Analiză | De ce vrea Armata Română atribuții sporite în domeniul securității cibernetice

„Este nevoie de flexibilitate acțională și de adaptare a instrumentarului aflat la dispoziția armatei pentru o poziționare eficientă în fața paletei de amenințări care se manifestă în prezent în mediul de securitate prezent și viitor”, a declarat ministru Apărării, Vasile Dâncu, după o întâlnirea cu reprezentanții legislativului.

Dîncu a făcut referire explicită la Legea privind managementul integrat al situațiilor de criză la nivel național, Legea privind securitatea și apărarea cibernetică, o serie de completări ale Legii nr. 446 din 2006 privind pregătirea populaţiei pentru apărare, plus un proiect normativ care ține de activitatea Administrației Naționale a Rezervelor de Stat și Probleme Speciale, după cum a comunicat Ministerul Apărării Naționale.

Ideea unei Legi privind securitatea și apărarea cibernetică a fost prezentată de ministrul apărării, Vasile Dîncu, la o întâlnire cu reprezentanții legislativului

La întâlnirea cu reprezentanții legislativului nu s-au dat detalii tehnice despre ce ar urma să conțină legea respectivă, au declarat pentru Europa Liberă mai mulți membrii ai Comisiilor de apărare din Senat și Camera Deputaților.

Nu există nici un proiect de lege depus la Parlament sau vreun document în dezbatere publică. Conform procedurilor legislative, o astfel de inițiativă poate fi aprobată fie prin dezbateri parlamentare, fie prin asumarea răspunderii de către Guvern.

Într-un comunicat de presă transmis ulterior, Ministerul Apărării Naționale spune că președinții celor două camere și-au arătat susținerea pentru un astfel de demers.

„Pentru următoarea perioadă, prioritatea noastră, în conformitate cu Strategia Națională de Apărare, este să actualizăm legislația în domeniul securității naționale”, a declarat președintele Comisiei pentru apărare, ordine publică şi siguranţă naţională a Senatului, senator Nicoleta Pauliuc.

Și președintele comisiei din Camera Deputaților, Pavel Popescu, s-a arătat de acord, mai ales în actuala situație de securitate.

„România are nevoie de un cadru legislativ care să îi permită adoptarea în mod oportun a măsurilor din domeniul securității și apărării, în raport cu amenințările potențiale. Îi îndemn pe toți membrii comisiei să dăm dovadă de solidaritate, indiferent de culoare politică, pentru sprijinul instituțiilor din sectorul de apărare, ordine publică și securitate”, a declarat deputatul Popescu, conform comunicării MAPN.

Senatoarea Nicoleta Pauliuc nu a dorit să facă declarații pentru Europa Liberă referitoare la întâlnire.

Cum arată securitatea cibernetică actuală - Între SRI și Directoratu de Securitate Națională

Reglementările în vigoare arată că securitatea cibernetică este prevăzută în Strategia de Apărare a Țării. Documentul amintește despre securitate națională extinsă și introduce, pentru prima dată, conceptul de securitate cibernetică.

Aceasta se alătură altor dimensiuni de securitate cum sunt cele diplomatice, de ordine publică, activitatea de informații, managementul crizelor, securitatea energetică, securitatea infrastructurilor critice.

Prin Hotărârea CSAT nr. 16/2013 a fost aprobată Strategia de Securitate Cibernetică a României care stabilește cadrul conceptual, organizatoric și de acțiune necesar asigurării securității cibernetice și care vizează protecția infrastructurilor cibernetice în concordanță cu noile concepte și politici din domeniul apărării cibernetice elaborate și adaptate la nivelul NATO și al Uniunii Europene.

Consiliul Suprem de Apărare a Țării este organismul care a statuat cadrul actualelor configurații de securitate cibernetică a României. Imagine generică de la ședința CSAT

Principalul obiectiv al Strategiei de Securitate Cibernetică a României îl reprezintă crearea unui sistem național integrat - Sistemul Național de Securitate Cibernetică (SNSC).

