com outro para conclusão de um contrato deve, tanto nos atos preparatórios,
bem como na celebração deste, proceder segundo as regras de boa-fé, sob pena de responder
pelos danos que culposamente possa causar a outra parte.
2. Salvo acordo em contrário entre as partes, o vendedor deve entregar o bem ou prestar o serviço
até 30 dias, a contar do dia seguinte àquele em que o comprador o transmitiu.
3. Quando o vendedor não entrega o bem ou não cumprir com o serviço dentro de 30 dias ou
dentro do período acordado, o comprador pode rescindir o contrato por escrito, com um aviso
prévio de 7 dias, mediante reembolso dos pagamentos pelo contrato dentro de 30 dias a contar da
referida notificação.
4. Em caso de incumprimento do contrato pelo vendedor, devido a indisponibilidade do bem ou
serviço encomendado, deve informar o fato ao comprador e reembolsar o montante que tenha
pago, no prazo máximo de 30 dias a contar da data do conhecimento daquela indisponibilidade.
Artigo 34 - (Validade da proposta contratual)
A proposta contratual efetuada através de uma ou mais comunicações eletrônicas, que não seja
endereçada a uma ou mais pessoas específicas, mas que é acessível aos usuários dos sistemas de
informação, que inclui propostas que utilizam aplicação interativa, para o pedido de encomendas
através dos referidos sistemas, é considerada válida, salvo se a intenção do proponente for a de se
vincular no caso de aceitação da proposta.
Artigo 35 - (Utilização de sistemas de mensagens automatizadas para a formação de
contratos)
Um contrato formado através da interação de um sistema automatizado de mensagens e uma
pessoa ou através da interação de sistemas automatizados de mensagens, produz os efeitos das
mensagens de dados nos termos da presente Lei, mesmo que nenhuma pessoa tenha verificado ou
intervindo em cada uma das ações individuais executadas pelos sistemas automatizados de
mensagens ou no contrato daí resultante.
Artigo 36 - (Negociação de termos contratuais)
Sem prejuízo do disposto na presente Lei, as partes podem negociar os termos do contrato através
da troca de comunicação eletrônica que disponibilizem informação que contenha os termos
contratuais de forma objetiva.
Artigo 37 - (Erro nas comunicações eletrônicas)
 203

1. Sempre que uma pessoa singular, em seu nome ou em representação de outrem, cometer um
erro de introdução numa comunicação eletrônica trocada através de um sistema de mensagem
automatizado de outra parte, e o sistema de mensagem automatizado não fornecer à pessoa a
oportunidade de corrigir o erro, tem o direito de retirar a parte da comunicação eletrônica na qual
o erro de introdução foi cometido, se a pessoa singular ou o seu representado:
a) notificar a parte contrária do erro dentro de 24 horas, após ter tomado conhecimento do
mesmo, indicando que cometeu um erro na comunicação eletrônica;
b) não tiver utilizado ou recebido qualquer benefício ou valor material dos bens e ou
serviços, eventualmente, recebidos e ou prestados pela parte contrária.
2. O disposto no presente artigo não prejudica a aplicação de qualquer outra disposição legal que
disponha sobre as consequências de um erro na declaração e que não esteja expressamente
prevista.
Subsecção I - Contratos de transporte de bens
Artigo 38 - (Ações relacionadas com contratos de transporte de bens)
Sem prejuízo dos demais requisitos previstos na presente Lei e legislação específica, os atos que
guardem relação com um contrato de transporte de mercadorias, ou com o seu cumprimento,
devem tomar-se em conta:
a) indicação de marca, número, quantidade ou peso da mercadoria;
b) declaração da natureza ou valor da mercadoria;
c) emissão de recibo da mercadoria;
d) confirmação do carregamento da mercadoria;
e) notificação dos termos e condições do contrato;
f) fornecimento de instruções ao transportador;
g) reclamação da entrega da mercadoria;
h) autorização para proceder à entrega da mercadoria;
i) notificação de avaria ou perda da mercadoria;
j) fornecimento de qualquer outra informação relativa ao cumprimento do contrato;
k) promessa de efetuar a entrega da mercadoria à pessoa designada ou à pessoa autorizada a
reclamar a entrega;
l) concessão, aquisição, desistência, restituição, transferência ou negociação de direitos
sobre a mercadoria;
 204

m) aquisição ou transferência de direitos e obrigações derivados do contrato.

Artigo 39 - (Documentos de transporte)
1. Com reserva do disposto no número 3 do presente artigo, quando a Lei requerer que qualquer
dos atos enunciados no artigo 35 se realize por escrito ou por meio de um documento impresso,
considera-se satisfeito o requisito se o ato tiver sido consumado por meio de uma ou mais
mensagens eletrônicas.
2. Aplica-se o número 1 quando o requisito previsto estiver expresso em forma de uma obrigação
por escrito ou por meio de um documento impresso.
3. Quando se conceda algum direito a uma pessoa determinada e a nenhuma outra, ou quando
esta adquira alguma obrigação, e a lei requeira que, para que o ato surta efeito, o direito ou a
obrigação tenham de transferir-se a essa é pessoa mediante o envio ou a utilização de um
documento impresso, este requisito fica satisfeito se o direito ou obrigação se transfere pelo uso
de uma ou mais mensagens eletrônicas, sempre que se empregue um método confiável para
garantir a singularidade das ditas mensagens electrónicas.
4. Para efeitos do número anterior, o grau de fiabilidade requerido é determinado pelos fins para
os quais os direitos ou obrigações foram transferidos, e levando em consideração todas as
circunstâncias do caso.
[Link] uma ou mais mensagens eletrônicas forem utilizadas para efetuar qualquer dos atos
enunciados nas alíneas l) e m) do artigo 38, não é válido nenhum documento impresso utilizado
para efetivar quaisquer atos exceto quando o uso de mensagens eletrônicas seja interrompido e
substituído pelo uso de documentos impressos.
6. Todo o documento impresso e emitido nas circunstâncias descritas no número anterior do
presente artigo, deve conter uma declaração sobre a referida substituição.
7. A substituição das mensagens eletrônicas por documentos impressos não afeta os direitos e
obrigações das partes envolvidas.
8. As normas jurídicas aplicáveis compulsivamente aos contratos de transporte de mercadorias
que constem de um documento impresso, estendem-se às mensagens eletrônicas.
Sub-SeçãoII - Publicidade e marketing eletrônicos
Artigo 40 - (Publicidade e marketing eletrônicos)
1. Sem prejuízo do disposto nos números seguintes, aplicam-se as regras do Código da
Publicidade.
 205

