The Coverage Gap: Chile's Cyber Disclosure Framework versus the USA, EU and UK

Resumo Técnico: A Lacuna de Cobertura no Modelo de Divulgação Cibernética do Chile

Declaração do Problema
O artigo aborda um descompasso crítico entre o recém-estabelecido quadro jurídico para a proteção de infraestruturas críticas no Chile e a sua realidade operacional. Após a promulgação da Ley 21.663 (Marco Nacional de Ciberseguridad) e a designação de 915 Operadores de Importancia Vital (OIVs) pela Agência Nacional de Cibersegurança (ANCI), existe um perímetro regulatório no papel. No entanto, o artigo identifica uma "Lacuna de Cobertura" (Coverage Gap): a distância mensurável entre a exposição pública observável desses operadores e a sua capacidade declarada de coordenar a divulgação de vulnerabilidades.

O problema central é que, sem um canal verificável e detectável por máquinas para relatar vulnerabilidades, pesquisadores externos bem-intencionados não podem reportar falhas de forma responsável. Isso força uma escolha binária: deixar as vulnerabilidades sem mitigação ou recorrer a métodos de contato ad-hoc e não confiáveis. O artigo argumenta que a infraestrutura crítica do Chile, tendo sido alvo de atores sofisticados (incluindo intrusões ligadas ao Lazarus Group e APTs regionais), carece atualmente do substrato operacional para receber e triar esses relatórios, criando um ambiente de alto risco onde as vulnerabilidades podem não ser reportadas ou cair no mercado cinza.

Metodologia
A pesquisa utiliza uma metodologia estritamente passiva de Inteligência de Fontes Abertas (OSINT), projetada para operar rigorosamente dentro dos limites da lei de crimes computacionais chilena (Ley 21.459) e alinhada aos princípios da ISO/IEC 29147:2018.

1. Definição do Universo: O estudo abrange o universo completo de 915 entidades designadas como OIVs sob a Resolución Exenta No 87 (dezembro de 2025), abrangendo dez setores, incluindo energia, saúde, banca e administração estatal.
2. Construção do Catálogo: Os autores desenvolveram e lançaram o anci-oiv-resolver, uma ferramenta de código aberto que mapeia os identificadores fiscais legais (RUTs) dos OIVs para os seus identificadores públicos de Internet (domínios, trocadores de correio). Esta ferramenta cobre aproximadamente 98,7% do catálogo oficial.
3. Abordagem de Auditoria: A auditoria é estritamente observacional. Ela consulta fontes públicas (DNS, logs de transparência de certificados, cabeçalhos HTTP e recursos /.well-known/) sem sondagem ativa, exploração ou autenticação.
4. Validação: Um pipeline de validação de múltiplas camadas suprime falsos positivos, tendendo à rejeição em casos de ambiguidade. Isso garante que as alegações de vulnerabilidade ou má configuração sejam sustentadas por evidências de alta confiança, aceitando uma taxa de falsos negativos mais alta para proteger contra atribuições incorretas.
5. Rigor Estatístico: As alegações são estratificadas em três níveis:
   • Nível A: Enumeração em escala de universo (ex: distribuição setorial) derivada de registros públicos.
   • Nível B: Medição em escala de universo de artefatos observáveis (ex: má configurações de autenticação de e-mail).
   • Nível C: Estimativas baseadas em amostras generalizadas para o universo (ex: idade da pilha de software), reportadas com intervalos de confiança de Wilson de 95%.

Principais Contribuições

1. Formalização da "Lacuna de Cobertura": O artigo define a Lacuna de Cobertura como um framework de três camadas:
   • Camada 1: Contato de divulgação verificável (ex: security.txt conforme RFC 9116).
   • Camada 2: Visibilidade da superfície de ataque pública e documentação.
   • Camada 3: Capacidade observável de coordenação de divulgação (política, tempo de resposta, comportamento passado).
2. Censo de Escala de Universo: Fornece a primeira medição de escala de universo da capacidade de divulgação para um perímetro de infraestrutura crítica latino-americano, comparando-o com outros cinco jurisdições (EUA, Reino Unido, UE, Países Baixos, Dinamarca).
3. Ferramental de Código Aberto: O lançamento do anci-oiv-resolver permite que pesquisadores independentes reproduzam o mapeamento de domínio-OIV, reduzindo a barreira para futuras auditorias e transformando o perímetro de infraestrutura crítica chilena de um gargalo de pesquisa em um "bem comum de pesquisa" (research commons).
4. Roteiro de Políticas: Propõe um modelo de intervenção regulatória de quatro estágios e baixo custo, baseado em frameworks de sucesso existentes (CISA BOD 18-01, toolkit NCSC do Reino Unido), que a ANCI poderia implementar dentro de sua autoridade estatutária atual.

