În fiecare zi importanţa spaţiului cibernetic în viaţa fiecăruia creşte şi, implicit, sectorul IT&C capată o importanţă din ce în ce mai mare în bunul mers al societăţii. Prin migrarea către Internet a majorităţii serviciilor financiare, de informare, de socializare, de educaţie, nivelul de importanţă al acestuia creşte până într-acolo încât devine componenta esenţială a infrastructurii critice, iar securitatea sectorului IT&C devine o problemă de securitate naţională.
Ameninţările la adresa celor ce utilizează spaţiul cibernetic variază de la phishingul pentru obţinerea datelor personale (furt de identitate) şi spionajul industrial până la atacuri ce pot paraliza sectoare întregi ale infrastructurii critice cu pierderi incalculabile pentru un stat. Aceste ameninţări pot afecta într-o măsură semnificativă activitatea indivizilor, organizaţiilor, infrastructurii critice, a administraţiei şi nu în ultimul rând siguranţa naţională. Problematica securităţii sistemelor informaţionale ale sectorului public, în general, şi a celui guvernamental, în special, au devenit o prioritate de nivel naţional.
În prezent, atacurile prin intermediul Internetului pot să vină nu numai din partea unor hackeri sau grupuri, ci şi din partea unor organizaţii teroriste sau chiar guverne ostile, ori grupuri de crimă organizată, constituind adevărate atacuri la adresa securităţii unei ţări, inclusiv a României şi care au drept ţintă reţele informatice private sau guvernamentale (vezi cazul atacurilor din Lituania în iunie 2008). Mai mult, unele grupări teroriste, gen Al-Qaeda, folosesc Internetul în scopul propagandei şi pentru a recruta noi prozeliţi şi chiar pentru a-şi planifica unele atacuri. Teroriştii sunt interesaţi fie în a căuta capacităţi de hacking sau să antreneze proprii recruţi, fie în a angaja persoane din afara sistemului pentru a combina atacurile de tip kamikaze cu atacurile cibernetice.
La ora actuală, un atac informatic poate avea un impact similar cu o bombă plasată într-un loc public.
Dacă la început publicul larg manifesta un interes scăzut pentru utilizarea serviciilor on-line în parte datorită lipsei instrumentelor de plată (a cardurilor), iar mai apoi datorită lipsei încrederii în securitatea tranzacţiilor, în momentul de faţă observăm o creştere rapidă a numărului tranzacţiilor online, iar plata cu cardul a devenit un lucru obişnuit, majoritatea comercianţilor dispunând în momentul de faţă de mijloacele tehnice necesare efectuării acestui tip de plată.
Ca societate, devenim din ce în ce mai dependenţi de accesul şi procesarea rapidă a informaţiei. Pe masură ce această solicitare creşte, tot mai multă informaţie este stocată şi transmisă electronic, ceea ce cauzează schimbarea modului în care companiile abordează afacerile din punct de vedere operaţional.
Asigurarea unui mediu cibernetic securizat are ca rezultat direct creşterea încrederii populaţiei în utilizarea serviciilor online, facilitând astfel desfăşurarea proceselor administrative, eliminând necesitatea deplasării pentru plata taxelor, efectuarea de înregistrări şi tranzacţii bancare online, depunerea de documente etc.
Elaborarea şi punerea în practică a unei strategii de securitate cibernetică în viitorul apropiat este una dintre priorităţile României evidenţiate în Strategia Naţională de Apărare, asigurarea securităţii cibernetice fiind desemnată ca Obiectiv Naţional de Securitate.
Pe fondul interconectării din ce în ce mai pronunţate a diverselor sectoare ale infrastructurilor critice din România (transporturi, energie, comunicaţii, finanţe, armată etc.) cu cele din spaţiul european, apare necesitatea dezvoltării şi armonizării sistemelor de protecţie a infrastructurilor critice, precum şi a integrării acestora în sistemele de protecţie a infrastructurilor critice din Europa.
Urmează câteva exemple care încearcă să ilustreze cât mai bine importanţa securităţii cibernetice în câteva din sectoarele infrastructurii critice.
Sectorul financiar-bancar ca şi componentă a infrastructurii critice prezintă o importanţă majoră.
Din punctul de vedere al securităţii cibernetice, ameninţările la adresa acestui sector sunt prezente în permanenţă şi sunt din ce în ce mai sofisticate. Întâlnim de la metode de tip phishing şi inginerie socială până la metode complexe de penetrare a sistemelor informatice, cum ar fi spargerea criptării comunicaţiilor, interceptare a comunicaţiilor wireless. Scopul tentativelor de penetrare a sistemelor de securitate bancară este uşor de intuit: de la simpla obţinere de informaţii despre tranzacţiile unui concurent până la efectuarea de tranzacţii în scopul obţinerii de bani.
În Uniunea Europeană, asigurarea securităţii bancare şi a sistemelor de plată şi de debitare de numerar face obiectul preocupării active a tuturor băncilor pe de o parte şi al organismelor guvernamentale pe de altă parte, creşterea nivelului de fraudare a tranzacţiilor şi pierderea secretului bancar fiind factori ce pot scădea încrederea populaţiei şi a agenţilor economici în sistemele electronice de plată şi pot încetini creşterea economică, prin diminuarea numărului de tranzacţii.