2. A publicidade e o marketing eletrônico devem ser identificáveis no que se refere à atividade

comercial em representação da qual a publicidade ou marketing são conduzidos.
3. A utilização de sistemas automatizados de chamadas sem intervenção humana,
designadamente de máquinas automáticas, máquinas de fax ou correio eletrônico, para efeitos de
marketing direto, só pode ocorrer com consentimento prévio dos subscritores.
4. Com a exceção das circunstâncias referidas no número seguinte, a pessoa não deve transmitir,
nem promover a transmissão de comunicações não solicitadas para efeitos de marketing direto
através de correio eletrônico, salvo se o receptor do correio eletrônico notificar previamente o
remetente e obter o seu consentimento durante o período que as referidas comunicações forem
enviadas ou por sua instigação.
5. Qualquer pessoa pode enviar ou promover o envio de correio eletrônico para efeitos de
marketing direto, quando:
a) tiver obtido os detalhes de contato do receptor do referido correio eletrônico no decurso
da venda ou negociações para a venda de um produto ou serviço ao receptor;
b) o marketing direto respeitar os produtos ou serviços semelhantes aos da referida pessoa;
c) no momento em que os dados inicialmente recolhidos, tiver sido oferecido ao receptor por
meio de recusa, para a utilização dos seus elementos de contato para efeitos do referido
marketing direto, e, este não tiver recusado a sua utilização;
d) o receptor não tiver recusado o uso dos seus dados em qualquer comunicação
subsequente.
6. Qualquer comunicação comercial com base em mensagem de dados deve ser fornecida, isenta
de custos, ao referido receptor com:
a) a opção de cancelar a sua subscrição à lista de correio da pessoa em causa através do
correio eletrônico;
b) os detalhes da identidade da fonte da qual obteve a informação pessoal do consumidor.
7. É proibido o envio de mensagens de dados para efeitos de marketing direto com disfarce ou
ocultação da identidade do remetente na representação da comunicação efetuada, ou sem um
endereço válido para o qual o receptor possa enviar um pedido de cessação da comunicação em
causa.
8. Nenhum acordo pode ser considerado concluído quando uma pessoa não responda a uma
comunicação não solicitada.
 206

9. Todo aquele que efetuar comunicação por mensagem de dados para efeitos de marketing
direto, deve consultar regularmente e respeitar os registos de opção negativa através do qual a
pessoa que não desejar receber a comunicação comercial em causa se pode registar.
SECÇÃO II - Segurança de instrumento de pagamento eletrônico
Artigo 41 - (Uso de instrumento de pagamento eletrônico)
1. Sem prejuízo de legislação especial, o Banco de Moçambique deve emitir normas que
estabeleçam garantias de segurança de todos os pagamentos efetuados por qualquer outro
portador que utilizar um instrumento de pagamento eletrônico.
2. A entidade que pretender emitir instrumento de pagamento eletrônico deve solicitar
autorização ao Banco de Moçambique nos termos de legislação aplicável.
3. Para além das normas emitidas pelo Banco de Moçambique, o processamento de dados para
instituições de crédito ou sociedades financeiras deve estar em conformidade com a legislação
fiscal aplicável.
4. O processamento de dados para as instituições de crédito e sociedades financeiras rege-se por
normas específicas emitidas pelo Banco de Moçambique.
Artigo 42 - (Responsabilidade dos emissores)
Os emissores de instrumentos de pagamento eletrônico devem garantir que sejam tomadas
medidas apropriadas para permitir à portadora:
a) solicitar o cancelamento da transação e/ou instrumento de pagamento quando tiver
ocorrido utilização fraudulenta do seu instrumento de pagamento eletrônico;
b) ser reembolsado dos valores pagos, exceto quando o portador tiver agido com negligência
grave na eventualidade de utilização fraudulenta.
CAPÍTULO VI - Proteção do Consumidor
Artigo 43 - (Defesa do consumidor)
Sem prejuízo do disposto na legislação geral de defesa do consumidor, à proteção do consumidor
aplicam-se as disposições dos artigos seguintes.
Artigo 44 - (Obrigação de informar o consumidor)
1. Os contratos relativos ao comércio eletrônico celebrados entre empresas comerciais e os
consumidores devem fornecer informação suficiente, precisa, clara e de acesso fácil para permitir
a identificação das partes contratantes, nomeadamente:
a) a designação da firma sob a qual a atividade da empresa comercial é desenvolvida;
 207

b) o principal endereço físico para o exercício da atividade, endereço de página de Internet,

endereço de correio eletrônico, número de telefone ou outra forma de contato;
c) se uma das partes contratantes for uma entidade legal, o seu número de registo, os nomes
dos seus representantes e o local de registo;
d) um endereço para efeitos de registo e qualquer registo governamental relevante ou
números de licenças;
e) associação a quaisquer órgãos auto reguladores de acreditação ao qual o negócio pertença
ou subscreva e os detalhes de contato do referido órgão;
f) qualquer código de conduta subscrito pela empresa comercial e a forma como o mesmo
pode ser acedido eletronicamente pelo consumidor.
2. Os contratos relativos ao comércio eletrônico celebrados com consumidores devem fornecer
informação suficientemente, precisa e de acesso fácil, descrevendo os bens ou serviços
oferecidos, para permitir aos consumidores tomar decisão informada antes de realizar a transação,
permitindo manter um registo adequado da informação.
3. Os contratos eletrônicos devem fornecer informação suficiente quanto aos termos, condições e
custos associados a transação para permitir aos consumidores tomarem decisão informada antes
de realizar a transação.
4. Sempre que se julgar necessário, a informação referida no número anterior, deve incluir:
a) o preço total dos bens ou serviços, custos de transporte, impostos, taxas e outros;
b) os termos, condições e métodos de pagamento;
c) quaisquer termos de contrato, garantias que são aplicáveis à transação e a forma como são
acedidos, armazenados ou reproduzidos eletronicamente pelos consumidores;
d) o momento em que os bens são enviados ou entregues ou em que os serviços são
prestados;
e) a forma e período que os consumidores podem aceder e manter um registo completo da
transação;
f) a política de devolução, troca, reembolso e reclamação;
g) qualquer instrumento de resolução de disputas alternativa no qual o empresário comercial
é subscritor e a forma como a redação do referido código pode ser acedida
eletronicamente pelo consumidor;
 208

h) os procedimentos de segurança e política de privacidade a respeito do pagamento e

