A inovação técnica nas aplicações das cidades inteligentes está a desenvolver-se rapidamente. Assim, a sensibilização para a privacidade, a proteção dos dados e a resiliência da infraestrutura digital são cruciais para o funcionamento eficiente das operações de uma cidade e para a segurança dos residentes.

A falta de sensibilização para a cibersegurança/privacidade pode aumentar a desconfiança e também a vulnerabilidade aos ciberataques: Observou-se que, em muitas cidades, apenas os gestores e funcionários de alto nível têm um elevado grau de sensibilização para a cibersegurança. A falta de sensibilização da maioria das pessoas cria um risco substancial de ciberataques e uma incapacidade de lidar com eles. A natureza interdependente das cidades inteligentes exige uma maior sensibilização do público para os quadros de segurança numa infraestrutura inteligente. Num estudo de 2019, a Forrester afirmou: "Espere o desenvolvimento de mais ataques baseados em deepfake (alimentados por IA) que fabricam áudio e vídeo convincentes a uma fração do custo. Para mitigar o risco, os departamentos de TI precisam de investir mais em programas de formação e sensibilização. "⁷

A falta de departamentos/unidades autónomos de cibersegurança numa cidade conectada pode funcionar como um obstáculo à obtenção de níveis mais elevados de ciber-resiliência e consciência da privacidade: Muitas cidades estão a lançar iniciativas de cidades inteligentes e de mobilidade, que envolvem a gestão e o intercâmbio de grandes volumes de dados, mas os departamentos de TI das autarquias locais são normalmente os principais responsáveis pela segurança dessas operações digitais. Esta situação pode limitar a eficácia da gestão dos riscos cibernéticos na cidade, sobretudo, quando o departamento de TI não possui competências e experiência suficientes. A crescente interconectividade criará a necessidade de um melhor sistema de resposta ao risco para garantir a confidencialidade digital e a rápida gestão de problemas, ambos elementos cruciais num ecossistema de cidade inteligente.

A interrupção dos serviços pode ser muito prejudicial e até pôr em risco a vida das pessoas: À medida que as cidades se transformam em cidades verdadeiramente inteligentes, onde os dados são um ativo estratégico, a maturidade da integração da cibersegurança e a confiança social relacionada com o intercâmbio de dados têm de se tornar transformacionais, envolvendo a melhoria e o aperfeiçoamento contínuos dos quadros e soluções de cibersegurança para proteger os sistemas da cidade e os dados dos cidadãos e até mesmo as vidas (uma falha de cibersegurança num sistema de saúde pode ameaçar diretamente a vida; e um ataque às operações de condução autónoma é outro exemplo de como a vida das pessoas pode ser afetada)^.8

Um ecossistema seguro e fiável assenta num conjunto de princípios fundamentais, que incluem um modelo Zero Trust, transparência e privacidade, regulamentação e conformidade, micro segmentação, identidade baseada no risco e resiliência. Ao abordar a cibersegurança, as cidades devem ter em mente três objectivos principais:

1. Governar como uma nação: Smart Cities combina infra-estruturas avançadas com conetividade densa e de alta velocidade. Oferecem novas oportunidades económicas e novas possibilidades para a vida urbana. Os riscos potenciais de perturbação são também significativos e a atenuação desses riscos exige uma abordagem profissional, metódica e de longo prazo da segurança - por outras palavras, o tipo de abordagem que um governo adoptaria para proteger as infra-estruturas críticas, com o desenvolvimento e o reforço regulares das políticas, orientações e ferramentas de cibersegurança.
2. Smart Cities como um ecossistema defensivo: A perturbação das cidades inteligentes é motivo de grande preocupação para os profissionais encarregados de garantir a segurança destes ambientes. Mas a "inteligência" é uma via de dois sentidos, que apresenta riscos, mas também contém propriedades defensivas e de auto-cura. A conetividade densa pode permitir que os agentes maliciosos se movam rapidamente, mas as contramedidas defensivas podem mover-se com a mesma rapidez e podem aproveitar a perceção e a visibilidade fornecidas por miríades de indivíduos e dispositivos. Uma cidade inteligente é um organismo vivo e deve ser construída para encorajar a orquestração da segurança e a capacitação dos seus residentes orgânicos e digitais.
3. Reiniciar com resiliência: Cidades inteligentes devem ser concebias tendo em conta a resiliência cibernética. A resiliência é um conceito bem compreendido na proteção das infraestruturas críticas, mas tem um preço. As infraestruturas e tecnologias resilientes tendem a conter capacidades redundantes ou reversíveis (ou seja, cópias de segurança) e estas raramente são gratuitas. A tentação de eliminar estes custos iniciais é grande, exceto para aqueles que já testemunharam perturbações em ambientes altamente conectados e os custos económicos, sociais e políticos daí resultantes. Para eles, a resiliência parece uma pechincha. Reiniciar com resiliência é muito mais fácil do que a alternativa.

