Business Hi-Tech

￢ Guvernul a transmis, impreuna cu DNSC si STS, o informare catre toate institutiile publice centrale si locale, carora le cere sa verifice cu prioritate nivelul de protectie al sistemelor si "existenta si testarea copiilor de siguranta". Este insa o recomandare: mesajul vorbeste despre "recomandari tehnice si organizatorice" si despre "instructiuni privind indeplinirea obligatiilor prevazute de legislatia in vigoare", fara termen, fara obligatie de raportare si fara vreo consecinta anuntata pentru institutiile care nu se conformeaza

Reconstructia sistemului informatic al Cadastrului s-a incheiat, iar aplicatia e-Terra a fost mutata in Cloudul Guvernamental, anunta Guvernul in cel mai recent mesaj despre incidentul care tine blocata piata imobiliara de 16 zile. "Reconstructia infrastructurii informatice si migrarea aplicatiei e-Terra in Cloudul Guvernamental au fost finalizate", se arata in text, iar aplicatia "a fost instalata si configurata in noua infrastructura centralizata". Urmeaza testarea, dar un termen de repunere in functiune nu este anuntat nici de aceasta data.

Cu trei zile mai devreme, migrarea era inca in lucru. In informarea din 27 iulie, lucrarile "programate sa se incheie ieri" fusesera intrerupte la ora 03:00 si reluate, iar Guvernul transmitea atunci: "nu putem inca anunta o ora sau o data ferma de repunere in functiune".

Seful ANCPI - Laurentiu Alexandru Blaga

"In prezent se desfasoara etapa finala de validare", arata mesajul. Testele "de securitate, functionalitate si performanta sunt realizate independent de specialisti din cadrul Directoratului National de Securitate Cibernetica (DNSC), Serviciului de Telecomunicatii Speciale (STS) si Cyberint". Obiectivul declarat este identificarea "oricaror vulnerabilitati sau neconformitati care ar putea afecta securitatea, stabilitatea ori disponibilitatea serviciilor", iar procedura anuntata este iterativa: "Fiecare aspect identificat este remediat si retestat, astfel incat platformele sa fie repuse in functiune numai dupa confirmarea indeplinirii cerintelor operationale si a gestionarii adecvate a riscurilor de securitate".

Data redeschiderii ramane conditionata de rezultatul testelor, fara interval anuntat: "Vom continua sa comunicam public evolutia procesului si momentul repunerii in functiune imediat ce toate testele si validarile tehnice vor fi finalizate cu succes".

O circulara catre toate institutiile publice

Guvernul sustine ca atacul de la ANCPI ar fi tratat "nu doar ca un eveniment punctual, ci si ca un semnal de alarma pentru intreaga administratie publica", iar in acest context "a dispus intensificarea actiunilor de prevenire si consolidare a securitatii cibernetice la nivelul tuturor institutiilor publice".

Concret, Guvernul, impreuna cu DNSC si STS, "a transmis tuturor institutiilor publice centrale si locale o informare privind masurile necesare pentru cresterea rezilientei cibernetice si prevenirea unor incidente similare". Documentul cuprinde "recomandari tehnice si organizatorice, precum si instructiuni privind indeplinirea obligatiilor prevazute de legislatia in vigoare in domeniul securitatii cibernetice", iar institutiilor li s-a cerut sa verifice cu prioritate "nivelul de protectie al sistemelor informatice, implementarea masurilor de securitate, existenta si testarea copiilor de siguranta, precum si actualizarea planurilor de continuitate si de raspuns la incidente".

Guvernul se face ca lucreaza si trimite o circulara, fara sa schimbe de fapt nimic Informarea "cuprinde recomandari tehnice si organizatorice, precum si instructiuni privind indeplinirea obligatiilor prevazute de legislatia in vigoare in domeniul securitatii cibernetice", iar institutiilor "le-a fost solicitat sa verifice cu prioritate" lista de elemente. In text nu apar un termen pana la care verificarea ar trebui facuta, o obligatie de a raporta rezultatul, un mecanism prin care cineva sa confirme ca masurile exista efectiv, nici vreo consecinta pentru institutiile care nu fac nimic - mai exact Guvernul s-a acoperit si el pe sine cu o hartie, o circulara, sa nu se spuna ca nu a facut nimic.

Obligatiile la care trimite informarea sunt, de altfel, deja in vigoare: directiva europeana NIS2 a fost transpusa in Romania prin OUG 155/2024, de la finalul anului 2024, care stabileste pentru entitatile esentiale si importante cerinte de la managementul riscurilor si auditul de securitate pana la planurile de continuitate si notificarea incidentelor. Circulara le cere institutiilor sa verifice daca respecta reguli care li se aplica de un an si jumatate.

Specialistii consultati de ZF in ultimele doua saptamani au descris tocmai acest tip de mecanism - cerinta transmisa in scris, fara verificarea ulterioara a remedierii - drept sursa conformitatii formale din administratie. Adrian Munteanu, auditor de securitate cibernetica atestat de DNSC, il formulase astfel: "Ne-am obisnuit sa confundam existenta unei hartii cu existenta unui control. In securitate, hartia nu opreste atacatorul." Si, mai precis, pe chiar acest tip de instrument: "Atat timp cat o constatare critica poate fi inchisa printr-o adresa oficiala, fara verificarea tehnica a remedierii, vom continua sa avem conformitate pe hartie si vulnerabilitate in realitate." Testul pe care il propunea: "Nu este suficient ca institutia sa declare ca este conforma. Trebuie sa demonstreze ca masurile functioneaza."

Cat despre gradul de aplicare a legislatiei deja existente, Andrei Avadanei, fondator si CEO al companiei de securitate cibernetica Bit Sentinel, spunea la ZF Live: "Autoritatile publice centrale intra sub directiva NIS2. Nu sunt sigur ca toate au aderat la aceasta legislatie si au inceput sa-si rezolve din probleme, dovada fiind si genul acesta de incident." Ce cereau specialistii

Lista se suprapune, punct cu punct, cu ce reclamau specialistii consultati de ZF in ultimele doua saptamani. Adrian Munteanu, auditor de securitate cibernetica atestat de DNSC, atragea atentia ca intrebarea corecta despre copiile de siguranta este alta: "cand a fost facuta ultima restaurare completa si cat a durat? Daca backupul nu a fost testat, nu putem sti daca este utilizabil". Andrei Avadanei, fondator si CEO al Bit Sentinel, ceruse "Backup-uri offline, imuabile si testate periodic".

Ce ramane fara raspuns

Mesajul nu contine nicio masura intermediara pentru deblocarea activitatii pe perioada in care sistemul este oprit si nicio referire la o consultare cu profesiile afectate direct. Colegiul Geodezilor din Romania, organizatia inginerilor care intocmesc documentatiile cadastrale, a anunatat miercuri la ZF Live ca nu a fost chemat la nicio discutie de la producerea atacului: "Nu am fost solicitati. Le stam la dispozitie tuturor", a spus Mihnea Mitrache, vicepresedintele organizatiei, care a adaugat: "Noi cerem orice solutie care ne-ar putea reda activitatea, dar, din pacate, nu se implementeaza nimic".