Resultados
A auditoria revela um déficit sistêmico severo na postura da infraestrutura crítica do Chile:

• Camada 1 (Contato de Divulgação): Apenas 1,7% (16 de 915) dos OIVs publicam um canal de divulgação verificável conforme a RFC 9116. Notavelmente, os quatro principais bancos e as duas operadoras de telecomunicações não possuem um canal inteiramente. Entre os operadores de infraestrutura do mundo físico (energia, saúde, transporte, etc.), menos de dez possuem um canal.
• Autenticação de E-mail: 84% (766 de 915) dos OIVs sofrem de má configurações de autenticação de e-mail (SPF, DKIM, DMARC). O problema mais comum é a publicação de registros DMARC com uma política p=none (apenas monitoramento) ou registros ausentes/quebrados, deixando os operadores vulneráveis a spoofing.
• Idade da Pilha de Software: Estima-se que 23,5% (IC 95% [12%, 38%]) do universo anuncia componentes de pilha de software em fim de vida ou com vulnerabilidades conhecidas.
• Disparidades Setoriais: O setor de Banca e Finanças apresenta a maior pontuação média de CVSS (7,8) e uma densidade de achados que excede sua participação no universo. O setor de Saúde também mostra alta densidade de achados em relação ao seu tamanho.
• Benchmarking Transjurisdicional: O Chile está significativamente atrás de jurisdições comparáveis. Enquanto os EUA, Reino Unido e Países Baixos alcançaram >95% de cobertura na Camada 1 após mandatos vinculativos (ex: CISA BOD 18-01), o Chile situa-se em 1,7%. O artigo estima que o Chile está aproximadamente oito anos atrás dos EUA, Reino Unido e Países Baixos, e três anos atrás da Dinamarca, na dimensão de mandatos de autenticação de e-mail.

Significância e Alegações
O artigo postula que a Lacuna de Cobertura não é uma medida de quão segura é uma operadora, mas sim uma medida da operacionalização do quadro regulatório. Uma lacuna de 98,3% na Camada 1 implica que, para a vasta maioria da infraestrutura crítica do Chile, uma vulnerabilidade descoberta por um pesquisador externo não possui um caminho definido para remediação.

Os autores alegam que:

1. Regulação sozinha é insuficiente: A existência da Ley 21.663 não garante segurança; bases técnicas mensuráveis (como canais de divulgação e autenticação de e-mail) são necessárias para tornar a lei eficaz.
2. A lacuna é uma oportunidade: O atual ambiente de "baixo sinal" (falta de ataques em massa direcionados) oferece uma janela para implementar esses controles antes que a infraestrutura se torne um alvo primário para adversários.
3. A remediação é viável e de baixo custo: O artigo argumenta que o Chile não precisa inventar novas soluções. Ao adotar um mandato DMARC análogo ao CISA BOD 18-01 e estabelecer um registro público de divulgação, a Lacuna de Cobertura poderia ser reduzida de 98,3% para menos de 10% em 36 meses.
4. Responsabilidade Ética: A pesquisa é estruturada como um bem público, desenhada para permitir o reporte em regime de safe-harbour e reduzir a fração de vulnerabilidades que ficam sem reporte, enquanto adere estritamente a princípios éticos para evitar a criação de uma "lista de alvos" para adversários.

O artigo conclui que o achado estrutural não é meramente uma deficiência técnica, mas uma falha do quadro regulatório em traduzir obrigações legais em capacidades operacionais observáveis. As intervenções propostas visam preencher essa lacuna utilizando mecanismos estabelecidos e comprovados.