No passado dia 18 de Abril [2018], ao mesmo tempo que eu reunia com cerca de 80 pessoas no Salão Nobre da Junta de Freguesia do Bonfim, no Porto, sobre a temática do impacto do RGPD nas Micro e Pequenas Empresas, Steven J. Vaughan-Nichols escrevia sobre mais uma desadequação do “novo” RGPD da União Europeia, desta vez em relação à infra-estrutura WHOIS e ao registo de domínios na Internet.

Começar tarde…

Com efeito, embora o Regulamento Geral de Protecção de Dados esteja em vigor desde 8 de Maio de 2016 (!), a abordagem às necessárias alterações, desde a mais ínfima correcção de formulários até à alteração de aplicações e sistemas como impacto global só agora começa a ser profunda e eficaz. Deixar para amanhã o que não apetece fazer hoje não é apanágio só dos Portugueses: é também de outras paragens, porventura com motivações diferentes que as nossas, notoriamente culturais.

Eu próprio, que me gabo de abordar a minha actividade profissional com toda a influência vinda de Silicon Valley (foi assim que cresci), junto a tal questão cultural com um certo reconhecimento da percepção (que combato!) de que a Europa e a União Europeia não tem o poder de influência global que deveria idealmente ter. Ou seja, tendo eu próprio a não dar a atenção atempada à Legislação Europeia e Nacional em matéria de Tecnologias de Informação, talvez porque sei que deriva quase sempre de outra, vinda do lado de lá do Atlântico. Daí ter começado a abordar tarde, há cerca de seis meses, a problemática da adopção do RGPD, principalmente naquele que considero ser o núcleo duro da economia Portuguesa: as micro e pequenas empresas.

Durante todo este tempo, em que tentei dissecar o RGPD e a própria legislação Portuguesa acessória (ainda em fase de aprovação pela Assembleia da Republica), e com a ajuda de juristas da LusaPME – Associação de Pequenas e Médias Empresas, muitas foram as dúvidas que me surgiram, sendo as que considero mais relevantes, pela dificuldade ou até impossibilidade de solução, as relacionadas com a própria arquitectura dos sistemas informáticos e de informação, tal como até na própria Internet como um todo.

É o caso específico do citado artigo agora publicado pela ZDnet, da autoria de Vaughan-Nichols.

É só uma questão técnica?

Para leitores fora da área tecnológica, falar de WHOIS (e explicar em que consiste) pode ser um daqueles assuntos que são classificados como “isso-é-lá-com-os-informáticos”. De um certo ponto de vista é verdade. Mas isso só vem confirmar que, se as áreas de impacto da adopção do RGPD que conhecemos enquanto empresários, juristas e agentes da economia já são por si de difícil análise e adequação, as que se encontram fora deste âmbito e que “isso-é-lá-com-os-informáticos” ainda mais graves se tornam, pela falta da sua mediatização e consequente falta de contribuição (financeira e política), fora do universo especializado.

A infra-estrutura de DNS da Internet (ou de qualquer rede), de forma simples, “traduz” um endereço legível pelos humanos (www.pauloteixeirabrandao.pt, por exemplo) para um número, um endereço IP (do tipo 195.22.8.67), representante único de um equipamento (servidor, conjunto de servidores agrupado, etc) onde se encontra a informação que queremos aceder.

Esta infra-estrutura, apesar de simples do ponto de vista tecnológico, é organizada por níveis ou camadas, numa gestão partilhada e coordenada pela ICANN – Internet Corporation for Assigned Names and Numbers.

Esta é uma organização, sem fins lucrativos, que tem duas missões principais: a operação da infra-estrutura de DNS e a definição de políticas e regras que regulam técnica e formalmente todo o sistema. O seu universo de participantes inclui representantes dos sectores públicos e estatais, empresas privadas, técnicos especialistas e representantes governamentais. As decisões tendem a ser tomadas por consenso cientifico em oposição a interesses particulares ou estatais. É pois uma organização aparentemente supra-nacional, independente e baseada em princípios da gestão relacionados com a ciência e engenharia, que mantém a Internet a funcionar. Ou pelo menos assim deveria ser. Nasceu nos EUA, tal como a Internet, incorporou as funções da IANA que por sua vez exerceu as suas funções por contrato com o Governo dos EUA. A sua independência é assim relativa e dependente em certa medida do desejo de a manter assim por parte desse mesmo Governo. Recentemente, tal como vários outros aspectos da governação americana, a situação tem mudado.

O WHOIS é um dos sub-produtos do DNS e pode-se descrever como uma base de dados, onde é registada informação permite identificar os “donos” dos domínios da internet, bem como a sua morada, contactos para efeitos de facturação, contactos técnicos, etc. Ou seja, elementos que caem dentro do âmbito regulado pelo RGPD.

É uma questão de adaptação!

Levantam-se assim questões sobre quase todos os aspectos da conformidade com o regulamento: o WHOIS é gerido pela ICANN e contem dados pessoais. A sua cobertura é global e isso inclui o território da UE, obviamente. O WHOIS é utilizado para fins tão diversos como a detecção de actividades de hacking ilegal, difusão de vírus e malware, conteúdos ilegais, etc. É, só para referir um exemplo, uma ferramenta importantíssima para a detecção e investigação de crimes relacionados com terrorismo internacional, pedofilia, branqueamento de capitais, fraude financeira, bancária, e a lista nunca mais termina.

Como compatibilizar o “Consentimento”, o “Direito ao Esquecimento”, o “Direito à alteração de dados” entre todos os outros definidos pelo RGPD no WHOIS? Como o RGPD está estruturado,  e da forma como DNS e o WHOIS funcionam, é impossível. Ponto.

Com a ansiedade que se instalou nos últimos tempos entre os agentes económicos e legisladores, existe uma certa tendência para o absolutismo das análises e decisões. Talvez a falta de tempo até 25 de Maio de 2018 nos esteja a tolher a visão. Tivemos muito tempo para considerar todas estas questões, mas agora estamos como que atrapalhados e os recentes casos de potencial e alegada violação de privacidade relacionados com o Facebook e Cambridge Analytica, Mark Zuckerberg a ser inquirido no Congresso norte-americano, não ajudam na excessiva mediatização e consequente informação colhida “pela rama” sobre todo o assunto.

Há já muitos anos que tenho vindo a consolidar uma ideia: a ciência e tecnologia evoluem, disponibilizam soluções inovadoras para nos ligarmos uns aos outros e ao mundo que nos rodeia. Só posteriormente é que existe uma assimilação dos modos de uso, uma adaptação social de todos a essas tecnologias. Por último, com atraso significativo e por vezes com ignorância vem a regulação, a lei, escrita pelo Legislador, seja Nacional, Europeu, Americano ou outro, com impacto significativo e normalmente proibicionista em relação à tecnologia já em uso.

É um desajuste civilizacional com que temos de viver. Não é um problema simples: podíamos colocar as “culpas” no legislador porque toma decisões e regula o que não compreende (veja-se as transcrições ou gravações da inquirição de Mark Zuckerberg no Congresso e a ideia que alguns congressistas norte-americanos nem estavam em condições de saber que perguntas fazer). Mas também podemos criticar a área da tecnologia por colocar à disposição de todos, sem critério, ferramentas que podem tornar-se armas.

A história da civilização está cheia de (maus) exemplos da tecnologia inventada para o “bem” e depois utilizada para o “mal”. E até os termos “bem” e “mal” são, em alguma medida, discutíveis à luz de diferenças culturais e políticas (mesmo que consideremos unicamente culturas democráticas). Um exemplo mostrado na última intervenção pública que fiz sobre a matéria, no já referido Workshop:

E agora?

A leitura do artigo do Steven J. Vaughan-Nichols pode ser interessante de vários pontos de vista, incluindo o do actual contexto político da governação dos EUA, com um executivo que pode ter muitas inadaptadas características mas que resumo num termo só: egocentrismo. Donald J. Trump pode complicar ainda mais esta questão tendo mesmo, ao que se sabe, pressionado vários operadores da infraestrutura básica da Internet a não aderirem de todo ao RGPD da União Europeia!

Do meu ponto de vista, e em relação a Portugal, às empresas portuguesas e aos utilizadores da Internet e de Sistemas de Informação em geral, teremos de dar passos concretos, bem definidos até 25 de Maio. E um deles poderá ser mesmo o de assumir que em 25 de Maio nem tudo estará resolvido. Não virá mal ao mundo se assim for. Há risco de não conformidades, de sanções e coimas, com valores astronómicos. Mas há muito que fazer e não haverá regulamento ou legislação que nos faça andar mais rápido do que o possível.

