Na última década, o governo chinês estabeleceu um pipeline eficiente de torneios de capture-the-flag (CTF) tanto como uma forma de atrair cidadãos com conhecimentos em tecnologia para a cibersegurança, quanto como parte de seu currículo e regime de treinamento em cibersegurança.

Os esforços deram frutos.

Hoje, a nação possui mais de 50 competições anuais utilizadas como parte do treinamento de dezenas de milhares — e possivelmente, centenas de milhares — de especialistas em cibersegurança, enquanto cria conexões mais fortes com o governo e a indústria. Além disso, competições específicas por setor — visando dispositivos móveis, veículos autônomos e cidades inteligentes, por exemplo — ajudam a aprofundar a expertise técnica dos participantes e a abordar as necessidades específicas de cada setor.

No geral, o governo chinês conseguiu reunir a nação para resolver suas lacunas em cibersegurança e atingir o objetivo de se tornar uma superpotência cibernética.

“A China, assim como o Ocidente, enfrenta uma escassez de talentos, e abordar essa escassez por meio de um sistema que pode ajudá-lo a avaliar talentos é definitivamente uma melhor maneira de resolver o problema”, afirma. “Se você olhar para todo o ecossistema, há muitas maneiras pelas quais os concursos de hacking podem trazer uma melhor alocação de recursos, tanto no curto quanto no longo prazo.”

Currículo Crítico para Estudos de Cibersegurança

Os concursos de hacking são um componente chave dos esforços da nação. Pelo menos 129 eventos de cibersegurança únicos, incluindo 54 concursos anuais, foram identificados pelos autores do relatório. O Ministério da Educação da China responde pela maioria das competições — um total de 22 — identificadas pelos pesquisadores, em comparação a 14 associadas à Administração do Ciberespaço da China, e 13 patrocinadas pelo Ministério da Segurança Pública. Cerca de dois terços das universidades consideram os concursos de hacking uma parte importante do currículo para especialistas em cibersegurança, com mais de três quartos dos estudantes (77%) participando de pelo menos um evento até o final do segundo ano.

Desde o início dos anos 2010, as competições CTF da China decolaram. Fonte: Relatório “Capture the (red) flag”, Atlantic Council

Entre outros benefícios, as competições permitem que o governo chinês obtenha informações importantes sobre novas estratégias e técnicas, bem como coletar técnicas de exploração utilizadas pelos participantes, o que o governo impôs desde 2018. Concursos de hacking também podem atrair jovens participantes, como estudantes do ensino médio, para o campo da cibersegurança, e ajudar os profissionais a manter suas habilidades atualizadas.

Comparado à abordagem abrangente da China, as nações ocidentais continuam a ficar aquém.

“Existem concursos organizados por empresas privadas ou universidades, mas eles não entram em detalhes ou na escala que vemos na China, nem fazem parte dos diplomas universitários”, afirma. “Eles não contam como parte da avaliação das suas notas, e portanto, esse componente de habilidades práticas e confronto direto está ausente em comparação ao ecossistema chinês.”

A Reversal nas Fortunas Cibernéticas da China

O esforço representa uma inversão da situação anterior a 2015, quando as equipes de CTF da China enfrentavam dificuldades em concursos internacionais e eram socialmente condenadas internamente por lucrar com prêmios de vulnerabilidades. Os ecossistemas de CTF da China — especialmente as competições interuniversitárias, que reúnem centenas de equipes — são agora os melhores do mundo. As principais competições incluem o Ironman Triathlon de Segurança da Informação, a Copa Qiang Wang, a Copa Wangding e a Liga Nacional de Cibersegurança Universitária.

Todos os eventos têm apoio do governo, com o Ministério da Segurança Pública, o Exército de Libertação Popular, o Ministério da Segurança do Estado e o Ministério da Educação patrocinando pelo menos um dos eventos baseados em universidades a cada um deles.

Os governos ocidentais poderiam aprender com essa abordagem. Atualmente, os EUA e a Europa enfrentam uma escassez de talentos cibernéticos devido à falta de um pipeline para direcionar estudantes com mentalidade técnica para funções de cibersegurança.

“Estamos atrasados quando se trata, especificamente, do ecossistema de concursos de hacking”, afirma. “Precisamos integrar concursos CTF nos currículos acadêmicos, para que possamos ter uma melhor correlação mais direta entre aulas de hacking e a formação de talentos.”

A China conseguiu reverter sua situação em cibersegurança, e a lição é que focar na experiência prática através de concursos de hacking e torneios CTF — bem como criar pipelines mais profundas entre universidades, o governo e a indústria — pode ajudar a resolver os problemas.

“Esse foi um processo muito orgânico e de baixo para cima que, em algum momento, o estado reconheceu e incentivou”, diz ele. “Eles começaram a ver esses sucessos no exterior e reconhecer — por causa de eventos geopolíticos — reconhecendo quão importante [a cibersegurança] é e que isso contribuiu para romper tabus e … uma grande mudança na cultura.”