Securitatea infrastructurilor informatice în România

Notă: Acest articol a fost publicat inițial în revista QMagazine.

Pe 5 februarie 2013 Consiliul Suprem de Apărare al Țării (CSAT) a aprobat „Strategia de Securitate Cibernetică” prin care se urmărește adoptarea unor măsuri de securitate care să ne alinieze la standardele NATO și ale Uniunii Europene. Această decizie vine la scurt timp după ce „RedOctober”, una dintre cele mai complexe operațiuni de spionaj informatic, a fost descoperită de KasperskyLab și s-a ajuns la concluzia că printre altele, a avut ținte din domeniul guvernamental și diplomatic din România. Dar această măsură este suficientă?

Într-o variantă de lucru a acestei hotărâri publicată de MCSI se amintește de un Sistem Național de Securitate Cibernetică ce dorește a fi cadrul de cooperare între instituțiile publice, mediul academic și privat. Nu pot decât să salut această decizie care va fi benefică pe termen lung, pentru că aduce România la un standard minim de securitate ce ar trebui să fie utilizat pe scară largă în toate infrastructurile din tară cel puțin critice și ne poate permite să aderăm la structuri similare internaționale.

Din păcate, această măsură nu face altceva decât, așa cum se și declară, standardizarea unor mecanisme de securitate, dezvoltarea unor documente ce să ne spună cum să reacționăm în anumite situații şamd. Aceste lucruri nu ne vor ajuta prea mult ținând cont că aici discutăm de spațiul cibernetic – un mediu sălbatic, instabil unde prietenul (fie el persoană, instituție sau stat) poate deveni dușman doar prin obținerea controlului neautorizat asupra infrastructurilor cibernetice ce le deține. Nu ne putem mulțumi doar cu minimul pe care ne este cerut pentru că dacă e să ne uităm tocmai la partenerii cu care România trebuie să se alinieze vom vedea că aceștia nu sunt chiar la același nivel tehnologic ca și noi.

Atât statele estice cat și cele vestice au constituit și finanțează proiecte și inițiative care se ocupă strict de cercetarea unor mecanisme de protecție împotriva atacurilor cibernetice, în contextul în care amenințările cibernetice nu sunt reprezentate doar de terorism, hacktivişti și persoane cu abilitați în domeniul securității informatice ci există foarte multe dovezi care arată că deja anumite state aplică atacuri informatice din interese strategice, economice unor alte țări existând deja un război cibernetic tacit în infiltrarea și obținerea unor informații cat mai sensibile de la concurentă, fie ea publică sau privată. Mai mult decât atât, există surse care afirmă că sunt țări precum China, Rusia sau Statele Unite ale Americii care se ocupă de dezvoltarea unor unelte ofensive pentru a lupta împotriva atacurilor cibernetice pentru că jucătorii mari au realizat deja că următorul front de luptă este tehnologizat.

Ce ar trebui făcut?

1. O cultură a securității cibernetice.

Organizarea de evenimente adresate atât mediului public și privat cat și celui academic prin care să fim ținuți la curent cu noile tehnologii folosite în exploatarea sistemelor informatice ar trebui să devină ceva normal așa cum avem zeci de conferințe și evenimente de Social Media, Marketing etc. De asemenea, crearea documentelor de bune practici pentru toți utilizatorii de Internet, indiferent de poziția lor pe scara profesională ar trebui să fie pe lista principală.

2. Cercetare în Securitate Informatică.

Cred că cel mai important punct în toată organizarea unui stat ce se preocupă de siguranța spațiului cibernetic este întreținerea unor echipe de cercetare în acest domeniu care ar trebui să experimenteze și să examineze în permanență noile amenințări informatice. Construirea „senzorilor”, servicii care să colecteze informații publice din cele mai importante surse ale spațiului cibernetic ar trebui să fie mic dejunul pentru aceștia.

Dezvoltarea unor soluții care să preîntâmpine și să blocheze cele mai noi tehnici folosite în exploatările cibernetice ar trebui să fie prânzul.

Crearea unor soluții de securitate cibernetică ofensive ar trebui să reprezinte cina într-ozi obișnuită a unui specialist în războiul cibernetic. De ce? Pentru că nici un război nu poate fi câștigat fără arme iar dacă printr-o greșeală se va declanșa vreo dată vreun război informatic, nu prea ar fi plăcut să fim incluși la daune colaterale. Arme de distrugere în masă nu putem produce dar inteligența și oameni foarte buni în programare și în dezvoltarea software avem și sunt de talie mondială.

3. Finanțarea mediului privat și o colaborare strânsă cu aceștia în contextul dezvoltării securității cibernetice.

Spațiul cibernetic internațional a arătat că cele mai bune rezultate le au în continuare organizațiile și firmele private ce se ocupă exclusiv de domeniul INFOSEC. Acestea au descoperit cele mai ample atacuri informatice, au venit cu soluțiile cele mai bune și mai rapide și au mediatizat foarte rapid pentru a preîntâmpina situațiile asemănătoare din alte infrastructuri informatice. Și la noi se poate aplica acest model.

4. O colaborare strânsă cu instituțiile internaționale publice dar și cu mediul privat din afară granițelor României.

Acest punct vine ca o completare a precedentului. Trebuie să colaborăm foarte bine cu cei care fac foarte bine acest lucru dar pentru asta trebui să avem know-how ce să-l împărtășim cu ei pentru a ne putea aștepta la ceva în schimb. Dacă nu ne implicăm în cercetarea INFOSEC, nu vom putea păstra nicio relație decât pe hârtie.

5. Adoptarea unor măsuri legislative care să clarifice mai bine spațiul cibernetic.

Și în special care sunt limitele, cum ar trebui reacționat în diverse contexte, care sunt măsurile când ne aflăm în război cibernetic etc. Spre exemplu cum considerați raportarea unei vulnerabilități venită din partea unei persoane individuale? Legile actuale o consideră ilegală iar dacă reacționăm după acestea ar trebui să dăm în judecată persoana ce încearcă să ne ajute să prevenim un atac venit cu scopuri malițioase. Și exemplele de interpretări deficitare continuă.

În loc de încheiere aș putea spune că ne aflăm într-un moment sensibil din toate punctele de vedere. Contează foarte mult cum ne jucăm șansa. Acum nu prea mai contează cine are o întindere geografică foarte mare sau cine are arme de distrugere în masă, ci doar cine e capabil să obțină rapid informația, să dețină controlul și să asigure stabilitatea. Asta poate fi făcută de câțiva oameni buni suficient de motivați și cu suficiente resurse, nu ai nevoie de o armată sau de miliarde.

Securitatea informatică și războiul cibernetic nu sunt realizate prin documente sau șabloane ci de oameni și prin tehnologie.