Ultimul deceniu – și cu precădere ultimii ani – ne-au arătat că direcția viitorului apropiat stă în automatizări și în controlul tehnologiei la nivel cibernetic. Iar odată cu explozia spațiului cibernetic dincolo de granițele propriilor noastre case și spații de lucru, utilitatea acestui fenomen tehnologic a căpătat și o dimensiune macro. Spațiul cibernetic este acum mass-market. Tehnologia este în viața noastră, a tuturor. Fiecare casă, fiecare familie și fiecare organizație sunt astăzi parte din revoluția tehnologică. Producția de energie electrică, producția de autovehicule, de gaze naturale, de jucării, de produse alimentare, toate sunt supertehnologizate, având componente IT în ciclul de producție. Distribuția de energie electrică, de gaze naturale, transportul pe calea ferată, transportul aerian sunt coordonate cu ajutorul sistemelor inteligente și ale soluțiilor software specializate.
Mediul cibernetic trebuie să fie funcțional și sigur
Pe scurt, fiecare automobil modern, fiecare jucărie, aproape fiecare articol electrocasnic modern, toate sunt produse cu ajutorul unor soluții software – fundamentul funcțional al mediului cibernetic. Iar acest fenomen evoluează și se dinamizează de la an la an. Gândind prin intermediul acestei paradigme – care este o realitate – este ușor de văzut cum viața noastră este nu doar îmbogățită, ci și condiționată de avantajele soluțiilor software și a mediului cibernetic. Ele îndeplinesc o nevoie, dar reprezintă și o necesitate pentru că implică atât de multe dintre aspectele vieții noastre de zi cu zi. Pentru a putea avea o societate funcțională, mediul cibernetic trebuie să fie și el funcțional și sigur. Iar în acest caz nu este de mirare că pentru anul 2016 cea mai importantă tendință a dezvoltării în tehnologie este securitatea cibernetică. Bugete crescute, vulnerabilități care pot costa organizațiile din ce în ce mai mult, un mediu virtual tot mai efervescent, toate acestea sunt ingredientele unui fenomen care cere clar niște direcții de securitate la nivel național. Iar aceste direcții există deja.
În acest context, atât în ceea ce privește apărarea națională, cât și în ceea ce privește mediul de business, securitatea cibernetică devine o necesitate – nu o opțiune. Statele investesc din ce în ce mai mult în securitatea cibernetică, iar rezultatele sunt concretizate în mediul cibernetic relativ stabil pe care acestea reușesc să îl mențină. Însă conștientizarea la nivel social trebuie să crească pentru că gradul de utilizare al Internet-ului în România este crescut și pentru că infrastructura noastră de Internet și comunicare – una dintre cele mai noi și mai performante din lume – promite să lărgească și mai mult orizontul tranzacțiilor online. Iar aceasta înseamnă nu doar că miza este mare, ci că mai are mult loc să crească. Un asemenea fenomen generalizat impune și niște reguli de utilizare pentru că dacă miza este mare, interesul pentru găsirea vulnerabilităților este și el.
Țările au organizații naționale care se ocupă cu găsirea vulnerabilităților de acest fel, iar aceste organizații au un rol deosebit de important la nivelul securității cibernetice naționale, însă pentru a putea acoperi întregul fenomen este nevoie de un întreg curent de educație și conștientizare care să crească permeabilitatea societății la acest tip de informații. Să luăm ca exemplu unul dintre mesajele publicate de Centrul Național de Răspuns la Incidente de Securitate Cibernetică (CERT-RO) – instituția centrală în România care se ocupă cu asigurarea securității cibernetice la nivel național:
„Marți, 3 martie 2015, un grup de cercetători a descoperit o nouă vulnerabilitate SSL/TLS (CVE-2015-0204), denumind-o FREAK, acronim pentru Factoring RSA Export Keys. Această vulnerabilitate permite atacatorilor să intercepteze conexiuni de tip HTTPS între clienții vulnerabili și serverele web, forțându-i să utilizeze criptografia de tip «export-grade».”
Sunt sigur că un astfel de mesaj, unul din numeroasele publicate de CERT-RO pe pagina lor, nu sunt destul de conștientizate de mediul social, iar aici mă refer la un spectru semnificativ de oameni care ar trebui să urmărească aceste vulnerabilități: de la administratori de rețea, programatori sau alți specialiști în domeniul IT, până la angajați ai firmelor care își derulează diferite activități prin mediul online, inclusiv comunicații, banking, online business sau simple organizații care fac ori acceptă plăți online. Spectrul de oameni este amplu, iar permeabilitatea nu este încă suficient de mare, chiar dacă tot CERT-RO anunța în urmă cu ceva timp apariția unui virus troian orientat spre 12 instituții financiar-bancare din România sau un altul spre sisteme de operare mobile folosite la scara largă.
Instituții specializate ale statului lupta cu atacurile cibernetice, iar sumele investite în securitatea cibernetică devin tot mai semnificative. Însă pentru mediul privat, a permite ca informațiile clienților să fie „pierdute” nu este productiv. Iar companiile au conștientizat din ce în ce mai mult acest lucru, însă este și acesta un proces care probabil va mai dura. Un atac cibernetic poate păta reputația organizațională a unei firme și, la fel de important, poate reduce confortul publicului în a împărtăși informații relevante online. Aceasta este o problemă pentru că parte din atomicitatea proceselor de comunicare din societatea noastră se bazează pe încrederea utilizatorului în mediul online. Devine clar, așadar, că trebuie să investim în această direcție. Dar cum?