informação pessoal;
i) a duração mínima do contrato para o fornecimento de bens ou prestação de serviços de
execução periódica ou continuada.
5. A informação deve ser clara, precisa e de acesso fácil, sendo fornecida de forma a dar a
conhecer aos consumidores sobre:
a) a duração mínima do contrato para o fornecimento de bens ou prestação de serviços de
execução periódica ou continuada;
b) a oportunidade adequada para revisão, correção de eventuais erros e recusa na conclusão
da transação, antes de a celebrar;
c) o texto completo e claro dos termos e condições relevantes relativas à transação de forma
a permitir aos consumidores ter acesso à informação e manter um registo adequado da
mesma;
d) um aviso de recepção sem demora, conforme especificado no artigo 31 da presente Lei.
Artigo 45 - (Direito do consumidor à livre resolução)
1. Se o contrato não for celebrado nos termos do presente capítulo, o consumidor pode cancelar a
transação dentro de um período de 14 dias úteis após a recepção dos bens ou serviços.
2. Se a transação for cancelada nos termos referidos no número anterior:
a) o consumidor deve devolver o bem fornecido ou, quando se aplicar, terminar a utilização
dos serviços prestados;
b) o empresário comercial deve reembolsar todos os pagamentos efetuados pelo consumidor,
salvo o valor relativo ao custo direto da devolução dos bens.
3. O empresário comercial deve fornecer ao consumidor um mecanismo seguro de pagamento e
informação acerca do nível de segurança que o referido mecanismo confere, conforme estipulado
na presente Lei.
4. O empresário comercial é responsável por quaisquer danos sofridos pelo consumidor devido à
falta de cumprimento do disposto no presente artigo.
Artigo 46 - (Período de arrefecimento e restrições ao direito de livre cancelamento)
1. O consumidor tem o direito de cancelar a transação eletrônica ou qualquer contrato com ela
relacionado, sem obrigação de fundamentar, devendo suportar apenas o custo de devolução dos
bens, pelo fornecimento de:
 209

a) bens dentro de um período de sete dias após recepção dos bens;

b) serviços dentro de um período de sete dias após a data de conclusão do acordo.
2. Caso o pagamento dos bens ou serviços tenha sido efetuado antes do exercício do direito
referido no número anterior pelo consumidor, este tem o direito de regresso, no período máximo
de 30 dias a contar da data do cancelamento.
3. O presente artigo não se aplica a uma transação eletrônica:
a) para serviços financeiros, incluindo, de forma não limitativa, serviços de investimento,
operações de seguros e resseguros, serviços e operações bancárias relacionadas com
transações em seguros;
b) para serviços que tenham tido início com o consentimento do consumidor antes do fim do
período de sete dias referido no presente artigo;
c) quando o preço para o fornecimento de bens ou serviços for dependente da flutuação no
mercado financeiro que não possa ser controlado pelo empresário comercial;
d) para o fornecimento de bens confeccionados de acordo com as especificações do
consumidor ou manifestamente personalizados ou que, pela sua natureza, não possam ser
devolvidos ou sejam susceptíveis de se deteriorarem ou perecerem rapidamente.
4. As disposições do presente artigo não devem ser interpretadas em prejuízo do direito do
consumidor, e das demais leis.
CAPÍTULO VII - Governo Eletrônico
Artigo 47 - (Autoridade competente)
1. Compete ao Conselho de Ministros definir as políticas, estratégias e a coordenação da
implementação de governo eletrônico.
2. O Conselho de Ministros designa a autoridade competente para a prestação de serviços de
governo eletrônico.
Artigo 48 - (Princípios básicos)
1. Os processos de atendimento e de provisão de serviços, de forma eletrônica, incluindo através
da Internet, na Administração Pública têm a mesma validade que os processos de atendimento e
de provisão de serviços tramitados manualmente, em conformidade com a presente Lei.
2. Os órgão e agentes da Administração Pública podem praticar atos administrativos com base em
processos constituídos através da aplicação das tecnologias de informação e comunicação tendo
em conta que:
 210

a) os utentes da Administração Pública podem escolher obter o serviço ou informação

usando documentos físicos ou meios eletrônicos, sempre que as duas formas coexistirem;
b) a administração Pública deve partilhar e reutilizar os dados básicos do cidadão, das
empresas e sobre a terra, recorrendo às fontes primárias de recolha e salvaguarda de
dados.
3. Para assuntos da Administração Pública, é obrigatória a troca de mensagens através de
endereços eletrônicos com a terminação “[Link]” em todas as entidades do Estado, incluindo
dirigentes, a todos os níveis e os funcionários e agentes do Estado.
4. O Conselho de Ministros regula a implementação da obrigatoriedade do uso de endereço
eletrônico com terminação “[Link]” na troca de mensagens entre as entidades do Estado.
5. Para os efeitos do número 3 do presente artigo, a autoridade competente indicada no número 2
do artigo 47, da presente Lei deve criar uma plataforma de comunicação eletrônica do Governo
para todas as entidades do Estado.
6. A plataforma referida no número 5 do presente artigo não se restringe à troca de mensagens
pelo correio eletrônico, podendo abarcar mensagens instantâneas, mensagens de texto curtas
(SMS) e mensagens multimídia (MMS).
Artigo 49 - (Disponibilização e acesso de informação e serviços públicos)
1. A informação para o público sobre as atividades e serviços do Governo e da Administração
Pública nos níveis central, provincial, distrital e local providenciáveis via Internet, devem estar
disponíveis através do Portal do governo, dos portais dos governos provinciais, dos portais dos
governos distritais, bem como através de outros portais e páginas de Internet das instituições do
Governo e Administração Pública.
2. Sem prejuízo das adaptações que se mostrem necessárias, a provisão de serviços de governo
eletrônico deve focar diretamente a grupos-alvo identificados, incluindo o cidadão, os negócios e
outras entidades governamentais, de acordo com a função ou assunto.
3. A autoridade competente para a prestação de serviços de governo eletrônico deve implementar
serviços acessíveis por um ponto único de acesso e através dos diversos dispositivos eletrônicos
disponíveis no País.
4. A autoridade competente para a prestação de serviços de governo eletrônico deve promover a
desmaterialização e desterritorialização dos processos relativos à provisão de serviços públicos e
informação para o cidadão.
 211