As empresas terão de se rodear de conhecimento sobre o RGPD mas também sobre si próprias. É possível transformar este desafio numa oportunidade para um “salto quântico” na “digitalização” das micro e pequenas empresas (ver artigo relacionado). Assim os empresários mais ambiciosos e visionários abram os braços ao conhecimento que existe em Portugal, que é excelente e que pode ser melhor aproveitado do que integrar um call-center que se diz “emprego tecnológico”, como agora é moda (e tanto havia para dizer sobre isto. Brevemente.)

LINKS ÚTEIS

http://www.lusapme.pt/rgpd/

https://www.zdnet.com/article/dns-is-about-to-get-into-a-world-of-trouble-with-gdpr/

https://www.zdnet.com/meet-the-team/us/steven-j-vaughan-nichols/

https://ec.europa.eu/info/law/law-topic/data-protection_en

https://www.icann.org/

No início era um barulhinho estridente do ZX a carregar código a partir de uma cassete e, muitas vezes, o pesadelo passados 5 minutos: “R – Tape Loading Error”.

 

Depois eram as disquetes de 5″ 1/4 e depois de 3″ 1/2 que eram lidas e escritas e o barulhinho era mais suave. E o pesadelo era “Can not read from sector 0x32d2c0. Please insert new disk in Drive A:”

 

No monitor, desfilavam nomes de ficheiros, fosse DOS ou Unix (e depois Linux). Mais tarde, ainda só com letrinhas, alguém se lembrou de ir acrescentando “.” (pontos) por ali fora, à medida que a coisa era lida ou escrita: “Instaling………………………………………….”, numa infindável linha de 80 caracteres em verde ou ambar.

 

Depois do Jobs ter ido ao PARC da Xerox, e do Gates ter achado piada e copiado, eram umas barras (modo gráfico) que iam enchendo um recipiente horizontal até ao fim. No fim nem sempre a coisa estava pronta(!). Mas pronto, sabia-se qualquer coisa…

 

E as barrinhas acompanharam o crescimento da minha geração de “informáticos” (seja lá o que isso for, informáticos). Passaram a simular 3D, cantos arredondados, bonequinhos animados… Tudo a ocupar ciclos de processador que poderiam ser usados para fazer a instalação mais rapidamente.

Mas agora…

 

Agora… os programadores de Microsoft tentam parecer mais programadores da Apple. Amiguinhos da malta. Não interessa o que a maquineta está a fazer… faz-se (!) uma comunicação calorosa, mais humana, como se dentro da maquineta estivessem “eles”, uns quaisquer que sabem da coisa, da maquineta, e estão a fazer coisas complicadas, que não são para nós, os… “utilizadores”.

 

“Estamos a instalar”.

 

“Estamos a preparar o seu ambiente de trabalho”.

 

“Estamos a tornar o seu computador mais seguro”.

 

E, inevitavelmente: “A configuração pode demorar uns minutos”. “Aguarde”. “Não desligue a maquineta”…

 

Mas hoje, sim, hoje, porque não pego em novos sistemas operativos sem a devida quarentena, hoje, diz a maquineta, ou o tipo que a Microsoft meteu lá dentro, vindo por um fio da Vodafone que por lá esta: “Está a demorar mais do que o esperado, mas vamos fazê-lo o mais rapidamente possível”. Uma mensagem quasi-humana. Quasi-simpática.

 

MAS EU SEI QUE DEMORA SEMPRE MAIS DO QUE O ESPERADO.

 

SEMPRE.

 

NUNCA DEMOROU MENOS DO QUE O ESPERADO (a não ser quando “dá erro” a meio).

 

Mas quero saber o que está a acontecer!

 

Mas que raio é que o homenzinho da Microsoft (ou da Apple) que está lá dentro está a fazer?

 

(ou serão vários homenzinhos? A mensagem está no plural… Imagino a equipa de projecto de um simples reboot ao PC reunida na segunda DIMM a olhar para um PowerPoint, com o gestor de projecto aos gritos a perguntar “Porque é que isto atrasou? Onde está o cronograma inicial? Mas não se mitigaram os riscos? Mas vocês andam a fazer o quê lá no cliente?”, o financeiro “Mas quando é que se pode facturar?”, o Field Engineer a pensar (porque não se atreve a dizer em voz alta), “estes cromos do Desenvolvimento… se estivessem todos os dias a aturar utilizadores é que era”, o tipo do Desenvolvimento a dizer, com os auriculares pendurados no pescoço “Bom, parece que precisamos de mais uns 8 processadores e 128Gb de RAM para fazer isto O MAIS RAPIDAMENTE POSSÍVEL” ).

 

Não, não deve ser assim. Deve ser mesmo um homenzinho que lá está dentro e, com o tempo está mais simpático; não diz tudo o que está a fazer, tranquiliza o utilizador, e vai fazendo o que pode com aquilo que tem. São formas de estar que vêm com a idade.

 

Mas IRRITAM-ME! “Está a demorar um pouco mais do que o esperado”??????? Mas estou-me a esforçar, sr. utilizador: “vamos fazê-lo o mais rapidamente possível”!!! O QUÊ QUE ESTÁS A FAZER, HOMENZINHO-MAQUINETA? O QUÊ?

 

(nem sequer era um reboot. Foi um logout de um utilizador e login com outra conta. Demorou 20 minutos. Windows 10.)

Já se passou algum tempo desde o início e ponto alto da propagação do mais mediático acto de ciber-terrorismo da história: o  WannaCry. Em termos de “ciber-tempo”, na realidade já passou uma eternidade e está toda a gente à espera do próximo (o “ciber-tempo” consiste na adaptação do tempo percepcionado pelos humanos à velocidade com que as coisas acontecem online – conceito inventado agora mesmo!).

Logo nas primeiras horas do evento, multiplicaram-se as análises imediatas, de toda a comunidade, às quais se juntaram as “análises” (aspas significativas) dos órgãos de comunicação social que chamaram “peritos” (outra vez as aspas) de forma a enquadrar perante as suas audiências um fenómeno que, não sendo novo, desta vez extravasou os limites da Internet, dos computadores, dos “nerds”. A integração das nossas necessidades de comunicação com a internet tem sido insidiosa e é normal que a sociedade não de aperceba do grau de dependência que tem neste momento da Rede. Seria exactamente nas alturas de catástrofe que esse facto se tornaria visível e foi este o caso.

Mas, à parte dessas primeiras reacções da ciber-comunidade e dos órgãos de comunicação social, nos bastidores das empresas, dos organismos públicos, Estado e forças de segurança com algum interesse no assunto (militares e civis), passada a primeira euforia, continuou-se a trabalhar quer na contenção do ataque, na prevenção de vulnerabilidades e finalmente, no estudo forense do evento.

O que se aprendeu?

Muitas conclusões foram já publicadas, e podem ser encontradas por essa Internet fora. Mas acrescentando os meus “cinco tostões”, retive meia dúzia de aspectos que penso ser merecedores de reflexão:

1 – O número de sistemas afectados

Este não foi o pior ciber-ataque da história em termos de número de sistemas infectados. No entanto, se considerarmos os efeitos (sistemas completamente inoperativos após o ataque), foi sem dúvida o que teve mais efeitos. Os números conhecidos e devidamente descontadas as dúvidas e inferidas infecções que não foram divulgadas por empresas ou organizações governamentais, apontam para qualquer coisa como 200.000 sistemas afectados, em cerca de 150 países diferentes.

2 – Já sabíamos

Como nas questões de segurança fora da internet, também neste caso a vulnerabilidade já era conhecida e a possibilidade de acontecer um ataque deste género dependia de dois factores: a criatividade de alguém para a explorar e o atraso em tomar acções preventivas para a eliminar.

Por diversos factores, muitas empresas, organizações governamentais, utilizadores da internet individuais não tomaram as devidas precauções. Apontar o dedo aos gestores das infra-estruturas será fácil (e é sempre ao longo do tempo) e estes terão a sua cota parte de responsabilidade. Mas não basta pensarmos que o administrador de sistemas deveria ter instalado a actualização MS-00-XXXX. O problema é mais abrangente, mais difícil de identificar e certamente mais complexo tecnicamente de resolver. Caso a caso, poderei dizer como a empresa A ou individuo B poderiam ter evitado ser contaminados. Mas em termos gerais, teremos de abordar a questão pelo lado da normalização, da gestão de processos de segurança, da ITIL e da ISO27001 – como alguém referiu, pela “higiene recorrente da nossa presença online”.

3 – Há hackers bons e hackers maus? (ou o Governo é Hacker?)

