Despre cyber defence şi viitoarea lege a securităţii cibernetice

Radu Dobritoiu: Bun găsit! Discutăm în această seară despre apărarea cibernetică şi despre viitoarea lege a securităţii în acest domeniu, avându-l ca invitat pentru aceste subiecte sensibile pe ministrul comunicaţiilor şi socieţii informaţionale, Marius Bostan. Discutăm despre legea securităţii cibernetice cu o zi înainte de a doua dezbatere publică referitoare la proiectul pentru acest act normativ. Un minister de importanţă strategică, în faţa unor provocări atât pe plan intern, cât şi în zona securităţii informaticii internaţionale. Vorbim despre cyber defence şi despre legea securităţii cibernetice. Bună seara domnule ministru Marius Bostan! Bun venit la RRA!
Marius Bostan: Bună seara! Bine v-am găsit! Bună seara tuturor ascultătorilor dumneavoastră!

Radu Dobritoiu: Primul interviu pentru RRA în calitate de ministru, dacă nu mă înşel?
Marius Bostan: Da, sunt pentru prima dată la Radio.

CLIC PENTRU A ASCULTA EDITIA DIN 18 FEB

Radu Dobritoiu: Domnule ministru, provocări mari. Cum staţi cu bugetul pentru un minister de importanţă strategică?
Marius Bostan: Din păcate suntem limitaţi, ca toate ministerele, de constrângerile existente. Niciodată nu sunt bani suficienţi pentru nevoile existente. Şi întotdeauna, să ştiţi, în administraţia publică întotdeauna nevoile sunt mai mari decât posibilităţile. Nu se întâmplă numai la noi în ţară, să ştiţi, în mai toate ţările, numai că este necesar să intrăm într-o ţintă de deficit bugetar, deci să nu mărim prea mult cheltuielile, să ne îndatorăm prea mult. Este important să fim echilibraţi în alocarea banilor şi într-adevăr bugetul nostru nu este unul tocmai, să spun, pe măsura nevoilor şi pe măsura domeniului.

Radu Dobritoiu: Când aţi preluat mandatul aţi spus că oamenii trebuie să se adapteze la provocările secolului XXI şi cei din ministerul dumneavoastră, care nu se adaptează şi nu depun eforturi în acest sens, ar trebui să părăsească ministerul.
Marius Bostan: Am făcut această declaraţie şi chiar în perioada de când am venit la minister am transmis acest mesaj tuturor angajaţilor. Am început deja să.., pe cei care doresc să înveţe, să reuşească să acumuleze cunoştinţe noi şi să fie în pas cu tehnologia şi cu noile informaţii, pentru că acest domeniu este unul care se schimbă în fiecare zi. După cum bine vedeţi, nu ştiam în urmă cu câţiva ani ce poate face un calculator, sau ce poate face un simplu telefon, un smartphone. Puterea de calcul acuma a unui smartphone este de foarte multe ori mai mare decât era în urmă cu procesoarele.

Radu Dobritoiu: Procesoare cu opt nuclee. Se poate lansa chiar un atac cibernetic de pe un smartphone în acest moment.
Marius Bostan: Teoretic da.
Radu Dobritoiu: Teoretic da.
Marius Bostan: Teoretic da şi se poate folosi.
Radu Dobritoiu: Domnule ministru, România stă foarte bine la ceea ce înseamnă broadband-ul, internetul de bandă largă. Mult mai bine decât multe ţări din UE. Cum vă explicaţi acest avans?
Marius Bostan: Noi stăm foarte bine la viteza de internet în general şi avem şi partea asta de reţele de nouă generaţie. Există în oraşele mari şi asta se datorează mediului privat, trebuie să spun, în special, deţinătorilor de infrastrucură privaţi, dar şi statului care a investit cât de cât în acest domeniu. Dar mai sunt multe de făcut. Sunt multe pete albe pe teritoriul României. Avem o hartă întreagă a penetrabilităţii internetului. După cum bine ştiţi acum internetul devine o necesitate în viaţa noastră. Vrem să comunicăm, vrem să comunicăm cu cei dragi, vrem să-i vedem, vrem să ascultăm radio pe internet, vrem să ascultăm, să vedem filme pe internet.