5. A informação do Governo disponível que é mantida nos portais e páginas de Internet de

qualquer instituição do Governo e da Administração Pública deve ser providenciada de forma que
haja proteção da privacidade, em conformidade com a legislação aplicável.
Artigo 50 - (Reutilização dos dados e informação do Governo)
1. A Administração Pública deve providenciar os seus dados em formatos reutilizáveis, por forma
a garantir a interoperabilidade e partilha de dados entre as instituições do Governo e da
Administração Pública.
2. A interoperabilidade técnica e semântica de dados do Governo, produzidos através dos
sistemas de informação das instituições do Governo e da Administração Pública, é tratada em
regulamento específico.
3. A autoridade competente para a prestação de serviços de governo eletrônico deve organizar
ações de capacitação, sensibilização e debate sobre a implementação de mecanismos de utilização
de dados abertos do Governo, de forma gradual e sem prejuízo da demais legislação sobre
privacidade de dados.
Artigo 51 - (Mecanismos de coordenação)
As entidades do Governo e da Administração Pública são obrigadas a submeter todos projetos de
desenvolvimento ou aquisição de sistemas de informação, aplicações, base de dados e
equipamentos de tecnologias de informação e comunicação para conhecimento e aprovação da
autoridade competente para a prestação de serviços de Governo Eletrônico na República de
Moçambique.
Artigo 52 - (Aceitação de arquivo e emissão electrónica de documentos)
Qualquer entidade pública que, de acordo com a legislação aplicável, aceite o arquivo de
documentos, ou requeira que os documentos sejam criados ou retidos, emita qualquer ato,
autorização, licença ou aprovação, forneça uma forma de pagamento, pode, desde que cumpra
com os regulamentos necessários:
a) aceitar o arquivo, criar ou reter documentos referidos em forma de mensagem de dados;
b) emitir autorização, licença ou aprovação em forma de mensagem de dados;
c) efetuar ou receber pagamentos em forma electrónica ou por meios eletrônicos.
Artigo 53 - (Requisitos específicos)
Nos casos em que uma entidade pública desempenhe funções referidas no artigo 51 da presente
Lei, a mesma deve especificar, através de publicação no Boletim da República:
 212

a) a forma como a mensagem de dados deve ser arquivada, criada, retida ou emitida;
b) a mensagem de dados assinada, o tipo de assinatura eletrônica necessária;
c) a forma como assinatura eletrônica deve ser anexada ou incorporada ou de outra forma
associada à mensagem de dados;
d) a identidade ou critério que deve ser alcançado por qualquer provedor de serviços de
autenticação utilizado pela pessoa que arquiva a mensagem de dados, ou que o referido
provedor de serviços de autenticação deva ser provedor de serviços de autenticação
preferido;
e) os processos e procedimentos de controle apropriados para garantir integridade, segurança
e confidencialidade adequadas das mensagens de dados ou pagamentos;
f) quaisquer outros requisitos para mensagens de dados ou pagamentos.
CAPÍTULO VIII - Sistema de Certificação Digital e Criptografia
SECÇÃO I - Segurança de certificação digital
Artigo 54 - (Implementação do sistema de certificação digital)
1. A Entidade Reguladora de Tecnologias de Informação e Comunicação deve estabelecer os
fundamentos técnicos e metodológicos de sistema de certificação digital baseado em criptografia
de chave pública, devendo propor ao Governo os termos de criação e implementação do Sistema
de Certificação Digital de Moçambique.
2. Os fundamentos a serem estabelecidos devem garantir a autenticidade, integridade e validade
jurídica de documentos em formato eletrônico, das aplicações de suporte e das aplicações
habilitadas que utilizem certificados digitais, bem como a realização de transações eletrônicas
seguras.
Artigo 55 - (Estrutura do Sistema de Certificação Digital de Moçambique)
1. O Sistema de Certificação Digital de Moçambique estrutura-se do seguinte modo:
a) Comité Gestor;
b) Autoridade Certificadora Raiz do Estado;
c) Autoridades Certificadoras;
d) Autoridades de Registo vinculadas às Autoridades Certificadoras.
2. A composição, funcionamento, competências, obrigações, responsabilidades, tecnologias e
demais aspectos do Sistema de Certificação Digital são estabelecidos nos termos a regulamentar.
Artigo 56 - (Acesso aos serviços de certificação digital)
 213

O acesso aos serviços de certificação digital do Estado deve ser limitado a pessoas físicas e
jurídicas reconhecidas pelas leis vigentes na República de Moçambique, incluindo tratados,
protocolos internacionais e mediante termos e condições de adesão estabelecidos por lei.
SECÇÃO II - Criptografia
Artigo 57 - (Utilização e provisão de serviços de criptografia)
1. A utilização de serviços de criptografia é livre.
2. A provisão, transferência de e para um país estrangeiro ou importação de serviços de
criptografia cujo propósito é limitado a verificação e garantia da integridade de dados eletrônicos
estão sujeitos a declaração prévia às autoridades competentes.
3. A declaração referida no número anterior deve indicar entre outros dados, a seguinte
informação:
a) o nome e endereço do provedor da criptografia;
b) a descrição do tipo de serviço de criptografia ou produto de criptografia a ser fornecido;
c) outros dados que possam ser prescritos para identificar e localizar adequadamente o
provedor da criptografia ou os seus produtos ou serviços.
4. O provedor e, se for o caso, a pessoa responsável pela transferência, deve disponibilizar às
autoridades competentes, a seu pedido, as características técnicas do produto e o código da fonte
que é utilizado.
5. Um serviço de criptografia ou produto de criptografia é considerado como sendo fornecido na
República de Moçambique, quando:
a) emitido por entidades moçambicanas;
b) enviado a uma pessoa que se encontra presente na República de Moçambique, quando
essa pessoa fizer uso do serviço ou do produto;
c) enviado a uma pessoa que utilize o serviço ou produto para efeitos dum negócio
conduzido na República de Moçambique ou de entidades moçambicanas.
6. A provisão, transferência de e para um país estrangeiro, ou importação de serviços de
criptografia, com um propósito que não se limite à verificação e garantia da integridade dos
dados e que implique em particular serviços de confidencialidade, está sujeita à autorização
prévia, nos termos e condições a serem regulamentados.
Artigo 58 - (Restrições na divulgação de informação)
 214

