Os trabalhos relativos ao estudo deverão ser realizados de acordo com as fases seguintes:
3.1. Fase 1 - Levantamento
3.1.1. Descrição:
3.1.1.1. O prestador de serviço deverá proceder ao levantamento dos elementos significativos relativos à arquitectura da rede1 e do serviço, aos seus activos e recursos, às políticas, às medidas e à organização e gestão de cada empresa necessários para a realização das fases subsequentes;
3.1.1.2. O prestador de serviço deverá proceder ao levantamento da situação tendo em conta as normas e as recomendações internacionalmente reconhecidas e as recomendações apresentadas no estudo ARECI, indicadas no parágrafo 1.2 e 1.3 da Parte II deste Caderno de Encargos.
3.1.1.3. O prestador de serviço deverá proceder ao levantamento da situação tendo em conta o quadro regulamentar em vigor e as suas perspectivas de evolução.
3.1.2. Trabalho a Desenvolver:
3.1.2.1. O prestador de serviço responsável pela elaboração do estudo deverá detalhar a sistematização dos elementos a recolher;
3.1.2.2. O prestador de serviço responsável pela elaboração do estudo deverá obter a informação necessária, por respostas a questionários, por visitas a locais ou outro que considere adequado desde que justificado;
3.1.2.3. O prestador de serviço responsável pela elaboração do estudo deverá ter em conta relações de interdependências entre diversos operadores de redes e prestadores de serviços, tipos de rede, nomeadamente ao nível físico, lógico e organizacional;
3.1.2.4. O prestador de serviço responsável pela elaboração do estudo deverá obrigatoriamente dar especial atenção para relações de interdependência entre elementos de rede e de serviço de diferentes operadores e prestadores.
3.1.3. Resultados/Deliverables
3.1.3.1. O relatório final desta fase deverá sistematizar os elementos recolhidos por tipo de rede e serviço de comunicações electrónicas.
3.2. Fase 2 - Análise Geral
3.2.1. Descrição:
3.2.1.1. O prestador de serviço deverá proceder à análise da situação encontrada em termos da segurança das redes e dos serviços de comunicações electrónicas de acordo com as normas e recomendações técnicas aplicáveis, nomeadamente as indicadas no parágrafo 1.2 e 1.3 da Parte II deste Caderno de Encargos;
3.2.1.2. O prestador de serviço deverá proceder à análise da situação encontrada em termos de robustez e disponibilidade (resiliência) das redes e serviços de comunicações electrónicas. Esta análise deverá dar especial atenção para o caso salvaguarda de reserva de capacidade para comunicações de emergência e o caso de fazer face a situações de congestionamento;
3.2.1.3. O prestador de serviço deverá proceder à identificação e caracterização das principais interdependências entre diferentes redes e/ou serviços de comunicações electrónicas.
3.2.2. Trabalho a Desenvolver:
3.2.2.1. O prestador de serviço responsável pela elaboração do estudo deverá realizar uma análise geral da situação encontrada, tendo em conta os elementos recolhidos na fase anterior;
3.2.2.2. O prestador de serviço responsável pela elaboração do estudo deverá validar as conclusões apresentadas, podendo para tal ter necessidade de fazer auditorias junto das empresas;
3.2.2.3. No final da execução desta fase o prestador de serviço responsável pela elaboração do estudo deve proceder à apresentação do relatório desta fase e dos resultados alcançados, a pedido do ICP-ANACOM, num seminário;
3.2.2.4. Esta apresentação será também utilizada pelo prestador de serviço para recolha de elementos adicionais que possam influenciar as fases subsequentes e para validar os resultados obtidos.