Para atingir esses objetivos, é necessário ter em conta várias questões:

Sincronizar a cidade com a estratégia cibernética e permitir flexibilidade: As cidades devem definir uma estratégia pormenorizada de cibersegurança que esteja em consonância com a sua estratégia mais ampla de cidade inteligente e que possa atenuar os riscos decorrentes da convergência, interoperabilidade e interligação contínuas dos sistemas e processos da cidade. As cidades devem considerar a realização de avaliações de impacto regulares e exaustivas dos seus dados, sistemas e ativos cibernéticos para identificar, avaliar e atenuar os riscos nos processos, políticas e soluções tecnológicas. As cidades devem deixar espaço para ajustamentos e melhorias, uma vez que podem surgir novas soluções, abordagens e ligações que afetem a estratégia em vigor e exijam alterações. As cidades devem seguir os princípios da "cibersegurança desde a conceção".

Ter uma governação cibernética e de dados clara, com responsabilidade: As cidades precisam formalizar uma abordagem de governação dos dados, ativos, infraestruturas e outros componentes tecnológicos. Um modelo de governação abrangente deve definir responsabilidades e funções para cada componente crítico do ecossistema da cidade inteligente. A gestão dos dados — incluindo políticas sólidas de partilha de dados e de privacidade, competências analíticas de dados e modelos de monetização que facilitem a obtenção e a utilização dos "dados da cidade" — é um aspeto fundamental da governação.

Tirar partido do ecossistema e criar parcerias estratégicas para desenvolver as cibercapacidades: O défice de competências cibernéticas não vai desaparecer tão cedo, pelo que as cidades têm de ser inovadoras e proativas para colmatar as lacunas destas na sua administração e nas suas equipas. Esta abordagem pode exigir que a administração da cidade explore métodos não tradicionais de explorar o talento cibernético, como o crowdsourcing, prémios e concursos para resolver problemas relacionados com a cibernética. Uma cidade inteligente exige novas aptidões e competências nos vários níveis do seu ecossistema. As cidades podem também aumentar as capacidades existentes através de parcerias estratégicas e contratos outsourcing com prestadores de serviços.

Alinhe as políticas de regulamentação: as políticas, a legislação e a tecnologia devem ser continuamente alinhadas para manter o equilíbrio certo entre proteção, privacidade, transparência e utilidade. A governança, as políticas e os processos devem amadurecer juntamente com a estratégia cibernética global da cidade.

Adopte uma ferramenta específica para gerir o panorama da cibersegurança de uma cidade inteligente: Os ecossistemas cada vez mais conectados do mundo, como as cidades inteligentes e os sistemas de transporte inteligentes, exigem novas ferramentas para gerir as suas operações de risco cibernético maciço. A vasta gama de regras de conformidade para uma cidade determina a necessidade de automatizar o processo de recolha, bem como a conformidade com este quadro regulamentar altamente complexo. Isto só pode ser conseguido com um ativo especificamente desenvolvido, capaz de fornecer apoio diário à equipa do Chief Information Security Officer (CISO) da cidade inteligente. Este ativo seguro deve ser uma plataforma que orquestre um programa de gestão de riscos cibernéticos de ponta a ponta ao longo do amplo ciclo de vida do ecossistema inteligente de sectores governamentais, fornecedores e terceiros, reguladores, organizações de segurança e, claro,... cidadãos. Deve ser capaz de: contextualizar (consolidar sistemas inteligentes díspares numa visão holística da segurança de todo o ecossistema); avaliar (determinar as lacunas de conformidade a atenuar com base em requisitos e quadros regulamentares); monitorizar e responder (acompanhar e responder a ciberactividades e ameaças ao ecossistema) e sustentar (manter a segurança do ecossistema para uma resiliência holística e contínua). Cada ecossistema de cidade inteligente é diferente, pelo que, este ativo deve ser adaptado ao ambiente ligado específico, como uma cidade inteligente, complementando e melhorando a segurança atual da cidade com uma abordagem adaptada e escalável.

