Calin M. RANGUDirector Adjunct
Supraveghere Integrata
Traim intr-o lume interconectata, in care identitatea noastra se distribuie instantaneu in lumea virtuala. Dar stim cine suntem in aceasta lume? Odata prezenti in Internet, identitatea noastra este a tuturor, datele noastre pot fi vazute, utilizate cu sau fara voia noastra.
Cum ne protejam impotriva a ceea ce devine un flagel, furtul de identitate, tine de capacitatea formatorilor de piata de a ne instrui corect si a reglementatorilor de a proteja interesele consumatorilor de servicii informatice, financiare sau de alta natura. Faptul ca infractiunile informatice se dezvolta luand forme diverse, de la atacuri pentru bani, pana la atacuri cu conotatii de activism politic, determina o constientizare continua a riscurilor. Daca mai adaugam atacurile interstatale sau spionajul cibernetic, lucrurile se complica serios.
Apare conceptul "Internet of Things", adica aparatura cu care traim in casa, frigiderul, masina de spalat etc. vor fi si ele interconecontate si expuse. Dar suntem pregatiti pentru asta, atata vreme cat nu stim sa ne protejam identitatea proprie sau propriul calculator?
Romania este o tara proxy pentru atacurile informatice, adica suntem folositi pentru a ataca infrastructurile informatice din alte tari, fara sa ne dam seama. Cu alte cuvinte, calculatoarele celor care nu stiu sa se protejeze sunt infectate cu programe sofisticate prin care se realizeaza atacuri asupra altora. Adica identitatea ta este preluata si, dintr-un cetatean corect si cinstit, te transformi intr-un hacker fara voie, in timp ce identitatea ta este preluata de un infractor informatic care se prezinta ca fiind tu.
Daca nu ataci pe altii fara voie, te pot ataca altii pe tine. In ultimele luni milioane de conturi bancare au fost sparte prin atacuri informatice, de la simplul phising - prin care ti se cer datele de autentificare intr-o aplicatie bancara si tu le dai, crezand ca site-ul in care ai intrat este al bancii tale -, pana la atacurile din interiorul organizatiilor.
Chiar daca pare infricosator, solutiile sunt la indemana, dar pentru a te gandi la ele trebuie sa stii la ce te expui daca nu le aplici.
Problemele mai complicate sunt la nivelul companiilor. O companie lucreaza cu datele clientilor, pastreaza in conturi activele financiare ale clientilor sau doar datele lor personale. Din acest motiv nu doar simplii cetateni utilizatori de Internet trebuie sa isi ia masuri. In primul rand companiile trebuie sa ia masuri. Si aceste masuri tin de palierul acoperirii riscurilor operationale. Acestea trebuie sa ia masuri concrete de securizare, atat tehnologica, cat si organizatorica. Lipsa de procese reale, puse la punct si monitorizate, fara implementarea unor politici referitoare la personal si segregarea atributiilor, fara sisteme de monitorizare continua cu raportari asupra indicatorilor de risc, duce la o organizatie care se bazeaza doar pe conjunctura si noroc, fara a lua masuri proactive de prevenire. Aici reglementarile bazate pe standarde general acceptate trebuie sa ajute companiile sa isi creasca nivelul de maturitate operationala.
Identitatea fiecaruia dintre noi, cand este data unei baze de date a unei companii trebuie protejata corespunzator. Si acest aspect trebuie sa intre in zona protectiei consumatorului, a protectiei identitatii lui.
O protectie corespunzatoare nu tine doar de rezolvarea, in general tarzie, a unor incidente, ci de activitati de educatie pentru proprii clienti, de monitorizare preventiva, de masuri proactive.
Deci securitatea cibernetica are foarte multe fatete, de la aspectele tehnologice, la cele de organizare, educatie, masuri preventive.
Dar aceste masuri costa mult. Este rolul autoritatilor sa creeze structuri de suport pentru prevenire si alertare timpurie. Din acest motiv, atat legea securitatii cibenetice aflata in discutie publica, cat si opiniile tuturor actorilor pietei, sustin crearea centrelor de raspuns la situatii cibernetice, respectiv CERT-urile sectoriale.
Aceste CERT-uri pot asigura acele servicii care sa fie o contragreutate la criminalitatea informatica "as a service" (ca un serviciu). Armele de atac informatic se pot cumpara ieftin, chiar servicii de atac informatic se pot cumpara, fara sa ai nevoie a fi specialist in domeniu. Pentru astfel de abordari se impune o abordare structurata si reglementata. Multe firme nu au banii necesari a investitii in tehnologii si personal specializat. Din acest motiv serviciile de securitate informatica "as a service", oferite de un CERT reglementat si monitorizat de autoritati, pot reprezenta solutiile la o lume in transformare, in care atacatorii vor fi intotdeauna inaintea celor atacati.
Nu in ultimul rand, pentru a reduce pierderile, educatia continua si masurile proactive, la nivel individual si al companiilor, sunt absolut necesare.