Scopul SNSC este de a asigura elementele de cunoaștere, prevenire și contracarare a amenințărilor, vulnerabilităților și riscurilor specifice spațiului cibernetic care pot afecta securitatea infrastructurilor cibernetice naționale, inclusiv managementul consecințelor.

Consiliul Suprem de Apărare a Țării este autoritatea care coordonează la nivel strategic activitatea Sistemului Național de Securitate Cibernetică. Guvernul României asigură coordonarea celorlalte autorități publice în vederea realizării coerenței politicilor și implementarea strategiilor guvernamentale în domeniu.

• Serviciul Român de Informații,
• Ministerul Apărării Naționale,
• Ministerul Afacerilor Interne,
• Ministerul Afacerilor Externe,
• Serviciul de Telecomunicații Speciale,
• Serviciul de Informații Externe,
• Serviciul de Protecție și Pază,
• Oficiul Registrului Național pentru Informații Secrete de Stat,
• Secretarul Consiliului Suprem de Apărare a Țării,
• Actori din mediul asociativ neguvernamental, profesional și de afaceri.

Sistemul Național de Alertă Cibernetică (SNAC) reprezintă principalul mijloc prin care SNSC previne și contracarează activităților de natură să afecteze securitatea cibernetică. Autoritatea instituie Nivelurile de Alertă Cibernetică pe baza evaluării riscurilor la adresa securității cibernetice a României.

Centrul Național Cyberint (CNC) din cadrul Serviciului Român de Informații informează operativ cu privire la apariția incidentelor cibernetice care pot aduce atingere securității naționale și este punct de contact pentru relaționarea cu organismele similare din străinătate, în caz de atac cibernetic asupra securității cibernetice a României.

Organismul din cadru SRI asigură coordonarea tehnică a activității SNAC și controlul măsurilor specifice fiecărui nivel de alertă.

Strategia de Securitate Cibernetică a României prevede, de asemenea, și dezvoltarea entităților specializare cu atribuții atât în cadrul sectorului public, cât și în sectorul privat, instituție care poate emite alerte și atenționări cu privire la activități premergătoare atacurilor cibernetice.

În România, instituția s-a numit Centrul Național de Răspuns la Incidente de Securitate Cibernetică - CERT-RO, transformat ulterior în Directoratul Național de Securitate Cibernetică.

Directoratul este o structură independentă de expertiză și cercetare-dezvoltare în domeniul protecției infrastructurilor cibernetice, care dispune de capacitatea necesară pentru prevenirea, analiza, identificarea și reacția la incidentele de securitate cibernetică ale sistemelor informatice ce asigură funcționalități de utilitate publică sau asigură servicii ale societății informaționale. Directoratul este în subordinea prim-ministrului României.

Sub impulsul pandemiei, Uniunea Europeană lucrează la schimbarea legislației cibernetice

Atacurile cibernetice sunt printre formele de criminalitate cu cea mai rapidă creștere la nivel mondial, atât ca amploare, cost și sofisticare, se arată în preambulul motivării schimbării legislației în domeniul cibernetic la nivel european. Ele au crescut îngrijorător în perioada pandemiei și de aici necesitatea adaptării la noile realități.

Sectoarele critice, cum ar fi transportul, energia, sănătatea și finanțele, au devenit din ce în ce mai dependente de tehnologiile digitale pentru a-și desfășura activitatea de bază.

În timp ce creșterea conectivității digitale aduce oportunități enorme, expune, de asemenea, economiile și societățile la amenințări cibernetice.

Numărul, complexitatea și amploarea incidentelor de securitate cibernetică sunt în creștere, la fel ca și impactul lor economic și social.

Înițiatorii modificării legislative europene spun că 86% dintre încălcările comise în 2019 au fost motivate financiar și 10% prin spionaj. Aproximativ 45% dintre încălcări au inclus hacking, 17% au implicat programe malware și 22% phishing.

La 16 decembrie 2020, Comisia a prezentat o propunere de directivă nouă privind măsurile pentru un nivel comun ridicat de securitate cibernetică în întreaga Uniune (NIS 2), care ar abroga și înlocui Directiva NIS existentă (NIS1).