Invista em campanhas de sensibilização sobre a privacidade: Os principais beneficiários de uma cidade cibersegura são os seus residentes. É importante ter cidadãos informados e conscientes, com vista a gerar confiança nas iniciativas em vigor e promover melhores comportamentos em termos de partilha de dados e de gestão dos riscos dos dados.

Tóquio, Japão

Sendo os Jogos Olímpicos um alvo preferencial dos cibercriminosos desde Londres 2012, Tóquio e o Japão começaram a trabalhar na proteção cibernética depois de lhes ter sido atribuída a organização dos Jogos de 2020 (adiada para 2021 devido à pandemia do coronavírus). O objetivo é que a preparação para os Jogos Olímpicos dê um impulso às medidas para melhorar as capacidades nacionais de cibersegurança do^Japão9.

A Estratégia de Cibersegurança do Japão, de 2015, incluiu iniciativas para aumentar a segurança, como parcerias público-privadas de cibersegurança, desenvolvimento da força de trabalho (aproveitando um ecossistema de parceiros, o "Fórum intersectorial") e exercícios de cibersegurança. Apelou também aos líderes empresariais para incorporarem a cibersegurança na sua estratégia empresarial e investirem proactivamente na cibersegurança para a inovação e o^{crescimento10}. O envolvimento do sector empresarial foi mais longe através de uma "Declaração de Gestão da Segurança Ciber " em março de²⁰¹⁸¹¹.

Além disso, projectos como o Cyber ^Colosseo12 foram criados pelo Centro Nacional de Formação Ciber para responder a ciberataques que se previa que visassem os Jogos Olímpicos/Paralímpicos de Tóquio. O Colosseo, iniciado em 2017, está a formar profissionais de acordo com as normas necessárias para proteger o evento, mas, ao fazê-lo, também criará uma nova força de trabalho de profissionais para o mercado de cibersegurança do Japão após o fim dos Jogos^.13 Em 2018, o Governo Metropolitano de Tóquio produziu uma diretriz para contramedidas de cibersegurança para os Jogos Olímpicos/Paralímpicos^.14

Impulsionando o conceito de Sociedade 5.0, a cibersegurança está no centro das atenções no Japão e Tóquio está a beneficiar deste investimento. A cidade considera o ambiente do ciberespaço e a Internet como motores da inovação e do crescimento económico e é uma das principais cidades do mundo com força em ambos os aspetos (acesso e segurança). Em 2019, 91% dos residentes de Tóquio tinham acesso à Internet e a cidade foi classificada em primeiro lugar em termos de segurança digital no Safe City Index 2015, 2017 e 2019, publicado pela The Economist Intelligence Unit.¹⁵

A cidade deu prioridade ao investimento na segurança digital, como a política de privacidade, a sensibilização para a privacidade dos cidadãos, as parcerias público-privadas e a tecnologia utilizada, e criou equipas dedicadas à cibersegurança para proteger o seu ecossistema digital. Por exemplo, em 2020, o governo japonês aprovou uma nova alteração à Lei sobre a Proteção de Informações Pessoais (Act on the Protection of Personal Information - APPI) para alinhar melhor a política com o Regulamento Geral de Proteção de Dados (RGPD) da UE. As novas directrizes proporcionarão aos indivíduos uma maior proteção das informações pessoais e incluirão disposições que alargam os direitos de um indivíduo para exigir a eliminação ou a divulgação de informações pessoais^.16

Com a crescente dependência da infraestrutura digital, os riscos cibernéticos estão a aumentar, especialmente em relação aos serviços de transação. Por exemplo, em 2020, um sistema de pagamento digital - que é um pilar fundamental da infraestrutura das cidades inteligentes - sofreu um ciberataque grave, que resultou em numerosos levantamentos ilícitos em bancos regionais. Esta situação pôs em evidência as vulnerabilidades do comércio eletrónico num contexto de crescente digitalização.¹⁷.

Consequentemente, em setembro de 2020, o governo japonês aumentou o ênfase no reforço das estratégias de ciberdefesa e anunciou planos para criar uma entidade governamental, a Agência Digital Nacional, para liderar a transformação digital no^{Japão18, 19}.

Tel-Aviv, Israel

Em 2010, perante a perspetiva de um número cada vez maior de ciberataques, o Primeiro-Ministro do país consultou a Iniciativa Nacional Ciber de Israel, que recomendou que, em vez de se criar um programa de cibersegurança liderado pelo governo, se criasse um ecossistema de cibersegurança capaz de identificar e responder às ameaças por si próprio. Em resposta, foi criado um quadro em constante evolução para este ecossistema, em colaboração com o governo e as forças armadas, instituições de conhecimento e o sector^{empresarial20}.

