Dinu Țurcanu – Prorector Informatizare, Relația cu mediul Socio-Economic, Imagine și Comunicare, Universitatea Tehnică a Moldovei

De mici suntem crescuți în baza unor reguli stricte de securitate. Nu te juca cu chibriturile. Fii atent atunci când treci strada. Nu vorbi cu oamenii străini. Sunt un set de reguli de bază care, de fapt, ne dau garanție de viață. Securitatea cibernetică ne dă garanție în afaceri, și nu doar. În fond, întrebarea nu este ”Dacă voi fi victima unui atac cybernetic?” E mai degrabă o chestiune de timp. Când? Iar pentru acest ”când?” și pentru un plan de acțiuni pre-atack și post-atack trebuie urmate câteva reguli simple, dar importante.

Nu economisiți pe securitate. Investiți în securitatea cibernetică. Investiți timp. Investiți bani. Investiți. De securitatea cibernetică depinde atât profitul companiei, instituției, cât și reputația acesteia. Dacă profitul poate fi oarecum restabilit, pierderea reputației poate fi fatală. Pe lângă pierderea încrederii din partea clienților, investitorilor, câștigarea de noi contracte poate fi sabotată dur. Investirea în instruirea angajaților în domeniu securității cibernetice și în dezvoltarea protocoalelor de securitate trebuie să fie mereu pe ordinea zilei.

Securitatea cibernetică în companie depinde de toți, de la Top Management până la nivelul de jos. Educați-vă angajații. Formarea regulată în domeniul securității informatice ar trebui să fie obligatorie. Cu cât este mai înalt nivelul de inteligență cibernetică în companie, cu atât mai puțin vulnerabilă aceasta este în fața atacurilor cibernetice. Cu cât angajații cunosc și înțeleg mai bine securitatea cibernetică, cu atât sunt mai mari șansele de a rămâne protejați. Chiar și în afara companiei, IQ-ul cibernetic este esențial pentru siguranța pe Internet. Fiecare trebuie să cunoască rolul său în protejarea proprietății intelectuale a companiei. Unul din primii pași pe care trebuie să îi cereți de la angajați este să folosească parole unice pentru toate aplicațiile, site-urile, gadgeturile de care se folosesc. Și iar, efectuați teste constante pentru a identifica eventualele lacune.

Oricine poate fi vulnerabil și compromis. În unele din cele mai răsunătoare cazuri de atac cibernetic factorul uman a fost crucial. De aceea trebuie să vă cunoașteți inamicul. Ca și în luptă, există strategii și tactici eficiente. Tehnicile comune de hacking sunt malware-ul, phishingul, SQL sau XSS. De multe ori este necesar ca utilizatorul să inițieze un atac făcând clic pe un link aparent inofensiv, pentru a descărca un fișier (ca un document Word sau un PDF), care de fapt are un instalator de programe malware ascunse. Sunt o mulțime de exemple când prin email corporativ s-au transmis  fieșiere aparent sigure dar care de fapt au distribuit malware și ransomware.

În 2017 și 2018, un număr impresionant de companii au încercat pe piele proprie urmările atacurilor cibernetice; dintre cele mai cunoscute fiind Yahoo, cu peste 3 miliarde de conturi compromise în decurs de 3 ani, până au fost identificate atacurile. Deloitte, cel mai mare consultant în domeniul securității informatice din lume a fost victima unui atac cibernetic în octombrie 2017. În martie, anul curent –  300 de universități și 47 de companii au fost atacate. 31 terabytes de date furate. Peste trei miliarde de dolari în proprietate intelectuală. Aplicația MyFitnessPal de la Under Armour a fost victima unui atac cibernetic la sfârșitul lunii februarie 2018. Deși au fost furate doar loginuri și parole,  datele creditare rămânând securizate, rămâne a fi o reamintire frustrantă a stării de siguranță fragile a rețelelor corporative. VPNFilter – 500.000 de routere afectate de o campanie de hacking rusească. Domeniul de aplicare și amploarea acestui atac încă nu a fost identificat până la capăt.

Poate nu mai este actual pentru marile companii de la noi, dar cu siguranță pentru mulți dintre angajați, optați pentru Softuri Licențiate și nu ignorați actualizările. Conceptul BYOD (Bring Your Own Device) este tot mai răspândit, astfel economisindu-se resurse destul de mari în echiparea personalului. DAR! Acest lucru înseamnă că de fiecare dată când un angajat se conectează la rețeaua internă a companiei prin device-ul său personal, pe care stau câteva, poate doar un soft nelicențiat, toată compania devine vulnerabilă. Hackerii sunt numărul unu în identificarea și exploatarea acestor slăbiciuni. Asigurarea cu soft licențiat și efectuarea actualizărilor va fi un punct în plus în securitatea cibernetică a companiei. Cisco estimează că până în 2021 vor exista 27,1 miliarde de dispozitive conectate la nivel global – astfel încât această problemă se va agrava cu timpul. Evaluarea periodică a vulnerabilităților pentru a identifica și aborda riscurile posibile este imperativă.

Un alt pas indispensabil în securizarea companiei este elaborarea regulamentelor stricte privind securitatea cibernetică și instruirea tuturor angajaților nu e doar un sfat. Odată cu implementarea GDPR-ului – aceasta este o obligație. Astfel se urmărește protejarea datelor cu caracter personal și ca bonus, implementarea GDPR duce cu sine la protejarea companiilor de atacuri cibernetice prin revizuirea regulată a controalelor, detectarea, investigarea și raportarea încălcărilor.

Pentru Atacurile Cibernetice trebuie să fie pus la punct un plan de răspuns împreună cu un plan de comunicare. În cazul în care se produce un atac, angajații, acționarii, autoritățile de reglementare, clienții, furnizorii și partenerii trebuie să știe ce se întâmplă.

Atunci când vorbim de securitate cibernetică, trebuie să înțelegem că aceasta este responsabilitatea fiecăruia dintre noi. Timpul când acest domeniu a fost de nișă și doar departamentul IT avea un rol de gardian a trecut și acest lucru trebuie să se înțeleagă cel mai bine  de cei care se află pe poziția de vârf în companie: acționari, investitori, CEO etc. Prevenirea atacurilor și securitatea cibernetică poate și trebuie să fie asigurată prin comunicațiile tematice corporative, educarea personalului, dezvoltarea tehnologică, colaborarea cu profesioniști din domeniul securității. Cu cât mai multă forță de muncă este echipată cu această cunoaștere, cu atât mai puțini bani și timp vor fi pierduți în caz de atac cibernetic.