Entenda-se como “Governo” as agências de segurança governamentais. Desta vez a mais mediática (como é costume) foi a NSA, mas poderia ter sido a CIA, a Mossad, a FSB, o SIRP…

Todas as agências de segurança oficiais devem trabalhar dentro da legalidade.

Todas as agências de segurança cometem ilegalidades de forma a cumprir a sua missão.

Estes dois factos contraditórios têm como factor facilitador a confidencialidade da sua actividade, por definição. Mesmo que não se discutam os objectivos (discussão que terá de ter em conta questões geoestratégicas, políticas, até filosóficas), a necessidade de confidencialidade de métodos abre a porta para as agências de segurança construírem, disseminar e usar pedaços de software em tudo idênticos a vírus. E não contem que as mesmas agências divulguem as vulnerabilidades encontradas e usadas em sistemas operativos: precisam que elas existam e precisam de as usar! A Microsoft insurgiu-se contra o facto da NSA não ter divulgado mais cedo a vulnerabilidade que encontrou no sistema que permitiu a disseminação do WannaCry. Fez bem, a Microsoft. Mas não poderemos contar com a NSA ou qualquer outra agência para divulgar essa informação. Faz parte da sua natureza não o fazer. Pronto.

Não tenho dúvidas. A NSA ou qualquer agência explorar vulnerabilidades do meu sistema, instalar “backdoors”, aceder à minha informação, incluindo tráfego internet é ILEGAL, IMORAL, ERRADO.

Mas fazer exactamente o mesmo ao sistema de um potencial terrorista, já não é!

Entendem o paradoxo?

Teremos muito rapidamente que encontrar o equilíbrio entre segurança e privacidade – uma Quimera que por definição nunca vamos alcançar, mas cujo caminho da procura nos irá servir).

4 – É preciso um ciber-exército para as ciber-ameaças

Não existem especialistas suficientes em ciber-segurança para fazer face quer às ameaças, mas sobretudo às “primeiras respostas” em caso de ataque deste tipo.

Não é cenário único o de Portugal, mas como sempre, por cá é mais evidente essa insuficiência. Entre os “profissionais da informática” não existe nem formação com qualidade suficiente, nem recursos humanos em quantidade necessária para fazer face ao evento, às necessidades de contenção e prevenção. Isso acontece essencialmente por dois factores:

a) os incidentes são raros, por isso não vale o investimento e

b) o nível de conhecimentos necessários é extremamente elevado.

A primeira vai-se resolver nos próximos tempos: as ameaças e respectivas concretizações vão ser cada vez mais comuns. Não há alternativa, vamos ter de investir. A segunda vai ser resolvida pela primeira: um especialista de segurança capaz vai ser valioso, logo vai ganhar bem, logo vai ser uma área atraente para os profissionais e como é difícil, vai atrair os melhores. Tudo isto vai levar o seu tempo. E os hackers já estão aí. Vamos pois ter muitas “baixas” até que consigamos construir as nossas defesas. Contem com isso.

5 – O WannaCry… foi “mal” programado

E isso foi a nossa sorte. Nos dias seguintes ao início da propagação do WannaCry, vários especialista dedicaram-se a tentar “desmontar” e olhar para as “entranhas” do pedaço de software.

Um deles, conhecido por MalwareTech (o seu nome foi entretanto divulgado pelos tablóides britânicos, transformando a sua vida num inferno), através da análise de segmentos de código, descobriu rapidamente um kill-switch embebido no software. Este verificava a existência de uma dada página na web. MalwareTech registou o domínio desse endereço que o WannaCry procurava e verificou que a partir desse momento o software parava a sua actividade. Aparentemente este “gatilho” foi embebido no código original de forma a haver uma possibilidade da propagação ser parada em qualquer altura. A sua descoberta por MalwareTech foi uma dádiva para toda a Internet.

Outra “deficiência” no WannaCry foi descoberta vários dias depois. A sequência de encriptação usada passava grosso modo por:

1. Ler o ficheiro original
2. Encriptar os dados, escrevendo um novo ficheiro
3. Apagar o ficheiro original

Ora como apagar um ficheiro do nosso disco, basicamente é dizer à base de dados que mantém o FileSystem (é um género de índice que encontramos nos livros e que basicamente diz onde, no disco, está um dado ficheiro) que esse ficheiro não está lá, na realidade os dados ficam escritos no disco, até aquela área ser usada para escrever outros.

Este método de apagar ficheiros é o que nos permite fazer “Undelete” usando softwares que “recuperam ficheiros apagados”. Na realidade, só reconstroem o tal índice e só funcionam se não existirem escritas “por cima” dos dados originais.

O WannaCry aparentemente detectava se o ficheiro estava numa directoria “crítica” (por exemplo na pasta “Meus Documentos” no Windows) e nesse caso, antes de apagar o ficheiro original, “escrevia por cima” lixo digital e só depois apagava, tornando assim impossível a sua recuperação. Mas, vá-se lá saber porquê, se o ficheiro não estava numa dessas directorias críticas, o WannaCry não fazia essa passo de “reescrita” e possibilita a recuperação do ficheiro original. Isto tornou possível, ainda que parcialmente e sob condições muito controladas, recuperar muitos dos dados encriptados.

6 – O crime não compensa!

Cerca de 200.000 sistemas infectados deram aos ciber-terroristas o potencial de ganhos em resgates entre os 60.000.000 e os 120.000.000 de dólares americanos. Analistas apontam para que a quantia total conseguida foi de 72.000 dólares. Dizer que não compensa é capaz de ser um exagero. Mas que não ficaram ricos, não ficaram.

Em 1999 desloquei-me a Genebra na companhia de um colega para assistir à Windows 2000 Deployment Conference, organizada pela Microsoft. Ao chegar ao aeroporto, enquanto esperava pela bagagem de porão, reparamos que alguns dos monitores do aeroporto apresentavam um erro típico dos Windows NT4.0 e 2000 na altura, qualquer coisa como “C++ Library…”.

O aeroporto que estava a receber milhares de nerds da região EMEAs (Europe, Middle-East, Africa), a maior concentração de saber tecnológico por metro quadrado e ali estava: o erro do mal amado Windows! Achamos piada.

No dia seguinte, a assistir a uma das conferências de Mark Russinovich, um guru das entranhas do Windows na altura, e que versava a estabilidade (ou a falta dela, como muito de nós vindos do UNIX na altura sabíamos) tive a oportunidade de lhe colocar a questão, meio a brincar meio a sério, do evento no aeroporto de Genebra no dia anterior.

– “Ah e tal, Mark, então como é possível acontecer uma coisa destas no aeroporto de Genebra, ah, ah, ah, toma lá, estamos falados quanto à estabilidade do Windows…”.

Imperturbável, Russinovich responde-me:

– “Sim, estou a par do que aconteceu. Sabes que uma actualização para aquele sistema e que corrigia a falha que neste caso pode ser induzida por software do utilizador-programador, mas que a Microsoft quer colmatar, já tinha sido publicada há 6 meses? O problema não é a Microsoft. O problema é um sistema constituído por Microsoft (ou sistema operativo) – hardware – técnico – utilizador. São estas vertentes todas que fazem o sistema. Se uma delas falha, teremos problemas, certamente. Se não existir uma responsabilidade do administrador de sistemas, se não existir um processo, um procedimento, uma instrução de trabalho que garanta a estabilidade do sistema, não há nada a fazer!”

Engoli em seco, ri-me e toda a gente se riu. Mas para aí metade dos 600 nerds que assistiam à palestra enviaram de imediato e-mails à equipa que tinha ficado lá na empresa a perguntar se a actualização MS-001-XPTO estava instalada. A mim responderam-me: “Não. Queres que instale?”. Seis meses de atraso. Seis meses. “Sim, quero que instales”.

WannaCrypt

Vem a história a propósito dos eventos de Sexta-feira passada, dia 12 de Maio de 2017. Um dia que não vai ficar na história das tecnologias, porque dias piores virão. Não duvidem.

Desde há algum tempo atrás, na comunidade de hackers e jornalistas especializados em ciber-segurança que se vem falando de um possível ataque massivo que poderá comprometer a infra-estrutura da Internet, interrompendo serviços, uns mais outros menos críticos, mas que será “O” ataque, uma espécie de Dia do Juízo Final da Internet e da Informática. Há quem diga que os acontecimentos da passada Sexta-feira constituíram exactamente esse ataque global! Talvez o “vírus” WannaCrypt tenha conquistado o seu lugar na história. No início desta história, pelo menos.

