Recompense pentru cei care descoperă vulnerabilități în sistemele instituțiilor publice

Senatul a adoptat luni un proiect de lege care îi permite Directoratului Național pentru Securitate Cibernetică (DNSC) să desfășoare programe prin care specialiștii în securitate informatică să caute și să raporteze vulnerabilitățile din retelele și sistemele informatice ale autorităților și instituțiilor publice. Cei care descoperă probleme reale, confirmate, vor primi recompense în bani.

„DNSC poate iniţia şi gestiona programe de identificare şi raportare a vulnerabilităţilor, cu acordarea de recompense băneşti pentru vulnerabilităţile validate, pentru reţelele şi sistemele informatice proprii, precum şi pentru cele deţinute, administrate sau utilizate de autorităţi şi instituţii publice de alte entităţi de drept public din spaţiul cibernetic naţional civil, cu respectarea domeniului de aplicare, a excluderilor şi a regimurilor speciale prevăzute (...), precum şi a competenţelor şi drepturilor titularilor reţelelor şi sistemelor informatice vizate”, prevede proiectul adoptat.

Potrivit proiectului, includerea unei rețele sau a unui sistem informatic într-un astfel de program este condiționată de acordul prealabil, expres și scris al tuturor titularilor dreptului de a autoriza testarea rețelei, a sistemului informatic sau a componentelor vizate. Acordul trebuie să identifice rețeaua, sistemul sau componentele asupra cărora se poate efectua testarea și să precizeze limitele acesteia.

În cadrul programelor sunt interzise:

a) accesarea, copierea, ștergerea sau modificarea neautorizată a datelor;
b) utilizarea atacurilor de tip brute-force, a tehnicilor de phishing a altor tehnici de inginerie socială;
c) folosirea programelor de tip malware sau a altor tehnici care pot afecta disponibilitatea, integritatea ori funcționarea rețelelor și sistemelor informatice;
d) menținerea accesului la rețele și sisteme informatice după încetarea autorizării sau extinderea accesului la alte rețele, sisteme, componente conturi care nu sunt incluse în program;
e) divulgarea publică a vulnerabilităților cu încălcarea condițiilor legale aplicabile procesului de divulgare coordonată;
f) orice altă activitate care depășește limitele autorizării sau contravine prevederilor legale aplicabile.

Nerespectarea condițiilor programului sau depășirea limitelor autorizării duce la încetarea autorizării pentru activitățile respective și la pierderea dreptului la recompensă pentru vulnerabilitatea în cauză. Aceasta nu înlătură răspunderea civilă, contravențională sau penală, după caz. Senatul este primul for sesizat, iar Camera Deputaților este decizională.

Într-un interviu, expertul DNSC Cezar Bărbuceanu a explicat cum a intervenit instituția în cazul atacurilor de la ANCPI și MIPE, când a fost notificată în fiecare situație și de ce este prea devreme să se spună dacă cele două atacuri au legătură. Expertul a vorbit și despre prevenirea atacurilor cibernetice.

„Măsurile sunt simple. Avem legislație și avem tot felul de ghiduri, de campanii de conștientizare pe care DNSC le face zilnic - cu privire la actualizarea sistemelor informatice, utilizarea unor parole sofisticate, securizarea aplicațiilor mobile, utilizarea telefonului de serviciu în regim de telework, cum să previi astfel de atacuri sau astfel de tentative de înșelăciune. Noi facem zilnic aceste campanii de conștientizare. Regula ar fi fost să prevenim aceste lucruri luând setul cel mai optim de măsuri, ca să nu picăm în astfel de situații”, a mai spus Cezar Bărbuceanu.