NIS2 propune extinderea domeniului de aplicare care ar obliga mai multe entități și sectoare să ia măsuri, ar contribui la creșterea nivelului de securitate cibernetică în Europa pe termen lung.

Propunerea extinde atât domeniul de aplicare care cuprindea zece sectoare: energie, transport, bancar, piața financiară, sănătate, apă potabilă, apă uzată, infrastructură digitală, administrație publică și spațiu.

În ansamblu, propunerea NIS2 își stabilește trei obiective generale:

1. Creșterea nivelului de reziliență cibernetică a unui set extins de utilizatori care își desfășoară activitatea în Uniunea Europeană în toate sectoarele relevante. Pentru asta se are în vedere instituirea unui set reguli care să se asigure că toate entitățile publice și private de pe piața internă, care îndeplinesc funcții importante pentru economie și societate în ansamblu, iau măsuri adecvate de securitate cibernetică.

Sunt vizate noi sectoare precum telecomunicațiile, platformele de social media și administrația publică.

2. Reducerea inconsecvențelor în reziliența pe piața internă în sectoarele deja acoperite de directivă, prin alinierea în continuare a

i) domeniului de aplicare de facto;

ii) cerințele de securitate și de raportare a incidentelor;

iii) prevederile care reglementează supravegherea și executarea la nivel național;

iv) capacitățile autorităților competente relevante ale statelor membre.

Propunerea include o listă de șapte elemente cheie pe care toate companiile trebuie să le abordeze sau să le implementeze ca parte a măsurilor pe care le iau, inclusiv răspunsul la incident, securitatea lanțului de aprovizionare, criptarea și divulgarea vulnerabilităților.

Companiile afectate au la dispoziție 24 de ore de la momentul în care au luat cunoștință de un incident pentru a transmite un raport inițial, urmat de un raport final nu mai târziu de o lună mai târziu.

Sunt stabilie sancțiuni administrative ori de câte ori entitățile încalcă regulile privind gestionarea riscului de securitate cibernetică printre care amenzi administrative (până la 10 milioane EUR sau 2 % din cifra de afaceri totală a entităților la nivel mondial, oricare dintre acestea).

3. Îmbunătățirea nivelului de conștientizare a situației comune și a capacității colective de pregătire și răspuns, prin

i) luarea de măsuri pentru creșterea nivelului de încredere între autoritățile competente;

ii)partajarea mai multor informații;

iii) stabilirea de reguli și proceduri în cazul unui incident sau criză la scară largă.

Inițiativa prevede un cod de rețea privind securitatea cibernetică cu reguli specifice sectorului pentru fluxurile transfrontaliere de energie electrică (SPEAR) precum și un act de reziliență operațională digitală pentru sectorul financiar (DORA)

Arma cibernetică, deja folosită în confruntarea Rusia Ucraina

Tendința europeană este de a limita accesul și implicarea militarilor în controlul activităților cibernetice. Cu toate acestea, ultimele zile au arătat un potențial major de folosire a atacurilor cibernetice ca parte a unui război hibrid.

Conform unei declarații a Serviciul de Securitate al Ucrainei , țara a fost victima unui val de atacuri hibride realizate de actori rău-intenționați care au legături cu Rusia.

Principala metodă de acțiune este creare de panică prin acțiuni distribuirea de informații false pe rețele sociale.

Pe 8 februarie 2022, SSU anunța destructurarea a două ferme de boți din Liov, care operau 18.000 de conturi false de social media care aveau ca scop distribuirea de informații false despre amenințarea cu bombe.

Conform prim-ministrului adjunct din Ucraina, Mykhailo Fedorov, atacul cibernetic din 15 februarie 2022, cel mai mare din istoria țări a fost generat de pe adrese IP din Rusia, China, Uzbekistan și Cehia. Și că Rusia este singurul stat interesat de generarea unei panici masive în legătură cu o posibilă invazie militară.