Mesmo no meio do drama, noto o sentido de humor da nossa comunidade (a das TI, os hackers, os piratas): WannaCypt foi o nome da “iniciativa”, do vírus, do problema. Mas algumas variantes na designação surgiram, como por exemplo WannaCry (queres chorar?, numa tradução adaptada).

O que se passou?

Este ataque teve como base de sustentação a técnica de phishing, na qual são usados objectos aparentemente inócuos, que levam os utilizadores voluntaria mas inconscientemente a fornecer dados ou a correr software malicioso. Neste caso (e em muitos outros no passado), o utilizador recebe um mail, eventualmente até com o remetente seu conhecido, com um anexo. Ao abrir o anexo, o software malicioso entra em funcionamento – este anexo na realidade é o código do vírus (tecnicamente não é um vírus, mas o termo é usado no sentido lato). Neste momento duas coisas acontecem em simultâneo: os dados do disco do computador começam a ser encriptados com recurso a uma “chave” desconhecida pelo utilizador e ao mesmo tempo é explorada uma venerabilidade dos sistemas operativos Windows, mais concretamente nas componentes de SMB, que permite a propagação do vírus.

Consequências para as vítimas

A consequência imediata para os utilizadores é a encriptação dos dados dos seus discos, de forma praticamente impossível de desencriptar sem conhecer a respectiva “chave”. Numa mensagem que aparece no computador, é exigido um “resgate” (daí o nome dado a este tipo de software: “ransomware”) de 300 dólares americanos. É dado também um prazo de 3 dias para proceder a esse pagamento. No caso de não ser feito nesse prazo, o “resgate” passa a 600 dólares americanos para serem pagos em 7 dias. Caso este pagamento também não seja feito, é dito pelos perpetradores do “rapto de informação” que a desencriptação não será mais possível. Nunca mais.

Como se passou?

Esta é a parte mais interessante de todo este evento. Como foi possível este ataque em tão grande escala (a EUROPOL classifica-o como o maior ciber-ataque da história, com 230 000 computadores a ser infectados no primeiro dia (12 de Maio)?

A resposta diz muito sobre a nossa actual dependência das tecnologias, a iliteracia generalizada de utilizadores de computadores e Internet, incluindo muitos dos chamados profissionais de tecnologias de informação. Mas diz mais ainda sobre o verdadeiro jogo de gato e rato, se quiserem, ou posto de outra forma, das novas armas ao dispor das nações e estados (e também pessoas, grupos e empresas), armas que podem parar o mundo.

Não, não é mais ficção científica. Os prejuízos causados por este aparentemente “financeiro-rapto-de-informação” (um crime com o objectivo de obter lucros perante coacção) vão para além dos cerca de 50 000€ conseguidos até agora pelos criminosos (valor que teria o potencial de 200 000 x 300 = 60 milhões de dólares no primeiro dia, mas que ficou muito aquém. Ops, piratas…).

Os verdadeiros prejuízos nunca serão publicados, pois interesses comerciais falam mais alto do que a partilha da informação. Mas para se ter uma ideia, em Portugal, empresas como a PT, a NOS, a Vodafone, a EDP, alguns hospitais e muitas PME viram alguns dos seus computadores encriptados de um momento para o outro. As grandes organizações, em resposta meramente de contingência, desligaram redes, infra-estruturas inteiras, para conter rapidamente a propagação. Agora multiplique-se este cenário pelo resto do mundo… podemos imaginar a grandeza dos prejuízos envolvidos.

Era evitável?

A história repete-se, com requintes de actualização e impacto. Tal como na história do início deste artigo, também esta agora era evitável. Quer dizer, mais ou menos.

A fragilidade do sistema operativo da Microsoft que foi usada, foi tornada pública em 14 de Abril, por um grupo de hackers que publicou variada informação acerca de como a National Security Agency (NSA) dos EUA estava a aproveitar falhas em sistemas para aceder ilegalmente e sem conhecimento de ninguém a sistemas e informação. Mas a Microsoft já tinha detectado a falha, desenvolvido a correcção e publicado uma actualização para os sistemas afectados a… 14 de Março! O ataque de 12 de Maio surge assim DOIS MESES após a solução que impediria a propagação do vírus estar disponível.

Por isso sim, era evitável, pelo menos a exponencial propagação da praga.

(NOTA para aligeirar consciências: a infecção primária, no entanto, não seria evitável desta forma. Nos últimos 3 meses pelo menos 4 clientes meus viram o seu PC encriptado pelo Petya, outro “ransomware” activo nos últimos tempos. Um desses clientes foi afectado DUAS VEZES no mesmo computador. A técnica foi a mesma, mas aparentemente o Petya não se propagava através da vulnerabilidade agora usada, mas só a partir da infra-estrutura de e-mail e da chamada “engenharia social” que requer que o utilizador inconscientemente colabore para a infecção).

O “aftermath”

Este evento deu visibilidade a vários aspectos da massificação das TI e da Internet que, sabedores dos mesmos há muito tempo, de repente são preocupações urgentes de resolver.

Uma das mais importantes, polémicas e merecedoras de atenção é o envolvimento das organizações de intelligence ou espionagem. Primeiro porque, em nome da segurança, elas próprias usam software malicioso propagando-o da mesma forma que os hackers, e na direcção de todos nós. O que será mais ou menos equivalente a fazer ou usar escutas sem autorização de um tribunal ou usar tortura num interrogatório de um suspeito de terrorismo.

Outra, menos evidente, mas relacionada, é o facto da falha no Windows que permitiu a propagação do WannaCrypt ser conhecida da NSA, alegadamente à muito tempo. A agência não terá divulgado a informação no seu próprio interesse (para a utilizar), como ficamos a saber por mais um “leak”. Sobre este assunto, vale a pena ler a posição do presidente da Microsoft Brad Smith.

A reter

Problema:

A técnica de phishing, complementada por “engenharia social”, permite que os utilizadores de um qualquer serviço forneçam voluntariamente autenticações (login / password) a hackers.

Contramedida:

Não se deixe enganar pela aparência (tal como no “mundo real” o deve fazer). Verifique o endereço do remetente. Ninguém lhe vai enviar legitimamente um e-mail a pedir que altere a password através de um “clique aqui”.

Recebeu um mail de alguém que não conhece, com um texto socialmente aceitável? Por exemplo “Olá Paulo, envio-te em anexo o relatório sobre as vendas do primeiro trimestre. Dá uma vista de olhos e diz-me qq coisa”, seguido de um anexo. Se a mensagem não vem de alguém conhecido ou se é inesperada, desconfie. Se abrir o anexo a probabilidade de a seguir estar a pagar $300 a um hacker é elevada.

Problema:

Fragilidade do Sistema Operativo

Contramedida:

Tenha sempre as actualizações… actualizadas. Sim, é um incómodo ficar à espera vinte minutos que o computador se desligue (ou arranque) porque está a actualizar o sistema operativo. Mas é assim que infelizmente funciona a nossa indústria: os produtos não saem perfeitos à primeira (nem à segunda, terceira, quarta… tema para outro artigo!).

Contramedidas genéricas

Um bom anti-vírus

O seu computador vai ficar mais lento. Vai ter mais uma actualização para fazer regularmente. Vai gastar dinheiro em mais uma licença de software. Acredite que vai desejar ter passado por tudo isso quanto perder toda a informação no caso de não ter esta protecção básica.

Hábitos preventivos

Se o seu browser o avisa que o site que quer consultar não é seguro, não o consulte, por mais curiosidade que tenha.

Evite a instalação de software ilegal. Muitos dos “cracks” para utilizar software sem o comprar contem vírus, backdoors, trojans, etc. Muitas vezes nem é imediatamente evidente a infecção. Mas será mais tarde (os anti-virus dão uma boa ajuda neste caso).

Acabou?

Não. Nunca acaba. O que podemos fazer é mitigar os riscos. Ameaças online haverá sempre, como as há “off-line”. Por isso vacinamos as crianças (nem todos!), por isso existe vigilância policial, alarmes contra intrusão, portas com fechaduras. E acima de tudo, existe Lei. Que no caso da nossa “vida online”, é fraca, recente, muitas vezes baseada em pressupostos errados e de todo ineficaz.

Nestes tempos em que cavalgamos a grande velocidade a tecnologia, os hábitos sociais, a legislação, os políticos e todos nós terão de mudar à mesma velocidade.