Radu Dobritoiu: Treptat, televiziunea se mută pe IP-TV. Radioul se mută pe internet şi după aceea, probabil, în digital. Sunt foarte multe provocări pentru un minister care trebuie să fie foarte tânăr din punct de vedere al mentalităţii, al priceperii la tehnologia informaţiei, dar şi al personalului. Cum rezolvaţi această problemă?
Marius Bostan: Din păcate, salariile în sistemul public sunt foarte mici, ceea ce face relativ foarte dificilă atragerea unor competenţe, unor oameni bine pregătiţi, unor tineri bine pregătiţi în acest domeniu al tehnologiei informaţiei, ai High Tech-ului putem spune. Salariile chiar în România sunt destul de mari în acest domeniu.
Radu Dobritoiu: În privat, să precizăm.
Marius Bostan: În privat. Statul nu va putea concura cu privatul. Trebuie să găsim alte metode, se lucrează la o lege a salarizării unitare în sectorul public şi atunci sperăm să avem o diferenţiere pentru acest domeniu şi în acelaşi timp eu sunt încrezător în dezvoltarea unor parteneriate şi cu sectorul privat şi de exemplu, în domeniul securităţii cibernetice este foarte greu chiar în instituţiile de forţă, de securitate să reţii oameni pricepuţi în acest domeniu cu salariile din sistemul public. Chiar un expert la FBI spunea că au şi ei aceeaşi problemă în SUA. Deci şi acolo se pune această problemă pentru că diferenţierea privat-public este foarte mare şi atunci trebuie găsite metode. Un tânăr ar trebui să beneficieze şi asta vom încerca să facem, dacă reuşim să atragem, o să scoatem toate posturile la concurs rămase libere, sperăm în câteva săptămâni să fie făcut anunţul, aşteptăm avizele de la Agenţia Naţională a Funcţionarilor Publici şi să atragem oameni în sistem, oferindu-le poate nişte programe de pregătire suplimentare, o interacţiune, dorinţa de a servi în serviciul public pentru că sunt oameni care sunt mai puţin interesaţi de salariu. Trebuie să-i găsim pe aceia care sunt gata să-şi dedice eforturile pentru o cauză publică, măcar o perioadă, măcar câţiva ani, măcar un an, doi, trei din viaţă să lucreze în serviciul public.

Radu Dobritoiu: În această industrie ştiţi că salariile pornesc de undeva de la 2.000 de euro, să spunem.
Marius Bostan: Da. Cel puţin.
Radu Dobritoiu: Pe lună. Putem anunţa deja că, în scurt timp, veţi deschide uşile pentru angajări la Ministerul Comunicaţiilor.
Marius Bostan: Din păcate, salariile nu o să fie de acest gen. Nu poţi să...
Radu Dobritoiu: Sigur că da, dar...
Marius Bostan: O să încercăm să atragem şi în cadrul unor proiecte europene cu salarii ceva mai mari.
Radu Dobritoiu: Sigur sau poate şi cu bursă de şcolarizare să-i luaţi de pe băncile Facultăţii de Matematică şi Informatică, unde dumneavoastră sunteţi licenţiat.
Marius Bostan: Ar fi minunat să putem aduce şi absolvenţi în sistem.