3.2.3. Resultados/Deliverables
3.2.3.1. O prestador de serviço responsável pela elaboração do estudo deverá apresentar um relatório que caracteriza e analisa a situação encontrada em termos de segurança das redes e dos serviços de comunicações electrónicas e conter os elementos de seguida apresentados;
3.2.3.2. O relatório deverá indicar quais os elementos que carecem de um estudo mais detalhado, a ser feito na fase seguinte;
3.2.3.3. O relatório deverá indicar quais as principais vulnerabilidades encontradas, ao nível, nomeadamente, de infra-estruturas e de fornecimentos partilhados, pontos de falha única e de preparação e resposta a incidentes;
3.2.3.4. O relatório deverá indicar quais as vulnerabilidades que afectem em simultâneo mais do que uma entidade ou que criem interdependências entre diferentes redes e/ou serviços de comunicações electrónicas.
3.3. Fase 3 - Análise de Cenários
3.3.1. Descrição:
3.3.1.1. O prestador de serviço deverá proceder à análise mais detalhada de determinados elementos das redes e serviços de comunicações electrónicas mais significativos em termos de resiliência;
3.3.1.2. Os elementos a analisar são resultantes das conclusões da análise feita na fase anterior. A análise desta fase deverá dar especial atenção para os casos salvaguarda de reserva de capacidade para comunicações de emergência e de fazer face a situações de congestionamento.
3.3.1.3. O prestador de serviço responsável pela elaboração do estudo deverá ainda obrigatoriamente realizar uma análise de risco pormenorizada, tendo em conta a possibilidade de ocorrência de cada um dos seguintes cenários de ameaça, a caracterizar mais detalhadamente no início desta fase:
3.3.1.3.1. Ataque físico a elementos da infra-estrutura das redes ou dos serviços provocando a sua destruição ou inibição;
3.3.1.3.2. Ataque cibernético a activos, nomeadamente aplicações e sistemas, das redes ou dos serviços provocando a sua destruição, alteração, inibição de acesso e/ou interrupção;
3.3.1.3.3. Situação de pandemia, nomeadamente uma doença infecciosa, com impacto significativo nos recursos humanos dos operadores de redes e prestadores de serviços;
3.3.1.3.4. Um desastre natural com impacto significativo, afectando uma zona geográfica generalizada, provocando impactos ao nível de uma grande catástrofe acompanhado pela interrupção do fornecimento de energia eléctrica por período de tempo prolongado em partes significativas das infra-estruturas das redes e dos serviços;
3.3.1.4. O prestador de serviço responsável pela elaboração do estudo deverá ainda obrigatoriamente realizar uma análise de risco , tendo em conta a possibilidade de ocorrência em simultâneo dos cenários previstos no parágrafo 3.3.1.3.1) e 3.3.1.3.2).
3.3.2. Trabalho a Desenvolver:
3.3.2.1. O prestador de serviço responsável pela elaboração do estudo tendo em conta a análise feita na fase anterior, deverá realizar uma análise detalhada dos elementos mais conspícuos em termos da segurança das redes e/ou dos serviços de comunicações electrónicas de acordo com as normas e recomendações técnicas aplicáveis;
3.3.2.2. O prestador de serviço responsável pela elaboração do estudo deverá desenvolver uma análise de risco que esteja de acordo com as melhores práticas internacionais e tenha em conta as normas e recomendações indicadas nos parágrafos 1.2 e 1.3 da Parte II do presente Caderno de Encargos;
3.3.2.3. O prestador de serviço responsável pela elaboração do estudo deverá documentar-se através de visitas aos locais, de entrevistas aos responsáveis ou outro que considere adequado desde que justificado.
3.3.3. Resultados/Deliverables
3.3.3.1. O prestador de serviço responsável pela elaboração do estudo deverá apresentar um relatório pormenorizado no qual é feita a avaliação da situação encontrada e do risco associado, em termos de segurança de redes e de serviços de comunicações electrónicas e conter os elementos de seguida apresentados;
3.3.3.2. O prestador de serviço responsável pela elaboração do estudo deverá apresentar um relatório pormenorizado contendo uma avaliação e caracterização da situação encontrada nos operadores de redes e prestadores de serviços de comunicações electrónicas, avaliando especificamente o seu nível de preparação, de recuperação e o impacto para as situações apresentadas nas alíneas 3.3.1.3.1), 3.3.1.3.2), 3.3.1.3.3), 3.3.1.3.4) e 3.3.1.4).