Industria de apărare este o zonă deosebit de sensibilă în cadrul infrastructurii critice. Din punct de vedere cibernetic, nivelul de ameninţare poate fi considerat ca fiind extrem de ridicat având în vedere că interesul în penetrarea structurilor informatice ale industriei de apărare este atribuit de obicei unui alt stat capabil să aloce resurse importante atât din punct de vedere financiar, cât şi din punct de vedere al complexităţii metodelor de atac. Tehnologia folosită pentru infiltrarea sistemelor informatice poate fi extrem de sofisticată, practic imposibil de detectat, adaptabilă la schimbări şi poate rămâne în aşteptare până la primirea unei comenzi, moment în care poate transmite informaţii colectate din sistemul său reţeaua-gazdă sau poate incapacita respectivul sistem făcând astfel inutilizabile părţi importante ale sistemului de apărare.
Sistemul de sănătate, odată cu introducerea Cardului Naţional de Asigurări Sociale de Sănătate, va folosi, în mod accelerat, din ce în ce mai mult Sistemul Informatic Unic Integrat. Adoptarea unor măsuri de securitate cibernetică este imperios necesară având în vedere numărul foarte mare de asiguraţi şi importanţa pe care datele acestora o au pentru un eventual comparator. În egală masură, spitalele folosesc din ce în ce mai mult echipamente medicale conectate la sistemul informatic.
Accesul neautorizat la aceste echipamente poate avea consecinţe grave, până la pierderea de vieţi omeneşti.
Distingem în zona infrastructurilor critice, un alt sector important ca fiind sectorul energetic.
Acesta este, în momentul de faţă, supus unui proces susţinut de extindere datorată creşterii continue a cererii. Se prognozează că până în 2030, necesarul de energie în Europa va creşte cu până la 30%. Această cerere implică o investiţie masivă în sistemele de transport şi distribuţie a energiei ţinând cont de faptul că, în prezent, 54% din energia consumată în Europa este importată cu previziunea ca această cifră să crească până la 70%, până în 2030.
Investiţiile masive făcute de statele europene în reţelele de transport şi distribuţie de energie sunt, pe de o parte, motivate de creşterea cererii descrise mai sus, iar, pe de altă parte sunt motivate de necesitatea înlocuirii echipamentelor obsolete. Echipamentele noi sunt în cea mai mare parte echipamente ce, folosesc sisteme de control digital şi sisteme SCADA, care, pe lângă avantajele flexibilităţii şi posibilităţii de control centralizat au dezavantajul unei vulnerabilităţi pronunţate la atacuri cibernetice. Ameninţările principale pentru sistemele de control centralizat, (SCADA) au fost identificate ca fiind în mare parte ameninţările specifice reţelelor IT&C (accesări neautorizate, intruziuni, viruşi, atacuri de tip DDOS etc.), sectorul IT&C fiind identificat, la rândul lui, ca o altă componentă a infrastructurii critice. Datorită acestei asocieri ne vedem în situaţia de a asocia sistemelor de control şi vulnerabilităţile specifice sectorului IT&C, cum ar fi dependenţa de anumite sisteme de operare, de anumite aplicaţii, de infrastructura de transport de date, dezastre naturale, defecţiuni majore etc. Această situaţie face foarte complexă sarcina evaluării vulnerabilităţii sistemelor SCADA la atacurile cibernetice voluntare sau involuntare.
În Europa, ameninţările specifice sectorului IT&C fac obiectul unei preocupări permanente, fiind elaborate norme legislative şi strategii de combatere a criminalităţii informatice adaptate la complexitatea curentă a atacurilor. Cu toate acestea, riscul de apariţie a unor atacuri asupra infrastructurilor critice nu scade proporţional cu eforturile, datorită creşterii permanente a importurilor de energie din zone din afara Uniunii Europene, deci a interconectării reţelelor europene de transport de energie cu reţele de transport unde măsurile de protecţie europene nu au efect. În această situaţie, punerea în aplicare a strategiei europene de protecţie împotriva atacurilor cibernetice pe scară largă şi a întreruperilor de servicii prin îmbunătăţirea pregătirii, securităţii şi flexibilităţii sistemelor de protecţie a infrastructurilor critice apare ca o necesitate stringentă.
O întrerupere majoră de servicii în orice sector al infrastructurilor critice afectează pe scară largă deopotrivă populaţia şi agenţii economici din sectorul public şi privat, provocând un lanţ de disfuncţii şi întreruperi de servicii. Acest aspect determină luarea de măsuri comune şi înfiinţarea de organizaţii de tip CERT (Computer Emergency Response Team) cu componenta mixtă public-privată care să pună bazele unor sisteme de monitorizare protective şi proactive, de mitigare a riscurilor şi vulnerabilităţilor şi de coordonare şi concertare a reacţiei tip răspuns la atacurile cibernetice. Prin înfiinţarea de organizaţii de tip CERT la nivelul fiecărei componente a infrastructurii critice, dar cu precădere în sectoarele IT&C şi energetic, se speră ca în următoarea perioadă, să se diminueze nivelul de vulnerabilitate la ameninţările menţionate anterior, iar capacitatea de limitare a consecinţelor unor întreruperi de servicii să crească oferind mai multă eficienţă şi proactivitate organizaţiilor care au ca scop lupta împotriva ameninţărilor cibernetice.
Având în vedere situaţia actuală din domeniul securităţii IT atât la nivel global, cât şi la nivel naţional unde tot mai multe sisteme informatice sunt implementate atât în diverse instituţii ale statului, cât şi în companii private, considerăm ca o prioritate înfiinţarea de unităţi de tip CERT (Computer Emergency Response Team) dedicate sectorului guvernamental românesc, dar şi sectorului privat.
Autor: Marius Sticlaru