Radu Dobritoiu: Domnule ministru, prima prioritate în mandatul dumneavoastră - viitoarea lege a securităţii cibernetice. Ce aduce nou acest act normativ?
Marius Bostan: Trebuie să spun că acest act normativ apare ca o necesitate. Noi nu reglementăm acest domeniu din dorinţa de a reglementa sau de a aduce noi sarcini pentru sectorul privat sau pentru deţinătorii de infrastructuri. Este o necesitate. Trebuie să spunem că, în ultimii ani, sunt provocări din ce în ce mai mari, numărul atacurilor cibernetice a crescut într-un mod exponenţial.
Radu Dobritoiu: Şi s-a diversificat ca metode.
Marius Bostan: Metodele să spun alese de atacatori sunt din cele mai diverse şi din cele mai inovative. Trebuie să fim gata să răspundem, să avem o apărare activă la acest tip de agresiune, iar noi, prin lege, avem această datorie. Deci, este cumva o responsabilitate dată, atât de Constituţie, cât şi de legile ţării, să asigurăm o apărare cât mai bună. Spaţiul cibernetic nu se întinde numai în interiorul graniţelor. Este un spaţiu deschis şi atunci provocările sunt cu atât mai mari. În afară de asta, atacurile, de obicei se dau lateral, adică sunt folosite calculatoare ale unor persoane poate, nu ştiu...
Radu Dobritoiu: Cu mantă.
Marius Bostan: Exact. Poate ei nu ştiu că puterea lor de calcul este folosită...
Radu Dobritoiu: Sau chiar site-urile lor sunt utilizate pentru a lansa anumite atacuri.
Marius Bostan: Sunt folosite pentru a... şi atunci este cu atât mai complex. Toţi experţii sunt de acord că această problemă a reglementării securităţii în domeniul cibernetic este o problemă dificilă. În acelaşi timp, dacă nu o facem riscăm ca în viitor să suferim, adică să primim...
Radu Dobritoiu: Să fim copleşiţi de ceea....
Marius Bostan: Să fim copleşiţi de pagube. Gândiţi-vă băncile, gândiţi-vă la infrastructurile de energie, gândiţi-vă ce ar însemna o centrală.
Radu Dobritoiu: Cernavodă să spunem.
Marius Bostan: Exact. O centrală nucleară. Deci, nu ne putem juca cu astfel de lucruri şi din această cauză am pus această lege ca prioritate. Din păcate, a mai fost o /lege/ care în urmă cu un an a fost declarată neconstituţională din anumite motive care au fost listate de Curtea Constituţională. Noi am încercat şi vor reuşi în acest proiect să reglăm aceste probleme de constituţionalitate, astfel încât să nu mai existe nicio temere şi să nu mai ajungem în situaţia de a fi legea declarată neconstituţională./salina/fcostea/ Asta a fost o eroare, să spun, de reglementare, care a fost constatată de Curte şi asta e primordial pentru noi să rezolvăm aceste probleme şi în acelaşi timp trebui să spunem, această lege se adresează în special persoanelor juridice, pentru că au existat interpretări, adică domnule, se intră în viaţa cetăţeanului. Nu este vorba de aşa ceva. Libertatea cetăţeanului şi spaţiul lui privat, spaţiul lui propriu nu va fi, să spun aşa, nu va suferi o intruziune din partea unor organizaţii sau din partea unor autorităţi ale statului decât în cazul existenţei unui mandat judecătoresc. Deci cu ajutorul mandatului judecătoresc, ca în orice alte cazuri de fapt, se pot face investigaţii şi se pot strânge date. Deci nu va mai fi vorba, nu este un lucru arbitrar de a intra în viaţa privată a unei persoane. Este foarte important să apărăm aceste principii universale pe care e clădit Occidentul şi democraţia. Deci libertatea persoanelor, drepturile omului, dreptul la viaţă privată vor trebui să fie respectate, respectate atât de autorităţile de stat, cât şi de alţi inamici ai libertăţii. Ce ar însemna ca un hacker să pună mâna pe datele personale sau pe conturile de card sau pe parolele unui utilizator onest de internet? Deci trebuie să fim gata să protejăm cetăţenii ţării. Şi din cauza asta avem nevoie de acestă lege să creeze cadrul de acţiune pentru autorităţi şi cadrul de alertă la acest tip de agresiune, care din păcate devine din ce în ce mai des.

Radu Dobritoiu: Este o zonă în care trebuie foarte mult să anticipaţi la fel ca în jocul de şah mişcările şi invenţiile celor care speculează orice breşă de securitate n spaţiul cibernetic.
Marius Bostan: Aş vrea să dau un exemplu. Un cetăţean, un om obişnuit are o proprietate şi are o grădină a lui. El îşi face un gard câteodată, deşi n-a venit nimeni neapărat să-i fure înainte, dar ştie că poate veni. Şi atunci el îşi face un gard acolo sau îşi face un sistem de apărare sau ştie că păsările, ciorile în speţă o să vină să-i atace cultura şi atunci creează, să spun, partea de apărare înainte de a veni, pentru că degeaba reacţionăm după ce nenorocirea s-a întâmplat. Având în vedere semnale, ce se întâmplă în acest spaţiu şi în regiune suntem nevoiţi să acţionăm. Domnule ministru Marius Bostan, vă propun să ascultăm un reportaj despre conceptul strategic adoptat la summitul NATO de la Lisabona din 2010, prima dată în alianţă când sunt calificate clar ameninţările din domeniul cibernetic ca vizând direct securitatea infrastructurilor naţionale vitale, într-un fel în care pot pune în pericol prosperitatea, securitatea şi stabilitatea naţională şi euroatlantică. Prima dată când în cadrul alianţei se înfiinţează o brigadă pentru Cyber Defence, aşadar, la summitul NATO de la Lisabona. La summitul din Ţara Galilor aceste concepte au fost dezvoltate. O sinteză de Petruţ Hîrţescu.