Alguns links sobre o assunto

https://en.wikipedia.org/wiki/WannaCry_ransomware_attack

https://blogs.technet.microsoft.com/msrc/2017/05/12/customer-guidance-for-wannacrypt-attacks/

https://www.theregister.co.uk/2017/05/15/wannacrypt_sitrep/

https://betanews.com/2017/05/16/symantec-wannacrypt-ransomware/

https://www.itnews.com.au/news/bigger-than-wannacrypt-attackers-use-same-nsa-exploits-to-mine-cryptocurrency-461932

Nos últimos tempos tenho dedicado muito do meu tempo a fazer consultadoria a micro e pequenas empresas na criação ou revisão da sua presença online. Este tipo de empresas constitui o núcleo duro da economia portuguesa actual. Segundo os últimos dados do site PORDATA (um parêntesis para elogiar a Fundação Francisco Manuel dos Santos pela criação e manutenção desta fantástica ferramenta):

Apesar de naturalmente as grandes empresas serem geradoras do maior volume de negócio entre os quatro tipos definidos estatisticamente, se medirmos o seu impacto na economia pelo número de trabalhadores ao serviço, as micro empresas são responsáveis por quase metade do emprego em Portugal. Dependendo muitas destas micro empresas dos fornecimentos às médias e grandes empresas, não quero desvalorizar estas últimas em relação às primeiras. Mas que este “ecossistema” económico se baseia essencialmente nas micro e pequenas empresas, parecem não restar dúvidas.

A taxa de mortalidade das micro empresas é elevadíssima. Também o é a taxa de natalidade. E se este é um problema para a economia portuguesa, também é verdade que esta é a dura realidade e não será alterada senão em décadas futuras, se o for de todo. Este cenário leva-me a identificar e tratar este mercado como um dos mais interessantes enquanto consultor de TI/SI.

 

Dificuldades e oportunidades

Existem dois problemas óbvios na abordagem a este segmento empresarial: 1 – a dimensão das empresas não lhes permite grandes investimentos de capital; 2 – a literacia tecnológica destes empresários é extremamente baixa.

Estes dois aspectos seriam suficientes para um profissional da área TI/SI procurar “outras paragens”. Mas poderemos considerar outras vertentes e trabalhar a partir daí. Uma delas, que tenho explorado e cada vez o farei mais é o facto de as TI e muito especificamente a Internet ter vindo a disponibilizar a toda a economia, ferramentas de marketing, gestão e operação que estavam no passado como que reservadas às médias e grandes empresas, pelo custo envolvido.

Um exemplo: nas décadas de 80 e 90 se uma empresa considerasse que produzir publicidade aos seus produtos e serviços em formato vídeo, não teria forma de os distribuir, de os fazer chegar aos potenciais clientes, a não ser que desembolsasse uns milhares de euros em tempo de antena das estações de televisão. Hoje pode fazê-lo a partir do seu site, complementado pelo Youtube e Vimeo, por uma fracção do custo. E se for bem feito (este é o Factor Crítico de Sucesso – FCS), a audiência será idêntica ou provavelmente maior e, ainda mais importante, adequada à mensagem.

Outro exemplo: uma loja online baseada em Portugal está só à distância de chegar a milhões de consumidores que um pequeno investimento em SEO (Search Engine Optimization) requer. Mais uma vez, “qual” o investimento e como é feito, constitui o FCS. Antes do advento da Internet, esta realidade pura e simplesmente não existia.

Estes dois exemplos, escolhidos entre muitos, são representativos de dois paradigmas novos a considerar: a relação entre investimento versus retorno nas TI/SI é (ou melhor, pode ser) muito menor do que há décadas atrás; e a dimensão do mercado, o alcance das nossas marcas, produtos e serviços através desses pequenos investimentos é neste momento verdadeiramente global. Pense-se só no que implicaria no fim do século XX uma pequena empresa conseguir vender pontual ou recorrentemente, por exemplo, nos Estados Unidos da América. É um exercício que terá de ter em conta variados aspectos, mas uma das conclusão que poderão chegar de imediato é a de que actualmente isso é possível para um número elevado de empresas às quais definitivamente esse acesso estava vedado anteriormente.

Qualquer jornada começa por um passo

Digamos que de certa forma, o acesso ao mercado global foi democratizado, ou se preferirem, foi tornado mais independente do volume de investimento em marketing. Não totalmente, mas para efeitos práticos, foi isto que aconteceu.

Este contexto de “mercantilização” não garante por si só o sucesso do negócio através do canal online. São muitos e de variada importância os “novos” factores de sucesso. E para dificultar ainda mais as decisões acertadas, esses factores de sucesso carecem exactamente de uma literacia tecnológica já referida que, do meu ponto de vista, não existe genericamente nos gestores das micro empresas. O que poderia ser um factor de crescimento e até sobrevivência destas empresas é assim desperdiçado de uma forma que eu diria ser quase “dolorosa” dado o potencial para o negócio e o pequeno investimento necessário.

Desde há uns anos atrás, que parte do meu dia-a-dia profissional e até da minha estratégia de negócio passa por tentar formar os empresários nas questões relacionadas com a utilização das tecnologias, adaptando toda uma série de sistemas existentes às necessidades, mas sobretudo à estratégia de crescimento das micro empresas. Essa formação é realizada em cada análise que faço para uma proposta comercial, em workshops e palestras de eventos empresariais ou organizados por associações empresariais e em serviços de consultadoria per si.

Apesar de ser uma tarefa hercúlea, tem dado os seus frutos, e não obstante estar recheada de insucessos, existem casos muito interessantes de empresas que cresceram ou que ganharam sustentabilidade a prazo ou até que sobreviveram após um boa abordagem à presença online, e que de outra forma teriam o mesmo destino que milhares de outras: a insolvência, a falência, o desaparecimento do tecido empresarial.

Brevemente publicarei uma séria de artigos sobre as potencialidades do negócio online, as tecnologias a ser usadas, a correcta abordagem da construção de sites, lojas online, plataformas de gestão de relação com clientes, marketing para o canal digital e outros aspectos relacionados. Esta série de artigos é baseada na minha experiência pessoal e na de outros profissionais da área TI/SI com os quais tenho vindo a trabalhar ao longo dos anos. Baseia-se também em casos específicos de empresas e empresários com quem trabalhei no sentido de criar as bases para a adopção das TI/SI e incorporação do seu valor nas suas empresas. Casos de insucesso abundam, mas, tal como as organizações militares, as grandes corporações e estruturas estatais, a abordagem sistemática através da metodologia de “Lessons Learned” pode contribuir para o meu objectivo final: promover o crescimento e a sustentabilidade das micro empresas através da incorporação do valor das TI/SI no negócio.

No Karaté chama-se DOJO ao local de treino. E no DOJO existe uma hierarquia que se estende para lá deste. A figura mais importante e à qual todos devem a reverência é o Sensei – mestre, treinador, professor. Logo a seguir nessa hierarquia vem o Senpai – o aluno mais velho ou mais experiente. Este deve ser uma inspiração e um exemplo a seguir. Fora do Karaté mas ainda na cultura japonesa, muito propensa a rituais ancestrais, a figura do Senpai está presente nas escolas e nas empresas. O Senpai é aquele que, para além de dar o exemplo, guia-nos e aconselha-nos baseado na sua experiência. Para todos os efeitos, é um MENTOR.

(interlúdio linguístico – uso alguns termos relacionados com este tema na sua forma anglo-saxónica, por serem comummente usados em literatura de gestão nessa mesma forma e, consequentemente, mais perceptíveis no seu significado – fim de interlúdio)

O papel do Mentor

Na língua portuguesa, Mentor significa muitas vezes tutor. Mas a carga autoritária deste leva-me a usar o termo Mentor num sentido mais lato, no sentido do Senpai do Karaté e do conselheiro mais do que do professor.

Nas empresas portuguesas há pouca tradição de formalizar o papel de Mentor. Normalmente o novo colaborador, independentemente da sua experiência passada, é introduzido à organização através de um conjunto de normas, regras, processos e procedimentos e quando muito, em ambientes mais estruturados, a um verdadeiro manual de acolhimento e um “se tiveres dúvidas, pergunta aqui ao António que ele sabe como isto funciona”. Apesar de necessária, esta informação de pouco ou nada serve para orientar a pessoa no seu trabalho, na sua missão; serve sim (e isso é importante) para uma mais rápida integração no ambiente de trabalho. Fica de fora, e potencialmente para sempre, o direccionamento dos esforços do colaborador que permitam ao próprio entender e exercer todo o seu potencial.

