Zf 24

Daca ar fi fost un cutremur, alerta anuntata pe 21 octombrie de echipa care dezvolta PHP ar fi putut declansa tsunamiuri si redesena harta unor regiuni intregi. PHP este limbajul de programare din spatele a milioane de site-uri si aplicatii web, de la magazine online la portaluri ale institutiilor. In plina Luna Europeana a Securitatii Cibernetice, au fost semnalate doua vulnerabilitati critice, notate fiecare cu 9,2 din 10 pe scala de severitate. Pe scurt, un atacator putea prelua controlul unui server de la distanta, fara cont si fara parola. Dupa doar cateva zile, bresele erau deja folosite in atacuri reale.

Nu este un caz izolat. Potrivit agentiei europene pentru securitate cibernetica ( ENISA ), in 2025 au fost descoperite peste 48.000 de vulnerabilitati software , cu 22% mai multe decat cu un an inainte. Acolo unde s-a putut afla pe unde au intrat atacatorii, in peste 60% din cazuri au folosit tocmai o astfel de bresa. Aproape trei sferturi dintre organizatiile atacate furnizeaza servicii esentiale sau importante, iar institutiile publice sunt cele mai vizate, cu aproape o treime din cazuri.

Pentru fiecare dintre noi, un atac cibernetic poate insemna o programare la medic care nu se mai poate face, un tren care intarzie sau un serviciu online care nu mai functioneaza. Romania a simtit asta in februarie 2024, cand atacul ransomware asupra sistemului informatic Hipocrate, folosit de zeci de spitale, le-a afectat activitatea, iar in iulie 2026, un atac ransomware asupra Agentiei Nationale de Cadastru si Publicitate Imobiliara (ANCPI) a blocat platforma e-Terra si a perturbat tranzactiile imobiliare timp de aproape o luna.

Securitatea cibernetica a devenit o responsabilitate a intregii organizatii, de la specialistii IT pana la conducere. Pentru companiile de software si servicii IT, care construiesc si administreaza o mare parte din aceasta infrastructura, ea tine direct de calitatea serviciilor si de increderea clientilor.

Stim ce contine software-ul pe care il folosim?

Alerta PHP ridica o intrebare simpla: cat de repede poate o organizatie sa afle unde foloseste componenta vulnerabila? Aplicatiile de astazi sunt construite din multe piese, de la furnizori diferiti, iar o problema intr-una singura se poate propaga in multe sisteme.

Solutia seamana cu eticheta unui produs alimentar. O lista a tuturor componentelor unui program, numita SBOM ( Software Bill of Materials ), arata imediat daca un sistem contine piesa vulnerabila si ce trebuie actualizat mai intai. ANIS propune ca o astfel de lista, intr-un format standard, sa fie obligatorie pentru programele cumparate de institutiile publice. Multe dintre aceste componente sunt dezvoltate de comunitati open-source, adesea de voluntari, asa ca regulile trebuie gandite astfel incat sa nu ii descurajeze.

La fel de important este ca statul sa nu ajunga dependent de un singur furnizor ( vendor lock-in ). Cand un sistem public foloseste standarde deschise si permite mutarea datelor la final de contract, o componenta poate fi actualizata sau inlocuita fara sa se blocheze totul. Asta inseamna sisteme mai sigure pentru cetateni si mai multa concurenta in proiectele publice, inclusiv pentru companiile romanesti.

Un incident. Mai multe raportari. Mai putin timp pentru raspuns.

Uniunea Europeana a introdus in ultimii ani reguli mai stricte: NIS2 pentru organizatiile care furnizeaza servicii esentiale, DORA pentru banci si sectorul financiar si Cyber Resilience Act pentru produsele digitale, de la aplicatii la dispozitive conectate. Din 11 septembrie 2026, producatorii trebuie sa anunte in 24 de ore vulnerabilitatile exploatate activ in produsele lor.

