O que muda para a infraestrutura crítica de Singapura com o novo código de cibersegurança

Os proprietários de infraestrutura crítica de informação — conhecida pela sigla CII — terão de trabalhar com a Cyber Security Agency of Singapore (CSA), a agência de cibersegurança do país, para implementar sistemas de detecção de ameaças desenvolvidos localmente em segmentos relevantes de suas redes.

O objetivo é ampliar a visibilidade e identificar atividades maliciosas não apenas dentro do sistema formalmente classificado como CII, mas também nas partes conectadas do ambiente operacional. A ferramenta já está em uso em alguns sistemas, com expansão planejada para os 11 setores.

A mudança parte de um risco conhecido: invasores podem usar sistemas menos protegidos como porta de entrada para chegar à infraestrutura crítica. A CSA afirma que agentes de ameaça vêm mirando sistemas que não são classificados como CII justamente por essa razão.

2. Cibersegurança passa a ser responsabilidade de todo o conselho

A nova abordagem tira a cibersegurança do papel de responsabilidade exclusiva da área de tecnologia ou de um único executivo. Todo o conselho de administração e a alta gestão deverão supervisionar os riscos cibernéticos e a capacidade de recuperação da organização.

Os conselhos terão de manter uma estrutura documentada de resiliência cibernética que trate de:

• tolerância da organização ao risco cibernético;
• medidas para reduzir e administrar esse risco;
• possíveis mecanismos de transferência de risco; e
• prioridades e capacidades de recuperação.

Essa estrutura deverá ser revisada pelo menos uma vez por ano.

Na prática, a regra transforma a resiliência cibernética em uma obrigação permanente de governança, e não em uma iniciativa pontual de conformidade. Também dá aos diretores um papel mais claro na definição do risco que a organização aceita assumir e de como os serviços continuarão funcionando depois de um incidente grave.

3. A supervisão alcançará sistemas conectados

Os operadores de CII deverão supervisionar os sistemas que se conectam, se comunicam ou dão suporte à infraestrutura crítica. As exigências atualizadas também preveem arquitetura de rede mais robusta, aperfeiçoamento do monitoramento e da gestão de detecção, além de planos abrangentes de exercícios de cibersegurança para respostas coordenadas a incidentes.

Isso exigirá um mapa mais completo das dependências tecnológicas. Um sistema que esteja fora da classificação formal de CII ainda poderá precisar de atenção reforçada se oferecer um caminho até serviços críticos ou afetar a recuperação após um ataque.

4. Sistemas de suporte deverão alcançar o Cyber Trust Mark nível 5

Até o fim de 2027, os proprietários de CII deverão obter a certificação Cyber Trust Mark (CTM) nível 5 para os sistemas não classificados como CII que controlam e que dão suporte às suas operações ou serviços. A exigência amplia a garantia de segurança para além dos sistemas formalmente designados como críticos.

O nível 5 é o mais alto da estrutura Cyber Trust de Singapura. O programa de certificação abrange áreas como cibersegurança tradicional, segurança em nuvem, segurança de tecnologia operacional e segurança de sistemas de inteligência artificial.

A intenção é reduzir a distância entre um sistema CII altamente protegido e a infraestrutura corporativa ao redor dele — que pode compartilhar credenciais, ferramentas de administração, redes ou processos de recuperação.

Por que Singapura está endurecendo as regras

A inteligência artificial reduz o tempo de reação

A CSA afirma que o código atualizado foi elaborado para enfrentar ameaças de APT e ataques habilitados por inteligência artificial. A IA pode ajudar invasores a operar com mais velocidade, escala e sofisticação, pressionando as organizações a identificar atividades suspeitas mais cedo e a responder em todo o ambiente, em vez de depender apenas de controles de perímetro.

A resposta regulatória, portanto, não se limita à adoção de mais uma ferramenta técnica. Ela combina detecção, governança, certificação e exercícios para que os operadores consigam identificar ameaças, tomar decisões rapidamente e recuperar serviços críticos quando a prevenção falhar.

O caso UNC3886 expôs o valor estratégico das telecomunicações

A campanha de 2025 atribuída ao UNC3886 teve como alvo as quatro principais operadoras de telecomunicações de Singapura. O país descreveu a atividade como uma campanha deliberada, direcionada e bem planejada, conduzida por um grupo com capacidades avançadas.

A CSA também identifica o UNC3886 como um grupo estatal de ameaça persistente avançada que utiliza técnicas sofisticadas, incluindo métodos de living off the land — exploração de ferramentas legítimas já presentes no sistema — e vulnerabilidades de dia zero. O grupo mira ativos estratégicos de alto valor, entre eles infraestruturas críticas.

Em resposta, Singapura lançou a Operation CYBER GUARDIAN, uma ação coordenada entre órgãos públicos e empresas de telecomunicações. Segundo as autoridades, a operação conteve o incidente sem interrupção dos serviços de telecomunicações e não encontrou evidências de comprometimento de dados de clientes.

A ausência de interrupção registrada não torna o episódio menos relevante para outros setores. O caso mostra por que telecomunicações, energia, saúde, finanças, transporte e outros serviços essenciais são tratados como alvos estratégicos — e por que os controles de Singapura estão sendo estendidos aos sistemas e fornecedores que cercam a CII.

Nuvem e fornecedores terceirizados formam a próxima camada

Singapura planeja lançar, na segunda metade de 2026, um código de prática de cibersegurança específico para serviços de nuvem. O documento deverá estabelecer requisitos para a implantação, a operação e a gestão segura de sistemas CII hospedados em ambientes de nuvem.

A CSA trabalhou com AWS, Google Cloud e Microsoft Azure em orientações específicas para cada provedor. O material aborda configurações adequadas e o uso de recursos nativos de segurança da nuvem.

Os prazos de certificação também alcançam a cadeia de fornecedores de cibersegurança:

• auditores de CII deverão obter o CTM nível 5 até o fim de 2026;
• provedores licenciados de testes de invasão e de centros de operações de segurança gerenciados deverão obter o CTM nível 3 até o fim de 2026;
• proprietários de CII deverão obter o CTM nível 5 para os sistemas de suporte relevantes até o fim de 2027.

As medidas refletem um princípio mais amplo: a segurança de um operador crítico depende não apenas de seus próprios controles, mas também das organizações que auditam, monitoram, testam e hospedam seus sistemas.

O que ainda não está definido

A CSA já publicou o código atualizado para CII, mas as obrigações detalhadas do código separado para serviços de nuvem ainda estão em desenvolvimento. Os materiais públicos indicam o cronograma previsto e o foco geral das regras, mas ainda não especificam completamente as exigências para provedores de nuvem, subcontratados e modelos de responsabilidade compartilhada.

Para os operadores de CII, a prioridade imediata é avaliar toda a cadeia de dependências: a infraestrutura formalmente designada, os sistemas conectados, as cargas de trabalho em nuvem, os ambientes de recuperação, os fornecedores e os serviços terceirizados de segurança.

A direção da política de Singapura é clara, mesmo que parte dos detalhes de implementação ainda esteja por vir: a fronteira de proteção está deixando de ser apenas o sistema que recebeu o rótulo de CII e passa a abranger todo o ecossistema operacional.