Reporter: La summitul din Ţara Galilor din 2014 şefii de stat şi de guvern din NATO au stabilit noua politică în domeniul apărării cibernetice, care subliniază că aceasta este partea obligaţiei de bază a NATO, adică apărarea colectivă. Documentul menţionează clar că responsabilitatea fundamentală a NATO în domeniul securităţii cibernetice este de a-şi apăra propriile reţele, dar şi că asistenţa oferită aliaţilor trebuie abordată solidar. Aici apare clar şi responsabilitatea statelor membre de a-şi dezvolta capacităţile de protejare a reţelelor naţionale. În plus, s-a stabilit că o decizie în cazul în care un atac cibernetic ar putea să conducă la invocarea articolului 5 va fi luată de Consilul Nord-Atlantic. Aliaţii au căzut de acord că ameninţările cibernetice se manifestă prin exploatarea vulnerabilităţilor de natură umană, tehnică şi procedurală. Ameninţările se manifestă cel mai adesea prin atacuri cibernetice asupra infrastructurilor de utilitate publică, accesarea neautorizată a infrastructurilor cibernetice, modificarea neautorizată de date informatice, spionaj şi cauzarea unui prejudiciu financiar. La summitul NATO s-a decis şi crearea a cinci fonduri destinate consolidării capacităţilor defensive ale armatei ucrainene, iar România conduce programul de apărare cibernetică. Nu doar Ucraina beneficiază de experienţa informaticienilor români, ci şi Europol. Potrivit şefului acestei instituţii, 20% dintre experţii ei în securitate cibernetică sunt ofiţeri ai Poliţiei române.

Radu Dobritoiu: Domnule ministru, ştim că interfaţa cu Alianţa Nord-Atlantică este, de fapt, SRI, dar şi Ministerul Comunicaţiilor este foarte implicat pe acest palier. Nu cred că este uşor să conduceţi un minister cu implicaţii, inclusiv în această zonă a securităţii cibernetice într-o ţară importantă din NATO, mai ales că avem atacuri chiar în ţări riverane României.
Marius Bostan: Da, din păcate, după cum au fost în surse deschise, chiar în presă şi pe internet, aţi văzut ce se întâmplă în Ucraina, de exemplu, unde au fost atacate infrastructuri de energie - conform unui comunicat al Ministerului Energiei din Ucraina - chiar acum o lună, cred că în decembrie, la sfârşitul anului. Au provocat chiar întreruperea furnizării de curent electric într-o zonă şi au folosit serviciile de internet ale unui furnizor rus şi au avut convorbiri telefonice şi pe teritoriul rus ca parte a atacului coordonat. Trebuie să spune, noi suntem în NATO, avem aliaţi foarte puternici, aceste lucruri.., este mai greu să se întâmple în România, datorită apartenenţei noastre la NATO, dar în acelaşi timp şi noi trebuie să fim furnizori de securitate. Pentru că investiţiile din România, pentru că România se dezvoltă..., după ce a intrat România în NATO şi în UE trebuie să spunem că s-a dezvoltat şi luaţi-o..., au crescut preţul terenurilor, au crescut preţurile caselor, adică proprietăţile deţinute de toţi oamenii din România valorează mai mult acum. Noi ca să apărăm ceea ce avem este necesar să ne protejăm prin reglementările şi prin răspunsurile adecvate la acest tip de agresiune. În Moldova, în Republica Moldova, trebuie să spun, luna trecută în ianuarie chiar au fost întrerupte emisiunile de televiziune datorită unui atac cibernetic. A fost operatorul naţional MoldTelecom, chiar a emis un comunicat, unde a explicat din ce cauză la şapte posturi de televiziune li s-a întrerupt emisia. Deci vedeţi ţări care nu sunt în NATO din proximitatea noastră, cu care avem graniţă, care se confruntă cu mari probleme. Deci suntem datori, văzând aceste semnale, vâzând ceea ce s-a întâmplat în ultimii ani în regiunea noastră suntem datori şi responsabili şi aici guvernul este responsabil, statul este responsabil pentru apărarea propriilor cetăţeni, pentru protejarea averilor şi drepturilor propriilor cetăţeni conform Constituţiei.

