Luci Stănescu, consultant cybersecurity: Nu mi se va întâmpla chiar mie” sau cum se poate cutremura un business

În România, 4 din 10 directori ori manageri din IMM-uri se declară „nu foarte bine” sau „deloc” informați în legătură cu riscurile infracțiunilor cibernetice. Cred că ar trebui să ne așezăm în jurul unei mese rotunde, specialiști în securitatea informatică alături de decidenți din cadrul companiilor, și să ridicăm vălul mistic de pe acest domeniu în care deciziile pot avea consecințe semnificative, așa cum au arătat evenimentele recente.

În decursul a doar trei săptămâni, doi foști directori au fost condamnați cu suspendare – vorbim de Joe Sullivan, ex-CSO al Uber, și Ville Tapio, ex-CEO al Vastaamo, o clinică privată de psihoterapie din Finlanda. Ce au ei în comun? Condamnările sunt legate de incidente de securitate și de acțiunile (dar și de inacțiunile) celor doi privind securitatea datelor în cadrul companiilor pe care le conduceau. Clinica a intrat ulterior în faliment, chiar dacă avea o cifră de afaceri de 15 milioane de euro.

M-aș fi așteptat ca primele astfel de sentințe date unor directori de companii (cazuri nemaiîntâlnite până acum) să ajungă să fie dezbătute și în afara comunității de cybersecurity. Vizibilitatea redusă a unui astfel de subiect îmi pare un simptom al unei comunicări deficitare din domeniu și mă face să îmi pun o primă întrebare – oare noi, specialiștii în securitate informatică, facem destul pentru a informa directorii IMM-urilor de responsabilitatea lor și a companiilor de a pune la punct securitatea informațiilor? Poate că Ville Tapio ar fi apreciat un astfel de efort.

Orice carte de specialitate va menționa ca pe un fapt incontestabil că securitatea informației este un proces de business (nu de IT), inițiat și supravegheat de conducerea companiilor (CxO), făcând parte din „due diligence” și „due care”. Dar cum facem să aducem teoria în ședințele de strategie din companii?

După obositorul bombardament informațional din 2018 legat de GDPR, am rămas oare și cu altceva în afară de „acorduri privind prelucrarea datelor cu caracter personal”, notificări de cookie-uri de care nu știm cum să scăpăm mai repede apăsând primul buton la îndemână și politici de confidențialitate uitate pe vreun „raft prăfuit” timp de cinci ani? Până la urmă, regulamentul menționează de suficient de multe ori termenul „măsuri de ordin tehnic și organizatoric” – dar definite evaziv ca „rezonabile”, „corespunzătoare”, „adecvate” ori „eficace”. Deci, greu de înțeles și implementat fără ajutor specializat. Ar ajuta oare un limbaj mai prescriptiv, cu direcții clare de aplicare? Eu am dubii. Poate că, tocmai, legislația primară ar trebui să fie vagă, pentru a se putea mula pe situațiile individuale în care se află companiile. Iar instrumentele de care dispunem noi, profesioniștii din domeniul securității (metodologii pentru analize de risc, standarde, baseline-uri sau framework-uri), sunt suficiente și ar trebui să ne concentrăm pe popularizarea acestora.

Cu siguranță există lideri și companii care știu să abordeze corespunzător problema, însă dacă ne raportăm la IMM-uri, sondajul Eurobarometru din 2022, „SMEs and Cybercrime”, citat și mai sus, mă pune pe gânduri. Dacă răsfoiești studiul, iese imediat în evidență că cel mai mare procent al răspunsului „Nu știu” este asociat întrebării „Cât de bine credeți că sunt informați angajații dumneavoastră în legatură cu riscurile infracțiunii cibernetice?”. Dar poate cel mai îngrijorător este procentul de 90% de IMM-uri din România care au declarat că nu au organizat în ultimul an traininguri sau exerciții de conștientizare asupra riscurilor cibernetice (este cel mai mare procent dintre țările sondate). Or, dacă tot ne refeream mai devreme la „măsuri de ordin tehnic și organizatoric adecvate și eficace”, aceste traininguri sunt considerate nu doar printre măsurile de bază, dar și cele mai eficiente din punct de vedere investițional pentru a reduce amenințările de phishing, folosite din ce în ce mai des, atât pentru fraudă, cât si pentru distribuirea de malware (cu toții am auzit de șantajul prin ransomware, nu?).

Privind spre viitor, avem ocazia sa nu repetăm aceleași greșeli ca în cazul GDPR-ului. Recent a fost adoptată o noua directivă UE pe securitate, NIS2, ce ar trebui să fie transpusă în lege până în octombrie 2024. Dar aceasta vizează doar companiile din sectoarele critice și importante, unde în general există atât oameni cu expertiză, cât și norme de aplicare ceva mai detaliate. Însă alte două regulamente ale UE (deci care nu vor necesita o așteptare pentru a fi transpuse în legile naționale), ePrivacy și Cyber Resilience Act, sunt în lucru și vor avea sfere de influență comparabile cu ale GDPR-ului. Cred că cel din urmă are potențialul de a avea un impact considerabil, fiindcă își propune extinderea mărcii CE, prin definirea unor standarde minime de securitate, la orice produs cu „o componentă digitală”. Poate că aceste noi legislații vor fi și oportunități pentru a îmbina armonios atât recomandările specialiștilor din domeniul juridic, cât și ale celor din domeniul securității informatice.

Tehnologia se transformă constant și ar fi bine să ținem pasul, chiar dacă sentimentul „nu mi se va întâmpla mie” este unul răspândit. De altfel, conform aceluiași sondaj european, doar în anul precedent, 28% dintre IMM-uri au fost victime a cel puțin unui incident. Iar conform unui raport din noiembrie 2022 al ENISA, agenția UE pentru securitate cibernetică, prognoza pare sumbră – metodele de șantaj evoluează, ransomware-ul este menționat ca primă amenințare, iar dezvoltarea MSP-urilor (Managed Service Providers) creează noi riscuri, în contextul abuzării lanțurilor de furnizori de servicii, de software sau de hardware – mai ales dacă va continua să predomine ideea că externalizarea serviciilor ar însemna și externalizarea tuturor responsabilităților.

O lume utopică în care nu avem riscuri de securitate cibernetică, fie că sunt ele intenționale, accidentale sau naturale, pare să nu fie la orizont. În schimb, putem avea o lume în care apelăm instinctiv la profesioniștii din acest domeniu pentru a ne informa, așa cum nu ezităm să apelăm la un contabil pentru contabilitate sau la un avocat pentru sfaturi juridice..