1. A informação contida na declaração referida no número 2 do artigo 57 e qualquer informação

fornecida ao Governo, no âmbito da autorização prévia referida no número 6 do mesmo artigo,
não deve ser divulgada, salvo aos funcionários públicos responsáveis pela guarda ou autorização.
2. O disposto no número anterior não se aplica, quando a informação é divulgada:
a) a uma autoridade competente que investigue uma infração criminal ou para efeitos de
quaisquer processos-crime nos termos da lei;
b) as entidades responsáveis pela segurança nacional resultante de um pedido oficial;
c) para efeitos de qualquer processo cível relacionados com a provisão de serviços ou
produtos nos quais o provedor da criptografia seja parte.
SECÇÃO III - Acreditação de provedor de serviço de certificação e de certificado qualificado
Artigo 59 - (Acreditação de provedores de serviços de certificação)
1. Todo o provedor de serviços de certificação que pretenda emitir certificados qualificados está
sujeito a uma acreditação emitida pelos serviços competentes.
2. A acreditação pode ser conferida a um provedor de serviços de certificação, que,
cumulativamente, cumprir os seguintes requisitos:
a) demonstrar segurança necessária para a prestação de serviços de certificação;
b) garantir a operação de um diretório rápido, seguro e de serviços de revogação imediatos;
c) garantir que a data e hora em que um certificado é emitido ou revogado pode ser
determinada com precisão;
d) verificar através de meios adequados de acordo com a legislação pertinente, a identidade,
e, caso seja aplicável, quaisquer atributos especiais da pessoa a favor de quem é emitido o
certificado qualificado;
e) contratar pessoal que tenha conhecimento, experiência e qualificações necessárias para os
serviços prestados;
f) utilizar sistemas e produtos fiáveis que são protegidos contra modificações e que
garantam segurança técnica de codificação do processo;
g) tomar medidas contra a falsificação de certificados nos casos em que o provedor de
serviços de certificação gere dados de criação de assinatura, garantir a confidencialidade
durante o processo de geração dos referidos dados;
 215

h) tiver recursos financeiros suficientes para operar em conformidade com os requisitos

estabelecidos na presente Lei, em particular no que concerne à assunção de
responsabilidade por danos;
i) registar eletronicamente toda a informação relevante relativa a um certificado qualificado
para um período de tempo apropriado, com o objectivo de fornecer provas da certificação
para efeitos de procedimentos legais;
j) não armazenar ou copiar dados de criação de assinaturas da pessoa a quem o provedor de
serviços de certificação presta serviços chave de gestão;
k) antes de entrar numa relação contratual informar a pessoa sobre os termos e condições
acerca da utilização do certificado incluindo limitações da sua utilização;
l) utilizar sistemas fiáveis para armazenar os certificados de uma forma verificável, por
forma a que:
m) só pessoas autorizadas podem aceder para fazer introduções e alterações;
i. a informação poder ser verificada no que concerne a autenticidade;
ii. os certificados estarem publicamente disponíveis para acesso só nos casos
em que o consentimento do portador do certificado tenha sido obtido;
iii. quaisquer alterações técnicas que comprometam os requisitos de segurança
sejam aparentes para o operador.
Artigo 60 - (Certificado qualificado)
Qualquer certificado qualificado emitido por um provedor de serviços de certificação de acordo
com o número 2, do artigo 57 deve conter:
a) a indicação de que o certificado emitido é de qualidade;
b) a identificação do provedor de serviços de certificação e do Estado no qual este se
encontra estabelecido;
c) o nome do signatário ou um pseudónimo que deve ser identificado como tal;
d) fornecimento de um atributo específico do signatário a ser incluído dependendo do
objetivo para o qual se pretende o certificado;
e) os dados para verificação da assinatura que correspondam aos dados de criação da
assinatura sob o controle do signatário;
f) uma indicação do início e do fim do período de validade do certificado;
g) o código de identidade do certificado;
 216

h) a assinatura electrónica avançada do provedor de serviços de certificação que a emite;

i) as limitações do âmbito de utilização do certificado;
j) as limitações no valor das transações para as quais o certificado pode ser utilizado.
Artigo 61 - (Reconhecimento de provedores de serviços de certificação acreditados e
certificados qualificados estrangeiros)
1. Compete ao Conselho de Ministros reconhecer a acreditação estrangeira ou conferir
reconhecimento semelhante a qualquer provedor de serviços de certificação estrangeiro ou a
certificados qualificados estrangeiros fornecidos, desde que se cumpram com os requisitos
estabelecidos na presente Lei.
2. Para facilitar serviços de certificação transfronteiriços e o reconhecimento legal de assinaturas
eletrônicas avançadas originadas em outros países, o Conselho de Ministros deve promover a
negociação de acordos bilaterais e multilaterais com outros países.
Artigo 62 - (Responsabilidade dos provedores de serviços de certificação)
O provedor de serviços de certificação é responsável pelas consequências legais do
incumprimento dos requisitos estabelecidos no artigo 59 da presente Lei pelos danos causados a
qualquer pessoa, pública ou privada, que se tenha baseado razoavelmente num certificado.
CAPÍTULO IX - Proteção de Dados Eletrônicos Pessoais
Artigo 63 - (Obrigações do processador de dados)
1. Qualquer recolha, processamento ou divulgação eletrônica de dados pessoais por um
controlador de dados deve ser preciso, completo e atualizado, sem prejuízo da sua
confidencialidade.
2. Os objetivos para os quais os dados pessoais são recolhidos e a identidade do processador de
dados devem ser especificados antes da sua recolha, e o seu uso posterior limitado aos objetivos
indicados.
3. Quando os dados pessoais não tiverem sido recolhidos do seu titular, o processador de dados
deve, quando se comprometa a proceder ao registo de dados pessoais ou perante necessidade de
divulgação a terceiros, apresentar ao titular dos dados motivo para o qual os dados pessoais foram
recolhidos e, assim como a identidade do processador dos dados até a data em que os referidos
dados forem divulgados pela primeira vez.
4. O disposto no número anterior não se aplica aos casos de processamento de dados em que o
fornecimento da informação ao titular seja impossível envolva um esforço desproporcional, o seu
 217

