ANALIZĂ | Cât de sigur este statul român în online? Un nou raport arată că multe instituții publice ignoră reguli elementare de securitate cibernetică

Digitalizarea administrației publice a avansat într-un ritm accelerat în ultimii ani. Tot mai multe documente sunt depuse online, plata taxelor se face prin internet, iar comunicarea cu instituțiile statului se mută, încet-încet, în mediul digital. Însă, pe măsură ce serviciile publice devin digitale, crește și responsabilitatea de a le proteja. O analiză independentă publicată zilele acestea ridică un semn de întrebare important: cât de bine sunt apărate, în realitate, site-urile instituțiilor publice din România?

Răspunsul vine prin Barometrul Digital, un proiect care a analizat aproape 2.500 de site-uri aparținând primăriilor, consiliilor județene, spitalelor, instituțiilor centrale și operatorilor publici de apă și energie. Evaluarea a fost realizată cu ajutorul unui agent de inteligență artificială denumit Tyche, conceput pentru a verifica automat o serie de indicatori tehnici privind securitatea cibernetică.

Autorul proiectului precizează că întreaga analiză a fost realizată exclusiv prin metode pasive. Cu alte cuvinte, nu au fost efectuate atacuri, scanări neautorizate sau încercări de acces în sistemele instituțiilor. Au fost analizate doar informațiile pe care orice utilizator le poate observa atunci când accesează un site sau trimite un e-mail, completate cu date disponibile în registre publice și baze de date deschise.

Probleme vechi, încă nerezolvate

Rezultatele arată că vulnerabilitățile nu sunt izolate, ci apar în mod repetat în întreaga administrație publică.

Potrivit raportului:

– 502 instituții au servicii expuse direct pe internet;

– 117 dintre acestea lasă accesibile servicii considerate critice, precum baze de date sau soluții de administrare la distanță;

– 158 de instituții folosesc aplicații pentru care există vulnerabilități cunoscute și remedii disponibile de ani de zile;

– 61,4% dintre site-uri nu au configurate politici moderne de protecție împotriva unor atacuri web frecvente;

– aproape jumătate dintre instituții (49,3%) nu folosesc standardul DMARC, ceea ce permite falsificarea mai ușoară a adreselor oficiale de e-mail;

– 94,4% dintre site-uri nu sunt protejate de un Web Application Firewall (WAF), una dintre cele mai utilizate soluții pentru blocarea atacurilor automate;

– 13 site-uri funcționează fără conexiune securizată HTTPS, iar alte șase folosesc certificate digitale expirate.

Deși aceste date pot părea alarmante pentru publicul larg, specialiștii din domeniu subliniază că multe dintre probleme sunt legate de configurare și administrare, nu neapărat de atacuri aflate deja în desfășurare.

O notă peste 7, dar fără motive de mulțumire

Pe baza a 13 criterii tehnice, fiecare instituție a primit o notă privind nivelul de igienă digitală.

Media națională este de 7,09 din 10.

La prima vedere, rezultatul pare unul acceptabil. În realitate însă, într-un domeniu precum securitatea cibernetică, o notă de trecere nu este întotdeauna suficientă. O singură vulnerabilitate necorectată poate deveni punctul de plecare pentru un atac informatic cu efecte asupra activității unei instituții și asupra datelor cetățenilor.

Interesant este că inclusiv Directoratul Național de Securitate Cibernetică (DNSC), instituția care coordonează răspunsul României la incidente cibernetice, obține nota 8,3. Este peste media națională, însă raportul sugerează că există încă loc pentru îmbunătățiri inclusiv în cadrul autorităților cu atribuții directe în domeniu.

Cea mai costisitoare problemă nu este tehnologia

Una dintre concluziile importante ale raportului este că majoritatea deficiențelor identificate nu necesită investiții spectaculoase.

Actualizarea unor aplicații, configurarea corectă a serverelor, activarea standardelor moderne pentru e-mail sau reînnoirea certificatelor digitale sunt operațiuni care, în multe situații, pot fi realizate în câteva ore.

Problema pare să fie, mai degrabă, lipsa unor proceduri constante de administrare și monitorizare.

În ultimii ani, România a investit considerabil în digitalizarea administrației. Totuși, investițiile în platforme noi trebuie însoțite și de investiții în mentenanță, actualizări și securitate. Un sistem informatic nu devine sigur doar pentru că a fost implementat, ci trebuie întreținut permanent.

O invitație la remediere, nu la stigmatizare

Autorul Barometrului Digital spune că scopul proiectului nu este expunerea publică a instituțiilor vulnerabile.

Instituțiile analizate pot solicita gratuit raportul tehnic aferent propriului domeniu, iar recomandările sunt transmise exclusiv acestora, fără publicarea vulnerabilităților identificate.

În esență, proiectul își propune să ofere o imagine de ansamblu asupra nivelului de securitate al administrației publice și să încurajeze remedierea rapidă a problemelor.

Ce înseamnă toate acestea pentru cetățeni?

Dincolo de cifre și indicatori tehnici, concluzia este una simplă: pe măsură ce tot mai multe servicii publice se mută online, securitatea cibernetică devine parte a calității serviciului public.

Atunci când trimitem online documente care conțin date personale, când plătim taxe sau solicităm acte prin intermediul internetului, avem așteptarea firească ca aceste informații să fie protejate.

Barometrul Digital nu afirmă că instituțiile publice din România sunt nesigure în ansamblu. În schimb, arată că există numeroase vulnerabilități cunoscute, multe dintre ele ușor de remediat, care continuă să rămână nerezolvate.

Iar într-o perioadă în care atacurile cibernetice asupra instituțiilor publice devin tot mai frecvente, cea mai ieftină măsură de securitate rămâne, de multe ori, și cea mai simplă: actualizarea la timp și respectarea unor reguli elementare de administrare a infrastructurii digitale.

Gheorghiță Țibuleac