Cred că una dintre oportunitățile relevante în acest moment trebuie să se bazeze pe educația în privința securității cibernetice. Și este important ca acest lucru să se întâmple la toate nivelurile societății: de la sistemul de învățământ la sistemul de training al angajaților din cadrul organizațiilor private. Acest context cred că poate deveni o oportunitate la nivel național pentru că avem capacitatea de a oferi acest tip de educație. Un argument în acest sens este chiar faptul că avem specialiști IT de calibru în universități, iar instituții ale statului fac deja acest lucru. România a desfășurat proiecte prin care a antrenat specialiști pentru investigații de securitate cibernetică în Sri Lanka. Dacă putem extinde un astfel de serviciu spre beneficiul societății, de ce să nu o facem? O structură în care acest lucru ar putea să capete formă ar fi ca universități din România, împreună cu instituții ale statului, să vină în sprijinul operatorilor economici prin cursuri și training-uri. Mulți dintre specialiștii produși de Universitatea Politehnica din București urmează cariere de experți în domeniul securității cibernetice. Așadar, printr-un parteneriat stabil cu instituții ale statului, numărul de servicii direcționate în acest sens ar putea să crească în beneficiul societății româneşti.
Bugete uriașe în domeniul securității online
Este adevărat că unele dintre marile corporații investesc bugete uriașe în domeniul securității online și că au drept angajați unii dintre cei mai buni specialiști în acest sens, însă este bine de ținut minte că exact acestea sunt și unele dintre companiile care au avut cel mai mult de pierdut de pe urma vulnerabilităților cibernetice. Cu alte cuvinte, în mod cert cei mai buni specialiști în domeniul securității cibernetice se găsesc tot în mediul privat, însă pentru un fenomen mass-market este nevoie de un val de educație care să poată vorbi unui număr din ce în ce mai mare de oameni.
Companiile mari își alocă bugete importante pentru dezvoltarea infrastructurii de IT și cu precădere a infrastructurii de securitate, și nu doar în domenii precum e-Commerce sau banking ci și în retail. Însă cu puțină creștere a nivelului de conștientizare, cred că putem atrage atenția asupra faptului că investițiile în training-uri de specialitate sunt la fel de importante pentru asigurarea securității propriu-zise pentru că de multe ori eroarea nu este la nivel digital, ci, uman. Multe dintre vulnerabilitățile existente cer aprobarea utilizatorului într-un fel sau altul pentru a putea accesa informații personale sau de serviciu. Și cred că acest detaliu este un indiciu foarte relevant.
Vulnerabilitățile vor provoca pierderi din ce în ce mai mari
Concluzia directă: avem nevoie de educație în acest sens. Sigur, investițiile în infrastructură vor rămâne la fel de mari, însă cu cât mediul cibernetic va deveni mai extins și mai necesar vieții noastre cotidiene, vulnerabilitățile cibernetice vor putea provoca pierderi din ce în ce mai mari. Suntem obișnuiți cu faptul că Internetul predomină societatea noastră și facem eroarea de a presupune că îi cunoaștem și regulile. Însă multe dintre vulnerabilitățile existente ne dovedesc exact opusul.
Cred că 2016 va fi un an important în schimbarea de paradigmă a societății în ceea ce privește securitatea cibernetică pentru că se vor aloca bugete din ce în ce mai importante pentru soluționarea acestor vulnerabilități prin educație, iar acest lucru va crea o direcție clară de dezvoltare și la nivel național. În același timp, inovațiile tehnologice promit să extindă interacțiunea umană cu mediul cibernetic, ceea ce dinamizează și mai mult o piață în continuă expansiune și schimbare. Nevoia de stabilitate cel puțin în ceea ce privește securitatea este din ce în ce mai bine conturată.
Desigur, instituțiile specializate în acest sens fac eforturi importante pentru a acoperi o cerere din ce în ce mai mare, însă este clar că implicarea trebuie să vină din mai multe direcții pentru a putea reuși să ținem pasul cu evoluția tehnologiei. România are instituții importante în acest domeniu care sunt sigur că vor primi din ce în ce mai multă atenție în viitorul apropiat. Însă pentru ca educația în securitate cibernetică să poată fi popularizată la nivel național la același nivel cu mediul online, este nevoie de un număr din ce în ce mai mare de inițiative și de capacitatea de a aduce expertiza din zona de securitate cibernetică (la nivel național sau militar) în mediul civil.
Pentru a contribui la acest obiectiv național și social, Universitatea Politehnica din București și-a propus crearea unui centru de securitate cibernetică destinat zonei civile în parteneriat cu universități militare sau alte instituții specializate. Este o inițiativă care sper să marcheze un început, dar care, mai mult decât orice, reprezintă o invitație la colaborare, pentru că dacă am învățat ceva din numeroasele proiecte pe care universitatea noastră le-a desfășurat până în prezent, aceasta este că progresul este imposibil fără colaborare.
Abstract
The last couple of years have shown that the near future is directed towards automation and technological control at a cybernetic level. The expansion of cyber space beyond the limits of our own homes and workplaces gives a macro dimension to the utility of this technological phenomenon. Cyber space is now mass market. In order to have a functional society, cyber space itself has to be functional and safe. Cyber security has become the number one trend in technological development, becoming a necessity, not an option in both matters regarding national security and the business environment. Investments in infrastructure are significant. Still, vulnerabilities can cause extreme damage, the larger cyber space becomes. We are used to the idea that the Internet is present in every aspect of our lives and we assume we know its rules. Vulnerabilities prove us wrong and the best way to protect ourselves is to get educated in the matter.
Autor: Mihnea Costoiu