Tive a sorte, em duas alturas distintas da minha vida profissional e em duas empresas diferentes, ter tido dois Mentores informais. Eles não souberam (acho eu), nem eu na altura sabia, mas os seus ensinamentos constantes, o acompanhamento no dia a dia, a dedicação a passar conhecimento marcaram-me para a vida. Porventura o que os motivou a serem meus Mentores foi a sua própria necessidade de cumplicidade nos projectos em que estávamos envolvidos (de um e de outro fui um “número 2”, um tenente) e que me desculpem o atrevimento se assim não era. Mas que muito lhes devo sem um nem outro me terem “cobrado”, isso é verdade. E se parece excessivo este reconhecimento, não o é, pois parte do profissional e até da pessoa que sou hoje a eles o devo.

Algumas técnicas de Mentoring

Encetar uma relação deste tipo, formalizada ou não, requer um misto de competências psicológicas e sociais idêntico à nutrição de qualquer outra relação social. Não é uma mera interacção profissional, definida e clara. Também o é, ou deve ser, mas vai para além disso. Como em quase tudo, existem partes mais concretas e tangíveis, outras menos. Utilizamos então o método de tornar organizado o que for organizável, de forma a facilitar o entendimento destes métodos por todas as partes. Alguns exemplos:

Acompanhamento de proximidade – O Mentor segue lado a lado na exploração da auto aprendizagem do Mentorado. Torna-se um companheiro, um camarada no sentido militar do termo, mais experiente, é certo, mas preparado para aprender também.

Sementeira – é usada quando é necessário preparar o Mentorado para a mudança ou para a aprendizagem. Muitas vezes, para além de não estarmos preparados para fazer as coisas de forma diferente, nem sequer estamos preparados para considerar essa possibilidade. É necessária uma preparação (semear) das ideias e dos conceitos, de forma a posteriormente adquirir a capacidade.

Catalisação – chama-se catalisador ao elemento químico que, numa reacção, não intervém como matéria prima ou resultado, mas cuja presença faz a reacção acontecer. A catalisação no Mentoring muitas vezes é feita pelo Mentor através do desafio, da provocação até de forma a criar pontos de ruptura e permitir a aprendizagem

Ensinar pelo exemplo – Uma das minhas preferidas. Nada como a demonstração de uma ideia, de uma técnica ou de um procedimento a funcionar para cimentar a aprendizagem no Mentorado.

Colheita – Com efeitos motivadores e consciencializadores da aprendizagem, é usada não numa perspectiva de recompensa mas sim de guia para a auto-consolidação do conhecimento (“O que aprendeste?”)

A enumeração e descrição destas técnicas podem ser encontradas em variada literatura de gestão. Num ambiente de Mentoring estruturado, estas e as suas consequentes actividades devem ser definidas, planeadas, deve ser agendado tempo para interacção e reflexão, análise, etc. Mas que essa necessidade de estruturação não nos faça perder de vista um outro aspecto desta relação: muitas vezes, o Mentoring parte de uma empatia ou amizade, outras vezes esta é o resultado desse mesmo Mentoring. De uma ou de outra forma, a relação entre as duas partes extravasa a simples relação profissional de chefe-subordinado.

“Mentoremos” todos

Não tenho experiência pessoal de ter tido um Mentor “oficial”. Tive os dois já citados e reconheço o valor e o privilégio dessas oportunidades. Também nunca fui Mentor “oficial” de ninguém, mas sei que influenciei algumas das pessoas que trabalharam comigo e apliquei, quase sem me aperceber, algumas das técnicas referidas.

Depois de todos estes anos e experiências, sou levado a pensar que as empresas, escolas, clubes desportivos, partidos políticos e a sociedade em geral têm muito a ganhar se forem estabelecidas estas relações. Bem sei que esta é uma época quase narcisista, de competição feroz, muitas vezes entre agentes que poderiam ser Mentores-Mentorados. Mas se nós Mentores conseguirmos concretizar alguma passagem de conhecimento empírico e se nós Mentorados tivermos a humildade para não nos apresentarmos sabendo tudo, não vejo como essa atitude poderá causar qualquer tipo de dano que não seja aos egos frágeis. E o que teremos a ganhar é imenso.

Fica um desafio aos Gestores de RH, aos lideres de equipas, aos responsáveis pelas actividades de team building, psicólogos e agentes das áreas afins: estude-se a sistematização das técnicas de Mentoring, criem-se modelos praticáveis, formem-se Mentores e faça-se a disseminação por todo o ecossistema empresarial e social. Para os eventuais Mentorados: arrisquem. Cultivem uma forma de estar no emprego e na vida mais cândida, mais espontânea, de modo a ser natural expor as fragilidades, procurar conselhos. Não queiram ser heróis e super-estrelas antes do tempo. Sejam humildes e ouçam. Partilhem com um Mentor as vossas dores, incertezas, inseguranças e erros. Vão ver que só doi um bocadinho. E depois terão o prazer de ter aprendido e evoluído com a experiência própria e com a experiência do Mentor. Do vosso Senpai. No fim, só podem ganhar.

O Reino Unido (RU) formalizou na passada semana a sua intenção de abandonar a União Europeia (UE), ao abrigo do artigo 50 do Tratado de Lisboa. De entre outras definições teóricas (porque nunca foram usadas – é a primeira vez que um estado-membro o invoca), duas devem ser retidas desde já: o estado que sai tem dois anos para negociar um acordo de… saída (!) e uma vez invocado, não pode ser suspenso… a não ser com um consentimento unânime de todos os estados-membros. Parece, portanto, que é desta que o RU se vai embora. Será?

O impacto do Brexit no sector das tecnologias a nível europeu e até mundial já foi analisado, reanalisado, comentado e recomentado até à exaustão. E este exercício de verdadeira adivinhação permite opiniões para todos os gostos. Desde o “a UE agora é que vai florescer, com o sentimento de coesão que o Brextit provoca nos restantes estados-membros” até ao “a UE vai implodir, sem o RU”, ele há de tudo.

Ou seja, ninguém sabe nada.

O que espelha bem, por um lado, a complexidade da situação, e por outro a ineficácia da maior parte dos analistas políticos e económicos do mainstream. Analisar uma questão sobre a qual não existe histórico, não há situação paralela, parecida, com a qual se possa criar uma linha de base e considerar variações é trabalho realmente para adivinhos. Ainda assim, alguns caminhos começam a parecer mais claros ou pelo menos possíveis. Tanto quanto poderíamos pensar que o RU sairia da UE ou que Donald Trump fosse eleito Presidente dos EUA!

Do meu ponto de vista, deveremos analisar alguns aspectos concretos inerentes à pertença de um estado à UE e no impacto que o Brexit poderá infligir ao sector das TI: a livre circulação de pessoas, a livre circulação de mercadorias, a livre circulação de capitais e por último, chamemos-lhe o “estado de alma” dos povos e comunidades do RU e da UE após as duras negociações dos próximos dois anos.

A livre circulação de pessoas

Aproximadamente 3.2 milhões de cidadãos de países da UE vivem actualmente no RU. Destes, 2.3 milhões trabalham (os restantes são dependentes destes, desempregados à procura de emprego, reformados, ou simplesmente vivem lá sem fazer nada).

Apesar da maior parte dos estudos feitos até há pouco tempo concluir que

• o impacto da imigração no desemprego no RU não se nota;
• a pressão colocada no abaixamento dos salários não se nota;
• existem posições no RU que têm de ser ocupadas por imigrantes, devido à falta de recursos técnicos devidamente formados,

esta foi uma das mais prováveis causas para o voto no “LEAVE” no referendo do Brexit. Estas três conclusões são transversais a todos os sectores económicos e as TI não são excepção.

A facilidade de um trabalhador da área de TI obter um visto de trabalho no sector no RU após Brexit poderá assim não ser muito difícil; a necessidade vai existir e eventualmente, num efeito de procura / oferta desequilibrada, o salário vai ter tendência a subir (mantendo os restantes factores inalterados, que como de seguida se pode ver, não é uma certeza).

Já para as empresas do RU, o mesmo fenómeno provocará um aumento de custos laborais, mas essencialmente uma maior dificuldade em encontrar técnicos qualificados em quantidade compatível com as necessidades actuais e futuras.

A livre circulação de mercadorias

A livre circulação de mercadorias será outro factor decisivo e alvo de dura negociação nos próximos tempos. Apesar dos responsáveis da UE, nos seus discursos, afirmarem que não está no seu pensamento fazer qualquer tipo de “chantagem” ou “pressão” ou até “castigo” ao RU pela ousadia de sair do clube Europeu, o certo é a livre circulação de mercadorias e respectiva isenção de taxas aduaneiras foi um dos primeiro previlégios de que as empresas benificiaram ao longo da história da UE. A reposição de taxas aduaneiras e uma regulamentação muito mais “apertada” sobre mercadorias vindas do RU é mais do que provável que venha a ser um facto. Os danos à economia Britânica não são pura e simplesmente possíveis de avaliar neste momento, principalmente porque poderá haver (e quanto a mim haverá de certeza) uma deslocação das relações comerciais do RU para outros países não-UE, com a respectiva negociação de acordos bilaterais. Aliás, foi até já mais ou menos insinuado por alguns governantes apoiantes do Brexit que poderiam equacionar a negociação bilateral com alguns países da própria EU, cenário que prontamente foi rejeitado pela Comissão Europeia e pelo próprio Parlamento Europeu.