Regulile mai stricte sunt necesare. Problema apare in aplicare. In plin atac, o companie poate fi nevoita sa trimita aceleasi informatii catre mai multe institutii, fiecare cu formularul si termenul ei: Directoratul National de Securitate Cibernetica, ASF sau BNR, agentia europeana ENISA. Timpul petrecut cu formularele este timp pierdut pentru oprirea atacului.

Riscul cibernetic nu scade prin mai multe formulare. Companiile au nevoie de reguli clare, armonizate si proportionale cu riscul, care sa le permita sa se concentreze pe protectia efectiva a sistemelor si serviciilor.

Principiul ar trebui sa fie simplu: un incident se raporteaza o singura data, iar informatia ajunge automat la toate institutiile care au nevoie de ea. Pentru asta, Romania are nevoie de o platforma nationala unica, legata direct de cea europeana.

Comisia Europeana a propus deja un astfel de punct unic de raportare si estimeaza ca ar putea reduce la jumatate costurile de raportare. Propunerea este inca in dezbatere la nivel european, iar ANIS a cerut, in contributia la Strategia Nationala de Securitate Cibernetica 2027-2032, ca Romania sa pregateasca din timp un sistem compatibil. Resursele economisite pot merge spre preventie, detectie si interventie.

O provocare asemanatoare apare la produsele digitale. Unele dintre ele vor trebui verificate de organisme specializate inainte de a fi vandute in Uniunea Europeana. Daca astfel de organisme nu exista in Romania, companiile romanesti vor fi nevoite sa isi testeze produsele in alte tari, cu costuri si intarzieri in plus. Germania, Franta sau Spania au ales un model in care statul supravegheaza, iar firme private acreditate fac evaluarea si testarea. Firmele mici, care nu au specialisti dedicati, au nevoie in plus de ghiduri practice si de sprijin pentru primii pasi.

Securitatea, o cursa contra cronometru

Inteligenta artificiala ajuta la detectarea mai rapida a atacurilor, dar ii ajuta si pe atacatori, de la mesaje inselatoare mai credibile la operatiuni automatizate. ENISA observa ca AI este folosita tot mai des in atacuri. Pentru dezvoltarea unor sisteme AI sigure, cele mai utile sunt ghidurile practice, nu sanctiunile care descurajeaza inovatia.

Calculatoarele cuantice aduc o provocare pe termen lung: in viitor, ar putea sparge metodele de criptare care protejeaza astazi datele bancare, medicale sau ale statului. Datele furate acum ar putea fi decriptate peste cativa ani. Noile standarde de criptare, rezistente la aceasta amenintare, au fost publicate inca din 2024. Un prim pas concret ar fi ca organizatiile din sectoare esentiale, precum finantele, telecomunicatiile, energia si sanatatea, sa isi inventarieze pana in 2028 sistemele de criptare pe care le folosesc.

Decalajul dintre viteza tehnologiei si ritmul in care se modernizeaza infrastructura devine el insusi o vulnerabilitate. Securitatea gandita inca din proiectare ( secure-by-design ) si sistemele care pot fi actualizate usor trebuie sa faca parte din investitiile de astazi.

Industria IT poate dezvolta astfel de solutii, dar are nevoie de un stat care tine pasul. Noua Strategie Nationala de Securitate Cibernetica 2027 - 2032 este momentul potrivit: finantare pe mai multi ani, rezultate masurabile si publice si o colaborare reala, de lucru, intre stat si industrie.

Luna Europeana a Securitatii Cibernetice s-a incheiat, dar riscurile nu au sezon. Nu putem sti cand va aparea urmatoarea vulnerabilitate. Putem insa decide cat de pregatiti suntem. De asta depind tot mai mult serviciile pe care le folosim zilnic, increderea in mediul digital si competitivitatea Romaniei.

Corina Vasile, director executiv Asociatia Patronala a Industriei de Software si Servicii

Pentru detalii privind propunerile ANIS la Strategia Nationala de Securitate Cibernetica 2027-2032, documentul integral poate fi consultat aici:

https://anis.ro/wp-content/uploads/Contributie_ANIS_Strategia_Cibernetica_2027-2032.pdf