registo ou divulgação seja permitido por lei e, ainda, nos casos de registo de dados para efeitos
estatísticos, históricos ou científicos.
5. O processador de dados deve proteger os dados pessoais contra riscos, perdas, acesso não
autorizado, destruição, utilização, modificação ou divulgação.
6. Sem prejuízo do disposto em legislação especial, toda a pessoa tem o direito de:
a) obter de um controlador de dados, ou confirmação acerca do controlador de dados ter ou
não dados a seu respeito ou conhecimento a respeito do controlador de seus dados;
b) ser comunicado a respeito de seus dados dentro de um período razoável, mediante
pagamento de uma taxa;
c) obter em caso de recusa do pedido efetuado nos termos das alíneas a) e b), a devida
fundamentação;
d) opor-se a dados que lhe dizem respeito e caso de aceitação, poder remover, retificar,
completar ou alterar.
7. O presente artigo aplica-se sem prejuízo:
a) do disposto no artigo 40 da presente Lei;
b) da legislação específica sobre a proteção de dados eletrônicos.
8. O disposto no presente artigo não se aplica ao processamento, recolha ou divulgação eletrônica
de dados pessoais para efeitos de jornalismo, expressão artística, literária ou quando decidido
pelas autoridades competentes para a salvaguarda da segurança pública e defesa nacional.
Artigo 64 - (Proteção de dados)
Não é permitido o acesso a arquivos, ficheiros e registos informáticos ou de bancos de dados para
conhecimento de dados pessoais relativos à terceiros, nem a transferência de dados pessoais de
um para outro ficheiro informático pertencente a distintos serviços ou instituições, salvo nos
casos estabelecidos por diploma legal ou por decisão judicial.
Artigo 65 - (Responsabilidade do processador de dados)
1. O processador de dados deve designar um indivíduo ou indivíduos responsáveis pelo
cumprimento dos princípios do presente capítulo.
2. O processador de dados deve colocar à disposição de qualquer pessoa, informação específica
acerca das suas políticas e práticas relacionadas com a gestão de informação pessoal, incluindo:
a) o nome ou título e endereço do responsável pelas políticas e práticas relativas à gestão de
informação pessoal e a quem devem ser dirigidas queixas ou questões;
 218

b) a forma de obtenção de acesso à informação pessoal retida pelo processador de dados;

c) a descrição do tipo de informação pessoal retida pela organização, incluindo um relatório
geral da sua utilização.
3. O processador de dados é responsável pela informação pessoal na sua posse ou guarda,
incluindo informação que tenha sido transferida para terceiros para processamento.
4. O presente artigo aplica-se sem prejuízo do disposto no artigo 40 da presente Lei e da
legislação específica sobre proteção de dados eletrônicos.
5. As disposições do presente artigo não se aplicam ao processamento, recolha ou divulgação
eletrônica de dados pessoais para efeitos de jornalismo, expressão artística, literária ou quando
decidido pelas autoridades competentes para a salvaguarda da segurança pública e defesa
nacional.
CAPÍTULO X - Fiscalização e Contravenções
Artigo 66 - (Lei aplicável)
Sem prejuízo de aplicação de pena mais grave no âmbito da legislação penal, as infrações
previstas no presente capítulo são puníveis nos termos dos artigos seguintes.
Artigo 67 - (Contravenções)
Constituem contravenções à presente Lei:
a) o acesso ilegal, a todo ou parte de um sistema de computador ou rede de computadores
através da violação das medidas de segurança, com a intenção de obter dados ou outra
intenção desonesta;
b) a intercepção ilegal, aquela que é efetuada por meios técnicos, de transmissões privadas
de dados de ou dentro de um sistema de computador ou rede de computadores, incluindo
emissões eletromagnéticas de um sistema de computador ou rede de computadores que
contenha os referidos dados;
c) a interferência com dados, consistindo na danificação, eliminação, deterioração, alteração
ou supressão indevida e intencional de dados;
d) a interferência intencional com sistemas de informação, afetando o funcionamento de um
sistema de computador ou rede de computadores através da introdução, transmissão,
danificação, eliminação, deterioração, alteração ou supressão de dados;
e) a má utilização de aparelhos, quando cometida intencionalmente e sem permissão, e que
cause a perca de propriedade de outrem através de qualquer introdução, alteração,
 219

eliminação ou supressão de dados e qualquer interferência com o funcionamento de um

sistema de computador ou rede de computadores;
f) a violação de nome de domínio, o uso indevido de um nome de domínio; um nome de
uma pessoa, singular ou coletiva, ou um nome que seja protegido como um direito de
propriedade intelectual, ou substancialmente semelhante a outro que seja susceptível de
criar confusão, com o fim de se beneficiar do mesmo;
g) a violação de segurança do instrumento de pagamento electrónico, a produção, aquisição,
transferência, armazenamento ou se oferecer a disponibilizar equipamentos, programas de
computador ou quaisquer dados concebidos ou especialmente adaptados por forma a
violar o sistema de segurança relacionado com um instrumento de pagamento electrónico;
h) a violação da responsabilidade do emissor, o fornecimento ao público de um instrumento
de pagamento electrónico sem autorização do Banco de Moçambique;
i) a violação de comunicações electrónicas comerciais não solicitadas, o envio de
comunicações comerciais não solicitadas a uma pessoa que tenha informado ao remetente
que as referidas comunicações são indesejáveis;
j) a recusa ou obstrução da investigação, a recusa em colaborar ou obstrução a investigação
das autoridades competentes;
k) a violação de obrigação de acreditação, a provisão de serviços de certificação, e entrega
de certificados qualificados, sem acreditação dos serviços competentes;
l) a violação de Criptografia, violação do dever de declaração na utilização e provisão de
serviços de criptografia previstas na presente Lei;
m) a violação do dever de proteção de dados, a violação das obrigações do processador de
dados previstas na presente Lei.
Artigo 68 - (Sanções)
Sem prejuízo de aplicação da pena mais grave no âmbito da legislação penal as infrações
previstas no presente artigo são puníveis:
a) a violação do disposto nas alíneas a); b); c); d); e e) do artigo 67 é punível com a multa de
40 salários mínimos até ao valor máximo de 90 salários mínimos da função pública;
b) a violação da alínea g) e h) do artigo 67é punível com a multa 90 salários mínimos até ao
valor máximo de 160 salários mínimos da função pública;
 220

c) a violação da alínea f); i); j); k), l); m) do artigo 67 é punível com a multa de 30 salários
mínimos até ao valor máximo de 90 salários mínimos da função pública, se outra pena
mais grave não couber, nos termos da legislação penal.
Artigo 69 - (Instrução e decisão de processo de contravenções)
1. Compete a entidade reguladora a tramitação e decisão do processo das contravenções previstas
na presente Lei.
2. O regime processual das contravenções é regulamentado pelo .
Artigo 70 - (Controle jurisdicional)
1. As sanções resultantes de contravenções podem ser objeto de recurso direto para o Tribunal
Judicial da respectiva área de jurisdição e, querendo, ser objeto de reclamação prévia ao Ministro
que superintende a área de Tecnologias de Informação.
2. Das restantes decisões recorre-se para o Tribunal Administrativo nos termos da Lei de
Processo de Contencioso Administrativo.
Artigo 71 - (Destino das receitas e multas)
O destino das receitas e multas cobradas à luz da presente Lei é definido em regulamento próprio.
Artigo 72 - (Serviços de inspeção)
Compete a Entidade Reguladora de Tecnologias de Informação e Comunicação, no âmbito da
presente Lei, exercer a inspeção das transações eletrônicas, nos termos a regulamentar.
Artigo 73 - (Obrigações)
O titular de um nome de domínio deve cumprir com o disposto na presente Lei e os seus
regulamentos até 180 dias após a sua entrada em vigor.
 221