3.4. Fase 4 - Recomendações
3.4.1. Descrição:
3.4.1.1. O prestador de serviço responsável pela elaboração do estudo deverá desenvolver e apresentar um plano de acções e respectivo impacto que tenha em conta os resultados das fases antecedentes em termos da segurança das redes e dos serviços de comunicações electrónicas, nomeadamente quanto às interdependências, de acordo com o quadro regulamentar em vigor e as suas perspectivas de evolução e normas e recomendações internacionalmente reconhecidas ou constantes de estudos, nomeadamente as indicadas no parágrafo 1.2 e 1.3 da Parte II do presente Caderno de Encargos;
3.4.1.2. O plano deverá ter uma perspectiva de curto e médio prazo, nomeadamente de 3 a 5 anos, que tenha em conta as evoluções tecnológicas e regulamentares;
3.4.1.3. O plano deverá tomar em linha de conta as características geográficas específicas ao nível do Continente, e das Regiões Autónomas dos Açores e da Madeira.
3.4.2. Trabalho a Desenvolver:
3.4.2.1. O prestador de serviço responsável pela elaboração do estudo deverá preparar e apresentar um plano contendo diversas linhas de acção, conforme indicado no parágrafo 3.4 da Parte II do presente Caderno de Encargos;
3.4.2.2. Para cada linha de acção deverá ser caracterizado, qual o tipo de responsabilidade que cabe a cada entidade, qual o impacto da sua implementação, dando especial ênfase aos aspectos económicos e sociais, quais os factores de risco associados, quais as vulnerabilidades que se pretendem minimizar ou eliminar, quais os indicadores chave de desempenho e quais as metas a atingir;
3.4.2.3. O plano deverá apresentar soluções específicas para as recomendações apresentadas no estudo ARECI dando especial atenção para aquelas que se encontram referidas na alínea 1.3.4);
3.4.2.4. No final da execução desta fase o prestador de serviço responsável pela elaboração do estudo deve proceder à apresentação do relatório final do estudo e dos resultados alcançados, a pedido do ICP-ANACOM, num seminário.
3.4.3. Resultados/Deliverables
3.4.3.1. O prestador de serviço responsável pela elaboração do estudo deverá apresentar um relatório que apresente o plano de acção a desenvolver tendo em conta o exposto no parágrafo 3.4.2) e conter os elementos de seguida apresentados;
3.4.3.2. O relatório deverá ter planos de acções particulares para questões de interdependência entre diversos operadores de rede e prestadores de serviços, e tipos de rede.
3.4.3.3. O relatório deverá indicar e caracterizar qual os tipos de acções de cooperação e de parceria que deverão ser desenvolvidas, nomeadamente em termos de resposta a incidentes incluindo exercícios e infra-estruturas;
3.4.3.4. O relatório deverá identificar quais as medidas legislativas que serão necessárias desenvolver para a sua correcta e eficaz implementação.
1 Rede de Comunicações Electrónicas - Sistemas de transmissão e, se for o caso, os equipamentos de comutação ou encaminhamento e os demais recursos que permitem o envio de sinais por cabo, meios radioeléctricos, meios ópticos, ou por outros meios electromagnéticos, incluindo as redes de satélites, as redes terrestres fixas (com comutação de circuitos ou de pacotes, incluindo a Internet) e móveis, os sistemas de cabos de electricidade, na medida em que sejam utilizados para a transmissão de sinais, as redes utilizadas para a radiodifusão sonora e televisiva e as redes de televisão por cabo, independentemente do tipo de informação transmitida (Lei n.º 5/2004, de 10 de Fevereiro).