Com o governo como catalisador, a indústria de cibersegurança de Israel representa 31% dos investimentos globais neste sector, ocupando o segundo lugar, depois dos EUA, em 2021^.21 É um motor de crescimento económico e Telavive é o seu berço: empresas como a Snyk, a SentinelOne, a Cato Networks, a Forter e a BigID alcançaram o estatuto de unicórnio em 2020.²² Telavive é também a sede do Centro de Inovação Municipal, que apresenta demonstrações de soluções para cidades inteligentes e inovação digital para líderes e administradores municipais num ambiente não tendencioso, para ajudar as administrações locais a implementar sistemas inteligentes seguros. Telavive também acolhe uma importante conferência global anual, designada Muni World and Expo, bem como outros eventos cibernéticos internacionais.

Telavive tira partido do seu ambiente de inovação e de criação de empresas para reforçar o seu ecossistema. O envolvimento e a estreita ligação com as forças armadas é um elemento fundamental neste contexto. Em 2020, a Universidade de Telavive lançou um curso gratuito de cibersegurança on-line que abrangia temas como a criptografia, a segurança dos sistemas de identificação, as estratégias de ataque e defesa e os vírus e outro malware, com a participação de estudantes de mais de 150 países. Em apenas seis meses, tornou-se o curso de segurança número um do mundo, superando 1.750 outros^cursos23.

Toronto, Canadá

Na sequência de uma recomendação do Auditor Geral, Toronto tem estado a trabalhar no desenvolvimento da sua cibersegurança em resposta a ameaças e ataques. Atualmente, utiliza tecnologia de proteção de redes e práticas de cibersegurança para garantir a integridade das infra-estruturas e proteger os seus bens^.24

A cidade estabeleceu um programa de cibersegurança em 2017, que foi revisto e alargado em 2019. Nomeou um Diretor de Segurança da Informação, com a responsabilidade de estabelecer uma estratégia de cibersegurança para gerir o risco cibernético e reforçar as defesas cibernéticas existentes^.25 Para o futuro, planeia aumentar as suas capacidades de segurança através de uma parceria com o Gabinete do Auditor Geral, fornecer formação em cibersegurança ao pessoal da cidade e oferecer apoio às actividades de cibersegurança^.26

O Canadá enfrenta atualmente uma falta de talentos no domínio da cibersegurança e a Universidade de Toronto (U of T) uniu forças com cinco outras universidades canadianas para explorar a viabilidade de um centro de operações de cibersegurança para o ensino superior no Canadá^.27 A cidade também acolheu outras iniciativas, como o Catalyst Cyber Accelerator, para tirar partido do ecossistema de cibersegurança e desenvolver competências^.28 Toronto possui as instituições de conhecimento, as condições de mercado e o financiamento necessários para se posicionar como líder mundial no domínio da cibersegurança, tanto por si só como enquanto parte do Ontario Global Security Hub^.29

Em 2019, a cidade de Toronto ficou classificada em sexto lugar no Safe Cities Index da The Economist. Os resultados de alto desempenho nas categorias Segurança Digital, Segurança de Saúde, Segurança de Infraestruturas e Segurança Pessoal colocaram a cidade em sexto lugar entre 100 cidades que foram pontuadas no estudo.³⁰

À medida que o nosso mundo se foi tornando mais interligado, a importância da privacidade foi crescendo. O entusiasmo inicial por um conceito de cidade inteligente hiperconectada foi seguido de uma forte reação dos cidadãos devido a preocupações com a privacidade, e um projeto para desenvolver o Sidewalk Lab da Alphabet e transformar a orla marítima de Toronto foi abandonado em 2020. Embora incluísse num plano para uma comunidade sustentável e acessível, "capas de chuva" para edifícios, veículos autónomos e torres de madeira de vanguarda para tornar a habitação mais acessível, o projeto não conseguiu convencer a população dos benefícios dos sensores e da monitorização e, em vez disso, levantou receios e suspeitas em torno da privacidade (e do "capitalismo de vigilância"). ³¹

Apesar de oferecer benefícios à população, a incapacidade de ganhar a sua confiança e a falta de transparência são vistas como razões pelas quais o projeto foi abandonado, ilustrando o equilíbrio que as autoridades locais terão de alcançar no futuro ao implementarem projetos de cidades inteligentes. Toronto apresentou agora uma nova visão para a área, substituindo o projeto Sidewalk Lab por um projeto centrado no cidadão e na comunidade.