A livre circulação de capitais

Para além dos respeitantes às meras transacções comerciais, também os restantes capitais (investimento, especulação, transacções bolsistas, etc) vão ter restrições para passar o Canal da Mancha. Economicamente, e no que respeita à área das Tecnologias, o impacto vai-se sentir mais profundamente nas empresas americanas que têm o RU como base de operação na Europa. Apesar de quase todos os estados membros da UE legislarem de forma a atrair investimento estrangeiro (nomeadamente dos EUA e da China), as regras da UE nesta matéria têm vindo a dar passos sustentados em direcção a uma uniformização (e já não era sem tempo, digo eu) – veja-se o caso recente da Apple na Irlanda. E segundo recentes sondagens a painéis de especialistas e investidores, espera-se uma diminuição do investimento no RU com origem na EU (lógico) mas também, e mais importante, de países terceiros, nomeadamente EUA, com a respectiva mudança para outro país da UE. Por outro lado, o impacto de qualquer diminuição de investimento vindo do RU para a UE será negligenciável, dizem os mesmos estudos. A dimensão relativa dos mercados representados pelo RU e UE ditam assim o destino de muitas empresas estrangeiras e, ironicamente, poderão ter um impacto bastante negativo no sistema fiscal Britânico.

O estado de alma pós-Brexit

É o factor mais incerto e quanto a mim mais perigoso de todos. Que a negociação do acordo de saída vai ser dura, ninguém terá dúvidas. Ontem, Nigel Farange no Parlamento Europeu disse “Vocês são uma máfia”, “O RU não cederá a chantagem de mafiosos”, sendo estas amostras de um escalar de discurso por parte dos nacionalistas britânicos que forçou em primeiro lugar David Cameron a convocar o referendo.

São muitos os factores que me levam a crer que o tom das negociações vai piorar. Desde logo, o tradicional nacionalismo do RU, reforçado pela posição geográfica, pela resistência a uma possível invasão na Segunda Guerra Mundial, pela opção de não fazer parte do grupo de estados de moeda única e, perante o contexto actual, da grande proximidade aos EUA. Tudo isto, que por si só criou dificuldades na integração do RU na UE no passado, mas que são aspecto mais ou menos legítimos, acresce desde há uns anos um reforço dos nacionalistas-extremistas (de que o partido UKIP é o representante dentro do sistema, mas contra o sistema) e desta tiradas mais ou menos populistas de personagens como Farange e Boris Johnson.

Este sentimento extremado, para além de não ser bom para as negociações, poderá ter uma resposta por parte da UE, que muitos não estariam à espera, e que será a de aumentar a sua coesão, num cenário de “nós” contra “eles” que poderá muito bem ser a solução para uma Europa fraca e burocrática como tem acontecido até aqui. No entanto, muito rapidamente este discurso transbordará das mesas de negociações para a rua e o perigo do extremar de posições junto da população do RU e da UE é real. E nessa altura, os políticos terão obrigatoriamente de “seguir a rua”, tal como aconteceu após o referendo do Brexit.

Especificidades na área das Tecnologias de Informação

Quase todas estas reflexões aplicam-se a qualquer área económica que quisermos analisar. Para além do efeito de rede que a economia tem nas Tecnologias e vice-versa (as empresas não-tecnológicas precisam das TI, as empresas de TI precisam de clientes), existem aspectos exclusivos desta área que serão directamente afectados.

É o caso, por exemplo da legislação sobre privacidade e concorrência. A UE é historicamente interventiva na regulação dos mercados e o das Tecnologias não escapa. A Microsoft foi obrigada a dar a opção de instalação de outros browsers que não o IE por omissão durante as instalações do sistema operativo Windows. A Google foi obrigada a construir um mecanismo que permita retirar informação pessoal dos seus motores de indexação. Foi através de iniciativas de UE que os dois “gigantes” se renderam, coisa que o próprio governo americano não conseguiu fazer. Num mundo quase completamente ligado, o espaço ou território físico onde estão alojados dados e a permissão de acesso a estes é fundamental. Grandes empresas, nomeadamente do sector da banca e seguros, estão neste momento a planear a mudança dos seus Datacenters para fora do RU.

Outro caso é das Startups tecnológicas. O efeito de massificação é fundamental neste tipo de empresas, que criam soluções para demanda ainda inexistente. A adopção massiva dessas soluções depende directamente da dimensão do mercado e com o Brexit, seja como for, o mercado alcançável a partir do RU diminui. No entanto o mercado alcançável pelos membros de UE sofrerá uma alteração muito menor, mesmo se contássemos com uma total falta de acesso ao mercado britânico.

Impacto negativo será maior para o RU do que para a UE

Estes quatro aspectos guiarão os dois lados da negociação até ao acordo final. É cedo, muito cedo, para sequer apontar alguns pontos que podem até parecer simples. Tudo será negociado e numa dada altura tudo servirá como arma e munição.

Li algures que uma frase que ficou marcada na minha cabeça, e que infelizmente não retive a fonte. Dizia mais ou menos: “É como um casal que está com uma gravidez de três meses dizer ‘até agora não houve impacto deste bébé no nosso estilo de vida’. O RU está “grávido” de 3 meses. Ainda não sentiu o bébé. Mas que o seu estilo de vida vai mudar, podemos ter a certeza.

Nas Tecnologias de Informação, tudo anda rápido. E também a reacção aos resultados do referendo ao Brexit não se fizeram esperar. Um exemplo: a vereadora para a Economia e Tecnologia da cidade de Berlim, contactou “dúzias de startups Britânicas, bem como multinacionais com sedes EMEA no RU, resultando na abertura de pelo menos 60 contactos “sérios” sobre deslocação destas empresas para a capital alemã”. Se Londres foi o contraponto europeu ao Silicon Valley nos últimos anos, agora Berlim vai tirar-lhe o lugar, por certo. E novas oportunidades surgirão para outras cidades como Lisboa e Dublin, sobre as quais já se tem falado como destino de uma fuga de Londres.

Outro sinal, foi a retirada voluntária por parte de profissionais da EU das suas candidaturas a posições no mercado de trabalho do RU, muitos dos quais já em fase final. O argumento usado foi: “não quero vir para cá trabalhar, pois não sei se o poderei fazer daqui a dois anos”.

Os próximos dois anos vão refundar a Europa, a UE, as relações externas do velho continente e a economia mundial. O Brexit aparece numa altura em que os EUA atravessam uma fase das mais críticas e imprevisíveis da sua história, fruto da eleição de Donald Trump e do arregimentar de nacionalistas, extremistas, especuladores financeiros e outros personagens sem qualquer sentido de estado para a sua administração. Tudo isto em simultâneo ainda com o ressurgimento (que a bem da verdade anda a ameaçar acontecer há já alguns anos) de políticos de extrema-direita, nacionalistas, xenófobos e com concepções de Europa que não passam pela existência de uma UE.

Serão tempos difíceis estes, para os que acreditam que o mundo deverá esbater fronteiras e não as fechar.

Resta-nos o facto de isto tudo estar a acontecer numa altura em que, fruto das Tecnologias de Informação, todo o mundo está ligado, todos sabemos tudo, e todos podemos agir. Se o Brexit tiver impacto no sector das Tecnologias de Informação, acredito também que esta minha “tribo” saberá reagir e contribuir para atenuar o isolacionismo seja de quem for.

 

---

Links com mais informações

https://en.wikipedia.org/wiki/Treaty_of_Lisbon

https://en.wikipedia.org/wiki/Brexit

http://www.economist.com/Brexit

http://www.cnbc.com/brexit/

http://www.computerweekly.com/opinion/Brexit-and-technology-How-network-effects-will-damage-UK-IT-industry

https://www.theguardian.com/politics/2017/jan/24/uk-tech-industry-not-immune-to-brexit-trade-group-warns

https://www.theguardian.com/business/2016/nov/21/google-facebook-brexit-uk-technology-sector-skills

http://www.pwc.com/us/en/brexit-us/technology.html

Tudo aconteceu num jantar, em casa, altura do dia para partilhar as experiências de cada um durante a jornada.

Beatriz – Qualquer dia vou trabalhar contigo.