ANEXO B - PROPOSTA DA ESTRATÉGIA NACIONAL DE CIBERSEGURANÇA DE

MOÇAMBIQUE

PRINCÍPIOS DE ORIENTAÇÃO
A Estratégia Nacional de Segurança Cibernética de Moçambique (ENSC) é sustentada pelos
seguintes princípios orientadores:
a) Legalidade: A ENSC de Moçambique tem em conta as diversas leis em vigor em
Moçambique e promoverá a proteção dos direitos, liberdades e garantias fundamentais
dos moçambicanos.
b) Abordagem baseada em risco: A ENSC adopta uma abordagem baseada em risco na
avaliação de respostas as ameaças e riscos cibernéticos, assegurando a Segurança
Cibernética em Moçambique.
c) Cooperação e Coordenação: Esta Estratégia promove a coordenação e a cooperação
entre as várias partes interessadas, tanto a nível nacional como internacional.
d) Responsabilidade partilhada e crime cibernético: A ENSC reconhece a
responsabilidade individual e partilhada de todos os utilizadores das TIC (indivíduos,
setor privado e governo).
e) Acesso universal ao espaço cibernético: A ENSC procurará assegurar que todos os
cidadãos moçambicanos devem ter acesso e poder utilizar o espaço cibernético de forma
segura, independentemente da localização, género, raça, situação económica, entre outros.

OBJETIVOS ESTRATÉGICOS

Melhorar a proteção da infraestrutura crítica de informação (ICI).

Objetivo específico 1: Gerir as ameaças à segurança cibernética para melhorar a resposta a
incidentes
Ações:
a) Estabelecer uma unidade governamental que coordene a segurança cibernética,
envolvendo o setor privado e a sociedade civil;
b) Criar o CERT Nacional;
c) Estabelecer e atualizar o registo de incidentes de segurança cibernética;
d) Avaliar e sugerir medidas para prevenir ou mitigar incidentes;
 222

e) Criar e executar de forma contínua cenários e programas de simulação de incidentes de

segurança cibernética;
f) Desenvolver e rever continuamente mecanismos para tratar dos riscos e ameaças à
segurança nacional no espaço cibernético;
g) Melhorar a capacidade das forças de defesa e segurança, para prevenir, detectar e reagir
aos ataques cibernéticos.
Objetivo específico 2: Proteger as infraestruturas críticas de informação de Moçambique
Ações:
a) Identificar e mapear as ICI de Moçambique;
b) Elaborar e atualizar um registo nacional de ICI;
c) Realizar a monitoria, alertas, avaliação e testes regulares de ICI para detectar erros,
vulnerabilidades e intrusões;
d) Estabelecer e rever continuamente o Quadro Nacional de Governança da ICI, que
descreve procedimentos e processos de proteção da ICI;
e) Desenvolver e rever continuamente um Registo Nacional de riscos e vulnerabilidade,
juntamente com os regulamentos e diretrizes que promovam a avaliação e gestão contínua
dos riscos nas ICI;
f) Fazer auditorias regulares as ICI com vista a emitir recomendações para a sua proteção;
g) Melhorar a cooperação internacional em matéria de proteção ICI.
Reforçar o quadro legal, técnico e operacional de segurança cibernética
Objetivo específico 3: Reforçar o quadro legal para prevenção e combate ao crime cibernético
Ações:
a) Ratificar as convenções internacionais sobre a segurança cibernética;
b) Rever e harmonizar o quadro legal sobre crimes e segurança cibernética e desenvolver os
instrumentos necessários para facilitar a sua aplicação;
c) Divulgar o quadro legal sobre segurança cibernética.
Objetivo específico 4: Melhorar o quadro técnico e operacional relacionado com a segurança
cibernética.
Ações:
a) Implementar requisitos obrigatórios e mínimos de segurança e tecnologia para melhorar a
proteção e resiliência das infraestruturas das TIC;
 223

b) Desenvolver planos de contingência nacional que identifiquem prioridades de ativos de

resposta de emergência e procedimentos operacionais padrão;
c) Mapear continuamente os recursos de resposta de emergência;
d) Assegurar que os canais de comunicação estejam implantados para os casos de resposta a
emergência;
e) Reforçar a capacidade laboratorial de informática forense;
f) Criar uma infraestrutura de certificação digital e criptografia nacional e promover o uso,
para estabelecer um ambiente seguro e confiável nos serviços de governo e comércio
eletrônico;
g) Criar condições para implementação a interoperabilidade dos sistemas informáticos
setoriais com vista a minimizar a duplicação de esforços e recursos no âmbito da
segurança cibernética;
h) Assegurar a transição do protocolo IPV4 para IPV6 e disseminar amplamente
informações sobre os benefícios da transição, incluindo os recursos de segurança IPV6
relacionados à confidencialidade, autenticação e integridade de dados.
Estabelecer um quadro nacional para promover a partilha de informação, Cooperação e
Coordenação em matéria de segurança cibernética.
Objetivo específico 5: Reforçar a colaboração e o intercâmbio de informações sobre a
segurança cibernética.
Ações:
a) Desenvolver e rever continuamente um quadro nacional que gere o intercâmbio de
informações, a colaboração e a coordenação em matéria de segurança cibernética;
b) Desenvolver um programa que detalhe a colaboração internacional em várias áreas
estratégicas de segurança cibernética, incluindo resposta a incidentes, capacitação,
pesquisa e desenvolvimento, entre outras;
c) Participar em fóruns e atividades internacionais sobre segurança cibernética;
d) Estabelecer um fórum nacional anual para promover a partilha de informação em
segurança cibernética;
e) Nomear pontos focais nas instituições do Estado e privadas por forma a facilitar a
interação e colaboração em matérias relacionadas com a segurança cibernética.
 224