Radu Dobritoiu: Sunt şi acestea componente ale războiului hibrid alături de războiul informaţional. Iată şi războiul informatic se manifestă în ţările limitrofe României şi, putem spune, în ţările riverane flancului de est al Alianţei Nord-Atlantice din care noi facem parte.
Marius Bostan: Da şi în pus, noi investim acuma, de exemplu un broadband a spus, în 780 de sate din România introducem reţea de fibră optică de nouă generaţei ca să facilităm accesul la internet în aceste zone rurale şi un proiect foarte important, denumit ronet al guvernului, finanţat din bani europeni. Dar ce înseamnă dacă oamenii cumpără calculatoare, cumpărăm infrastructură, avem smartphone, avem absolut toată tehnologia nouă dacă ea va fi folosită contra noastră. Un atacator poate folosi toată această investiţie a noastră...
Radu Dobritoiu: Şi reţelele, şi calculatoarele noastre, şi serverele...
Marius Bostan: Exact, contra noastră. Adică noi, apărătorii libertăţii şi din banii noştri construim o viaţă mai bună pentru români şi ea să fie distrusă de atacatori de diverse tipuri, pentru că atacatorii au mai multe profile, unii sunt direct financiari, unii sunt din alte ţări...
Radu Dobritoiu: Şi interese diferite.
Marius Bostan: Şi interese diferite. Este o întreagă paletă a lor.
Radu Dobritoiu: Atacuri din ce în ce mai dese asupra unor servere sau siteuri civile sau publice, o dezbatere desfăşurată astăzi cu specialişti din domeniul IT, a analizat această sensibilă problemă a securităţii pe internet. Un reportaj de Alex Buzică.

Reporter: În ultimii ai, pe fondul acţiunilor desfăşurate de grupările hacktiviste au fost semnalate şi atacuri cibernetice derulate asupra unor sistem informatice aparţinând unor entităţi publice sau private din România. Gheorghe Şerban, directorul general al Asociaţiei internet provider din România.
Gheorghe Şerban: Sunt foarte multe atacuri, pe care care nici nu le simţim. Sunt cele, ca să zic aşa, liniştite, tăcute şi care, de fapt, urmăresc nu să blocheze o activitate, ci să capteze nişte date de acolo. Aceste atacuri, din păcate, nu poartă la început o etichetă sau o siglă şi să ştim exact care este.Toate instituţiile private sau publice trebuie să înţeleagă două aspecte. Unu: au o mare răspundere cu privire la păstrarea datelor respective, dar şi cetăţeanul trebuie să ştie câteva lucruri, tot ce se întâmplă în spaţiul real şi în spaţiul virtual îl priveşte şi pe el.
Reporter: Nu numai instituţiile publice sunt vizate de atacurile cibernetice, ci şi utilizatorii de internet de toate vârstele.
Cristian Tranulea, dezvoltator aplicaţii smartphone: Protejarea înseamnă atunci când dai datele undeva să fi sigur că acel site prezintă o ganaţie că nu-l dă mai departe. Sunt unele siteuri care, deşi sunt din partea unor instituţii publice s-ar putea să pară mai puţin sigure. Dacă băgăm datele de card trebuie să ne asigurăm că cei care prelucrează cadrul sunt ok, pagina este cu HTTPS.
Reporter: SRI şi alte instituţii cu responsabilităţi în materie au permanent în atenţie agresiunile cibernetice şi cooperează pentru identificarea şi protejarea infrastructurilor cibernetice naţionale.