Eu – Ai é? Mas vais trabalhar nos computadores? Então não querias ser médica, actriz e cantora?

Beatriz – Isso também. Mas agora já sei programar, por isso…

Pois. Pela minha experiência baseada no currículo do mais velho (13 anos), na disciplina de TIC, pensei que esta, mais nova (9 anos) provavelmente estava também a aprender Power Point, Word e Publisher (!) usando nos trabalhos produzidos todas as variantes e tipos de letra, cores e animações disponíveis. Porque foi isso que o João aprendeu em “TIC” durante 4 anos.

Eu – Mas, ó filha, sabes que isso de programação não é só fazeres os “Power Points” (que eu já tinha reparado que ela sabia fazer). O que vocês estão a aprender é a utilizar o computador. Programar é outra coisa. É muito mais compli…

Beatriz – Mas Pai [adora contra-argumentar, começando sempre por “mas Pai”], eu sei disso. Estou agora a acabar o meu primeiro jogo. Só não consigo que a princesa grite quando a bola lhe acerta! Precisava que me ajudasses.

Eu – ???

Princesa que grita? Bola? Gritar quando a bola acerta? Mas que raio…

Eu – Mas afinal estás a falar de quê?

Beatriz – Dos meus programas em Scratch.

Eu – Ah?

Beatriz – Scratch. É para programar.

Ops. A miúda está a aprender a programar? E o discurso saía-lhe assim tão natural, que estava a falar de objectos, eventos, triggers sem usar a terminologia. Nesta altura já levava aí umas três ou quatro semanas da sua formação em programação. Ofereci-me de imediato para a ajudar a resolver o “bug”, porque até precisava de descobrir o que era aquilo do Scratch. Fim do jantar e lá fui eu com a minha pequena professora, para a minha aula de Scratch e ver se depois conseguia pôr a princesa a gritar (!). URL  no browser e lá fomos nós…

SCRATCH it

O (ou “a”) SCRATCH começou por ser uma linguagem de programação, desenvolvida pelo Lifelong Kindergarten Group, pertencente ao prestigiado MIT Media Lab, com o intuito de apresentar a crianças dos 6 aos 16 anos os rudimentos das linguagens de programação. Com a adopção cada vez maior por parte de professores, escolas e pais, tornou-se muito rapidamente também a designação para uma comunidade online à volta da plataforma.

A ideia dos criadores passou por criar um ambiente de desenvolvimento atractivo para estas idades, mas onde os utilizadores / programadores pudessem exercitar o pensamento criativo, o raciocínio sistemático, a lógica, algoritmia e matemática. A forma como o implementaram é visualmente apelativa, intuitiva, de fácil utilização, mas ao mesmo tempo, permite o contacto com as estruturas lógicas presentes em qualquer algoritmo.

O SCRATCH tem servido de base para muitos “Clubes de Programação” por esse mundo fora e foi assim uma agradável surpresas a minha filha estar a usar a plataforma e a aprender programação.

Existe actualmente, sem dúvida, um esforço do Ministério da Educação para a introdução à informática logo no primeiro ciclo.  Tanto quanto me é dado a entender, o ensino das TIC (nome genérico que engloba quase tudo o que se ensina do 1º ao 12º anos de escolaridade) limita-se à chamada “óptica do utilizador”. Aulas e trabalhos práticos em casa são centrados na produção de conteúdos com softwares de produtividade (!), vulgo Office (e geralmente Microsoft Office), com uma ou duas variações entre o Prezi, o OpenOffice e outros. Esta limitação, esta abordagem “pela rama” deriva dos obstáculos do costume: falta de planeamento a médio / longo prazo, a falta de conhecimento dos estrategas da educação sobre o ensino das TI, a falta de formação adequada dos professores e a já “usual” falta de orçamento, entre outros factores.

Mesmo nesta abordagem, privilegia-se a aprendizagem nas aplicações Word e Power Point (ou equivalentes) e menos no Excel e Access. Dentro do que seria possível com estas suites, o Excel e Access poderiam dar noções básicas do potencial do cálculo imediato e recorrente, na análise de problemas complexos através do trabalho nas suas componentes mais simples (Excel) e ainda as noções primárias de bases de dados, potencial de selecção avançada e normalização de estruturas de dados (Access). Mas nem isso…

E pouco se faz na integração da informática como instrumento para o restante estudo (para além dos textos serem feitos agora no processador de texto e as apresentações em Power Point). O potencial do Excel para o ensino da Física e Química, por exemplo, é ignorado.

Do lado de dentro da indústria das TI

Existe também uma “indústria” de TI pouco dada a apoiar e até a utilizar a programação “fundamental”. Culpa das mais recentes plataformas de desenvolvimento de aplicações, muitas vezes ouço dizer, com mais ou menos seriedade, que “não vale a pena formar programadores, que agora as aplicações como que surgem quase auto programadas, que os robots vão substituir os programadores…”.

Este paradigma é tão verdade quanto a rádio ter sido aniquilada pela televisão, os cinemas pelos leitores de vídeo, a televisão pela internet, os correios pelo e-mail e até os taxistas pela Über. Tudo vai mudando com a descoberta pela Ciência e a utilização pela Engenharia de novas tecnologias, novas ferramentas e novos produtos, é certo. Mas estamos perante adaptações dos fundamentos. Não extinções!

Olhando para trás, e até considerando o ritmo alucinante do Século XX nesta matéria, o que vemos é adaptação do ser humano e daquilo que produz em termos de conhecimento e trabalho. Os fundamentos científicos, esses estão presentes ao longo da história. Note-se que continuamos a usar os conceitos matemáticos de Pitágoras, Aristóteles e Euclides. Claro que o estudo da matemática evoluiu muito ao longo dos séculos e ainda mais no século passado. Mas características como o rigor e a linguagem da matemática mantiveram-se como base para evoluções que nos trouxeram até hoje.

Na programação e na informática em geral, isto também é verdade. E a aculturação que fazemos das crianças em direcção à informática é feita nesta base da “informática na óptica do utilizador”. Quando muito, vá lá, de um “super-utilizador” (embora o termo “super” seja manifestamente um exagero). Essa estratégia (ou falta da outra) induz toda a sociedade no erro gigantesco de sentir, erradamente, que estamos a preparar a geração seguinte para este novo mundo de automação, virtualização e capacidade de cálculo e comunicação como nunca a humanidade viu. É uma sensação de segurança falsa, de deficiente preparação e fraca utilidade.

(Parentisis para referir, um pouco à margem deste tema, que ao nível do ensino superior, o cenário é diferente, pelo menos nos cursos relacionados com Tecnologias de Informação. No entanto, também aqui tenho visto recém-licenciados com a propensão para terminar no último trabalho prático do curso o seu uso de uma qualquer linguagem de programação. Pode parecer incrível, mas há recém-licenciados em Engenharia e Ciências de Computação que não sabem passar do mero exercício prático académico para a aplicação do conhecimento no mundo real. Tema para outro artigo…)

De qualquer modo, o problema não é exclusivo do nosso país. E, como o costume, a diferença está no facto de noutras geografias, ele está a ser endereçado, por vezes ao mais alto nível, outras vezes através da mais simples acção que poderemos encetar. Dois exemplos:

Há uns tempos atrás, num comentário a uma publicação de Mark Zuckerberg no Facebook, uma senhora (americana) dizia qualquer coisa como “Parabéns pelos seus sucessos [em ligar o mundo]… por isso digo à minha filha que namore com o nerd da turma. São estes que no futuro vão ter sucesso…” [a citação é de memória]. A resposta de Zuckerberg não podia ser melhor: “Era melhor que lhe dissesse para ela SER o nerd da turma”.

Uma resposta que, apesar de abordar numa primeira leitura uma questão mais sexista e de igualdade de género, encerra em si também a chamada de atenção para os “nerds” serem os mais preparados para viver estes novos tempos. São os nerds que estão melhor preparados, não só para viver estes novos tempos, mas sim para os fazer acontecer, para criar, para guiar. Entraremos brevemente no tempo do NERD-CHIC.

VIP Coder

Outro exemplo mais interessante quanto a mim vem do ex-Presidente dos Estados Unidos, Barack Obama: o primeiro Presidente a programar(!). Bom talvez seja exagero (ser o primeiro e “programar”). Em 2014, patrocinando com a sua presença um evento da Code.org, uma organização que promove o ensino da ciência de computadores, como em tantos outros momentos, Obama inspirou os mais novos e mais velhos, sendo que a sua preocupação para esta matéria mostra bem a sua importância económica e social para as nações. (Artigo da Wired.com)