Objetivo específico 6: Reforçar a partilha de informações, coordenação e colaboração na

prevenção e combate ao crime cibernético.
Ações:
a) Desenvolver e atualizar continuamente uma estrutura de partilha de informação e
colaboração entre o setor público, privado e sociedade civil para a prevenção e combate
ao crime cibernético;
b) Reforçar a colaboração entre os Estados e parceiros regionais e internacionais na
prevenção e combate ao crime cibernético;
c) Criar e atualizar continuamente uma plataforma nacional on-line, acessível a todos os
utilizadores de TIC, com informações relacionadas a ameaças, vulnerabilidades e
incidentes cibernéticos.
Desenvolver capacidade técnica de pesquisa e inovação em matéria de segurança
cibernética.
Objetivo específico 7: Desenvolver e reforçar continuamente a capacidade técnica de
segurança cibernética.
Ações:
a) Desenvolver continuamente a capacidade técnica dos funcionários do Estado, para
assegurar que sejam capazes de lidar eficazmente com incidentes cibernéticos cada vez
mais sofisticados;
b) Rever a agenda nacional de investigação para promover a pesquisa e desenvolvimento em
segurança cibernética;
c) Estabelecer centros nacionais de excelência para treinamento e pesquisa em segurança
cibernética;
d) Rever e atualizar o currículo de educação de nível primário, secundário e superior por
forma a incluir matérias de segurança cibernética;
e) Promover competições de inovação, projetos de pesquisa e desenvolvimento, novos
programas de estudo e estágio sobre segurança cibernética em universidades e escolas;
f) Incentivar as empresas nacionais para o desenvolvimento e fornecimento de serviços de
segurança cibernética, bem como desenvolver atividades de pesquisa e desenvolvimento
em matéria de segurança cibernética;
 225

g) Promover a participação de instituições do Governo, do setor privado e da academia em

projetos internacionais de pesquisa sobre segurança cibernética.
Objetivo específico 8: Adoptar mecanismos de recrutamento e retenção de técnicos
especializados em matéria de segurança cibernética.
Ações:
a) Criar carreira de regime especial para profissionais com especialidade na área de
segurança cibernética;
b) Identificar os requisitos de recursos humano sem segurança cibernética para as
instituições operadoras de ICI;
c) Capacitar regularmente os técnicos em matéria de segurança cibernética.
Objetivo específico 9: Aumentar a capacidade para prevenir, detectar e reprimir os crimes
cibernéticos.
Ações:
a) Desenvolver cursos de forense digital para produção de provas, para detecção e repressão
do crime cibernético;
b) Formar os profissionais das instituições da justiça na interpretação e aplicação da
legislação sobre segurança cibernética;
c) Reforçar a capacidade das autoridades judiciárias para prevenir, investigar e sancionar
crimes cibernéticos.
Criar uma cultura nacional de segurança cibernética.
Objetivo específico 10: Aumentar a consciencialização sobre a segurança cibernética no setor
público, privado e sociedade civil.
Ações:
a) Avaliar os atuais níveis de consciencialização sobre a segurança cibernética em todo o
país;
b) Implementar um plano nacional para aumentar a consciencialização sobre a segurança
cibernética;
c) Desenvolver e divulgar continuamente as melhores práticas de segurança cibernética a
nível nacional;
d) Promover a formação dos dirigentes das instituições nacionais sobre segurança
cibernética.
 226

Objetivo específico 11: Criar uma cultura de segurança on-line para crianças e outros grupos
vulneráveis.
Ações:
a) Criar e implementar programas nacionais e disseminar diretrizes para garantir a existência
de conhecimentos e as competências necessárias sobre segurança cibernética nas crianças
e outros grupos vulneráveis;
b) Promover o uso de técnicas ou ferramentas de filtragem na Internet que impeçam o acesso
de crianças e outros grupos vulneráveis a conteúdos prejudiciais;
c) Encorajar os ISP e outros prestadores de serviços a consciencializarem os seus clientes,
especialmente os pais e encarregados de educação, sobre como utilizar as ferramentas e
tecnologias disponíveis para gerir os potenciais riscos para as crianças e outros grupos
vulneráveis enquanto acedem aos serviços on-line.
MODELO ORGANIZACIONAL
Em Moçambique não existe uma estrutura para a coordenação das políticas e intervenções de
segurança cibernética a nível operacional e estratégico. Em resposta a proposta estratégia
nacional de segurança cibernética é estabelecida um Conselho Nacional de Segurança Cibernética
(CNSC) a nível estratégico.
1. CONSELHO NACIONAL SEGURANÇA CIBERNÉTICA (CNSC)
Composição:
a) Ministro que superintende a área da Defesa;
b) Ministro que superintende a área de ordem, segurança e tranquilidades públicas;
c) Ministro que superintende a área da Justiça;
d) Ministro que superintende a área das comunicações;
e) Ministro que superintende a área das tecnologias de informação e comunicação.
O papel do conselho é:
a) Analisar e orientar o Estado sobre assuntos e/ou outras matérias pertinentes que
contribuam para a segurança cibernética;
b) Elaborar estratégias para a criação de estruturas e políticas organizacionais nacionais e
regionais adequadas em matéria de crime cibernético.
c) Assegurar a criação de capacidade institucional com vista a garantir a Defesa Nacional
contra-ataques e crimes cibernéticos;
 227

d) Promover cooperação e coordenação intergovernamental em matéria de Segurança

Cibernética
e) Promover e encorajar parcerias público-privada sobre assuntos relacionadas com a
segurança cibernética no país;
f) Avaliar o estado nacional de Segurança Cibernética, determinar as necessidades
prioritárias e assegurar as respostas apropriada para cada caso;
g) Eleger as ICI e determinar as ações que visem garantir a sua proteção contra crimes e
ataques cibernéticos; e
h) Verificar omissões respeitantes a implementação de iniciativas e estruturas de Segurança
Cibernética.

2. UNIDADE DE COORDENAÇÃO E IMPLEMENTAÇÃO DA ECNS (U-ECNS)

Fazem parte todas as instituições ligadas diretamente às ações definidas na matriz de
implementação.
O Papel da unidade é:
a) Assegurar o cumprimento das ações e objetivos definidos na estratégia;
b) Criar um mecanismo de coordenação dos diferentes setores envolvidos na unidade com
vista ao alinhamento eficaz das ações e resultados esperados.
c) Definir e encontrar alternativas de financiamento das atividades relativas a
implementação da estratégia.
d) Monitorar o cumprimento dos prazos de cada uma das ações no âmbito da estratégia e
assegurar que nenhum destes prazos são extrapolados.