Radu Dobritoiu: Domnule ministru Marius Bostan, ameninţările din spaţiul cibernetic se materializează prin exploatarea vulnerabilităţilor de natură umană, tehnică şi/sau procedurală, cel mai adesea în accesarea neautorizată a infrastructurilor cibernetice, modificarea, ştergerea sau deteriorarea neautorizată de date informatice, ori restricţionarea ilegală a accesului la aceste date. Cu ce vine legea securităţii informatice pentru a ne proteja de aceste incidente?
Marius Bostan: Legea fixează responsabilităţi pentru deţinatorii de infrastructuri, pentru provideri, pentru furnizorii de servicii de comunicaţii şi pentru companiile care administrează astfel de sisteme şi în special pentru companiile sau organizaţiile şi administraţia care deţine infrastructură critică de interes naţional, unde acolo problemele sunt mult mai sensibile şi mult mai importante. Atribuţiile sunt împărţite exact pe categorii, să spun aşa, de probleme. Facem o paralelă exact ca o, să spun, ca o echipă SMURD cumva, fiecare în echipă are un rol. Deci există o cooperare între instituţii, între Ministerul Comunicaţiilor, care are anumite atribuţii, între SRI, MApN care se ocupă cu alte tipuri de infrastructuri, Autoritatea Naţională de Reglemntare în Telecomunicaţii, care se ocupă de operatorii de comunicaţii mobile, de exemplu şi fixe. Deci sunt împărţite atribuţiile şi încercăm prin această lege să funcţionăm ca o echipă şi încercăm în acelaşi timp să schimbăm informaţii relevante prin structurile existente.

Radu Dobritoiu: Domnule ministru, profit de prezenţă dumneavoastră la RRA, sunt jurnalist, nu pot evita o astfel de întrebare. Să ne referim un pic şi la Poşta Română. Aţi declarat, în decembrie, într-un interviu, citez "Eu îmi doresc ca Poşta Română să devină o companie real profitabilă, de care să fie mandru orice român. Poşta este extrem de importantă, este o companie cu un numar foarte mare de angajaţi, avem peste 27.000 de angajaţi. Cred că trebuie să ne construim încrederea în poştă". Ce se va întampla, domnule ministru, cu Poşta Română? Intrăm în sediile sale şi parcă ne trimit înapoi în timp, înainte de anii '90.
Marius Bostan: Poşta Română are nevoie de investiţii rapide atât în partea de procesare automată a trimiterilor poştale, atât în partea de tehnologie, a informaţiei, de calculatoare şi de imprimate şi absolut tot sistemul informatic, pentru că suntem într-o nouă epocă şi, normal, şi sediile în care, din păcate, nu s-a mai investit de foarte mult timp în ele. Putem face aceste lucruri atât timp cât avem un plan care să arate că această investiţie se returnează şi că această investiţie este rentabilă. Ceea ce, evident, datorită capilarităţii şi datorită diversificării serviciilor va fi posibil, dar este important să avem acest plan precis şi am cerut - Adunarea Generală va avea loc în martie - un plan precis, pe cinci ani, am spus eu, pentru că finanţarea necesară este destul de mare şi trebuie arătat foarte clar finanţatorului că există un plan precis de diversificare, de creştere a veniturilor, de îmbunăţăţire a managementului şi de atragere de venituri care să asigure profitabilitatea acestei companii. Prima etapă va fi de implementare a acestui plan împreună cu un pachet de finanţare. Sunt deja instituţii financiare internaţionale care sunt gata să finanţeze dezvoltarea Poştei şi în etapa următoare, dacă nu vom reuşi să atragem capital suficient, vom încerca să listăm la bursă - asta este opinia mea, dar o să avem un consultant specializat care să propună asta - să listam la bursă un pachet de acţiuni pentru că aducând noi parteneri în capital, în mod cert va exista mai mare putere de dezvoltare. Deocamdată nu avem decât un singur partener, este Fondul Proprietatea, care deţine 25% din acţiuni, şi cu care ne sfătuim pentru a găsi calea cea mai bună de dezvoltare a Poştei Române. Este important pentru că Poşta ajunge acolo unde alte companii private în acest moment nu ajung. Şi este foarte important că toată structura Poştei se suprapune peste structura statului şi peste structura administrativă şi teritorială a României şi acesta este un lucru foarte important. De asta Poşta trebuie să fie o companie importantă în strânsă legătură cu românii.

Radu Dobritoiu: Domnule ministru Marius Bostan, vă mulţumim pentru că aţi fost la "Euroatlantica" şi pentru că aţi ales să acordaţi primul interviu despre viitoare lege a securităţii cibernetice pentru RRA.